Une ligne vérifiable d’abord : le cadenas dans un client mail dit seulement que ce saut a utilisé TLS. Il ne dit pas que le corps reste chiffré une fois parti de ce serveur. Après l’envoi, cherchez un mot de passe canari dans Messages envoyés et dans la boîte de réception du destinataire. Une occurrence signifie que ce message est encore stocké comme texte lisible. Ne faites pas ce contrôle avec une clé de production en service.
Envoyer, ce n’est pas « un mot ». C’est remettre le clair à un système de stockage
La messagerie professionnelle se prend facilement pour une boîte de dialogue locale : les mots sont encore à l’écran, donc l’autre « regarde seulement ». Après Envoyer, ce paragraphe a quitté cet onglet. C’est désormais un message que le fournisseur doit remettre, indexer et conserver. Mots de passe de base, clés d’accès cloud, jetons personnels GitHub, secrets Wi-Fi partagés et codes de récupération tombent dans le même seau que la fiche OWASP sur la journalisation tient d’habitude hors des enregistrements partagés en clair. Messages envoyés, boîte de réception, brouillons et la copie IMAP sur un téléphone deviennent souvent un coffre informel : facile à chercher, moins verrouillé qu’un gestionnaire de mots de passe, gardé plus longtemps.
HTTPS, ou une bannière « cet e-mail est chiffré », ne couvre que l’écoute sur le fil. Cela ne décide ni combien de temps l’autre boîte stocke le corps, ni si un administrateur peut le chercher, ni si un disque de sauvegarde en garde encore une copie. Une note précédente traitait les sessions de modèle : coller une clé dans ChatGPT, et la source peut entrer dans l’historique et une éventuelle copie d’entraînement. Envoyer un secret par e-mail est la même classe d’exposition. Le destinataire a seulement changé : « un éditeur de modèle » devient « au moins deux stockages de messagerie, plus chaque relais sur le chemin ». Avant Envoyer, la question n’est pas « ce client mail est-il malin ». C’est « ce paragraphe contient-il un secret qui ne devrait pas devenir un e-mail interrogeable ».
Cette note s’appuie sur Gmail, Exchange Online, Google Vault et Microsoft Purview, parce que les durées de conservation et le périmètre de recherche admin y sont écrits en public. Un Postfix auto-hébergé, la journalisation Microsoft 365 et les autres messageries hébergées restent du stockage et de la retransmission. En changeant de produit, refaites le tour des pages de suppression et d’archivage de cet éditeur. Ne copiez pas la fenêtre de 30 jours de la corbeille, ni les 14 jours par défaut des éléments récupérables, sur un autre service.
Le cadenas et STARTTLS protègent un saut, pas un bout en bout
Un cadenas dans la barre d’adresse ou dans le client mail se lit souvent « chiffré jusqu’à l’autre personne ». Le chiffrement de transport SMTP ne fonctionne pas ainsi. La RFC 3207, section 6, est nette : SMTP n’est pas un mécanisme de bout en bout. La décision d’une paire client/serveur SMTP d’ajouter TLS ne protège pas le message de l’agent de l’expéditeur jusqu’au destinataire. Un message peut passer par deux serveurs SMTP ou plus. Le TLS sur une paire ne rend pas tout le chemin privé.
D’où une scène qui a l’air contradictoire. Le saut de votre client vers la passerelle sortante peut être en TLS. Le saut de la passerelle vers le MX distant peut être en STARTTLS. À la fin de chaque saut, le relais doit encore ouvrir le message pour lire l’enveloppe, lancer les filtres anti-spam, puis le passer au suivant. Sur ces disques, le corps est lisible par défaut. Un vrai « personne sur le chemin ne peut lire ceci » demande un chiffrement de contenu — S/MIME ou OpenPGP — pas un cadenas de transport. Un mot de passe tapé dans une fenêtre de rédaction professionnelle n’a presque jamais cette couche.
IMAP et les clients téléphone recopient encore une fois. Le courrier n’est pas un tuyau que l’on jette un œil dans un onglet web. C’est un stockage d’objets : boîte de réception, messages envoyés, brouillons et corbeille sont des objets. Un autre portable déjà connecté, un téléphone d’entreprise et le cache hors ligne d’un client de bureau peuvent tous relire le même clair. Le chiffrement de transport arrête un passant sur le fil. Il n’arrête pas les copies déjà arrivées dans un magasin.
Messages envoyés et boîte de réception : deux copies lisibles dès que le mot de passe part
Après Envoyer, comptez les copies avant de parler de Supprimer. La première est la vôtre : Messages envoyés de Gmail, Éléments envoyés d’Outlook, ou Sent sur la plupart des comptes IMAP. Ce n’est pas un tampon d’annulation dans le navigateur. C’est un objet stocké. Dans deux mois, vous pourrez encore chercher cette chaîne. Un administrateur qui peut chercher dans la boîte aussi. La deuxième est la leur : boîte de réception, plus l’étiquette Tous les messages ou Archiver dont ils se sont servis. Les deux copies sont le corps, pas « uniquement l’objet ».
Cc et Cci en ajoutent. Un Cc vers une liste de projet laisse une copie dans chaque boîte. Le Cci ne fait que cacher des adresses aux autres destinataires. Il ne réduit pas le stockage. Les règles de transfert automatique, la journalisation et les passerelles « envoyer aussi vers Slack ou Teams » peuvent poser encore une copie hors du produit mail. Ces copies ne partagent pas un seul bouton Supprimer. Vider votre dossier Messages envoyés ne touche pas leur boîte de réception, et ne touche pas une copie qu’une passerelle a déjà écrite.
La barre de recherche est la preuve. Gmail, Outlook et la plupart des webmails indexent le corps. Déposez-y un mot de passe canari. Une occurrence signifie que quiconque a cette boîte peut le lire. C’est la même classe de reliquat qu’un hash de déduplication cloud ou qu’un historique de presse-papiers : le produit garde le clair parce que la recherche est utile, pas parce qu’il veut vous aider à oublier un secret.
| Où | Ce qui reste en général | Qui peut encore le lire |
|---|---|---|
| Messages envoyés / Éléments envoyés | Corps complet et pièces jointes | L’expéditeur ; quiconque a cette boîte |
| Boîte de réception / Tous les messages | Le même corps complet | Le destinataire ; ses appareils synchronisés |
| Serveurs SMTP relais | Un message lisible pendant l’acheminement | Exploitants et filtres de ce saut |
| Corbeille / Éléments récupérables | Un corps encore restaurable | L’utilisateur ; l’interface de restauration avant la fin de l’horloge |
| Archive d’entreprise / Vault / eDiscovery | Une copie interrogeable gardée par politique | Administrateurs d’archivage ou de conformité |
Les deux ont cliqué sur Supprimer. L’horloge n’est souvent pas finie
« Je l’ai supprimé, lui aussi » s’entend souvent comme le secret qui revient. Les chemins de suppression des éditeurs sont plus longs. L’aide Gmail sur la suppression dit qu’un message supprimé va dans la corbeille. Pendant environ 30 jours, vous pouvez encore le trouver là, le remettre dans la boîte de réception, ou choisir de le supprimer définitivement. Après 30 jours, il est définitivement retiré du compte et ne peut plus être récupéré depuis la corbeille. Archiver n’est pas supprimer : Archiver sort seulement le message de la boîte de réception. Une recherche dans Tous les messages peut encore le trouver.
Google Workspace ajoute une fenêtre admin après cette horloge utilisateur. L’aide Workspace sur la restauration dit qu’après les 30 jours de corbeille, les administrateurs ont encore environ 25 jours pour restaurer des messages. Cette fenêtre supplémentaire commence 30 jours après la suppression, pas à la date d’envoi. Quand elle se termine, l’aide dit que les messages sont définitivement supprimés du compte Workspace et ne peuvent plus être restaurés ni par un administrateur, ni par Google. La conservation Vault et les conservations (holds) sont en dehors de ce bouton Restaurer. C’est une autre copie.
Exchange Online a un dossier caché après « parti ». La page Microsoft sur la conservation des éléments supprimés dit qu’après une suppression depuis Éléments supprimés, un vidage de ce dossier, ou Maj+Suppr, l’objet passe dans Éléments récupérables → Suppressions. La durée par défaut est 14 jours. Un administrateur peut la monter à 30. Les utilisateurs peuvent encore Récupérer les éléments supprimés dans Outlook. Si la boîte est sous conservation pour litige (Litigation Hold), cette horloge est ignorée et les suppressions ne sont pas purgées au rythme de 14 jours.
Annuler l’envoi ne reprend pas un secret déjà parti. Annuler l’envoi Gmail n’offre qu’une fenêtre de 5, 10, 20 ou 30 secondes. Cela retarde la vraie remise. Cela ne retire pas le corps du serveur d’en face. Après la fenêtre, le message est un Messages envoyés ordinaire. Le rappel Outlook ne peut marcher que dans certaines organisations Exchange, et seulement si l’autre n’a pas encore lu. Ce n’est pas un bouton « reprendre » universel.
L’archivage d’entreprise et la recherche admin sont d’autres copies, que vous ne pouvez pas effacer
L’horloge de corbeille d’un compte personnel et le magasin de conformité d’une entreprise ne sont pas le même interrupteur. La recherche Vault pour Gmail est faite pour trouver des messages par mot-clé dans le corps et les pièces (Google parle d’environ le premier Mo de texte et de pièces). Les administrateurs peuvent prévisualiser, imprimer et télécharger les pièces. Brouillons et brouillons enregistrés automatiquement sont dans le périmètre. Une règle de conservation Vault par défaut peut garder le courrier interrogeable après qu’un utilisateur a vidé la corbeille. C’est le métier du produit : retrouver ce qu’un salarié a déjà supprimé.
Microsoft Purview eDiscovery traite les boîtes de la même façon. Rechercher du contenu dans les boîtes aux lettres dit qu’une recherche par mot-clé couvre l’objet, le corps et de nombreuses propriétés de participants. Les propriétés indexées incluent les dates d’envoi et de réception, l’expéditeur et le destinataire, les noms de fichiers joints et le texte du corps. L’objectif de conception est « on peut encore trouver ceci après que l’utilisateur a cliqué sur Supprimer », pas « honorer le regret de l’expéditeur ».
Donc « seuls nous deux savons » échoue en général sur une boîte d’entreprise. Quiconque peut ouvrir Vault, lancer un eDiscovery ou exporter une boîte peut lire ce mot de passe dans le cadre du poste. Ce n’est pas une accusation qu’un éditeur fouille pour le plaisir. C’est la permission que les pages d’aide décrivent. Un Gmail personnel n’a pas d’administrateur Workspace. Cela ne rend pas le clair de Messages envoyés illisible pour quiconque est assis devant un ordinateur déjà connecté.
Le mode confidentiel bloque un transfert maladroit, pas l’archive ni une capture
Le mode confidentiel Gmail se lit souvent « e-mail à destruction après lecture ». Le périmètre officiel est plus étroit. L’aide Gmail sur le mode confidentiel dit que vous pouvez poser une expiration, révoquer l’accès plus tard, couper transfert / copie / impression / téléchargement, et exiger un code SMS. La même page prévient que le destinataire peut encore faire une capture ou une photo, et qu’un destinataire avec un logiciel malveillant peut encore copier ou télécharger. La copie Workspace est aussi explicite sur l’implémentation : Gmail retire le corps et les pièces de la copie du destinataire et les remplace par un lien vers le contenu. Ce qui part en SMTP, c’est surtout l’objet et ce lien.
Une expiration ou une révocation peut fermer le corps pour le destinataire. Cela n’efface pas la copie dans l’organisation de l’expéditeur. Les notes Vault sur le mode confidentiel disent que si l’organisation a activé le mode confidentiel, Vault peut conserver, rechercher et exporter les messages en mode confidentiel envoyés par les utilisateurs de l’organisation après le 30 novembre 2018. Ces messages restent disponibles pour Vault même si l’utilisateur a posé une date d’expiration ou révoqué l’accès du destinataire. Recherchez avec label:confidentialmode. L’aperçu masque le contenu par défaut ; l’opérateur peut choisir de l’afficher. Ce n’est pas une destruction. C’est une grille pour le destinataire et une porte ouverte pour la conformité.
La doc admin Workspace ajoute encore une copie interne. Pour que Vault lise le courrier en mode confidentiel, Gmail peut joindre une copie de ce contenu au message du destinataire lorsque l’expéditeur et le destinataire sont dans la même organisation. L’aide dit que cette copie est uniquement pour Vault. Expéditeurs et destinataires ne peuvent pas l’ouvrir depuis Gmail, et les outils d’archivage tiers ne la voient pas. Supprimer chaque copie veut encore dire la supprimer du compte de l’expéditeur et de chaque compte destinataire. Le mode confidentiel est un contrôle d’erreur. Ce n’est pas un canal de clé à usage unique. Le même fournisseur héberge encore le corps. L’objet circule encore en SMTP ordinaire. Les captures sont hors périmètre sur la page de Google. Si l’objectif est « le serveur ne tient que du chiffré, les lectures se détruisent au compteur, et la clé n’entre jamais dans HTTP », c’est une autre découpe — pas le même message marqué confidentiel.
Ne testez pas avec un mot de passe vivant, une clé API de production ou une chaîne de connexion non masquée. Servez-vous d’un canari jetable, par exemple canary-mail-2026-do-not-reuse. Vous contrôlez Messages envoyés et les occurrences de recherche, vous ne rediffusez pas un vrai secret. Si une vraie clé est déjà partie dans un e-mail, révoquez-la d’abord chez l’émetteur, puis changez la façon d’envoyer la suivante.
Vérifier sur place : un canari dans deux comptes de test, puis chercher dans Envoyés
Un slogan « cet e-mail est chiffré » ne se prouve pas tout seul. Ce que vous pouvez voir en une séance, ce sont quatre choses : si Messages envoyés a encore la source, si une boîte de test destinataire a la source, si la corbeille ou les éléments récupérables la tiennent encore après Supprimer, et si le cadenas a été pris pour « le serveur ne peut pas lire ceci ». Cette étape ne prouve que les copies lisibles laissées par ce message de test. Elle ne prouve pas la politique d’archivage d’un éditeur. Ce côté ne se contrôle que contre l’aide officielle. Network ne peut pas s’y substituer.
Prenez deux boîtes que vous contrôlez. N’utilisez pas un carnet d’adresses de production. Écrivez un canari reconnaissable, qui ne collisionnera pas avec un vrai mot de passe — par exemple canary-mail-2026-do-not-reuse. Gardez un objet ordinaire. Mettez uniquement le canari dans le corps. N’ajoutez ni numéro de pièce, ni nom d’hôte réel. Après Envoyer, cherchez cette chaîne dans le compte expéditeur. Messages envoyés devrait trouver. Connectez-vous au compte de test destinataire et cherchez à nouveau. La boîte de réception devrait trouver. Deux occurrences, c’est au moins deux copies en clair. Supprimez la copie de l’expéditeur vers la corbeille. Ouvrez la corbeille dans la fenêtre de 30 jours. Sur Gmail, elle devrait encore être là. C’est la preuve que Supprimer n’est pas un « reprendre ».
S’il faut vérifier qu’une clé n’est pas entrée dans HTTP, ne mettez pas la clé dans un e-mail. Servez-vous plutôt d’un lien à destruction après lecture. Après création, la barre d’adresse doit ressembler à s.html?id= plus une clé #. Ouvrez Network dans les outils de développement. La ligne de requête ne doit montrer que l’identifiant. Le segment après le dièse ne doit pas apparaître. Ce contrôle prouve la forme du lien. Il ne prouve rien sur un corps d’e-mail. Une fois le corps parti, Network ne retire pas un stockage déjà arrivé.
- Depuis deux boîtes de test, envoyez un corps qui ne contient qu’un canari, par exemple
canary-mail-2026-do-not-reuse. N’utilisez pas une vraie clé. - Cherchez cette chaîne dans Messages envoyés de l’expéditeur et dans la boîte de réception du destinataire. Les deux devraient trouver.
- Supprimez la copie de l’expéditeur, puis ouvrez la corbeille ou Récupérer les éléments supprimés et confirmez qu’elle est encore là dans la fenêtre.
- Quand une vraie clé doit arriver à une personne, passez au lien auto-destructible. Servez-vous de l’e-mail seulement pour un avis sans clé, ou pour une pièce déjà chiffrée.
La preuve est étroite. Dans cette seule passe, le clair a atterri comme corps d’e-mail dans au moins deux stockages, et Supprimer n’a pas effacé tout de suite la copie de l’expéditeur. Cela ne prouve pas qu’une extension n’a jamais sauvé une troisième copie. Cela ne prouve pas que l’autre société a allumé Vault. Après un changement de produit mail, relancez le canari contre les pages de suppression et d’archivage de cet éditeur.
Séparer l’avis et le secret avec un lien auto-destructible, sans compte
Si vous voulez « le corps ne devient jamais un stockage de messagerie » comme geste répétable, partez du lien auto-destructible MakePwd. Il s’ouvre sans compte et sans connexion. Le clair n’apparaît que dans l’onglet du créateur. Le navigateur chiffre avec Web Crypto et AES-256-GCM. Les champs sortants sont le chiffré, l’expiration et le nombre de lectures. Le serveur ne stocke que le chiffré et renvoie un identifiant. La page ajoute ensuite la clé en fragment : s.html?id={id}#{clé}. Selon la RFC 9110, l’URI cible n’inclut pas le fragment, donc la ligne de requête ne doit pas montrer le segment après le dièse.
Entraînez-vous uniquement avec des canaris. Créez une phrase jetable, envoyez le lien complet à un destinataire de test, et n’écrivez dans le corps de l’e-mail que « ouvrez le lien ; ne transférez pas la chaîne qui contient le dièse ». Après confirmation et récupération, rouvrir le même identifiant doit montrer un état déjà détruit, pas un autre corps lisible. Un lien bleu peut encore rester dans un chat ou un e-mail. C’est un localisateur. Une fois le chiffré supprimé au compteur fixé, ces caractères ne déverrouillent plus rien. Le détail est dans Que reste-t-il sur le serveur après une lecture d’un lien auto-destructible et dans Pourquoi le fragment après # d’une URL convient pour une clé, et quand cette protection lâche.
Ne retomber pas sur « un ZIP à mot de passe en pièce jointe » pour un fichier entier qui contient des clés. Chiffrer un fichier transforme le fichier en .lock / .enc dans cet onglet avec AES-256-GCM (un fichier, 5 Go au plus). Le chiffré peut voyager par e-mail ou par un Drive. Envoyez la phrase par un autre canal. Si un mot de passe de connexion est déjà parti dans un e-mail, révoquez-le d’abord chez l’émetteur, puis utilisez le générateur de mot de passe sur cet appareil pour une nouvelle chaîne de 6 à 128 caractères (16 par défaut ; en dessous de 8, un avertissement de faiblesse). Aucune de ces étapes n’exige de connexion.
Questions fréquentes
Si l’e-mail est passé en HTTPS, seul le destinataire peut-il lire le mot de passe ?
Non. La RFC 3207 dit que SMTP n’est pas un mécanisme de bout en bout : le TLS entre une paire de serveurs ne protège pas le message du client de l’expéditeur jusqu’au destinataire. Chaque saut peut déchiffrer, inspecter, puis transmettre. Messages envoyés, boîte de réception et stockage de ces serveurs restent, par défaut, un corps lisible.
Si les deux côtés ont supprimé le message, le mot de passe a-t-il disparu ?
Il peut encore être là. Gmail place les suppressions dans la corbeille pendant environ 30 jours. Exchange Online garde les éléments définitivement supprimés dans les éléments récupérables 14 jours par défaut, jusqu’à 30. Un administrateur Workspace peut encore disposer d’environ 25 jours après le vidage de la corbeille. Une conservation pour litige ignore cette horloge. Si l’organisation archive le courrier, un administrateur peut encore rechercher et exporter le corps.
Après l’expiration du mode confidentiel Gmail, le corps a-t-il quitté le système ?
Le destinataire ne peut plus ouvrir le corps après l’expiration ou une révocation. Pour Vault dans l’organisation de l’expéditeur, Google écrit que Vault peut encore conserver, rechercher et exporter les messages en mode confidentiel envoyés dans l’organisation, même après une date d’expiration ou une révocation d’accès. Captures et photos restent hors du périmètre, sur la même page d’aide.
S’il faut vraiment transmettre un mot de passe à un collègue, à quoi l’e-mail peut-il encore servir ?
Servez-vous du courrier pour un avis sans clé, ou pour une pièce déjà chiffrée. Envoyez le vrai mot de passe une fois via un lien auto-destructible et gardez la clé dans le fragment # de l’URL. Création et lecture s’ouvrent sans compte. Le serveur ne stocke que le chiffré. Ne recollez pas le même clair dans le corps de l’e-mail.
Trois points à retenir avant le prochain e-mail
Premier : Envoyer écrit sur disque. Messages envoyés, boîte de réception, appareils synchronisés et relais peuvent chacun garder un corps lisible. Modifier la page actuelle ne reprend pas une copie déjà arrivée. Deuxième : Supprimer ne fait que lancer une horloge. La corbeille Gmail, c’est environ 30 jours. Les éléments récupérables Exchange, 14 par défaut. Les administrateurs Workspace peuvent encore avoir environ 25 jours après la corbeille. L’archivage d’entreprise et Vault sont un autre jeu, et l’utilisateur ne peut pas les effacer. Troisième : le mode confidentiel et Annuler l’envoi arrêtent des erreurs. Ce n’est pas du bout en bout. Une vraie clé qui doit arriver passe par un lien auto-destructible. Un mot de passe déjà parti se révoque d’abord, puis se remplace.
Si la question suivante est ce qui reste sur le serveur après qu’un secret à usage unique a été lu une fois, lisez Que reste-t-il sur le serveur après une lecture d’un lien auto-destructible. S’il faut vérifier si la clé après le dièse entre dans HTTP, lisez Pourquoi le fragment après # d’une URL convient pour une clé, et quand cette protection lâche. Cette note ne trace qu’une ligne que vous pouvez écrire dans une conclusion : après qu’un mot de passe est entré dans le corps d’un e-mail, ce que Messages envoyés, les sauvegardes et l’administrateur de messagerie peuvent encore garder.