Si vous voulez protéger vos e-mails des regards indiscrets, mais que vous n’avez pas besoin du genre de protection qui maintient en vie les espions et les dénonciateurs, ProtonMail pourrait être le service de messagerie sécurisé pour vous. Il utilise les normes de chiffrement PGP, est basé en Suisse et jouit d’une solide réputation dans la communauté de la vie privée.
Bien que ProtonMail demeure un leader dans le domaine de la messagerie sécurisée, il a également suscité une certaine controverse ces derniers temps, que nous examinerons en détail ci-dessous. De plus, nous afficherons les résultats de nos tests pratiques et ferons un grand plongeon pour cet examen de ProtonMail.
Parce que ProtonMail positionne son service comme l’une des options de courrier électronique les plus sécurisées qui soient, au-delà des autres fournisseurs de courrier électronique sécurisé, nous allons vraiment le mettre sous la loupe. En fin de compte, vous seul pouvez décider quel service de messagerie est le mieux adapté à vos besoins uniques et à votre modèle de menace. Maintenant, commençons.
Avantages :
Les e-mails sont chiffrés au repos et stockés sur des serveurs suisses.
Supprime l’adresse IP des courriels
Possibilité d’importer des contacts et des courriels par le biais de la fonction passerelle
Juridiction officiellement sous la juridiction de la Suisse
Applications pour appareils mobiles
Peut être utilisé avec les clients de messagerie via la fonction ProtonMail Bridge
Inconvénients :
ProtonMail ne chiffre pas l’objet des e-mails
Liens avec des instituts de recherche américains ; financés par des investisseurs américains
Utilise la vérification du numéro de téléphone
Les applications mobiles, la passerelle IMAP et le backend sont des sources fermées.
Vue d’ensemble des fonctionnalités de ProtonMail
ProtonMail utilise des normes strictes de chiffrement de bout en bout pour le courrier électronique et stocke tous les messages et pièces jointes chiffrés au repos (mais pas l’objets des messages). En plus du chiffrement de bout en bout, ProtonMail possède plusieurs caractéristiques intéressantes, notamment :
La possibilité d’envoyer des messages qui « s’auto-détruisent », des messages qui sont automatiquement supprimés au moment spécifié par l’expéditeur.
Vérification d’adresse, un moyen de s’assurer qu’une clé publique reçue d’un autre utilisateur n’a pas été altérée depuis que vous l’avez vérifiée pour la première fois.
Prise en charge complète de PGP.
Des comptes Premium avec une gamme d’avantages supplémentaires, y compris un compte Business personnalisable.
La possibilité d’envoyer des courriels chiffrés à des utilisateurs non utilisateurs de ProtonMail.
Applications mobiles Android et iOS.
ProtonMail Bridge, qui permet à ProtonMail de s’intégrer avec d’autres services de messagerie qui supportent les protocoles IMAP et SMTP. Cela vous permet également d’importer des e-mails dans votre compte ProtonMail à partir d’autres services.
Dans l’ensemble, il s’agit d’une bonne gamme de fonctionnalités.
Note : Au moment de cette évaluation, la version bêta de ProtonMail 4.0 devait être mise en service. La feuille de route de ProtonMail 2019 indique que leurs objectifs pour la version 4.0 incluent :
Recherche chiffrée
Vue Conversation
Support multi-utilisateurs sur les appareils mobiles
Calendrier chiffré
Un look plus moderne
Historique, investisseurs et sources de financement de ProtonMail
La famille de produits ProtonMail est gérée par Proton Technologies AG, une société basée à Genève, en Suisse. Les fondateurs se sont rencontrés alors qu’ils étaient scientifiques au CERN et ont eu l’idée de ProtonMail à la cafétéria du CERN, comme le raconte l’histoire. L’entreprise a été financée à l’origine par une campagne de crowdfunding Indiegogo qui a rapporté plus d’un demi-million de dollars, dépassant largement leurs propres objectifs. Comme ils l’ont affirmé pendant la campagne :
Nous croyons fermement que ProtonMail ne peut réussir dans sa mission que si elle reste indépendante. En recueillant des fonds auprès de la population, nous pouvons nous assurer que notre première et unique priorité est de protéger la vie privée de nos utilisateurs.
Paradoxalement, moins d’un an plus tard, ProtonMail a accepté un « investissement » de 2 millions de dollars d’une société américaine appelée Charles River Ventures (CRV). Aujourd’hui, l’entreprise est financée par des sociétés de capital-risque, des organismes gouvernementaux, divers investisseurs et des utilisateurs qui passent du plan de services gratuits à l’un des trois plans payants.
Un autre investissement intéressant est venu de l’Union européenne. En mars 2019, ProtonMail a accepté 2 millions d’euros de l’UE pour « développer une suite de services chiffrés ». En 2016, en réponse à des accusations liées à leur implication avec Radware, ProtonMail a expliqué que l’entreprise recevait également un soutien financier du gouvernement suisse :
ProtonMail bénéficie d’un soutien financier de la part de la Confédération suisse, et nous adhérons également à une politique de stricte neutralité.
ProtonMail ne chiffre pas les lignes d’objet des e-mails
Une de mes préoccupations est que ProtonMail ne chiffre pas les l’objet des messages :
Toutes les données de ProtonMail au repos et en transit sont chiffrées. Toutefois, les lignes d’objet de ProtonMail ne sont pas chiffrées de bout en bout, ce qui signifie que si une ordonnance judiciaire suisse valide nous est signifiée, nous avons la possibilité de transmettre les sujets de vos messages. Le contenu de votre message et les pièces jointes sont chiffrés de bout en bout.
Les métadonnées relatives à l’adressage doivent rester non chiffrées pour permettre à un message d’atteindre sa destination.
L’approche ProtonMail les rend conformes à la spécification PGP, mais laisse ces données privées importantes exposées à des tiers. Nous reviendrons sur cet important sujet ci-dessous.
Serveurs ProtonMail et sécurité des données
Tous les serveurs ProtonMail sont physiquement situés en Suisse dans des locaux sécurisés. Cela signifie que les données des utilisateurs sont protégées par la loi suisse, qui prévoit généralement une meilleure protection de la vie privée que la loi américaine ou européenne. Cependant, ProtonMail indique clairement qu’il transmettra aux autorités suisses toutes les informations qu’il détient sur vous si ProtonMail pense que vous violez les lois suisses. C’est là que l’absence de chiffrement de la’objet des messages peut devenir un problème.
Bien que le corps de vos messages et de toutes les pièces jointes doive rester chiffré en toute sécurité, les informations d’adressage et l’objet de vos messages sont stockées en clair et seront communiquées aux autorités. Cette information est suffisante pour donner à toute personne qui la possède une bonne idée de la personne avec qui vous communiquez et des sujets dont vous discutez avec elle.
Certains se demandent également dans quelle mesure les États-Unis et l’Union européenne n’ont pas d’influence sur Proton Technologies. Ils disposent de deux centres de soutien internationaux, l’un à San Francisco, Californie (USA), et l’autre à Skopje, Macédoine (la Macédoine est candidate à l’adhésion à l’UE).
Cela dit, le document du modèle de menace de ProtonMail stipule spécifiquement que « nous ne pouvons pas garantir votre sécurité contre un adversaire puissant ». Les agences d’espionnage au service des Etats-Unis et de l’Union européenne se qualifient définitivement d’« adversaires puissants ». Donc, si vous décidez de vous attaquer à l’un des Five Eyes, de violer les lois suisses, ou quelque chose d’aussi fou, l’utilisation de ProtonMail ne vous sauvera probablement pas.
Caractéristiques techniques de ProtonMail
ProtonMail utilise une variété d’algorithmes de chiffrement pour protéger vos messages. Tous les messages sont cryptés de bout en bout et restent chiffrés dans votre boîte aux lettres jusqu’à ce qu’ils soient lus activement. Les algorithmes qu’ils utilisent sont des versions open source d’AES et RSA ainsi que des algorithmes OpenPGPjs :
AES-128
TLS 1.0
DHE RSA
SHA 3
QuoVadis Trustlink Schweiz AG signe des certificats SSL pour ProtonMail. Les caractéristiques de sécurité des certificats comprennent :
Extended Validation (EV)
Certificate Transparency (CT)
4096-bit RSA
SHA-256 hash
Tests pratiques de ProtonMail
Si vous avez utilisé des services de messagerie comme Microsoft Outlook ou Gmail, vous trouverez ProtonMail facile à utiliser. Pour cette évaluation, nous examinerons le client gratuit, basé sur un navigateur, qui est la version que vous êtes le plus susceptible d’utiliser.
La création d’un compte avec ProtonMail s’explique d’elle-même. Vous pouvez obtenir un compte gratuit en quelques minutes en créant un nom d’utilisateur et un mot de passe, puis en passant par les étapes de vérification.
Ensuite, vous devrez passer par un processus de vérification, mais vous avez différentes options de vérification que vous pouvez sélectionner (Captcha, email, SMS, etc). J’ai vu des plaintes à propos de ProtonMail forçant les gens à passer par la vérification par téléphone (SMS) lors de l’inscription par VPNs ou sur le réseau Tor. Bien que je n’aime pas la façon dont ProtonMail utilise la vérification par SMS, il est important de protéger le service contre les spammeurs et les robots.
Se connecter à ProtonMail est facile et direct. Il vous suffit d’aller sur la page d’accueil et de saisir vos identifiants de connexion. Lorsque vous utilisez ProtonMail, vous avez la possibilité de créer une boîte de réception électronique de récupération, qui peut être utilisée si vous perdez votre mot de passe.
L’apparence et la convivialité de ProtonMail
ProtonMail dispose d’une interface assez standard, avec une mise en page « Column View » à 3 volets, ainsi que l’option « Row View ».
Ci-dessous se trouve à nouveau la mise en page par défaut de la vue Colonne. Vous pouvez personnaliser la mise en page de votre boîte de réception ProtonMail dans Apparence > Mise en page > puis sélectionner la mise en page et le style de composition.
Avec la vue en colonnes, vous obtenez tous les dossiers habituels dans le volet le plus à gauche, avec la possibilité d’ajouter tous les dossiers personnalisés que vous souhaitez. Au centre se trouve la liste des messages, le corps du message sélectionné étant affiché dans le volet le plus à droite. Vous remarquerez que, comme pour les autres services de messagerie orientés vers la confidentialité, ProtonMail bloque le contenu distant comme les images par défaut, vous donnant l’option de les charger tout en haut de la fenêtre.
La sélection du lien Dossiers/Étiquettes dans le volet de gauche vous offre un large éventail de paramètres et d’autres options, notamment des filtres, des règles, des listes blanches et des listes noires.
Avec la vue en colonnes, vous obtenez tous les dossiers habituels dans le volet le plus à gauche, avec la possibilité d’ajouter tous les dossiers personnalisés que vous souhaitez. Au centre se trouve la liste des messages, le corps du message sélectionné étant affiché dans le volet le plus à droite. Vous remarquerez que, comme pour les autres services de messagerie orientés vers la confidentialité, ProtonMail bloque le contenu distant comme les images par défaut, vous donnant l’option de les charger tout en haut de la fenêtre.
La sélection du lien Dossiers/Étiquettes dans le volet de gauche vous offre un large éventail de paramètres et d’autres options, notamment des filtres, des règles, des listes blanches et des listes noires.
Les utilisateurs de la version gratuite peuvent créer un filtre, tandis que les utilisateurs payants obtiennent un nombre illimité de filtres.
Rédiger des messages
Vous composez des messages ProtonMail dans une fenêtre pop-up avec un bon ensemble d’options de formatage HTML, y compris des images en ligne. Une fois que vous vous êtes habitué à la mise en page, la fenêtre de composition rend l’inclusion de pièces jointes, d’une heure d’expiration, d’une demande de reçu de lecture et du chiffrement rapide et facile.
Il existe quelques raccourcis clavier pour vous aider à composer vos messages. Mais vous ne trouverez pas de fonctions d’édition plus avancées comme les macros et les suggestions automatiques.
Envoi de messages à des utilisateurs non utilisateurs de ProtonMail
Comme d’autres services de messagerie sécurisés, tels que Tutanota et Mailfence , ProtonMail vous donne la possibilité d’envoyer des messages chiffrés aux personnes qui n’utilisent pas ProtonMail. Le destinataire devra connaître le mot de passe partagé que vous utilisez, de sorte que cela devra être organisé en dehors de protonmail. Ces messages chiffrés expirent automatiquement dans 28 jours (mais vous pouvez fixer une date plus courte si vous le souhaitez).
Le destinataire verra quelque chose comme ce qui suit dans sa boîte de réception. S’ils saisissent le mot de passe correct et cliquent sur le bouton Afficher le message sécurisé, ils pourront voir le message que vous leur avez envoyé.
Recherche de messages dans ProtonMail
ProtonMail a une capacité limitée de recherche de vos messages. Parce que les messages sont chiffrés, sauf pendant que vous les visualisez, le client ne peut pas rechercher dans le corps des messages. Bien sûr, cela peut être frustrant et limiter votre capacité à trouver le message que vous recherchez.
Mise à jour de la fonctionnalité de recherche : La version 4 de ProtonMail est censée avoir une capacité de recherche améliorée, donc si vous avez besoin de la capacité de rechercher dans les corps de message, ils devraient s’en occuper bientôt.
Le client ProtonMail fonctionne bien, bien qu’il puisse y avoir un délai lors de l’ouverture d’un message, étant donné que le message doit être déchiffré pour que vous puissiez le lire. Comme le client est basé sur un navigateur, au lieu d’une application autonome, vous constaterez peut-être qu’il ralentit à mesure que le nombre de messages dans vos dossiers augmente, mais je n’ai pas pu le tester.
Comparaison avec la recherche de Tutanota : En comparaison, Tutanota (un autre fournisseur de messagerie entièrement chiffrée) offre des fonctions de recherche plein texte depuis 2017. Pour ce faire, Tutanota crée un index de recherche chiffré qui peut ensuite être recherché localement sur l’appareil de l’utilisateur.
Les applications mobiles de ProtonMail
ProtonMail a des applications pour iOS et Android. J’ai travaillé avec l’application Android et elle semble bonne et fonctionne parfaitement. Au moment de cet examen, l’application Android avait plus de 19.000 commentaires avec une note solide de 4,6 sur 5 étoiles.
Au moment de cette évaluation, l’application Android de ProtonMail n’est pas open source et n’est pas disponible sous F-Droid.
ProtonMail est-il vraiment sécurisé ?
Il y a beaucoup de débats sur la sécurité de ProtonMail.
Outre les préoccupations concernant les connexions avec les États-Unis et l’UE dont nous avons discuté plus tôt, le service a également fait l’objet de critiques pour d’autres raisons.
Le client du navigateur utilise des bibliothèques de chiffrement JavaScript. Celles-ci sont considérées comme moins sûres que les bibliothèques utilisées dans les applications mobiles de ProtonMail.
Laisser le champ Objet en clair (pour la compatibilité PGP) signifie plus de données exposées à toute personne espionnant le trafic de messages.
Un article publié fin 2018 critiquait l’architecture cryptographique de ProtonMail pour plusieurs raisons. Cependant, ces mêmes critiques pourraient s’appliquer à n’importe quel client de messagerie basé sur un navigateur (pas seulement ProtonMail). Voici la réponse de ProtonMail.
En mai 2019, un poste chez Steiger Legal (archivé) affirmait que ProtonMail offre volontairement son assistance au gouvernement suisse pour la surveillance en temps réel des utilisateurs, au-delà de toute coopération requise par la loi.
Nous allons examiner la dernière question un peu plus en détail.
ProtonMail coopère-t-il volontairement à la surveillance en temps réel ?
Comme Martin Steiger l’a d’abord affirmé sur son site Web,
Le fournisseur de services de messagerie ProtonMail, basé en Suisse, offre une assistance pour la surveillance en temps réel : Volontairement ! Ce constat revient au procureur Stephan Walder, qui dirige le Centre de compétence en matière de cybercriminalité dans le canton de Zurich en Suisse : Le 10 mai 2019, M. Walder a présenté un exposé sur les possibilités et les limites des poursuites pénales lors d’une formation continue sur la numérisation du droit pénal et de la procédure pénale. M. Walder a d’ailleurs mentionné comme exemple positif que ProtonMail offre volontairement son aide pour la surveillance en temps réel. Le procureur Walder s’attendait à devoir obtenir une décision du tribunal fédéral. Sur Twitter, ProtonMail a évité à plusieurs reprises de répondre à la question de savoir pourquoi la surveillance en temps réel était effectuée volontairement. Au lieu de cela, ProtonMail a souligné que le contenu de la communication ne pouvait pas être surveillé en raison du chiffrement de bout en bout.
Après avoir publié ces informations, le procureur de la République a affirmé qu’il avait été mal cité, tandis que ProtonMail a offert une réfutation officielle à ces accusations. Steiger a depuis retiré le post.
Par souci de clarté, nous allons simplement examiner le rapport de transparence de ProtonMail.
Surveillance en temps réel des utilisateurs de ProtonMail ?
ProtonMail est tenu de fournir, dès réception d’une décision judiciaire, toute information d’utilisateur facilement disponible qui permettrait d’identifier un utilisateur qui fait l’objet d’une enquête pénale validée par les autorités suisses. En plus des éléments énumérés dans notre politique de confidentialité, dans les cas criminels extrêmes, ProtonMail peut également être tenu de surveiller les adresses IP qui sont utilisées pour accéder aux comptes ProtonMail qui sont engagés dans des activités criminelles.
Et aussi :
En avril 2019, sur ordre de la justice suisse, nous avons autorisé l’enregistrement d’IP contre un compte d’utilisateur spécifique qui se livre à des activités illégales contraires à la loi suisse, sur ordre de la justice suisse dans un cas de conduite criminelle claire. Conformément au droit suisse, l’utilisateur concerné sera également informé et aura la possibilité de se défendre devant les tribunaux avant que les données ne puissent être utilisées dans une procédure pénale.
Verdict : Tout service de courrier électronique pourrait être forcé de le faire en vertu d’une ordonnance valide d’un tribunal. Ceci ne se limite pas à ProtonMail. Cependant, si vous utilisez un bon service VPN qui cache votre adresse IP et votre emplacement, vous serez toujours protégé contre l’enregistrement et la surveillance des adresses IP.
Assistance volontaire aux autorités ?
Au cours du deuxième trimestre de 2016, nous avons reçu une ordonnance des autorités suisses au nom des autorités allemandes demandant des informations dans un cas où un mineur était en danger. Nous nous sommes conformés à la commande qui nous a ensuite été livrée à notre bureau par courrier recommandé. ProtonMail a pour politique de toujours aider les autorités dans les cas de pédophilie ou de terrorisme.
Verdict : En raison d’une confusion avec l’ancien rapport sur la transparence, ProtonMail a modifié le texte pour préciser qu’une ordonnance du tribunal est nécessaire, mais qu’il n’est PAS nécessaire de la recevoir avant de prendre des mesures.
Tous les services de courrier électronique (et les entreprises) doivent respecter la loi dans la juridiction où ils sont situés, y compris les ordonnances judiciaires légales. Tout comme ProtonMail, d’autres fournisseurs de messagerie sécurisée publient également des rapports de transparence détaillant ces cas pour leurs utilisateurs. Voir par exemple avec Mailfence, Tutanota et Posteo.
Caractéristiques commerciales de ProtonMail
ProtonMail offre également un service pour les entreprises qui fournit un « chiffrement de bout en bout pour sécuriser vos communications d’affaires ». Ce service comprend des outils de migration et un support dédié pour la transition de votre entreprise de son hébergement actuel vers l’infrastructure ProtonMail. Il intègre une hiérarchie d’utilisateurs permettant à vos administrateurs de messagerie de gérer les comptes utilisateurs de manière appropriée.
ProtonMail : prix et coûts
Puisqu’ils n’affichent pas d’annonces dans leurs clients, ni ne vendent l’accès à vos messages aux annonceurs, ProtonMail facture leurs services. Comme vous pouvez le voir ici, ProtonMail a quatre plans tarifaires, dont un plan tarifaire gratuit.
Le forfait Gratuit, avec 500 Mo de stockage, 150 messages par jour, et 3 dossiers / libellés, pourrait vous suffire. Si ce n’est pas le cas, l’un des régimes payés répondra probablement à vos besoins. Notez que les plans Free, Plus et Professional offrent tous ProtonVPN en option, tandis que le plan Visionary intègre le VPN.
Alternatives à ProtonMail
Bien qu’il existe plusieurs services de messagerie sécurisée sur le marché, Tutanota est la première alternative que je suggère. Plutôt que d’utiliser PGP et S/MIME, Tutanota a déployé son propre standard de cryptage incorporant AES et RSA, qui chiffre l’objet, supporte transfert (forward) direct, et peut être mis à jour/renforcé avec le temps. Tutanota a déployé une fonctionnalité de calendrier entièrement chiffré et est bien meilleur que ProtonMail sur l’open-sourcing de ses clients.
Mon avis : Tutanota est la meilleure alternative à ProtonMail dans la catégorie haute sécurité. Il existe d’autres alternatives à ProtonMail qui offrent un moindre degré de chiffrement et de sécurité, mais avec plus de fonctionnalités. Mailfence et Posteo, par exemple, sont deux autres bonnes options.
Résultat final
ProtonMail est un service de courriel chiffré de bout en bout élégant et populaire qui répondra aux besoins de nombreux utilisateurs ordinaires. En tant que service de courriel sécurisé le plus populaire sur le marché, avec un compte de base gratuit, c’est une excellente option pour des communications chiffrées régulières avec des amis, des partenaires d’affaires et d’autres personnes qui veulent se protéger contre l’espionnage et le piratage de routine. Pour ceux qui veulent un maximum de sécurité, avec un chiffrement complet de l’objet et une forte sécurité des données, Tutanota pourrait être un meilleur choix.
ProtonMail est-il le meilleur service de courriel sécurisé pour vous ? Je ne peux pas vous le dire puisque les besoins de chacun sont différents. Il y a beaucoup de facteurs à considérer lors de la sélection d’un fournisseur d’email sécurisé et le choix se fait en fonction de vos propres préférences.
Si vous êtes ouvert à d’autres solutions, vous pouvez consulter mon guide qui met l’accent sur les meilleurs services de courriel sécurisé.
sauce :
perso je pensais justement me tourner vers Tutanota car Pronton me gave, leurs SAV est une cata magistrale