Les e-mails que vous échangez avec vos clients peuvent contenir des informations couvertes par le secret professionnel. Il ne faut pas confondre ces deux réalités : le secret professionnel est une qualification juridique, et non une protection technique.
Un e-mail classique transite par plusieurs serveurs entre votre boîte d’envoi et celle de votre client et peut, à chaque étape, être intercepté. Cette vulnérabilité explique pourquoi un cabinet d’avocats doit s’appuyer sur une messagerie sécurisée.
Ce guide explique ce que protège réellement le chiffrement des e-mails, dans quelle mesure les échanges par e-mail restent confidentiels une fois qu’ils quittent votre boîte de réception et quelle solution convient le mieux à votre cabinet.
Le secret professionnel protège vos échanges sur le plan juridique, tandis que le chiffrement les protège sur le plan technique. C’est précisément entre ces deux garanties que se situe le risque.
Les e-mails échangés par un cabinet d’avocats sont-ils confidentiels ?
Sur le plan juridique, vos échanges avec vos clients relèvent du secret professionnel et du privilège avocat-client. Cette protection relève toutefois d’une obligation déontologique et n’empêche pas, sur le plan technique, l’accès à un e-mail non chiffré pendant son acheminement sur Internet.
Un e-mail standard passe par plusieurs serveurs de messagerie avant d’atteindre son destinataire et, tant que son contenu n’est pas chiffré, il peut être lu, copié ou modifié à n’importe quel moment de ce parcours. Le protocole TLS (Transport Layer Security) renforce la sécurité en chiffrant la connexion entre serveurs, mais cette protection ne vaut que pour chaque tronçon pris isolément, et seulement lorsque le serveur émetteur et le serveur récepteur prennent tous les deux en charge le TLS.
Les e-mails échangés entre un avocat et son client sont couverts par le secret professionnel, mais cela ne suffit pas à les rendre privés.
La confidentialité reste une obligation déontologique. La vraie question, pour votre cabinet, est de savoir si vos outils offrent la protection technique nécessaire pour la respecter.
Qu’est-ce qu’une messagerie sécurisée pour avocats ?
Une messagerie sécurisée permet de protéger le contenu d’un message afin que seuls l’expéditeur et le destinataire légitime puissent le lire. Elle s’appuie pour cela sur le chiffrement de bout en bout (E2EE), et non sur le seul chiffrement du transport.
La différence tient à l’endroit où s’applique la protection. Le TLS sécurise un message uniquement pendant son transit entre serveurs, tandis que le chiffrement de bout en bout protège directement son contenu. Aucun serveur intermédiaire, pas même celui de votre fournisseur de messagerie, ne peut alors accéder au message en clair.
En pratique, avec le chiffrement de bout en bout, même votre fournisseur de messagerie ne peut pas lire vos échanges avec vos clients.
C’est cette distinction qui fait toute la différence pour une correspondance juridique protégée.
Pourquoi les avocats ont-ils besoin de chiffrer leurs e-mails ?
Il suffit de regarder ce que contiennent réellement vos e-mails juridiques pour comprendre l’enjeu : des documents confidentiels envoyés à l’avocat de la partie adverse, des dossiers clients contenant des numéros de sécurité sociale, des données financières et des antécédents médicaux, des projets de pièces destinées à la communication électronique de pièces ou encore des actes déposés au greffe.
Chacun de ces échanges constitue une cible potentielle, et les chiffres le confirment : près d’un cabinet d’avocats sur trois déclare avoir déjà subi une faille de sécurité, selon le Cybersecurity TechReport de l’American Bar Association.
Tous secteurs confondus, le phishing est désormais le vecteur d’attaque initial le plus courant, responsable de 16 % des violations de données, et les données personnelles des clients sont exposées dans 53 % des cas, d’après le Cost of a Data Breach Report 2025 d’IBM.
Chaque e-mail contenant des informations financières ou médicales sur un client représente donc un risque de fuite lorsque le canal de communication n’est pas suffisamment sécurisé.
S’y ajoute une dimension déontologique, puisque les règles de conduite exigent des efforts raisonnables pour empêcher la divulgation non autorisée des informations clients, et le chiffrement des e-mails en apporte une preuve tangible.
La réglementation pèse également dans la balance : les données clients contenues dans un e-mail relèvent du RGPD et de textes équivalents, selon lesquels une violation peut entraîner une obligation de notification et de lourdes amendes.
Le risque financier est bien réel, puisque le coût moyen mondial d’une violation de données a atteint 4,44 millions de dollars en 2025 selon IBM, et jusqu’à 10,22 millions de dollars aux États-Unis.
La fraude par e-mail alourdit encore ce tableau : la seule compromission des e-mails professionnels a généré 2,77 milliards de dollars de pertes déclarées en 2024, le phishing et l’usurpation d’identité restant les cybercrimes les plus signalés de l’année selon le rapport du FBI sur la cybercriminalité.
Ce risque s’est illustré en 2016, la fuite de données de Mossack Fonseca a exposé des millions de documents internes, dont la correspondance avec les clients, et le cabinet a fini par fermer ses portes.
Autre piège fréquent, un PDF protégé par mot de passe n’est pas forcément chiffré, et des outils grand public permettent de contourner un mot de passe PDF faible en quelques secondes.
Ce qu’une messagerie sécurisée pour avocats doit offrir
Un environnement de messagerie fiable pour un cabinet repose sur quelques fonctionnalités qu’il vaut mieux considérer comme non négociables :
- Un chiffrement de bout en bout basé sur OpenPGP, et non un simple chiffrement de transport ;
- des signatures numériques garantissant l’intégrité des messages et la non-répudiation ;
- une juridiction européenne et un hébergement des données dans l’UE pour la conformité RGPD ;
- une interopérabilité totale avec les correspondants qui n’utilisent pas le même opérateur ;
- la prise en charge des protocoles standards comme IMAP, SMTP et Exchange ActiveSync ;
- un domaine professionnel personnalisé avec SPF, DKIM et DMARC ;
- et l’authentification à deux facteurs sur chaque compte.
Les signatures numériques méritent qu’on s’y attarde, car elles permettent au destinataire de vérifier qu’un message provient bien de vous et qu’il n’a pas été altéré en chemin.
Dans la correspondance juridique, c’est ce qu’on appelle la non-répudiation, soit la preuve de l’origine et de l’intégrité en une seule étape.
La messagerie pour un cabinet idéale doit protéger les messages sans jamais bloquer un correspondant, et c’est justement là que la plupart des solutions du marché échouent.
Comparatif des trois méthodes de chiffrement des e-mails d’avocats
Trois approches se partagent aujourd’hui le marché, et ce qui les distingue vraiment, c’est ce qu’elles imposent au destinataire. Prenons un cas concret pour illustrer la différence : envoyer une brève mise à jour de dossier à un client qui consulte ses e-mails sur Gmail.
Le chiffrement par portail ou passerelle héberge le message sur un serveur tiers, et le client ne reçoit qu’une notification contenant un lien. Pour lire même un court message, il doit quitter sa boîte de réception, ouvrir un navigateur, se connecter à un compte sur le portail ou en créer un, puis répondre depuis cette interface. Chaque message suivant impose le même détour.
Les outils de chiffrement intégrés de Microsoft ou de Google, eux, ne fonctionnent qu’au sein d’un même écosystème : si le client appartient au même tenant Microsoft ou Google, le message se déchiffre sans difficulté, mais s’il utilise un autre fournisseur, ce qui est le cas de la plupart des destinataires, il est redirigé vers un lien dans son navigateur ou le chiffrement bascule discrètement vers du TLS standard.
Le protocole OpenPGP, basé sur des standards ouverts, chiffre quant à lui le message de manière à ce qu’il arrive directement dans la messagerie habituelle du destinataire, sans portail ni création de compte. Votre e-mail, utilisé pour vos échanges avec vos clients en tant qu’avocat, arrive directement dans la boîte Gmail que le client consulte au quotidien, où il peut le lire et y répondre directement. S’il ne possède pas de clé, il reçoit un message protégé par mot de passe qu’il peut ouvrir en un clic dans son navigateur, là encore sans avoir à créer de compte.
Voici un bref comparatif :
| Portail / passerelle | Fournisseur intégré | Basé sur des normes (OpenPGP) | |
|---|---|---|---|
| Où le client lit le message | Sur un portail tiers | Uniquement dans le même écosystème | Dans sa messagerie habituelle |
| Compte à créer | En général, oui | Non, si c’est le même prestataire | Non |
| Fonctionne avec tous les opérateurs | Dépend du fournisseur | Limitée | Oui |
| Compatible Outlook / Thunderbird | Via un plugin | Intégré à cette suite | Natif (IMAP/SMTP/ActiveSync) |
| Destinataire sans PGP | Portail | Lié à l’écosystème | Message de secours par mot de passe |
| Portabilité des messages et des clés | Souvent enfermés | Enfermé à l’intérieur | Exportable |
Le chiffrement basé sur des standards reste la seule approche qui atteint votre destinataire sans lui demander de changer sa façon de consulter ses e-mails.
Pour un cabinet qui échange chaque jour avec ses clients, les tribunaux et les avocats de la partie adverse, c’est ce détail qui décide, en pratique, si le chiffrement est réellement utilisé ou contourné.
L’interopérabilité, clé d’un mail pour cabinet d’avocat vraiment sécurisé
C’est dans la colonne OpenPGP que se joue l’interopérabilité, à la fois du côté de vos destinataires et de votre propre cabinet.
Il s’adapte aux outils que vos avocats utilisent déjà
Mailfence repose sur ce protocole et envoie des e-mails chiffrés et signés vers tous les grands fournisseurs de messagerie, de sorte que votre client les consulte dans Gmail, Outlook ou tout autre client qu’il utilise déjà.
Côté cabinet, Mailfence se connecte à Outlook, Thunderbird et Mac Mail via IMAP, SMTP et Exchange ActiveSync. Pour un client qui n’utilise pas PGP, la messagerie propose un message chiffré par mot de passe qu’il peut ouvrir directement dans son navigateur, sans aucun compte à créer.
Le fait d’envoyer un message chiffré à une adresse Gmail vous décharge-t-il de votre obligation ?
Cette interopérabilité soulève toutefois une question légitime : si vous envoyez un e-mail chiffré à un client sur Gmail, avez-vous réellement rempli votre obligation de le protéger ?
Pour le message que vous envoyez, la réponse est oui dans l’ensemble, puisqu’un e-mail OpenPGP arrive dans la messagerie Gmail du destinataire sous forme de texte chiffré : Google le stocke sans pouvoir le lire, pas plus que quiconque l’intercepterait en chemin. Il s’agit là d’une véritable protection de bout en bout, exactement le type de mesure raisonnable que recherchent les règles de conduite.
La faille se situe en réalité dans l’autre sens. Lorsque votre client clique sur répondre depuis un simple compte Gmail, ce message part non chiffré, et vous perdez alors le contrôle du canal de communication. Pour sécuriser l’échange dans son intégralité, il faut donner au client les moyens de chiffrer à son tour, soit avec sa propre clé, soit avec la fonction de réponse protégée par mot de passe de Mailfence, qui permet à n’importe quel destinataire sans PGP de répondre en toute sécurité depuis son navigateur.
Pourquoi un réseau est plus efficace qu’une simple messagerie isolée
Cette logique de réseau prend tout son sens à l’échelle d’un groupe : quand plusieurs membres partagent une même plateforme sécurisée, basée sur des standards, avec une configuration de chiffrement cohérente, les échanges sensibles circulent plus facilement et avec moins de friction que dans une simple boîte isolée. C’est le modèle sur lequel repose AVOCATS.BE, l’organisation représentant les avocats des régions francophones et germanophones de Belgique, forte d’environ 8 385 membres, où chaque avocat dispose d’une adresse personnalisée gérée par Mailfence, avec accès au chiffrement de bout en bout, aux signatures numériques et aux autres fonctionnalités de sécurité.
Aucune obligation de fidélité si vous décidez de partir
L’interopérabilité détermine enfin ce qui se passe le jour où vous souhaitez changer de fournisseur. Prenons Tuta, une messagerie chiffrée très appréciée, dont le chiffrement reste propriétaire et non basé sur OpenPGP : le chiffrement de bout en bout n’y fonctionne qu’entre utilisateurs de Tuta, sans IMAP, sans SMTP et sans possibilité d’exporter ses clés. Vos avocats ne peuvent donc pas utiliser Outlook ou Thunderbird et, si vous quittez le service, ni vos clés ni vos messages ne vous suivent.
C’est un choix de conception assumé, mais pour un cabinet, cela revient tout simplement à un verrouillage. Mailfence adopte la position inverse : vous pouvez exporter vos clés et vos messages à tout moment, ce qui laisse à votre cabinet le contrôle de sa propre correspondance.
Comme chaque message peut être signé, votre destinataire dispose systématiquement de la preuve qu’il provient bien de vous et qu’il n’a pas été altéré ; cette non-répudiation constitue le socle même du travail juridique.
RPVA : suffit-il à sécuriser vos e-mails avec vos clients ?
En France, la sécurité des échanges d’avocats évoque immédiatement le RPVA, le Réseau Privé Virtuel des Avocats. Lancé en 2005 par le Conseil national des barreaux et accessible via le portail e-Barreau, il est aujourd’hui obligatoire pour certaines procédures, en particulier les notifications et les transmissions de pièces entre confrères, conformément aux articles 748-1 et 850 du Code de procédure civile. Son accès repose sur la clé RPVA, une clé USB contenant votre signature électronique certifiée, à commander auprès de votre barreau pour un budget qui tourne autour de 140 à 190 euros.
Le RPVA sécurise deux circuits bien précis : entre avocats d’une part, et entre avocats et juridictions d’autre part, et c’est un outil solide sur ce terrain. Mais son périmètre s’arrête là : il ne couvre pas vos échanges avec vos clients, qui n’y ont tout simplement pas accès, il n’existe pas en version mobile et il ne remplace en rien votre messagerie professionnelle du quotidien. Tout ce qui sort de son champ d’action demeure soumis aux mêmes vulnérabilités qu’un e-mail classique, qu’il s’agisse de dossiers clients ou de pièces financières et médicales échangées par e-mail.
Autrement dit, le RPVA remplit très bien son rôle pour la communication procédurale entre professionnels du droit, mais les mails d’un cabinet d’avocats envoyés à un client, à un expert ou à un tiers extérieur au réseau restent soumis aux mêmes failles qu’un e-mail ordinaire. La bonne approche pour un cabinet français consiste donc à conserver le RPVA pour ses obligations procédurales, tout en le complétant par une messagerie chiffrée de bout en bout comme Mailfence pour sécuriser le reste de sa correspondance, à commencer par les échanges avec ses clients.
Comment mettre en place une messagerie sécurisée dans votre cabinet ?
Sécuriser la messagerie d’un cabinet d’avocats ne demande que quelques étapes :
- Choisissez un fournisseur OpenPGP dont les données sont hébergées dans l’UE
- Connectez le nom de domaine personnalisé de votre cabinet et configurez les protocoles SPF, DKIM et DMARC
- Générer et gérer vos clés depuis le trousseau intégré
- Synchroniser vos clients de messagerie existants (Outlook, Thunderbird, mobile) via IMAP, SMTP ou ActiveSync
- Activez l’authentification à deux facteurs sur chaque compte
- Convenir d’une règle par défaut pour l’équipe : signer systématiquement et chiffrer tout ce qui est sensible.
Vous pouvez ainsi sécuriser la messagerie de votre cabinet sans avoir à remplacer les outils que vos avocats utilisent déjà.
Conclusion
La sécurité d’une communication ne vaut jamais mieux que le canal qui la porte, et la meilleure messagerie sécurisée pour avocats protège le message de bout en bout tout en garantissant une transmission fluide jusqu’au client.
Mailfence apporte à votre cabinet une infrastructure de pointe, basée sur des standards :
- Chiffrement OpenPGP de bout en bout
- Signatures numériques pour l’intégrité et la non-répudiation
- Juridiction de l’UE conforme au RGPD
- Interopérabilité avec n’importe quel client de messagerie
- une option « marque blanche » pour créer votre propre réseau sécurisé
Mailfence – Votre suite de productivité sécurisée
Préservez votre confidentialité
- Messages
- Calendriers
- Documents
- Groupes
FAQ : l'e-mail avocat sécurisé en 4 questions
Gmail ou Outlook classiques sont-ils suffisamment sécurisés pour une correspondance avocat-client ?
Pas pour du contenu couvert par le secret professionnel. Ces messageries chiffrent le transport avec TLS, mais le fournisseur peut toujours lire le contenu, et le TLS ne tient que si le serveur du destinataire le prend en charge. Seul le chiffrement de bout en bout rend le contenu illisible pour tout intermédiaire.
Le chiffrement de mes e-mails suffit-il à satisfaire mes obligations déontologiques ?
C'est une preuve solide des efforts raisonnables déployés pour protéger les informations clients, le standard retenu par la plupart des règles de conduite. Les exigences variant selon les juridictions, mieux vaut le considérer comme une bonne pratique que comme une obligation universelle.
Puis-je envoyer un e-mail chiffré à un client qui ne dispose d’aucun outil de chiffrement ?
Oui. Mailfence propose un message chiffré par mot de passe que le destinataire ouvre dans son navigateur, ou un message OpenPGP s'il possède une clé, sans qu'aucun compte ne soit nécessaire dans les deux cas.
Où sont stockées les données de mon cabinet, et pourquoi cela compte-t-il ?
Mailfence opère sous le droit belge et le droit de l'UE, avec une protection de niveau RGPD. Pour un cabinet qui traite des données clients sensibles ou transfrontalières, la localisation des données fait partie des éléments de diligence à vérifier.
