Mega vs HexaTransfer : confidentialité et chiffrement comparés

Mega et HexaTransfer utilisent tous deux un chiffrement côté client mais ciblent des workflows différents et s'inscrivent dans des juridictions différentes. Mega est une plateforme de stockage cloud basée en Nouvelle-Zélande avec 20 Go gratuits, un chiffrement AES-128-GCM avec échange de clés RSA-2048 et des comptes persistants. HexaTransfer est un service de transfert éphémère français avec 10 Go par transfert, un chiffrement AES-256-GCM, une expiration à 7 jours et aucune obligation de compte. Pour le stockage chiffré à long terme, Mega offre un ensemble de fonctionnalités plus riche. Pour les transferts chiffrés ponctuels sans les contraintes d'un compte, HexaTransfer est plus simple et reste dans la juridiction de l'UE.

Détails du chiffrement : AES-128 vs AES-256

Le chiffrement côté client de Mega utilise AES-128 en mode CCM pour le chiffrement des fichiers et RSA-2048 pour l'échange de clés. Le choix d'AES-128 a été défendu par Mega comme suffisant (AES 128 bits reste computationnellement infaisable à forcer). Les critiques notent qu'AES-256 est la norme industrielle actuelle. Le client web de Mega exécute le chiffrement en JavaScript ; les applications de bureau et mobiles utilisent des implémentations natives.

HexaTransfer utilise AES-256-GCM avec PBKDF2 à 600 000 itérations pour les clés dérivées de mot de passe. La taille de clé de 256 bits correspond aux meilleures pratiques actuelles (NIST SP 800-131A). Le chiffrement se produit dans le navigateur via l'API Web Crypto (SubtleCrypto.encrypt), qui utilise des implémentations natives de la plateforme plutôt que du JavaScript pur. C'est plus rapide et moins vulnérable aux attaques temporelles.

Différences de modèle de confiance

Mega repose sur des comptes utilisateurs avec des clés de récupération. Si vous perdez votre mot de passe et votre clé de récupération, vos données sont irrécupérables — ce qui est le comportement correct pour le zéro connaissance mais crée de réelles charges de support. Mega a été historiquement accusé de conserver des capacités de texte clair via des flux de changement de mot de passe, des chercheurs en sécurité ayant publié des préoccupations sur des détails spécifiques du protocole.

HexaTransfer n'a pas de comptes, donc pas de mécanisme de réinitialisation de mot de passe potentiellement exploitable. La clé de déchiffrement est soit dans le fragment d'URL, soit enveloppée par un mot de passe fourni par l'utilisateur via PBKDF2. Si vous perdez les deux, le fichier est irrécupérable — ce qui correspond au cas d'utilisation du transfert éphémère, où une expiration à 7 jours va de toute façon supprimer le fichier.

Juridiction et résidence des données

Mega est basé à Auckland, Nouvelle-Zélande, avec des centres de données en Nouvelle-Zélande, aux Pays-Bas, au Canada et ailleurs. La Nouvelle-Zélande est membre des Five Eyes (partage de renseignements), ce qui préoccupe certains défenseurs de la vie privée. Cependant, le Privacy Act 2020 néo-zélandais offre des protections équivalentes au RGPD, et l'hébergement distribué signifie que les fichiers des utilisateurs UE peuvent passer par les serveurs néerlandais.

HexaTransfer héberge exclusivement en France. Pas d'empreinte mondiale distribuée, pas d'implication dans les Five Eyes. Le RGPD s'applique directement. Pour les utilisateurs UE ayant des exigences strictes de souveraineté des données, le modèle à juridiction unique est plus simple à évaluer juridiquement.

Taille des fichiers, stockage et rétention

Le tier gratuit de Mega offre 20 Go de stockage persistant, fichiers conservés indéfiniment tant que vous vous connectez périodiquement (suspension après 30 jours d'inactivité). Les tiers payants offrent jusqu'à 16 To. La taille par téléchargement est limitée uniquement par votre quota.

HexaTransfer permet 10 Go par transfert avec expiration automatique à 7 jours. Pas de stockage persistant — le service est purement pour envoyer, pas pour conserver. Pour une livraison hebdomadaire de 8 Go de fichiers de design à des clients, HexaTransfer fonctionne. Pour une archive de photos personnelles, Mega fonctionne et HexaTransfer ne convient pas.

Expérience de workflow

L'interface web de Mega, la synchronisation bureau et les applications mobiles offrent une expérience similaire à Dropbox avec des dossiers, des versions et du partage. Vous pouvez avoir des dossiers partagés persistants avec des collaborateurs, définir des permissions par dossier et maintenir une structure de projet sur des mois.

HexaTransfer est délibérément mono-usage. Ouvrez le site, déposez un fichier, obtenez un lien, envoyez. Pas de dossiers, pas de synchronisation, pas de versions. Le minimalisme est l'intention — zéro surcharge cognitive, zéro gestion de compte.

Tableau comparatif

| Fonctionnalité | Mega | HexaTransfer | |---|---|---| | Type | Stockage cloud persistant | Transfert éphémère | | Chiffrement | AES-128-CCM + RSA-2048 | AES-256-GCM + PBKDF2 | | Chiffrement côté client | Oui | Oui | | Tier gratuit | 20 Go stockage | 10 Go par transfert | | Taille max fichier | Limité par quota | 10 Go | | Rétention | Indéfinie (inactivité 30j) | 7 jours | | Compte requis | Oui | Non | | Localisation des données | NZ, NL, CA, autres | France | | Posture RGPD | Conforme | Résident UE | | Exposition Five Eyes | Oui (NZ) | Non | | Applications bureau | Oui | Non | | Applications mobiles | Oui | Non (navigateur uniquement) | | Partage de dossiers | Oui | Non |

Audits de sécurité et transparence

Mega a publié un client web à code source disponible et commandé des audits de sécurité tiers. L'article académique de 2022 "MEGA: Malleable Encryption Goes Awry" de chercheurs de l'ETH Zurich a identifié cinq vulnérabilités dans le protocole cryptographique de Mega, toutes corrigées par la suite. La réponse publique et les correctifs ont été rapides, ce qui est le comportement correct pour un service cryptographique sous examen.

L'architecture d'HexaTransfer est plus simple (moins de protocoles, pas de récupération de compte, pas de sessions de longue durée), ce qui réduit la surface d'attaque. Le code client est inspectable dans le navigateur. En tant que service plus récent et plus ciblé, il n'a pas subi le même niveau d'examen académique que Mega.

Modèle économique et pérennité

Le modèle économique de Mega repose sur des tiers de stockage freemium, qui génèrent des revenus proportionnels au nombre d'utilisateurs payants. Le service fonctionne depuis 2013 (initialement MEGA Limited, le successeur de Megaupload par Kim Dotcom). La pérennité est raisonnable.

HexaTransfer est un service gratuit sans tiers payants actuellement. Les préoccupations concernant la pérennité des services gratuits sont légitimes — si le service n'est pas monétisé, assurez-vous qu'il est durable avant de vous en remettre pour des flux critiques. Pour les transferts ponctuels, la pérennité compte moins que pour le stockage d'archivage.

Quand choisir l'un ou l'autre

Choisissez Mega pour le stockage cloud chiffré persistant, le partage de dossiers d'équipe, les archives de projets en cours, la synchronisation multi-appareils et quand vous voulez un produit cloud zéro connaissance complet. Acceptez le compromis de la juridiction Five Eyes pour la richesse fonctionnelle.

Choisissez HexaTransfer pour les transferts chiffrés ponctuels, les exigences de juridiction UE, les scénarios où les comptes ajoutent de la friction (livraisons externes, destinataires uniques) et quand 10 Go suffisent. Acceptez l'absence de stockage persistant et de fonctionnalités de collaboration pour la simplicité et la précision juridictionnelle.

Utiliser les deux

Ils sont complémentaires plutôt que concurrents. Un individu soucieux de sa vie privée pourrait utiliser Mega pour le stockage cloud personnel continu (photos, sauvegardes, documents à conserver) et HexaTransfer pour les envois chiffrés occasionnels vers des destinataires non-Mega. Les workflows ne se chevauchent pas assez pour créer des redondances.

Pour une petite entreprise, Mega pourrait servir de coffre-fort de collaboration interne tandis qu'HexaTransfer gère les livraisons clients externes. Les clients n'ont pas besoin de comptes Mega pour recevoir des liens HexaTransfer, ce qui réduit la friction d'intégration pour les engagements ponctuels.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.