Demandez qui peut lire vos messages, mais aussi qui peut relier les traces qui les entourent, et pendant combien de temps.
Les métadonnées de messagerie décrivent une communication plutôt que le texte de son message : identifiants de compte, horaires, traces de connexion, état de livraison ou membres d’un groupe, selon la conception du service. Le chiffrement de bout en bout peut rendre le texte illisible pour le service d’acheminement, tandis que certaines de ces informations restent visibles.
Par exemple, « J’arriverai à six heures » est du contenu. Le fait qu’un compte ait contacté un autre compte à une heure précise est une métadonnée. Qui peut observer l’un ou l’autre dépend de l’architecture de l’application et du réseau.
Le contenu des messages et les métadonnées sont distincts
Le chiffrement de bout en bout protège le contenu d’une conversation. Les métadonnées décrivent la manière dont le service transporte et gère cette conversation : quels comptes participent, quand un événement a eu lieu, si un message a été livré et à quelle discussion il est destiné.
Cette distinction compte, car une messagerie peut chiffrer le texte tout en conservant des informations de fonctionnement. Les expressions « chiffré », « privé » et « à connaissance nulle » ne sont donc pas interchangeables. Une analyse de sécurité utile demande précisément quelles données sont chiffrées, où se trouvent les clés et quelles informations restent accessibles au service.
Ce que protège le chiffrement de bout en bout
Dans une conversation chiffrée de bout en bout correctement mise en œuvre, l’expéditeur chiffre le contenu avant son stockage par le service, puis un appareil participant le déchiffre. Le service transporte des données chiffrées plutôt que des messages lisibles.
Selon le produit, l’E2EE peut couvrir :
- Le texte des messages et leurs modifications
- Les légendes et les pièces jointes
- Les messages vocaux et les autres médias envoyés
- Les réactions ou les réponses lorsqu’elles font partie des données chiffrées
Cette couverture n’est pas automatique. Un produit peut chiffrer les messages directs et utiliser un autre modèle pour les groupes, les canaux, les sauvegardes, les aperçus de liens ou les appels. Lisez sa documentation de sécurité au lieu de supposer qu’une icône de cadenas s’applique à toutes les fonctions.
Quelles métadonnées peuvent rester visibles ?
Un service de messagerie a besoin de certaines informations pour acheminer les messages, contrôler les accès, synchroniser les appareils et lutter contre les abus. Ces données de fonctionnement peuvent comprendre :
| Catégorie de données | Pourquoi le service peut les traiter |
|---|---|
| Participants et identifiants de discussion | Acheminer un événement vers les bons comptes et la bonne conversation |
| Horodatages et numéros de séquence | Ordonner les messages et récupérer les mises à jour après une déconnexion |
| État de livraison et de lecture | Synchroniser l’état des messages entre les appareils |
| Membres et rôles | Contrôler l’accès aux groupes et aux canaux |
| Taille des données chiffrées et métadonnées des médias | Stocker et acheminer correctement le contenu chiffré |
| Informations réseau | Établir les connexions, faire fonctionner l’infrastructure et enquêter sur les abus |
Cela ne signifie pas que tous les services collectent les mêmes données ou les conservent aussi longtemps. Une comparaison sérieuse doit examiner la collecte, la conservation, les contrôles d’accès et la suppression, et pas seulement l’algorithme de chiffrement.
Pourquoi prêter attention aux métadonnées ?
Les métadonnées peuvent révéler des habitudes même lorsque le contenu des messages reste illisible. Des échanges fréquents entre deux comptes, un changement soudain d’activité ou l’appartenance à un groupe particulier peuvent avoir leur propre signification.
Le risque concret dépend des données collectées, de leur durée de conservation, de leur lien éventuel avec une identité réelle et des personnes qui peuvent y accéder. Une trace de fonctionnement de courte durée n’équivaut pas à un profil publicitaire permanent. Un service transparent devrait expliquer cette différence dans sa documentation de confidentialité et de sécurité.
Les questions à poser avant de choisir une messagerie
Utilisez ces questions pour évaluer n’importe quelle plateforme de messagerie :
- Quels types de conversations sont chiffrés de bout en bout ?
- Les pièces jointes sont-elles chiffrées avant leur envoi ?
- Où les clés privées d’identité sont-elles créées et stockées ?
- Un autre appareil peut-il restaurer les clés sans secret de récupération distinct ?
- Quelles informations d’acheminement, de membres, d’horodatage et de livraison le serveur conserve-t-il ?
- Les sauvegardes sont-elles protégées par une clé inaccessible au service ?
- Les participants peuvent-ils vérifier les empreintes des clés publiques après un changement de clé ?
- Les affirmations de sécurité distinguent-elles les discussions individuelles, les groupes, les canaux et les appels ?
- Comment la plateforme gère-t-elle la suppression d’un compte et les données conservées ?
- La politique de confidentialité décrit-elle les outils d’analyse, la publicité et les services tiers ?
Des réponses précises valent mieux que de grandes promesses. Si un service ne peut pas décrire son périmètre de confiance, ses utilisateurs ne peuvent pas prendre de décision éclairée.
Qui peut observer quelle partie d’une conversation ?
Ne réunissez pas tous les observateurs dans un seul acteur qui verrait tout. Voici un premier cadre de lecture :
| Observateur | Visibilité possible | Limite importante |
|---|---|---|
| Fournisseur d’accès à Internet ou réseau local | Destinations des connexions, horaires et volume de trafic | Le contenu correctement protégé n’est pas automatiquement lisible ; les champs visibles varient selon le transport et l’acheminement |
| Service de messagerie | Informations de compte, de livraison et de membres nécessaires à sa conception | Il peut ne pas recevoir le contenu E2EE en clair ; la conservation peut différer du traitement temporaire |
| Fournisseur de notifications ou d’hébergement | Informations nécessaires à l’intégration des notifications ou de l’hébergement | L’exposition des données et des identifiants dépend de la mise en œuvre |
| Autres participants | Messages déchiffrés et informations affichées dans la conversation | Ils peuvent copier ou divulguer ce qu’ils reçoivent |
| Personne contrôlant un appareil participant | Données accessibles à cet appareil ou à cette session | Le chiffrement réseau ne remédie pas à la compromission d’un appareil |
Ce tableau est un cadre d’analyse, pas une mesure d’une application précise. Un fournisseur réseau ne voit pas nécessairement les mêmes informations de compte que la messagerie, et le fournisseur de l’application ne conserve pas forcément tout ce qu’il traite.
Les recommandations de l’IAB sur la confidentialité dans la RFC 6973 abordent la corrélation, l’identification et la minimisation des données comme des enjeux distincts. Un identifiant persistant peut relier des activités dans le temps, même s’il ne s’agit pas d’un nom légal. Croiser les traces de plusieurs sources peut révéler davantage que chaque trace prise séparément.
Les limites documentées par Livara concernant les métadonnées
La documentation de sécurité de Livara décrit le chiffrement du contenu des échanges directs et des groupes privés compatibles. L’acheminement, les membres, les horaires, la taille des données chiffrées, les jetons de notification et les journaux de sécurité font l’objet d’un traitement distinct. Les canaux publics sont lisibles par le serveur : il ne faut pas confondre les données chiffrées d’un groupe privé avec le texte en clair d’un canal public.
La présence d’un composant cryptographique dans la documentation ne prouve pas son utilisation dans tous les parcours réels. Par exemple, le composant documenté LSS1 n’est pas décrit comme intégré à l’envoi ordinaire des messages. Il ne doit pas servir à affirmer que la messagerie Livara ordinaire masque les métadonnées de l’expéditeur. Consultez les informations actuelles sur la sécurité et la confidentialité pour connaître le périmètre et les durées de conservation annoncés.
Cet article n’a pas mesuré indépendamment le trafic de production ni la conservation sur les serveurs de Livara. Les affirmations sur le chiffrement du contenu ne démontrent pas que le service collecte moins de métadonnées que ses concurrents.
Des gestes concrets pour réduire l’exposition
Le chiffrement est une composante de la sécurité d’un compte. Vous pouvez aussi réduire l’exposition en prenant quelques précautions :
- Ne partagez que les informations de profil et les identifiants nécessaires à la conversation. Réutiliser un nom public ou un avatar peut relier plusieurs comptes.
- Refusez les autorisations inutiles d’accès aux contacts ou à la localisation, et vérifiez séparément la suppression des données déjà synchronisées.
- Utilisez un moyen d’authentification propre à ce compte lorsque cela s’applique, et protégez l’accès à l’appareil lui-même.
- Conservez la phrase de récupération dans un endroit distinct de l’appareil connecté.
- Comparez les empreintes des clés par un autre canal de confiance après un changement d’identité inattendu.
- Examinez la liste des membres du groupe avant de partager du contenu sensible.
- Maintenez le navigateur, le système d’exploitation et l’application de messagerie à jour.
- Considérez les aperçus de notifications, les captures d’écran et les médias exportés comme des copies extérieures à la conversation chiffrée.
La sécurité des appareils et la minimisation des métadonnées répondent à des problèmes différents. Sécuriser un appareil ne fait pas disparaître les journaux du fournisseur. De même, supprimer une bulle de message ou choisir un délai d’expiration ne supprime pas nécessairement les traces d’acheminement, les sauvegardes ou la copie d’un autre participant.
Comment lire utilement les affirmations de confidentialité
Une affirmation de confidentialité digne de confiance nomme les données protégées, le mécanisme et les limites. « Le contenu des messages directs est chiffré sur les appareils participants » est une affirmation vérifiable. « Totalement privé » ne l’est pas.
Pour comparer des messageries, séparez quatre questions : qui peut lire le contenu, quelles métadonnées le service traite, comment fonctionne la récupération du compte et ce qui se passe sur chaque appareil. Ce cadre permet une décision plus précise que le choix d’un produit sur la seule base d’un slogan.
Un VPN masque-t-il les métadonnées de messagerie ?
Un VPN change l’opérateur réseau qui peut observer certaines parties de la connexion. Il ne supprime pas automatiquement les informations de compte ou de livraison de la messagerie. Se connecter au même compte permet toujours au service d’identifier ce compte. Évaluez séparément le fournisseur de VPN, la conception de l’acheminement des messages et la politique de conservation de l’application, au lieu d’assimiler un changement d’adresse IP à un anonymat complet.
Interrogez la conservation, pas seulement la collecte
Pour chaque champ pertinent, demandez s’il est traité temporairement, écrit dans un journal, conservé dans une sauvegarde ou partagé avec un autre fournisseur. Demandez ensuite combien de temps il reste et si sa suppression comporte des exceptions. Si la documentation ne le précise pas, notez que la durée est inconnue. « Nécessaire au fonctionnement » explique une finalité possible ; cette formule ne définit pas à elle seule une limite de conservation.
