Proton Mail : l'email chiffré, ce qu'il protège et ce que la loi suisse peut quand même exiger

Un email classique transite, en clair ou presque, par plusieurs serveurs avant d'arriver à destination, lisible en théorie à chaque étape. Proton Mail, un service basé en Suisse fondé par d'anciens chercheurs du CERN, propose une promesse différente : le contenu reste illisible même pour l'entreprise elle-même. Un incident réel survenu en 2021 permet de voir précisément où s'arrête cette promesse.

Le chiffrement de bout en bout, entre boîtes Proton

Un email envoyé entre deux comptes Proton Mail est automatiquement chiffré de bout en bout, sans configuration manuelle ni échange de clé à gérer soi-même, contrairement au chiffrement PGP classique dont Proton s'inspire techniquement mais dont il masque entièrement la complexité à l'utilisateur. Ce chiffrement garantit que ni Proton, ni un intermédiaire réseau, ne peut lire le contenu du message à aucune étape de son trajet entre les deux comptes.

Le chiffrement "zero-access", même quand le destinataire n'est pas chez Proton

Un email envoyé vers une adresse qui n'est pas chez Proton suit un chemin différent. Une fois stocké sur les serveurs de Proton, y compris un message reçu depuis l'extérieur, il reste protégé par un chiffrement dit "zero-access" : Proton elle-même ne détient pas la clé nécessaire pour le lire, celle-ci étant dérivée du mot de passe du compte. Ce chiffrement au repos ne s'étend cependant pas automatiquement au trajet vers un destinataire extérieur : une fois le message envoyé à une adresse classique, il devient lisible par le fournisseur de messagerie du destinataire, exactement comme n'importe quel email non chiffré. Proton propose une option d'email protégé par mot de passe pour ce cas précis, qui chiffre le message même vers une adresse extérieure, à condition que le destinataire connaisse ce mot de passe communiqué par un autre canal.

Basé en Suisse, et ce que ça change vraiment

La Suisse dispose d'une législation sur la protection des données considérée parmi les plus strictes au monde, et reste en dehors du cadre juridique direct de l'Union européenne ou des États-Unis pour la plupart des demandes de données. C'est un argument régulièrement mis en avant par Proton, à raison sur le principe, mais qui mérite d'être nuancé par un cas réel plutôt qu'accepté comme une garantie absolue.

L'incident de 2021 : la loi suisse peut quand même s'appliquer

En 2021, la police française a transmis, via Europol, une demande à la police suisse concernant un compte Proton Mail utilisé par un collectif de militants écologistes. Le Département fédéral de justice suisse a émis une ordonnance juridiquement contraignante obligeant Proton à se conformer à cette demande. Par défaut, Proton ne conservait aucune adresse IP liée aux comptes de ses utilisateurs, il n'y avait donc littéralement rien à transmettre au moment de la demande. L'ordonnance a néanmoins contraint Proton à commencer à enregistrer l'adresse IP et l'empreinte de l'appareil utilisé pour ce compte précis, à partir de ce moment, des données ensuite transmises aux autorités et ayant contribué à des arrestations en France. Proton a depuis mis à jour sa politique de confidentialité pour préciser explicitement ce point : en cas d'infraction à la loi suisse, l'entreprise peut être légalement contrainte de commencer à journaliser l'adresse IP d'un compte précis dans le cadre d'une enquête pénale suisse.

Ce que ça signifie concrètement pour un utilisateur

Cet épisode illustre une distinction importante, à retenir au-delà du seul cas de Proton : le chiffrement de bout en bout protège efficacement le contenu des messages, y compris face à Proton elle-même, mais ne protège pas automatiquement l'anonymat de qui utilise le compte. Proton ne collecte par défaut aucune métadonnée de connexion, ce qui rend une demande classique inefficace en pratique, mais une autorité judiciaire suisse compétente peut, dans le cadre légal approprié, forcer l'entreprise à commencer à en collecter pour un compte visé précisément. C'est le même principe déjà rencontré avec Mullvad : la confiance se déplace vers le fournisseur et son cadre juridique, elle ne disparaît jamais complètement, quel que soit le pays.

Ce que Proton propose au-delà de l'email

Proton a étendu son offre à un ensemble de services construits sur les mêmes principes : Proton VPN, Proton Drive pour le stockage de fichiers chiffrés, Proton Calendar, et Proton Pass, un gestionnaire de mots de passe. L'ensemble est développé par la Proton Foundation, une structure à but non lucratif, avec des applications clientes publiées en open source, permettant la même vérification indépendante déjà évoquée pour Bitwarden.

Points de vigilance

• L'offre gratuite reste limitée en stockage et en fonctionnalités, une incitation classique vers l'abonnement payant, sans que ce soit trompeur pour autant
• L'email protégé par mot de passe vers une adresse extérieure demande de communiquer ce mot de passe par un canal séparé, une étape supplémentaire que beaucoup négligent en pratique
• L'incident de 2021 reste le meilleur exemple concret disponible de ce que "basé en Suisse" garantit réellement, et de ce que ça ne garantit pas

Pour qui

Proton Mail convient à quiconque veut un email dont le contenu reste réellement illisible par le fournisseur lui-même, sans changer fondamentalement ses habitudes d'usage au quotidien. L'incident de 2021, plutôt que de discréditer le service, montre au contraire à quel point sa politique de non-collecte de données par défaut fonctionne comme annoncé : il n'y avait simplement rien à donner, jusqu'à ce qu'un tribunal l'exige explicitement pour un cas précis.