Un e-mail ordinaire est comme une carte postale. La connexion entre deux serveurs de messagerie est aujourd’hui le plus souvent protégée par TLS, mais sur les serveurs eux-mêmes, les messages sont lisibles. Et l’efficacité de TLS dépend aussi du serveur du destinataire. Pour des fiches de salaire, des documents fiscaux, des rapports médicaux ou des contrats, cela ne suffit pas.
La loi suisse sur la protection des données exige que les données personnelles soient protégées par des mesures techniques appropriées. Qui envoie par e-mail des données sensibles ou soumises au secret professionnel a donc besoin d’un véritable chiffrement du contenu.
Trois façons de protéger les e-mails
- Chiffrement du transport (TLS). Il protège la connexion entre les serveurs, pas le message lui-même. Il est indispensable, mais ce n’est que la base.
- Chiffrement de bout en bout avec S/MIME ou OpenPGP. Le message reste chiffré jusqu’au destinataire. Chaque personne a besoin d’un certificat ou d’une clé, et la configuration sur chaque appareil dépasse beaucoup d’équipes.
- Passerelle de chiffrement. Un serveur central chiffre et signe les e-mails automatiquement selon des règles fixes. Les collaborateurs écrivent comme d’habitude dans Outlook ou le webmail.
Pour les PME, la passerelle est en général la solution la plus pratique, car elle ne nécessite aucun logiciel sur les postes de travail.
Ce qu’est CipherMail
CipherMail est une passerelle de chiffrement d’un éditeur néerlandais. Elle se place dans le flux de messagerie, entre votre serveur et Internet. Il existe une édition open source et une version commerciale avec des fonctions supplémentaires comme le portail webmail. CipherMail fonctionne avec tout serveur qui utilise SMTP : Exchange, Microsoft 365, Google Workspace ou Zimbra.
Comment fonctionne le chiffrement
CipherMail choisit la méthode adaptée pour chaque destinataire :
- S/MIME ou OpenPGP, si le destinataire dispose d’un certificat ou d’une clé. C’est le cas de nombreuses administrations, banques et grandes entreprises.
- PDF protégé par mot de passe, si le destinataire n’utilise pas son propre chiffrement. Le message et les pièces jointes arrivent sous forme de PDF chiffré. Le destinataire reçoit le mot de passe par SMS ou par l’expéditeur. Les réponses peuvent aussi être chiffrées.
- Portail webmail, dans la version commerciale. Le destinataire lit le message dans un portail protégé, depuis son navigateur.
Les e-mails sortants peuvent en plus être signés numériquement. Le destinataire voit ainsi que le message vient bien de vous et n’a pas été modifié en route. Cela aide aussi contre les fausses factures.
Des règles plutôt que des clics
Le grand avantage d’une passerelle : personne n’a besoin d’y penser. Règles typiques :
- Les e-mails avec le mot « confidentiel » dans l’objet sont toujours chiffrés.
- Les e-mails des ressources humaines ou de la comptabilité vers l’extérieur sont toujours chiffrés.
- Certains destinataires, par exemple une fiduciaire ou un laboratoire, ne reçoivent que des e-mails chiffrés.
- Des contenus correspondant à certains modèles peuvent être contrôlés avant l’envoi et retenus si nécessaire.
Ce que le chiffrement ne protège pas
Même avec CipherMail, l’expéditeur, le destinataire et l’heure d’un e-mail restent visibles, et avec S/MIME et OpenPGP généralement aussi l’objet. Les informations confidentielles vont donc dans le texte ou la pièce jointe, pas dans l’objet. Et le chiffrement ne remplace pas un filtre antispam : contre l’hameçonnage et les logiciels malveillants, il faut toujours un filtre comme Proxmox Mail Gateway et des enregistrements SPF, DKIM et DMARC bien configurés.
Pour qui cela vaut la peine
- Fiduciaires avec fiches de salaire, déclarations d’impôt et bouclements
- Cabinets médicaux et de thérapie qui doivent aussi communiquer en sécurité hors des réseaux fermés
- Études d’avocats et centres de conseil soumis au secret professionnel
- Ressources humaines de toute taille
Plus d’informations sur les exigences légales dans l’article sur les mesures informatiques selon la LPD.
Comment nous mettons CipherMail en place
- Clarifier les besoins. Quels e-mails doivent être chiffrés, vers qui, et quelles méthodes utilisent vos principaux partenaires ?
- Installer la passerelle. CipherMail fonctionne sur un serveur en Suisse, chez vous ou dans notre infrastructure, et est intégré au flux de messagerie.
- Règles et certificats. Nous définissons les règles, obtenons les certificats et configurons le chiffrement PDF.
- Formation. Une courte introduction montre aux collaborateurs quand le chiffrement s’applique et comment les destinataires peuvent répondre.
CipherMail complète nos autres briques de messagerie : Zimbra comme serveur, Proxmox Mail Gateway comme filtre et MailStore pour l’archivage. Plus d’informations sous sécurité e-mail.
Questions fréquentes
Les destinataires doivent-ils installer quelque chose ?
Non. Sans certificat, ils reçoivent un PDF protégé par mot de passe, lisible avec n’importe quel lecteur PDF, ou lisent le message dans le portail webmail.
CipherMail fonctionne-t-il avec Microsoft 365 ?
Oui. La passerelle est intégrée au flux de messagerie de Microsoft 365. Les collaborateurs continuent de travailler dans Outlook.
Et les e-mails chiffrés entrants ?
CipherMail peut déchiffrer les e-mails S/MIME et OpenPGP entrants et vérifier la signature avant qu’ils n’arrivent dans la boîte.
Le chiffrement de Microsoft 365 ne suffit-il pas ?
Microsoft 365 propose ses propres fonctions de chiffrement, liées toutefois au niveau de licence et à Microsoft. Une passerelle propre fonctionne avec tout serveur, et les clés restent chez vous.
