WhatsApp revendique un chiffrement de bout en bout pour l’ensemble des conversations. Cette protection couvre les messages texte, les appels vocaux et les échanges de médias. Elle repose sur le protocole Signal, un protocole open source régulièrement audité par des chercheurs en sécurité. Le chiffrement ne couvre toutefois pas toutes les couches d’information liées à l’utilisation de l’application, ce qui laisse plusieurs zones grises que les réglages par défaut ne corrigent pas.
Sauvegardes WhatsApp dans le cloud : le maillon que le chiffrement ne protège pas
Le chiffrement de bout en bout s’applique aux messages en transit entre deux appareils. Dès qu’une sauvegarde est envoyée vers iCloud ou Google Drive, elle sort de ce périmètre.
Par défaut, les sauvegardes cloud ne sont pas chiffrées de bout en bout. Elles restent lisibles par le fournisseur de stockage, et potentiellement accessibles sur réquisition judiciaire ou en cas de compromission du compte cloud.
WhatsApp propose une option dédiée pour chiffrer ces sauvegardes. Le 30 octobre 2025, Meta a annoncé l’ajout de clés d’accès (empreinte digitale, reconnaissance faciale ou verrouillage de l’écran) pour sécuriser ce processus, avec un déploiement progressif. L’activation reste manuelle : il faut se rendre dans Paramètres, puis Discussions, puis Sauvegarde, et activer le chiffrement de bout en bout de la sauvegarde.
Un point souvent méconnu concerne la confidentialité des données sur WhatsApp au-delà du simple échange de messages : la sauvegarde représente une copie intégrale de l’historique, photos et documents inclus. Ne pas la chiffrer revient à laisser un double de toutes ses conversations sur un serveur tiers sans protection spécifique.
Métadonnées WhatsApp : ce que le chiffrement ne masque pas
Le contenu des messages reste illisible pour Meta. Les métadonnées, elles, sont collectées et traitées. Numéros de téléphone des correspondants, horodatage des échanges, fréquence d’utilisation, données de profil, adresse IP lors des appels : ces informations dessinent un profil d’usage détaillé.
L’initiative européenne Klicksafe rappelle que WhatsApp traite ces métadonnées dans le cadre de ses conditions d’utilisation. Le chiffrement protège le contenu, pas le contexte de la communication. Savoir qui parle à qui, à quelle heure et depuis quel lieu géographique approximatif fournit déjà une cartographie relationnelle exploitable.
Protection de l’adresse IP lors des appels
Lors d’un appel vocal ou vidéo, les adresses IP des participants sont échangées par défaut. Cette information révèle une localisation approximative. WhatsApp permet de router les appels via ses serveurs pour masquer cette adresse : Paramètres, puis Confidentialité, puis Avancé, puis activer « Protéger l’adresse IP lors des appels ».
Ce relais dégrade légèrement la qualité audio. Le compromis reste acceptable pour des appels standard, mais il faut savoir que cette option est désactivée par défaut.
Confidentialité avancée des discussions et limites concrètes
Annoncée par WhatsApp le 23 avril 2025, la fonctionnalité de confidentialité avancée des discussions répond à un risque précis : la diffusion non souhaitée du contenu d’une conversation. Elle empêche l’exportation d’une discussion et le téléchargement automatique des médias par les participants.
Cette option cible les groupes sensibles (groupes de soutien, cercles professionnels restreints). Elle ne relève pas du chiffrement mais du contrôle d’usage après réception.
Sa limite principale est technique : rien n’empêche un participant de photographier l’écran ou de recopier manuellement un message. La fonctionnalité freine la diffusion automatisée, pas la diffusion intentionnelle. L’activation reste à l’initiative de chaque utilisateur ou administrateur de groupe.
Meta AI et accès aux conversations WhatsApp
L’intégration de Meta AI dans WhatsApp soulève une question directe : l’assistant lit-il les conversations privées ? Selon les pages d’aide et les conditions publiées par Meta, l’assistant accède uniquement aux messages qu’un utilisateur lui envoie directement ou dans lesquels il est explicitement mentionné.
L’usage de Meta AI constitue donc un acte volontaire, distinct de la messagerie classique. Les conversations entre utilisateurs ne sont pas transmises à Meta AI sans action explicite.
La nuance porte sur les conversations de groupe : si un participant mentionne Meta AI dans un groupe, l’assistant accède au message concerné. Les autres membres du groupe doivent en être conscients, même si le chiffrement de bout en bout continue de s’appliquer aux échanges entre humains dans ce même groupe.
Paramètres à vérifier pour limiter l’exposition
Plusieurs réglages méritent une vérification régulière, au-delà des points déjà abordés :
- La double authentification (vérification en deux étapes) ajoute un code PIN à six chiffres lors de toute nouvelle connexion. Elle se trouve dans Paramètres, puis Compte, puis Vérification en deux étapes. Sans elle, un attaquant qui intercepte le SMS de vérification peut prendre le contrôle du compte.
- La visibilité de la photo de profil, du statut et de l’heure de dernière connexion peut être restreinte aux seuls contacts. Par défaut, ces informations sont accessibles à tous les utilisateurs de WhatsApp, ce qui facilite le profilage par des inconnus.
- Le contrôle des ajouts aux groupes permet de limiter qui peut ajouter un numéro à un groupe. Paramètres, puis Confidentialité, puis Groupes : choisir « Mes contacts » ou « Mes contacts sauf » pour éviter les ajouts non sollicités.
- L’ajout d’une adresse email au compte fournit un moyen de récupération supplémentaire en cas de perte d’accès, indépendant du numéro de téléphone.
Réglementation européenne et partage de données avec Meta
Le Digital Markets Act (DMA) impose à Meta des obligations d’interopérabilité et de transparence sur le traitement des données. Dans l’Espace économique européen, WhatsApp applique une politique de confidentialité spécifique qui encadre le partage de données avec les autres entités Meta.
Le partage de métadonnées entre WhatsApp et Facebook ou Instagram à des fins publicitaires fait l’objet de restrictions en Europe depuis la mise en application du RGPD, puis du DMA. Les utilisateurs européens disposent d’un cadre réglementaire plus protecteur que dans d’autres régions, mais la frontière entre données nécessaires au fonctionnement du service et données exploitées à des fins commerciales reste un sujet de contentieux entre Meta et les régulateurs.
Les réglages de confidentialité de WhatsApp ne remplacent pas la vigilance sur l’écosystème global. Un compte WhatsApp protégé qui sauvegarde vers un cloud non chiffré, associé à un compte Meta utilisé sans restriction de partage, offre une protection fragmentaire. La cohérence entre les paramètres de chaque service reste le facteur déterminant.
