Protéger les secrets commerciaux numériquement : transfert chiffré

Protéger les secrets commerciaux lors d'un transfert numérique repose sur quatre contrôles : le chiffrement de bout en bout via AES-256-GCM pour que le prestataire de transport ne puisse pas lire le contenu, un accès lié à l'identité pour que seuls les destinataires nommés ouvrent le fichier, des pistes d'audit prouvant qui a téléchargé quoi et quand, et des limites de rétention supprimant les données de chaque système intermédiaire dans les jours suivant l'envoi. Ignorer l'un d'eux risque de faire perdre le statut de secret commercial sous la directive UE 2016/943 ou son équivalent national, qui exigent toutes deux des « mesures raisonnables » pour préserver le secret. Voici comment intégrer ces mesures dans le flux de travail quotidien sans paralyser l'activité.

Ce qui compte légalement comme secret commercial

Les secrets commerciaux sont définis de manière précise. Sous la directive UE 2016/943 transposée dans le droit français, une information ne se qualifie que si elle tire une valeur économique du fait de ne pas être généralement connue et si son détenteur a pris des mesures raisonnables pour la garder secrète. Les tribunaux rejettent régulièrement le statut de secret commercial quand les demandeurs ne peuvent pas démontrer ces mesures. Dans l'affaire Waymo c. Uber, les journaux de transfert de fichiers chiffrés ont été cités comme preuve de mesures raisonnables. Dans un cas similaire, le demandeur a perdu parce que des schémas techniques sensibles avaient été envoyés en texte clair par e-mail à un contractant sans NDA.

Ce qui qualifie généralement : procédés de fabrication, code source, listes de clients avec tarification, données R&D, formulations, conditions fournisseurs, marges internes. Ce qui qualifie généralement pas : informations dans des brevets déposés, spécifications publiquement divulguées, connaissances générales de l'industrie. Les contrôles de transfert que vous mettez en place autour d'un fichier affectent directement si un tribunal le traitera comme un secret commercial.

Le chiffrement doit avoir lieu avant l'envoi

Le chiffrement de transport (TLS 1.3 entre navigateur et serveur) protège les fichiers en mouvement mais les laisse lisibles au repos sur les serveurs du prestataire. Pour tout ce qui est classifié secret commercial, le chiffrement doit avoir lieu côté client avant l'envoi. Le fichier en clair ne quitte jamais l'appareil de l'expéditeur.

Techniquement, cela signifie AES-256-GCM effectué dans le navigateur via l'API Web Crypto, avec la clé dérivée d'un mot de passe fort via PBKDF2 (600 000+ itérations) ou Argon2id, et la clé jamais transmise au serveur. Le serveur stocke un texte chiffré qu'il ne peut pas déchiffrer. HexaTransfer implémente exactement ce schéma, avec les clés transmises aux destinataires via des fragments d'URL que les navigateurs n'envoient pas aux serveurs dans les requêtes HTTP.

Destinataires authentifiés, pas seulement des liens

Un lien de partage nu est un token porteur. Quiconque l'intercepte — via un e-mail mal acheminé, un canal Slack compromis, ou une invitation de calendrier transférée — peut ouvrir le fichier. Pour les secrets commerciaux, liez l'accès à l'identité.

Options pratiques :

Liens protégés par mot de passe avec le mot de passe livré via un canal séparé (Signal, appel téléphonique, e-mail chiffré)
Accès conditionné par e-mail où le service envoie un code à usage unique à une adresse pré-autorisée
mTLS (TLS mutuel) pour les échanges B2B entre partenaires connus
Intégration SSO avec SAML ou OIDC pour les transferts internes

Dropbox Transfer, WeTransfer Pro et Tresorit prennent tous en charge la vérification par e-mail sur les liens. La question clé : si le lien fuite, qu'est-ce qui est encore nécessaire pour ouvrir le fichier ?

Journalisation des audits résistante aux litiges

Si un secret commercial est ultérieurement détourné, vous devrez prouver qui y a eu accès et quand. Cela nécessite des journaux d'audit immuables montrant : horodatage d'envoi, identité de l'expéditeur, liste des destinataires, tentatives d'accès (réussies et échouées), horodatages de téléchargement, adresses IP des personnes ayant téléchargé, et événements d'expiration de lien.

Les journaux doivent être inviolables. Un stockage en ajout seul avec hachage cryptographique (arbres de Merkle ou horodatages ancrés dans une blockchain) résiste mieux devant un tribunal qu'un fichier journal plat que l'IT pourrait avoir modifié. Pour les configurations personnalisées, envoyez les événements vers un SIEM (Splunk, Elastic, Datadog) avec une rétention de 7 ans alignée sur la plupart des délais de prescription pour les litiges de secrets commerciaux.

NDA et accusés de réception par clic

La protection légale se superpose à la protection technique. Chaque destinataire d'un fichier de secret commercial devrait avoir un NDA signé, et de nombreux tribunaux regardent favorablement les accusés de réception par clic affichés au moment du téléchargement : « En téléchargeant ce fichier, vous confirmez être [destinataire nommé], accepter les conditions de confidentialité du NDA daté [date], et vous vous engagez à ne pas redistribuer ce contenu. »

Les services prenant en charge ce schéma incluent Kiteworks, Intralinks (courant dans les data rooms de fusions-acquisitions) et Virtru. L'accusé de réception par clic crée un enregistrement horodaté lié à la session authentifiée du destinataire, qui relie juridiquement l'individu à la divulgation.

Fenêtres de rétention courtes par défaut

Les secrets commerciaux ne devraient pas rester sur des serveurs tiers indéfiniment. La rétention par défaut devrait se mesurer en heures ou jours, pas en mois. Profils standard :

Pièces jointes de devis aux prospects : 48 à 72 heures
Données R&D aux contractants externes : 7 jours avec prolongation sur demande
Matériaux de due diligence pour fusions-acquisitions : 30 jours, purge automatique après signature
Transferts internes courants : 24 heures

Une rétention courte réduit la fenêtre de violation. Si un prestataire est compromis dans six mois, un fichier supprimé automatiquement après 72 heures n'est pas dans la violation. HexaTransfer plafonne la rétention à 7 jours et respecte les expirations plus courtes jusqu'à quelques heures. Dropbox Transfer atteint au maximum 90 jours mais permet aux expéditeurs de définir une expiration d'un jour.

Filigranes et DRM pour les documents à haute valeur

Pour les présentations au conseil, les mémos de fusions-acquisitions ou les formulations, le partage statique de fichiers ne suffit pas. Le filigrane dynamique imprime l'adresse e-mail, l'IP et l'horodatage de téléchargement du destinataire sur chaque page d'un PDF au moment du téléchargement. Si le document fuite vers un blog ou un concurrent, le filigrane le retrace jusqu'au destinataire spécifique.

Outils : DocSend (propriété de Dropbox) effectue un suivi par destinataire pour les présentations commerciales. Fasoo et Seclore appliquent un DRM persistant qui maintient les fichiers chiffrés même après téléchargement, les clés étant vérifiées auprès d'un serveur de licences à chaque ouverture. Mise en garde : le DRM qui dépend d'un serveur de licences bloque les flux de travail où les destinataires sont hors ligne, ce qui convient mieux aux dirigeants et aux conseillers juridiques qu'aux ingénieurs sur le terrain.

Hygiène de sortie à la fin des relations

Quand un engagement de contractant se termine ou qu'un employé quitte l'entreprise, les secrets commerciaux auxquels il avait accès doivent être révoqués. Les transferts basés sur des liens facilitent cela par rapport aux dossiers cloud : révoquez le lien, le fichier est inaccessible. Pour les salles de fichiers par abonnement (Intralinks, Box), désactivez le compte et invalidez tous les liens de partage en suspens associés.

Intégrez la sortie dans le contrat. Clause standard : « À la résiliation, le destinataire devra supprimer tous les fichiers confidentiels dans les 72 heures et certifier la destruction par écrit. » Associez-la à la révocation technique pour que l'obligation légale ait des dents.

Mise en pratique

Le schéma de travail pour la plupart des entreprises : chiffrement AES-256-GCM côté client, authentification des destinataires par mot de passe ou e-mail, rétention de 7 jours ou moins, journaux d'audit immuables transmis à un SIEM, accusé de réception NDA par clic au téléchargement, et filigrane dynamique pour les documents de premier niveau. Rien n'est exotique, mais cela nécessite de définir une valeur par défaut et de l'appliquer plutôt que de laisser chaque employé choisir son propre outil.

Essayez sur hexatransfer.com — gratuit, sans compte, jusqu'à 10 Go.