Un serveur européen ne suffit pas : où fuient vos données

« Nos données sont en Europe » est une belle phrase, mais elle en dit moins qu’il n’y paraît. Même une entreprise qui a confié sa messagerie et ses fichiers à un acteur européen envoie souvent chaque jour des données à des entreprises américaines, sans que personne ne l’ait décidé.

Où vont les données sans que vous le sachiez

Voici quelques canaux présents dans presque toutes les entreprises :

• Le système d’exploitation et la suite bureautique. Windows et Microsoft 365 envoient des données de diagnostic à Microsoft. Microsoft indique lui-même qu’une partie ne peut pas être entièrement désactivée.
• Le navigateur. La synchronisation avec un compte Google ou Microsoft, les moteurs de recherche et les extensions qui lisent les pages.
• Le site web. Les outils d’analyse, les polices Google Fonts, les CAPTCHA, les vidéos et cartes intégrées, et les CDN. À chaque visite, l’adresse IP de votre visiteur part vers ces acteurs.
• La sécurité et l’administration. Antivirus et EDR, rapports de plantage, supervision, journalisation dans le cloud et assistance à distance.
• L’identité. La connexion via Microsoft Entra ou Google rattache chaque compte à un service américain.
• Les intégrations d’IA et les plug-ins. Une fonction d’IA ajoutée à un outil que vous utilisiez déjà envoie souvent vos textes à un modèle externe.
• Les téléphones. Presque tous les téléphones professionnels fonctionnent dans l’écosystème d’Apple ou de Google, avec des sauvegardes et des notifications qui passent par leurs serveurs.

L’emplacement du serveur de messagerie ne dit rien sur tous ces flux.

Espérer ou imposer

L’approche courante repose sur des règles internes : les collaborateurs ne doivent pas placer de données sensibles dans certains services, et l’entreprise choisit des fournisseurs dotés d’une bonne politique de confidentialité. Mais cela revient à espérer que chaque application se comporte correctement.

Il est plus solide de limiter techniquement le trafic sortant. Toutes les connexions vers l’extérieur passent alors par un pare-feu ou un proxy, et rien n’est autorisé par défaut, sauf les destinations que vous autorisez explicitement. Les connexions nouvelles ou inconnues se remarquent tout de suite, et un programme ne peut pas décider seul d’envoyer des données à un nouvel acteur. C’est le principe du default deny. La question passe alors de « nous espérons que tout se passe bien » à « techniquement, rien d’autre n’est possible ».

Commencez par ce que vous maîtrisez

1. Dressez un inventaire de tous les logiciels, services SaaS, applications et extensions de navigateur, et vérifiez pour chaque fournisseur qui en est le propriétaire final.
2. Examinez toute la chaîne : pas seulement l’emplacement du serveur, mais aussi celui des sauvegardes, du support, de la journalisation et de l’administration, ainsi que les sous-traitants qui peuvent y accéder.
3. Faites le ménage sur votre site. Hébergez vous-même vos polices, utilisez un outil d’analyse européen ou le vôtre, et ne chargez rien de tiers sans raison.
4. Choisissez un poste de travail dont la base est déjà saine, pour ne pas devoir vérifier service par service où partent les données.
5. Limitez le trafic sortant sur le réseau, avec une liste de destinations autorisées.

Comment Binadit s’y prend

Ce site ne charge rien de tiers. Les polices, les scripts et les images viennent de binadit.work lui-même. Il n’y a ni suivi ni Google Analytics. Binadit Workspace fonctionne sur des serveurs que Binadit administre lui-même dans des centres de données néerlandais, avec une connexion via notre propre serveur de messagerie plutôt qu’un service d’identité américain. Messagerie, agenda, fichiers, documents, réunions et chat restent ainsi dans un seul environnement européen, et la liste des destinations sortantes à autoriser reste courte.

Découvrir Binadit Workspace ou lire pourquoi un centre de données américain en Europe n’est pas une solution.