WhatsApp Business : chiffrement de bout en bout ou pas ?

WhatsApp Business est-il chiffré de bout en bout ? Tout dépend de qui tient le côté entreprise de la conversation : un téléphone qui fait tourner l'application WhatsApp Business, ou Cloud API de Meta et les logiciels qui y sont branchés. Ce guide explique la différence entre chiffrement de bout en bout, chiffrement en transit et chiffrement au repos, compare WhatsApp, Instagram, Messenger, Telegram et Viber en septembre 2026, et montre comment tester les promesses de sécurité d'un éditeur.

Points clés

Le chiffrement de bout en bout (E2EE) est une question de détenteur des clés, pas de lieu de stockage : seuls les terminaux de la conversation peuvent déchiffrer le message.
L'API WhatsApp Business (Cloud API) n'est pas chiffrée de bout en bout selon la définition même de WhatsApp, parce que Meta héberge le terminal de l'entreprise et déchiffre les messages entrants avant de les transmettre.
Instagram a mis fin au chiffrement de bout en bout des messages privés le 8 mai 2026, et les conversations Messenger avec des entreprises ne prennent pas en charge le chiffrement de bout en bout.
Les conversations Telegram ne sont pas chiffrées de bout en bout par défaut ; seules les conversations secrètes, à activer soi-même, le sont. Viber exclut les chatbots et les comptes professionnels de son chiffrement de bout en bout par défaut.
Par conception, une plateforme de réponse automatique par IA doit lire les messages auxquels elle répond : elle ne peut donc pas être zero knowledge à leur sujet. Jugez les éditeurs sur le chiffrement des identifiants, le contrôle d'accès, la conservation et la suppression.

Chiffrement de bout en bout, au repos ou en transit : qui détient les clés

Le chiffrement en transit protège les données qui circulent entre deux systèmes, un téléphone et un serveur par exemple, généralement avec TLS. Chaque serveur qui les reçoit peut les déchiffrer.
Le chiffrement au repos protège les données stockées sur les disques, dans les bases de données ou dans les sauvegardes. Le service qui les stocke détient en général les clés et peut déchiffrer dès que son logiciel en a besoin.
Le chiffrement de bout en bout signifie que seuls les terminaux de la conversation détiennent les clés. Les serveurs intermédiaires ne relaient que du texte chiffré qu'ils ne peuvent pas lire.

Chiffrement en transit plus chiffrement au repos, ce n'est pas la même chose que le chiffrement de bout en bout. Cette combinaison laisse en général le fournisseur lire le contenu, parce que dans la plupart des architectures c'est lui qui contrôle ces clés. Le vrai test du chiffrement de bout en bout : quelqu'un d'autre que les terminaux peut-il déchiffrer le message ?

WhatsApp Business est-il chiffré de bout en bout ? Application ou Cloud API

L'application WhatsApp Business est chiffrée de bout en bout quand l'entreprise la fait tourner sur ses propres appareils, sans Cloud API en compagnon ni éditeur tiers connecté. L'API WhatsApp Business (Cloud API), elle, ne l'est pas, selon la définition même de WhatsApp.

Le livre blanc Encryption Overview de WhatsApp (mis à jour en février 2026) indique que les messages entre utilisateurs de WhatsApp, y compris les utilisateurs de l'application WhatsApp Business, utilisent le protocole Signal et comptent comme chiffrés de bout en bout, parce que chaque terminal est un appareil contrôlé par son utilisateur.

Toutes les conversations WhatsApp utilisent le même protocole Signal. Ce qui change l'étiquette « chiffré de bout en bout », c'est l'identité de celui qui exploite le terminal de l'entreprise. Cloud API est hébergée par Meta depuis 2021, et WhatsApp ne considère pas ces conversations comme chiffrées de bout en bout, parce que les messages ne sont pas remis directement à un terminal contrôlé par l'entreprise.

La documentation de Meta sur la confidentialité des données de Cloud API décrit le flux :

L'application du client et Cloud API, qui agit pour le compte de l'entreprise, négocient des clés Signal.
Cloud API déchiffre les messages entrants et les transmet à l'entreprise.
Pour les réponses, Cloud API chiffre le message avec Signal avant de le remettre au client.
Meta agit comme sous-traitant pour l'entreprise, stocke les messages Cloud API chiffrés au repos et les conserve 30 jours au maximum.

La documentation générale de Cloud API précise que les webhooks sont livrés en HTTPS, protégés par TLS.

WhatsApp Cloud API utilise donc bien le chiffrement Signal sur le réseau et chiffre les messages au repos ; simplement, ce n'est pas du bout en bout, puisque les serveurs de Meta manipulent le texte en clair pour le compte de l'entreprise. Pour les différences de fonctionnalités, voyez notre comparatif WhatsApp Cloud API et application Business.

WhatsApp Business est-il chiffré de bout en bout avec un éditeur, un lien compagnon ou une boîte de réception IA ?

Une conversation avec un compte de l'application WhatsApp Business n'est pas toujours chiffrée de bout en bout. Selon le livre blanc, elle perd ce statut quand :

L'entreprise relie Cloud API en compagnon de son application WhatsApp Business, ce qui est possible depuis 2024. Ces conversations en tête-à-tête sont partagées avec Meta pour traitement.
Un éditeur exploite l'API WhatsApp Business de l'entreprise. Cet éditeur a accès aux clés privées de l'entreprise, même quand cet éditeur est Meta : WhatsApp ne traite donc pas ces conversations comme chiffrées de bout en bout.

WhatsApp affiche au client un message système dans la conversation quand ce statut change. L'API On-Premises, dont les terminaux auto-hébergés comptaient comme chiffrés de bout en bout, a disparu : son dernier client, la v2.63, a expiré le 23 octobre 2025, et Meta oriente désormais les entreprises vers Cloud API.

En pratique, si vous répondez sur WhatsApp à grande échelle via une API, un Business Solution Provider ou une boîte de réception IA pour WhatsApp, vos conversations ne font pas partie de celles que WhatsApp classe comme chiffrées de bout en bout.

Ce qui se passe quand un chatbot IA ou un CRM lit vos messages WhatsApp

Un chatbot IA peut-il lire des messages chiffrés de bout en bout ? Uniquement s'il se trouve à un terminal qui reçoit le texte déchiffré. Avec Cloud API, le trajet ressemble à ceci :

Le téléphone du client chiffre le message avec Signal.
Cloud API de Meta le déchiffre pour l'entreprise.
Un webhook le livre en TLS à la plateforme de l'entreprise : un CRM, un outil de support ou une boîte de réception IA.
La plateforme stocke la conversation et transmet le texte à un modèle d'IA pour rédiger ou envoyer une réponse.

À l'étape 4, le message est lisible dans les systèmes de l'éditeur, quel que soit le chiffrement au repos que celui-ci applique. Deux choses sont vraies en même temps : la conversation est chiffrée sur le réseau, et votre CRM peut la lire.

Messages privés Instagram après le 8 mai 2026 : plus de chiffrement de bout en bout

Les messages privés Instagram sont-ils chiffrés de bout en bout en 2026 ? Non. Selon le centre d'aide Instagram, Instagram abandonne le chiffrement de bout en bout des messages privés : la prise en charge de la messagerie chiffrée de bout en bout a pris fin le 8 mai 2026. La fonctionnalité a toujours été optionnelle, activée conversation par conversation, et n'a jamais été le réglage par défaut. Meta a renvoyé vers WhatsApp les utilisateurs qui veulent du chiffrement de bout en bout.

Si vous faites tourner des réponses IA sur Instagram, considérez ces messages privés comme non chiffrés de bout en bout.

Facebook Messenger : conversations personnelles et conversations avec des entreprises

Meta a commencé à déployer le chiffrement de bout en bout par défaut pour les conversations et les appels personnels en tête-à-tête sur Messenger le 6 décembre 2023. Le centre d'aide Messenger liste les produits qui ne prennent pas en charge le chiffrement de bout en bout aujourd'hui, dont les conversations avec des entreprises, les comptes qui utilisent les outils de messagerie professionnelle et les conversations Marketplace.

Le chiffrement de bout en bout de Messenger ne couvre donc pas la conversation d'un client avec une page Facebook qui utilise une boîte de réception ou un chatbot.

Telegram : conversations cloud, conversations secrètes et bots

Telegram est-il chiffré de bout en bout par défaut ? Non. La FAQ de Telegram décrit deux types de conversations :

Les conversations cloud, le mode par défaut, utilisent un chiffrement client-serveur et sont stockées chiffrées sur les serveurs de Telegram, ce qui leur permet de se synchroniser entre appareils.
Les conversations secrètes de Telegram utilisent le chiffrement de bout en bout. Elles sont en tête-à-tête, liées à des appareils précis, ne se synchronisent pas et ne sont pas le mode par défaut.

Les bots fonctionnent dans les conversations cloud. La Bot API officielle liste les types de conversation private, group, supergroup et channel, sans aucun type « conversation secrète ». Depuis le lancement de Telegram Business en mars 2024, les entreprises peuvent connecter des bots qui répondent aux messages en leur nom, mais ces conversations de bot ne sont pas des conversations secrètes.

Conversations privées Viber et comptes professionnels Viber

La politique de confidentialité de Viber indique que le chiffrement de bout en bout protège les appels et les messages en tête-à-tête, les messages de groupe, le partage de médias privés et les appareils liés, et Viber affirme qu'il est actif par défaut. L'exception qui compte pour les entreprises figure dans les conditions relatives aux contenus publics de Viber : les contenus des Communautés, des Chaînes, des Chatbots et des Comptes professionnels ne sont pas chiffrés de bout en bout, et Viber les stocke.

Le chiffrement canal par canal : tableau comparatif (septembre 2026)

Canal	Chiffrement de bout en bout par défaut (conversations personnelles)	Chiffrement de bout en bout des conversations pro ou bot	Qui peut traiter les messages de l'entreprise	Source
Application WhatsApp Business (sans API, sans éditeur)	Oui (Signal)	Oui	Les appareils de l'entreprise	Livre blanc WhatsApp
WhatsApp Cloud API ou API exploitée par un éditeur	Oui (Signal)	Non	Meta comme sous-traitant, l'entreprise, les plateformes connectées	Livre blanc WhatsApp, documentation Meta
Messages privés Instagram	Non (le chiffrement optionnel a pris fin le 8 mai 2026)	Non	Meta, l'entreprise, les outils connectés	Centre d'aide Instagram
Facebook Messenger	Déploiement par défaut depuis déc. 2023 (tête-à-tête personnel)	Non	Meta, l'entreprise, les outils connectés	Centre d'aide Messenger
Telegram	Non (les conversations secrètes sont à activer)	Non (les conversations de bot sont des conversations cloud)	Les serveurs de Telegram, l'opérateur du bot	FAQ Telegram, Bot API
Viber	Oui	Non (chatbots, comptes professionnels)	Viber, les administrateurs de l'entreprise	Politique de confidentialité et conditions Viber

Pourquoi les plateformes de réponse automatique par IA ne peuvent pas être zero knowledge

Le chiffrement zero knowledge signifie qu'un fournisseur stocke vos données sans jamais détenir les clés qui permettent de les déchiffrer : il ne peut donc pas lire le contenu.

Un produit de réponse automatique par IA fonctionne exactement à l'inverse, par conception. Pour répondre à « Est-ce que vous livrez à Erbil demain ? », le modèle doit lire la question en clair, consulter votre base de connaissances et rédiger une réponse. La logique est directe : un système qui lit les messages pour y répondre peut toujours les lire.

Un éditeur qui vante une « boîte de réception IA zero knowledge » ou un « chatbot IA chiffré de bout en bout » force le sens des mots, ou bien ne fait pas tourner d'IA sur vos messages. Les questions utiles portent sur la limitation de qui et de quoi peut atteindre les données lisibles.

Comment évaluer les promesses de chiffrement d'un éditeur

Signaux d'alerte :

« Chiffré de bout en bout » appliqué à un chatbot IA ou à une boîte de réception WhatsApp Cloud API.
« Toutes les données sont chiffrées », sans liste de ce qui est chiffré ni indication de qui détient les clés.
« Niveau militaire » ou « niveau bancaire », sans algorithme, sans périmètre, sans détail sur la gestion des clés.
Des badges de certification sans certificat ni rapport d'audit que vous puissiez demander.

Questions à poser :

Quels champs sont chiffrés au niveau applicatif, et avec quel algorithme ?
Les tokens d'accès aux canaux et les clés des fournisseurs d'IA sont-ils chiffrés, et où la clé est-elle conservée ?
Le contenu des messages est-il chiffré au niveau applicatif, ou seulement les identifiants et certains champs ?
Quels membres de vos équipes peuvent consulter les conversations de nos clients, et cet accès est-il journalisé ?
Combien de temps les messages sont-ils conservés, et que supprime réellement la suppression d'un compte ?
Quels fournisseurs d'IA reçoivent le texte des messages, et sous quelles conditions d'utilisation des données ?

Ce que Raabt chiffre et sécurise aujourd'hui

Raabt est une plateforme de réponse automatique par IA : la même logique nous est donc applicable, puisque notre IA lit le texte des messages pour rédiger une réponse. Autrement dit, Raabt n'est pas chiffrée de bout en bout, et selon la définition ci-dessus aucune boîte de réception IA ne peut l'être. Voici ce qui est en place aujourd'hui :

Chiffrement au niveau du champ : les identifiants, les tokens et certaines coordonnées (téléphone, e-mail, adresse) sont chiffrés avec AES-256-GCM, à l'aide d'une clé dérivée via HKDF-SHA256. Cela couvre les tokens d'accès des canaux connectés pour Facebook, Instagram, WhatsApp et Telegram, ainsi que les clés API des fournisseurs d'IA. L'application refuse de démarrer sans une clé d'au moins 32 caractères.
Mots de passe et codes : les mots de passe sont hachés avec Argon2id, les secrets des clés API partenaires ne sont stockés que sous forme d'empreintes SHA-256, et les codes à usage unique ne sont stockés que sous forme d'empreintes HMAC-SHA256.
Connexion : les connexions par e-mail et mot de passe exigent un code à usage unique envoyé à votre adresse e-mail avant l'ouverture d'une session.
Accès de l'équipe : quatre rôles (owner, admin, agent, viewer) avec des permissions par section, et les endpoints d'entreprise vérifient d'abord que l'appelant est un membre actif de cette entreprise.
Webhooks et médias : les webhooks Meta sont rejetés si leur signature X-Hub-Signature-256 n'est pas valide, les webhooks Telegram exigent un token secret, et les pièces jointes ne sont servies que par des URL signées en HMAC qui expirent.
Suppression : Raabt prend en charge le callback de suppression de données de Meta, avec un lien de statut sur la page de suppression des données. La suppression d'un compte exige votre mot de passe et un code envoyé par e-mail ; le compte est immédiatement désactivé et son adresse e-mail anonymisée.

Questions fréquentes

L'API WhatsApp Business est-elle chiffrée de bout en bout ?

Non. Le livre blanc de WhatsApp indique que les conversations avec des entreprises qui utilisent Cloud API ne sont pas considérées comme chiffrées de bout en bout, parce que Meta héberge le terminal. Les messages voyagent tout de même jusqu'à Meta avec le chiffrement Signal, et Meta les déchiffre puis les transmet à l'entreprise en TLS.

Meta peut-il lire les messages de l'API WhatsApp Business ?

Cela dépend de la configuration. Avec Cloud API, oui : les serveurs de Meta déchiffrent les messages en tant que sous-traitant de l'entreprise, les stockent chiffrés au repos et les conservent jusqu'à 30 jours. Avec l'application WhatsApp Business, sans lien Cloud API ni éditeur tiers, non : les conversations sont chiffrées de bout en bout entre les appareils.

Un chatbot IA peut-il lire des messages chiffrés de bout en bout ?

Uniquement lorsqu'il reçoit le message déchiffré à un terminal. Sur WhatsApp Cloud API, Instagram, les conversations professionnelles Messenger, les bots Telegram et les chatbots Viber, le côté entreprise n'est pas chiffré de bout en bout : l'IA travaille donc sur du texte lisible.

Quelle différence entre chiffrement de bout en bout et chiffrement au repos ?

Le chiffrement au repos protège les données stockées, et le service qui les stocke détient en général les clés. Le chiffrement de bout en bout garde les clés uniquement sur les terminaux de la conversation : le fournisseur qui relaie le message ne peut donc pas le lire.

Telegram est-il chiffré de bout en bout par défaut ?

Non. Les conversations cloud, le mode par défaut, utilisent un chiffrement client-serveur et sont stockées chiffrées sur les serveurs de Telegram. Seules les conversations secrètes, en tête-à-tête et qu'il faut lancer volontairement, sont chiffrées de bout en bout, et les conversations de bot ne sont pas des conversations secrètes.

Les messages privés Instagram sont-ils encore chiffrés de bout en bout en 2026 ?

Non. Instagram a cessé de prendre en charge la messagerie chiffrée de bout en bout le 8 mai 2026, et cela n'a jamais été le réglage par défaut : considérez donc les messages privés avec des comptes professionnels comme non chiffrés de bout en bout.

Prêt à automatiser vos réponses avec des tokens de canaux chiffrés en AES-256-GCM ? Commencer gratuitement.