Dernière mise à jour:
Transmission par deux canaux
N’envoyez jamais les données et la clé par le même canal. Qui intercepte l’enveloppe n’a alors pas de mot de passe, et qui lit le courriel n’a pas de support. C’est la même idée que l’authentification à deux facteurs, et c’est ainsi que je l’explique à un greffe ou à un avocat.
Ce qui ne fait pas deux canaux
Une archive chiffrée dans un courriel et le mot de passe dans le suivant. Un lien de partage avec le mot de passe dans le même courriel. Une clé avec un mot dans la même enveloppe. Chaque fois, qui intercepte ce seul canal a tout.
Le second canal doit être réellement différent : papier contre réseau, ou téléphone contre courriel. Une deuxième adresse électronique du même destinataire ne compte pas. Elle passe par le même serveur de messagerie et le plus souvent vers le même appareil.
Trois manières
Laquelle choisir dépend du destinataire et de la quantité de données.
Lien de téléchargement par courriel, code PIN par SMS
La manière la plus rapide, si le destinataire accepte une transmission en ligne. Les données se trouvent sur un service qui demande un code PIN, voir Boomerang. Le lien part par courriel, le code PIN par SMS vers un numéro de GSM que le destinataire a lui-même indiqué par écrit à cet effet.
Support par la poste, mot de passe à part
Placez les données dans une archive 7-Zip protégée par mot de passe, voir plus bas, et envoyez les clés USB en recommandé, avec accusé de réception. Le mot de passe suit par téléphone ou par courriel.
Glissez dans l’enveloppe une courte lettre qui explique que le mot de passe arrive à part, et pourquoi, et que le destinataire a besoin de 7-Zip. Sinon, il croit que l’archive est défectueuse.
Tarifs chez bpost à partir du 1er janvier 2026 : le recommandé coûte 7,33 € avec timbres ou vignettes et 7,14 € avec une machine à affranchir, un numéro PB ou Collect&Stamp, en plus du tarif PRIOR ordinaire. Un avis de réception coûte 1,64 € de plus. Au-delà de 2 kg s’applique un tarif fixe de 33,00 €, jusqu’à 10 kg. Les tableaux à jour figurent sur la page des tarifs de bpost.
Lien par courriel, mot de passe par lettre
Envoyez par courriel le lien vers un dossier partagé sécurisé, voir Tresorit, et expédiez le mot de passe le même jour par lettre ordinaire. Qui reçoit un lien qui ne s’ouvre pas et doit attendre des jours une lettre finit par demander le mot de passe par courriel.
Une courte lettre sur papier à en-tête suffit : numéro de rôle, parties, vos coordonnées, et le mot de passe dans un cadre. Ainsi, personne ne voit le mot de passe avant une référence.
Un chiffrement que le destinataire peut ouvrir
Un support envoyé en recommandé ou remis en main propre, vous pouvez considérer qu’il arrive dans les bonnes mains. Ce qui compte davantage, c’est que les données soient authentiques, et vous le démontrez avec les hachages du rapport. Le mot de passe protège seulement contre les regards indiscrets. Choisissez donc un chiffrement que le destinataire ouvrira à coup sûr, car vous savez rarement sur quel système travaillent le greffe, le cabinet d’avocats ou le conseil technique.
7-Zip. Chiffrez l’archive, pas le support : format 7z, AES-256, avec l’option Chiffrer les noms de fichiers activée (-mhe=on en ligne de commande). Sans cette option, la liste des noms de fichiers reste lisible, et elle suffit à dire de quoi parle une affaire. 7-Zip est gratuit et tourne aussi sur d’anciennes versions de Windows. Le destinataire doit toutefois l’avoir, et sur un poste géré, tout le monde ne peut pas installer de logiciel. Demandez-le donc au préalable. Mettez au rapport le hachage de l’archive et des fichiers qu’elle contient.
Une simple archive ZIP avec mot de passe s’ouvre dans Windows sans logiciel supplémentaire, mais ce chiffrement est faible et les noms de fichiers restent lisibles.
Pas de BitLocker To Go. Windows chiffre par défaut les supports amovibles avec XTS-AES 128. Windows 7 ne sait pas le lire, et Windows 8.1 seulement avec la mise à jour nécessaire. Ce sont justement ces machines qui tournent encore dans les greffes et les petits cabinets. La sécurité gagnée ne compense pas un support que le destinataire ne parvient pas à ouvrir.
Règles de travail
Utilisez deux marques de supports. C’est simplement une redondance de plus. Avec une seule marque, vous dépendez par exemple d’un mauvais lot de fabrication, et c’est ce que vous voulez éviter.
Faites une seconde copie. Si un support est défectueux, vous vous rabattez sur le second sans devoir tout extraire à nouveau. Une clé supplémentaire coûte quelques dizaines d’euros.
Étiquetez chaque support. Une étiquette de volume qui s’affiche dès que le support est connecté, une couleur par destinataire et une feuille récapitulative qui relie support et destinataire. Ainsi, la partie A ne reçoit pas la copie de la partie B.
Faites confirmer la remise par écrit. Faites apposer le cachet du greffe sur ce que vous remettez, ou faites signer l’envoi recommandé. Sans ce papier, vous ne pouvez pas démontrer la remise.
Conservez le mot de passe hors du dossier. Un mot de passe dans le dossier de l’affaire, surtout s’il se synchronise avec le nuage, rend le chiffrement inutile. Conservez-le dans un gestionnaire de mots de passe ou hors ligne.
Ne mettez pas le mot de passe dans le fichier de votre lettre. Ce document se trouve dans le même dossier que les données, et clé et données sont de nouveau réunies.
Si c’est très sensible, apportez les supports vous-même. Notez ce choix et pourquoi. Cela justifie le temps et les frais de déplacement dans votre état de frais.
Au rapport
Quels supports, quel chiffrement, combien de copies, par quel canal chaque élément a été envoyé, et à qui. Mettez-le dans un tableau par destinataire. Avec l’accusé de réception de l’envoi recommandé, c’est votre preuve de remise.