"Nous n'exposons pas vos appareils, contrairement à Signal ou WhatsApp" - Interview Threema

Depuis que l'armée suisse a choisi d'interdire WhatsApp au profit de Threema, la messagerie helvète gagne en légitimité. Mais ses vraies batailles se jouent ailleurs : en Europe, où les gouvernements tentent d'imposer des backdoors de chiffrement et où les lois de surveillance se durcissent.

Alors que Signal revendique la transparence open source et WhatsApp promettait le chiffrement de bout en bout, Threema adopte une philosophie différente : zéro donnée stockée sur ses serveurs, zéro exposition des métadonnées d'appareils, zéro tracking comportemental. Danilo Bargen, directeur technique de l'entreprise, a accepté de répondre à plusieurs de nos questions.

L'Europe bouillonne avec le "Chat Control", et la Suisse envisage de réviser sa loi sur la surveillance des télécommunications, qui pourrait forcer les messageries chiffrées à coopérer davantage avec les autorités. Comment Threema se positionne face à toutes ces pressions réglementaires ? Et quelle est votre limite? Jusqu'où iriez-vous pour protéger le chiffrement de bout en bout ?

Danilo Bargen : Nous rejetons catégoriquement la surveillance de masse. Threema a été conçue pour garantir une communication sécurisée et conforme à la protection des données. La vie privée est un droit humain, et nous croyons que les utilisateurs d'Internet devraient pouvoir échanger des pensées et des idées sans être suivis par des entreprises ou surveillés par des gouvernements, sous quelque forme que ce soit. Tout comme il est possible d'avoir une conversation privée dans la vie réelle, ce devrait être possible en ligne.

La surveillance de masse va à l'encontre de tout ce que Threema représente, et c'est une très mauvaise idée pour plusieurs raisons. Non seulement elle est inefficace et incompatible avec la démocratie, mais elle affaiblit également la sécurité des données.

Concernant la proposition Chat Control, il semble que, pour le moment, l'analyse des messages ne sera pas rendue obligatoire, ce qui constitue une victoire en soi. Cependant, une décision définitive n'a pas encore été prise, nous surveillons donc la situation de près.

Pour la révision du VÜPF, la première période de consultation s'est terminée le 6 mai 2025 (nous avons également soumis nos commentaires). À notre connaissance, une analyse d'impact réglementaire sera désormais commandée. Sur la base du premier projet, qui a reçu des retours très négatifs lors de la première consultation, et des résultats de cette analyse, le Département fédéral de la justice et de la police, auquel appartient le Service de surveillance des postes et télécommunications, élaborera un nouveau projet qui subira une deuxième consultation.

La proposition de révision du VÜPF suisse stipule que les fournisseurs de services de communication avec plus d'1 million d'utilisateurs ou 100 millions de CHF de chiffre d'affaires annuel seront soumis à des obligations de surveillance plus strictes. Threema atteint-elle ces chiffres ? Et si c'est le cas, comment envisagez-vous de gérer cette nouvelle classification sans compromettre votre modèle de sécurité Zero Knowledge ?

D.B : Avec plus de 12 millions d'utilisateurs, Threema serait affectée par cette nouvelle classification.

Si l'ordonnance VÜPF nous obligeait à collecter plus de données utilisateur (et/ou à les conserver plus longtemps) que techniquement nécessaire, nous la combattrions par tous les moyens à notre disposition. Si nécessaire, nous serions prêts à lancer une initiative populaire. Le peuple suisse devrait avoir son mot à dire sur des décisions ayant des conséquences aussi drastiques.

Sur un marché dominé par des messageries gratuites comme WhatsApp, Signal et Telegram, comment vendez-vous les 8€ de Threema aux gens ordinaires ? Avez-vous des chiffres sur les taux de conversion ou ce qui empêche réellement les gens de passer à Threema ?

D.B : Si vous ne payez pas un service avec de l'argent, vous le payez souvent avec vos données. Or, monétiser les données utilisateur irait à l'encontre de l'objectif de Threema, qui est de protéger les données et la vie privée des utilisateurs. En outre, le prix de l'application aide à couvrir les frais de développement et de maintenance de l'infrastructure serveur.

Concernant les taux de conversion, nous n'avons pas de chiffres puisque nous évitons de suivre le comportement de nos utilisateurs (potentiels). Le prix d'achat de Threema est peut-être l'une des raisons qui empêchent les gens de télécharger l'application. Une autre raison est que WhatsApp est tellement répandu que beaucoup d'utilisateurs ne veulent pas basculer vers une application respectueuse de la vie privée comme Threema par simple commodité.

Signal dépense 40 à 50 millions de dollars par an et dépend presqu'entièrement des dons. Le modèle économique de Threema semble beaucoup plus durable. Pouvez-vous nous détailler comment les revenus se répartissent entre le segment consommateurs et le segment professionnel ? Et quelle est votre vision de croissance à 5 ans ?

D.B : En général, nous ne divulguons pas nos données financières, mais la majorité de nos revenus provient clairement de nos solutions professionnelles, Threema Work et Threema OnPrem.

Wire utilise MLS, le protocole standardisé par l'IETF. Votre protocole Ibex a été formellement vérifié en 2023 par des chercheurs de l'université d'Erlangen-Nuremberg et offre la Perfect Forward Secrecy, mais c'est une approche différente. Quelle est votre feuille de route pour faire évoluer Ibex, notamment concernant la cryptographie post-quantique que l'UE pousse pour 2030 ?

D.B : Nous suivons les développements en cryptographie post-quantique et les efforts de normalisation depuis un certain temps. En préparation aux menaces et aux défis que les futurs ordinateurs quantiques pourraient poser, nous avons déjà commencé à mettre à niveau nos protocoles de manière progressive. Notre objectif est de devenir entièrement résistant aux attaques quantiques. Cela inclut également le protocole Ibex, bien sûr.

Forrester Wave Q3 2024 vous a classés comme "Leader" en communications sécurisées. Qu'est-ce qui vous a permis de surpasser Wire, Signal et les autres ? Et comment exploitez-vous cette victoire pour gagner des parts de marché auprès de la base de consommateurs de Signal et du marché d'entreprise de Wire ?

D.B : Le rapport souligne la retenue de Threema en matière de métadonnées, les diverses options de confidentialité, ainsi que les options d'administration et d'intégration comme des caractéristiques fortes. Il mentionne également notre programme de partenaires, qui contribue à offrir du support partout dans le monde, et notre service de gestion des clients, qui contribue à un taux de satisfaction client. Ce sont autant de facteurs que les clients prennent en compte lors du choix d'une solution de communication appropriée pour leur entreprise.

Je souligne au passage que Forrester a examiné des solutions pour la communication commerciale, c'est pourquoi Signal et d'autres solutions orientées vers les consommateurs n'ont pas été examinées et ne font pas partie de la comparaison.

Threema a publié le code source de ses applications en 2020, donc n’importe qui peut théoriquement le lire, l'auditer et recompiler l’app. Mais, contrairement à Signal, si quelqu’un compile lui‑même Threema à partir du code, il ne peut pas créer un nouvel identifiant avec cette version. La création d’ID n’est autorisée que pour les apps "officielles". Comment Threema justifie ce compromis entre transparence du code et verrou économique

D.B : Comme vous l'avez déjà fait remarquer, Threema n'est financée ni par des dons ni par la monétisation des données utilisateur. Notre modèle économique classique – c'est-à-dire la vente d'applications – est solide et respectueux de la vie privée. Cependant, la divulgation du code source de l'application pose un défi, car l'application peut être compilée et utilisée qu'elle ait été achetée ou non. Si l'application elle-même contenait une vérification de licence, elle pourrait facilement être désactivée.

Ainsi, pour prévenir les abus à grande échelle et assurer la viabilité économique de Threema, les ID Threema ne peuvent être créés sur nos serveurs qu'après l'obtention d'une licence (soit par un achat sur un app store, soit par le Threema Shop, qui offre également des options de paiement respectueuses de la vie privée).

Nous ne croyons pas que ce modèle entre en conflit avec notre engagement en faveur de la transparence. Puisque Threema est entièrement chiffrée de bout en bout, l'examen du code source suffit pour vérifier nos affirmations en matière de sécurité : les messages et les appels sont toujours sécurisés chiffrés lorsqu'ils entrent ou quittent l'application.

Il n'y a actuellement aucun plan pour changer ce système.

Vos Reproducible Builds fonctionnent très bien sur Android – les gens peuvent vérifier l'intégrité de l'application en reconstituant les binaires à partir du code source. Pourquoi cela ne fonctionne-t-il pas encore sur iOS ? Qu'est-ce qui vous bloque exactement chez Apple ?

D.B : Sur Android, les utilisateurs peuvent extraire les applications installées via Google Play de leur téléphone. Avec iOS, ce n'est pas possible sans jailbreaker l'appareil (ce que nous ne recommandons pas pour des raisons de sécurité). Même si une compilation était reproductible sur iOS, un utilisateur ordinaire n'aurait aucun moyen de vérifier la reproductibilité de l'application.

De plus, Apple contrôle strictement tout l'écosystème des applications, y compris la chaîne d'outils utilisée pour développer les applications iOS. Cette chaîne d'outils ne comporte pas de mode pour les compilations reproductibles – elle intègre souvent des métadonnées de compilation non déterministes dans les applications, ce qui est un grand défi.

Enfin, contrairement à des systèmes comme Linux, où les environnements de build peuvent être facilement reproduits à l'aide d'outils comme Docker, macOS ne propose pas de fonctionnalité pour facilement figer ou reproduire une version de XCode et les outils de build associés.

Votre architecture Zero Knowledge signifie que même vous ne pouvez pas voir le contenu des messages. Mais intéressons-nous aux métadonnées – comment gérez-vous vraiment les horodatages, les listes de contacts, et tout ça ? Et comment votre approche de la minimisation des données se compare-t-elle à celle de Signal ou WhatsApp ?

D.B : Nous stockons uniquement les métadonnées absolument nécessaires pour la fourniture du service. Les utilisateurs de Threema Private peuvent voir quelles données nous connaissons en envoyant un message à l'ID Threema *MY3DATA. À part ces informations, toutes les données utilisateur sont stockées directement sur les appareils des utilisateurs. Cela signifie que les images de profil, les listes de contacts, etc. ne sont pas stockées sur nos serveurs, mais sont distribuées directement et sous forme chiffrée de bout en bout d'appareil à appareil.

La principale différence avec Signal est que Threema ne nécessite pas que les utilisateurs fournissent un numéro de téléphone. De cette façon, l'application peut être utilisée de manière complètement anonyme. Une autre décision de conception est que notre protocole multi-appareils n'expose pas les ID d'appareils aux destinataires des messages. Avec des applications comme Signal et WhatsApp, chaque appareil utilise une clé de chiffrement différente. Au niveau du protocole, cela permet aux autres utilisateurs d'apprendre combien d'appareils une personne a liés à son compte et quel message provient de quel appareil. Les clés spécifiques aux appareils pourraient même être (mal)utilisées au fil du temps pour le suivi comportemental. Dans Threema, ces métadonnées ne sont pas exposées.

La migration de WhatsApp ou Telegram vers Threema reste un énorme point de friction. Et puisque contrairement à Signal, vous n'utilisez pas les numéros de téléphone comme identifiant principal, cela brise l'effet réseau. Quelle est votre stratégie pour convaincre des groupes entiers – familles, communautés, organisations – de basculer réellement vers Threema ?

D.B : Nous ne dirions pas que la capacité d'utiliser l'application de manière anonyme brise l'effet réseau, puisque vous pouvez toujours entrer votre numéro de téléphone si vous le souhaitez, et beaucoup de nos utilisateurs lient effectivement leur numéro de téléphone à leur ID Threema. Le plus grand défi ici est que l'application n'est pas gratuite.

Notre objectif est d'éduquer les gens sur l'importance de protéger leurs données et leur vie privée sur Internet. Si les gens reconnaissent l'importance de la vie privée et connaissent les outils disponibles, ils sont plus susceptibles d'envisager de basculer vers des alternatives sécurisées comme Threema.

Threema permet aux gens de synchroniser les contacts via numéro de téléphone ou e-mail, ou de rester complètement anonymes sans identifiant personnel. Les utilisateurs choisissent-ils réellement une approche plutôt que l'autre, ou utilisent-ils les deux ?

D.B : C'est un choix que chaque utilisateur doit faire pour lui-même. Même si vous – comme la majorité des utilisateurs – choisissez de lier votre numéro de téléphone à votre ID Threema, cela ne signifie pas que vous pourriez simplement basculer vers une application de messagerie qui vous oblige à fournir un numéro de téléphone. Peu importe comment vous décidez, avoir ce choix est une fonctionnalité. Il existe de nombreux autres domaines où les utilisateurs peuvent faire des choix similaires, par exemple, ils peuvent choisir de permettre ou non la synchronisation des contacts. Sur Android, ils peuvent choisir entre notre propre service de notification et celui de Google, ils peuvent acheter l'application depuis notre boutique et payer en espèces. Si les utilisateurs souhaitent utiliser Threema Safe, ils peuvent stocker la sauvegarde sur leur propre serveur. Avoir des choix comme ceux-ci est une forme de souveraineté, d'autonomisation.

Pour les organisations qui exigent une authentification et une responsabilité plus fortes, nous recommandons notre solution professionnelle Threema Work, qui offre plus de contrôle. Pour les organisations ayant les exigences de sécurité les plus strictes, Threema OnPrem offre un contrôle total sur l'ensemble de l'installation et de tous les comptes utilisateur associés.

Le gouvernement fédéral suisse a officiellement approuvé Threema pour les appels vocaux chiffrés jusqu'au niveau « CONFIDENTIEL ». Parlez-nous de ce partenariat et de tout autre travail que vous faites avec des gouvernements, des armées ou des infrastructures critiques dans le monde. Qu'est-ce qui pousse les organisations à choisir Threema plutôt que de développer leur propre solution ?

D.B : Depuis janvier 2022, l'utilisation de WhatsApp dans l'armée suisse est interdite, et le personnel militaire est invité à utiliser l'application Threema pour les communications. C'est un tournant pour Threema et contribue à augmenter la notoriété de l'application en Suisse.

Pour des raisons de discrétion et de confidentialité, aucun autre client de ce secteur ne peut être révélé. Cependant, les autorités et les gouvernements choisissent souvent Threema Work en raison de la possibilité d'utiliser le service sans fournir d'informations personnelles, parce que l'application est conforme aux lois modernes sur la protection des données (comme le RGPD), et parce que nos serveurs sont situés dans une juridiction européenne. D'autres raisons pour choisir Threema Work incluent l'architecture zero-knowledge, le chiffrement de bout en bout, et la possibilité de restreindre les communications aux contacts internes. Threema OnPrem permet également aux gouvernements d'héberger l'application sur leurs propres serveurs, garantissant une souveraineté des données totale.

Threema OnPrem est une solution en marque blanche. Qui utilise réellement cela ? Et comment équilibrez-vous la personnalisation, la gestion de plusieurs instances et la conformité réglementaire dans différentes juridictions ? Avez-vous des études de cas de France ou de Belgique que vous pouvez partager ?

D.B : Threema OnPrem peut être utilisé avec ou sans marque blanche. L'option d'héberger Threema on-premises est surtout utilisée par des entreprises ou des organisations qui ont besoin d'une souveraineté totale des données. La marque blanche est utilisée quand ils veulent que la solution apparaisse comme faisant partie de leur organisation (c'est-à-dire avec une apparence personnalisée). Par exemple, HIN, une organisation qui fournit des services de collaboration à des milliers de fournisseurs de soins de santé suisses, a récemment publié HIN Talk basée sur Threema OnPrem.

Au-delà du chiffrement, vous planchez sur plusieurs de fonctionnalités uniques – DualLock pour le verrouillage à distance de l'application, EasyConnect avec codes QR pour les contacts externes, Circles pour le contrôle granulaire de la visibilité. Qu'y a-t-il de prévu pour 2026 ? Et comment envisagez-vous les menaces émergentes – comme les deepfakes, l'audio généré par l'IA, ce genre de choses ?

D.B : DualLock, EasyConnect et TrustCircles sont des fonctionnalités sur lesquelles nous travaillons actuellement ; elles seront lancées début 2026. Comme mentionné précédemment, un autre point focal pour l'année à venir sera la sécurité post-quantique : nous visons à assurer l'échange sécurisé de données et d'informations sensibles même face à la puissance de traitement des générations futures d'ordinateurs.

Les menaces comme les deepfakes posent des risques sérieux aux entreprises. Threema atténue ces risques en affichant les niveaux de vérification : ils indiquent quels contacts appartiennent à l'entreprise et lesquels ne sont pas (encore) vérifiés. Cela aide également à éviter les incidents comme le Signalgate, où un contact externe et non vérifié a été ajouté à un groupe de discussion confidentiel.