OpenPGP chiffre et signe vos messages sans autorité de certification : la confiance s’établit directement entre correspondants, par échange de clés publiques.
C’est l’alternative à S/MIME, qui repose lui sur des certificats payants. Les deux sont gérés par le webmail, mais ne sont pas interopérables : votre correspondant doit utiliser le même que vous.
Le réglage
Réglages → OpenPGP. Vous y voyez l’état — Aucune clé, ou Installée avec l’identité, l’empreinte et la date d’expiration.
Créer une clé
C’est la voie la plus simple : Créer une clé. La génération prend quelques secondes.
Vous obtenez une paire :
- une clé publique, à distribuer largement — elle sert à vous écrire de façon chiffrée et à vérifier vos signatures ;
- une clé secrète, qui ne quitte jamais votre navigateur, où elle est stockée chiffrée.
Importer une clé existante
Si vous utilisez déjà OpenPGP ailleurs — Thunderbird avec Enigmail, GnuPG en ligne de commande — Importer une clé permet de réutiliser la même identité. Vous restez ainsi joignable sous l’empreinte que vos correspondants connaissent déjà.
Distribuer votre clé publique
Copier la clé publique place le bloc de texte dans le presse-papiers. Vous pouvez alors :
- le coller dans un message adressé à vos correspondants ;
- l’ajouter à votre signature ;
- le publier sur votre site.
Une clé publique n’est pas un secret : sa diffusion est le principe même du système.
Chiffrer un message
Le chiffrement exige la clé publique du destinataire. Sans elle, impossible de chiffrer pour lui — c’est structurel, pas une limite du webmail.
En pratique, on procède par échange : vous envoyez votre clé publique, votre correspondant envoie la sienne, et le chiffrement fonctionne ensuite dans les deux sens.
Vérifier une empreinte
L’empreinte est la suite de caractères qui identifie une clé de façon unique. Avant d’utiliser la clé de quelqu’un pour un échange réellement sensible, vérifiez son empreinte par un autre canal — au téléphone, ou de vive voix.
C’est la seule protection contre quelqu’un qui vous transmettrait une fausse clé en se faisant passer pour votre correspondant. Ce contrôle est le fondement de la confiance dans OpenPGP.
Sauvegarder votre clé secrète
Votre clé secrète vit dans ce navigateur uniquement. Nous ne l’avons pas et ne pouvons pas la restaurer.
Conséquences directes :
- pour lire vos messages chiffrés sur un autre ordinateur, il faut y importer la clé ;
- si vous perdez la clé, les messages chiffrés avec deviennent définitivement illisibles, y compris pour nous.
Exportez-la et conservez-la dans un gestionnaire de mots de passe ou sur un support hors ligne. Cette sauvegarde n’est pas facultative.
Expiration
Une clé peut porter une date d’expiration ou n’expirer jamais. Une date lointaine — deux ou trois ans — est un bon compromis : elle limite la portée d’une clé oubliée sans imposer un renouvellement fréquent.
OpenPGP ou S/MIME ?
OpenPGP — gratuit, sans autorité, répandu dans les milieux techniques et associatifs. Vous créez votre clé en quelques secondes.
S/MIME — repose sur un certificat délivré par une autorité, nativement pris en charge par Outlook et les environnements d’entreprise. Voir Ajouter mon certificat S/MIME.
Rien n’empêche d’utiliser les deux : S/MIME avec vos clients professionnels, OpenPGP avec vos correspondants techniques.
Problèmes fréquents
Impossible de chiffrer pour un destinataire — vous n’avez pas sa clé publique. Demandez-la-lui.
Mon correspondant ne peut pas lire mon message — il n’utilise probablement pas OpenPGP, ou utilise S/MIME. Les deux ne se parlent pas.
J’ai changé d’ordinateur et je ne peux plus déchiffrer — la clé secrète est restée sur l’ancien navigateur. Importez-la depuis votre sauvegarde.