Chiffrement WhatsApp : ce qui n'est pas protégé

Le chiffrement de WhatsApp protège le contenu de vos messages et de vos appels, mais pas tout ce qui les entoure : métadonnées, sauvegardes, échanges avec les entreprises ou appareil compromis restent à découvert.

WhatsApp est devenu un réflexe, y compris au travail : des cellules de crise aux échanges avec les sous-traitants, l'application circule dans les organisations françaises. Depuis novembre 2023, ministres et cabinets ont d'ailleurs reçu pour consigne de s'en passer, signe que le chiffrement seul ne suffit pas à un usage sensible. Dans ce guide, nous verrons :

• ce que le chiffrement de bout en bout de WhatsApp protège réellement ;
• ce qui reste visible ou non protégé : métadonnées, sauvegardes, entreprises, appareil ;
• ce que cela change pour une organisation, notamment pour ses échanges sensibles ;
• les bons réflexes et l'alternative pour votre communication de crise.

Pour découvrir comment Wire sur Cloud Temple protège vos échanges sensibles, échangez avec notre équipe.

Que protège le chiffrement de bout en bout de WhatsApp ?

Le chiffrement de bout en bout de WhatsApp protège le contenu de vos messages, appels et fichiers : seuls l'expéditeur et les destinataires peuvent les lire, pas même WhatsApp. Il ne couvre en revanche ni les métadonnées, ni les sauvegardes par défaut, ni vos échanges une fois reçus par une entreprise.

Ce chiffrement repose sur le protocole Signal et fonctionne sans réglage : il ne se désactive pas. Comme le détaille la documentation de WhatsApp, il s'applique aux messages, photos, vidéos, messages vocaux, documents, statuts et appels.

Concrètement, un message est chiffré sur l'appareil de l'expéditeur et déchiffré uniquement sur celui du destinataire : le service qui l'achemine ne voit passer que des données illisibles. Le chiffrement est donc fort sur le transport, ce qui n'est pas le cas de tous ses concurrents.

C'est un vrai niveau de protection, et c'est le point fort de WhatsApp face à des messageries comme Telegram, dont les conversations classiques ne sont pas chiffrées de bout en bout (voir notre analyse de la sécurité de Telegram). Mais « chiffré de bout en bout » ne veut pas dire « confidentiel » : le principe est expliqué dans notre guide sur les applications de messagerie chiffrée.

Que ne couvre pas le chiffrement de WhatsApp ?

Cinq zones restent à découvert. Elles expliquent pourquoi un chiffrement solide ne suffit pas à garantir la confidentialité d'une organisation.

1. Les métadonnées

Les métadonnées décrivent vos échanges sans en révéler le contenu : avec qui vous communiquez, à quelle heure, à quelle fréquence, la taille des messages, les numéros de téléphone des participants. Selon sa politique de confidentialité, WhatsApp collecte aussi des informations techniques sur l'appareil et la connexion, comme l'adresse IP.

Ces informations peuvent brosser un portrait précis de vos relations et de vos habitudes sans lire un seul message. Pour une organisation, savoir qu'une cellule de crise s'active à 3 h du matin, ou qu'un dirigeant échange avec une autorité, est déjà une information sensible.

C'est aussi la raison pour laquelle certaines messageries choisissent de réduire ce qu'elles collectent, ou de fonctionner sans numéro de téléphone. Le chiffrement du contenu et la minimisation des métadonnées sont deux sujets distincts : un service peut exceller sur le premier et rester bavard sur le second.

2. Les sauvegardes

Les sauvegardes de vos conversations sur iCloud ou Google Drive ne sont pas chiffrées de bout en bout par défaut. Il faut activer la sauvegarde chiffrée de bout en bout dans les réglages (Paramètres, Discussions, Sauvegarde des discussions), puis la protéger par une clé d'accès, un mot de passe ou une clé de chiffrement à 64 chiffres.

Une fois activée, vous seul détenez la clé : si vous la perdez, WhatsApp ne pourra pas récupérer votre sauvegarde. À l'inverse, sans cette option, l'historique de vos conversations peut dépendre des protections de votre compte iCloud ou Google.

Pour une organisation, le risque est double : un salarié qui change de téléphone ou de compte peut emporter un historique professionnel hors de tout contrôle, et une sauvegarde non chiffrée devient une cible pour quiconque compromet le compte cloud associé.

3. Les échanges avec les entreprises

Quand vous écrivez à une entreprise, la protection dépend de la façon dont elle utilise WhatsApp. Les conversations avec des entreprises qui utilisent l'application WhatsApp Business ou qui hébergent elles-mêmes l'API sont chiffrées de bout en bout. Ensuite, le message est soumis aux pratiques de l'entreprise : stockage, accès des équipes, outils de support. Pour une organisation qui échange avec ses fournisseurs ou ses clients, cela signifie que la confidentialité d'une conversation dépend aussi de la maturité de l'interlocuteur.

Meta a décrit cette règle dans une annonce officielle sur les conversations avec les entreprises. En pratique, un salarié qui échange avec un fournisseur sur WhatsApp ne sait pas toujours qui lit ses messages côté entreprise.

4. L'appareil et le compte

Le chiffrement protège les messages pendant leur transport, pas votre téléphone. Un appareil compromis, une capture d'écran, un participant qui transfère un message ou un code de vérification communiqué à un tiers suffisent à exposer une conversation.

Ne partagez jamais vos codes de vérification WhatsApp, activez la vérification en deux étapes et vérifiez régulièrement la liste des appareils liés à votre compte.

5. Les groupes et les informations de profil

Le contenu d'un groupe est chiffré, mais sa composition, c'est-à-dire qui en fait partie, reste connue du service et de ses membres. Photo de profil, statut et dernière connexion dépendent de vos réglages de confidentialité, à vérifier. Un lien d'invitation diffusé en ligne permet à n'importe qui de rejoindre un groupe.

Ce risque est d'ordre humain : ajouter la mauvaise personne à un groupe suffit à lui donner accès à toute la conversation à venir. C'est ce qui s'est produit lors de l'affaire dite « SignalGate », en mars 2025 : un journaliste avait été ajouté par erreur à un groupe de hauts responsables américains discutant de frappes militaires. Le chiffrement n'était pas en cause, la gouvernance des membres si.

Et les paiements ?

On lit souvent que les paiements WhatsApp ne sont pas chiffrés de bout en bout. Pour un lecteur français, l'enjeu est limité : en 2026, la fonction n'est disponible qu'en Inde, au Brésil et, pour les entreprises, à Singapour. Elle n'existe pas en France.

Pourquoi cela compte pour une organisation ?

Pour un particulier, ces limites sont acceptables. Pour une organisation, elles s'ajoutent à des enjeux que le chiffrement ne traite pas.

Aucune administration centralisée

WhatsApp est conçu pour des individus. L'organisation ne peut pas créer ni retirer des comptes, savoir qui appartient à quel groupe, imposer une durée de conservation ou récupérer l'historique d'un salarié qui part. Les conversations restent sur des téléphones, souvent personnels. En cas d'incident, de litige ou de contrôle, l'organisation ne peut ni retrouver ni démontrer qui a dit quoi.

Un éditeur américain

WhatsApp appartient à Meta, groupe américain soumis au CLOUD Act, qui permet aux autorités des États-Unis d'exiger les données qu'un fournisseur détient, y compris les métadonnées. Le contenu chiffré de bout en bout n'est pas lisible par Meta, mais les métadonnées le sont. Le sujet est détaillé dans notre article sur le CLOUD Act et la souveraineté des données.

Le Shadow IT

Quand l'outil officiel est moins pratique que WhatsApp, les équipes se replient sur WhatsApp. L'organisation reste pourtant responsable des données personnelles échangées dans le cadre du travail, au titre du RGPD, y compris sur un outil qu'elle n'a pas choisi. Les futures entités essentielles et importantes ont intérêt à anticiper : la directive NIS 2, dont la transposition en France reste attendue, cite parmi les mesures de gestion des risques des communications sécurisées. Notre guide pour se préparer à NIS 2 détaille ces attentes.

Les autres messageries font-elles mieux ?

Signal est souvent cité comme alternative : son chiffrement fait référence, mais il est conçu lui aussi pour un usage individuel, sans gestion centralisée des comptes. Les mêmes limites de gouvernance s'appliquent.

Même des messageries conçues pour les organisations présentent des écarts. Element, par exemple, chiffre par défaut les conversations privées mais pas toutes les salles, ce qui suppose de bien paramétrer chaque espace. La vigilance doit porter sur ce qui est chiffré par défaut, et non sur ce qui peut l'être. Posez la même question à chaque éditeur : que se passe-t-il si l'utilisateur ne change aucun réglage ?

Pour comparer les solutions sur ce critère, consultez notre comparatif des messageries instantanées open source et notre aperçu des applications de messagerie européennes.

Comment réduire les risques si vous utilisez WhatsApp ?

Si l'application reste dans vos usages, ces réflexes réduisent l'exposition. Ils ne font pas de WhatsApp une messagerie d'entreprise.

Pour chaque utilisateur

• activer la sauvegarde chiffrée de bout en bout, et conserver la clé en lieu sûr ;
• activer la vérification en deux étapes et ne jamais communiquer un code de vérification ;
• vérifier les réglages de confidentialité (photo, statut, dernière connexion, ajout aux groupes) ;
• utiliser les messages éphémères pour les échanges qui n'ont pas vocation à rester ;
• contrôler les appareils liés au compte et fermer les sessions inconnues ;
• relire la liste des participants avant d'envoyer une information sensible dans un groupe.

Ces réglages demandent quelques minutes, mais ils reposent sur la bonne volonté de chacun. C'est la limite d'un outil sans administration centralisée : l'organisation ne peut ni les imposer, ni vérifier qu'ils sont appliqués.

Pour l'organisation

• recenser les usages réels de WhatsApp et d'autres applications grand public ;
• définir quels échanges ne doivent jamais passer par une messagerie grand public ;
• proposer un outil officiel aussi simple que WhatsApp, faute de quoi le Shadow IT revient ;
• préparer un canal de crise indépendant du système d'information, testé lors des exercices.

Quelle alternative à WhatsApp pour vos échanges professionnels ?

Pour des échanges qui ne tolèrent ni fuite ni perte de contrôle, privilégiez une messagerie qui combine chiffrement de bout en bout par défaut, gouvernance d'entreprise et juridiction européenne. Dans les organisations soumises à de fortes exigences, comme les opérateurs d'importance vitale (OIV), l'énergie ou la base industrielle et technologique de défense (BITD), trois cas d'usage le justifient en priorité.

Les options européennes sont comparées dans notre guide de l'alternative européenne à WhatsApp, et les exigences propres aux industries critiques dans notre article sur la communication interne sécurisée.

WhatsApp est-il assez sécurisé pour le travail ?

Le chiffrement de WhatsApp est solide, et il protège bien le contenu de vos échanges. Mais il laisse à découvert les métadonnées, les sauvegardes par défaut, les échanges avec les entreprises et l'appareil, et il ne s'accompagne d'aucune gouvernance. Pour des échanges personnels, c'est un compromis acceptable. Pour des échanges sensibles d'organisation, il est insuffisant.

Wire sur Cloud Temple fait partie des alternatives : une messagerie chiffrée de bout en bout par défaut, avec administration centralisée, déployée sur une infrastructure qualifiée SecNumCloud par l'ANSSI.

Comment Wire sur Cloud Temple complète le chiffrement par de la gouvernance

Avec Wire sur Cloud Temple, vos équipes disposent d'une messagerie chiffrée de bout en bout, déployée sur le cloud de confiance de Cloud Temple, qualifié SecNumCloud par l'ANSSI. Un espace de confiance pour vos échanges sensibles et votre communication de crise, à côté de vos outils habituels.

Principales fonctionnalités :

• Chiffrement de bout en bout par défaut : messages, appels et visioconférences sont chiffrés de bout en bout sur tous les appareils, sans option à activer.
• Gouvernance d'entreprise : administration centralisée, authentification unique (SSO) et provisionnement des comptes (SCIM).
• Membres internes, externes et invités : chaque conversation distingue visuellement qui participe, ce qui limite les ajouts par erreur.
• Déploiement sur un cloud qualifié SecNumCloud : Wire est déployé sur l'infrastructure de Cloud Temple, qualifiée SecNumCloud par l'ANSSI, et référencé dans la Marketplace Cloud Temple. Découvrez Wire sur Cloud Temple.
• Messaging Layer Security (MLS) : Wire s'appuie sur MLS, standard ouvert de l'IETF (RFC 9420), conçu pour sécuriser les échanges en grands groupes.
• Code open source et auditable : le code de Wire est publié et peut faire l'objet d'audits indépendants.
• Sous contrôle européen : Wire s'appuie sur des investisseurs exclusivement européens.

Plus de 1 800 organisations utilisent déjà Wire pour sécuriser leurs échanges. Demandez des références adaptées à votre secteur.

Ou contactez-nous pour voir comment Wire sur Cloud Temple peut répondre à vos exigences.