Un cabinet d’avocats envoie un projet de contrat par email à son client. Le message transite par trois serveurs avant d’arriver à destination. Sur chacun de ces relais, le contenu peut être lu, copié ou détourné si aucune protection n’est en place. Ce scénario, banal dans les échanges professionnels, explique pourquoi le chiffrement des emails n’est plus une option technique réservée aux grandes structures.
TLS en transit ou chiffrement de bout en bout : la confusion qui fragilise les entreprises
On parle souvent de « messagerie sécurisée » sans préciser de quoi il s’agit. La distinction entre chiffrement du transport et chiffrement du contenu change pourtant tout le niveau de protection.
Le protocole TLS (Transport Layer Security) protège le message pendant son acheminement entre deux serveurs. Une fois arrivé, le contenu redevient lisible en clair sur le serveur de réception. C’est l’équivalent d’un courrier transporté dans un fourgon blindé, mais stocké ensuite dans un casier ouvert.
Le chiffrement de bout en bout (E2EE), lui, rend le message illisible pour tout intermédiaire, y compris l’hébergeur de la messagerie. Seul le destinataire, avec sa clé privée, peut déchiffrer le contenu. Selon le Global Encryption Trends Report 2025 d’Encryption Consulting, la majorité des organisations se limitent au TLS sans chiffrer le contenu lui-même. L’adoption réelle du chiffrement de bout en bout via PGP ou S/MIME reste faible malgré plus de trente ans d’existence de ces protocoles.
En pratique, quand on configure une messagerie professionnelle, le TLS est souvent activé par défaut. On croit que les échanges sont protégés, alors que seule la couche transport l’est. La donnée sensible (contrat, bulletin de paie, dossier médical) reste exposée sur les serveurs intermédiaires.
Obligations réglementaires : ce que NIS 2 et DORA changent pour la messagerie d’entreprise
Le cadre juridique européen a accéléré la pression sur les communications sécurisées. Deux textes récents modifient concrètement ce qu’on attend des entreprises en matière de protection des échanges par email.
La directive NIS 2 et ses exigences sur les communications
NIS 2 impose aux entités concernées de mettre en place des outils de communications vocales, vidéo et textuelles sécurisées, y compris une messagerie instantanée sécurisée en cas d’urgence. L’article 21 mentionne explicitement l’utilisation de solutions de communication chiffrées. Les entreprises des secteurs visés (énergie, transports, santé, infrastructures numériques) doivent pouvoir démontrer que leurs échanges électroniques sont protégés.
DORA et le secteur financier
Le règlement DORA, applicable aux institutions financières dans l’Union européenne, va plus loin. Il exige des mesures de chiffrement pour les données en transit et au repos. Pour les emails, cela signifie que le simple TLS ne suffit plus : les institutions doivent prouver une protection du contenu, pas seulement du canal de transmission.
Ces deux textes partagent un point commun : ils ne se contentent pas de recommander le chiffrement. Ils demandent une preuve continue de conformité, avec documentation et audit. Pour une PME du secteur de la santé ou un prestataire de services financiers, ignorer ces obligations expose à des sanctions et à une perte de confiance des partenaires.
Déploiement du chiffrement email en entreprise : les freins concrets
Sur le papier, chiffrer ses emails semble simple. Sur le terrain, plusieurs obstacles expliquent pourquoi la majorité des organisations n’a pas franchi le pas du chiffrement de bout en bout.
- La gestion des clés cryptographiques reste le premier frein. Chaque utilisateur doit disposer d’une paire de clés (publique et privée), les maintenir à jour et les partager avec ses correspondants. Dans une structure de cinquante personnes, cela représente déjà une charge d’administration non négligeable.
- L’expérience utilisateur se dégrade souvent avec les solutions PGP ou S/MIME classiques. Un collaborateur qui reçoit un message chiffré sans avoir configuré son client de messagerie ne peut tout simplement pas le lire. Les retours varient sur ce point, mais la friction au quotidien reste le motif d’abandon le plus fréquent.
- L’interopérabilité entre organisations pose problème. Si notre entreprise utilise S/MIME et que notre fournisseur n’a pas de certificat compatible, l’échange chiffré de bout en bout devient impossible. On retombe alors sur du TLS, avec les limites décrites plus haut.
- Le coût des certificats S/MIME par utilisateur, combiné aux frais de déploiement et de formation, freine les structures de taille intermédiaire qui n’ont pas d’équipe sécurité dédiée.
Chiffrement des emails et protection des données sensibles : choisir le bon niveau
Toutes les communications professionnelles ne nécessitent pas le même niveau de chiffrement. Un échange sur l’organisation d’une réunion n’a pas la même criticité qu’un envoi de données de santé ou de coordonnées bancaires.
L’approche la plus réaliste consiste à classer les emails par niveau de sensibilité et à appliquer le chiffrement de bout en bout uniquement aux flux qui le justifient. Les outils de messagerie sécurisée récents permettent de définir des règles automatiques : tout email contenant un numéro de sécurité sociale, un RIB ou un mot-clé métier déclenche un chiffrement renforcé sans intervention de l’utilisateur.
Pour les échanges courants, le TLS correctement configuré (avec vérification du certificat du serveur distant) offre déjà un niveau de protection significatif. Le rapport Google Transparency indique que la grande majorité des emails échangés entre serveurs Gmail et serveurs externes transitent désormais via TLS. C’est un socle, pas une garantie absolue.
Les solutions de type portail chiffré (le destinataire ouvre le message via un lien sécurisé) contournent le problème d’interopérabilité. Elles n’exigent aucune configuration côté destinataire. C’est souvent le compromis adopté par les PME qui veulent sécuriser sans complexifier.
Messagerie chiffrée et confidentialité : au-delà de la conformité
La conformité réglementaire pousse à agir, mais la protection de la confidentialité des échanges professionnels a une valeur propre. Un email intercepté contenant une stratégie commerciale, un accord de partenariat ou des données clients peut causer un préjudice bien supérieur à une amende administrative.
Le chiffrement des emails protège aussi contre les menaces internes. Un administrateur système ayant accès aux serveurs de messagerie ne peut pas lire un message chiffré de bout en bout. Cette garantie compte particulièrement dans les secteurs où la séparation des accès est critique (santé, juridique, finance).
Adopter une messagerie professionnelle avec chiffrement intégré ne règle pas tout. La formation des équipes, la politique de gestion des clés et le choix entre S/MIME, PGP ou un portail chiffré dépendent de la taille de la structure, de ses obligations sectorielles et de la maturité numérique de ses interlocuteurs. Le bon outil de sécurité est celui que les collaborateurs utilisent réellement, pas celui qui reste désactivé faute de configuration.
