La clé de chiffrement WhatsApp à 64 chiffres, expliquée

Quelque part dans les paramètres de WhatsApp se trouve un écran affichant soixante-quatre chiffres hexadécimaux par groupes de quatre. La plupart des gens le voient une fois, en font une capture d'écran, et n'y repensent jamais. Il mérite d'être compris, car c'est la seule chose qui sépare tout votre historique de messages de quiconque met la main sur votre fichier de sauvegarde.

Ce que c'est

Quand vous activez la sauvegarde chiffrée de bout en bout, WhatsApp génère une clé de 256 bits sur votre téléphone. Toute sauvegarde faite ensuite — le fichier local msgstore.db.crypt15 et la copie dans votre compte cloud — est chiffrée avec une clé qui en est dérivée.

Soixante-quatre chiffres hexadécimaux, c'est exactement 256 bits écrits en toutes lettres : chaque chiffre porte 4 bits, et 64 × 4 = 256.

La propriété importante : WhatsApp n'en garde pas de copie. C'est ce que veut dire « sauvegarde chiffrée de bout en bout ». Si vous perdez la clé et oubliez le mot de passe, personne — ni WhatsApp, ni Google, ni nous — ne peut déchiffrer cette sauvegarde. Elle est réellement perdue.

Où la trouver

Sur Android : Paramètres → Discussions → Sauvegarde des discussions → Sauvegarde chiffrée de bout en bout. Si elle est déjà active, allez jusqu'à l'affichage de la clé ; il se peut que vous deviez d'abord ressaisir votre mot de passe ou confirmer votre identité.

Si WhatsApp vous propose une clé d'accès plutôt que des chiffres, changez : désactivez la sauvegarde chiffrée, réactivez-la, et choisissez « Utiliser une clé à 64 chiffres » plutôt que l'option du mot de passe ou de la clé d'accès. Une clé d'accès est pratique pour restaurer sur un nouveau téléphone, mais elle est détenue dans le matériel sécurisé de votre appareil et ne peut pas être exportée — aucun autre outil ne peut donc l'utiliser pour lire votre sauvegarde.

Pourquoi une application de lecture en a besoin

Le fichier de sauvegarde sur votre téléphone n'est pas une base de données que vous pouvez simplement ouvrir. C'est du texte chiffré. Sans la clé, msgstore.db.crypt15 n'est que du bruit.

WaChat demande la clé pour une seule raison : dériver la clé de déchiffrement et déballer le fichier afin de lire la base SQLite qu'il contient et de la retransformer en discussions. Cela se produit :

• Dans le navigateur, à l'intérieur d'un Web Worker, au moyen de l'API WebCrypto. Le fichier ne quitte jamais l'onglet.
• Ou dans l'application Android, où la clé est enveloppée par le Keystore d'Android.

La clé n'est jamais envoyée à un serveur, jamais écrite dans un journal, et jamais incluse dans un rapport d'incident. Si vous préférez ne pas la stocker du tout, ne le faites pas — vous pouvez la coller à chaque fois et elle ne vit alors que le temps de la session.

Règles pour la manipuler

Ne l'envoyez jamais par e-mail ni par message. Ni à nous, ni à un service d'assistance, ni à personne. Un service d'assistance légitime ne la demandera jamais. Si quelqu'un la demande, c'est toute l'attaque : votre fichier de sauvegarde lui est inutile sans la clé, et la clé est inutile sans le fichier.

Ne la conservez pas au même endroit que la sauvegarde. Une capture d'écran de la clé posée dans le même album cloud qu'une sauvegarde exportée annule complètement l'intérêt.

Notez-la, en revanche. Une entrée dans un gestionnaire de mots de passe, ou du papier dans un tiroir. Elle est irrécupérable, et c'est la seule chose qui vous permettra de lire votre propre archive dans dix ans.

Traitez une capture d'écran comme sensible. Les sauvegardes de photos se synchronisent avec le cloud, sont partagées dans des albums, et ressurgissent dans les widgets « ce jour-là » sur un écran que quelqu'un d'autre regarde.

Ce qui se passe si vous la renouvelez

Vous pouvez désactiver puis réactiver la sauvegarde chiffrée pour générer une nouvelle clé. Les anciens fichiers de sauvegarde restent chiffrés avec l'ancienne clé — donc si vous conservez des copies archivées, conservez l'ancienne clé avec elles, étiquetée.

En une phrase

La clé à 64 chiffres est un secret de 256 bits que vous seul détenez ; c'est le seul moyen de lire votre propre sauvegarde WhatsApp, personne ne peut la récupérer à votre place, et tout outil qui mérite d'être utilisé la gardera sur votre appareil.