Quand on pense à la confidentialité du courrier électronique, on pense généralement au chiffrement.
Le chiffrement est important — mais ce n’est qu’une pièce du puzzle.
Une question bien moins débattue est la suivante : qui contrôle concrètement l’infrastructure sur laquelle vivent vos e-mails, et qu’est-ce que cela implique ?
La réponse compte parce que, dans la plupart des pays, les entreprises qui exploitent des services de messagerie ont l’obligation légale de répondre aux demandes valables des tribunaux et des administrations.
Les États demandent des données utilisateur tous les jours
Google est l’une des rares entreprises technologiques à publier des statistiques détaillées sur les demandes gouvernementales d’informations concernant les utilisateurs.
Selon le dernier rapport de transparence de Google, les États du monde entier soumettent désormais plus de 300 000 demandes légales tous les six mois, portant sur près de 750 000 comptes. Google publie ces statistiques deux fois par an, pays par pays, accompagnées de son taux de divulgation.
Quelques chiffres récents issus du rapport de transparence mondial de Google :
| Période | Demandes des États | Comptes concernés | Google a divulgué des données |
|---|---|---|---|
| juil.–déc. 2024 | 245 715 | 536 413 | 83 % |
| janv.–juin 2025 | 287 014 | 664 767 | 82 % |
| juil.–déc. 2025 | 304 915 | 748 475 | 84 % |
Ce sont des totaux mondiaux issus du jeu de données téléchargeable du rapport lui-même, additionnés sur l’ensemble des pays et des procédures. Les demandes de conservation en sont exclues, car elles demandent à un fournisseur de conserver des données plutôt que de les remettre ; le taux de divulgation est pondéré par le nombre de demandes de chaque pays.
Ces pourcentages ne signifient pas que Google fait automatiquement droit à chaque demande. Ils indiquent plutôt qu’après examen de chaque demande, Google a divulgué au moins une partie des informations sollicitées dans environ quatre cas sur cinq.
L’évolution dans le temps est le signal le plus clair. Google publie ces données tous les six mois depuis 2009, et le nombre de demandes comme le nombre de comptes concernés ont augmenté à presque chaque période depuis :
Les fournisseurs ne donnent pas aux États un accès direct
Une idée reçue répandue veut que les États disposent d’un accès « par la porte dérobée » aux fournisseurs de messagerie.
Google affirme explicitement que ce n’est pas le cas.
Selon la documentation publiée par Google sur les procédures judiciaires :
- chaque demande est examinée par des juristes ;
- les demandes doivent être conformes au droit applicable ;
- les demandes excessivement larges peuvent être restreintes ou contestées ;
- les États ne reçoivent pas d’accès direct aux comptes des utilisateurs.
Ce processus d’examen juridique existe pour concilier les besoins légitimes des enquêtes et le droit des utilisateurs à la vie privée.
Quelles informations peuvent être demandées ?
La réponse dépend du fondement juridique invoqué.
Google explique que différentes procédures permettent l’accès à différentes catégories d’informations, notamment :
- les informations d’abonné ;
- les adresses e-mail de récupération ;
- les numéros de téléphone ;
- l’historique des adresses IP ;
- les horodatages de connexion ;
- les métadonnées du compte ;
- les informations de facturation, le cas échéant ;
- le contenu des e-mails, lorsque la loi l’autorise.
Toutes les demandes n’autorisent pas l’accès à toutes les catégories de données.
Les rapports de transparence comptent
Les rapports de transparence offrent une vue inhabituellement détaillée de la fréquence à laquelle les États recherchent des informations sur les utilisateurs.
Sans eux, les utilisateurs n’auraient que très peu de visibilité sur :
- la fréquence des demandes ;
- les pays qui les émettent ;
- le nombre de comptes concernés ;
- la manière dont les fournisseurs y répondent.
Le rapport de transparence de Google est l’un des jeux de données publics les plus complets disponibles, et de nombreuses autres entreprises — dont Microsoft, Apple, Meta et GitHub — publient des rapports comparables.
L’architecture compte
La plupart des gens choisissent un fournisseur de messagerie en fonction de l’espace de stockage, du filtrage antispam ou du prix.
Une question plus fondamentale mérite pourtant d’être posée : qui exploite le serveur de messagerie ?
- Vous
- Le fournisseur de messagerie
- L'infrastructure du fournisseur
Le fournisseur possède l'infrastructure, exploite le serveur de messagerie, conserve votre boîte mail et constitue l'entité juridique qui reçoit les demandes des États.
- Vous
- Votre compte cloud
- Votre serveur de messagerie
La machine est louée à un fournisseur cloud, mais le système de messagerie qui y tourne est le vôtre : votre compte, votre configuration, vos données. cripta.to automatise le déploiement et la gestion ; il ne détient jamais votre boîte mail.
Avec un service de messagerie hébergé classique, le fournisseur possède l’infrastructure, exploite le serveur, conserve votre boîte mail et constitue l’entité juridique qui reçoit les demandes des États.
Avec cripta.to, le modèle est différent.
cripta.to déploie un serveur de messagerie prêt pour la production dans votre propre compte cloud.
La machine elle-même ne vous appartient pas : vous la louez à un fournisseur cloud, comme le fait presque toute entreprise. Ce qui vous appartient, c’est tout ce qui se situe au-dessus de cette ligne : le compte, le logiciel serveur, la configuration et le courrier.
cripta.to est la plateforme logicielle qui automatise le déploiement et la gestion ; ce n’est pas l’exploitant permanent de votre infrastructure de messagerie, et jamais le dépositaire de votre courrier.
Cette distinction change le modèle opérationnel :
- vos ressources cloud restent dans votre compte, sous vos identifiants ;
- votre serveur de messagerie tourne dans votre propre environnement, avec une configuration que vous pouvez inspecter et modifier ;
- les connexions entre vos appareils et le serveur sont protégées par TLS et, sur les formules avec volume de données dédié, le disque contenant votre courrier est chiffré au repos ;
- cripta.to n’héberge pas votre boîte mail à la manière d’un fournisseur de messagerie centralisé.
La différence honnête est plus étroite que « cela vous appartient », et plus utile : elle porte sur la garde. Aucun fournisseur de messagerie tiers ne se tient au milieu en détenant votre boîte mail, il y a donc une partie de moins à qui la réclamer.
Pourquoi nous avons créé cripta.to
Chez cripta.to, nous pensons que les utilisateurs devraient comprendre non seulement comment leurs e-mails sont chiffrés, mais aussi où ils sont hébergés et qui les contrôle.
L’emplacement de l’infrastructure, et l’identité de celui qui contrôle ce qui y tourne, sont souvent négligés dans les discussions sur la confidentialité.
Pour de nombreuses organisations et de nombreux particuliers, contrôler l’environnement dans lequel le courrier est traité et conservé est un choix de conception important, car il apporte davantage d’indépendance opérationnelle et de transparence.