Chiffrer ses données : le guide complet pour protéger son disque dur et son cloud

Temps de lecture : 13 minutes

En février 2025, Apple a retiré le chiffrement avancé d’iCloud à tous ses utilisateurs britanniques.

Pas à cause d’une faille. Pas à cause d’un piratage. Sur ordre du gouvernement, qui exigeait une porte dérobée. Apple a préféré supprimer la protection plutôt que d’installer la porte. Résultat, du jour au lendemain, des millions de personnes ont perdu le chiffrement de leurs photos, de leurs notes et de leurs sauvegardes. Elles ne l’avaient pas demandé, on ne leur a pas laissé le choix.

Retiens bien ça, parce que c’est toute la leçon de cet article. Le chiffrement qu’on te fournit peut t’être repris. Celui que tu appliques toi-même, non.

En France, cette protection existe toujours. Elle est même excellente. Mais elle dépend d’une décision qui n’est pas la tienne. Alors on va voir les deux, comment activer les protections fournies par Apple, Microsoft et les autres, et surtout comment ajouter ta propre couche, celle que personne ne peut te retirer.

Pourquoi chiffrer, vraiment

Oublions les films d’espionnage. La vraie raison de chiffrer est beaucoup plus banale, et beaucoup plus probable.

Ton ordinateur portable se fait voler dans un train. Ta clé USB tombe de ta poche. Ton téléphone reste sur une table de café. Sans chiffrement, celui qui le récupère branche le disque sur une autre machine et lit absolument tout. Tes documents, tes photos, tes factures, tes mots de passe enregistrés dans le navigateur. Le mot de passe de session Windows ne protège rien, il suffit de sortir le disque du boîtier.

Ensuite, il y a le cloud. Tes fichiers sur Google Drive ou OneDrive sont chiffrés, oui. Mais c’est le fournisseur qui détient la clé. Il peut donc lire tes fichiers, et surtout, il peut être contraint de les lire pour quelqu’un d’autre. Une fuite de données chez lui expose tes documents. Une réquisition légale les livre.

Chiffrer, ce n’est pas avoir quelque chose à cacher. C’est décider qui a le droit de lire.

La distinction que personne n’explique

Tous les clouds disent chiffrer tes données. C’est vrai, et c’est trompeur. Il y a deux chiffrements très différents.

Le premier, c’est le chiffrement au repos. Tes fichiers sont stockés sous forme chiffrée sur les serveurs, mais le fournisseur garde les clés dans ses coffres. C’est ce que font Google Drive, OneDrive, Dropbox, et iCloud par défaut. Ça te protège d’un pirate qui volerait les disques du datacenter. Ça ne te protège pas du fournisseur lui-même, ni de qui peut le contraindre.

Le second, c’est le chiffrement de bout en bout côté client. Tes fichiers sont chiffrés sur ton appareil, avec une clé que toi seul possèdes, avant même de partir. Le fournisseur ne stocke que des blocs illisibles. Il ne peut pas lire, même s’il le voulait, même si on le lui ordonnait.

Toute la différence est là. Dans le premier cas, tu fais confiance. Dans le second, tu n’as pas besoin de faire confiance.

Chiffrer son disque local

Commençons par ta machine, c’est le plus urgent et le plus simple.

Les outils fournis avec ton système

Sur Windows, BitLocker. Efficace, transparent, intégré. Deux problèmes sérieux. Il n’est disponible que sur les éditions Pro, Enterprise et Education, donc pas sur Windows Home, celui de la majorité des particuliers. Et surtout, si tu utilises un compte Microsoft en ligne, ta clé de récupération est envoyée chez Microsoft par défaut. Ce qui veut dire que Microsoft peut techniquement déchiffrer ton disque, et donc y être contraint. Le chiffrement est réel, l’indépendance ne l’est pas.

Sur macOS, FileVault. Solide, il s’appuie sur la puce de sécurité de ton Mac. Un conseil que donnent les spécialistes de la vie privée, évite d’utiliser ton compte iCloud comme méthode de récupération. Stocke plutôt ta clé de secours localement, sur un papier dans un tiroir. Sinon tu recrées exactement le problème de BitLocker, Apple détient de quoi ouvrir.

Sur Linux, LUKS. C’est le standard, il est proposé dès l’installation de la plupart des distributions. Aucune raison de s’en priver.

Ces trois outils sont largement suffisants contre le vol de ton ordinateur. Active-les, aujourd’hui. C’est dix minutes et ça change tout.

VeraCrypt, quand tu veux ne dépendre de personne

VeraCrypt est l’outil de ceux qui ne veulent pas confier leur clé à un éditeur. C’est un logiciel libre, gratuit, héritier de TrueCrypt, et son mainteneur principal, Mounir Idrassi, est un développeur français basé à Paris. Son code a été audité par QuarksLab, un cabinet français lui aussi, et les failles trouvées ont été corrigées.

Ce qu’il fait de mieux que les outils natifs. Il fonctionne à l’identique sur Windows, macOS et Linux, donc un conteneur créé sur ton PC s’ouvre sur ton Mac. Il te laisse choisir tes algorithmes. Et il propose une fonction que personne d’autre n’offre, le volume caché.

Le principe du volume caché mérite qu’on s’y arrête, parce qu’il est brillant. À l’intérieur d’un conteneur chiffré normal, tu crées un second conteneur invisible, avec un mot de passe différent. Selon le mot de passe que tu tapes, VeraCrypt ouvre l’un ou l’autre. Et il est impossible de prouver que le second existe, parce que l’espace libre d’un volume VeraCrypt est de toute façon rempli de données aléatoires. Si on te force à donner ton mot de passe, tu donnes celui du volume visible, qui contient des documents anodins. C’est ce qu’on appelle le déni plausible.

Créer ton premier conteneur, pas à pas. Télécharge VeraCrypt sur son site officiel . Lance-le, clique sur Créer un volume, puis choisis un conteneur de fichier chiffré. Sélectionne un volume standard pour commencer, tu exploreras les volumes cachés plus tard. Choisis où le créer et donne-lui un nom quelconque, par exemple un fichier qui ressemble à une archive banale. Laisse AES et SHA-512, ce sont les bons choix par défaut. Définis la taille, puis choisis une phrase secrète longue, vraiment longue. Bouge ta souris au hasard pendant quelques secondes, ça génère de l’aléatoire, puis formate.

Ton conteneur existe. Pour l’utiliser, tu le sélectionnes dans VeraCrypt, tu cliques sur Monter, tu tapes ta phrase, et il apparaît comme un disque normal dans ton explorateur. Tu y glisses tes fichiers. Quand tu cliques sur Démonter, tout redevient un bloc illisible.

Un avertissement qui n’est pas une formalité. Si tu perds ta phrase secrète, tes données sont perdues. Définitivement. Personne ne peut te les rendre, ni moi, ni les développeurs, ni personne. C’est le prix d’un chiffrement qui fonctionne vraiment.

Chiffrer ses données dans le cloud

Deux stratégies, et elles ne s’excluent pas.

Stratégie 1, choisir un cloud chiffré de bout en bout

La plus simple. Tu prends un service qui chiffre côté client par défaut, et tu n’y penses plus.

Proton Drive est aujourd’hui la référence sur ce terrain. Suisse, chiffrement de bout en bout à accès zéro, y compris sur l’offre gratuite de 5 Go. Tes fichiers sont chiffrés sur ton appareil avant d’être envoyés, et Proton ne détient pas les clés. Il chiffre aussi les noms de fichiers, les tailles et les dates, ce que beaucoup de concurrents oublient. Le code est open source et audité. J’y stocke mes documents sensibles depuis un moment, et je m’en sers aussi comme sauvegarde chiffrée hors site.

Sois lucide sur les compromis, ils existent. La collaboration en temps réel est moins mature que chez Google. Le prix au gigaoctet est moins agressif que chez les géants. Et tu déplaces la confiance, tu ne la supprimes pas, tu fais confiance à Proton et à la Suisse plutôt qu’à Google et aux États-Unis. C’est mieux, ce n’est pas la même chose que ne faire confiance à personne.

Stratégie 2, chiffrer toi-même par-dessus n’importe quel cloud

C’est la stratégie que je préfère, parce qu’elle ne dépend de personne. Et elle a un nom, Cryptomator.

Cryptomator est un logiciel libre allemand, sous licence GPL, gratuit sur ordinateur. Il crée un coffre-fort chiffré à l’intérieur de ton dossier cloud, quel qu’il soit. Google Drive, OneDrive, Dropbox, iCloud Drive, kDrive, Nextcloud, ça marche avec tout. Tes fichiers sont chiffrés en AES-256 sur ta machine avant la synchronisation. Le fournisseur ne voit que des blocs illisibles, y compris les noms de fichiers et l’arborescence, donc il ne peut même pas deviner ce que tu stockes.

La différence avec VeraCrypt est importante à comprendre. VeraCrypt crée un gros conteneur unique, ce qui est parfait en local mais catastrophique dans le cloud, parce que modifier un fichier oblige à resynchroniser l’ensemble du conteneur. Cryptomator chiffre chaque fichier individuellement, donc seul le fichier modifié remonte. Il est conçu pour le cloud, VeraCrypt pour le disque. Utilise le bon outil au bon endroit.

Détail qui compte, aucun compte n’est nécessaire pour utiliser Cryptomator. Tu télécharges, tu crées un coffre, tu choisis un mot de passe. Personne ne sait que tu l’utilises, même pas ses développeurs.

Créer ton coffre, pas à pas. Télécharge Cryptomator , gratuit sur Windows, macOS et Linux. Lance-le et clique sur Ajouter un coffre, puis Créer un nouveau coffre. Donne-lui un nom, et choisis son emplacement à l’intérieur de ton dossier cloud synchronisé, par exemple dans ton dossier Google Drive ou iCloud Drive. C’est tout l’intérêt. Définis un mot de passe long, et sauvegarde impérativement la clé de récupération qu’il te propose. Déverrouille le coffre, il apparaît comme un disque virtuel. Tu y déposes tes fichiers, ils partent chiffrés dans le cloud.

Sur mobile, les applications iOS et Android sont payantes, en achat unique, pas en abonnement. C’est le modèle qui finance le projet, et il reste honnête. Une version Lite gratuite existe aussi sur F-Droid pour Android.

Le cas iCloud, en détail

Beaucoup d’entre vous sont sur iPhone et sur Mac, alors traitons ce cas précisément, parce qu’il est mal compris.

Ce qui est chiffré par défaut

Sans rien faire, iCloud chiffre déjà de bout en bout quinze catégories de données. Le trousseau de mots de passe, les données de l’application Santé, iMessage, FaceTime, les informations de paiement. Sur celles-là, Apple ne peut pas lire, même s’il le voulait.

Mais tout le reste, et c’est le plus volumineux, ne l’est pas. Tes sauvegardes iCloud, tes photos, iCloud Drive, tes notes, tes mémos vocaux, tes signets Safari. Tout ça est chiffré sur les serveurs d’Apple, mais avec des clés qu’Apple détient. Donc Apple peut y accéder, et peut être contraint d’y donner accès.

La Protection Avancée des Données, à activer

C’est le réglage qui change tout. En l’activant, tu fais passer de quinze à vingt-cinq le nombre de catégories chiffrées de bout en bout. Tes photos, tes sauvegardes, ton iCloud Drive deviennent illisibles pour Apple.

Comment l’activer. Sur ton iPhone, va dans Réglages, touche ton nom en haut, puis iCloud, puis Protection avancée des données. Sur Mac, c’est dans Réglages Système, ton compte Apple, iCloud, Protection avancée des données.

Avant de pouvoir l’activer, Apple t’oblige à configurer une méthode de récupération, et c’est essentiel. Soit un contact de récupération, une personne de confiance qui pourra t’aider à retrouver l’accès, soit une clé de secours, un code de vingt-huit caractères que tu dois noter et conserver en lieu sûr, hors ligne.

Comprends bien ce que ça implique. Une fois la Protection Avancée activée, Apple n’a plus les clés. Si tu perds ton mot de passe, ton appareil et ta clé de secours, tes données sont définitivement perdues. Apple ne pourra rien faire pour toi, ce n’est pas de la mauvaise volonté, c’est mathématiquement impossible. C’est exactement ce qu’on veut, et c’est une responsabilité.

Les limites que même la Protection Avancée ne couvre pas

Trois exceptions à connaître, elles ne sont pas chiffrées de bout en bout même avec la Protection Avancée activée. La collaboration sur les documents iWork, Pages, Numbers, Keynote. Les albums partagés dans Photos. Et tout partage fait avec l’option « toute personne disposant du lien ». Si tu partages un dossier avec un lien public, il repasse en chiffrement standard. Garde-le en tête.

Et si Apple doit céder, comme au Royaume-Uni ?

On y revient, parce que c’est le cœur du problème. La Protection Avancée est une excellente fonction. Elle reste disponible en France. Mais elle a été retirée aux Britanniques par une décision politique, et rien ne garantit qu’elle survivra partout indéfiniment.

La parade est simple, et c’est le conseil le plus utile de cet article. Installe un coffre Cryptomator à l’intérieur de ton iCloud Drive. Tes fichiers les plus sensibles y sont chiffrés par toi, avec ta clé, avant même qu’iCloud les touche. Si demain Apple perd le droit de proposer le chiffrement de bout en bout dans ton pays, ton coffre, lui, reste illisible. Personne ne peut te retirer une clé que tu es le seul à détenir.

C’est ça, la différence entre une protection qu’on t’accorde et une protection que tu construis.

Le tableau qui remet les choses à plat

	Qui détient la clé	Local ou cloud	Open source	Gratuit
BitLocker	Microsoft par défaut	Local	Non	Windows Pro
FileVault	Toi ou Apple selon réglage	Local	Non	Oui
VeraCrypt	Toi seul	Local	Oui	Oui
iCloud standard	Apple	Cloud	Non	Oui
iCloud + Protection Avancée	Toi seul	Cloud	Non	Oui
Proton Drive	Toi seul	Cloud	Oui	5 Go gratuits
Cryptomator	Toi seul	Par-dessus n’importe quel cloud	Oui	Oui sur ordinateur

Les erreurs qui annulent tout

Le chiffrement est impitoyable, il ne pardonne pas les approximations. Voici ce qui ruine tout.

Perdre son mot de passe. Il n’y a pas de bouton mot de passe oublié. Si tu perds la phrase secrète d’un conteneur VeraCrypt ou d’un coffre Cryptomator, les données sont perdues pour toujours. Utilise un gestionnaire de mots de passe, et sauvegarde tes clés de récupération hors ligne.

Confondre chiffrement et sauvegarde. Un fichier chiffré qui n’existe qu’à un seul endroit reste un fichier que tu peux perdre. Le chiffrement protège la confidentialité, pas la disponibilité. Applique la règle 3-2-1 en plus, elle ne remplace pas le chiffrement et le chiffrement ne la remplace pas.

Croire que le chiffrement protège d’un ordinateur infecté. Si ta machine est compromise par un logiciel espion, il verra tes fichiers au moment où tu ouvres ton coffre, en clair. Le chiffrement protège les données au repos, pas un système déjà vérolé. L’hygiène de base reste indispensable.

Choisir un mot de passe court. Un chiffrement AES-256 est incassable. Un mot de passe de huit caractères ne l’est pas. Le maillon faible n’est jamais l’algorithme, c’est toujours ce que tu tapes.

Par où commencer concrètement

Si tu ne fais qu’une chose aujourd’hui, active le chiffrement de ton disque. BitLocker, FileVault ou LUKS selon ton système. Dix minutes, et un vol de portable ne devient plus une catastrophe.

Si tu veux protéger ton cloud sans changer d’habitudes, installe Cryptomator et crée un coffre dans ton dossier cloud actuel. Tes fichiers sensibles y vont, le reste continue comme avant.

Si tu es sur iPhone, active la Protection Avancée des Données, et note ta clé de secours sur du papier.

Et si tu veux repartir sur une base saine, un cloud chiffré de bout en bout par défaut règle le problème à la racine.

Le point commun de tout ça, c’est que la clé doit être entre tes mains. Une protection qu’on peut te retirer par décision administrative n’est pas une protection, c’est une tolérance. Les Britanniques l’ont appris en février 2025.

Si Webologie t’aide à y voir plus clair, abonne-toi à la newsletter.

---

Cet article contient un lien affilié Proton. Si tu passes par lui, Webologie touche une commission sans surcoût pour toi. Mes recommandations restent indépendantes, et tu remarqueras que les deux outils les plus puissants de ce guide, VeraCrypt et Cryptomator, sont gratuits, libres, et ne me rapportent rien.

Avertissement technique : lis chaque étape en entier avant de l’exécuter. Avant de chiffrer un disque existant, fais une sauvegarde complète. Le chiffrement est irréversible sans la clé, et une manipulation interrompue peut rendre des données inaccessibles. En cas de doute, commence par un conteneur de test avec des fichiers sans importance.