Alternative à TransferNow : SSE-C côté serveur ou chiffrement de bout en bout ?

1. Ce que propose l'offre gratuite de TransferNow

TransferNow est un service français de transfert de fichiers volumineux, exploité par la société Highsense, basée à Garches. Son offre gratuite permet d'envoyer et de recevoir jusqu'à 5 Go par transfert sans créer de compte. Les fichiers sont conservés 7 jours au maximum, et la protection par mot de passe comme l'analyse antivirus des transferts sont incluses.

Pour envoyer une présentation à un client ou des photos à un imprimeur, le parcours est rapide : on dépose les fichiers, on obtient un lien, le destinataire télécharge. La vraie question de sécurité se pose une fois les fichiers stockés : le prestataire peut-il techniquement lire leur contenu ?

2. Chiffrement TransferNow : TLS, AES-256 et SSE-C

TransferNow documente deux protections de base : le chiffrement SSL/TLS pendant le transfert et le chiffrement AES 256 bits des fichiers stockés. La première protège le trajet réseau, la seconde les disques et les sauvegardes. Dans un chiffrement au repos classique, le service gère les clés et peut donc déchiffrer les fichiers pour les servir aux destinataires. C'est la raison pour laquelle le chiffrement au repos ne suffit pas pour des documents confidentiels.

Avec une offre payante, TransferNow propose une option supplémentaire, présentée sur sa page sécurité sous le titre « Server-side encryption of your files with SSE-C ». Les fichiers stockés sont chiffrés avec une clé dérivée d'une passphrase choisie par le client. TransferNow indique ne pas conserver cette clé et précise que les fichiers deviennent irrécupérables si elle est perdue.

SSE-C reste, comme son nom l'indique, un chiffrement côté serveur. Il est appliqué par le service une fois le fichier reçu, le trajet étant protégé par TLS. C'est une nette amélioration par rapport au chiffrement au repos géré par le prestataire, mais ce n'est pas un chiffrement de bout en bout : le fichier n'est pas chiffré sur le poste de l'expéditeur avant l'envoi.

3. Ce que change le chiffrement de bout en bout de PrivCloud

PrivCloud chiffre chaque fichier dans le navigateur avec AES-256-GCM, via la Web Crypto API, avant qu'il ne quitte l'appareil. Pour un lien chiffré de bout en bout, la clé est placée dans le fragment de l'adresse, après #key=. Les navigateurs n'envoient pas ce fragment dans la requête HTTP : le serveur stocke un contenu chiffré sans recevoir la clé qui permet de le lire. Le détail est expliqué dans notre article sur le chiffrement dans le navigateur.

Ce chiffrement est activé par défaut pour les partages créés avec un compte. L'utilisateur peut le désactiver en supprimant explicitement sa clé, et ses partages sont alors envoyés sans chiffrement de bout en bout. Un fichier n'est donc protégé de cette façon que si l'E2E est actif au moment de l'envoi.

Le modèle a aussi des limites. Il ne protège ni un poste déjà compromis, ni un destinataire qui retransmet le fichier une fois déchiffré. Pour ne pas exposer la clé présente dans l'adresse, PrivCloud n'intègre aucun outil tiers de mesure d'audience, de publicité ou de suivi.

4. Limites, compte et durée de conservation

Les deux services ne suivent pas la même logique. TransferNow permet d'envoyer 5 Go sans compte, disponibles 7 jours. PrivCloud demande un compte, y compris pour l'offre gratuite : le plan Free accepte 3 Go par partage, 6 Go de stockage, 15 partages sur 30 jours glissants et une expiration de 5 jours au maximum.

Les offres payantes de PrivCloud vont jusqu'à 250 Go par envoi. Chez TransferNow, SSE-C est réservé aux offres payantes et le choix du pays de stockage aux comptes Premium et supérieurs.

5. Hébergement et RGPD : regarder au-delà du siège social

Par défaut, TransferNow stocke les fichiers dans la région continentale la plus proche de l'utilisateur (Europe, Amérique ou Asie), même sans compte. Le choix d'un pays précis, parmi la France, les Pays-Bas, l'Allemagne, Singapour et les États-Unis, est réservé aux comptes Premium et supérieurs. Pour un envoi gratuit depuis la France, la page indique donc une région européenne, sans préciser le pays.

Sa politique de confidentialité, mise à jour le 29 avril 2025, cite plusieurs sous-traitants pour le stockage des fichiers : Scaleway et OVH en France, DigitalOcean et Cloudflare aux États-Unis.

PrivCloud est édité par THEMIOT Informatique, héberge les fichiers en France et publie un accord de traitement des données (DPA). Aucun service ne rend à lui seul un traitement conforme au RGPD : le responsable de traitement doit toujours documenter la finalité, les destinataires, la durée de conservation et les sous-traitants. Voir ce que la CNIL attend d'un transfert de fichiers.