Les meilleurs services mail chiffrés, le comparatif en avril 2024

Le mois d'avril est arrivé et l'Email Day est prévu pour la fin du mois. C'est l'occasion parfaite pour faire le point sur les webmails sécurisés. On trouve, en effet, sur le marché de nombreuses messageries gratuites mais rares sont celles qui mettent la confidentialité à l'honneur. Voici 9 solutions qui ont fait leurs preuves sur la question de la sécurité des données.

Nos courriels sont infestés de traqueurs : 1 message sur 2 en contiendrait ! Pour éviter que nos informations confidentielles ne soient visibles, le mieux est d'opter pour une mailbox chiffrée. Ce type de service permet, en effet, d'envoyer des messages et de gérer ses contacts et rendez-vous en toute sérénité.

On se souvient tous des alertes lancées par Edward Snowden. À cette époque, et face à une demande croissante, de nombreux fournisseurs on mis au point des webmails sécurisés. Parmi les technologies utilisées, le chiffrement zéro, le cryptage E2EE ou la création d'alias s'avèrent très utiles pour éviter le vol d'informations personnelles.

Quelle boîte mail sécurisée choisir ? Voici notre sélection des meilleures apps actuelles.

1. Proton Mail : la référence du marché

Réputé pour sa confidentialité, Proton Mail est sans aucun doute la référence du marché : après dix années d'existence, cette plateforme a passé le cap des 100 millions d'inscrits. Lancée en 2016, elle a été développée par des ingénieurs du CERN et est dotée d'une apparence moderne et personnalisable, digne des meilleures messageries. Autrefois, ce webmail demandait deux mots de passe, ce qui était assez ennuyeux. Des efforts ont été faits pour faciliter son usage sans empiéter sur la sécurité.

En ajoutant des tutoriels, en ne demandant plus qu’un seul mot de passe pour l'authentification et en permettant d’envoyer des courriels sécurisés uniquement avec l’aide d’un mot de passe, cette plateforme est parfaite pour les débutants. Soulignons que ProtonMail dispose aussi d'un agenda et d'un espace cloud.

Pour les plus versés en la matière, des fonctions plus avancées existent, comme une connexion à deux mots de passe ou la gestion des codes PGP, à activer soi-même en connaissance de cause dans les paramètres. Le système bloque aussi depuis peu toutes les URLs de suivi.

Le passage d’un ancien webmail à Proton Mail se fait très simplement, grâce à un utilitaire d’importation des courriers et de répertoire. Et si vous préférez utiliser un client externe pour réunir toutes vos adresses en un seul endroit, ProtonMail Bridge est là, si tant est que vous possédiez un compte payant.

En plus de ça, la société est basée en Suisse, ce qui la met hors de portée des lois de l’Union européenne et des États-Unis - une dimension importante pour certains. Le programme ne peut pas non plus lire vos messages, car il y a un cryptage côté client réalisé avec une clé inaccessible à l’entreprise.

Cependant, tout n’est pas parfait : seuls le contenu du message et les pièces jointes sont protégés et, pour profiter pleinement de l’expérience Proton Mail, il sera nécessaire de payer. Plusieurs formules existent en plus d'un plan gratuit : Mail Plus au prix de 3,99 euros par mois et Proton Unlimited au prix de 9,99 euros par mois (en facturation annuelle). Des plans dédiés aux entreprises existent également ainsi qu'un tout nouvel abonnement Family, pour six membres maximum démarrant à 29,99 euros le mois (le prix diminue si la durée d'abonnement augmente).

Parmi les récentes mises à jour de la messagerie électronique, une app pour Mac et Windows a notamment été mise à la disposition de tous (la version Linux est, quant à elle, en version bêta). Il est également possible désormais de créer des alias (10 en mode sans frais et un nombre illimité avec un abonnement payant).

2. Mailbox.org : l’alternative à Google

L’un des avantages de posséder un compte Gmail est que l'on peut accéder à l'ensemble de sa suite d'apps. Mailbox.org souhaite rendre la transition vers un logiciel sécurisé indolore, en proposant une appli de traitement de texte, un tableur, un agenda, de l'espace cloud, une plateforme de visioconférence et un chat en plus de sa solution d’emailing. Ayant récemment fêté ses dix ans, la société a partagé un rapport de transparence concernant les requêtes envoyées par les autorités publiques. Elle a également mis à disposition une nouvelle base de connaissances ainsi qu'un helpdesk.

Récemment, cette solution s'est dotée d'un utilitaire de prise de rendez-vous, d'un outil d'administration pour les revendeurs et de nouvelles fonctionnalités, comme l'édition de fichiers à plusieurs ou l'intégration de la norme S/MIME. La plateforme met aussi à disposition un programme pour importer facilement ses adresses, ses courriels et son calendrier. Il est également possible de le faire à la main, grâce à l’intégration avec une mailbox externe (la société a, cependant, récemment déploré une faille dans la transmission de mots de passe avec MyMail pour iPhone).

La principale différence avec les services de Microsoft ou Google est que l'on peut s'inscrire de façon anonyme, toute demande d'infos étant facultative. Un nom sera tout de même requis mais, celui-ci étant uniquement utile pour l'agenda, vous pouvez tout à fait mettre un pseudonyme à la place. Vos données ne seront pas non plus vendues à des tiers à des fins publicitaires. L'éditeur a fait le choix de plans payants pour le financement.

Pour l’envoi de courriels, plusieurs moyens sont disponibles : si votre contact n’a pas un domaine personnalisé, Mailbox.org pourra vous indiquer quels protocoles seront utilisés pour les communications. Il est également possible de récupérer la clé Pretty Good Privacy publique de votre contact s’il l’a liée à son adresse mail dans un répertoire public pour une protection totale. En activant Mailbox Guard, tous vos courriels bénéficieront du cryptage E2EE, même vers des destinataires qui n’utilisent pas PGP. Ces derniers recevront un mail avec un lien qui les redirigera vers une boite de réception pour invités. Ces derniers devront alors définir un mot de passe. Une sorte d’inscription « forcée » qui ne plaira pas à tous vos interlocuteurs.

Cette mailbox est localisée en Allemagne, ce qui peut se révéler problématique selon vos besoins. Mais entre l’inscription anonyme et la possibilité de définir un second mot de passe pour chiffrer les courriers, la plateforme a quand même bien des atouts. Cependant, contrairement à Google, il sera nécessaire de payer pour profiter de tout ça. Les tarifs vont de 1 à 9 euros par utilisateur et par mois.

3. MailFence : le plus pédagogique

Faisant partie des outils lancés suite aux révélations d’Edward Snowden, la solution Mailfence a décidé d’être localisée en Belgique afin d’échapper aux demandes américaines. Il est possible d’y créer un compte gratuit, assez limité, ou de choisir un compte payant, qui servira en partie à soutenir financièrement l’Electronic Frontier Foundation et l’European Digital Rights Foundation.

L’inscription sur la plateforme nécessitera de posséder une autre adresse mail à communiquer pour valider la création de son compte. En plus d'une formule sans frais, plusieurs abonnements existent : les tarifs s'étalent de 2,50 à 29 euros par mois. Plusieurs nouveautés ont été annoncées : un dark display mode et un historique de connexion pour sa version ordinateur, une recherche par évènements au sein des calendriers ainsi que la prévisualisation des fichiers joints sur le web. Une application mobile a également été lancée en version iOS et Android. De plus, l'assistant d'ajout de domaine personnalisé a été remanié et la mise en place d'alias a été rendue possible.

Malheureusement, cette plateforme demande un certain nombre d’infos personnelles, indiquées comme nécessaires pour le fonctionnement du service. L’anonymat n’est donc pas franchement au rendez-vous si c’est ce que vous cherchez principalement.

L’apparence de la plateforme est sobre, pas franchement élégante mais fonctionnelle, avec un accès aisé à tous les outils dont on pourrait avoir besoin. Il est possible d’importer ses messages provenant d’une autre adresse mail à l’aide d’un logiciel de messagerie. Pour l’envoi de mails cryptés, deux moyens sont possibles. Le premier, avec l’aide d’un mot de passe et un délai d’expiration. Cela se traduira par l'envoi d'un mail à votre destinataire contenant un lien vers la solution. Ce dernier sera en mesure de lire et de répondre de façon sécurisée au message après avoir entré le mot de passe. L’autre option, ce sont les fameuses clés Pretty Good Privacy, dont l’usage est facilité par la présence d'un trousseau. Il est possible de les générer et de les gérer sans avoir besoin d’avoir recours à une extension.

Comme dit précédemment, cette société est basée en Belgique et communique de façon transparente sur les demandes reçues de la part des autorités et sur celles qui ont été honorées. Elle s’efforce aussi d’éviter toute autorité de certification américaine. Et si vous souhaitez encore plus d’explications, sachez que plusieurs articles de blog sont disponibles. Ils présentent la plateforme et détaillent les menaces dont cette dernière peut vous protéger ainsi que celles devant lesquelles elle se trouve impuissante. Chapeau pour l'honnêteté !

4. Tuta : le webmail pour repartir de zéro

Ayant séduit plus de 10 millions d'utilisateurs, Tuta (anciennement Tutanota) vient de fêter ses 10 ans. Cette société a pour ambition de proposer le webmail le plus sécurisé au monde. Il faut dire que ce fournisseur fait partie de ceux qui chiffrent de bout en bout le plus d’infos possible : le contenu, les pièces jointes mais aussi les objets des courriers envoyés depuis leur plateforme sont chiffrés. C'est également le cas du répertoire, de l'agenda et de ses notifications de rappel.

Cependant, ces choix comportent des désavantages : il est impossible d’utiliser son adresse mail sur un client de messagerie et il n’y a, pour le moment, aucun moyen d’importer ses anciens courriels à partir d’autres services. Le cryptage des objets limite en outre les capacités du moteur de recherche. C'est d'ailleurs pour cette raison que Proton Mail a décidé de les laisser en clair.

Il existe une version gracieuse, laquelle vous limite à une adresse mail par personne, qui utilise forcément un domaine Tutanota. La recherche est limitée à un mois en arrière. Elle sera suffisante pour tester le logiciel avant de décider de l’adopter définitivement, en payant l’un de ses abonnements, récemment revus à la hausse (de 0 à 8 euros par mois payable annuellement pour les particuliers, de 6 à 12 euros par mois payable annuellement pour les entreprises).

La boite de réception n’est malheureusement pas des plus ergonomiques. Il est possible de chiffrer les courriels à l’aide d’un mot de passe. Votre destinataire pourra vous lire et vous répondre en suivant un lien qui lui a été envoyé par mail et qui l’amènera sur une plateforme similaire à celles des abonnés du service. Ce webmail n’utilise pas le protocole Pretty Good Privacy ni le certificat S/MIME, considérant que ces normes ne sont pas abouties : elle ne résistent, par exemple, pas à des attaques provenant d’ordinateurs quantiques.

Si ne pas avoir accès à vos anciens messages n’est pas un frein et que vous ne tenez pas tant que ça à utiliser la technologie PGP, ce programme est une très bonne option, et bon marché qui plus est. De plus, il a bénéficié de nombreuses mises à jour ces dernier mois :

• Des améliorations de navigation, de recherche et une nouvelle vue hebdomadaire au sein de l'application Calendar.
• L'arrivée du domaine tuta.com.
• L'amélioration de la sécurité des applications en version web, mobile et desktop.
• Des listes de contacts mieux protégées.
• Les comptes utilisent désormais tous par défaut les protocoles de sécurité AES 265 et Argon2.
• De nouvelles fonctionnalités ont été ajoutées à Tuta Contacts (import vCard, nouvel onboarding et bien d'autres).
• Un nouveau protocole, Tuta Crypt, permet d'échanger des messages en se basant sur un cryptage quantum-safe.

5. Posteo : une première initiation

Posteo est un logiciel payant et sans version d’essai, ce qui lui permet de ne pas dépendre de la publicité et d’être une entreprise sans dettes, la plateforme reste tout de même abordable, avec un abonnement basique à 12€/an. Cependant, des sacrifices ont dû être faits : il n’est, par exemple, pas possible d’utiliser un domain name personnalisé, un choix justifié par le fait que la société souhaite posséder le moins de données possible sur ses utilisateurs et leur identité.

La société a reçu le Prix de la mobilité pour le climat de la Deutsche Bahn. Ayant récemment mis à jour son certificat de sécurité, elle a aussi annoncé de nouvelles fonctionnalités sur sa plateforme d'emailing : un nouveau certificat de sécurité, des notifications de suppression, des améliorations de sa plateforme (mode sombre, choix de couleurs, etc.), de nouvelles options de gestion de spam et l'arrivée, entre autres, d'un domaine posteo.com.

La plateforme est facile à utiliser et tout est facilement accessible. Le logiciel possède un outil de migration pour récupérer facilement vos courriels et les personnes à contacter à partir d’une plateforme. Il y a même un outil de réexpédition pour vous laisser le temps de modifier votre adresse sur différentes solutions. On peut aussi ajouter son compte Posteo à un client externe.

La protection n’est pas totalement sacrifiée mais elle demandera plus de travail, nécessitant d’aller faire un tour dans les paramètres pour activer une protection pour vos courriels stockés ainsi que pour vos contacts et votre agenda.

Posteo ne propose pas de cryptage total : il faut utiliser Mailvelope, une extension de navigateur, pour gérer ses codes PGP, ce qui est assez contraignant pour vous et les personnes avec qui vous communiquez. Cependant, l’entreprise crypte tout ce qu’elle stocke, s’efforce d’être constamment à jour sur les technologies de cryptage et a obtenu un A+ sur les tests de Qualys.

À vous de déterminer si cette mailbox sera suffisante pour vos besoins ou si vous êtes prêt à gérer vous-même des fonctions plus avancées.

6. StartMail : la force de l'expérience

Vous avez peut-être entendu parler de Startpage, le moteur de recherche qui se veut une alternative plus sûre à Google. L’équipe derrière ce projet a lancé StartMail, qui vient de fêter ses 10 ans. Cette solution, qui coûte entre 5 et 5,85 dollars par mois en facturation annuelle, a été créée pour protéger vos données lors de vos échanges.

L'an passé, le stockage des messages est passé de 10 à 20 Go pour tous les forfaits. Parmi les autres nouveautés, le programme s'est doté d'un nouveau badge officiel, d'une fonctionnalité pour bloquer les contacts indésirables et d'une option auto-reply.

StartMail ne possède pas de version sans frais mais propose 7 jours d’essai pour faire le test de la plateforme. Aucun outil dédié ne permettra de facilement importer vos messages mais un logiciel de messagerie pourra être utilisé à cet effet. L’utilisation d’un domain name personnalisé pour votre adresse est possible (des notes sont disponibles pour indiquer l'usage de chaque alias). Pour les cas où vous souhaitez être anonyme, des alias illimités sont à votre disposition, avec un délai d’expiration modulable.

Pour l’envoi de courriels cryptes, la plateforme permet l’utilisation de codes PGP. Elles sont générées automatiquement et sont liées au même mot de passe que celui de votre boite de réception (il est aussi possible d'en créer un deuxième bien distinct). Pour vos contacts qui ne possèdent pas de clés publiques, il est possible de passer par un mot de passe. Cela donne accès à une plateforme en ligne simplissime pour vous lire et vous répondre. Notons que tous les messages expirent automatiquement au bout de 28 jours.

Le cryptage se passe côté serveur, ce qui signifie que StartMail a théoriquement accès à votre clé personnelle. Vos emails et infos sont stockés dans des « coffres-fort » individuels, qui sont fermés et inaccessibles à quiconque a accès au serveur tant que vous n’êtes pas connecté. Les courriels reçus lorsque vous êtes déconnectés sont placés dans une queue et cryptés en attendant de pouvoir être placés dans votre mailbox après connexion. La plateforme supprime aussi le plus d’infos possible dans les headers des courriels envoyés et reçus. Elle promet de plus de ne pas traquer ses clients, de ne pas vendre leurs données et de ne pas lire leurs correspondances.

Malheureusement, des options basiques comme un agenda sont encore absentes. StartMail est donc un bon choix pour ceux qui souhaitent uniquement envoyer des courriels et rien de plus.

7. Disroot : la plateforme à tout faire

Ayant récemment publié son rapport annuel, la fondation à but non lucratif Disroot a réuni plusieurs autres projets open source pour proposer une énorme solution disponible gratuitement et répondant à tous les besoins. Parmi eux, on trouve notamment une messagerie. L’inscription n’est cependant pas des plus aisées car la plateforme est indisponible le weekend. De plus, chaque compte doit être validé à la main par un membre de l’équipe, ce qui peut prendre jusqu’à deux jours.

Disroot s’efforce de demander le moins d’infos possible. Mais
si vous faites un don à l’organisation, vos données de paiement seront conservées, en accord avec le droit néerlandais. Pour le moment, les domaines personnalisés sont désactivés, suite à un trop grand nombre de demandes. Il est possible d’utiliser un client de messagerie et d’importer directement votre liste de contacts.

Pour envoyer des mails sécurisés, il sera nécessaire d’utiliser la technologie PGP. Vous pouvez générer celles pour votre compte et enregistrer les codes publics que l’on vous envoie directement sur la plateforme. Cependant, si vous décidez de ne pas utiliser de solutions de cryptage pour votre correspondance, vos courriers seront stockés sans être cryptés sur leurs serveurs. L’organisation travaille actuellement sur une solution de cryptage. En plus de cela, il est possible de définir des questions et réponses secrètes pour votre compte, ce qui est reconnu depuis des années comme une mauvaise pratique.

L'avantage de Disroot est sa gratuité. De nombreux efforts sont encore nécessaire pour sécuriser l'outil. À voir si vous préférez la facilité ou les économies.

8. Runbox : le plus classique

Pour pouvoir utiliser Runbox, il sera nécessaire de payer (entre 19,95 $ et 179,95$ par an payables annuellement). Une période d’essai de 30 jours existe. Elle possède cependant des limitations comme l’envoi limité à 20 messages par jour. Une nouvelle mouture, Runbox 7 a été lancée. Celle-ci possède une apparence beaucoup plus moderne et son ergonomie a récemment été améliorée. Les fonctions de recherche avancée ont également été optimisées. Un agenda est disponible, ainsi que toutes les options pour importer ses courriels et ses contacts automatiquement, sans oublier l’utilisation d’un client de messagerie. Parmi les autres nouveautés, on note aussi l'ajout d'un menu d'actions pour la liste de messages, un éditeur HTML amélioré et la possibilité d'inclure des périodes de temps dans les filtres de recherche.

Cependant, Runbox brille beaucoup moins sur tout ce qui concerne la protection de ses clients. Pour le moment, la plateforme n’intègre rien pour faciliter l’utilisation de la technologie PGP. Il sera nécessaire de télécharger une extension comme Mailvelope et de tout gérer dessus. Runbox ne parle même pas de cette possibilité ouvertement, se présentant comme un solution d'emailing tout à fait ordinaire au premier abord. Pour le savoir, il est nécessaire de chercher soi-même des infos à ce sujet. Les emails ne sont pas stockés cryptés sur ses serveurs, ce qui signifie une boite de réception non sécurisée si on n’utilise pas de clés.

Entre des serveurs en Norvège qui stockent des courriels en clair et des infos à l'inscription qui permettent d’identifier très facilement chaque utilisateur du service, vous ne serez pas à l’abri en cas de demandes de la part des autorités. Malgré tout, la société s’efforce de ne pas revendre les données de leurs clients et ne les traque pas à l’aide de cookies.

En somme, Runbox propose des fonctions pratiques, mais chaque besoin devra être géré par l’utilisateur, ce qui ne sera pas toujours simple. Elle reste une bonne alternative à toutes les plateformes gérées par les GAFAM, ne serait-ce que pour l’absence de revente de données et de cookies pour traquer la navigation.

BONUS. Tresorit Email Encryption : l'outil pour les professionnels

Tresorit Email Encryption n'est pas une messagerie mail : il s'agit d'une extension à ajouter à Outlook et à utiliser aux côtés de son adresse mail déjà existante. C'est avantageux car cela ne nécessite pas de créer une nouvelle adresse mail ou de changer en profondeur ses habitudes au quotidien, mais cette façon de faire possède également quelques désavantages, comme l'absence d'un calendrier ou d'une liste de contacts chiffrés comme peuvent le proposer la majorité des services de mail sécurisés. Et ce n'est pas la seule limite à l'utilisation de ce service, le prix constituant un frein majeur : il est nécessaire d'être abonné au cloud de Tresorit, puis de payer un supplément de 5 € ou 6,25 € par mois selon que l'on paie tous les ans ou tous les mois. Une fonctionnalité clairement réservée aux professionnels et aux entreprises qui auront le budget nécessaire à consacrer à l'option.

Mais, il y a aussi des avantages, comme une intégration complète à Outlook et un chiffrement des mails et des pièces jointes extrêmement facile à appréhender, tout se faisant en cliquant quasiment sur un seul bouton et sans avoir à gérer des clés de chiffrement. Il suffit de composer son mail de façon classique et de sélectionner l'option pour activer le chiffrement automatique de son message et de ses pièces jointes. Autre particularité du service, il est possible de révoquer les emails chiffrés en cas d'erreur ou de compromission de l'adresse mail du destinataire afin qu'il ne lui soit plus possible d'y accéder, et ce, à n'importe quel moment après l'envoi du message.

Tresorit a également essayé de rendre l'expérience simple et agréable pour les destinataires, avec un accès au message via une interface en ligne claire pour ceux qui ne possèdent pas de compte Tresorit et la possibilité de répondre simplement, toujours de manière sécurisée. Si l'expéditeur et le destinataire possèdent tous deux l'extension, l'opération est encore plus simple, les mails étant chiffrés et déchiffrés automatiquement au sein d'Outlook, permettant une utilisation quasi classique du logiciel.

Pour le moment, l'extension n'est disponible que pour Outlook sur Windows, des versions pour Outlook sur Mac et Outlook web étant prévues dans le futur.