En résumé, nos recommandations actuelles

Installez l'application de messagerie instantanée Signal sur votre ordiphone et invitez vos correspondants à faire de même. Pour les courriers électroniques installez l'application Tutanota sur votre ordiphone ou ouvrez le compte directement sur leur site web, puis invitez vos correspondants à faire de même.

Nous recommandons aussi de chiffrer votre ordiphone (sur Android® : paramètres > sécurité > chiffrer le téléphone) et d'en protéger l'accès par un code PIN.

Généralités sur la confidentialité des communications

Caractéristiques requises pour les services et applications

Seul le chiffrement dit "de bout en bout" (c'est à dire que le chiffrement est effectué sur la machine de l'expéditeur, avant expédition du message, et le déchiffrement uniquement sur la machine du destinataire) assure que le contenu du message ne peut être lu que par l'expéditeur et le destinataire, même si un intermédiaire l'intercepte.

Les applications utilisées doivent impérativement être libres afin de permettre aux experts d'en étudier la sécurité et la sincérité (les applications non libres peuvent effectuer des opérations à votre insu).

Avertissement de sécurité concernant les communications chiffrées

Aucune application n'est a priori totalement exempte de failles. De plus votre appareil ou celui de votre correspondant peut être volé, et, s'il n'est suffisamment protégé (chiffré) les messages encore stockés dessus peuvent y être lus. Enfin votre correspondant peut commettre des maladresses, être manipulé ou faire l'objet d'un chantage.
Aussi n'échangez pas d'informations d'importance vitale avec une simple application de ce type.

L'usage des communications ainsi chiffrées est néanmoins très efficace pour :

  • vous prémunir contre certaines formes d'arnaques (messages falsifiés, usurpation d'identité, etc.) ;
  • éviter de recevoir des messages non sollicités publicitaires ou cherchant à vous influencer ;
  • mettre en échec la surveillance de masse, anti-démocratique, par les États et les multinationales (le site socialcooling.com/fr présente un ensemble de conséquences dramatiques, individuelles et sociales, que cette surveillance entraîne).

Les méta-données

Outre le contenu des conversations, leurs caractéristiques (identité et localisation des correspondants, heure et durée de la conversation) - que l'on appelle des méta-données (données sur les données) - peuvent être très révélatrices.

Le chiffrement du contenu n'est donc pas complètement suffisant pour assurer la protection de votre vie privée.

Peu d'e services protègent les méta-données qui pourraient l'être. À notre connaissance seul Signal le fait en partie.

L'authentification du correspondant

Vous recevez un message avec un nom d'expéditeur. Comment être certain qu'il s'agit bien de la personne en question et non d'un usurpateur ?

La plupart des applications sécurisées permettent une vérification optionnelle de codes qui doivent se correspondre entre votre application et celle de votre correspondant. Cette vérification doit se faire de vive voix. Vous pouvez alors indiquer dans l'application que l'identité du correspondant a été vérifiée.

Néanmoins si l'appareil de votre correspondant a été volé et qu'il n'était pas correctement protégé par un code d'accès, l'attaquant peut alors usurper son identité...

Les services et les applications

Remarque : toutes les applications que nous recommandons sont libres, vous pouvez donc en confiance leur accorder les permissions qu'elles demandent.

Les services de messageries instantanées (chat) sécurisées

Signal, Telegram et Wire sont des applications gratuites, libres et sécurisées, mais centralisées. Elles sont disponibles sur ordiphone, tablette et ordinateur. Notre comparatif vous permettra d'en saisir les différences.

Requis : un ordiphone avec une connexion Internet (3G/4G ou Wi-Fi).
Contrainte : vous devez convaincre vos correspondants d'installer la même application que vous.

Mise en place :
1. Avoir le numéro de téléphone de votre correspondant dans les contacts de votre ordiphone.
2. Installer l'une des applications depuis votre magasin d'applications (ex : F-Droid / Play Store / App Store) ou depuis son site officiel.
3. Faire installer la même application par vos correspondants.
Les applications ont une option de menu "inviter des amis" qui envoie un SMS avec un lien de téléchargement direct.

Voir nos tutoriels détaillés pour Signal, pour Telegram, pour Wire et comparatif des trois.

Remarque : deux applications de messagerie instantannée centralisées sont devenues libres depuis peu : Olvid et Threema. Elles ne sont pas présentées dans ce billet car nous ne les avons pas encore testées.

Autres services particuliers : Jitsi Meet (tutoriel) permet la visio-conférence sur le web, les applications de chat utilisant le standard XMPP ne permettent que les échanges de texte. Matrix est un protocole qui permet - comme XMPP - un fonctionnement décentralisé (fédération de serveurs). Briar et Cwtch sont des applications qui communiquent de pair-à-pair (sans serveur). Voir cet autre billet plus exhaustif.

Les services de messagerie électronique (email) sécurisées

Tutanota et ProtonMail sont deux fournisseurs de messageries gratuites (avec options payantes), libres et sécurisées. Elles sont disponibles sur ordiphone et via un webmail. Le tableau comparatif présent dans ce billet vous permettra d'en saisir les différences.

Requis : un ordiphone avec une connexion Internet (3G/4G ou Wi-Fi) ou une tablette ou un ordinateur, avec une connexion Internet.
Contrainte : vous devez convaincre vos correspondants de souscrire un compte de messagerie chez le même fournisseur que vous.
Inconvénient : il n'est actuellement pas possible d'intégrer ces courriels dans une application de messagerie pour ordinateur telle que Thunderbird. Téléchargement de l'application Tutanota pour ordinateur ici.
Remarque : vous pourrez toujours envoyer et recevoir des courriels de et vers des correspondants utilisant d'autres services. Mais dans ce cas les courriels ne seront pas sécurisés.

Mise en place :
1. Ouvrir un compte chez l'un de ces fournisseurs sur leur site web ou via leur application mobile.
2. Accéder au service par le webmail et/ou installer l'application sur votre ordiphone depuis votre magasin d'applications (ex : F-Droid / Play Store / App Store) ou depuis son site officiel.
3. Faire souscrire le même service par vos correspondants.

Les applications de chiffrement des courriels

Il est possible de chiffrer vos courriels de bout en bout sans avoir besoin d'ouvrir un nouveau compte de messagerie.

Mise en place automatisée du chiffrement OpenPGP avec PEP

PEP dérive de l'application libre K-9 Mail. L'application PEP est payante (gratuite si téléchargée depuis le magasin alternatif F-Droid) et libre.
ATTENTION, l'application PEP est en développement (bug connu : les pièces jointes en provenance de Gmail ne sont pas accessibles - À RETESTER).

Requis : un ordiphone ou une tablette, avec une connexion Internet (3G/4G ou Wi-Fi).
Contrainte : vous devez convaincre vos correspondants d'installer la même application que vous pour gérer leurs courriels.
Inconvénient : les courriels chiffrés ne seront pas lisibles depuis un webmail.

Mise en place :
1. Installer l'application PEP depuis votre magasin d'applications (ex : F-Droid / Play Store / App Store) ou depuis son site officiel.
2. Configurer vos comptes de courriels dans l'application.
3. [ Facultatif] Si vous utilisez l'application Thunderbird sur votre ordinateur, installez l'extension Enigmail qui est compatible avec PEP. Il faut ensuite importer la clé privée générée par Enigmail vers PEP, voir documentation (en anglais).
4. Faire installer et configurer la même application par vos correspondants.

Voir la documentation officielle de PEP (en anglais).

Mise en place manuelle du chiffrement OpenPGP avec Enigmail pour Thunderbird et OpenKeyChain pour K-9 Mail.

Enigmail et OpenKeyChain sont des extensions libres et gratuites pour les clients de messagerie Thunderbird (pour ordinateur) et K-9 Mail (pour ordiphone et tablette).

Requis : un ordiphone ou tablette avec système Android® ou compatible (tel Fairphone Open) ou un ordinateur, avec une connexion Internet.
Contrainte : vous devez convaincre vos correspondants d'installer les mêmes applications et d'effectuer (ou de faire effectuer) leur configuration.
Inconvénient : les courriels chiffrés ne seront pas lisibles depuis un webmail.

Mise en place pour ordiphone et tablette :
1. Avoir installé et configuré vos comptes de courriels dans l'application K-9 Mail
2. Installer l'application OpenKeyChain depuis votre magasin d'applications (ex : Play Store / F-Droid) ou depuis son site officiel.
3. Générer une clé ou importer la clé privée déjà existante depuis Enigmail.

Mise en place pour ordinateur :
1. Avoir installé et configuré vos comptes de courriels dans l'application Thunderbird
2. Installer l'extension Enigmail depuis Thunderbird (menu Outils > Modules complémentaires)
3. Générer une clé ou importer la clé privée déjà existante depuis OpenKeyChain.

4. Faire installer et configurer au moins l'une des deux solutions par vos correspondants.

L'application de chiffrement des SMS

Silence est une application libre et gratuite, disponible uniquement pour Android®, qui chiffre les SMS.
ATTENTION, l'application Silence est en développement (bug connu : certains SMS sont perdus, notamment avec l'opérateur Free - À RETESTER).

Requis : un ordiphone avec un système d'exploitation Android® ou compatible (tel Fairphone Open).
Contrainte : vous devez convaincre vos correspondants d'installer la même application.

Mise en place :
1. Installer l'application Silence depuis votre magasin d'applications (ex : Play Store / App Store) ou depuis son site officiel.
2. Faire de Silence l'application par défaut pour la gestion des SMS/MMS.
3. Faire installer la même application par vos correspondants.

Voir notre tutoriel détaillé.

Tableau récapitulatif

Les ronds colorés indiquent le niveau de difficulté de l'installation et/ou de la configuration.

Remarque : deux applications de messagerie instantannée sont devenues libres depuis peu : Olvid et Threema. Elles ne sont pas présentes dans le tableau car nous ne les avons pas encore testées.

Accès depuis un ordiphone(1) depuis un ordinateur sur le web (depuis n'importe où)
Les services
Messagerie instantanée Signal application requise (texte, audio, visio) application (texte) non
Messagerie instantanée Telegram application requise (texte, audio, visio) application (texte), mais pas de chiffrement de bout en bout  oui, identification par SMS (texte) mais pas de chiffrement de bout en bout
Messagerie instantanée XMPP application (texte) application (texte) non
Messagerie instantanée Wire application (texte, audio, visio) application (texte, audio, visio) oui (texte, audio, visio)
Visio-conférence Jitsi Meet application (audio, visio) sur le web oui (audio, visio)
Courriel Tutanota application application(2) oui (webmail)
Courriel ProtonMail application mais nécessite Google Mobile Services intégration dans Thunderbird possible avec compte payant oui (webmail)
Les applications
Chiffrement automatique des courriels application PEP(2) intégration dans Thunderbird + Enigmail non
Chiffrement semi-automatique des courriels application K-9 Mail + OpenKeyChain application Thunderbird + Enigmail non
Chiffrement des SMS application Silence(2) pour Android® sans objet sans objet

Notes du tableau :

(1) Ici la catégorie ordiphone inclue aussi les tablettes.

(2) Ces applications sont encore en développement, leur fiabilité n'est pas complète.