Comparatif de la sécurité des messageries

En un coup d'œil
• Chiffrement de bout en bout — ✅ Bon
• Authentification de bout en bout — ❌ Mauvais
• Sécurité de bout en bout — ❌ Mauvais
• Pas de substitution d'identité — ✅ Bon
• Client open source — ✅ Bon
• Multi-appareil de bout en bout — ✅ Bon
• Données personnelles minimales — 🟠 Partiel
• Pas de découverte d'utilisateurs ni de spam — 🟠 Partiel
• Chiffrement post-quantique — ❌ Mauvais

Comme Olvid et SimpleX, Threema se distingue des autres messageries sur un point, celui de n’exiger de ses utilisateurs aucune donnée personnelle. À la place du numéro de téléphone, chaque utilisateur est identifié par un « Threema ID », une suite de huit caractères générés à la création du compte^archivé. Le numéro de téléphone et l’adresse email restent possibles, mais uniquement pour se faire retrouver par ses contacts. C’est un résultat que peu de messageries atteignent, cohérent avec le modèle économique de Threema : l’application est payante, et ne vit donc pas de l’exploitation de données. Threema en tire toutefois un argument d’anonymat dont les limites méritent d’être précisées, ce que nous faisons ci-dessous.

Sans numéro, mais pas anonyme

Threema résout un problème réel : se passer du numéro de téléphone comme identifiant. Ne pas connaître le numéro ni le nom d’un utilisateur n’empêche pas le serveur de voir quel Threema ID communique avec quel autre, à quelle fréquence, et quand. Cette connaissance du graphe social n’est d’ailleurs pas propre à Threema : comme expliqué dans le critère données personnelles minimales, tout serveur de relais peut reconstruire ce graphe par simple corrélation des adresses de connexion utilisateur. Et l’exposition d’un utilisateur ne dépend pas entièrement de ses propres choix. Un utilisateur qui refuse de fournir son numéro ou son email reste identifiable dès lors que ses contacts, eux, les ont fournis : dans un graphe social, connaître l’entourage d’un nœud suffit souvent à le reconnaître, et il suffit d’être le dernier anonyme au milieu de contacts tous identifiés pour ne plus l’être vraiment. L’anonymat vis-à-vis de l’opérateur n’est donc pas une propriété que chacun règle pour soi, mais une affaire collective, et une minorité d’utilisateurs prudents ne peut pas grand-chose si la majorité de leur entourage a lié son identité civile à son Threema ID. La minimisation des identifiants et la protection du graphe social sont donc deux propriétés distinctes : Threema atteint la première, pas la seconde.

Chiffrement de bout en bout ✅ Bon

Rien n’échappe au chiffrement de bout en bout, ni les groupes, ni les appels, et aucun réglage ne permet d’y renoncer ; l’implémentation repose sur la bibliothèque NaCl^archivé. Le protocole Ibex^archivé, déployé à partir de fin 2022 et actif par défaut depuis, ajoute à la couche de bout en bout le renouvellement continu des clés, et avec lui la confidentialité persistante exposée dans le critère ; il a fait l’objet d’une preuve de sécurité^archivé par des chercheurs de l’ETH Zurich.

Authentification de bout en bout ❌ Mauvais

Pour entrer en relation, l’application récupère la clé publique associée à un Threema ID auprès de l’annuaire central de Threema, auquel elle fait confiance : c’est le scénario de l’annuaire décrit dans le critère. Threema propose une vérification en personne par scan de code QR, matérialisée par un système de trois niveaux de confiance^archivé, mais elle est optionnelle et rien n’impose de l’effectuer avant de communiquer. Au premier contact à distance, le lien entre un Threema ID et sa clé repose donc uniquement sur l’annuaire.

Sécurité de bout en bout ❌ Mauvais

Le chiffrement systématique est acquis, l’authentification de bout en bout, elle, ne l’est pas. Ce critère composite n’est donc pas atteint.

Pas de substitution d'identité ✅ Bon

La clé publique associée à un Threema ID est fixée à la création et ne peut jamais être remplacée^archivé. Aucun mécanisme externe (SMS, email) ne permet de réassocier un ID existant à une nouvelle clé, ce qui distingue Threema de Signal ou WhatsApp, où la possession du numéro suffit à enregistrer une nouvelle clé. La contrepartie est que la perte de la clé privée est définitive : on ne « récupère » pas un Threema ID, on en crée un nouveau, c’est-à-dire une nouvelle identité. Le numéro de téléphone, quand il est associé, peut être rattaché à un nouvel ID, ce qui délie automatiquement l’ancien ; mais les contacts restent liés à l’ID d’origine, désormais sans numéro. Olvid et SimpleX suppriment l’association entre un identifiant et une clé, là où Threema a choisi de la figer, ce qui suffit à écarter la substitution silencieuse sans résoudre l’authentification du lien initial.

Client open source ✅ Bon

Les applications Threema sont publiées sous licence open source (AGPLv3)^archivé, et le protocole cryptographique est documenté dans un livre blanc public^archivé. Des builds reproductibles, disponibles sur Android, permettent de vérifier que l’application distribuée correspond au code publié.

Multi-appareil de bout en bout ✅ Bon

Nous considérons ici l’application de bureau Threema 2.0 en bêta, et non le client web ni l’ancienne application de bureau (1.0), qui sont, eux, de simples fenêtres sur le téléphone^archivé. La 2.0 est un véritable appareil autonome : elle fonctionne même lorsque le mobile est éteint ou hors ligne^archivé. Son architecture multi-appareil rattache les appareils à un « Device Group Key » qui n’est jamais connu du serveur médiateur^archivé : c’est un appareil déjà légitime (le mobile) qui autorise un nouvel ordinateur, par scan de code QR, et le serveur ne peut pas injecter d’appareil fantôme dans le groupe. Deux petites réserves : la fonctionnalité est, en septembre 2026, encore en bêta (fonctionnalités limitées, deux ordinateurs au maximum), et l’ancienne application de bureau, toujours distribuée, ne satisfait pas ce critère.

Données personnelles minimales 🟠 Partiel

Threema peut être utilisée sans nom, sans numéro et sans email^archivé, ce que peu de messageries permettent. Le 🟠Partiel plutôt que le ✅Bon tient à ce que l’application propose d’associer un numéro ou un email à son Threema ID, pour se faire retrouver par ses contacts. Accepter cette option, c’est fournir la donnée à l’opérateur, car le hachage appliqué avant l’envoi ne protège guère, l’espace des numéros de téléphone étant assez petit pour qu’une recherche exhaustive suffise à inverser un haché. Le critère réserve le ✅Bon aux solutions qui n’offrent aucun moyen de fournir ces données à l’opérateur, leur fourniture fût-elle optionnelle. Notons que sur Android, Threema Push^archivé permet de se passer du jeton de notification de Google, un vecteur d’identification décrit dans le critère.

Pas de découverte d'utilisateurs ni de spam 🟠 Partiel

Le verdict dépend de ce que l’utilisateur expose. S’il associe un numéro ou un email à son Threema ID, ce que l’application propose pour se faire retrouver, il devient découvrable par ces identifiants. Dans ce cas, le critère n’est pas vérifié. Mais Threema permet aussi de n’exposer qu’un Threema ID : une chaîne de huit caractères, suffisamment longue pour qu’elle ne puisse pas être énumérée. Un inconnu n’a alors aucun moyen pratique de relier un utilisateur à son identifiant, à moins que celui-ci ne l’ait diffusé lui-même. Cette possibilité de ne pas être découvrable justifie de ne pas ranger la solution avec celles qui identifient un utilisateur par le numéro de téléphone. La protection reste toutefois incomplète, puisqu’il n’existe pas de confirmation d’ajout. Une fois l’ID connu, n’importe qui peut envoyer un message immédiatement, sans que la cible ait rien accepté ; la seule protection par défaut est réactive : bloquer après le premier message. Threema ferme donc l’une des deux barrières du critère (la découverte) mais pas l’autre (la confirmation d’ajout).

Chiffrement post-quantique ❌ Mauvais

Aucun chiffrement post-quantique n’est déployé à ce jour. Threema a annoncé en février 2026 une collaboration avec IBM Research^archivé pour doter progressivement l’application de nouveaux algorithmes, sans calendrier précis.