DIV Protocol se présente comme une alternative française à Proton, avec un chiffrement zero knowledge et une suite bureautique complète attendue ce mardi 15 septembre. Nous avons interrogé Solan Després, cofondateur de la startup, sur son positionnement face à la concurrence.
Lancée en 2022 par deux associés de 15 ans, DIV Protocol a démarré dans le web3 avant de se recentrer sur une solution de chiffrement pensée pour les entreprises françaises soumises à des obligations de conformité. Douze personnes y travaillent aujourd'hui, avec pour cibles les avocats, les assureurs et les sous-traitants de la défense, avant d'envisager, un jour peut-être, le grand public.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Du NFT au chiffrement, comment est né DIV Protocol
En 2022, Solan Després et son associé ont 15 ans. Ils démarrent avec une idée basée sur le web3 : si on arrive à stocker des images dans des NFT et à en prouver l'authenticité et le détenteur, "on s'est dit pourquoi pas stocker un PDF au lieu de stocker un JPEG", résume Solan Després. Mais récupérer les empreintes cryptographiques de chaque document se révèle trop lourd.
L'équipe change d'approche. Les fichiers restent chiffrés chez des hébergeurs classiques, seules les métadonnées, plus légères, sont ancrées sur la blockchain. DIV Protocol teste d'abord IPFS, le réseau de stockage décentralisé. "Le souci qu'on a eu, c'était les agrégateurs qui étaient pas toujours compliant", explique Solan Després, avant de pointer une technologie déjà vieillissante en 2023-2024. La startup bascule alors vers Solana. La fondation du réseau lui accorde des financements (grants), et DIV Protocol prévoit aussi de développer des blockchains privées pour de grands comptes ou des opérateurs d'importance vitale (OIV).
Zero knowledge et Bring Your Own Key
DIV Protocol s'intercale entre l'hébergement d'une entreprise et ses outils métiers. La startup y ajoute une suite bureautique (drive, visioconférence chiffrée, mail, calendrier) hébergée en France, avec de la redondance chez OVH et Scaleway.
Côté migration des mail, DIV Protocol ne repose pas sur le protocole standard IMAP mais conserve quand même le format .eml. Cela permet donc de rapatrier les anciens mails d'une autre boîte. Le reste, drive et calendrier, se synchronise directement via les API de Google, sans configuration manuelle.
L'entreprise explique vouloir associer le zero knowledge au Bring Your Own Key. "L'idée, c'est d'inverser le rapport de force, rendre le contrôle des données à l'utilisateur", explique le cofondateur. Le client importe sa propre clé de chiffrement, sous forme de seed phrase, et la garde de son côté. "Nous n'avons accès à rien", affirme-t-il.
Concrètement, les données sont chiffrées en AES-256 selon un système de clés en cascade. Une clé dédiée protège la donnée, une seconde clé chiffre la première, elle-même rechiffrée à son tour. Cet empilement doit empêcher DIV Protocol d'accéder aux fichiers de ses clients, même en interne.
Zero knowledge : un modèle où le fournisseur du service ne détient jamais les clés permettant de déchiffrer les données de ses clients.
Seed phrase : une suite de mots générée aléatoirement, qui permet de reconstituer une clé de chiffrement. Qui la détient peut déchiffrer les données ; qui la perd les perd aussi, de façon définitive.
Une gestion des clés en externe ou en interne
Deux configurations coexistent. Certains clients, souvent des professions libérales peu enclines à gérer leur clé, la laissent dans un KMS. "En cas d'extrême urgence, on peut ouvrir le KMS avec OVH et avoir accès aux données, sous mandat judiciaire. On ne peut pas y aller autrement", affirme Solan Després.
Si la clé n'est stockée nulle part ailleurs que chez le client, DIV Protocol assure ne plus avoir aucun moyen technique d'accéder aux fichiers, même sous réquisition d'un juge d'instruction. La startup a aussi mis en place un dispositif de KYC (vérification d'identité et justificatif de domicile) pour se prémunir en cas de litige.
Reste un problème : les autorités pourraient faire pression directement sur les hébergeurs. "OVH et Scaleway peuvent leur récupérer de la donnée chiffrée. S'ils veulent", reconnaît Solan Després. Ils pourraient également supprimer la donnée. D'où la stratégie de redondance chez plusieurs hébergeurs français et européens, avec l'ambition d'aller jusqu'à des acteurs comme Outscale, dont l'ex-dirigeant Laurent Seror a rejoint le board de DIV Protocol.
KMS (Key Management System) : un système qui stocke et gère des clés de chiffrement, souvent pour permettre de récupérer un compte après une perte de mot de passe.
Proton Business en ligne de mire
Interrogé sur ce qui distingue DIV Protocol d'un Proton, Solan Després conteste le statut de service zero knowledge. Proton garderait, selon lui, un KMS pour récupérer un compte en cas de mot de passe perdu.
En réalité, cette nuance ne concerne que les comptes Proton for Business. Un compte personnel n'a aucune clé de secours. Sans la phrase de récupération, les données restent chiffrées, même pour Proton. Dans une organisation, en revanche, l'administrateur peut réinitialiser le mot de passe d'un utilisateur "non-private" et accéder à ses données, à moins que celui-ci ne passe en mode "private", comme le précise Proton.
Il cite par ailleurs Tresorit, acteur suisse "très bons en ZK", positionné sur le coffre-fort numérique plutôt que sur une suite complète. Pour Solan Després, DIV Protocol a un argument unique en regroupant un chiffrement zero knowledge, une traçabilité et un panneau d'administration pensé pour les directions informatiques. "La plupart des solutions BtoC qui proposent du chiffrement de bout en bout ne proposent pas ça, parce que par définition ils n'ont pas accès à la donnée. Donc ils ne peuvent pas la dashboarder", résume-t-il.
Du libéral à la Défense : une cible B2B assumée
DIV Protocol a démarré avec les avocats et les notaires, une cible finalement peu stratégique pour une startup en croissance. "Beaucoup d'avocats aujourd'hui en France sont seuls", note Solan Després. L'entreprise vise désormais les assureurs de moins de 50 millions d'euros de chiffre d'affaires, non directement soumis à DORA mais concernés via leurs courtiers.
"Les assureurs avec lesquels je parle, notamment des grands groupes de plus de 500, 600 salariés, sont tous encore engagés chez Google", confie-t-il, avant d'espérer les convaincre d'ici un an et demi. Pour ces grands comptes, DIV Protocol préfère une entrée progressive par la direction juridique, les achats ou les ressources humaines. "S'intégrer aux boîtes petit à petit et pouvoir imposer sa vision et l'éducation qui va avec, c'est un peu ma stratégie", poursuit Solan Després.
Les industries de la défense, ça nous touche beaucoup", indique Solan Després. Les sous-traitants de Thales ou de Dassault Systèmes doivent répondre à des normes imposées par leurs donneurs d'ordre. DIV Protocol peut les servir sans la qualification SecNumCloud ; travailler directement avec Thales ou Dassault Systèmes serait, en revanche, plus compliqué sans elle.
Côté hébergeurs, OVHcloud dispose déjà d'offres qualifiées SecNumCloud, un périmètre élargi en juin 2026. Scaleway, elle, a lancé son propre processus de qualification en 2025 et n'a pas encore obtenu ce statut sur l'ensemble de son offre. DIV Protocol fait par ailleurs partie des programmes d'incubation des deux hébergeurs.
Le grand public reste exclu pour l'instant. Actuellement, l'architecture isole chaque client dans son propre tenant, un choix jugé peu rentable et peu écologique pour un utilisateur seul. "Notre cible est purement B2B, au moins jusqu'à 2028", précise Solan Després.
DORA (Digital Operational Resilience Act) : un règlement européen qui impose au secteur financier de renforcer sa résilience face aux cyberrisques et à la dépendance envers ses prestataires numériques.
SecNumCloud : une qualification de sécurité délivrée par l'ANSSI, qui atteste qu'un hébergeur respecte un niveau de sécurité élevé et échappe aux lois d'extraterritorialité comme le Cloud Act américain.
DIV Protocol se fait une place parmi les autres
"Olvid, on aime beaucoup", glisse Solan Després à propos de la messagerie chiffrée française, croisée à Vivatech. Il n'exclut d'ailleurs pas un potentiel rapprochement pour une messagerie d'entreprise. Au passage, DIV Protocol fait aussi partie du cluster de cybersécurité Hexatrust.
"Une grosse partie de notre équipe de R&D vient du logiciel libre", note-t-il. Cette culture infuse jusque dans le gestionnaire de mots de passe de la startup, dont le premier prototype s'appuie sur un dépôt open source de Bitwarden. "On est bien copains avec eux", ajoute-t-il. Un brevet européen protège la technologie centrale. DIV Protocol prévoit néanmoins d'ouvrir progressivement les briques que ce brevet ne couvre pas.
DIV Protocol discute aussi avec des éditeurs de logiciels métiers, qui stockent leurs données chez OneDrive par souci de coût, pour leur proposer une alternative chiffrée et souveraine à intégrer directement dans leurs outils.
Une suite bureautique complète attendue le 15 septembre
"On a levé grosso modo 500 000 euros", indique Solan Després, entre BSA Air et equity classique, de quoi financer la première incubation de DIV Protocol à Télécom Paris et ses premiers salaires. "On a quitté nos études en janvier", confie-t-il à propos des deux fondateurs. Une levée en pre-seed de plusieurs millions d'euros est en préparation.
Ce mardi 15 septembre, DIV Protocol réunit en privé un board d'advisors composé d'anciens dirigeants du CAC 40 issus de la défense, de la pharmacie et de la santé. Elle lance officiellement sa suite bureautique complète, déjà déployée chez ses clients actuels mais encore absente du site public.
