Outils de partage de fichiers les plus sécurisés, classés

Classés par force du chiffrement et architecture zéro connaissance, les outils de partage de fichiers les plus sécurisés en 2026 sont Tresorit Send (XChaCha20-Poly1305, hébergement suisse), HexaTransfer (AES-256-GCM côté navigateur, clé dans le fragment), Proton Drive Share (E2EE dérivé de PGP), Internxt Send (libsodium, backend Storj) et OnionShare (services cachés Tor, sans serveur du tout). Chacun utilise un modèle cryptographique différent, donc « le plus sécurisé » dépend de votre modèle de menace : surveillance réseau, compromission de serveur, assignation judiciaire, ou fuite de métadonnées. Cette analyse creuse dans l'implémentation réelle de chaque outil plutôt que dans les affirmations marketing.

Ce qui rend un outil de partage de fichiers « sécurisé »

Trois propriétés comptent. Premièrement, le chiffrement de bout en bout : seuls l'expéditeur et le destinataire détiennent les clés, le serveur ne voit que du texte chiffré. Deuxièmement, l'architecture zéro connaissance : le fournisseur ne peut pas réinitialiser votre mot de passe ou récupérer vos fichiers, parce qu'il n'a jamais eu la clé. Troisièmement, la minimisation des métadonnées : aucun compte, aucune journalisation des IP au-delà de la limitation de débit, aucun SDK analytique. Un outil qui manque l'une de ces propriétés est vulnérable à la menace correspondante. « Chiffrement de niveau bancaire » et « de niveau militaire » sont du marketing ; ce qui compte, c'est quel RFC l'implémentation suit.

Tresorit Send : XChaCha20-Poly1305, juridiction suisse

Tresorit appartient à la Poste Suisse mais opère indépendamment. Send utilise XChaCha20-Poly1305 (RFC 8439, variante à nonce étendu) avec des clés par fichier dérivées via HKDF-SHA-256. Les fichiers sont divisés en morceaux de 4 Mo, chacun chiffré séparément, ce qui permet des imports reprenables sans réutilisation de clé. Le niveau gratuit offre 5 Go par transfert. Les métadonnées, y compris le nom de fichier, sont également chiffrées. Inconvénients : le niveau gratuit exige un e-mail, et les journaux d'audit vivent sur les serveurs de Tresorit (chiffrés, mais présents quand même). Meilleur choix pour un outil commercial de qualité enterprise avec une forte piste documentaire.

HexaTransfer : clé dans le fragment, rien stocké

HexaTransfer utilise AES-256-GCM via l'API Web Crypto du navigateur. La clé 256 bits est générée côté client et placée dans le fragment d'URL (la partie après #), que les navigateurs ne transmettent jamais aux serveurs. Le backend stocke le blob chiffré et les métadonnées en texte chiffré uniquement. Ni l'équipe HexaTransfer ni un serveur compromis ne peut déchiffrer quoi que ce soit sans le fragment. PBKDF2 avec 600 000 itérations protège les mots de passe optionnels. Le plafond de 10 Go et le flux sans compte rendent difficile de relier un transfert à une personne. Le compromis : aucun journal d'audit centralisé pour le reporting de conformité.

Proton Drive Share Links : E2EE dérivé de PGP

Proton a construit Drive sur le même fondement OpenPGP que Proton Mail, avec des clés ECC Curve25519 et des clés de session AES-256-CFB. Les liens de partage dérivent des clés par lien à partir de la clé maître du compte, de sorte que révoquer un partage révoque la clé. L'intégration avec Proton Mail et Proton Pass est le vrai attrait : un compte, un jeu de clés, 2FA unifié. Le plan gratuit plafonne à 5 Go de stockage total, pas par transfert, ce qui contraint les utilisateurs intensifs. Hébergement suisse, clients open source, et un livre blanc cryptographique publié.

Internxt Send : libsodium sur Storj

Internxt Send chiffre les fichiers avec la secretbox de libsodium (XSalsa20-Poly1305) avant de les diviser sur le réseau décentralisé Storj. Chaque morceau atterrit sur un nœud différent, et les nœuds ne voient que des fragments de texte chiffré. Le modèle réseau élimine un point central de compromission : aucun serveur unique ne détient un fichier complet. Les inconvénients incluent des téléchargements plus lents (plus d'allers-retours) et un plafond gratuit de 5 Go. Un choix raisonnable pour les utilisateurs qui se méfient par principe du stockage centralisé.

OnionShare : pair à pair sur Tor

OnionShare est un outil de bureau, pas un service web. Il fait tourner un service caché Tor éphémère sur votre ordinateur ; le destinataire télécharge directement depuis votre machine via le réseau Tor. Il n'y a littéralement pas de serveur tiers. Le chiffrement est TLS dans Tor, plus le propre onion-routing de Tor. Le fichier quitte votre disque uniquement quand le destinataire se connecte. Inconvénients : votre ordinateur doit rester en ligne jusqu'à la fin du téléchargement, et la bande passante Tor plafonne les transferts à environ 10-20 Mo/s. Meilleur choix pour le journalisme, la protection des sources, et les cas où « aucun tiers dans la boucle » est l'exigence.

Classement par modèle de menace

| Menace | Meilleur outil | Pourquoi | |---|---|---| | Violation de serveur | HexaTransfer, OnionShare | Le serveur ne détient pas de texte en clair ou pas de fichier du tout | | Assignation judiciaire | OnionShare, HexaTransfer | Aucune donnée à remettre | | Surveillance réseau | OnionShare | Tor masque les métadonnées | | Audit de conformité | Tresorit Send | Journaux d'audit avec E2EE | | Cohérence d'écosystème | Proton Drive | Clés unifiées avec Mail/Pass | | Plafond de taille | HexaTransfer (10 Go) | Plus grand niveau E2EE sans compte |

Aucun outil ne gagne dans toutes les catégories. Un journaliste utilise OnionShare. Un cabinet juridique utilise Tresorit pour les journaux d'audit. Un freelance envoyant une vidéo de 6 Go utilise HexaTransfer.

Outils qui paraissent sécurisés mais ne le sont pas

WeTransfer affirme « chiffrement en transit et au repos ». C'est TLS plus AES-256 côté serveur, pas de bout en bout. Une violation ou un accès interne expose du texte en clair. Dropbox Transfer, les liens de partage Google Drive et les partages OneDrive fonctionnent tous de la même façon : le fournisseur détient vos clés. Firefox Send offrait un vrai E2EE mais a fermé en 2020. Méfiez-vous de tout outil qui se dit « sécurisé » sans nommer le chiffrement, la fonction de dérivation de clé, et si le serveur peut déchiffrer.

Les métadonnées : la vulnérabilité cachée

La plupart des outils « sécurisés » chiffrent le contenu des fichiers et ignorent les métadonnées. Les noms de fichiers, tailles, horodatages d'import, IP de l'expéditeur, e-mail du destinataire — tout cela laisse filtrer du contexte. Un fichier .pdf de 2,3 Mo intitulé fusion_brouillon_v4.pdf dit beaucoup à un concurrent même si les octets restent secrets. Tresorit et HexaTransfer chiffrent les noms de fichiers ; Proton Drive les chiffre ; Dropbox et WeTransfer ne le font pas. Quand vous évaluez un outil, ouvrez son panneau réseau et regardez ce qu'il envoie.

Configuration pratique pour une sécurité maximale

Générez des mots de passe forts et aléatoires via un gestionnaire de mots de passe (Bitwarden, 1Password) si l'outil supporte la protection par mot de passe. Partagez le lien sur un canal (e-mail) et le mot de passe sur un autre (Signal). Définissez la durée d'expiration la plus courte utile : 24 heures pour les transferts ponctuels, 7 jours pour la collaboration continue. Supprimez le transfert manuellement une fois que le destinataire confirme le téléchargement. Évitez de partager des liens dans des canaux Slack à large adhésion ; les MP sont plus sûrs. Pour du matériel ultra-sensible, utilisez un profil de navigateur propre ou une clé USB Tails en direct.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.