Vous avez probablement croisé Box au travail : c'est l'un des grands noms de la gestion de contenu cloud pour l'entreprise, pensé autour de la collaboration, des flux de travail et du contrôle d'administration. Mais « utilisé par de grandes entreprises » n'est pas synonyme de « privé ». La vraie question est donc : Box est-il réellement sécurisé, et sécurisé vis-à-vis de qui ? Ce guide donne une réponse honnête et montre comment rendre vos fichiers vraiment privés.
Ce que Box protège vraiment
Box prend au sérieux la sécurité de base, et face aux menaces externes il est solide.
- Chiffrement en transit et au repos - les fichiers transitent en TLS et sont stockés chiffrés en AES-256 sur les serveurs de Box.
- Double authentification et SSO - Box gère la 2FA et le single sign-on d'entreprise (SAML), ce qui complique fortement la prise de contrôle d'un compte.
- Contrôles d'administration fins - les administrateurs fixent les permissions de dossiers, les liens partagés expirants, la confiance des appareils et des politiques d'accès très précises.
- Lourde conformité - Box affiche des certifications comme HIPAA, FedRAMP, PCI DSS, ISO 27001 et un alignement RGPD, une grande raison de son adoption dans les secteurs régulés.
Les extras entreprise : KeySafe et Shield
Deux options payantes poussent Box plus loin que la plupart des clouds grand public. Box KeySafe permet à une organisation de gérer ses propres clés de chiffrement (adossées à un service de gestion de clés) et d'obtenir une piste d'audit de chaque usage de clé - utile pour la conformité et pour révoquer un accès. Box Shield ajoute la détection de menaces, des alertes d'anomalie et des contrôles d'accès par classification. Ce sont de véritables atouts d'entreprise.
Le bémol vie privée : Box n'est pas zero-knowledge
Voici la limite honnête. Par défaut, Box détient les clés de chiffrement. C'est ce qui permet la recherche, les aperçus, le partage et la récupération par l'administrateur - mais cela signifie aussi que Box peut techniquement lire votre contenu, et en tant qu'entreprise américaine il peut être contraint de livrer des données lisibles au titre de lois comme le CLOUD Act. « Chiffré » veut dire ici chiffré contre les tiers, pas contre le fournisseur.
Même KeySafe ne rend pas Box zero-knowledge : les clés servent toujours à traiter vos fichiers côté Box. C'est différent du chiffrement côté client, zero-knowledge, où le fournisseur ne voit jamais que du texte chiffré et ne détient jamais de clé utilisable.
Comment rendre des fichiers vraiment privés sur Box
Si vous voulez des fichiers que personne d'autre que vous ne peut ouvrir, gardez la clé sur votre appareil :
- Chiffrez avant l'envoi avec un outil gratuit et open-source comme Cryptomator. Il crée un coffre chiffré dans votre dossier Box : seul du texte chiffré est envoyé et vous seul détenez le mot de passe.
- Utilisez un fournisseur zero-knowledge pour vos données les plus sensibles, où le chiffrement côté client est le défaut et non une option.
Plutôt du zero-knowledge ? pCloud + Crypto
Juridiction suisse · Chiffrement côté client avec l'option Crypto · Offres à vie
En résumé
Box est une plateforme réellement sécurisée et prête pour la conformité, taillée pour la collaboration en entreprise, et face aux attaquants externes il tient bien. Ce qu'il n'est pas, par défaut, c'est privé vis-à-vis de Box lui-même : le fournisseur détient les clés et répond à la juridiction américaine. Si cela compte pour un fichier donné, chiffrez-le côté client avant qu'il n'atteigne Box, ou stockez-le chez un service zero-knowledge - alors « sécurisé » et « privé » veulent enfin dire la même chose.
Questions fréquentes
- Box est-il sécurisé ?
- Face aux attaquants externes, oui, Box est l'un des clouds grand public les plus sûrs : il chiffre les fichiers en transit (TLS) et au repos (AES-256), gère l'authentification à deux facteurs et le SSO, propose des permissions d'administration fines et affiche de lourdes certifications (HIPAA, FedRAMP, ISO 27001, RGPD). Le bémol : c'est « sécurisé contre les tiers », pas « privé vis-à-vis de Box ». Par défaut Box détient les clés de chiffrement, il peut donc techniquement accéder à votre contenu et être contraint de livrer des données lisibles selon la loi américaine. Pour la collaboration en entreprise c'est solide ; pour des données que vous seul devez pouvoir lire, ce n'est pas du zero-knowledge.
- Box utilise-t-il le chiffrement de bout en bout ?
- Non, pas par défaut. Box chiffre les données en transit et au repos, et c'est Box qui gère les clés : le modèle est donc un chiffrement côté serveur, pas de bout en bout. Cela protège contre l'interception et le vol de disque, mais comme Box détient les clés, lui (et quiconque l'y contraint légalement) peut accéder au contenu. Le vrai chiffrement de bout en bout ou zero-knowledge, où vous seul détenez la clé, n'est pas le défaut de Box. Vous pouvez l'ajouter en chiffrant vos fichiers localement avant l'envoi.
- Box est-il zero-knowledge ?
- Non. Même avec son option entreprise de gestion des clés (KeySafe), les clés servent à traiter votre contenu côté Box : Box n'est donc pas un service zero-knowledge comme le sont pCloud Crypto, Tresorit ou un coffre Cryptomator. KeySafe donne à une organisation plus de contrôle et une piste d'audit sur l'usage des clés, ce qui est précieux pour la conformité, mais ce n'est pas du chiffrement côté client où le fournisseur ne voit jamais de clé utilisable ni votre contenu en clair.
- Box est-il conforme HIPAA et RGPD ?
- Box est largement utilisé dans les secteurs régulés et prend en charge la conformité à des cadres comme HIPAA, FedRAMP, PCI DSS, ISO 27001 et le RGPD, et il signe un accord de sous-traitance (BAA) pour les clients de santé. Mais « prêt pour la conformité » n'est pas « privé par conception » : ces cadres régissent la manière dont les données sont traitées et protégées, pas la capacité du fournisseur à les lire. Box le peut, sauf si vous chiffrez côté client d'abord.
- Comment rendre des fichiers vraiment privés sur Box ?
- Chiffrez-les vous-même avant qu'ils n'atteignent Box. Un outil gratuit et open-source comme Cryptomator crée un coffre chiffré dans votre dossier Box : seul du texte chiffré est envoyé et vous seul détenez la clé. Autre option, pour des données vraiment sensibles : un fournisseur zero-knowledge dont le chiffrement côté client est le défaut. Dans les deux cas, le but est le même : la clé ne quitte jamais votre contrôle.
Un cloud chiffré pour tes fichiers → pCloud
Basé en Suisse · option Crypto côté client · offres à vie
