Aller au contenu
Vérifié indépendamment · Ré-audit trimestriel
EU VETTED
Catégorie 03 sur 22

E-mail privée

En bref

Les services de messagerie privée sont des fournisseurs d'e-mail hébergés qui privilégient la minimisation des données, un chiffrement fort et un hébergement hors de portée du CLOUD Act américain. Le critère clé pour les acheteurs européens est le pays de constitution de l'opérateur et l'application du chiffrement de bout en bout au repos. Les meilleures options sur EU Vetted : Mailbox.org (Allemagne, 5/5), Tuta (Allemagne, 5/5), Posteo (Allemagne, 5/5) et Proton Mail (Suisse, 5/5).

Les services de messagerie privée sont des fournisseurs d'e-mail hébergés qui se distinguent des fournisseurs grand public (Gmail, Outlook, Yahoo) par un chiffrement plus fort, une collecte de données minimale et un hébergement hors de portée des outils d'accès des forces de l'ordre américaines. La catégorie couvre les fournisseurs pour lesquels la confidentialité et la souveraineté des données sont des décisions de conception explicites : des services chiffrés de bout en bout (Tuta, Proton Mail) aux fournisseurs compatibles IMAP avec une forte posture RGPD (Mailbox.org, Posteo, Mailfence).

Pour les acheteurs européens, la question de l'exposition au CLOUD Act est particulièrement importante pour la messagerie, car le contenu des e-mails est très sensible : communications professionnelles, contrats, conversations personnelles et identifiants. Si le fournisseur est une société constituée aux États-Unis, les autorités américaines peuvent en pratique accéder au contenu des e-mails et aux métadonnées via des demandes CLOUD Act, quel que soit le lieu physique des serveurs. Gmail, Outlook et Yahoo sont des services américains auxquels cela s'applique. Les fournisseurs appartenant à l'UE comme Mailbox.org (Allemagne, 5/5), Tuta (Allemagne, 5/5), Posteo (Allemagne, 5/5) et Mailfence (Belgique, 4/5) ne sont pas soumis à cette exposition directe et relèvent du RGPD. Les fournisseurs suisses Proton Mail et Infomaniak Mail (tous deux 5/5) opèrent sous le droit suisse de la protection des données, reconnu adéquat par l'UE.

La deuxième dimension clé est l'architecture de chiffrement. Un fournisseur qui chiffre les e-mails uniquement en transit mais les stocke dans une forme accessible signifie qu'une injonction judiciaire, une menace interne ou une violation de données peut exposer le contenu des messages. Le chiffrement de bout en bout, tel qu'utilisé par Tuta et Proton Mail, chiffre les messages sur votre appareil avant qu'ils ne le quittent ; le fournisseur ne stocke que du texte chiffré. La limitation pratique est que l'E2EE s'applique pleinement uniquement lorsque les deux correspondants utilisent des fournisseurs E2EE compatibles ou échangent des clés PGP — les e-mails vers des adresses Gmail ne sont pas chiffrés de bout en bout.

FAQ

Questions fréquentes

Quel est le meilleur service de messagerie privée hébergé dans l'UE ?
Selon le score de conformité éditorial d'EU Vetted, Mailbox.org (Allemagne), Tuta (Allemagne) et Posteo (Allemagne) sont les options les mieux notées appartenant à l'UE et hébergées dans l'UE, toutes à 5/5. Proton Mail (Suisse, 5/5) est le service de messagerie axé sur la vie privée le plus utilisé au monde. Le bon choix dépend de vos priorités : Tuta et Proton Mail utilisent le chiffrement de bout en bout par défaut ; Mailbox.org et Posteo prennent en charge IMAP/SMTP avec des clients standard ; Mailbox.org et Infomaniak Mail sont les options les plus complètes pour les entreprises.
Existe-t-il un service de messagerie conforme au RGPD ?
Oui. Les fournisseurs basés dans l'UE avec une infrastructure exclusivement européenne et des DPA publiés se qualifient comme conformes au RGPD dans leur rôle de traitement. Mailbox.org, Tuta, Posteo (tous Allemagne) et Mailfence (Belgique) publient des DPA détaillés. La conformité au RGPD couvre le traitement des données par le fournisseur, pas le contenu des e-mails échangés avec des contacts hors RGPD.
Les données de messagerie relèvent-elles du CLOUD Act américain ?
Si le service de messagerie est exploité ou contrôlé en dernier ressort par une société constituée aux États-Unis, le CLOUD Act peut en principe la contraindre à produire les données qu'elle contrôle, quel que soit le lieu physique des serveurs. Gmail, Outlook et Yahoo Mail sont des services américains auxquels cela s'applique. Les fournisseurs appartenant à l'UE tels que Mailbox.org (Allemagne), Tuta (Allemagne), Posteo (Allemagne) et Mailfence (Belgique) ne sont pas soumis à cette exposition directe. Il s'agit d'une évaluation de la structure d'entreprise, non d'une affirmation concernant une demande juridique spécifique.
Quelle est la différence entre la messagerie chiffrée de bout en bout et le chiffrement standard ?
La messagerie hébergée standard est chiffrée en transit (TLS) mais stockée dans une forme accessible au fournisseur — une injonction judiciaire, une violation de données ou un accès interne peut exposer le contenu des messages. Le chiffrement de bout en bout (E2EE), utilisé par Tuta et Proton Mail, chiffre les messages sur votre appareil avant envoi ; seul le destinataire prévu peut les déchiffrer. La limite est que l'E2EE s'applique pleinement uniquement lorsque les deux correspondants utilisent des services E2EE compatibles ou échangent des clés PGP.
Puis-je utiliser mon propre domaine avec un service de messagerie privée européen ?
Oui. Mailbox.org, Tuta, Proton Mail, Mailfence et Infomaniak Mail prennent tous en charge l'hébergement de domaines personnalisés. Posteo fait exception — il ne prend pas en charge les domaines personnalisés par choix de conception, se positionnant comme un service de messagerie personnelle anonyme. Pour un usage professionnel où le domaine de messagerie de votre entreprise doit rester constant, Mailbox.org et Infomaniak Mail sont les options les plus complètes.
Les entreprises peuvent-elles migrer de Google Workspace ou Microsoft 365 vers un service de messagerie européen ?
Oui, bien que la complexité de la migration dépende de l'intégration des outils de calendrier et de collaboration Google ou Microsoft. Mailbox.org et Infomaniak Mail (kSuite) prennent tous deux en charge la migration IMAP et ActiveSync pour mobile. Tuta ne prend pas en charge IMAP, ce qui signifie que les clients doivent utiliser l'application Tuta ou l'interface web. Pour les organisations de plus de 10 utilisateurs, une période de fonctionnement en parallèle de 4 à 6 semaines est typique avant la bascule complète.
Proton Mail est-il équivalent à un fournisseur de messagerie européen ?
Proton Mail est constitué en Suisse, pas dans l'UE. La Suisse dispose de sa propre loi sur la protection des données (la nLPD révisée) et n'est pas directement soumise au droit européen, bien qu'elle soit reconnue adéquate par l'UE pour les transferts de données. Sur EU Vetted, Proton Mail reçoit le signal de propriété 'autre' (pas appartenant à l'UE) mais atteint 5/5 en score de conformité grâce à sa base juridique suisse, son infrastructure sans logs et son architecture de chiffrement à accès zéro.