Fermer l'onglet, se déconnecter et révoquer un appareil associé sont trois actions différentes.
En matière de sécurité des messageries web, aucun vainqueur absolu ne convient à tous les scénarios. Le chiffrement n'est qu'une couche de sécurité : pour bénéficier réellement d'un chat privé dans le navigateur, il faut aussi gérer la sécurité de l'appareil, les sessions actives et les extensions du navigateur.
Des messageries comme WhatsApp Web et Element fonctionnent sur le web. Signal Desktop est une application de bureau à installer, pas un site web. Telegram Web repose sur les discussions dans le cloud, et les caractéristiques de chaque produit doivent être examinées séparément.
Les points de sécurité essentiels en un coup d'œil
- Le chiffrement de bout en bout (E2EE) protège les données en transit, mais n'empêche pas leur vol par des logiciels malveillants, notamment ceux qui capturent l'écran.
- L'application Livara utilise un E2EE hybride post-quantique pour les messages individuels, les groupes privés compatibles avec E2EE et les médias couverts par ces conversations. Les canaux ne sont pas chiffrés de bout en bout et sont lisibles par le serveur.
- Signal Desktop est une application installée, pas une application web ; une extension de navigateur ne lit donc normalement pas directement sa fenêtre de discussion. Les logiciels malveillants sur l'appareil restent un risque distinct.
- Telegram Web n'utilise pas le chiffrement de bout en bout pour les discussions ordinaires dans le cloud.
- Fermer la session active de la messagerie sur les ordinateurs partagés est indispensable pour empêcher un accès ultérieur non autorisé.
De quoi dépend la sécurité d'une messagerie web ?
La sécurité des applications web repose sur quatre piliers : l'algorithme de chiffrement, la gestion des sessions, la fiabilité de l'appareil et la livraison du code. Sur le web, la chaîne de livraison et de mise à jour du code dépend du service web ; le cache du navigateur ou un Service Worker peut conserver des ressources antérieures. Tout le code n'est donc pas nécessairement téléchargé à nouveau à chaque visite. Les principaux risques propres à cet environnement sont :
- Les sessions abandonnées : une autorisation stockée dans le navigateur pour maintenir la connexion de l'utilisateur.
- Les extensions malveillantes : des extensions qui accèdent au contenu de la page, y compris aux messages déchiffrés.
- Les données locales : des fichiers téléchargés qui restent sur les ordinateurs partagés.
Comparaison des messageries web chiffrées
Ces cinq messageries ont des architectures différentes. Voici une évaluation pratique de leur situation en matière de sécurité.
| Messagerie | Environnement | Protection et chiffrement | Principaux risques sur le web / un ordinateur partagé |
|---|---|---|---|
| Livara | Web et Android | Selon la documentation, E2EE pour les messages directs et les groupes privés compatibles en mode E2EE ; les canaux sont lisibles par le serveur. Proof Lab présente P-256/HKDF/AES-GCM et la vérification des empreintes, pas un audit d'architecture ni une implémentation complète des protocoles. | Sessions ouvertes ou logiciels malveillants sur un ordinateur partagé, comme pour tous les outils web. |
| WhatsApp Web | Navigateur | Selon la documentation, les messages en mode multiappareil sont chiffrés de bout en bout. | Appareil associé restant actif après avoir quitté l'ordinateur. |
| Signal Desktop | Application autonome | Tous les messages sont chiffrés de bout en bout par défaut. | Accès physique si l'écran n'est pas verrouillé ou si la session n'est pas fermée. |
| Telegram Web | Navigateur | Les discussions ordinaires dans le cloud n'ont pas d'E2EE. | Une session ouverte permet un accès immédiat à toutes les discussions dans le cloud. |
| Element | Navigateur, bureau | E2EE dans les salons où le chiffrement est activé ; fondé sur le protocole Matrix. | Complexité de la vérification des appareils et de la conservation sécurisée des clés de récupération. |
Remarque : consultez toujours la documentation officielle de chaque service avant d'y transférer des données hautement confidentielles.
Comment choisir la bonne option ?
Commencez par définir l'environnement. Signal Desktop est une application associée à installer ; n'en déduisez pas qu'il existe un « Signal Web » officiel. L'architecture multiappareil de WhatsApp explique aussi pourquoi chaque appareil associé est un terminal important.
Dans Telegram, ne confondez pas discussion dans le cloud et Secret Chat. Le caractère privé de l'adhésion à un groupe ne signifie pas que celui-ci bénéficie d'E2EE. Dans Element, vérifiez séparément l'activation du chiffrement du salon et la confiance dans les appareils ; l'auto-hébergement ne garantit pas à lui seul la sécurité du client ou du destinataire.
Pour Livara, commencez par les limites publiées du produit. Cet article ne revendique ni une supériorité absolue du chiffrement ni l'existence d'une application de bureau native. Le choix doit correspondre au besoin d'utiliser un navigateur, à la gestion des appareils et aux preuves de sécurité de la version utilisée.
Pourquoi fermer la session active est-il essentiel ?
Fermer la session active de la messagerie est une mesure importante pour réduire les risques sur un ordinateur partagé. Cela invalide les autorisations stockées, mais n'efface pas les messages téléchargés ou copiés.
Pour préserver votre sécurité sur un ordinateur qui n'est pas le vôtre, suivez ces étapes :
- Déconnectez-vous directement du compte à l'aide de l'interface de la messagerie (Log Out).
- Sur votre smartphone, révoquez l'accès de l'ordinateur partagé dans la rubrique des appareils associés (Linked Devices).
- Supprimez manuellement les fichiers téléchargés sur l'ordinateur.
- Utilisez un profil de navigateur séparé ou la navigation privée (Incognito) afin que les données de session ne soient généralement pas conservées après la fermeture de toutes les fenêtres privées ; cela n'empêche toutefois pas les logiciels malveillants.
Le rôle des extensions et les risques des ordinateurs partagés
Une extension autorisée à lire les données d'une page peut lire directement vos messages déchiffrés dans le navigateur. À ce stade, même les algorithmes réseau les plus puissants sont sans effet. Pour créer un environnement sûr de chat privé dans le navigateur :
- Utilisez un profil de navigateur distinct sans aucune extension installée.
- Gardez le système d'exploitation à jour.
- Au travail, n'oubliez pas que les logiciels de surveillance de l'organisation peuvent enregistrer le contenu de votre écran.
Un petit test de session web
Avec un message non sensible, comparez la fermeture de l'onglet à la déconnexion du compte. Révoquez ensuite la session depuis l'appareil principal et voyez ce que le navigateur affiche encore. Vérifiez séparément le dossier des téléchargements. Ce test montre le comportement ordinaire de cette version, sans garantir l'effacement de toutes les copies.
Pour une conversation à haut risque, un ordinateur auquel vous ne faites pas confiance n'est pas un bon choix ; la navigation privée ou un protocole puissant ne le transforme pas en appareil fiable.
Questions fréquentes (FAQ)
Une messagerie web est-elle intrinsèquement moins sûre qu'une application de bureau ?
Non. Chaque environnement a ses propres risques. Le web est exposé aux extensions, tandis que le bureau dépend de la sécurité de la chaîne d'approvisionnement du paquet d'installation. Dans les deux cas, un appareil infecté entraîne une exposition des informations.
La navigation privée (Incognito) suffit-elle pour un chat privé dans le navigateur ?
Non. Elle limite la conservation de certaines données de navigation ; les téléchargements et les favoris peuvent rester, et les logiciels malveillants sur l'appareil constituent toujours un risque. Un profil distinct n'est pas non plus une frontière de sécurité contre l'administrateur de l'appareil ou un logiciel malveillant.
Que faire si j'ai oublié de fermer la session de messagerie sur un ordinateur partagé ?
Ouvrez immédiatement l'application principale sur votre mobile, accédez aux sessions actives ou appareils associés (Active Sessions / Linked Devices) et terminez manuellement la session concernée (Terminate).
