Gmail est difficile à pirater. Google affirme bloquer plus de 99,9\u00a0% des indésirables/spam, des tentatives d’hameçonnage et des logiciels malveillants avant qu’ils ne vous parviennent, et une clé d’accès ou une clé de sécurité rend votre compte très difficile à voler. Gmail est donc sécurisé contre de nombreuses menaces courantes, mais pas nécessairement privé.
La sécurité et le respect de la vie privée répondent à des questions différentes\u00a0:
- La sécurité consiste à déterminer si un criminel peut accéder à votre boite de réception.
- Le respect de la vie privée consiste à déterminer qui d’autre peut lire vos messages, y compris l’entreprise qui exploite le service.
Gmail n’est pas chiffré de bout en bout par défaut, ce qui signifie que les messages ne sont pas chiffrés de manière à ne pouvoir être déchiffrés que par vous et le destinataire. Google détient les clés de vos messages stockés, traite leur contenu pour faire fonctionner le filtre anti-indésirables/spam ainsi que des fonctionnalités comme Smart Compose, et associe votre compte au même profil Google qui alimente son activité publicitaire. En bref\u00a0: Gmail est relativement sécurisé, mais ce n’est pas une boite mail privée.
- Est-ce que Gmail est chiffré\u00a0?
- Est-ce que Gmail est sécurisé\u00a0?
- Est-ce que Gmail est une boite mail privée\u00a0?
- Comment rendre Gmail plus sécurisé et privé
- Une alternative plus sûre à Gmail
Est-ce que Gmail est chiffré\u00a0?
Oui, mais pas de bout en bout. Gmail standard utilise TLS en transit et le chiffrement au repos. Les clients professionnels de certains abonnements payants Google Workspace peuvent ajouter des options plus robustes.
| Type de chiffrement | Ce qu’il protège | Disponible sur | Google peut-il lire le message\u00a0? |
|---|---|---|---|
| TLS | Messages transitant entre les serveurs de messagerie, lorsque l’autre serveur le prend en charge | Tous les comptes | Oui |
| Chiffrement au repos | Messages stockés, contre le vol de disques durs et certaines attaques visant l’infrastructure | Tous les comptes | Oui |
| S/MIME hébergé | Messages échangés entre utilisateurs disposant tous deux de certificats S/MIME | Abonnements Enterprise Plus, Frontline Plus et Education | Oui\u00a0: les certificats et les clés privées sont importés dans Gmail |
| Chiffrement côté client (CSE) | Message chiffré dans le navigateur avec des clés contrôlées par l’organisation | Abonnements Enterprise Plus, Frontline Plus, Education Standard et Plus | Non, mais l’organisation peut le faire. |
Dans Gmail personnel, un véritable chiffrement de bout en bout nécessite une extension PGP tierce, comme Mailvelope, et votre destinataire doit également utiliser PGP (logiciel conforme à OpenPGP, une norme ouverte pour le chiffrement de bout en bout).
Le mode confidentiel de Gmail chiffre-t-il les messages\u00a0?
Non. Le mode confidentiel permet de définir une date d’expiration, de révoquer l’accès, d’exiger un code d’accès SMS et d’empêcher les destinataires de transférer, copier, imprimer ou télécharger un message. Les destinataires peuvent toujours faire des captures d’écran ou prendre des photos de vos messages. Le mode confidentiel limite ce que le destinataire peut faire, mais ne garde pas le message privé vis-à-vis de Google.
Gmail est-il sécurisé ?
Oui\u00a0: face aux mots de passe volés, à l’hameçonnage, aux indésirables/spam et aux logiciels malveillants, Gmail fait partie des services de messagerie les plus robustes disponibles, surtout lorsque vous remplacez votre mot de passe par une clé d’accès ou une clé de sécurité. Voici pourquoi\u00a0:
Chiffrement en transit et au repos
Gmail chiffre les messages avec TLS (Transport Layer Security) pendant leur transit entre les serveurs de messagerie. Vos messages sont donc protégés en transit tant que le fournisseur de messagerie situé à l’autre bout de la ligne prend également en charge TLS. Si vous voyez une icône de cadenas ouvert rouge à côté d’un message, cela signifie que le message n’est pas chiffré.
Une fois que votre message arrive sur les serveurs de Google, il est chiffré au repos. Le livre blanc sur le chiffrement(nouvelle fenêtre) de Google Workspace indique que les messages et pièces jointes de Gmail sont chiffrés avec AES, au moyen d’une clé de 128\u00a0bits ou plus, générée et gérée par Google.
Ces deux protections empêchent les personnes extérieures, comme quelqu’un qui intercepte une liaison réseau ou vole un disque dur dans un centre de données. Cependant, comme Google détient les clés, il conserve un accès technique à vos messages. C’est la différence avec le chiffrement de bout en bout, où seuls l’expéditeur et le destinataire peuvent déchiffrer le message.
Authentification à deux facteurs et clés d’accès
Google prend en charge l’authentification à deux facteurs (A2F). Vous pouvez confirmer les connexions avec une invite Google sur votre téléphone, une application d’authentification, une clé d’accès, une clé de sécurité physique ou un code envoyé par SMS ou par appel. Les codes de vérification envoyés par SMS ou par appel sont vulnérables aux attaques fondées sur le numéro de téléphone, et un porte-parole de Gmail a indiqué à Forbes en février 2025(nouvelle fenêtre) que Google souhaite «\u00a0s’éloigner de l’envoi de messages SMS pour l’authentification\u00a0». Les clés d’accès, option de connexion par défaut de Google, sont plus robustes, car elles peuvent résister aux attaques en ligne comme l’hameçonnage.
Pour les personnes exposées à un risque élevé, Google propose le programme Advanced Protection. Il exige une clé d’accès ou une clé de sécurité pour se connecter, n’autorise que les applications Google et les applications tierces vérifiées à accéder aux données de votre compte, et effectue des contrôles plus stricts sur les téléchargements. Il ne modifie pas la manière dont Gmail chiffre les messages, de sorte que Google peut toujours lire vos messages.
Protection contre les indésirables/spam, l’hameçonnage et les logiciels malveillants
Gmail filtre automatiquement les messages entrants. L’entreprise indique qu’il bloque près de 10 millions de messages indésirables/spam chaque minute, et qu’un nouveau modèle d’IA introduit fin 2024 bloque 20\u00a0% de spams en plus qu’auparavant. Gmail fait aussi les choses suivantes\u00a0:
- Refuse les types de pièces jointes à risque, comme les fichiers exécutables, et vous avertit avant de télécharger une pièce jointe dangereuse.
- Affiche des bannières d’avertissement sur les messages suspects, les contenus dangereux et les liens trompeurs.
- Exige que les expéditeurs de messages à destination de Gmail authentifient leur domaine à l’aide de SPF ou de DKIM, envoient via TLS et maintiennent un taux d’indésirables/spam inférieur à 0,3\u00a0%. Les expéditeurs envoyant plus de 5\u00a0000 messages par jour doivent également utiliser à la fois SPF et DKIM, ainsi que DMARC et la possibilité de se désabonner en un clic. Les messages qui ne respectent pas ces exigences sont rejetés ou placés dans le dossier des indésirables/spam.
- Affiche un logo vérifié (Brand Indicator for Message Identification, ou BIMI), qui ressemble à une coche bleue, à côté des marques ayant vérifié leur domaine et leur logo. Cela rend l’usurpation d’identité plus difficile.
Les filtres réduisent le risque, mais ne le retirent pas complètement. Microsoft a détecté environ 8,3 milliards de menaces de hameçonnage par message(nouvelle fenêtre) au cours du premier trimestre 2026, et des attaquants ont exploité les propres systèmes de Google\u00a0: en avril 2025, des hameçonneurs ont envoyé de fausses alertes(nouvelle fenêtre) depuis no-reply@google.com, qui ont passé les contrôles d’authentification de Gmail.
Le filtre anti-indésirables/spam de Gmail comporte aussi des exceptions, et Google décide qui en bénéficie. Depuis septembre 2026, le Gmail Verified Sender Program permet aux comités politiques américains enregistrés de contourner le filtre si leurs messages sont envoyés depuis des domaines vérifiés et si leur taux de plaintes reste inférieur à 0,3\u00a0%. Les messages politiques que Gmail aurait auparavant classés comme indésirables/spam arrivent désormais dans votre boite de réception, et il vous revient de les filtrer à nouveau.
Fonctionnalités de sécurité du compte
Les outils de compte de Google détectent tôt de nombreuses tentatives de prise de contrôle” +
Contrôle de sécurité propose des recommandations personnalisées, comme retirer les anciens appareils ou ajouter une méthode de récupération.
Les alertes de sécurité vous informent par téléphone ou par e-mail si quelqu’un se connecte à un nouvel appareil ou si votre compte envoie un nombre inhabituel de messages. Les escrocs imitent ces alertes ațional : en 2024, de fausses invites de récupération associées à des appels vocaux générés par IA(nouvelle fenêtre) ont permis de prendre le contrôle de comptes. Pour vérifier une alerte, ouvrez directement votre compte Google au lieu de cliquer sur ses liens.
La gestion des appareils permet de voir tous les appareils connectés et de se déconnecter à distance. Utilisez-la après toute alerte liée à un logiciel malveillant : en 2024, des chercheurs(nouvelle fenêtre) ont découvert des logiciels espions voleurs d’informations qui conservaient l’accès aux comptes Google même après une réinitialisation du mot de passe, en réutilisant des jetons de session volés. Google indique que se déconnecter du navigateur concerné, ou le révoquer depuis la page des appareils, coupe cet accès.
Téléphone et adresse e-mail de récupération aident à retrouver l’accès à votre compte si vous êtes bloqué.
Navigation sécurisée renforcée offre une protection accrue contre l’hameçonnage et les logiciels malveillants dans Chrome et Gmail.
Incidents et attaques de sécurité liés à Gmail
Voici quelques incidents de sécurité connus concernant Gmail. Notez que ces incidents ont commencé du côté des utilisateurs, par hameçonnage, logiciels malveillants ou mots de passe divulgués, et non à cause d’une fuite de données dans les systèmes de Google.
-
An
- En janvier 2026, un chercheur a découvert une base de données exposée contenant 149 millions d’identifiants volés(nouvelle fenêtre), dont environ 48 millions concernant Gmail. Google a indiqué que ces identifiants avaient été collectés par des logiciels malveillants sur les appareils des utilisateurs, et non dérobés chez Google.
- En août 2025, des pirates connus sous le nom de ShinyHunters ont dérobé des données d’une base de données Salesforce de Google : des informations de contact et des notes sur des petites et moyennes entreprises. Aucune donnée Gmail n’était concernée.
- En juillet 2025, des chercheurs(nouvelle fenêtre) ont montré qu’un texte caché dans un message pouvait amener la fonction « Résumer cet e-mail » de Gemini à afficher un faux avertissement de sécurité.
- En avril 2025, des hameçonneurs ont envoyé de fausses alertes(nouvelle fenêtre) depuis no-reply@google.com, qui ont franchi les contrôles d’authentification de Gmail, menant vers une fausse page de support hébergée sur Google Sites.
- En octobre 2024, des escrocs ont utilisé des appels vocaux générés par IA se faisant passer pour le support Google(nouvelle fenêtre), ainsi que de fausses invites de récupération de compte, pour prendre le contrôle de comptes Gmail.
- Entre octobre et décembre 2018, deux bugs de Google+ ont exposé les données de profil de jusqu’à 500 000 utilisateurs, puis de 52,5 millions d’utilisateurs. Google a mis fin à Google+ et restreint l’accès des tiers à Gmail.
Gmail est-il privé ?
Pas vraiment. Gmail vous protège bien contre les personnes extérieures, mais Google peut lui-même accéder à vos messages, collecter des données sur votre utilisation et relier ces données à votre compte Google. Les fournisseurs de messagerie respectueux de la vie privée qui utilisent le chiffrement de bout en bout et le chiffrement à accès zéro sont conçus pour ne pas pouvoir le faire.
Gmail n’est pas chiffré de bout en bout par défaut
Pour indexer votre boîte de réception afin de permettre la recherche et de suggérer des réponses, les serveurs de Google traitent vos messages sous une forme lisible. Cela n’est possible que parce que Google, et non vous, détient les clés de chiffrement.
Seule la version payante de Google Workspace, grâce au chiffrement côté client, proposait un chiffrement de bout en bout. Avec le chiffrement de bout en bout, un message est chiffré sur l’appareil de l’expéditeur et n’est déchiffré que sur celui du destinataire. Le fournisseur stocke des données brouillées pour lesquelles il ne dispose d’aucune clé.
Quelles données Google collecte-t-il auprès des utilisateurs de Gmail ?
La politique de confidentialité de Google s’applique à Gmail comme à la Recherche, Maps et YouTube, si bien que votre activité sur l’ensemble de ces services s’ajoute donc à ce que Google sait de vous. Elle mentionne les catégories suivantes :
| Catégorie | Exemples tirés de la politique de confidentialité de Google |
|---|---|
| Ce que vous créez ou fournissez | Nom, mot de passe, numéro de téléphone, informations de paiement et contenu, y compris les messages |
| Applications, navigateurs et appareils | Identifiants uniques, type de navigateur et d’appareil, système d’exploitation, rapports de plantage |
| adresse IP et emplacement | Adresse IP(nouvelle fenêtre), GPS, appareils à proximité et emplacement déduit de votre activité |
| Activité dans les services Google | Recherches, vidéos regardées, achats et communications, selon vos paramètres |
En octobre 2026, l’étiquette de confidentialité de l’application Gmail sur l’App Store d’iOS répertorie les données collectées sous l’intitulé « Données liées à vous », notamment les achats, la localisation approximative, les contacts, les messages et autres contenus utilisateur, l’historique de recherche, les identifiants utilisateur et d’appareil, ainsi que les données publicitaires.
Modifiez les paramètres de confidentialité de Google pour suspendre l’activité sur le Web et dans les applications, désactiver les publicités personnalisées dans Mon centre des annonces, arrêter le suivi de l’emplacement…
Google utilise-t-il les données de Gmail pour la publicité ?
Google affirme ne pas utiliser le contenu des messages pour cibler des publicités. Google a cessé cette pratique en 2017, date à laquelle l’entreprise déclarait : « Le contenu de Gmail destiné aux particuliers ne sera ni utilisé ni analysé pour la personnalisation des publicités »). La politique de confidentialité de Google indique désormais : « Nous ne vous montrons pas de publicités personnalisées en fonction de votre contenu provenant de Drive, Gmail ou Photos. »
La boîte de réception fait toujours partie de l’activité publicitaire de Google, à d’autres égards. Par exemple, Gmail affiche des publicités en fonction de « votre activité en ligne lorsque vous êtes connecté à Google », comme vos recherches ou votre historique YouTube. En 2025, l’autorité française de protection des données a infligé à Google une amende de 325 millions €(nouvelle fenêtre), notamment pour avoir inséré des publicités entre les messages, dans les onglets Promotions et Réseaux sociaux, sans consentement. Google a fait appel, et aucune décision n’a été rapportée en octobre 2026.
Gmail utilise-t-il vos messages pour entraîner l’IA ?
Google répond par la négative. En novembre 2025, un porte-parole a déclaré à Tom’s Guide(nouvelle fenêtre) : «\u00A0Nous n’utilisons pas le contenu Gmail pour entraîner notre modèle d’IA Gemini\u00A0».
Toutefois, si vous autorisez Gemini à lire vos messages Gmail, le contenu qu’il intègre à une conversation est soumis aux règles de Gemini, selon lesquelles Google peut utiliser vos requêtes et réponses pour entraîner son IA lorsque l’activité Gemini est enregistrée. Les conversations consultées par des relecteurs humains sont conservées pendant trois ans au maximum.
Les paramètres des fonctionnalités Smart de Gmail activent Smart Compose, le suivi des colis et les fiches récapitulatives. Google indique qu’en les activant, «\u00A0nous pouvons également traiter vos contenus et activités Workspace pour améliorer ces fonctionnalités\u00A0». Désactiver Gemini dans Gmail entraîne toutefois la désactivation d’autres fonctionnalités utiles basées sur l’IA, comme les catégories de la boîte de réception et Smart Reply.
Actions en justice et infractions liées au respect de la vie privée dans Gmail
Google a déjà écopé d’amendes et fait l’objet de multiples poursuites pour la manière dont il gère les données des utilisateurs de Gmail. Voici quelques exemples :
- En novembre 2025, Thele contre Google(nouvelle fenêtre) a allégué que Google avait activé Gemini pour Gmail, Chat et Meet sans consentement. Un juge a rejeté la plainte en juillet 2026, tout en autorisant sa modification, et une plainte modifiée est en attente.
- En septembre 2025, la CNIL a infligé à Google une amende de 325 millions €(nouvelle fenêtre) pour avoir affiché des publicités entre des messages dans les onglets Promotions et Réseaux sociaux de Gmail, sans consentement, et pour des cookies déposés lors de la création du compte. La CNIL indique que 53 millions de personnes ont vu ces publicités. Google a fait appel.
- En juillet 2018, le Wall Street Journal a révélé(nouvelle fenêtre) que des employés d’applications de messagerie tierces avaient pu lire les messages Gmail des utilisateurs. Google a répondu que «\u00A0personne chez Google ne lit votre Gmail\u00A0» sauf avec consentement ou pour des raisons de sécurité, et que les utilisateurs accordent l’accès à ces applications. Plus tard, en octobre, l’entreprise a restreint l’accès à l’API Gmail aux applications «\u00A0améliorant directement la fonctionnalité de messagerie\u00A0».
- En 2013 et 2014, des utilisateurs ont intenté un procès contre Gmail pour l’analyse du contenu des messages afin de cibler des publicités(nouvelle fenêtre). L’action collective a échoué, et la plupart des plaignants ont conclu des accords à titre individuel. Google a cessé l’analyse des messages à des fins publicitaires en 2017.
Comment rendre Gmail plus sûr et plus privé
Ces étapes rendent beaucoup plus difficile la prise de contrôle de votre compte et réduisent ce que Google collecte. Aucune de ces étapes n’empêche Google d’accéder à vos messages.
- Utilisez une clé d’accès ou une clé de sécurité. Configurez-en une dans le compte Google, à la rubrique Sécurité. Les clés d’accès résistent à l’hameçonnage, contrairement aux mots de passe et aux codes SMS.
- Activez l’authentification à deux facteurs et privilégiez les invites Google ou une application d’authentification plutôt que les SMS.
- Utilisez un mot de passe unique généré par un gestionnaire de mots de passe, afin qu’une fuite provenant d’un autre site internet ne puisse pas déverrouiller votre Gmail.
- Vérifiez vos appareils et déconnectez-vous de tout appareil que vous ne reconnaissez pas.
- Retirez les applications tierces que vous n’utilisez plus de la liste des applications connectées de votre compte, en particulier celles qui ont l’autorisation de lire vos messages.
- Lancez la vérification de sécurité et ajoutez un numéro de téléphone et une adresse de messagerie de récupération que vous contrôlez.
- Désactivez les fonctionnalités intelligentes dans les paramètres de Gmail si vous ne souhaitez pas que Google traite vos messages pour Smart Compose, les cartes récapitulatives et les fonctionnalités inter-produits, et vérifiez vos contrôles d’activité dans les paramètres de «\u00a0Données et confidentialité\u00a0» de votre compte Google.
- Apprenez à repérer l’hameçonnage. Méfiez-vous des alertes de sécurité urgentes, même celles qui semblent provenir de Google.
- N’envoyez pas d’informations très sensibles. Utilisez une boîte mail privée et sécurisée pour cela.
Une alternative plus privée et sécurisée à Gmail
Si vous souhaitez une alternative à Gmail plus sécurisée et plus privée, recherchez un service doté d’un chiffrement de bout en bout et d’un chiffrement à accès nul. Proton Mail offre les deux, ainsi que les fonctionnalités du quotidien auxquelles vous vous attendez avec Gmail, dans les abonnements gratuit et payant.
Les messages que vous envoyez à d’autres utilisateurs de Proton ou à des destinataires qui utilisent PGP sont chiffrés de bout en bout, y compris le corps du message et les pièces jointes. Dans les autres cas, vous pouvez ajouter une protection par mot de passe. Ainsi, seuls vous et la personne à qui vous écrivez peuvent lire ces messages. Dans l’hypothèse peu probable d’une fuite de données sur les serveurs de Proton, le contenu de vos messages reste protégé. Il en va de même si Proton reçoit une décision de justice.
Proton est financé par des abonnements, et non par des données vous concernant. Nous ne montrons jamais de publicités, ne vous suivons jamais, ne vendons jamais vos données et ne les utilisons jamais pour l’entraînement de l’IA. Comme toutes les applications Proton, Proton Mail est protégé par les lois suisses sur le respect de la vie privée, parmi les plus strictes au monde.
Vous pouvez passer de Google à Proton Mail avec Easy Switch. Cet outil importe vos messages Gmail, vos contacts et vos calendriers, transfère les nouveaux messages vers Proton Mail, et vous permet de continuer à envoyer des messages depuis votre adresse Gmail pendant que vous vous habituez à votre nouvelle boîte de réception. Lorsque vous souhaitez quitter Google définitivement, vous pouvez effectuer le transfert complet et supprimer votre compte Gmail, une étape importante pour dégoogliser votre vie.
