Chiffrer ses fichiers confidentiels avec Cryptomator

Stocker des fichiers sensibles en clair sur un drive cloud, c’est l’équivalent numérique de laisser sa porte d’entrée grande ouverte. Les rançongiciels, les fuites de données et les piratages de comptes ont cessé d’être des gros titres exceptionnels pour devenir la routine — et dès que quelqu’un entre dans votre compte cloud, chaque fichier non chiffré lui appartient : pièces d’identité, déclarations d’impôts, contrats, dossiers médicaux, photos privées. La solution n’est pas de quitter votre fournisseur cloud. C’est de faire en sorte qu’il ne puisse pas lire ce que vous y stockez. C’est exactement ce que fait Cryptomator, et c’est gratuit.

L’essentiel

• Chiffrement zéro connaissance, côté client : vous seul détenez la clé ; votre fournisseur cloud ne peut pas lire vos fichiers, même en cas de fuite ou de réquisition judiciaire.
• Gratuit et open source sur ordinateur (Windows/macOS/Linux) ; freemium sur mobile — lecture seule gratuite, un achat unique (29,99 €, par plateforme) pour l’écriture.
• Fonctionne par-dessus votre cloud existant — Google Drive, Dropbox, OneDrive, iCloud, Nextcloud, pCloud et tout stockage WebDAV/S3.
• Aucun espace de stockage supplémentaire : les fichiers chiffrés remplacent les originaux en clair (surcoût inférieur à ~1 %), et le découpage par fichier fait que la synchronisation ne re-téléverse que ce qui a changé.
• Fichiers chiffrés en AES-256 (SIV-GCM / SIV-CTRMAC), clés dérivées avec scrypt ; le code a été audité indépendamment.

Pourquoi chiffrer ses fichiers a-t-il cessé d’être optionnel ?

Parce que le modèle de menace a changé. Les cyberattaques ne sont plus un problème de niche réservé aux entreprises — elles sont ambiantes. Le rançongiciel est une industrie qui pèse plusieurs milliards de dollars et pratique la double extorsion (chiffrer vos données et menacer de les publier). L’IA a rendu le hameçonnage effroyablement convaincant. Le bourrage d’identifiants (credential stuffing) fait qu’un seul mot de passe fuité est essayé sur tous les services que vous utilisez. Et les fuites chez les fournisseurs cloud arrivent plus souvent qu’ils n’aiment l’admettre.

Le fil conducteur : si quelqu’un atteint votre compte cloud — via un mot de passe fuité, une page de hameçonnage ou une brèche chez le fournisseur lui-même — chaque fichier stocké en clair devient instantanément lisible. Le chiffrement est la seule couche qui tient encore debout quand toutes les autres ont cédé.

Mon cloud ne chiffre-t-il pas déjà mes fichiers ?

En partie — et pas de la façon qui vous protège. Google Drive, Dropbox, OneDrive et iCloud chiffrent vos données en transit (TLS) et au repos (sur leurs serveurs). Mais ce sont eux qui détiennent les clés. Concrètement, le fournisseur peut lire vos fichiers, les analyse au minimum pour détecter les contenus illégaux, doit les remettre sous forme lisible en cas de réquisition judiciaire valide, et les expose dès que son infrastructure — ou votre compte — est compromise.

Le chiffrement côté client inverse la logique. Vous chiffrez sur votre propre appareil avant tout téléversement, et vous détenez la seule clé. Le fournisseur continue de stocker et de synchroniser vos données, mais ne peut pas les lire. C’est toute la différence du « zéro connaissance », et c’est tout l’enjeu.

C’est quoi, Cryptomator, exactement ?

Cryptomator est un outil de chiffrement open source de l’entreprise allemande Skymatic GmbH. Il permet de créer des coffres chiffrés — voyez-les comme des dossiers chiffrés — que vous pouvez déposer n’importe où sur votre système de fichiers, y compris dans un dossier synchronisé par un service cloud. Déverrouillez un coffre et il apparaît comme un disque ordinaire ; tout ce que vous y placez est chiffré de façon transparente, en temps réel.

Comment ça fonctionne sous le capot ?

Quelques choix de conception le rendent particulièrement adapté au cloud :

1. La création du coffre dérive une clé maîtresse de votre mot de passe via scrypt, une fonction délibérément lente et gourmande en mémoire qui rend la force brute impraticable.
2. Le chiffrement des fichiers utilise AES-256 (en mode SIV-GCM ou SIV-CTRMAC, consigné dans la configuration du coffre), chaque fichier étant chiffré comme une unité autonome.
3. Le chiffrement des noms de fichiers masque les noms avec AES-SIV puis les encode : même vos noms de fichiers et de dossiers sont illisibles.
4. Le découpage des fichiers fractionne les gros fichiers en blocs d’environ 32 Kio, chacun chiffré séparément — modifier une partie d’un gros fichier ne re-téléverse que les blocs concernés, pas l’ensemble.
5. Le montage en disque virtuel (via FUSE, WinFsp ou WebDAV) expose un coffre déverrouillé comme un disque ordinaire pendant que Cryptomator chiffre et déchiffre à la volée.
6. L’obfuscation des répertoires aplatit et rend aléatoire votre arborescence : le coffre brut ne révèle rien de la façon dont vos fichiers sont organisés.

Cryptomator résiste-t-il vraiment au quantique ?

Pour le chiffrement des fichiers, effectivement oui — et cela vaut la peine de comprendre pourquoi, car « résistant au quantique » est une expression qu’on emploie à tort et à travers. Les algorithmes les plus menacés par les ordinateurs quantiques sont les algorithmes asymétriques comme RSA et les courbes elliptiques, que l’algorithme de Shor peut casser incomparablement plus vite qu’une machine classique. Cryptomator chiffre le contenu des fichiers avec AES-256, un algorithme symétrique auquel Shor ne s’applique pas. La meilleure attaque quantique connue contre lui, l’algorithme de Grover, ne fait que diviser par deux la force effective de la clé — AES-256 ramené à l’équivalent d’AES-128, qui reste infaisable à casser par force brute. Le NIST considère AES-256 comme sûr pour l’avenir prévisible.

Cela désamorce aussi la menace du « récolter maintenant, déchiffrer plus tard », où des acteurs accumulent aujourd’hui des données chiffrées en espérant les casser quand les ordinateurs quantiques auront mûri. Des données protégées par AES-256 ne tombent pas face à cette stratégie.

Comment installer et utiliser Cryptomator ?

Le déroulé est le même partout : installer, créer un coffre dans votre dossier cloud, définir un mot de passe solide, sauvegarder la clé de récupération, puis déverrouiller / utiliser / verrouiller. Les installateurs sont sur cryptomator.org.

Sur ordinateur (Windows, macOS, Linux)

1. Téléchargez depuis cryptomator.org (sur Windows 10/11, lancez le .exe/.msi ; sur macOS, utilisez le téléchargement ou brew install --cask cryptomator ; sur Linux, l’AppImage, le Flatpak flatpak install flathub org.cryptomator.Cryptomator, ou le paquet de votre distribution).
2. Au premier lancement, on peut vous proposer d’installer un assistant de montage — WinFsp sur Windows, macFUSE sur macOS, FUSE sur Linux. Chaque plateforme peut aussi se rabattre sur WebDAV, qui ne demande aucun logiciel supplémentaire mais est un peu plus lent.
3. Cliquez sur Ajouter un coffre → Créer un nouveau coffre, nommez-le (le nom reste local, jamais stocké dans les données chiffrées), et — point crucial — choisissez un emplacement dans votre dossier de synchronisation cloud (par exemple votre répertoire Google Drive, Dropbox ou iCloud Drive).
4. Définissez une phrase de passe solide, puis laissez Cryptomator générer une clé de récupération et rangez-la en lieu sûr, hors ligne (voir plus bas).
5. Déverrouillez pour obtenir un disque virtuel ; glissez-y vos fichiers ou enregistrez-y depuis n’importe quelle application. Verrouillez une fois terminé — le disque disparaît et votre client cloud synchronise automatiquement les fichiers chiffrés.

Vous pouvez configurer les coffres pour un verrouillage automatique après inactivité et un lancement à l’ouverture de session.

Sur mobile (Android, iOS)

Les applications mobiles sont freemium : installez-les gratuitement depuis l’App Store, Google Play ou une version F-Droid, utilisez-les en lecture seule sans limite de durée, et faites un achat unique pour débloquer l’écriture. Ensuite :

1. Ajoutez votre service cloud — Google Drive, Dropbox, OneDrive, pCloud, iCloud (iOS), WebDAV ou S3 — en vous authentifiant via OAuth, de sorte que l’application ne voie jamais votre mot de passe cloud.
2. Naviguez vers un coffre créé sur ordinateur et ouvrez son fichier masterkey.cryptomator (ou vault.cryptomator), puis saisissez votre mot de passe.
3. Parcourez, ouvrez et modifiez vos fichiers. Sur iOS, le coffre déverrouillé apparaît comme un emplacement dans l’app Fichiers ; sur Android, il se branche sur le Storage Access Framework, si bien que les fichiers chiffrés s’ouvrent dans d’autres applications.
4. Activez le déverrouillage biométrique (Face ID / Touch ID / empreinte) et le verrouillage automatique pour gagner en confort sans sacrifier la sécurité. Vous pouvez aussi créer de nouveaux coffres depuis le mobile.

Pourquoi Cryptomator ne consomme-t-il pas d’espace cloud supplémentaire ?

Parce que les fichiers chiffrés remplacent les originaux en clair — il n’y a pas de seconde copie. Déposez un document de 50 Mo dans un coffre déverrouillé et Cryptomator écrit la version chiffrée dans un chemin aléatoire du même dossier cloud ; votre client cloud synchronise cela. Total utilisé : environ 50 Mo, avec un surcoût de chiffrement typiquement inférieur à 1 %. Le fichier non chiffré n’existe jamais ailleurs que sur le disque virtuel, jamais écrit en clair sur le disque.

La synchronisation reste efficace parce que le chiffrement est par fichier et par blocs : modifiez un petit fichier et lui seul est re-téléversé ; modifiez une partie d’un gros fichier et seuls les blocs d’environ 32 Kio concernés remontent ; ajoutez ou supprimez et seuls ces fichiers bougent. C’est un avantage décisif sur les outils à conteneur (comme VeraCrypt), où changer un octet dans un conteneur de 10 Go peut signifier re-téléverser les 10 Go entiers.

Et l’obfuscation est complète : Declaration_Impots_2025.pdf devient une chaîne encodée illisible, les noms de dossiers sont chiffrés, et l’arborescence est aplatie en identifiants courts sans signification. Quiconque fouille votre compte cloud brut ne voit qu’un fouillis — pas de noms de fichiers, pas de structure, aucun indice sur le nombre de fichiers ni leur contenu.

Comment garder un coffre réellement sécurisé ?

Le chiffrement n’est jamais plus fort que les habitudes qui l’entourent. L’indispensable :

• Choisissez une phrase de passe solide. Votre coffre est exactement aussi sûr que votre mot de passe. Utilisez six mots aléatoires ou plus (cheval-correct-pile-agrafe-volcan-ruban) ou 20 caractères aléatoires et plus — visez ~80 bits d’entropie. Ne réutilisez jamais un mot de passe et n’employez jamais d’informations personnelles.
• Protégez votre clé de récupération. Générez-la à la création, écrivez-la sur papier, et rangez-la dans un endroit physiquement sûr — idéalement deux copies à deux endroits. Ne la gardez jamais dans le même cloud que le coffre. Sans mot de passe ni clé de récupération, vos fichiers sont perdus pour de bon.
• Utilisez un gestionnaire de mots de passe (Bitwarden, 1Password, KeePassXC) pour ne mémoriser qu’un seul mot de passe maître.
• Verrouillez religieusement. Un coffre déverrouillé est lisible par quiconque — ou par n’importe quel logiciel malveillant — présent sur votre machine. Réglez le verrouillage automatique sur 5 à 15 minutes et verrouillez votre écran quand vous vous éloignez.
• Sécurisez aussi l’appareil : chiffrement complet du disque (BitLocker/FileVault/LUKS), mises à jour du système, double authentification sur vos comptes cloud, et un anti-malware réputé.
• Gardez Cryptomator à jour pour recevoir rapidement les correctifs de sécurité.

Comment Cryptomator se compare-t-il aux alternatives ?

Critère	Cryptomator	VeraCrypt	Boxcryptor	rclone crypt
Open source	Oui	Oui	Non	Oui
Conçu pour la synchro cloud	Oui (natif)	Non (conteneur)	Oui	Oui
Chiffrement par fichier	Oui	Non	Oui	Oui
Ordinateur et mobile	Oui	Ordinateur seul	(abandonné)	Ordinateur + CLI
Interface graphique soignée	Oui	Oui	Oui	Limitée
Gratuit sur ordinateur	Oui	Oui	Non	Oui
Activement maintenu	Oui	Oui	Non	Oui
Facilité d’usage	Très facile	Moyenne	Facile	Technique

VeraCrypt est excellent pour chiffrer clés USB, disques externes et disques entiers — mais ses conteneurs monolithiques se marient mal avec la synchronisation cloud, et il n’a pas d’applications mobiles. Utilisez-le pour le chiffrement local/hors ligne, et Cryptomator pour tout ce qui touche au cloud.

Boxcryptor était le rival commercial populaire — jusqu’à ce que Dropbox rachète l’entreprise fin 2022 et l’abandonne pour les nouveaux utilisateurs. C’est le récit édifiant du chiffrement propriétaire : quand l’éditeur pivote, vous perdez l’outil. Cryptomator étant open source, même si Skymatic disparaissait, le code et le format de coffre documenté survivraient.

rclone crypt chiffre avant le téléversement et excelle pour les sauvegardes automatisées côté serveur — mais il est d’abord pensé pour la ligne de commande et n’a pas l’interface accessible de Cryptomator. Un excellent complément pour qui est à l’aise dans un terminal.

Pour qui est-ce vraiment fait ?

Pour à peu près tous ceux qui ont quelque chose à protéger, mais en particulier :

• Les freelances qui stockent contrats clients, factures et accords de confidentialité sur Google Drive — souvent une obligation RGPD/HIPAA/SOC 2, pas seulement de la prudence.
• Toute personne avec des documents personnels — passeports, relevés bancaires, dossiers médicaux, déclarations d’impôts, photos privées — sur iCloud ou Dropbox.
• Les petites équipes qui partagent un dossier cloud : chacun détient le mot de passe du coffre (distribué via un gestionnaire de mots de passe partagé), zéro infrastructure requise.
• Les journalistes et militants dont les sources ou la sécurité dépendent de données qui restent illisibles même en cas de saisie d’appareil ou de réquisition d’un compte.
• Les étudiants et chercheurs qui manipulent des travaux non publiés ou des jeux de données à caractère personnel sur le stockage cloud fourni par leur institution.

Vos fichiers vous appartiennent

Les cyberattaques s’intensifient, les fuites sont devenues la routine, et l’informatique quantique se profile — pourtant le chiffrement fort n’est plus réservé aux experts. Cryptomator le rend gratuit, ouvert et compatible avec tous les appareils et tous les clouds que vous utilisez déjà : pas de compte à créer, pas d’abonnement, aucune expertise requise. Téléchargez-le, créez un coffre, définissez un mot de passe solide, et commencez à y déposer vos fichiers sensibles. Vos données restent les vôtres.

Pendant que vous durcissez votre installation, cela vaut la peine d’y associer un bon gestionnaire de mots de passe et l’habitude de sauvegarder ce qui compte — chiffrement et sauvegardes résolvent des problèmes différents, et il vous faut les deux.

– blaminhor