WhatsApp et le chiffrement :
ce que dit la plainte, et ce qu’elle ne prouve pas.
L’accusation est spectaculaire : l’éditeur pourrait accéder à la quasi-totalité des conversations pourtant chiffrées. Le dossier repose sur des témoignages anonymes et ne produit aucun élément technique démontrant une faille. Pendant ce temps, le véritable point faible de la confidentialité se trouve ailleurs, et il dépend d’un réglage que la plupart des utilisateurs n’ont jamais touché.
Ce que contient la plainte
L’affaire a débuté fin janvier 2026 et son cadre mérite d’être précisé, tant les reprises sont restées vagues.
- Une action collective a été déposée à San Francisco par le cabinet Quinn Emanuel Urquhart et Sullivan, au nom d’un groupe international d’utilisateurs.
- L’allégation centrale est que l’éditeur pourrait accéder à la quasi-totalité des communications privées, malgré le chiffrement de bout en bout revendiqué.
- Le cabinet dit s’appuyer sur des lanceurs d’alerte issus notamment d’Australie, du Brésil, d’Inde, du Mexique et d’Afrique du Sud.
- Leur identité et leurs fonctions ne sont pas révélées dans le document déposé.
- L’entreprise a démenti catégoriquement, qualifiant ces accusations d’infondées.
- L’affaire a néanmoins attiré l’attention des autorités américaines, et une enquête fédérale a été ouverte en février 2026.
L’ouverture d’une enquête ne préjuge de rien. Elle signifie qu’une autorité estime la question suffisamment sérieuse pour être examinée, ce qui n’équivaut ni à une validation des allégations ni à un constat d’infraction. À ce jour, aucune conclusion publique n’a été rendue.
Le cabinet à l’origine de la plainte est un acteur reconnu du contentieux américain. Ce n’est pas une garantie sur le fond, mais cela distingue le dossier d’une démarche isolée.
Ce qu’elle ne prouve pas
Voici le point que les reprises les plus alarmistes ont systématiquement omis, et il est déterminant pour évaluer la portée du dossier.
Les plaignants n’apportent aucune preuve technique concrète d’une faille dans le protocole. Le document ne décrit pas de mécanisme, ne produit pas de code, ne documente pas une opération reproductible. Il rapporte des affirmations attribuées à des témoins dont l’identité n’est pas dévoilée.
Plusieurs spécialistes de la cryptographie ont jugé l’accusation peu crédible en l’état. Le protocole employé, développé par une équipe indépendante et intégré à l’application depuis 2016, a fait l’objet d’audits publics. Son principe repose sur un chiffrement effectué sur l’appareil de l’expéditeur, avec un déchiffrement possible uniquement sur celui du destinataire.
Un argument technique pèse en faveur du scepticisme. Le protocole employé est public et son code côté client est inspectable. Une porte dérobée permanente supposerait une modification que des chercheurs indépendants auraient de fortes chances de repérer, sur une application analysée en permanence par des équipes du monde entier. Cela ne rend pas la chose impossible, mais cela en élève considérablement le coût pour celui qui la mettrait en place.
Cette absence de démonstration ne signifie pas que les allégations sont fausses. Elle signifie qu’elles ne sont pas établies, ce qui est différent, et qu’il convient de les traiter comme des accusations en cours d’examen plutôt que comme des faits. La même règle de lecture s’applique à toutes les revendications de ce type, comme nous le rappelions à propos d’autres dossiers de sécurité.
Ce que le chiffrement protège
Une distinction simple permet de sortir du débat par oui ou par non, et elle vaut pour toutes les messageries.
Le chiffrement de bout en bout porte sur le contenu des échanges pendant leur transmission. Le texte des messages, les fichiers joints et les appels sont protégés entre l’appareil de l’expéditeur et celui du destinataire. Un intermédiaire qui intercepterait le flux ne verrait qu’un chiffre illisible.
Ce niveau de protection reste considéré comme solide par la communauté technique. Il a par ailleurs eu un effet majeur : la confidentialité des échanges, autrefois réservée à des outils confidentiels réservés aux initiés, est devenue le fonctionnement par défaut d’une application utilisée par trois milliards de personnes. C’est une avancée que la controverse actuelle ne doit pas effacer.
Ce que cette protection ne recouvre pas est en revanche rarement expliqué, et c’est là que se situent les risques réels pour un utilisateur ordinaire. Les évolutions de l’application se poursuivent en parallèle, du remplacement annoncé du numéro de téléphone par un pseudonyme jusqu’à la réintégration d’assistants conversationnels.
Ce qu’il ne protège pas
Autour de chaque message chiffré subsiste une couche d’informations qui échappe à cette protection par construction.
- Qui communique avec qui, et à quelle fréquence.
- Les horaires et la durée des échanges, révélateurs des habitudes de vie.
- Le numéro de téléphone, qui constitue un identifiant stable et souvent recoupable.
- Les appartenances à des groupes et les connexions entre comptes.
- La photographie de profil et le statut, généralement visibles au-delà du cercle des contacts.
- Les informations techniques sur l’appareil et la connexion.
Une précision s’impose sur la nature de ces données. Elles ne sont pas collectées par malveillance : la plupart sont indispensables au fonctionnement du service. Acheminer un message suppose de savoir à qui l’envoyer, et à quel moment. La question n’est donc pas leur existence mais leur conservation, leur durée de rétention et les usages qui en sont faits.
Ces éléments ne disent pas ce que vous avez écrit, mais ils dessinent une cartographie relationnelle dont la valeur dépasse souvent celle d’un message isolé. Un incident documenté en janvier 2026 l’a rappelé : des chercheurs ont montré que les identifiants des clés de chiffrement permettaient de déterminer le système d’exploitation d’un appareil. L’éditeur a corrigé une partie du problème en rendant ces identifiants aléatoires sur un système, mais la correction reste partielle et la communication sur le sujet a été jugée opaque.
Connaître le système d’exploitation d’une cible constitue la première étape avant de déployer un logiciel espion adapté. Cette information paraît anodine et ne l’est pas dans le cadre d’une attaque ciblée.
Le vrai point faible
L’analyse la plus utile de cette affaire est venue d’un cryptographe de renom, et elle déplace complètement le problème.
Un message parfaitement chiffré pendant sa transmission peut se retrouver en clair dans une sauvegarde. Les copies de sécurité stockées sur les services en ligne des fabricants de téléphones ne bénéficient pas nécessairement du même niveau de protection que les échanges en temps réel. Sans activation d’une option spécifique, une personne ayant accès à ce compte de sauvegarde peut potentiellement lire les conversations.
Le constat qui en découle mérite d’être retenu : une grande part des vulnérabilités perçues par les utilisateurs provient de choix de configuration personnels plutôt que de failles structurelles dans le chiffrement. La plainte porte d’ailleurs sur les serveurs de l’éditeur, pas sur ces sauvegardes gérées par des tiers.
Un détail technique éclaire cette hiérarchie des risques. Le chiffrement de bout en bout protège les messages en transit, c’est-à-dire pendant quelques secondes. Une conversation conservée pendant des années sur deux téléphones et dans deux sauvegardes passe l’essentiel de son existence en dehors de cette protection. Concentrer son attention sur le maillon le plus court de la chaîne revient à surveiller la porte en laissant les fenêtres ouvertes.
La conséquence pratique est directe et rarement formulée. Un utilisateur inquiet de la confidentialité de ses échanges a beaucoup plus à gagner en vérifiant le chiffrement de ses sauvegardes qu’en suivant l’issue d’un contentieux américain. Le réglage existe, il est accessible dans les paramètres, et il ne dépend d’aucune décision judiciaire.
Les précédents et les correctifs
Cette plainte n’est pas isolée, et le contexte dans lequel elle intervient explique une partie de son écho.
En septembre 2025, un ancien responsable de la sécurité de l’application avait déjà déposé une plainte en tant que lanceur d’alerte. Il affirmait que près de mille cinq cents ingénieurs disposaient d’un accès non contrôlé aux données des utilisateurs. Il s’agit d’une procédure distincte, portant sur les contrôles internes plutôt que sur le chiffrement lui-même.
Des chercheurs ont par ailleurs relevé des anomalies dans la gestion des clés publiques, dont des réutilisations sur différents comptes et des clés à usage unique apparaissant à plusieurs reprises. Une partie de ces observations remonte à 2017. Il faut préciser qu’aucune fuite de données confirmée n’a été publiquement rattachée à l’exploitation de ces caractéristiques.
La chronologie de ces épisodes explique en partie l’ampleur de la réaction. Une plainte isolée s’oublie ; une succession de signalements sur plusieurs mois, émanant de sources différentes, installe un climat de défiance qui survit à chaque démenti pris séparément. C’est ce cumul, davantage que le contenu de la dernière plainte, qui explique l’écho rencontré.
Le travail correctif se poursuit en parallèle. En mai 2026, deux vulnérabilités affectant les versions mobiles et de bureau ont été corrigées, sans qu’aucune exploitation ait été constatée avant leur découverte. Ce type de correctif, publié via un programme de récompense pour les chercheurs, relève du fonctionnement normal d’un logiciel largement déployé. Le renforcement défensif s’observe aussi face aux escroqueries, comme nous le décrivions dans nos articles sur les mesures prises face à la multiplication des arnaques et sur les dispositifs déployés contre les escroqueries en ligne.
Les réflexes utiles
Indépendamment de l’issue du contentieux, quelques vérifications améliorent immédiatement la confidentialité réelle des échanges.
- Activer le chiffrement des sauvegardes, réglage disponible dans les paramètres et désactivé par défaut sur certaines configurations.
- Vérifier les appareils connectés au compte et déconnecter ceux que vous ne reconnaissez pas.
- Activer la vérification en deux étapes, qui empêche qu’un tiers enregistre votre numéro sur un autre appareil.
- Restreindre la visibilité de la photographie de profil, du statut et de l’heure de dernière connexion aux seuls contacts.
- Ne jamais transmettre un code de vérification reçu par message, quelle que soit la justification avancée.
- Pour les échanges les plus sensibles, envisager une messagerie dont le modèle économique ne repose pas sur la publicité.
Le troisième point mérite d’être détaillé car il correspond à l’attaque la plus courante. Prendre le contrôle d’un compte ne suppose aucune compétence en cryptographie : il suffit de convaincre la victime de transmettre le code reçu par message, sous un prétexte quelconque. La vérification en deux étapes ajoute un mot de passe que l’attaquant ne peut obtenir de cette manière, et elle bloque l’essentiel de ces tentatives.
Le dernier point mérite une nuance. Changer de messagerie n’améliore la confidentialité que si vos correspondants suivent, ce qui constitue le principal obstacle pratique. Plusieurs alternatives progressent néanmoins, comme le montrent nos articles sur la progression d’un concurrent vers le milliard d’utilisateurs et sur une messagerie attirant des millions d’inscrits avant son lancement. Un comparatif des fonctions existe par ailleurs dans notre article sur les dernières nouveautés des trois principales messageries.
Pour une entreprise, une règle simple vaut mieux qu’un long débat : les informations réellement confidentielles ne transitent pas par une messagerie grand public, quelle qu’elle soit.
Ce qu’on nous demande le plus souvent.
Qui a déposé cette plainte et quand ?
Une action collective déposée fin janvier 2026 à San Francisco par le cabinet Quinn Emanuel Urquhart et Sullivan, au nom d’un groupe international d’utilisateurs. Elle s’appuie sur des lanceurs d’alerte dont l’identité n’est pas révélée dans le document.
Meta peut-il lire mes messages ?
Rien ne l’établit. Les plaignants n’apportent aucune preuve technique d’une faille dans le protocole, l’entreprise dément catégoriquement et plusieurs cryptographes jugent l’accusation peu crédible en l’état. Une enquête fédérale a été ouverte sans qu’aucune conclusion ait été rendue.
Que protège exactement le chiffrement ?
Le contenu des messages, fichiers et appels pendant leur transmission, entre l’appareil de l’expéditeur et celui du destinataire. Il ne protège pas les métadonnées : qui communique avec qui, à quelle fréquence, à quels horaires, ni les informations de profil.
Mes sauvegardes sont-elles chiffrées ?
Pas nécessairement. Selon la configuration, les copies stockées sur les services en ligne des fabricants ne bénéficient pas du même niveau de protection que les échanges en temps réel. Activer le chiffrement des sauvegardes dans les paramètres est la mesure la plus efficace disponible.
Y a-t-il eu d’autres plaintes ?
Oui. En septembre 2025, un ancien responsable de la sécurité de l’application avait déposé une plainte comme lanceur d’alerte, affirmant que près de mille cinq cents ingénieurs disposaient d’un accès non contrôlé aux données. C’est une procédure distincte, portant sur les contrôles internes.
Faut-il changer de messagerie ?
Cela ne sert que si vos correspondants suivent, ce qui reste le principal obstacle. Pour un usage courant, vérifier le chiffrement de ses sauvegardes et activer la vérification en deux étapes améliore davantage la confidentialité réelle. Les informations sensibles ne transitent pas par une messagerie grand public.
- Plainte collective déposée fin janvier 2026 devant une juridiction de San Francisco, révélée par la presse britannique.
- Démenti public de Meta et ouverture d’une enquête par les autorités fédérales américaines en février 2026.
- Analyses de spécialistes de la cryptographie publiées à la suite du dépôt de la plainte, portant sur le modèle de sécurité de l’application et sur le statut des sauvegardes.
- Travaux de chercheurs publiés en janvier 2026 sur l’identification du système d’exploitation à partir des identifiants de clés, et correctif partiel déployé par l’éditeur.
- Plainte déposée en septembre 2025 par un ancien responsable de la sécurité de l’application, portant sur les contrôles d’accès internes.
- Avis de sécurité publiés par l’éditeur en mai 2026 relatifs à deux vulnérabilités corrigées.
WY-Créations conçoit des sites internet et construit des stratégies de visibilité pour les artisans, les TPE, les PME et les professions libérales depuis 2018. Les allégations contenues dans une procédure judiciaire sont présentées comme telles et distinguées des faits établis ; aucune conclusion n’est tirée d’une enquête en cours. Pour aller plus loin : les avis clients ou nous écrire.
Vos informations sensibles transitent-elles par une messagerie grand public ?
Coordonnées bancaires, contrats, documents clients : une règle simple vaut mieux qu’un long débat sur le chiffrement. Ce qui est confidentiel ne passe pas par une application installée sur trois milliards de téléphones.