Meilleurs outils de chiffrement open source pour le partage

Les meilleurs outils de chiffrement open source pour le partage de fichiers en 2026 sont age (pour le chiffrement moderne en ligne de commande), GnuPG (pour PGP conforme aux standards), 7-Zip avec AES-256 (pour les archives portables), Cryptomator (pour les dossiers cloud), rclone crypt (pour les pipelines de synchronisation-chiffrement), VeraCrypt (pour les conteneurs chiffrés), et OnionShare (pour les envois directs via Tor). Chacun résout un problème spécifique — petit fichier, archive, miroir cloud, dépôt anonyme — et ils se composent bien. Le code source est auditable sur GitHub, et les chiffres sous-jacents (AES-256-GCM, ChaCha20-Poly1305, X25519) sont examinés publiquement par des cryptographes.

age : moderne, minimal, auditable

age (« actually good encryption ») a été écrit par Filippo Valsorda (ancien responsable de la cryptographie Go chez Google) et publié pour la première fois en 2019. Il utilise X25519 + ChaCha20-Poly1305 et une spécification délibérément petite — l'implémentation de référence compte moins de 3 000 lignes de Go. Une commande chiffre un fichier vers la clé publique d'un destinataire :

age -r age1ql3z7h... -o secret.age secret.pdf

Il a remplacé GnuPG dans de nombreux workflows de développeurs car il ne traîne pas 30 ans de bagage OpenPGP : pas de serveurs de clés, pas de toile de confiance, pas de hiérarchie de sous-clés. L'inconvénient est l'adoption par les destinataires — age n'est pas installé par défaut ailleurs que via brew ou apt. Pour les équipes déjà en ligne de commande, c'est excellent.

GnuPG : le cheval de bataille des standards

GnuPG 2.4 implémente OpenPGP selon la RFC 4880 et la RFC 9580, et reste la seule option quand le destinataire exige la compatibilité PGP. Cela inclut la plupart des workflows de journalisme (SecureDrop s'appuie dessus), de nombreux signataires de paquets Debian, et toute organisation ayant une politique incompatible avec S/MIME. Chiffrez avec :

gpg --encrypt --recipient alice@example.com document.docx

GnuPG gère AES-256-CFB, ECDH avec Curve25519, et les signatures détachées. L'UX est vieillotte et il est verbeux, mais le noyau cryptographique a été audité de nombreuses fois et le binaire est livré avec toutes les distributions Linux. Pour l'interopérabilité avec des destinataires non techniques, associez-le à un service de transmission.

7-Zip : le chiffrement d'archive universel

7-Zip est open source (LGPL) et disponible sur Windows, macOS (via Keka ou p7zip) et Linux. Son format .7z supporte AES-256 en mode CBC avec dérivation de clé basée sur SHA-256 (500 000 itérations par défaut dans les versions récentes). Créez une archive chiffrée avec :

7z a -p -mhe=on archive.7z dossier/

Le flag -mhe=on chiffre également les noms de fichiers, ce qui compte — laisser lettre-de-démission-finale.pdf visible dans la liste de l'archive enlève tout intérêt. L'avantage de 7-Zip est le support universel côté destinataire : quiconque sur Windows 11 peut double-cliquer et saisir le mot de passe. Envoyez le mot de passe via Signal, jamais dans le même canal que l'archive.

Cryptomator : chiffrement cloud transparent

Cryptomator s'intercale entre votre système de fichiers et Dropbox, Google Drive, OneDrive, ou tout autre cible WebDAV. Il crée un lecteur virtuel qui chiffre les fichiers avec AES-256-GCM et brouille les noms de fichiers avant leur synchronisation. Le coffre-fort en texte chiffré est ce qui se retrouve dans le cloud ; le texte en clair n'existe que localement. Open source sous GPLv3, avec des audits de sécurité publiés par Cure53.

Idéal pour les archives cloud à long terme où vous voulez un accès zéro fournisseur, mais ce n'est pas un outil de partage ponctuel — le destinataire doit avoir Cryptomator installé et le mot de passe du coffre-fort. Pour les envois uniques, associez-le à un service de transfert qui vous donne un lien.

rclone crypt : pipelines de synchronisation chiffrée

rclone est le couteau suisse de la synchronisation cloud, et son backend crypt enveloppe n'importe quel stockage distant avec un chiffrement côté client utilisant XSalsa20 (libsodium) pour le contenu des fichiers et EME pour les noms de fichiers. Configurez une fois, puis des commandes comme rclone copy ./photos crypte:sauvegarde poussent des blobs chiffrés vers Backblaze B2, S3, Wasabi, ou l'un des 70+ backends supportés.

Populaire dans les configurations de sauvegarde auto-hébergées et fonctionne en mode headless dans des cron jobs. Pas un outil de partage en lui-même — considérez-le comme la couche de chiffrement sous votre pipeline.

VeraCrypt : conteneurs et disque complet

VeraCrypt est le successeur spirituel de TrueCrypt, avec les cicatrices d'audit que cela implique. Il crée des fichiers conteneurs chiffrés ou des volumes disque complets utilisant AES, Twofish, Serpent, ou des cascades des trois, avec dérivation de clé SHA-512 ou Whirlpool. Un conteneur de 4 Go ressemble à un blob binaire aléatoire, se monte comme un lecteur, et se démonte quand vous avez terminé.

Utile pour un espace de travail chiffré local, transporter des données sensibles à une frontière, ou s'associer à un service de transfert (uploadez le conteneur, partagez le mot de passe séparément). Les volumes cachés offrent un déni plausible — deux mots de passe révèlent deux systèmes de fichiers différents.

OnionShare : envoi direct via Tor

OnionShare exécute un service onion Tor éphémère sur votre machine et génère une URL .onion que le destinataire ouvre dans le navigateur Tor. Les fichiers ne transitent jamais par un serveur tiers — ils se déplacent en pair à pair via les relais chiffrés de Tor. Le chiffrement de bout en bout est inhérent au circuit Tor (TLS 1.3 enveloppé dans le routage en oignon).

C'est l'outil de choix quand vous voulez zéro métadonnée chez un fournisseur : pas d'horodatage dans les journaux de serveur, pas d'enregistrement IP, aucune entreprise à mettre en demeure. La vitesse est lente (la bande passante Tor plafonne à environ 5-10 Mo/s en pratique), et les deux parties doivent être en ligne simultanément. Pour les journalistes et leurs sources, c'est difficile à battre.

Choisir la bonne combinaison

Aucun outil unique ne couvre tous les cas. Combinaisons courantes : age + HexaTransfer pour un envoi chiffré rapide à un développeur, 7-Zip + Signal pour une archive protégée par mot de passe à un client, Cryptomator par-dessus iCloud pour un coffre-fort cloud chiffré, OnionShare pour les scénarios de protection de sources. La propriété commune est que le code source est public — vous (ou un cryptographe en qui vous avez confiance) pouvez vérifier que l'implémentation correspond à la promesse.

Si vous voulez un service hébergé avec AES-256-GCM côté client et sans obligation de compte pour compléter ces outils, essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.