Envoyer un contrat à un client, transmettre des bulletins de paie à l’expert-comptable, partager un dossier avec un sous-traitant : pour une TPE, une PME ou un indépendant, le transfert de fichiers sécurisé est un geste quotidien, rarement réfléchi. On prend le premier outil sous la main, on colle un lien dans un e-mail, et on passe à autre chose. Pourtant, c’est précisément à ce moment-là que les données sortent de l’entreprise. Ce guide rassemble sept pratiques concrètes, applicables sans service informatique : chiffrement de bout en bout, liens à expiration, mot de passe, vérification du destinataire, cadre RGPD, journalisation et hygiène des pièces jointes. Aucune ne demande un budget important ; toutes demandent un peu de méthode.
Pourquoi le transfert de fichiers sécurisé concerne aussi les petites structures
Une petite entreprise manipule les mêmes catégories de données qu’un grand groupe : identités, coordonnées bancaires, données de santé, informations RH, secrets commerciaux. La différence, c’est qu’elle n’a généralement ni DPO, ni responsable sécurité, ni procédure écrite. Le risque ne se situe pas dans un scénario d’attaque sophistiquée, mais dans l’accumulation de petits gestes : un lien qui n’expire jamais, une pièce jointe envoyée au mauvais « Martin », un mot de passe collé sous le lien qu’il est censé protéger.
1. Chiffrer de bout en bout, pas seulement « en transit »
Ce que le cadenas du navigateur protège vraiment
Le cadenas HTTPS signifie que la connexion entre votre navigateur et le serveur est chiffrée (TLS). C’est indispensable, mais cela ne dit rien de ce qui se passe une fois le fichier sur le serveur. Beaucoup de services de transfert annoncent un « chiffrement en transit » et un « chiffrement au repos » : dans les deux cas, c’est l’opérateur qui détient les clés. Il peut donc lire vos fichiers, ou être contraint de les remettre à un tiers.
Le chiffrement de bout en bout déplace cette frontière. Le fichier est chiffré sur votre appareil, avant l’envoi, et seul le destinataire possède de quoi le déchiffrer. Le serveur ne transporte et ne stocke que des données illisibles. L’article Chiffrement de bout en bout : tout comprendre détaille cette différence.
Comment le vérifier chez un fournisseur
- Cherchez une mention explicite de chiffrement « côté client » ou « dans le navigateur », avec l’algorithme utilisé.
- Méfiez-vous des formules vagues comme « sécurité de niveau bancaire » ou « conforme RGPD », qui ne décrivent aucune architecture.
- Posez une question simple au support : « Pouvez-vous, techniquement, lire mes fichiers ? » La seule réponse rassurante est « non, nous n’avons pas les clés ».
C’est l’architecture retenue par ZeroTrust Transfer : les fichiers sont chiffrés dans le navigateur en AES-256-GCM avant l’envoi, et le serveur ne lit jamais leur contenu. Ce n’est pas la seule solution qui fonctionne ainsi, mais c’est le critère à exiger, quel que soit l’outil.
2. Donner une date d’expiration à chaque lien
Un lien de téléchargement qui n’expire pas est un risque permanent. Il survit dans les boîtes e-mail, les historiques de navigation et les sauvegardes ; six mois plus tard, personne ne sait plus qui y a accès.
La règle est simple : un lien doit vivre le temps du besoin, pas davantage. En pratique :
- Quelques heures à 24 heures pour un document urgent qui sera récupéré immédiatement.
- Quelques jours pour un échange en cours avec un partenaire.
- Jamais de lien permanent pour un document contenant des données personnelles ou confidentielles.
Privilégiez aussi, quand l’outil le propose, l’autodestruction après le premier téléchargement : une fois le fichier récupéré, le lien ne sert plus qu’à un tiers indésirable. Chez ZeroTrust Transfer, les liens peuvent s’autodétruire après téléchargement ou à une date définie ; la durée de rétention maximale dépend du plan (1 jour en offre gratuite, 30 jours en Pro, 90 jours en Business, d’après la page Tarifs).
3. Protéger les envois sensibles par un mot de passe, transmis par un autre canal
Le mot de passe ne sert à rien s’il voyage avec le lien
Un mot de passe sur un transfert constitue une deuxième serrure : si le lien est transféré par erreur ou intercepté, le fichier reste inaccessible. Mais cette serrure ne vaut que si la clé circule ailleurs. Envoyer le mot de passe dans le même e-mail que le lien revient à scotcher le code sur la porte du coffre.
Séparez donc les canaux : le lien par e-mail, le mot de passe par SMS, par téléphone ou par messagerie chiffrée.
Quel mot de passe choisir
Inutile d’inventer des règles maison : la CNIL a publié en octobre 2022 une recommandation sur les mots de passe qui raisonne en « entropie », c’est-à-dire en imprévisibilité. Pour un mot de passe utilisé seul, elle retient trois formats équivalents : au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux ; au moins 14 caractères avec majuscules, minuscules et chiffres ; ou une phrase de passe d’au moins 7 mots. Un gestionnaire de mots de passe permet de générer ces secrets sans avoir à les retenir.
ZeroTrust Transfer propose un mot de passe optionnel sur chaque transfert. Réservez-le aux envois réellement sensibles : imposé partout, il finit par être contourné.
4. Vérifier le destinataire avant de cliquer
Il n’est pas besoin d’un pirate pour faire fuiter un document : une adresse mal saisie suffit. L’autocomplétion propose un homonyme ou un ancien prestataire, et le dossier part au mauvais endroit. Quelques réflexes réduisent ce risque :
- Relisez l’adresse complète, pas seulement le nom affiché. Le domaine compte autant que le prénom.
- Confirmez l’adresse par un autre moyen pour un premier envoi sensible : un appel ou un message du type « je vous envoie le dossier à cette adresse ».
- Limitez le nombre de téléchargements quand l’outil le permet. Un lien à usage unique ne peut pas être réutilisé par une troisième personne.
- Gardez la main après l’envoi. Un bon outil permet de révoquer un lien ou de supprimer un transfert avant son expiration, ce qui transforme une erreur en incident sans conséquence.
5. Traiter l’envoi sécurisé de documents comme un traitement RGPD
L’outil de transfert est un sous-traitant
Dès qu’un fichier contient des noms, des adresses, des données de paie ou de santé, le RGPD s’applique, même pour un envoi ponctuel. Le service de transfert devient alors un sous-traitant au sens de l’article 28 : il doit exister un contrat ou des conditions décrivant les mesures de sécurité, la localisation des données et leur sort après expiration. Dans une petite structure, cet outil figure rarement au registre des traitements. Le guide Transferts de fichiers et RGPD : ce que les entreprises françaises doivent vérifier détaille les cinq questions à poser et propose une checklist prête à l’emploi. Vérifiez en priorité la localisation de l’hébergement, pièces à l’appui, la durée de conservation effective des fichiers, et la capacité de l’opérateur à les lire.
Et en cas d’incident
Si un lien est intercepté ou un fichier envoyé à la mauvaise personne, l’entreprise reste responsable de traitement. La CNIL rappelle qu’une violation de données présentant un risque pour les personnes doit lui être notifiée dans les 72 heures suivant sa découverte, que les personnes concernées doivent être informées en cas de risque élevé, et que chaque violation doit être documentée en interne, même lorsqu’elle n’est pas notifiée. D’où l’intérêt de la pratique suivante.
6. Journaliser : savoir qui a téléchargé quoi, et quand
Sans journal, impossible de répondre aux questions qui comptent après un envoi : le destinataire a-t-il récupéré le fichier ? Une seule fois, ou cinq ? Le lien a-t-il été utilisé après la date prévue ?
La journalisation répond à trois besoins distincts :
- La preuve : confirmer qu’un document a bien été remis, à une date donnée, ce qui évite les « je ne l’ai jamais reçu ».
- La détection : repérer un téléchargement inattendu, signe qu’un lien a circulé.
- La réponse à incident : documenter précisément ce qui s’est passé, condition indispensable pour évaluer le risque et, si nécessaire, notifier la CNIL.
ZeroTrust Transfer conserve un historique de chaque transfert (qui a téléchargé, quand, combien de fois), envoie une notification dès qu’un fichier est récupéré, et le plan Pro inclut un tableau d’activité. Quel que soit l’outil, consultez ce journal après chaque envoi sensible.
7. Assainir l’hygiène des pièces jointes e-mail
La pièce jointe reste le mode de transfert le plus courant, et le moins maîtrisé. Elle est copiée dans la boîte d’envoi, chez le destinataire, sur les serveurs de messagerie et dans les sauvegardes. Aucune expiration, aucune révocation possible, aucun journal. C’est l’exact inverse des six pratiques précédentes.
L’ANSSI, dans son guide d’hygiène informatique, rassemble 42 mesures qu’elle présente comme le socle minimum à respecter pour protéger les informations d’une organisation. Pour les pièces jointes, quelques règles simples s’inscrivent dans cet esprit :
- Pas de données sensibles en pièce jointe : pièces d’identité, RIB, bulletins de paie, dossiers médicaux et contrats signés passent par un lien chiffré à expiration.
- Pas d’archive ZIP avec le mot de passe dans le même message : même réflexe que pour les liens.
- Des noms de fichiers neutres : « contrat-confidentiel-dupont.pdf » renseigne un tiers avant même l’ouverture.
- Des métadonnées nettoyées : les fichiers Office et PDF embarquent auteur, organisation et historique des révisions.
- Une règle d’équipe écrite : quel outil pour quel type de document, connue de tous, y compris des stagiaires et des prestataires.
Le but n’est pas d’interdire l’e-mail, mais de lui retirer les documents qu’il ne sait pas protéger.
Partage de fichiers confidentiels en entreprise : la checklist en une page
Les sept pratiques tiennent en une procédure d’une page :
- L’outil chiffre de bout en bout, côté client, et l’opérateur ne peut pas lire les fichiers.
- Chaque lien a une date d’expiration adaptée, ou s’autodétruit après téléchargement.
- Les envois sensibles ont un mot de passe transmis par un canal différent.
- L’adresse du destinataire est relue, et confirmée pour un premier envoi.
- L’outil figure au registre des traitements, avec son hébergement et sa durée de rétention.
- Le journal des téléchargements est consulté après chaque envoi sensible.
- Les documents sensibles ne partent plus en pièce jointe.
FAQ : transfert de fichiers sécurisé
Le chiffrement de bout en bout est-il obligatoire pour être conforme au RGPD ?
Le RGPD n’impose pas de technologie précise : l’article 32 exige des mesures « appropriées au risque ». Le chiffrement de bout en bout n’est donc pas une obligation formelle, mais c’est l’une des mesures techniques les plus fortes, parce qu’il rend une fuite côté serveur inexploitable. Il ne dispense pas des autres obligations : base légale, contrat de sous-traitance et durées de conservation restent nécessaires.
Un mot de passe suffit-il à sécuriser un transfert ?
Non. Un mot de passe protège l’accès au lien, pas le fichier lui-même une fois sur le serveur. Si l’opérateur peut lire vos données, le mot de passe ne change rien à ce risque-là. Il complète le chiffrement de bout en bout, il ne le remplace pas.
Quelle durée d’expiration choisir pour un lien de téléchargement ?
La plus courte compatible avec l’usage. Un document attendu immédiatement n’a pas besoin de plus de 24 heures ; un échange de travail se contente de quelques jours. L’autodestruction après le premier téléchargement est souvent le meilleur réglage pour un envoi à une seule personne.
J’ai envoyé un fichier confidentiel à la mauvaise personne, que faire ?
Révoquez ou supprimez le transfert immédiatement si votre outil le permet, puis consultez le journal pour savoir si le fichier a été téléchargé. Si c’est le cas et que le fichier contient des données personnelles, documentez l’incident et évaluez le risque pour les personnes concernées ; en cas de risque, la notification à la CNIL doit intervenir dans les 72 heures. Avec une pièce jointe classique, aucune de ces actions n’est possible : c’est l’argument le plus concret en faveur des liens.
ZeroTrust Transfer est-il gratuit ?
Il existe une offre gratuite, limitée à 2 Go par fichier et à 1 jour de rétention, avec le même chiffrement de bout en bout que les offres payantes. Les plans Pro et Business augmentent la taille des fichiers et la durée de rétention, et ajoutent l’expiration personnalisée ; le détail est sur la page Tarifs.
En résumé
Un transfert de fichiers sécurisé ne repose pas sur un outil miracle, mais sur sept habitudes, qui se mettent en place rapidement.
Si vous cherchez un outil qui applique ces principes par défaut, vous pouvez tester ZeroTrust Transfer gratuitement, sans que votre destinataire ait un compte à créer. Et si vous utilisez déjà un autre service, les sept points ci-dessus suffisent à l’évaluer.