Dropbox est-il sécurisé en 2026 ? Chiffrement, confidentialité et solutions de partage de fichiers confidentiels

En bref :

• Dropbox chiffre les fichiers avec AES‑256 au repos et TLS en transit, mais conserve elle‑même les clés de chiffrement.
• Il n’y a pas de chiffrement de bout en bout sur les offres personnelles. Des dossiers chiffrés optionnels existent sur Business Plus, Advanced et Enterprise, et ils sont désactivés par défaut.
• Le service utilise des sous‑traitants, dont Google pour le support, Amazon Web Services pour l’infrastructure et OpenAI pour certaines fonctions d’IA. Connecter ChatGPT ou activer l’IA intégrée suit un parcours de contenu distinct.
• Six incidents de sécurité ont été rendus publics depuis 2011, incluant des bugs, une fuite d’identifiants, une compromission de Sign et une défaillance de connexion Lenovo en 2026. Aucun n’a nécessité de casser AES‑256.
• Entreprise basée aux États‑Unis. Une procédure légale valide peut permettre d’obtenir les données que Dropbox est en mesure de déchiffrer. 
• Le service n’est pas recommandé pour des fichiers confidentiels dans le droit, la santé, la finance ou le journalisme, sauf si ces fichiers restent exclusivement dans un dossier d’équipe chiffré.
• Passer à Google Drive ne résout pas le problème, car le modèle de chiffrement par défaut est le même.

Dropbox compte plus de 700 millions d’utilisateurs enregistrés, notamment parce que le service est simple, se synchronise bien et fonctionne sur la plupart des appareils. Mais Dropbox est-il sécurisé pour y stocker des informations confidentielles ?

Sur la plupart des offres, la réponse est nuancée. Dropbox chiffre les fichiers pendant leur transfert et lorsqu’ils sont stockés sur ses serveurs. Cela suffit à empêcher un tiers de récupérer facilement vos données, mais Dropbox conserve également les clés de chiffrement et peut donc déchiffrer les fichiers que vous stockez.

Un incident survenu en 2026 l’a illustré concrètement : les attaquants n’ont pas cassé le chiffrement. Ils sont passés par un partenariat de connexion et, sur les comptes qui n’avaient pas activé la double authentification, ont pu accéder à ce que Dropbox lui-même pouvait lire.

Vos photos de vacances ou vos présentations peuvent parfaitement être stockées sur Dropbox. Un contrat client ou un document contenant des informations confidentielles pose en revanche un autre problème, car Dropbox conserve les clés sur la plupart des offres, sauf si vous utilisez un dossier d’équipe chiffré disponible sur certaines formules.

Voyons donc comment fonctionne le chiffrement de Dropbox, ce que le service fait avec le contenu de vos fichiers, quels incidents de sécurité ont été recensés, comment Dropbox se compare à Google Drive et aux e-mails, et dans quels cas il vaut mieux utiliser une autre solution pour partager des fichiers confidentiels.

Pourquoi parle-t-on de sécurité Dropbox ?

La question paraît simple, mais elle recouvre en réalité trois préoccupations différentes.

1. Un pirate informatique peut-il accéder à mes fichiers ?

C’est sur ce point que Dropbox est le plus solide. Vos fichiers sont chiffrés avec AES-256 lorsqu’ils sont stockés. Les transferts sont protégés par TLS. Vous pouvez également activer la double authentification (2FA).

Face à un tiers qui tenterait simplement de s’introduire dans votre compte, ces protections sont efficaces.

2. Dropbox peut-il lui-même lire mes fichiers ?

Oui. Sur les offres personnelles et dans les dossiers d’équipe standards, Dropbox conserve les clés de chiffrement et peut donc déchiffrer les fichiers que vous stockez.

Sa politique de confidentialité et sa liste de sous-traitants mentionnent notamment Google pour le support client, Amazon Web Services pour l’infrastructure et OpenAI pour certaines fonctionnalités d’IA, comme la synthèse et la recherche.

Cela ne signifie pas que chaque fichier est automatiquement envoyé à ces entreprises. En revanche, une demande légale n’a pas besoin de contourner votre chiffrement si Dropbox est lui-même en mesure de fournir le contenu en clair.

3. Seule la personne à qui vous avez partagé un fichier peut-elle l’ouvrir ?

Pas exactement. Les offres payantes permettent de protéger un lien partagé par mot de passe, mais le fichier reste stocké sur les serveurs de Dropbox et peut être déchiffré par l’entreprise.

Un mot de passe de lien partagé est donc un mécanisme de contrôle d’accès, pas un chiffrement de bout en bout. Le service standard de Dropbox n’est pas un système à connaissance nulle (« zero-knowledge »).

Dropbox propose toutefois un chiffrement de bout en bout optionnel pour certains dossiers d’équipe éligibles sur les offres Business Plus, Advanced et Enterprise. Lorsqu’il est activé, le contenu est déchiffré uniquement sur les appareils autorisés, et non sur les serveurs de Dropbox.

En résumé : Dropbox vous protège contre le vol de votre ordinateur. Dans la plupart des cas, il ne vous protège pas contre le fournisseur lui-même, une décision de justice ou un partenaire qui traite le contenu de vos fichiers.

Comment fonctionne le chiffrement de Dropbox ?

Dropbox chiffre les fichiers avec AES-256 au repos et les transfère via TLS. Cette affirmation figure dans ses communications officielles et elle est exacte, mais elle ne raconte pas toute l’histoire.

Le fichier circule dans un tunnel TLS, puis Dropbox le chiffre à nouveau avec AES-256 lorsqu’il est stocké sur ses serveurs. Sur les offres personnelles et dans les dossiers d’équipe standards, l’entreprise conserve les clés afin de pouvoir déchiffrer le fichier pour générer un aperçu, effectuer une recherche, répondre à une demande légale ou fournir une fonctionnalité que vous avez activée.

Imaginez un coffre-fort dont la banque conserverait un double de la clé : le coffre est bien verrouillé, mais vous n’êtes pas la seule personne capable de l’ouvrir.

Le chiffrement de bout en bout fonctionne différemment : vous conservez la clé et le service ne stocke qu’un contenu chiffré qu’il ne peut pas lire. Dropbox chiffre bien vos données, mais par défaut, son système ne les chiffre pas de manière à empêcher Dropbox lui-même d’y accéder.

Dossiers chiffrés Dropbox : ce qu’ils sont (et ce qu’ils ne sont pas)

Cette fonctionnalité est payante, limitée et réservée à certaines offres. La plupart des personnes qui se demandent si Dropbox est sécurisé utilisent donc une formule sur laquelle elle ne s’applique pas.

Un mot de passe sur un lien partagé est différent : le fichier présent dans votre compte reste lisible par Dropbox et le mot de passe protège uniquement l’accès au lien.

• Disponible sur Business Plus, Advanced et Enterprise, mais pas sur Basic, Plus ou les offres personnelles classiques.
• Activé volontairement pour certains dossiers d’équipe, et non pour l’intégralité du compte.
• Le partage en dehors de ce cercle est limité et certaines fonctionnalités collaboratives ne sont plus disponibles.
• Une clé de récupération existe. Si vous perdez les clés de manière irrécupérable, les données deviennent inaccessibles pour tout le monde, y compris Dropbox.

Dropbox analyse-t-il vos fichiers ?

Puisque Dropbox conserve les clés sur la plupart des offres, l’entreprise peut techniquement accéder au contenu que vous stockez. C’est là que se situe l’enjeu en matière de confidentialité.

L’« analyse » recouvre toutefois plusieurs opérations. Dropbox indexe les noms, types et tailles des fichiers afin d’assurer la synchronisation et l’historique des versions. Il génère également des aperçus et, sur certaines offres, utilise l’OCR pour permettre la recherche dans les documents numérisés.

Les liens publics peuvent être comparés à des empreintes de fichiers connus protégés par le droit d’auteur, et le livre blanc destiné aux entreprises décrit également un mécanisme d’analyse des logiciels malveillants lorsqu’un fichier est partagé en dehors du compte d’origine.

L’IA constitue un cas distinct. Si vous connectez ChatGPT ou activez les fonctionnalités d’IA intégrées, le contenu de vos fichiers peut être transmis à un prestataire de traitement.

Les pages d’aide de Dropbox indiquent que ChatGPT n’accède à Dropbox qu’après connexion du compte et demande de l’utilisateur. Les conversations de ChatGPT grand public peuvent être utilisées pour l’entraînement des modèles selon les règles d’OpenAI ; les offres ChatGPT Team et Enterprise sont soumises à des conditions différentes.

OpenAI figure également dans la liste des sous-traitants de Dropbox pour certaines fonctionnalités basées sur les grands modèles de langage. Il ne s’agit toutefois pas du même mécanisme que le plugin ChatGPT.

Considérez chaque fonctionnalité d’IA comme un choix qui peut permettre à une autre entreprise de traiter le contenu du fichier. La vraie question n’est donc pas de savoir si un employé lit votre fichier aujourd’hui. Il faut plutôt se demander qui détient la clé permettant de le déchiffrer.

Quelles fonctionnalités de sécurité Dropbox propose-t-il ?

Dropbox dispose de plusieurs protections contre les accès extérieurs. La double authentification est disponible sur tous les comptes, et l’incident Lenovo de 2026 a principalement concerné les utilisateurs qui ne l’avaient pas activée.

Les offres payantes et professionnelles permettent de protéger un lien partagé par mot de passe et de lui attribuer une date d’expiration. Il est également possible de révoquer un lien et, sur certaines formules, de désactiver les téléchargements.

Les offres Business ajoutent notamment l’effacement à distance, le SSO, l’autorisation des appareils et différents contrôles administrateur.

L’historique des versions est conservé pendant 30 jours sur Basic et Plus, 180 jours sur Professional et Standard, et un an sur Advanced et Enterprise.

Les offres éligibles à HIPAA et les accords BAA peuvent faciliter la mise en conformité administrative. Ils ne créent toutefois pas un chiffrement zero-knowledge par défaut.

Comment protéger un lien partagé Dropbox par mot de passe ?

Un mot de passe protège un lien partagé contre les destinataires non autorisés qui auraient obtenu l’URL, par exemple à la suite d’un transfert accidentel, d’une copie ou d’une fuite de données.

Toute personne disposant du lien doit alors également connaître le mot de passe pour ouvrir le fichier.

Cela ne protège pas le fichier contre Dropbox, qui peut toujours le déchiffrer selon son modèle de stockage standard. Cela ne protège pas non plus contre une personne qui dispose déjà d’une autorisation d’accès au fichier via son compte Dropbox.

Cette fonctionnalité est disponible sur Professional, Essentials, Standard, Advanced, Business Plus et Enterprise, mais pas sur Basic ni Plus. Consultez la documentation actuelle de Dropbox, car les fonctionnalités peuvent évoluer.

1. Ouvrez dropbox.com et recherchez le fichier ou le dossier.
2. Cliquez sur Partager, puis créez ou ouvrez le lien partagé.
3. Ouvrez les paramètres du lien.
4. Définissez un mot de passe.
5. Ajoutez une date d’expiration si votre formule le permet.
6. Désactivez éventuellement les téléchargements.
7. Envoyez le mot de passe via un autre canal que le lien : par téléphone, Signal ou e-mail chiffré, par exemple, plutôt que dans le même fil Gmail.

Les personnes disposant déjà d’un accès dans Dropbox peuvent toujours consulter le fichier et Dropbox peut toujours le déchiffrer. Sur les offres personnelles, il n’existe pas de mot de passe de dossier natif permettant de masquer son contenu à Dropbox.

Dropbox a-t-il déjà été piraté ?

Oui. Et dans presque aucun de ces incidents, les attaquants n’ont eu besoin de casser le chiffrement AES-256.

En 2011, une mise à jour logicielle permettait à n’importe qui d’ouvrir un compte avec une simple adresse e-mail.

En 2012, une fuite a exposé 68 millions d’adresses e-mail et de mots de passe. Cette fuite n’a été totalement révélée qu’en 2016.

En 2017, des fichiers supprimés sont réapparus dans certains comptes à cause d’un problème de restauration, et non parce qu’un attaquant avait réussi à s’introduire dans le système.

En 2022, des attaquants ont accédé à 130 dépôts GitHub de Dropbox après avoir ciblé un employé par hameçonnage.

L’incident Dropbox Sign de 2024 — l’ancien produit HelloSign — est parfois confondu avec le stockage principal de Dropbox. Un attaquant a accédé à l’environnement de production de Sign et récupéré des noms et adresses e-mail ainsi que, pour certains utilisateurs, des numéros de téléphone, des mots de passe hachés, des clés API, des jetons OAuth et des données MFA.

Dropbox a déclaré n’avoir trouvé aucune preuve indiquant que le contenu des documents ou les données de paiement avaient été volés. L’infrastructure de Sign est distincte du stockage principal des fichiers Dropbox.

Puis, en août 2026, des attaquants ont exploité une faille dans la vérification des adresses e-mail de Lenovo ID. Ils ont créé un Lenovo ID avec l’adresse d’une victime et utilisé le partenariat de connexion entre Lenovo et Dropbox pour ouvrir le compte Dropbox correspondant sans connaître le mot de passe Dropbox.

Environ 5 000 comptes ont été concernés entre le 4 et le 21 août. Moins d’un tiers ont fait l’objet d’une consultation ou d’un téléchargement de fichiers, et ces comptes n’avaient généralement pas activé la double authentification Dropbox.

Dropbox a invalidé les sessions concernées et désactivé la connexion Lenovo. Le problème venait donc d’une voie de connexion approuvée plutôt que d’une faille du chiffrement lui-même.

Dropbox est-il sécurisé pour les fichiers confidentiels ?

Pour le stockage quotidien (photos, notes de cours, une présentation destinée de toute façon à une réunion publique), Dropbox fait très bien l’affaire, car le chiffrement AES-256 et le protocole TLS empêchent la plupart des pirates d’accéder aux données, et l’authentification à deux facteurs rend un mot de passe volé moins utile.

Les fichiers confidentiels constituent un cas différent.

Les offres personnelles ne proposent pas de chiffrement de bout en bout. Les dossiers chiffrés sont disponibles en option sur Business Plus, Advanced et Enterprise, mais uniquement pour les dossiers que vous désignez.

Dropbox est également une entreprise américaine : les règles applicables aux demandes légales peuvent donc concerner l’entreprise elle-même, et pas uniquement le centre de données où vos fichiers sont stockés.

Les liens partagés peuvent être transférés et les fonctions d’aperçu, de recherche ou d’IA peuvent traiter le contenu lorsqu’elles sont activées.

Le rapport Cost of a Data Breach Report 2025 d’IBM estime le coût moyen mondial d’une violation de données à 4,44 millions de dollars et celui des incidents concernant exclusivement les environnements cloud publics à 4,68 millions de dollars. Il s’agit de moyennes sectorielles et non de coûts spécifiques à Dropbox.

Dire que « personne n’a cassé le chiffrement » ne signifie pas que « personne n’a pu ouvrir les fichiers ».

L’étude Thales Cloud Security Study 2025 indique que seulement 8 % des organisations chiffrent au moins 80 % de leurs données cloud, alors que 54 % des données stockées dans le cloud sont désormais considérées comme sensibles, contre 47 % l’année précédente. Ces chiffres concernent les entreprises en général et non les seuls utilisateurs de Dropbox.

Les offres professionnelles ajoutent des journaux d’activité et des dossiers chiffrés optionnels, mais ces protections ne fonctionnent que si tous les dossiers confidentiels concernés utilisent effectivement ce mode supplémentaire.

Si une fuite de vos fichiers pouvait entraîner une action en justice, une amende ou un préjudice pour une personne, le modèle de stockage Dropbox par défaut mérite donc d’être examiné attentivement.

L’équipe prévoit d’ajouter des journaux et des dossiers chiffrés en option, mais ces fonctionnalités resteront inefficaces tant que tous les dossiers confidentiels n’utiliseront pas ce mode supplémentaire. Si une fuite pouvait vous exposer à des poursuites judiciaires, à une amende ou causer du tort à autrui, le modèle par défaut de Dropbox n’est pas l’outil qu’il vous faut.

Qui ne devrait pas stocker de fichiers confidentiels sur Dropbox ?

Toute personne dont l’activité implique une obligation légale ou réglementaire de préserver la confidentialité de certains documents.

Les avocats et cabinets d’avocats constituent un exemple évident. Le secret professionnel suppose notamment que le prestataire de stockage ne puisse pas accéder librement aux documents. Or Dropbox conserve les clés sur ses offres standards et peut donc déchiffrer les fichiers.

Le 2023 TechReport de l’ABA est régulièrement cité pour son estimation selon laquelle près de 30 % des cabinets avaient déjà déclaré avoir subi une violation de données. Ce chiffre concerne l’ensemble de la période étudiée et non une seule année.

Les professionnels de santé sont confrontés à une problématique similaire. Le RGPD et HIPAA imposent tous deux des contrôles stricts sur les données. Un Business Associate Agreement peut répondre à certaines exigences administratives, mais il ne crée pas pour autant un chiffrement zero-knowledge sur les serveurs Dropbox.

La même logique peut s’appliquer aux :

• Experts-comptables, qui stockent des déclarations fiscales et documents d’audit
• Journalistes, qui protègent leurs sources confidentielles
• Services RH, qui conservent des pièces d’identité et des données salariales
• Petites entreprises, qui reçoivent des fichiers confidentiels de leurs clients

La question à se poser est simple : si une fuite de ces fichiers pouvait entraîner une action en justice, une amende ou un préjudice pour quelqu’un, un chiffrement de bout en bout peut être nécessaire.

Sur Dropbox, cela implique d’utiliser une offre Business Plus, Advanced ou Enterprise, d’activer le chiffrement pour chaque dossier concerné et de garder à l’esprit que seuls ces dossiers bénéficient de cette protection supplémentaire.

Dropbox est-il plus sécurisé que Google Drive ?

Pas sur le point essentiel de la confidentialité.

Les deux services utilisent AES-256 pour les données stockées et TLS pendant leur transfert. Aucun des deux n’utilise par défaut un chiffrement de bout en bout généralisé. Les deux entreprises sont américaines et peuvent accéder aux fichiers stockés sur leurs offres standards.

L’activité historique de Google repose notamment sur la publicité, tandis que Dropbox n’est pas une entreprise publicitaire. Dropbox peut néanmoins partager certaines données dans des conditions définies et transmettre du contenu à des prestataires d’IA lorsque certaines fonctionnalités sont activées.

Déplacer les mêmes fichiers de Dropbox vers Google Drive revient à remplacer un détenteur américain des clés par un autre. 

Dropbox est-il plus sécurisé que les e-mails ?

Cela dépend du type d’e-mail utilisé.

Gmail et Outlook classiques protègent les messages lorsqu’ils circulent entre les serveurs et les appareils, mais ils ne proposent pas par défaut un chiffrement de bout en bout. Le fournisseur peut généralement accéder au contenu stocké dans la boîte mail.

Téléverser un contrat sur Dropbox puis envoyer son lien via Gmail ou Outlook crée donc deux points d’exposition distincts : une boîte de réception accessible au fournisseur et un fichier cloud accessible au fournisseur.

Dropbox peut néanmoins être plus pratique qu’une simple pièce jointe lorsque le fichier est volumineux, que plusieurs personnes doivent y accéder régulièrement ou que vous souhaitez gérer les autorisations, les dates d’expiration et la révocation des liens.

La protection par mot de passe ajoute une couche de contrôle d’accès, mais elle ne remplace pas le chiffrement de bout en bout.

Un e-mail chiffré de bout en bout est préférable lorsque le contenu doit rester inaccessible au service qui le transporte ou le stocke.

Mailfence prend en charge le chiffrement OpenPGP, notamment pour les pièces jointes chiffrées, lorsque la clé publique du destinataire est disponible.

Si le destinataire n’utilise pas OpenPGP, Mailfence propose également l’e-mail chiffré par mot de passe pour n’importe quelle adresse e-mail. Vous choisissez un mot de passe, le transmettez séparément et pouvez

définir une date d’expiration.

Le point faible d’un « partage Dropbox sécurisé » est souvent l’e-mail non chiffré utilisé pour envoyer le lien ou le mot de passe.

Pour la collaboration, Dropbox peut être pratique. Pour garantir que le fournisseur ne puisse pas lire le contenu, un e-mail correctement chiffré avec Mailfence répond à un autre besoin.

Comment sécuriser au maximum son compte Dropbox ?

Si vous restez sur Dropbox, commencez par renforcer votre compte.

1. Activez la 2FA avec une application d’authentification ou une clé de sécurité plutôt que par SMS lorsque c’est possible. Vérifiez les appareils connectés et supprimez les connexions Lenovo ou SSO que vous n’utilisez plus.
2. Utilisez un mot de passe qui ne figure pas dans la fuite de 2012 ni dans aucune autre base de données compromise.
3. Sur une offre payante, protégez les liens externes par mot de passe, ajoutez une date d’expiration et révoquez les anciens liens.
4. Évitez de stocker des informations sensibles dans des dossiers synchronisés sur tous vos ordinateurs et téléphones.
5. Avec Advanced, Business Plus ou Enterprise, placez les informations réellement confidentielles uniquement dans un dossier d’équipe chiffré.
6. Considérez les fonctionnalités IA comme un choix de traitement du contenu et laissez-les désactivées si vous ne souhaitez pas qu’un prestataire tiers puisse accéder aux fichiers concernés.
7. Pour un envoi confidentiel ponctuel, utilisez plutôt une solution de transfert chiffré. 

Chiffrer une archive ZIP sur votre appareil avant de la téléverser empêchera Dropbox d’en lire le contenu. En contrepartie, vous perdez l’aperçu, la recherche et la plupart des fonctions collaboratives. C’est pratique pour une archive, beaucoup moins pour un espace de travail quotidien.

Quelles sont les meilleures alternatives à Dropbox pour la confidentialité ?

Si vous recherchez une synchronisation comparable à Dropbox tout en souhaitant empêcher le fournisseur de lire les données stockées, vous pouvez notamment regarder du côté de Proton Drive, Tresorit, MEGA, Sync.com ou du dossier Crypto payant de pCloud.

Pour une opération de due diligence, une data room virtuelle peut être plus adaptée.

Dans de nombreux cas, le besoin n’est toutefois pas de remplacer deux téraoctets de stockage. Il s’agit simplement d’envoyer un fichier à une personne. C’est alors davantage un problème de partage qu’un problème de migration de stockage.

Mailfence Documents est intégré au même compte que votre messagerie. Vous pouvez ainsi importer, organiser et partager vos fichiers avant d’envoyer un lien ou une pièce jointe.

Mailfence prend également en charge le chiffrement OpenPGP, conçu pour empêcher le fournisseur de lire les messages et pièces jointes correctement chiffrés, ainsi que l’e-mail protégé par mot de passe pour les destinataires qui n’utilisent pas PGP.