Téléphone PGP : distinguer e-mails, appels et promesses de sécurité
Un téléphone PGP ne garantit pas à lui seul le chiffrement de tous vos échanges. Cette appellation commerciale peut désigner un smartphone équipé d’applications de sécurité, tandis qu’OpenPGP sert notamment à protéger les e-mails. Avant d’acheter, vérifiez quelles communications sont couvertes : courriels, appels, messages ou données stockées. Pour chiffrer uniquement vos e-mails, un smartphone Android compatible peut suffire.
Identifier ce que le téléphone protège réellement
PGP signifie Pretty Good Privacy. OpenPGP est un standard qui permet à différents logiciels compatibles d’échanger des messages chiffrés et signés. Ce n’est ni une technologie de réseau mobile ni une propriété matérielle du téléphone. La mention « PGP » ne prouve donc pas que les appels classiques ou les SMS sont protégés de bout en bout.
Le chiffrement de bout en bout vise à réserver le contenu aux correspondants autorisés, sans le rendre accessible aux intermédiaires qui le transportent. Pour qu’il fonctionne, les applications utilisées aux deux extrémités doivent être compatibles et correctement configurées.
| Solution | Usage principal | Point à vérifier |
|---|---|---|
| OpenPGP sur Android | Chiffrer et signer des e-mails | Compatibilité du client et clés des correspondants |
| Messagerie chiffrée | Échanger des messages, parfois passer des appels | Protection effective de chaque fonction |
| Solution de VoIP sécurisée | Protéger la voix sur Internet | Protocole employé et authentification des interlocuteurs |
| Téléphone vendu comme sécurisé | Associer matériel, applications et assistance | Périmètre exact, mises à jour et services inclus |
| VPN | Protéger le trafic entre l’appareil et le serveur VPN | Un VPN ne remplace pas le chiffrement de bout en bout |
La protection des fichiers enregistrés relève d’un autre mécanisme. Elle dépend notamment du chiffrement du stockage et du verrouillage de l’appareil, pas seulement de la présence d’une application OpenPGP.
Comprendre les clés avant de confier ses échanges à PGP
Une paire cryptographique comprend une clé publique et une clé privée. Vous partagez la première pour permettre à vos correspondants de chiffrer des messages à votre intention. Vous gardez la seconde pour les déchiffrer. Pour envoyer un courriel confidentiel à quelqu’un, vous utilisez donc sa clé publique, et non la vôtre.
En pratique, une clé de session protège le contenu du message. La clé publique du destinataire sert ensuite à protéger cette clé de session. La signature numérique a une fonction différente : elle permet de vérifier l’intégrité du message et son lien avec la clé du signataire. Signer un message ne signifie pas le chiffrer.
Il faut aussi authentifier la clé publique. Comparez son empreinte avec votre correspondant par un canal distinct et fiable. Un fichier portant son nom ou son adresse e-mail ne suffit pas à prouver que la clé lui appartient.
Pour éviter d’accepter machinalement une nouvelle clé, consignez l’empreinte vérifiée, la date du contrôle et le canal utilisé pour chaque contact sensible. Si une autre clé apparaît, vous pourrez repérer un changement inattendu et le vérifier avant de poursuivre vos échanges.
Le destinataire doit avoir un outil compatible ou savoir déchiffrer manuellement le fichier reçu. Prévoyez aussi une sauvegarde protégée de votre clé privée et un moyen de révocation. Si vous perdez cette clé sans sauvegarde, vos anciens messages peuvent devenir définitivement illisibles.
Configurer OpenPGP sur Android et tester un premier envoi
OpenKeychain permet de créer, partager et importer des clés sur Android. Un client de messagerie compatible les utilise ensuite pour les e-mails. Le parcours présenté par ZDNET associe OpenKeychain à Thunderbird pour Android. Vérifiez toutefois la prise en charge d’OpenPGP dans la version installée, car les interfaces et les fonctions disponibles évoluent.
- Installer les applications depuis un canal officiel. Vérifiez l’éditeur, la compatibilité avec Android et les mises à jour proposées avant de leur confier vos clés.
- Créer ou importer votre paire de clés. Dans OpenKeychain, suivez l’assistant de création avec votre identité de messagerie, ou importez une clé existante.
- Protéger la clé privée. Choisissez une phrase secrète robuste si l’outil le propose, puis créez une sauvegarde chiffrée et conservez-la à l’écart du téléphone.
- Importer la clé publique du destinataire. Vous pouvez utiliser un fichier. Vérifiez ensuite l’empreinte avec le correspondant avant tout échange sensible.
- Configurer le compte de messagerie. Dans une version de Thunderbird pour Android qui prend en charge OpenPGP, activez cette fonction et sélectionnez la clé associée à votre compte. Les intitulés des menus peuvent varier.
- Activer le chiffrement à la rédaction. Vérifiez que chaque destinataire possède une clé reconnue et que l’application indique que le message est chiffré, pas seulement signé.
Commencez par envoyer un message sans information confidentielle. Demandez au destinataire de confirmer qu’il peut le lire, puis de vous répondre de façon chiffrée. Ce test vérifie les deux sens de communication. L’installation d’OpenKeychain ne chiffre pas automatiquement tous les e-mails, et ne protège pas les appels ni les SMS.
Comparer les promesses commerciales aux services livrés
La fiche commerciale de Coffrette présente un téléphone PGP avec 128 Go de stockage et une compatibilité 5G, ainsi qu’un chargeur USB-C et un adaptateur. Elle annonce aussi un mois de forfait gratuit pour le VPN et Securephone. Ces caractéristiques décrivent l’équipement et l’offre, mais ne prouvent pas à elles seules la solidité du chiffrement.
Avant de commander, demandez le modèle exact, la version du système et la durée de maintenance. Vérifiez aussi les applications installées. Pour Securephone, faites préciser les fonctions couvertes, les protocoles utilisés et les conditions requises chez vos interlocuteurs. Une promesse générale de « communications totalement sécurisées » ne remplace pas ces informations.
- Abonnement : vérifiez le prix après le mois offert, le renouvellement et les modalités de résiliation.
- Usage quotidien : contrôlez la compatibilité réseau, les contraintes d’installation et la possibilité d’exporter vos clés.
- Assistance : demandez quelle aide est prévue en cas de panne, de changement d’appareil ou de perte d’accès.
- Éléments vérifiables : recherchez une documentation technique, des audits identifiables et une politique de confidentialité précise.
Le paiement présenté comme sécurisé, la livraison internationale et le service client par e-mail sont des éléments de l’offre, pas des preuves de sécurité informatique. Un appareil prêt à l’emploi peut justifier son coût par son paramétrage et son accompagnement. Pour les seuls e-mails, une configuration logicielle peut suffire.
Ne pas confondre PGPfone et une protection universelle
Développé en 1995 et associé à Philip Zimmermann, PGPfone était un système de téléphonie sécurisée distinct du chiffrement des e-mails par PGP. Il utilisait Diffie-Hellman pour établir une clé de session, puis chiffrait le flux de paquets vocaux. Les interlocuteurs comparaient une courte chaîne d’authentification pour détecter une éventuelle attaque d’interposition, dite Man-in-the-middle.
PGPfone pouvait fonctionner sur le réseau téléphonique public ou sur Internet, mais Internet se prêtait encore mal à son usage en 1996. Une décennie plus tard, Zfone et ZRTP ont prolongé cette approche de sécurisation de la voix sur IP. Cet historique ne certifie pas les téléphones actuellement vendus sous l’étiquette PGP.
Enfin, le chiffrement ne protège pas un téléphone compromis : un logiciel malveillant peut accéder au contenu lorsqu’il est affiché. OpenPGP ne masque pas non plus toutes les métadonnées. Choisissez votre solution selon le besoin réel, qu’il s’agisse d’e-mails compatibles, d’appels sécurisés ou d’un appareil accompagné. Avant de payer, demandez une démonstration de chaque fonction annoncée.
- Fuite de données Colis Privé : pas de coordonnées bancaires exposées, mais gare aux faux SMS - 1 novembre 2026
- Effacer les données de navigation : ce qui part, ce qui reste et les réflexes avant de prêter son appareil - 31 octobre 2026
- Clé PGP : ce que la clé privée protège vraiment, et l’erreur qui la rend inutile - 30 octobre 2026