Politiques d'expiration des liens de transfert comparées

Les politiques d'expiration des liens vont de trois jours à permanent selon les services de transfert de fichiers. WeTransfer supprime automatiquement les fichiers de l'offre gratuite après 7 jours ; Smash dure 14 jours par défaut et jusqu'à 30 sur les plans payants ; SwissTransfer propose 1 à 30 jours ; Dropbox Transfer expire après 7 jours sauf prolongation jusqu'à 90. Les plafonds de téléchargement varient aussi : le WeTransfer gratuit autorise un nombre illimité de téléchargements dans la fenêtre, tandis que certains services se limitent à un seul destinataire. HexaTransfer fixe une expiration par défaut à 7 jours sans limite de téléchargements et avec suppression sécurisée automatique à l'échéance.

Pourquoi une expiration courte est une fonctionnalité de sécurité, pas une limitation

Les fenêtres d'expiration sont une forme de minimisation automatique des données au titre de l'article 5(1)(e) du RGPD (principe de limitation de la conservation). Moins longtemps un fichier reste sur un serveur, plus faible est la fenêtre d'exposition à un vol d'identifiants, une injonction judiciaire ou un incident de bucket mal configuré. La campagne APT ToddyCat de mars 2023 ciblait spécifiquement des URL de partage longue durée récoltées dans des boîtes mail compromises — un risque qui disparaît lorsque les liens s'autodétruisent.

Pour les secteurs réglementés, l'expiration simplifie aussi la gestion des archives. Le règlement de sécurité HIPAA ne prescrit pas de période de rétention pour les copies de transmission des dossiers de santé électroniques (ePHI), mais les recommandations du HHS traitent différemment les copies éphémères des enregistrements stockés. Un lien qui expire en 7 jours est beaucoup plus facile à défendre en tant que copie éphémère qu'un lien actif depuis un an.

WeTransfer : 7 jours gratuit, 1 an Pro, portails permanents

L'offre gratuite de WeTransfer conserve les fichiers 7 jours. Le plan Pro prolonge cela à 1 an, et Premium offre une rétention indéfinie pour les liens de portail. Il n'y a pas de limite par téléchargement — quiconque possède l'URL peut récupérer le fichier autant de fois qu'il le souhaite jusqu'à expiration. Les fichiers sont limités à 2 Go gratuit et 200 Go Pro.

L'inconvénient est que les liens de portail « permanents » créent une cible persistante. Si la boîte mail d'un destinataire est compromise, ce lien est une responsabilité jusqu'à ce que quelqu'un le révoque manuellement. WeTransfer a ajouté une option de mot de passe en 2019, mais elle est optionnelle et souvent ignorée.

Smash : personnalisable de 1 à 30 jours avec des contrôles précis

Smash adopte l'approche la plus flexible. Les utilisateurs gratuits ont 14 jours ; les plans Team permettent des fenêtres de 1 à 30 jours définies au moment de l'envoi. Smash propose aussi un suivi par destinataire : vous pouvez voir qui a téléchargé et quand, et révoquer l'accès en cours de route. Les fichiers peuvent peser jusqu'à 2 Go gratuit ou illimité sur les plans payants.

Cette granularité compte pour les négociations contractuelles. Envoyer un brouillon le lundi avec une expiration le vendredi, et le lien disparaît avant le week-end sans avoir à se souvenir de nettoyer. L'angle protection des données français (hébergement OVH, alignement SecNumCloud) ne modifie pas l'expiration, mais ajoute une minimisation juridictionnelle par-dessus la minimisation temporelle.

SwissTransfer : de 1 à 30 jours, sans compte requis

SwissTransfer, géré par Infomaniak, vous permet de choisir 1, 7, 15 ou 30 jours lors de l'envoi. Aucun compte requis. Le plafond de 50 Go est le plus généreux des services gratuits. L'expiration est stricte — les fichiers sont définitivement supprimés des data centers suisses à l'échéance, sans période de grâce.

Le service a ajouté en 2023 une protection optionnelle par mot de passe et des notifications de téléchargement. Les liens expirés renvoient une réponse HTTP 410 Gone, sémantiquement correcte et évitant de révéler qu'un fichier a jamais existé à cette URL.

Dropbox Transfer : 7 jours gratuit, 90 jours payant

Dropbox Transfer (distinct du partage Dropbox) expire par défaut à 7 jours et plafonne à 90 jours sur les niveaux payants. Les limites de taille sont de 2 Go gratuit et 100 Go sur Dropbox Professional. L'expiration s'applique par transfert, pas par fichier, donc vous ne pouvez pas définir des durées différentes pour les éléments d'un même lot.

Dropbox journalise les événements d'expiration dans la piste d'audit admin, ce qui aide les clients entreprise à démontrer les contrôles de l'article 32 du RGPD. Les liens de partage Dropbox classiques, en revanche, n'expirent jamais sauf révocation manuelle — source fréquente d'exposition longue durée accidentelle lorsque des employés quittent l'entreprise.

Pixeldrain, Wormhole et autres acteurs de niche

Pixeldrain, un service néerlandais, conserve les fichiers 180 jours par défaut, ce qui est inhabituellement long pour un niveau gratuit. Wormhole, basé sur les principes du protocole magic-wormhole, offre une expiration de 24 heures et un chiffrement côté client — philosophie opposée, fenêtre bien plus courte.

Firefox Send (abandonné en 2020) a été le pionnier de la combinaison expiration courte (jusqu'à 7 jours) + limites de téléchargements (jusqu'à 100) + chiffrement côté client. Son ADN vit dans des forks open source et des services comme HexaTransfer qui ont adopté les mêmes principes.

HexaTransfer : expiration à 7 jours, suppression qui signifie vraiment suppression

HexaTransfer fixe une expiration à 7 jours, après quoi les fichiers sont effacés de façon cryptographique (la clé de déchiffrement n'a jamais été sur le serveur, mais le texte chiffré est lui aussi écrasé de façon sécurisée). Il n'y a pas de plafond de téléchargements dans l'offre gratuite actuelle — les destinataires peuvent télécharger autant de fois que nécessaire dans la fenêtre. Aucun compte requis, limite de fichier à 10 Go.

L'architecture utilise AES-256-GCM pour le chiffrement des fichiers, avec la clé intégrée dans le fragment d'URL (après le #), que les navigateurs ne transmettent jamais au serveur. La suppression à l'expiration détruit donc le texte chiffré ; le texte en clair n'était de toute façon jamais reconstructible côté serveur.

Comparatif en un coup d'œil

| Service | Expiration par défaut | Expiration max | Limite de taille | Limites de téléchargement | |---------|----------------------|----------------|------------------|---------------------------| | WeTransfer gratuit | 7 jours | 7 jours | 2 Go | Illimitées | | WeTransfer Pro | 7 jours | 1 an | 200 Go | Illimitées | | Smash gratuit | 14 jours | 14 jours | 2 Go | Illimitées | | Smash Team | 14 jours | 30 jours | Illimité | Suivies | | SwissTransfer | 30 jours | 30 jours | 50 Go | Configurables | | Dropbox Transfer | 7 jours | 90 jours | 100 Go | Illimitées | | HexaTransfer | 7 jours | 7 jours | 10 Go | Illimitées |

Adapter l'expiration au cas d'usage

Pour une facture que vous souhaitez que le destinataire règle dans la semaine, 7 jours est parfait — cela crée une échéance naturelle. Pour un contrat en cours de négociation qui peut nécessiter trois allers-retours de corrections, 30 jours est plus pratique. Pour un partage photo ponctuel avec un client, 24 heures suffisent.

Résistez à la tentation de toujours choisir la fenêtre la plus longue « au cas où ». Plus le lien vit longtemps, plus il se retrouve dans des endroits inattendus : e-mails transférés, canaux Slack, captures d'écran, gestionnaires de mots de passe. Une expiration courte incite les destinataires à agir rapidement et réduit le rayon d'impact de toute future violation. Si vous avez vraiment besoin d'un accès persistant, utilisez une vraie solution de stockage cloud avec contrôle d'accès basé sur l'identité, pas un lien de transfert éphémère.

Les compteurs de téléchargement comme deuxième ligne de défense

Quelques services combinent l'expiration avec des compteurs de téléchargements. Définir un fichier pour expirer dans 7 jours OU après 3 téléchargements, selon la première échéance atteinte. Cela réduit le risque qu'un destinataire légitime télécharge une fois, que le lien se retrouve sur une page de phishing et que des attaquants s'emparent d'un quatrième exemplaire. Si le compteur est à zéro, le lien est mort.

HexaTransfer utilise actuellement une expiration uniquement temporelle, ce qui correspond à la majorité du marché. Pour l'application de compteurs de téléchargements, Smash Team et Dropbox Transfer Professional sont les principales options.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.