WeTransfer peut-il lire vos fichiers ? Analyse technique

Par Simon Themiot - consultant cybersécurité freelance. Publié le 21 mai 2026.

1. Le modèle technique de WeTransfer

WeTransfer utilise un modèle de chiffrement classique en deux couches :

• TLS en transit : Vos fichiers sont protégés pendant le transfert entre votre navigateur et les serveurs WeTransfer (HTTPS). C'est le standard web minimal.
• Chiffrement au repos (AES-256 côté serveur) : Les fichiers sont chiffrés une fois stockés sur les serveurs AWS de WeTransfer. Les clés sont gérées par WeTransfer.

Ce que ce modèle implique concrètement :

• Le service reçoit le contenu à l'intérieur de la connexion TLS et reste techniquement capable de le traiter.
• Le stockage est chiffré avec des clés gérées dans l'infrastructure du fournisseur.
• Le service peut délivrer le contenu au destinataire autorisé sans clé E2E externe au serveur.
• La documentation publique ne décrit pas une clé de contenu détenue uniquement par l'expéditeur et le destinataire.

2. Preuves concrètes

Plusieurs elements confirment que WeTransfer peut accéder au contenu de vos fichiers :

• Modération de contenu : WeTransfer documente des contrôles automatisés et humains pour lutter contre les abus. Cette capacité est cohérente avec un service qui peut traiter le contenu dans certaines conditions.
• Suppression après signalement : le service peut examiner un transfert signalé et appliquer ses règles ; ce n'est pas le modèle d'un serveur aveugle au contenu.
• Infrastructure : WeTransfer indique s'appuyer sur AWS, chiffrer au repos en AES-256 et stocker dans l'UE les fichiers envoyés depuis une IP européenne.
• Gestion de clé : l'absence de clé E2E documentée est l'élément déterminant. Un fragment # peut transporter une clé dans certains services, mais sa présence ou son absence ne constitue pas, seule, une preuve.
• Code propriétaire : l'audit public du client est plus limité, sans que cela démontre à lui seul une faiblesse ou une exfiltration.

3. Qui peut concrètement lire vos fichiers sur WeTransfer

Le modèle de menace doit considérer les acteurs et événements suivants, sans supposer qu'ils accèdent effectivement aux fichiers :

• Le personnel autorisé de WeTransfer, selon les rôles, procédures et contrôles internes applicables.
• Les systèmes automatisés de sécurité et de modération documentés par le service.
• Les sous-traitants d'infrastructure, dans les limites techniques et contractuelles de leur intervention.
• Les autorités compétentes, lorsqu'une demande valide est adressée à l'entité qui contrôle les données ou à un sous-traitant concerné.
• Un attaquant qui compromettrait un compte privilégié, l'application ou la chaîne de clés.

4. Les implications pour votre entreprise

Si votre entreprise utilise WeTransfer pour envoyer des fichiers contenant des données personnelles, de la propriété intellectuelle ou des informations sous secret professionnel, voici les implications :

• RGPD : pour les catégories particulières de données, documentez les mesures de l'article 32, le DPA, les destinataires, la durée et les éventuels transferts. L'E2E peut être une mesure forte, mais le RGPD n'impose pas un outil unique.
• Secret professionnel : avocats, notaires, médecins et experts-comptables doivent vérifier que le service, le contrat et les contrôles d'accès sont compatibles avec leurs obligations.
• Propriété intellectuelle : pour des brevets, plans ou prototypes, choisissez le modèle de clés et la traçabilité selon le risque de divulgation.
• Assurance cyber : vérifiez les exigences exactes de la police ; l'E2E n'est pas une condition universelle, mais l'absence de mesures attendues peut affecter la couverture.

5. FAQ

À lire aussi

Dernière mise à jour : 14 juillet 2026. Analyse fondée sur la documentation publique de WeTransfer disponible à cette date.