Sécurité de Telegram : le guide pour les organisations

La sécurité de Telegram repose sur un modèle que la plupart de ses utilisateurs ignorent : par défaut, les conversations ne sont pas chiffrées de bout en bout et restent stockées sur les serveurs de l'entreprise.

La messagerie revendique pourtant plus d'un milliard d'utilisateurs actifs mensuels et s'invite dans de nombreuses organisations, parfois jusque dans les cellules de crise. En France, son fondateur est mis en examen depuis fin août 2024 dans une enquête sur la diffusion de contenus illicites sur la plateforme, des accusations qu'il conteste. En juin 2025, une enquête de l'OCCRP a soulevé une autre question : qui contrôle réellement l'infrastructure par laquelle transitent les messages ? Dans ce guide, nous verrons :

• ce que Telegram chiffre réellement, et ce qu'il ne chiffre pas ;
• ce que révèle l'enquête de l'OCCRP sur l'infrastructure de Telegram ;
• pourquoi Telegram n'est pas adapté aux échanges sensibles d'une organisation ;
• les cinq signaux de confiance pour choisir une messagerie sécurisée, notamment pour votre communication de crise.

Pour découvrir comment Wire sur Cloud Temple protège les échanges sensibles de votre organisation, échangez avec notre équipe.

Telegram est-il sécurisé ?

Telegram chiffre vos échanges entre votre appareil et ses serveurs, mais ce n'est pas une messagerie chiffrée de bout en bout par défaut. Les conversations classiques sont conservées dans son cloud, où l'entreprise peut techniquement y accéder. Seuls les « chats secrets », limités aux échanges à deux et à activer manuellement, échappent à cet accès.

Telegram décrit lui-même ce fonctionnement dans sa FAQ : les chats cloud sont synchronisés sur tous vos appareils, tandis que les chats secrets restent propres à un seul appareil.

On lit souvent que Telegram est une messagerie « cryptée ». Le terme technique exact est « chiffrée », mais la vraie question est ailleurs : qui détient les clés permettant de lire les messages ? Sur un chat cloud, vous n'êtes pas le seul.

Chats cloud et chats secrets : deux niveaux de protection

Les chats cloud sont le mode par défaut. Les messages sont chiffrés pendant leur transport, puis stockés sur les serveurs de Telegram pour rester disponibles sur tous vos appareils. C'est ce qui rend l'application si pratique, et c'est aussi ce qui donne au fournisseur un accès technique au contenu.

Les chats secrets, eux, sont chiffrés de bout en bout. Mais il faut les ouvrir manuellement pour chaque contact, ils ne fonctionnent qu'entre deux personnes et restent attachés à un seul appareil. Les groupes et les canaux, où se déroule l'essentiel du travail collectif, ne peuvent pas être chiffrés de bout en bout. Comme le rappelle l'enquête de l'OCCRP, un ancien proche collaborateur du fondateur constatait dès 2018 que la grande majorité des utilisateurs ne les activent jamais.

MTProto, un protocole de chiffrement maison

Telegram s'appuie sur MTProto, un protocole conçu en interne, plutôt que sur un standard ouvert éprouvé par la communauté cryptographique, comme le protocole Signal ou MLS (Messaging Layer Security). Sa version actuelle a fait l'objet de travaux académiques, mais le choix d'un protocole propriétaire continue de susciter des réserves chez les spécialistes.

Les applications clientes de Telegram sont open source, le code de ses serveurs ne l'est pas. Une organisation ne peut donc pas vérifier de manière indépendante ce qui se passe côté infrastructure, là où sont stockés les chats cloud.

Ce que Telegram sait de vous

Pour créer un compte, Telegram exige un numéro de téléphone, qui sert d'identifiant. Sa politique de confidentialité prévoit aussi la collecte de métadonnées techniques, comme l'adresse IP et les appareils utilisés, qui peuvent être conservées jusqu'à 12 mois.

Depuis septembre 2024, quelques semaines après l'interpellation de son fondateur en France, cette politique prévoit que Telegram peut communiquer l'adresse IP et le numéro de téléphone d'un utilisateur aux autorités compétentes s'il reçoit une décision judiciaire valide le désignant comme suspect dans une affaire pénale. Auparavant, cet engagement se limitait aux affaires de terrorisme.

Sécurité de Telegram : que révèle l'enquête de l'OCCRP ?

En juin 2025, le média d'investigation russe indépendant IStories, partenaire de l'OCCRP (Organized Crime and Corruption Reporting Project), a publié une enquête sur les acteurs qui exploitent l'infrastructure réseau de Telegram. Ses conclusions, que Telegram conteste, éclairent un angle souvent négligé : la sécurité d'une messagerie ne dépend pas seulement de son chiffrement, mais aussi de ceux qui opèrent ses réseaux.

Une infrastructure réseau confiée à des prestataires liés aux services russes

Selon l'enquête, l'équipement réseau de Telegram est entretenu par la société d'un ingénieur réseau russe sans profil public, qui a attribué plus de 10 000 adresses IP à la messagerie. Des documents judiciaires montrent qu'il a disposé d'un accès exclusif à certains serveurs de Telegram et qu'il était habilité à signer des contrats au nom de l'entreprise.

D'autres sociétés liées à ce prestataire ont, d'après l'OCCRP, travaillé avec le secteur de la défense russe et le FSB, le service de sécurité russe. L'enquête souligne qu'un tel acteur se trouve en position d'« homme du milieu » : il peut observer le trafic qui transite par l'infrastructure qu'il gère.

Un identifiant d'appareil qui circule en clair

L'enquête met aussi en lumière un détail technique du protocole MTProto : chaque message chiffré est précédé d'un élément non chiffré, appelé auth_key_id. Selon un spécialiste qui dirigeait la sécurité des infrastructures de l'OCCRP, cet identifiant permet de reconnaître un appareil précis. Combiné à l'adresse IP visible dans le trafic, il donne aussi une localisation approximative.

Ce n'est donc pas le contenu qui est exposé ici, mais le contexte : quel appareil communique, quand, depuis où et à quelle fréquence. Pour un acteur capable d'écouter le réseau, ces métadonnées suffisent à cartographier des relations, des habitudes, parfois une organisation entière.

Ce que répond Telegram

Telegram affirme qu'aucun accès non autorisé à son infrastructure n'est possible, que son chiffrement n'a jamais été cassé et que ses prestataires n'ont accès ni aux données ni à l'infrastructure confidentielle. Son fondateur dément par ailleurs disposer d'une infrastructure en Russie. L'enquête ne démontre pas qu'une collecte de données a eu lieu.

Pour un RSSI, l'enjeu n'est pas de trancher ce débat. Il est de constater que la confidentialité des échanges repose ici sur des promesses invérifiables, et non sur une architecture qui rendrait l'accès impossible par conception.

Pourquoi Telegram n'est-il pas adapté aux échanges sensibles des organisations ?

Un réseau social plus qu'une messagerie sécurisée

Telegram a été pensé pour diffuser : canaux publics, groupes pouvant réunir jusqu'à 200 000 membres, recherche et découverte de contenus. Ces fonctions expliquent son succès, et elles reposent précisément sur des chats cloud accessibles au fournisseur.

Si l'on suit le constat de l'ancien collaborateur cité par l'OCCRP, Telegram relève, pour l'immense majorité de ses usages, du réseau social bien plus que de la messagerie sécurisée. L'utiliser pour des échanges professionnels sensibles revient à confondre audience et confidentialité.

Des métadonnées qui en disent long sur votre organisation

Même lorsque le contenu est protégé, les métadonnées restent sensibles. Qui échange avec un sous-traitant de la défense, à quelle heure une cellule de crise s'active, quels sites d'un opérateur d'énergie communiquent entre eux : ces informations ont une valeur propre pour un attaquant ou un service de renseignement.

Une messagerie adaptée aux échanges sensibles doit donc limiter ce qu'elle expose et ce qu'elle conserve, et pas seulement chiffrer le texte des messages.

Une exposition aux lois et aux pressions des États

Tout fournisseur relève du droit des pays où il est établi et où opère son infrastructure. Pour un service dont une partie du réseau est gérée par des prestataires russes, cela signifie une exposition potentielle au cadre de surveillance russe, quelles que soient les promesses de l'éditeur. En matière de souveraineté, l'hypothèse la plus prudente est de considérer que les États appliquent leurs lois telles qu'elles sont écrites.

Cette logique ne vise pas que la Russie. Les éditeurs américains sont soumis au CLOUD Act, qui permet aux autorités des États-Unis d'exiger d'une entreprise américaine la communication de données qu'elle détient, où qu'elles soient stockées. C'est l'une des raisons pour lesquelles de nombreuses organisations françaises étudient aujourd'hui les alternatives européennes à Microsoft Teams.

Aucune gouvernance d'entreprise

Telegram est conçu pour des individus, pas pour des organisations. Il n'offre ni administration centralisée des comptes à l'échelle de l'entreprise, ni révocation des accès au départ d'un collaborateur, ni politique de conservation des messages. Quand un salarié s'en va, les groupes et l'historique restent sur son téléphone.

Ces usages relèvent du Shadow IT : des outils adoptés par les équipes, hors du contrôle de la DSI. Au regard du RGPD, l'organisation peut pourtant rester responsable des données personnelles échangées dans le cadre du travail. Les mêmes questions se posent avec WhatsApp, comme nous l'expliquons dans notre analyse des risques de WhatsApp en entreprise.

Comment choisir une messagerie sécurisée ? Les cinq signaux de confiance

Si votre organisation traite des données réglementées, une propriété intellectuelle de valeur ou des décisions de crise, ne vous fiez pas aux promesses commerciales. Évaluez chaque solution à l'aune de ces cinq signaux de confiance.

1. Vérifiez que tout est chiffré de bout en bout, par défaut

Une messagerie sécurisée se définit d'abord par un chiffrement de bout en bout activé par défaut, sans exception : conversations à deux et en groupe, appels, visioconférences et pièces jointes. Un mode « secret » à activer manuellement ne suffit pas.

La raison est simple : les utilisateurs prennent toujours le chemin le plus court, surtout lorsqu'il s'agit d'activer une option de sécurité. Une application non chiffrée par défaut sera, en pratique, utilisée sans chiffrement.

2. Exigez un contrôle d'accès lisible

Chaque participant doit savoir qui fait partie d'une conversation : collègue, partenaire externe ou invité. En mars 2025, l'affaire dite « SignalGate » l'a montré aux États-Unis : un journaliste avait été ajouté par erreur à un groupe de hauts responsables qui discutaient de frappes militaires. Le chiffrement n'était pas en cause, la gouvernance des membres si.

Les messageries grand public comme Telegram, WhatsApp ou Signal ne sont pas conçues pour matérialiser les frontières d'une organisation. Vérifiez que l'outil distingue clairement les membres internes, externes et invités, sans demander d'expertise particulière.

3. Privilégiez une architecture zero trust, sans accès du fournisseur

Le modèle zero trust ne suppose aucune confiance implicite : chaque utilisateur, appareil et service doit prouver en continu son identité et ses droits. À l'échelle d'une organisation, cela implique une vérification cryptographique automatisée des appareils.

Second principe : ni l'éditeur ni les administrateurs ne doivent pouvoir accéder au contenu des échanges ou aux clés de chiffrement. Seuls les appareils des utilisateurs détiennent les clés. Si une solution stocke les clés de manière centralisée avec un accès administrateur possible, c'est un signal d'alerte.

4. Préférez des protocoles ouverts et un code auditable

La cryptographie se juge sur pièces. Un standard ouvert comme MLS (Messaging Layer Security, RFC 9420), publié par l'IETF, a été examiné publiquement par la communauté et est conçu pour sécuriser efficacement les échanges en grands groupes.

Un code open source permet en outre des audits indépendants. À l'inverse, un protocole propriétaire et un code serveur fermé obligent à croire l'éditeur sur parole.

5. Examinez la souveraineté de l'éditeur et de l'hébergement

La localisation des serveurs ne suffit pas. Comptent aussi la juridiction dont relève l'éditeur, le contrôle de son capital et l'identité de ceux qui opèrent l'infrastructure : le cas de Telegram montre qu'un prestataire réseau peut devenir un point d'exposition. Ces enjeux sont détaillés dans notre article sur les défis du cloud souverain.

En France, la qualification SecNumCloud délivrée par l'ANSSI permet d'identifier des offres cloud qui visent à protéger les données sensibles face à la menace cybercriminelle et à l'application de lois extraterritoriales. L'ANSSI précise que cette qualification ne préjuge pas du niveau de sécurité des services hébergés : elle se combine donc avec un chiffrement de bout en bout, sans le remplacer.

Le tableau ci-dessous confronte la configuration par défaut de Telegram à ces cinq signaux.

Dans quels cas Telegram expose-t-il le plus votre organisation ?

Le risque ne vient pas de Telegram en soi, mais de son usage pour des échanges qui ne peuvent se permettre ni fuite ni interruption. Dans les organisations soumises à de fortes exigences, comme les opérateurs d'importance vitale (OIV), l'énergie ou la base industrielle et technologique de défense (BITD), cinq situations sont particulièrement exposées.

La communication de crise mérite une attention particulière. Lors d'une attaque par rançongiciel, la messagerie électronique et les outils collaboratifs habituels peuvent être indisponibles ou compromis. Faute de solution prévue, les équipes improvisent un groupe sur une messagerie grand public, au moment précis où la confidentialité compte le plus.

Le canal de crise doit donc exister avant l'incident : indépendant du SI principal, chiffré de bout en bout, avec des membres connus à l'avance, y compris les partenaires externes et les autorités à prévenir. C'est aussi un enjeu central pour la communication interne des industries critiques.

Pour les futures entités essentielles et importantes, l'enjeu sera aussi réglementaire. La directive NIS 2 cite explicitement, parmi les mesures de gestion des risques attendues, des communications vocales, vidéo et textuelles sécurisées ainsi que des systèmes sécurisés de communication d'urgence, lorsque c'est approprié.

En France, sa transposition n'est pas encore achevée : le projet de loi Résilience, adopté par le Sénat en mars 2025, attend toujours son examen en séance à l'Assemblée nationale, reporté début octobre 2026. Ce délai ne dispense pas d'anticiper : c'est le bon moment pour recenser les canaux réellement utilisés par vos équipes.

Vos communications « sécurisées » le sont-elles vraiment ?

Le cas Telegram rappelle qu'une messagerie peut être perçue comme sécurisée sans l'être pour l'usage qu'on en fait. Si vos échanges méritent d'être protégés, évaluez vos outils à l'aune des cinq signaux de confiance, et vérifiez ce que vos équipes utilisent réellement, au-delà des outils officiels.

Pour les échanges qui ne tolèrent ni fuite ni perte de contrôle, privilégiez une messagerie professionnelle sécurisée plutôt qu'une application grand public, et comparez les plateformes de communication sécurisée pour les entreprises ou les applications de messagerie européennes. Wire sur Cloud Temple fait partie de ces options : une messagerie chiffrée de bout en bout par défaut, déployée sur une infrastructure qualifiée SecNumCloud par l'ANSSI.

Comment Wire sur Cloud Temple sécurise vos échanges sensibles

Avec Wire sur Cloud Temple, vos équipes disposent d'une messagerie chiffrée de bout en bout, déployée sur le cloud de confiance de Cloud Temple, qualifié SecNumCloud par l'ANSSI. Un espace de confiance pour vos échanges sensibles et votre communication de crise, à côté de vos outils habituels.

Principales fonctionnalités :

• Chiffrement de bout en bout par défaut : messages, appels et visioconférences sont chiffrés de bout en bout sur tous les appareils, sans mode à activer.
• Messaging Layer Security (MLS) : Wire s'appuie sur MLS, standard ouvert de l'IETF (RFC 9420), conçu pour sécuriser les échanges en grands groupes.
• Code open source et auditable : le code de Wire est public et peut faire l'objet d'audits indépendants.
• Contrôle d'accès lisible : chaque conversation distingue visuellement les membres internes, externes et invités.
• Collaboration au-delà de l'organisation : l'accès invités et la fédération permettent d'échanger avec vos partenaires, sous-traitants et autorités dans un cadre maîtrisé.
• Déploiement sur un cloud qualifié SecNumCloud : Wire est déployé sur l'infrastructure de Cloud Temple, qualifiée SecNumCloud par l'ANSSI, et référencé dans la Marketplace Cloud Temple. Découvrez Wire sur Cloud Temple.
• Sous contrôle européen : Wire s'appuie sur des investisseurs exclusivement européens.

Plus de 1 800 organisations utilisent déjà Wire pour sécuriser leurs échanges. Découvrez leurs témoignages.Ou contactez-nous pour voir comment Wire sur Cloud Temple peut répondre à vos exigences.