Le procès intenté par le procureur général du Texas contre Meta ne porte pas vraiment sur l'efficacité de l'algorithme de chiffrement de WhatsApp. Il porte sur tout ce qui l'entoure.

La plainte, déposée le 21 mai 2026, allègue que Meta stockait les messages WhatsApp sous forme non chiffrée et exploitait un système interne permettant aux employés et aux sous-traitants d'accéder au contenu des messages privés sur simple demande. Le cryptographe Matthew Green, professeur à l'université Johns Hopkins, a fait remarquer que ces allégations sont plausibles « dans le contexte des sauvegardes sur le cloud et de la messagerie d'entreprise » et que les propres déclarations de WhatsApp en matière de confidentialité reconnaissent l'existence de catégories de données qui échappent totalement à sa garantie de cryptage.

Cette distinction revêt une importance capitale pour les responsables gouvernementaux et ceux chargés des infrastructures critiques, et elle reste valable quelle que soit l'issue du procès. La question n'a jamais été de savoir si le protocole de messagerie était cryptographiquement sûr — il l'est. La question est de savoir si le système qui l'entoure est géré de manière à protéger votre mission.

Pour les particuliers, cette lacune soulève des questions en matière de protection de la vie privée. Pour les organismes de défense, les coordinateurs des interventions d'urgence et les exploitants d'infrastructures critiques, il s'agit d'une vulnérabilité opérationnelle.

Réfléchissons à ce qui échappe au champ d'application du chiffrement dans un déploiement classique de messagerie grand public. Les sauvegardes dans le cloud, qui ne sont pas nécessairement chiffrées de bout en bout par défaut. Les intégrations de messagerie d'entreprise comportant des exceptions d'accès explicites. Les systèmes de plateformes internes qui, selon la plainte déposée au Texas, peuvent accéder au contenu des messages sur simple demande. Et les métadonnées révélant qui a communiqué avec qui, quand et à quelle fréquence — visibles que le contenu des messages soit protégé ou non.

Chacun de ces éléments constitue un indice que des adversaires peuvent exploiter. Non pas pour lire un message en particulier, mais pour cartographier les relations hiérarchiques, déduire le calendrier opérationnel et identifier les décideurs avant qu’un événement critique ne se produise. Prenons l’exemple d’un service public régional réagissant à une activité suspecte dans une sous-station, d’une agence de défense gérant une opération sensible ou d’une autorité de santé publique gérant une crise. Dans chaque cas, le schéma de communication lui-même recèle une valeur en termes de renseignements, que les messages individuels soient lisibles ou non.

Les outils de messagerie grand public n'ont pas été conçus pour permettre un contrôle total. Ils ont été conçus pour toucher un large public.

Ce qu'implique le contrôle souverain

Ce procès met en lumière une liste de contrôle utile pour les dirigeants publics chargés d'évaluer leur environnement de communication. Le contrôle souverain implique de répondre par l'affirmative à chacune des questions suivantes :

• C'est vous qui détenez les clés de chiffrement, et non le fournisseur de la plateforme ?

• Les sauvegardes sont-elles protégées de bout en bout par défaut, sans configuration manuelle ?

• Les métadonnées sont-elles protégées contre toute observation extérieure, notamment en ce qui concerne les schémas de communication, le moment de la communication et l'identité des participants ?

• Contrôlez-vous qui peut accéder au contenu des messages, sans qu'un système de requête externe puisse passer outre ?

• Contrôlez-vous quels appareils, utilisateurs et intégrations peuvent accéder aux canaux sensibles ?

• La plateforme peut-elle être déployée sur une infrastructure que vous contrôlez, dans des juridictions qui répondent à vos exigences en matière de localisation des données ?

Les outils grand public ne peuvent pas répondre à ces exigences, car ils ont été conçus à d'autres fins. Le problème se pose lorsque des organismes chargés de la gouvernance nationale, de la coordination de la défense ou des infrastructures critiques considèrent des outils destinés à un usage courant comme des infrastructures essentielles à leur mission.

Une norme en pleine évolution

Le procès au Texas n'est pas un cas isolé. Une action collective parallèle a été intentée en mars 2026 devant la Cour fédérale du district nord de Californie, reprenant pour l’essentiel les mêmes allégations : les employés de Meta et les sous-traitants d’Accenture auraient eu un large accès à des messages privés dont les utilisateurs étaient assurés qu’ils étaient les seuls à pouvoir les lire. Pris dans leur ensemble, ces dossiers reflètent une évolution plus large dans la manière dont les gouvernements et les régulateurs envisagent les plateformes de messagerie grand public.

Le litige ne porte pas principalement sur la qualité de l'algorithme de chiffrement. Il porte sur ce qui se passe autour : la protection des sauvegardes dans le cloud, les éventuelles exceptions concernant la messagerie d'entreprise, et la possibilité pour les systèmes d'accès internes des employés de contourner les garanties offertes par le protocole. Les communications critiques nécessitent une gouvernance, une certification, un déploiement souverain et un contrôle administratif qu'aucune plateforme grand public n'est conçue pour fournir.

La première étape concrète

Les dirigeants devraient commencer par évaluer en toute honnêteté dans quelle mesure les outils de messagerie grand public ont été intégrés aux processus opérationnels officiels. Cela implique d'examiner l'exposition des métadonnées, le niveau de chiffrement des sauvegardes, les contrôles relatifs aux identités et aux appareils, la localisation des données, la propriété des clés, ainsi que la question de savoir si une plateforme tierce conserve l'accès au contenu des messages par le biais d'intégrations, de systèmes de sauvegarde ou de mécanismes de demande internes.

Pour les organisations où la sécurité des communications est une exigence opérationnelle, il n'est plus défendable de se contenter de considérer que la couche de chiffrement est suffisante.

Sécurisez le système. Pas seulement le message.