DeltaChat est une application de messagerie chiffrée de bout en bout, comparable à WhatsApp ou Signal, mais avec des différences notables. Contrairement à WhatsApp, elle ne collecte pas les contacts des utilisateurs ni ne les transmet à des tiers comme Facebook. Son chiffrement est systématique, sans option à désactiver, et son identité repose sur une clé cryptographique stockée localement, sans mot de passe ni dépendance à un serveur spécifique.
L’absence de spam est un autre avantage majeur : les comptes ne sont pas énumérables, et les contacts ne peuvent être ajoutés que via un QR-code ou une URL d’invitation, ce qui limite les risques de sollicitations indésirables. DeltaChat propose aussi des relais par défaut (comme nine.testrun.org), mais permet d’en ajouter ou supprimer, voire d’héberger son propre serveur pour plus de contrôle.
Enfin, DeltaChat se distingue par sa simplicité de création de compte (un pseudo suffit) et son approche décentralisée, où l’identité numérique reste sous le contrôle exclusif de l’utilisateur. Cependant, la perte de l’appareil entraîne la perte définitive de cette identité, d’où l’importance de sauvegarder régulièrement son profil.
Une faille de sécurité a été revendiquée sur Tchap, la messagerie souveraine de l’État français, avec des volumes de données exposées spectaculaires. Cependant, la DINUM a confirmé qu’il ne s’agissait pas d’une compromission du chiffrement de bout en bout, mais d’un compte légitime compromis via une attaque par ingénierie sociale, utilisé pour accéder à des espaces publics non chiffrés. Les données sensibles, protégées par le chiffrement, n’ont pas été exposées.
L’incident illustre l’importance de la gestion des identités et des accès, plutôt que de la seule cryptographie. La DINUM a bloqué rapidement le compte compromis et lancé des investigations, tout en notifiant la CNIL pour les données personnelles potentiellement exposées dans les salons publics. Les chiffres avancés par l’attaquant restent non vérifiés.
L’article souligne que même une messagerie chiffrée de bout en bout peut être vulnérable si les comptes utilisateurs ne sont pas correctement protégés. Il met en garde les organisations sur la nécessité de renforcer les politiques de sécurité des identités et de sensibiliser les utilisateurs aux risques d’ingénierie sociale.