Comment ça fonctionne
Tuta est un service de messagerie hébergé, exploité par Tutao GmbH depuis Hanovre, en Allemagne. Le service est en ligne depuis 2011 et s'appelait Tutanota jusqu'à son changement de nom en novembre 2023. Un compte comprend une boîte mail chiffrée, un agenda chiffré et un carnet d'adresses chiffré, accessibles via un client web, des clients de bureau pour Linux, Windows et macOS, et des applications mobiles. L'intégralité du code client est publiée sous licence GPLv3 sur GitHub depuis 2014, ce qui permet d'inspecter le chiffrement plutôt que de le croire sur parole.
Le chiffrement a lieu sur l'appareil avant que quoi que ce soit n'atteigne les serveurs de Tuta. Le corps des messages, les objets, les pièces jointes, les contacts et les entrées d'agenda sont scellés avec des clés dérivées du mot de passe du compte ; Tuta stocke le texte chiffré et ne peut pas l'ouvrir. Les comptes standard utilisent AES-256 et RSA-2048. En mars 2024, l'entreprise a introduit TutaCrypt, un schéma hybride combinant la courbe elliptique X25519 et l'algorithme post-quantique Kyber-1024, appliqué d'abord aux nouveaux comptes puis aux comptes existants à partir de décembre 2024.
KYC et confidentialité
L'inscription demande une adresse et un mot de passe, rien de plus : aucun numéro de téléphone, aucune adresse de récupération, aucune pièce d'identité. Un compte gratuit ne conserve que l'adresse choisie, et Tuta supprime les adresses IP de l'expéditeur du courrier sortant. Il n'existe aucune couche AML, car il ne s'agit pas d'un service financier, et aucune vérification d'identité n'existe à aucun niveau.
Les limites sont structurelles plutôt que dissimulées. Les adresses e-mail et les horodatages restent en clair, car le réseau en a besoin pour acheminer le courrier. Le chiffrement n'est de bout en bout qu'entre utilisateurs de Tuta ou via un lien protégé par mot de passe ; le courrier provenant de fournisseurs extérieurs parvient au serveur en clair avant d'être chiffré au repos. C'est cette faille qu'un tribunal de Cologne a éprouvée en 2020, en ordonnant à Tuta d'intercepter les futurs messages entrants en clair d'un seul compte utilisé dans une affaire d'extorsion - une décision largement rapportée et confirmée en appel. Les contenus chiffrés de bout en bout sont restés inaccessibles tout du long.
Le paiement constitue l'autre point faible côté vie privée : Tuta facture directement par carte, PayPal et SEPA. Les cryptomonnaies ne sont pas acceptées sur le site, même si les cartes cadeaux Tuta peuvent être achetées en Bitcoin, Monero ou espèces via une boutique partenaire, ce qui rétablit une voie anonyme pour ceux qui la souhaitent.
Forces et limites
Le principal argument en faveur de Tuta est l'étendue de sa couverture. La plupart des fournisseurs laissent l'objet et l'agenda en clair ; Tuta ne le fait pas, et elle maintient cette conception depuis plus d'une décennie sans aucune fuite de données. Les clients open source et l'adoption précoce du chiffrement post-quantique étayent les promesses de sécurité, et le changement de nom depuis Tutanota n'a pas interrompu le service.
Les limites sont réelles et méritent d'être énoncées clairement. Tuta utilise son propre chiffrement plutôt qu'OpenPGP, si bien qu'il n'y a pas d'échange de courrier chiffré interopérable avec les utilisateurs de PGP ailleurs. Il n'existe aucune passerelle IMAP ou SMTP, ce qui exclut Thunderbird et Apple Mail comme interfaces. Une série d'attaques DDoS en 2020 a mis le service hors ligne pendant des heures, sans toutefois exposer la moindre donnée. La juridiction joue dans les deux sens : le droit allemand offre de solides garanties de protection des données, mais aussi les pouvoirs d'interception légale sur lesquels s'est appuyée la décision de 2020.
Verdict
Tuta est une messagerie chiffrée mature et transparente, qui chiffre davantage d'éléments sur l'appareil que la plupart de ses concurrents et ne demande rien d'identifiant pour ouvrir un compte. La réserve est d'ordre juridictionnel, non commercial : un tribunal allemand peut contraindre l'interception des futurs messages entrants en clair d'un compte ciblé, et les utilisateurs dont le modèle de menace inclut ce risque doivent en tenir compte. Pour tous les autres en quête d'une boîte mail privée au quotidien, elle reste un choix de premier plan. Note : A- (8,6/10). Confiance : TRUSTED.
Tuta est une messagerie chiffrée mature et transparente, qui chiffre plus d'éléments que la plupart de ses concurrents et ne demande rien d'identifiant à l'inscription. La seule réserve est juridictionnelle : un tribunal allemand peut contraindre l'interception des futurs messages entrants en clair d'un compte ciblé, à intégrer donc à votre modèle de menace. Pour une boîte mail privée au quotidien, elle reste parmi les meilleures options. Note : A- (8,6/10). Confiance : TRUSTED.
