Protéger les fichiers des hackers : pratiques de sécurité essentielles

Protéger vos fichiers des hackers commence par le chiffrement — AES-256-GCM pendant le transfert, chiffrement côté client avant l'envoi, et TLS 1.3 pour la connexion. Ajoutez des liens de téléchargement à expiration (24 heures est une valeur par défaut raisonnable), une protection par mot de passe avec PBKDF2 à 600 000 itérations, des limites de téléchargement, et une authentification à deux facteurs sur tout compte contenant des données sensibles. Le rapport 2023 Verizon Data Breach Investigations a établi que 74 % des violations impliquent le facteur humain — mots de passe faibles, hameçonnage, partages mal configurés. Les contrôles techniques résolvent la moitié du problème ; le reste, c'est une discipline de travail rigoureuse. Voici ce qui fait réellement la différence.

La surface d'attaque lors du partage d'un fichier

Un fichier qui va de chez vous à quelqu'un d'autre passe par plusieurs zones dangereuses :

Votre appareil — malware qui lit les fichiers avant le chiffrement
Votre réseau local — Wi-Fi hostile, ARP spoofing, DNS pirate
Les liens FAI et dorsaux — historiquement ciblés par la surveillance des États
Les serveurs du service de transfert — violation, menace interne, demandes légales
La boîte mail ou l'application de messagerie du destinataire — où s'accumulent les liens de partage
L'appareil du destinataire — le même problème en sens inverse

Chaque zone nécessite une défense spécifique. En négliger une laisse un chemin d'attaque exploitable.

Commencer par le chiffrement de bout en bout

Le contrôle le plus puissant est le chiffrement côté client avec une clé qui n'atteint jamais le serveur. AES-256-GCM dans le navigateur via l'API Web Crypto produit un texte chiffré inutilisable sans la clé, même si le prestataire est compromis. La clé ne voyage que dans le fragment d'URL (tout ce qui suit #), que les navigateurs n'envoient jamais aux serveurs.

Services qui implémentent cela correctement : Tresorit Send, les liens partagés Proton Drive, le niveau E2EE de SwissTransfer, Mega.nz, HexaTransfer.

Services qui chiffrent sans être côté client : WeTransfer niveau standard, Google Drive, Dropbox, liens de partage OneDrive, Box partage standard. Ceux-ci reposent sur l'honnêteté et la compétence du prestataire — acceptable pour les contenus peu sensibles, insuffisant pour tout ce que vous seriez gêné de voir dans un titre de violation de données.

Toujours utiliser des liens à expiration

Un lien de partage qui dure indéfiniment est une violation en attente de se produire. Les archives e-mail se retrouvent compromises, les exports Slack sont volés, les ordinateurs portables se revendent sur eBay avec l'historique du navigateur intact. Les liens limités dans le temps minimisent les dommages.

Valeurs par défaut raisonnables :

Fichiers personnels : 24 à 72 heures
Documents professionnels : 7 jours maximum
Secrets à usage unique : 1 heure ou un seul téléchargement

Configurez l'autodestruction après lecture lorsque c'est disponible. Les réinitialisations de mot de passe, identifiants et codes à usage unique devraient s'effacer dès qu'ils sont lus. Les liens à téléchargement unique font échouer bruyamment la deuxième tentative d'accès, ce qui est souhaitable — vous voulez savoir si votre lien a été intercepté.

Mots de passe en complément des liens

Le fragment d'URL seul signifie que quiconque dispose du lien peut télécharger. Ajouter un mot de passe transforme un partage à canal unique en double facteur : l'attaquant a besoin à la fois du lien et du mot de passe, idéalement envoyés via des canaux différents.

Implémentation qui fonctionne réellement :

PBKDF2-HMAC-SHA-256 avec au moins 600 000 itérations (OWASP 2023), ou Argon2id avec 64 Mo de mémoire.
Mots de passe de 12 caractères ou plus générés par un gestionnaire de mots de passe, pas "Printemps2025".
Mot de passe transmis par un canal différent de celui du lien — Signal si le lien a été envoyé par e-mail, SMS si le lien était dans Slack.

Un attaquant déterminé peut quand même forcer brutalement des mots de passe faibles hors ligne s'il intercepte à la fois le texte chiffré et le sel. Le KDF les ralentit ; des mots de passe forts les arrêtent.

Sécuriser vos comptes

Si vous utilisez un service basé sur un compte, ce compte devient lui-même une cible d'attaque. La violation Uber de 2022 a commencé par du credential-stuffing contre le login d'un contractant.

Hygiène minimale :

Mot de passe unique par service depuis un gestionnaire de mots de passe (1Password, Bitwarden, Proton Pass).
Authentification à deux facteurs — préférez TOTP (Google Authenticator, Authy) ou clés matérielles (YubiKey, Titan) plutôt que les SMS, vulnérables aux attaques par échange de SIM.
Passkeys lorsque disponibles — basées sur WebAuthn, résistantes au hameçonnage, de plus en plus prises en charge.
Délais d'expiration de session de 30 jours ou moins.
Gestion des appareils — passez en revue les sessions actives, révoquez tout ce que vous ne reconnaissez pas.

Google, Microsoft et Apple activent désormais par défaut la double authentification pour les nouveaux comptes. Les services auto-hébergés et plus petits ne le font souvent pas.

Auditer votre appareil

La sécurité des terminaux est le maillon le plus faible parce que les attaquants le savent. Si votre ordinateur portable est compromis, chaque fichier que vous chiffrez était lisible avant le chiffrement. Niveau de base :

Chiffrement complet du disque — FileVault sur macOS, BitLocker sur Windows Pro, LUKS sur Linux.
Mises à jour du système d'exploitation et du navigateur dans les 7 jours suivant leur publication. L'exploit zero-click Pegasus sur iMessage en 2021 a touché des appareils sans les correctifs.
Antivirus/EDR réputé sur Windows — Microsoft Defender est acceptable pour la plupart des utilisateurs.
Pas de logiciels piratés. Les cracks et keygens sont le vecteur de malware le plus courant pour les utilisateurs particuliers non ciblés.
Mot de passe d'écran de verrouillage avec une phrase de passe de 10 caractères ou plus.
Effacement à distance activé (Localiser sur Mac, Microsoft Localiser mon appareil, Apple Localiser).

Pour les travaux à haut risque (journalisme, droit, recherche avec des États-nations adversaires), envisagez un ordinateur portable dédié avec une hygiène logicielle stricte, ou Qubes OS pour la compartimentation.

Vérifier l'identité du destinataire

Envoyer un fichier sensible à la mauvaise adresse est sa propre catégorie de violation. En 2017, les e-mails de notification d'Equifax ont par erreur renvoyé les utilisateurs vers un domaine de hameçonnage. Prévention :

Confirmez l'adresse e-mail via un second canal avant l'envoi. Appelez le destinataire, vérifiez via une messagerie chiffrée, relisez l'adresse lettre par lettre.
Utilisez des identifiants non ambigus dans les noms de fichiers pour que le destinataire sache immédiatement s'il a reçu le bon fichier.
Commencez par un fichier test — un fichier texte de 1 Ko confirme l'adresse et le processus avant d'envoyer le contenu véritablement sensible.
Méfiez-vous des attaques homographiques — rn ressemble à m, le а cyrillique ressemble au a latin dans les noms de domaine.

Surveiller vos métadonnées

Le chiffrement cache le contenu, pas les noms de fichiers, tailles ou horodatages. Les fuites de métadonnées peuvent être aussi dommageables que les fuites de contenu. Deux exemples :

Un fichier nommé T4-2025-licenciements-final.xlsx raconte une histoire avant que quiconque le déchiffre.
Les photos avec coordonnées GPS EXIF intégrées peuvent révéler votre adresse personnelle à quiconque les reçoit.

Mesures correctives :

Renommez les fichiers avec des noms neutres avant le partage (pièce-jointe.xlsx plutôt que le nom révélateur).
Supprimez les données EXIF avec exiftool -all= photo.jpg avant l'envoi.
Utilisez des services qui chiffrent les noms de fichiers en même temps que leur contenu (Tresorit, Proton Drive, HexaTransfer le font).
Arrondissez les tailles de fichiers par rembourrage si possible.

Surveiller les accès quand c'est possible

Après l'envoi, la visibilité compte. Les services qui affichent les événements de téléchargement permettent de détecter les problèmes tôt :

Le destinataire a-t-il téléchargé ? (Attendu.)
Y a-t-il eu un second téléchargement depuis une adresse IP différente ? (Intercepté ?)
Le lien a-t-il été consulté depuis un pays inattendu ? (VPN ou fuite.)
Y a-t-il des tentatives de mot de passe échouées ? (Force brute en cours.)

Tresorit et Proton Drive journalisent les accès ; SwissTransfer affiche les compteurs de téléchargements ; la plupart des services grand public ne le font pas. Même compter les téléchargements est utile — un lien à téléchargement unique qui a été téléchargé deux fois est une alarme claire.

Sauvegarder avant de supprimer

Un fichier supprimé après un transfert de 24 heures disparaît du service. Assurez-vous d'avoir une copie locale si vous aurez besoin du fichier ultérieurement. Un disque d'archive dédié avec chiffrement complet AES-256-XTS (LUKS, VeraCrypt) plus une sauvegarde hors site sur Backblaze B2 ou AWS S3 avec chiffrement côté serveur est une configuration personnelle standard.

Trois copies des données importantes dans au moins deux endroits, dont au moins une hors ligne — la règle 3-2-1 — résiste mieux aux ransomwares que le stockage uniquement dans le cloud.

Une routine quotidienne pratique

Pour toute personne partageant régulièrement des fichiers sensibles :

Chiffrez localement au repos avec des conteneurs VeraCrypt ou FileVault.
Utilisez par défaut un service de transfert à chiffrement côté client.
Définissez une expiration de 24 heures et une limite de téléchargement unique.
Ajoutez un mot de passe fort depuis un gestionnaire de mots de passe, envoyé via un second canal.
Vérifiez le destinataire avant d'appuyer sur envoyer.
Confirmez le téléchargement, puis supprimez la copie locale du lien de partage.

Surcharge totale : environ 30 secondes par transfert. Réduction du risque de violation : substantielle.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.