La France renonce aux portes dérobées dans WhatsApp et Signal : ce que change la loi résilience

Vos conversations WhatsApp, Signal ou Telegram vont-elles rester privées ? Lundi 9 novembre 2026, le gouvernement a apporté une réponse claire, au moins pour les prochains mois. En ouverture de l'examen du projet de loi résilience à l'Assemblée nationale, la ministre déléguée chargée du numérique, Anne Le Hénanff, s'est engagée à ne pas imposer de porte dérobée aux messageries chiffrées. Une porte dérobée, c'est un accès caché qui permettrait aux autorités de lire des messages chiffrés. La promesse vaut jusqu'à la fin de la session parlementaire. Dans le même temps, le gouvernement soutiendra la suppression de l'article 16 bis, qui devait interdire ces accès dans la loi. Une décision qui soulage les défenseurs du chiffrement, mais seulement pour quelques mois.

Ce que le gouvernement a promis lundi

Le projet de loi résilience arrive ce lundi 9 novembre dans l'hémicycle de l'Assemblée nationale. Le texte transpose trois directives européennes, dont la directive NIS2 sur la sécurité des réseaux. La France accuse un retard important : la date limite de transposition de NIS2 était fixée au 17 octobre 2024, et celle du règlement DORA au 17 janvier 2025, et la France est poursuivie devant la justice européenne pour ce retard. Près de 400 amendements doivent être examinés. Dans ce contexte, la question des messageries chiffrées s'est imposée comme le point le plus sensible du texte.

Anne Le Hénanff a pris la parole en première pour présenter le projet de loi. Elle a affirmé que le gouvernement ne réintroduirait pas le mécanisme d'accès forcé aux messages chiffrés, et qu'il ne soutiendrait pas non plus une réintroduction par d'autres voies. L'engagement court jusqu'à la fin de la session parlementaire, et l'exécutif soutiendra la suppression de l'article 16 bis. Selon le rapporteur, les débats sur ce sujet devraient se tenir mardi après-midi. Le Monde, cité par le site spécialisé Next.ink, rapporte que le gouvernement a choisi de suivre les préconisations du rapport Boudié.

D'où vient ce débat sur les portes dérobées

Tout remonte à la loi narcotrafic de 2025. Un amendement du Sénat, soutenu à l'époque par le gouvernement, voulait obliger WhatsApp, Signal, Telegram, Messenger et la messagerie française Olvid à remettre aux autorités les messages de personnes surveillées, même chiffrés. Les sénateurs ont ensuite inscrit dans le projet de loi résilience un article 16 bis qui interdit d'imposer ce type d'accès.

Le texte s'est retrouvé bloqué pendant plus d'un an après son vote en commission en septembre 2025. Pour sortir de l'impasse, le gouvernement a confié en janvier une mission au député Florent Boudié. Prévue pour trois mois, elle en a duré huit. Dans son rapport, il conseille d'abandonner les portes dérobées et de supprimer l'article 16 bis, tout en demandant à l'État de réfléchir à un accès ciblé qui n'affaiblirait pas le chiffrement. Le chef de l'ANSSI a rappelé que ces mesures auraient permis d'éviter une bonne partie des fuites de données subies par l'administration ces derniers mois.

L'article 16 bis, au coeur du désaccord

L'article 16 bis, introduit par le Sénat, pose un principe simple : il ne peut pas être imposé aux fournisseurs de services de chiffrement d'intégrer des dispositifs qui affaibliraient volontairement la sécurité de leurs systèmes, comme des clés de déchiffrement maîtresses ou tout autre mécanisme permettant un accès non consenti aux données protégées.

Le gouvernement estime pourtant que cette rédaction pose problème : selon l'exécutif, elle pourrait perturber les techniques d'enquête déjà autorisées et présenter un risque pour la sécurité nationale. C'est pour cette raison qu'il soutient sa suppression, alors même qu'il renonce à imposer des portes dérobées. La protection inscrite dans la loi disparaît donc, remplacée par une promesse politique valable quelques mois.

Le président de la commission spéciale, Philippe Latombe, a souligné que le texte ne se résume pas à l'article 16 bis. Le chiffrement de bout en bout signifie que seuls les participants à une conversation disposent des moyens de lire leurs échanges : ni WhatsApp, ni Signal, ni Telegram ne peuvent lire le contenu des messages qui transitent par leurs serveurs.

Ce que la loi résilience va changer d'autre

Au-delà des messageries, le projet de loi concerne la résilience des infrastructures critiques et le renforcement de la cybersécurité. Il transpose les directives NIS2 et REC ainsi que le règlement DORA pour le secteur financier. Jusqu'à 15 000 organisations pourraient être concernées en France, selon les estimations citées dans la presse, et les opérateurs devront renforcer la protection de leurs systèmes et signaler les incidents de sécurité.

Le texte arrive après une série de fuites de données à répétition qui ont touché des administrations et des entreprises françaises. Déposé au Sénat en octobre 2024, il a connu de nombreux reports depuis. Son examen à l'Assemblée marque donc une étape attendue, avec un vote qui reste à programmer.

Ce que cela change pour vos messages

Concrètement, rien ne change dans vos applications pour l'instant : WhatsApp, Signal et Telegram continuent de chiffrer vos messages de bout en bout, et aucune porte dérobée ne sera imposée pendant la session parlementaire en cours.

La prudence reste de mise : l'engagement du gouvernement a une date de fin. Une fois la session terminée, rien n'empêche en théorie un retour du débat, et la suppression de l'article 16 bis enlève une protection inscrite dans la loi. Pour les utilisateurs, la leçon est simple : le chiffrement de bout en bout reste la meilleure protection pour des conversations privées. Vérifiez que vos applications sont à jour et activez la vérification en deux étapes sur vos comptes.

Frequently Asked Questions

Le gouvernement peut-il encore imposer une porte dérobée plus tard ?

Oui, en théorie. L'engagement vaut jusqu'à la fin de la session parlementaire, et la suppression de l'article 16 bis retire la protection que les sénateurs avaient inscrite dans la loi. Après cette date, un nouveau texte pourrait rouvrir le débat. C'est pour cela que les défenseurs du chiffrement parlent d'un recul en demi-teinte.

Qu'est-ce qu'une porte dérobée dans une messagerie ?

C'est un mécanisme caché qui permettrait à un tiers, par exemple une autorité, d'accéder à des messages chiffrés sans le consentement des participants. Les spécialistes estiment qu'une telle porte affaiblit la sécurité de tous les utilisateurs, car elle peut être découverte et exploitée par des attaquants.

La loi résilience concerne-t-elle uniquement les messageries ?

Non. Le texte transpose les directives européennes NIS2 et REC ainsi que le règlement DORA, et il vise la résilience des infrastructures critiques dans de nombreux secteurs. Jusqu'à 15 000 organisations pourraient être concernées en France. Les messageries ne représentent qu'un article du projet de loi, même si c'est le plus débattu.