Mon informaticien peut-il lire mes e-mails ?

C'est une question qu'on ne pose presque jamais, parce qu'elle a l'air de mettre en doute la loyauté de quelqu'un avec qui on travaille bien. Elle n'a rien à voir avec la confiance. Elle porte sur ce que la technique autorise — et la technique autorise beaucoup.

La réponse honnête est oui. Dans la plupart des configurations, votre prestataire informatique peut lire vos courriels s'il le décide, sans vous en avertir et sans laisser de trace visible pour vous. Ce n'est pas une faille : c'est le fonctionnement normal des outils d'administration.

Ce qui distingue une situation saine d'une situation floue, ce n'est donc pas l'impossibilité technique. C'est ce qui a été délibérément restreint, et la capacité de le prouver.

Pourquoi il le peut, presque toujours

Si votre messagerie est chez Microsoft 365 ou chez Google, quelqu'un détient un compte d'administration général. Ce compte peut, en quelques clics : se donner accès à n'importe quelle boîte, créer une règle qui recopie vos messages ailleurs, ou exporter le contenu d'une boîte entière.

S'y ajoute un cas moins connu et plus fréquent qu'on ne croit : les applications connectées. Un outil de sauvegarde, un connecteur, un logiciel de prise de rendez-vous — chacun reçoit des autorisations. Et par défaut, une autorisation accordée à une application porte sur toutes les boîtes de l'organisation, pas seulement celle qu'on avait en tête.

Enfin, beaucoup de petites structures sont hébergées sur le compte de leur prestataire plutôt que sur le leur. C'est courant, souvent économique, et parfaitement défendable — à condition d'être dit.

Les trois questions à poser

Posez-les sans détour. Un prestataire sérieux ne se vexera pas : il aura ses réponses sous la main, et il sera plutôt content qu'on lui demande.

1. « Le compte Microsoft est-il au nom de mon entreprise ou au vôtre ? » Si c'est au sien, demandez ce qui se passe le jour où vous changez de prestataire. La réponse doit être précise, pas rassurante.
2. « Quelles applications ont accès à nos boîtes, et à quoi servent-elles ? » La liste existe et se consulte en deux minutes. Une réponse vague est en soi une réponse.
3. « Cet accès est-il limité, et pouvez-vous me le montrer ? » C'est la question qui compte. Non pas « est-ce que vous lisez mes mails » — tout le monde répondra non — mais « qu'est-ce qui vous en empêche ».

Ce que je fais chez moi, et pourquoi je le montre

Plusieurs de mes clients ont leur messagerie sur mon compte Microsoft. Cela leur évite d'en gérer un, et me permet d'intervenir vite. Mais cela veut dire, techniquement, que mes outils voisinent avec leurs boîtes.

J'ai construit un moteur de rendez-vous qui lit mon agenda. Pour cela, il a fallu autoriser une application à consulter des calendriers. Par défaut, cette autorisation portait sur toutes les boîtes du compte — y compris celles de mes clients. Je n'en avais aucun besoin, et personne ne m'aurait demandé de comptes.

J'ai donc posé une restriction qui limite cette application à ma seule boîte. Puis je l'ai vérifiée, parce qu'une restriction qu'on n'a pas testée n'est qu'une intention :

Ce n'est pas une garantie que je ne lirai jamais rien — je reste administrateur, et aucun réglage n'y change rien. C'est une garantie que mes outils, eux, ne le peuvent pas. Et c'est par les outils mal réglés que passent la plupart des accidents, bien avant la malveillance.

Ce qu'il faut retenir

Ne cherchez pas un prestataire qui ne peut pas accéder à vos données : il ne pourrait pas travailler. Cherchez-en un qui a restreint ce qu'il pouvait, qui sait vous dire quoi, et qui accepte de le montrer.

Et si la question vous gêne à poser, c'est peut-être déjà une information.

Sur le même terrain : ce que le connecteur Odoo voit vraiment de votre agenda →