La question « WhatsApp est-il sécurisé ? » mélange deux questions distinctes. L'une porte sur le transport : quelqu'un au milieu peut-il lire le contenu ? L'autre porte sur la gouvernance : qui détient légitimement le contenu une fois arrivé, et qu'en fait-on. La première a une réponse assez claire dans la documentation de WhatsApp. La seconde dépend entièrement de la façon dont l'entreprise s'est organisée, et c'est là que les programmes de messagerie s'exposent réellement.
Ce que le chiffrement couvre dans les chats personnels
Les messages et appels personnels WhatsApp sont chiffrés de bout en bout entre les appareils participants. Le livre blanc de sécurité de WhatsApp décrit cela comme une communication qui reste chiffrée de l'appareil de l'expéditeur à celui du destinataire, sans qu'aucun tiers — y compris WhatsApp — ne puisse accéder au contenu. Cette protection est réelle et significative, et elle est bornée par le comportement documenté du service : mieux vaut lire le livre blanc que présumer des limites.
Le chiffrement du contenu n'est pas tout le modèle de confidentialité
Chiffrer le contenu ne rend pas un service exempt de métadonnées. La politique de confidentialité de WhatsApp détaille ce que le service traite : numéro de mobile et nom de profil, données d'import de contacts, informations d'usage et de journal, informations d'appareil et de connexion, localisation générale dérivée de l'IP, et informations d'authentification. Elle précise aussi que certains éléments — photo de profil, texte « à propos », noms de groupes et communautés — ne reçoivent pas le même traitement que le contenu des messages personnels. Le cadrage exact est plus étroit que « WhatsApp est privé » ou « ne l'est pas » : le contenu des chats personnels est protégé en transit ; les informations sur le compte, l'appareil, la connexion et le comportement d'usage forment une catégorie séparée, tout comme les marges : appareils liés, sauvegardes, ce que fait le destinataire du message, et les captures d'écran. Les sauvegardes méritent une mention à part car elles créent une seconde copie de l'historique hors du chat ; WhatsApp propose des sauvegardes chiffrées de bout en bout, mais la protection dépend de l'activation de cette fonction et de sa sécurisation par mot de passe ou clé.
Le point faible, c'est l'appareil
Le chiffrement de transport protège un message entre appareils, mais ne dit rien des appareils eux-mêmes. Un téléphone déverrouillé, un ordinateur partagé avec une session web ouverte, un appareil lié que personne n'a retiré, ou un téléphone compromis contournent la protection sans casser la cryptographie — simplement en lisant le contenu là où il est légitimement déchiffré. Il en va de même pour l'ingénierie sociale — demander un code d'inscription, usurper un collègue, pousser vers un paiement frauduleux — qui ne touche pas du tout au chiffrement. La vérification en deux étapes et une revue disciplinée des appareils liés couvrent plus de risque réel que toute comparaison de protocoles.
Les chats professionnels suivent un autre chemin de données
Quand un client écrit à une entreprise, celle-ci reçoit le contenu. La politique de confidentialité de WhatsApp est explicite : ce qui est partagé avec une entreprise peut être visible par des personnes de cette entreprise, qui peut recourir à des prestataires tiers — potentiellement Meta — pour gérer ces communications. Selon la configuration, ce contenu peut atterrir sur un poste de centre de contact, une fiche CRM, un pipeline analytique ou le stockage d'un prestataire. Rien de tout cela n'est un échec du chiffrement — c'est le comportement attendu d'une conversation avec une organisation. Mais cela signifie que la question de sécurité pour un programme professionnel n'est pas « le canal est-il chiffré ? » mais « où va ce contenu, qui peut le voir, et pendant combien de temps ? ».
Le chiffrement ne remplace pas la gouvernance
La protection de transport ne dit rien du consentement, du contrôle d'accès, des exports, de la rétention, de la suppression ou de ce que le personnel peut demander. Ce sont des décisions de gouvernance que l'entreprise doit prendre délibérément : ne jamais demander ni répéter en chat des données sensibles (carte bancaire, pièce d'identité, santé) ; traiter les codes de vérification comme des messages à usage unique, jamais consignés dans une note de dossier ; et garder des identités d'expéditeur enregistrées et des domaines de lien propres pour que les clients distinguent les messages légitimes d'une usurpation. Flowstates peut opérer les canaux et routes de messagerie et la couche gérée de livraison autour d'eux ; aucun fournisseur, nous y compris, ne rend un programme de messagerie légalement conforme. Les exigences varient selon la juridiction et changent, et doivent être confirmées avec vos propres conseillers sur des sources primaires actuelles.
Checklist de revue pour les entreprises
- Carte des flux de données : chaque chemin que suit le contenu client, du chat jusqu'aux outils agents, au CRM, au stockage et aux exports.
- Sous-traitants et prestataires dans la chaîne, et à quelles conditions.
- Rôles et permissions des agents, avec accès, export, rédaction et suppression selon le besoin.
- Journalisation des accès à l'historique et aux exports, revue par une personne réelle.
- Rétention définie par système, avec une suppression qui fonctionne de bout en bout.
- Règles explicites sur le contenu sensible qu'un agent ne doit jamais demander ni répéter.
- Vérification en deux étapes, revue des appareils liés et contrôle de la récupération du numéro de l'entreprise.
- Plan de réponse aux incidents et de portabilité en cas de changement de fournisseur ou de plateforme.