PGP vs S/MIME — quel protocole de chiffrement d'e-mail utiliser ?

PGP et S/MIME sont antérieurs au web moderne. Les deux chiffrent et signent les e-mails. Les deux sont encore utilisés. La différence réside dans ce que vous confiez à la voix pour les clés — et cette seule distinction refaçonne tout le reste.

Modèle de confiance

PGP utilise un « réseau de confiance » — n'importe quel utilisateur peut signer la clé publique d'un autre. Pas d'autorité centrale. La confiance s'établit par échange direct ou transitivement via des personnes déjà connues.

S/MIME utilise une PKI centralisée — une Autorité de Certification émet votre certificat après vérification de votre identité. Les autres font confiance à votre signature parce que leur client fait confiance à la CA.

Différences pratiques

• Les clés PGP sont gratuites et auto-générées. Les certificats S/MIME coûtent 0 à 80 $/an et nécessitent une CA.
• PGP fonctionne avec n'importe quel client e-mail (ou application web). S/MIME nécessite un support natif (Apple Mail, Outlook).
• Les clés PGP durent des années et sont renouvelées par l'utilisateur. Les certificats S/MIME expirent annuellement.
• PGP chiffre uniquement le corps du message. S/MIME enveloppe l'e-mail entier avec certains en-têtes. L'objet est en clair pour les deux.

Sécurité

Les deux utilisent des algorithmes modernes et sont cryptographiquement solides. La dépendance de S/MIME envers les CA est un point de défaillance unique — une CA compromise peut émettre des certificats apparemment valides pour n'importe quelle adresse. Le réseau de confiance de PGP n'a pas de cible centrale.

PGP est plus vulnérable aux erreurs de gestion des clés — sans CA pour valider, les destinataires doivent vérifier les empreintes eux-mêmes.

Recommandation

• Utilisez PGP pour les utilisateurs techniques, journalistes, chercheurs en sécurité, mainteneurs open-source.
• Utilisez S/MIME dans les environnements d'entreprise où l'informatique émet des certificats, ou dans les secteurs réglementés.
• Vous pouvez utiliser les deux. La plupart des clients e-mail choisissent ce que le destinataire prend en charge.