On envoie une photo de carte d’identité à son comptable, un relevé bancaire à son conjoint, un mot de passe temporaire à un collègue. Tout ça transite par WhatsApp, souvent sans y réfléchir. Le chiffrement de bout en bout, affiché à chaque ouverture de conversation, donne l’impression que ces échanges sont verrouillés. La réalité est plus nuancée, et certains angles morts méritent qu’on s’y attarde.
Sauvegarde cloud : le maillon que le chiffrement de bout en bout ne couvre pas
Le chiffrement de bout en bout protège les messages pendant leur transit. Concrètement, ni WhatsApp ni Meta ne peuvent lire le contenu d’une conversation en cours de route. Le problème se situe après.
Quand on active la sauvegarde automatique sur Google Drive ou iCloud, l’historique des conversations quitte le périmètre du chiffrement de transit. Par défaut, ces copies ne bénéficient pas du même niveau de protection. Elles sont stockées sur les serveurs de Google ou d’Apple, soumises à leurs propres conditions d’accès, y compris en cas de réquisition judiciaire.
WhatsApp propose depuis plusieurs mois une option de sauvegarde chiffrée de bout en bout, protégée par un mot de passe ou une clé de 64 chiffres. On peut l’activer dans les paramètres de l’application, rubrique Discussions puis Sauvegarde. Ceux qui analysent la sécurité sur WhatsApp avec Bewise détaillent bien ce mécanisme et ses implications concrètes.
Le piège : si on perd ce mot de passe, la sauvegarde devient irrécupérable. WhatsApp ne peut pas le réinitialiser à votre place. Le conseil opérationnel est donc double : activer le chiffrement de la sauvegarde, puis stocker le secret dans un gestionnaire de mots de passe fiable et accessible en cas de changement de téléphone.
Métadonnées WhatsApp : ce que Meta collecte même avec le chiffrement
On se focalise souvent sur le contenu des messages. Le contenu est chiffré, d’accord. Ce qui ne l’est pas, ce sont les métadonnées : qui parle à qui, à quelle heure, depuis quel appareil, avec quelle fréquence, dans quel groupe.
Ces informations suffisent à dresser un profil comportemental détaillé. Un employeur qui échange exclusivement avec un cabinet de recrutement entre 12 h et 14 h, un patient qui contacte un spécialiste à intervalles réguliers : les métadonnées racontent une histoire que le chiffrement ne masque pas.
Meta utilise ces métadonnées pour alimenter son écosystème publicitaire. La politique de confidentialité de WhatsApp précise que certaines données sont partagées avec les autres entités du groupe (Facebook, Instagram). Le RGPD limite cette pratique en Europe, mais ne l’élimine pas totalement.
Ce que les métadonnées révèlent sans lire un seul message
- Le réseau de contacts : la liste des numéros avec lesquels on échange, la fréquence et la durée des interactions, les groupes auxquels on appartient
- Les habitudes de connexion : heures d’activité, temps passé sur l’application, type d’appareil et version du système d’exploitation
- La localisation indirecte : l’adresse IP au moment de la connexion permet d’estimer la zone géographique, même sans activer le partage de position
Amende RGPD et transparence : ce que la régulation européenne a changé
En 2021, la Data Protection Commission irlandaise a infligé une amende de 225 millions d’euros à WhatsApp. Le reproche portait sur le non-respect des obligations de transparence prévues par le RGPD, pas sur le contenu des messages eux-mêmes.
WhatsApp n’informait pas suffisamment les utilisateurs sur la manière dont leurs données étaient traitées et partagées avec Meta. Le problème était le manque de clarté, pas une faille technique.
La Cour de justice de l’Union européenne a par la suite confirmé, en février 2026, que les décisions contraignantes du Comité européen de la protection des données pouvaient être contestées directement devant les juridictions européennes. Le recours de WhatsApp sur le fond restait en cours d’examen à cette date. Ce contentieux montre que la bataille réglementaire ne porte pas uniquement sur ce que WhatsApp fait de vos données, mais aussi sur ce que l’application vous en dit.
Paramètres de confidentialité WhatsApp : les réglages à vérifier maintenant
Plutôt que de lister des conseils génériques, on se concentre sur les réglages qui ont un impact réel et que la majorité des utilisateurs laissent par défaut.
Vérification en deux étapes
Accessible dans Paramètres, puis Compte. On définit un code PIN à six chiffres demandé périodiquement et lors de tout enregistrement du numéro sur un nouvel appareil. C’est la protection la plus efficace contre le détournement de compte, une technique de phishing courante où un tiers tente d’enregistrer votre numéro sur son propre téléphone.
Visibilité du profil et du statut
Par défaut, la photo de profil, le statut et l’heure de dernière connexion sont visibles par tous les contacts. On peut restreindre chacun de ces éléments à « Mes contacts » ou « Personne » dans les paramètres de confidentialité. Ce n’est pas un gadget : l’heure de dernière connexion, croisée avec d’autres informations, facilite l’ingénierie sociale.
Messages éphémères
On peut activer la disparition automatique des messages après 24 heures, 7 jours ou 90 jours, conversation par conversation ou par défaut pour toutes les nouvelles discussions. Pour les échanges contenant des documents sensibles (pièces d’identité, coordonnées bancaires), le mode éphémère limite la fenêtre d’exposition en cas d’accès non autorisé au téléphone.
- Activer la sauvegarde chiffrée de bout en bout et stocker le mot de passe dans un gestionnaire dédié
- Configurer la vérification en deux étapes avec un PIN à six chiffres
- Restreindre la visibilité de la photo de profil, du statut et de l’heure de dernière connexion
- Utiliser les messages éphémères pour tout envoi de document sensible
WhatsApp offre un niveau de protection du contenu des messages supérieur à celui de nombreuses messageries grand public. La limite concrète se situe du côté des métadonnées, des sauvegardes cloud non chiffrées par défaut et du manque de transparence sur le partage de données avec Meta. La sécurité réelle dépend autant des réglages que l’on active que du chiffrement lui-même.
