Mega vs HexaTransfer : confidentialité et chiffrement comparés

Mega et HexaTransfer utilisent tous deux un chiffrement côté client mais ciblent des workflows différents et s'inscrivent dans des juridictions différentes. Mega est une plateforme de stockage cloud basée en Nouvelle-Zélande avec 20 Go gratuits, un chiffrement AES-128-GCM avec échange de clés RSA-2048 et des comptes persistants. HexaTransfer est un service de transfert éphémère français avec 50 Go par transfert, un chiffrement AES-256-GCM, une expiration à 14 jours (par défaut ; durée au choix de 1–30 jours entiers) et aucune obligation de compte. Pour le stockage chiffré à long terme, Mega offre un ensemble de fonctionnalités plus riche. Pour les transferts chiffrés ponctuels sans les contraintes d'un compte, HexaTransfer est plus simple et reste dans la juridiction de l'UE.

Détails du chiffrement : AES-128 vs AES-256

Le chiffrement côté client de Mega utilise AES-128 en mode CCM pour le chiffrement des fichiers et RSA-2048 pour l'échange de clés. Le choix d'AES-128 a été défendu par Mega comme suffisant (AES 128 bits reste computationnellement infaisable à forcer). Les critiques notent qu'AES-256 est la norme industrielle actuelle. Le client web de Mega exécute le chiffrement en JavaScript ; les applications de bureau et mobiles utilisent des implémentations natives.

Avec HexaTransfer, le navigateur génère une clé AES-256-GCM aléatoire avec Web Crypto. Cette clé ne dérive pas du mot de passe facultatif. Elle figure après # dans le lien : le fragment est séparé avant la requête HTTP, comme le décrit la RFC 3986. Le code de la page destinataire l’utilise localement pour déchiffrer. Le mot de passe facultatif constitue un contrôle d’accès distinct côté serveur, où son empreinte est conservée. Le décrire comme une clé PBKDF2 serait incorrect. AES-GCM fournit l’authentification dans son mode de chiffrement ; le format employé ici n’ajoute pas un HMAC séparé aux fichiers.

Différences de modèle de confiance

Mega repose sur des comptes utilisateurs avec des clés de récupération. Si vous perdez votre mot de passe et votre clé de récupération, vos données sont irrécupérables — ce qui est le comportement correct pour le zéro connaissance mais crée de réelles charges de support. Mega a été historiquement accusé de conserver des capacités de texte clair via des flux de changement de mot de passe, des chercheurs en sécurité ayant publié des préoccupations sur des détails spécifiques du protocole.

Juridiction et résidence des données

Mega est basé à Auckland, Nouvelle-Zélande, avec des centres de données en Nouvelle-Zélande, aux Pays-Bas, au Canada et ailleurs. La Nouvelle-Zélande est membre des Five Eyes (partage de renseignements), ce qui préoccupe certains défenseurs de la vie privée. Cependant, le Privacy Act 2020 néo-zélandais offre des protections équivalentes au RGPD, et l'hébergement distribué signifie que les fichiers des utilisateurs UE peuvent passer par les serveurs néerlandais.

HexaTransfer héberge exclusivement en France. Pas d'empreinte mondiale distribuée, pas d'implication dans les Five Eyes. Le RGPD s'applique directement. Pour les utilisateurs UE ayant des exigences strictes de souveraineté des données, le modèle à juridiction unique est plus simple à évaluer juridiquement.

Taille des fichiers, stockage et rétention

Le tier gratuit de Mega offre 20 Go de stockage persistant, fichiers conservés indéfiniment tant que vous vous connectez périodiquement (suspension après 30 jours d'inactivité). Les tiers payants offrent jusqu'à 16 To. La taille par téléchargement est limitée uniquement par votre quota.

HexaTransfer permet 50 Go par transfert avec expiration automatique à 14 jours (par défaut ; durée au choix de 1–30 jours entiers). Pas de stockage persistant — le service est purement pour envoyer, pas pour conserver. Pour une livraison hebdomadaire de 8 Go de fichiers de design à des clients, HexaTransfer fonctionne. Pour une archive de photos personnelles, Mega fonctionne et HexaTransfer ne convient pas.

Expérience de workflow

L'interface web de Mega, la synchronisation bureau et les applications mobiles offrent une expérience similaire à Dropbox avec des dossiers, des versions et du partage. Vous pouvez avoir des dossiers partagés persistants avec des collaborateurs, définir des permissions par dossier et maintenir une structure de projet sur des mois.

HexaTransfer est délibérément mono-usage. Ouvrez le site, déposez un fichier, obtenez un lien, envoyez. Pas de dossiers, pas de synchronisation, pas de versions. Le minimalisme est l'intention — zéro surcharge cognitive, zéro gestion de compte.

Tableau comparatif

Fonctionnalité	Mega	HexaTransfer
Type	Stockage cloud persistant	Transfert éphémère
Chiffrement	AES-128-CCM + RSA-2048	AES-256-GCM + PBKDF2
Chiffrement côté client	Oui	Oui
Tier gratuit	20 Go stockage	50 Go par transfert
Taille max fichier	Limité par quota	50 Go
Rétention	Indéfinie (inactivité 30j)	7 jours
Compte requis	Oui	Non
Localisation des données	NZ, NL, CA, autres	France
Posture RGPD	Conforme	Résident UE
Exposition Five Eyes	Oui (NZ)	Non
Applications bureau	Oui	Non
Applications mobiles	Oui	Non (navigateur uniquement)
Partage de dossiers	Oui	Non

Audits de sécurité et transparence

Mega a publié un client web à code source disponible et commandé des audits de sécurité tiers. L'article académique de 2022 "MEGA: Malleable Encryption Goes Awry" de chercheurs de l'ETH Zurich a identifié cinq vulnérabilités dans le protocole cryptographique de Mega, toutes corrigées par la suite. La réponse publique et les correctifs ont été rapides, ce qui est le comportement correct pour un service cryptographique sous examen.

L'architecture d'HexaTransfer est plus simple (moins de protocoles, pas de récupération de compte, pas de sessions de longue durée), ce qui réduit la surface d'attaque. Le code client est inspectable dans le navigateur. En tant que service plus récent et plus ciblé, il n'a pas subi le même niveau d'examen académique que Mega.

Modèle économique et pérennité

Le modèle économique de Mega repose sur des tiers de stockage freemium, qui génèrent des revenus proportionnels au nombre d'utilisateurs payants. Le service fonctionne depuis 2013 (initialement MEGA Limited, le successeur de Megaupload par Kim Dotcom). La pérennité est raisonnable.

HexaTransfer est un service gratuit sans tiers payants actuellement. Les préoccupations concernant la pérennité des services gratuits sont légitimes — si le service n'est pas monétisé, assurez-vous qu'il est durable avant de vous en remettre pour des flux critiques. Pour les transferts ponctuels, la pérennité compte moins que pour le stockage d'archivage.

Quand choisir l'un ou l'autre

Choisissez Mega pour le stockage cloud chiffré persistant, le partage de dossiers d'équipe, les archives de projets en cours, la synchronisation multi-appareils et quand vous voulez un produit cloud zéro connaissance complet. Acceptez le compromis de la juridiction Five Eyes pour la richesse fonctionnelle.

Choisissez HexaTransfer pour les transferts chiffrés ponctuels, les exigences de juridiction UE, les scénarios où les comptes ajoutent de la friction (livraisons externes, destinataires uniques) et quand 10 Go suffisent. Acceptez l'absence de stockage persistant et de fonctionnalités de collaboration pour la simplicité et la précision juridictionnelle.

Utiliser les deux

Ils sont complémentaires plutôt que concurrents. Un individu soucieux de sa vie privée pourrait utiliser Mega pour le stockage cloud personnel continu (photos, sauvegardes, documents à conserver) et HexaTransfer pour les envois chiffrés occasionnels vers des destinataires non-Mega. Les workflows ne se chevauchent pas assez pour créer des redondances.

Pour une petite entreprise, Mega pourrait servir de coffre-fort de collaboration interne tandis qu'HexaTransfer gère les livraisons clients externes. Les clients n'ont pas besoin de comptes Mega pour recevoir des liens HexaTransfer, ce qui réduit la friction d'intégration pour les engagements ponctuels.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 50 Go.