Proton Drive est-il vraiment zero-knowledge ? Enquête honnête d'un dev qui a construit une alternative chiffrée

Réponse rapide. Oui, pour l'essentiel : Proton Drive chiffre le contenu de vos fichiers et leurs métadonnées (noms de fichiers, noms de dossiers, arborescence, aperçus) côté client, avant que quoi que ce soit ne quitte votre appareil, avec le standard OpenPGP et de la cryptographie sur courbe elliptique (Curve25519). Les serveurs de Proton ne stockent que du chiffré opaque et ne détiennent pas vos clés, ce qui correspond bien à la définition du zero-knowledge. Mais "vraiment" mérite deux nuances honnêtes : l'application web livre son code de chiffrement depuis un serveur à chaque session, ce qui déplace une partie de la confiance vers Proton, et le code serveur reste fermé, donc vous vérifiez les apps clientes, pas toute la chaîne. Zero-knowledge sur le stockage : oui. Zero-knowledge parfait et vérifiable de bout en bout dans le navigateur : c'est plus compliqué, et personne ne devrait vous dire le contraire.

J'ai passé les dernières années à construire une app de fichiers chiffrée, alors quand quelqu'un me demande si Proton Drive est "vraiment" zero-knowledge, je n'ai pas envie de répondre par un slogan. La question mérite mieux que ça, parce que derrière le mot se cache une promesse très concrète : est-ce que la personne qui héberge vos fichiers peut les lire ? Si vous stockez vos contrats, vos scans de passeport, les photos de vos gamins, vos notes de thérapie, votre compta, cette question n'est pas académique. Elle décide de qui, à part vous, a un jour la possibilité technique de regarder à l'intérieur. Et la réponse honnête pour Proton Drive n'est ni un "oui" triomphant ni un "non" cynique, c'est un "oui, avec des astérisques que vous devez comprendre avant de décider".

Je vais poser ces astérisques un par un, sans jargon inutile, en partant de ce qui vous concerne vraiment au quotidien plutôt que d'un cours sur les courbes elliptiques. Parce que soyons clairs : personne ne se lève le matin en rêvant de courbe Curve25519. Les gens veulent juste ranger leurs fichiers quelque part où ils resteront privés, accessibles, et pas revendus. Le chiffrement, c'est la coulisse qui rend cette tranquillité possible. Donc je vais parler des fichiers d'abord, de la crypto ensuite, et je vais être franc sur les endroits où Proton fait un travail remarquable comme sur ceux où le mot "zero-knowledge" cache une zone grise. Vers la fin, je comparerai avec l'approche que j'ai choisie pour Filarr, non pas parce que l'une écrase l'autre, mais parce que les deux répondent à la même angoisse de deux façons opposées, et que voir les deux côte à côte est la meilleure manière de choisir la vôtre.

Une remarque de méthode avant de commencer. J'ai vérifié chaque affirmation sur Proton via leur documentation publique, leur modèle de sécurité, leurs audits et la presse spécialisée de 2026, et je le signale quand un point relève de l'interprétation plutôt que du fait établi. Proton est une des rares boîtes du secteur à publier assez de détails pour qu'on puisse discuter sérieusement de son modèle, et ça, ça mérite déjà d'être salué. Beaucoup de "clouds chiffrés" ne vous donnent même pas de quoi poser la question.

D'où viennent Proton et cette obsession du chiffrement

Pour comprendre pourquoi Proton Drive est construit comme il l'est, il faut remonter à Proton Mail. Proton est né en 2014 au CERN, à Genève, avec une idée simple et un peu provocante pour l'époque : et si un fournisseur d'email ne pouvait pas lire vos emails ? À une période où Gmail scannait joyeusement les boîtes pour cibler la pub, c'était un positionnement radical. La suisse, la protection juridique locale, le chiffrement OpenPGP côté client, le modèle "nous ne pouvons pas techniquement voir vos données" : tout l'ADN de Proton est là dès le départ. Le reste de l'écosystème (Calendar, VPN, Pass, Drive) est venu se greffer sur cette philosophie, avec l'ambition assumée de devenir une alternative privacy-first à la suite Google entière.

Proton Drive, lui, est arrivé bien plus tard. Le stockage de fichiers chiffré a été lancé en version bêta autour de 2022, puis stabilisé et étendu (apps desktop Windows et macOS, apps mobiles, dossiers synchronisés, documents collaboratifs chiffrés) au fil de 2023, 2024 et 2025. Ce décalage compte pour comprendre la maturité du produit : Drive hérite de l'infrastructure cryptographique éprouvée de Mail, mais il est plus jeune en tant que produit de stockage que Dropbox ou Google Drive, et ça se sent parfois dans l'ergonomie du partage ou la vitesse de synchronisation. Un jalon important pour notre sujet : en septembre 2024, Proton a publié le code source de toutes les apps Proton Drive (client web, desktop, mobiles), ce qui permet à des chercheurs de vérifier que le chiffrement se passe comme annoncé côté client. C'est un geste de transparence réel, et j'y reviendrai, parce qu'il a aussi une limite que Proton lui-même reconnaît.

Côté audits, les faits sont vérifiables et je préfère les citer précisément plutôt que de dire vaguement "c'est audité". L'application web de Drive a été auditée par Securitum, un auditeur de sécurité européen reconnu, en octobre 2021. Les apps Android et iOS ont été auditées par le même Securitum en août et septembre 2022, avec une trouvaille de faible sévérité sur Android liée au stockage local de cookies et de certificats, exploitable uniquement avec un accès physique à l'appareil. Ce sont, à ma connaissance, les audits externes centrés spécifiquement sur Drive. C'est honnête, c'est du sérieux, et c'est en même temps un rappel que la surface auditée est celle des clients, pas celle du serveur.

La vraie fracture : un cloud chiffré, ce n'est pas la même chose qu'un disque chiffré

Avant de disséquer la crypto, il faut poser la question philosophique qui change tout, parce que "zero-knowledge" a un sens différent selon l'architecture. Proton Drive est un cloud d'abord. Vos fichiers vivent sur les serveurs de Proton, chiffrés, et vos appareils sont des fenêtres qui téléchargent et déchiffrent à la demande. Le zero-knowledge, dans ce modèle, veut dire : les données sont sur le serveur en permanence, mais le serveur ne peut pas les lire. C'est une promesse forte et, chez Proton, techniquement crédible. Mais elle repose sur une réalité qu'on oublie souvent : vos données, sous forme chiffrée, sont quand même en permanence chez quelqu'un d'autre. La sécurité ne dépend pas de savoir si Proton est honnête aujourd'hui, elle dépend de la solidité du chiffrement pour que l'honnêteté de Proton n'ait pas d'importance. C'est exactement le pari du zero-knowledge, et c'est un bon pari quand il est bien tenu.

Maintenant, imaginez un scénario concret. Vous êtes avocat, vous rangez des dossiers clients sensibles. Dans le modèle cloud-first, chaque document, dès qu'il est créé ou modifié, part vers un serveur distant. Chiffré, oui. Mais il quitte votre machine, transite par le réseau, atterrit dans un datacenter, et y reste. Si demain une injonction légale tombe, Proton peut être contraint de remettre ce qu'il détient : des blobs chiffrés qu'il ne peut pas déchiffrer, plus certaines métadonnées techniques dont je parlerai. C'est bien mieux qu'un Google Drive classique. Mais le point de départ reste "mes fichiers vivent chez un tiers". La question "est-ce vraiment zero-knowledge" est donc, en pratique, la question "est-ce que ce tiers est vraiment aveugle". Tout repose là-dessus.

L'approche local-first, celle que j'ai choisie pour Filarr et que je détaille plus loin, retourne complètement le problème. Les fichiers vivent chiffrés sur votre disque, et le cloud "ne fait que suivre" si vous activez la synchronisation. Le point de départ n'est pas "chez un tiers", c'est "chez vous". Si vous voulez creuser cette distinction en tant que telle, j'ai écrit un long papier sur ce que signifie vraiment le logiciel local-first et pourquoi Notion et Figma n'en sont pas. Retenez pour l'instant que la question du zero-knowledge se pose très différemment selon que vos données doivent obligatoirement vivre sur un serveur ou qu'elles peuvent ne jamais le quitter. Proton Drive tient une excellente promesse dans le premier cadre. Filarr tient une promesse d'un autre genre en changeant le cadre.

À quoi sert vraiment Proton Drive

Soyons justes sur ce que Proton Drive fait bien, parce que trop de comparatifs partent d'un a priori. Proton Drive est un très bon coffre-fort en ligne pour des gens qui veulent le confort d'un Google Drive sans le modèle économique de surveillance qui va habituellement avec. Vous déposez des fichiers, ils se synchronisent sur tous vos appareils, vous y accédez depuis un navigateur n'importe où, vous partagez un lien à un client ou à un proche, et pendant tout ce temps le contenu est chiffré de bout en bout. Pour la grande majorité des gens qui veulent simplement "un Drive mais privé", c'est exactement le bon produit, et il est intégré à un écosystème (Mail, Calendar, VPN, Pass, Docs) qui rend le tout cohérent si vous vivez déjà dans le monde Proton.

Là où Proton se distingue vraiment de ses concurrents grand public, c'est le chiffrement des métadonnées. La plupart des clouds "chiffrés" protègent le contenu de vos fichiers mais laissent les noms de fichiers, la structure des dossiers et les tailles en clair côté serveur. Proton chiffre aussi ces métadonnées : les noms de fichiers, les noms de dossiers, les aperçus (thumbnails) sont chiffrés de bout en bout. Ça paraît un détail, mais ça ne l'est pas. Un dossier nommé "Divorce", "Résultats biopsie", "Licenciement Dupont" en dit parfois plus que le fichier lui-même. Cacher l'arborescence, c'est fermer une fuite d'information que la plupart des concurrents laissent grande ouverte. Sur ce point précis, Proton fait un travail au-dessus de la moyenne du marché, et il faut le dire clairement.

Proton Drive vise donc l'utilisateur qui veut de la commodité cloud sans renoncer à la confidentialité : le professionnel qui manipule des documents sensibles, la personne qui a lu une fois de trop des histoires de fuites de données, l'utilisateur déjà dans l'écosystème Proton. Ce n'est pas conçu pour être un gestionnaire de connaissances, un espace de notes reliées, ou un outil de travail hors-ligne par défaut. C'est du stockage, du bon stockage privé, et il faut le juger comme tel plutôt que de lui reprocher de ne pas être ce qu'il n'a jamais prétendu être.

Le chiffrement de Proton Drive en profondeur

Maintenant, entrons dans le moteur, parce que c'est là que se joue le "vraiment". Proton Drive repose sur OpenPGP, le standard historique du chiffrement asymétrique, et utilise de la cryptographie sur courbe elliptique, précisément la Curve25519, pour les paires de clés. Le principe de base d'OpenPGP est un mariage entre symétrique et asymétrique : chaque charge utile (le contenu d'un fichier) est chiffrée avec une clé de session symétrique unique, et cette clé de session est elle-même protégée par des clés asymétriques. C'est efficace et éprouvé, c'est la même famille de mécanismes qui sécurise l'email chiffré depuis des décennies.

La hiérarchie de clés de Drive est plus riche qu'un simple "une clé par compte", et c'est une bonne chose. Au sommet, chaque adresse Proton possède une clé d'adresse qui sert notamment à signer les éléments, ce qui empêche le serveur de forger le contenu de l'arborescence. Quand un partage est créé, le système génère une phrase secrète de partage aléatoire de 32 octets et une clé de partage asymétrique, cette dernière étant verrouillée par la phrase secrète et chiffrée avec la clé d'adresse. Ensuite, chaque fichier et chaque dossier possède sa propre clé asymétrique et sa propre phrase secrète, la phrase secrète d'un nœud étant chiffrée avec la clé du dossier parent, formant une chaîne hiérarchique qui remonte jusqu'à la racine du partage. Enfin, les fichiers sont découpés en blocs de 4 Mo, chacun chiffré avec la clé du nœud. C'est une architecture à plusieurs niveaux, sérieuse, qui isole les accès et limite les dégâts en cas de compromission d'une clé. Si l'idée d'une hiérarchie de clés vous intéresse, j'ai décortiqué le principe général (une clé qui protège d'autres clés) dans mon article sur KEK et FEK, la hiérarchie de clés à deux niveaux des apps chiffrées sérieuses, et le raisonnement s'applique aussi bien à Proton qu'à Filarr.

Maintenant, la question qui fâche : la dérivation depuis votre mot de passe. La documentation publique de Proton est précise sur la hiérarchie des clés mais reste plus discrète sur la fonction exacte qui transforme votre mot de passe en clé de déverrouillage. C'est une différence notable avec des produits qui affichent noir sur blanc "PBKDF2 avec tant d'itérations" ou "Argon2id avec tels paramètres". Ce n'est pas un procès en incompétence, Proton connaît son métier, mais c'est un fait à noter : sur ce maillon précis, vous en savez moins que sur le reste. Pour un utilisateur, la conséquence pratique est simple et universelle à tous ces systèmes : la solidité de tout l'édifice remonte, in fine, à la force de votre mot de passe. Un chiffrement de niveau militaire adossé à un mot de passe "soleil2024" reste un chiffrement adossé à "soleil2024".

Pour juger honnêtement du "zero-knowledge", il faut passer les modèles de menace au crible plutôt que de rester dans l'abstrait. Prenons-en quatre, concrets.

Premier scénario, le serveur malveillant ou compromis. Un attaquant prend le contrôle des serveurs de Proton, ou Proton lui-même est mal intentionné. Que voit-il ? Des blocs chiffrés, des noms chiffrés, une arborescence chiffrée. Il ne peut pas déchiffrer sans vos clés, qui ne quittent jamais vos appareils sous forme utilisable. Sur ce modèle de menace, le stockage de Proton Drive tient sa promesse : le serveur est réellement aveugle au contenu. C'est le cœur solide du zero-knowledge, et il est bien réel.

Deuxième scénario, le laptop volé. Quelqu'un vole votre machine. Vos fichiers Proton locaux (cache de synchronisation, apps ouvertes) sont-ils protégés ? Ça dépend entièrement de l'état de votre session : si vous êtes déconnecté et que le chiffrement du disque de votre OS est actif, l'attaquant se heurte au chiffrement. Si votre session Proton est ouverte et déverrouillée, il accède à ce que vous voyez. Ce modèle de menace n'est pas propre à Proton, il concerne toutes les apps, mais il rappelle que le zero-knowledge côté serveur ne dit rien de la sécurité de votre appareil.

Troisième scénario, le mot de passe faible et l'attaque par force brute. Comme le chiffrement dérive de votre mot de passe, un mot de passe faible est un talon d'Achille indépendant de la qualité de la crypto. C'est vrai pour Proton, c'est vrai pour Filarr, c'est vrai pour tout le monde. La différence tient dans le durcissement de la dérivation, et c'est justement là que la discrétion de Proton sur les paramètres exacts rend l'analyse moins tranchée.

Quatrième scénario, la réquisition légale. Une autorité contraint Proton à livrer vos données. Proton remet ce qu'il détient : des blobs chiffrés inexploitables sans vos clés, plus des métadonnées non chiffrées dont il dispose réellement (l'existence de votre compte, votre adresse email de connexion, des logs techniques et des schémas d'accès selon leur politique). Le contenu de vos fichiers reste inaccessible. C'est une protection réelle et sérieuse. Mais notez la nuance : "zero-knowledge" ne veut pas dire "le serveur ne sait rien du tout", il veut dire "le serveur ne peut pas lire le contenu". Le serveur sait que vous existez, quand vous vous connectez, et l'ampleur de votre activité. Ce n'est pas un défaut de Proton, c'est la réalité de tout service cloud, mais il faut le dire pour que le mot "zero" ne soit pas mal compris.

L'astérisque qui compte le plus : l'application web

Voici le point que je veux traiter avec le plus de soin, parce que c'est là que se joue vraiment la nuance du "vraiment". Il existe une critique connue et légitime de tout chiffrement de bout en bout livré dans un navigateur, et elle vaut pour Proton comme pour n'importe quel concurrent qui propose une app web. Quand vous ouvrez Proton Drive dans votre navigateur, le code JavaScript qui fait le chiffrement est téléchargé depuis les serveurs de Proton à ce moment-là, à chaque session. Vous ne contrôlez pas ce code, vous le recevez à la volée. Ce qui veut dire, en théorie, qu'un serveur compromis ou contraint pourrait servir à un utilisateur ciblé une version modifiée du code, qui exfiltrerait la clé ou le mot de passe. Le chiffrement reste "de bout en bout", mais l'un des bouts exécute du code que vous devez faire confiance au serveur pour ne pas avoir altéré.

Ce n'est pas une faille de Proton en particulier, c'est une propriété structurelle du chiffrement côté navigateur, et Proton en a d'ailleurs discuté publiquement dans le passé à propos de Proton Mail. C'est précisément pour cette raison que les applications natives (desktop et mobiles) sont importantes : une app que vous installez est un artefact figé, auditable, qui ne change pas à chaque ouverture, contrairement à une page web rechargée à chaque session. Le fait que Proton ait ouvert le code de ses apps en septembre 2024 renforce beaucoup la confiance dans les clients installés. Mais dans le navigateur, l'ouverture du code aide moins, parce que rien ne garantit que le code servi aujourd'hui à votre session est exactement celui qui est publié sur le dépôt. La conclusion honnête : Proton Drive est nettement plus proche du zero-knowledge idéal quand vous utilisez ses apps natives que quand vous vivez dans l'onglet du navigateur. Si le zero-knowledge est votre priorité absolue, installez les apps.

La deuxième nuance, plus douce, concerne le code serveur. Les apps clientes sont open source et auditées, c'est réel et c'est bien. Mais le code serveur reste fermé et l'API brute n'est pas documentée publiquement. "Open source" signifie donc ici "les apps sur votre appareil", pas "toute la pile". En pratique, dans un modèle zero-knowledge correctement conçu, le serveur n'est censé manipuler que du chiffré, donc son opacité importe moins qu'on ne le croit : c'est le client qui détient les clés et fait le travail sensible. Mais pour être rigoureux, il faut le dire : vous vérifiez le maillon client, vous faites confiance pour le reste. C'est un niveau de confiance bien inférieur à celui exigé par un cloud classique, mais ce n'est pas zéro. Pour clarifier ces termes qu'on mélange tout le temps, j'ai écrit un article dédié sur la différence concrète entre chiffré au repos, chiffré de bout en bout et zero-knowledge, parce que confondre les trois est la source numéro un des malentendus dans ce domaine.

Synchronisation, multi-appareils et ce qui se passe quand ça tourne mal

La synchronisation de Proton Drive fonctionne comme on l'attend d'un cloud moderne : vous déposez un fichier sur un appareil, il est chiffré puis envoyé, et vos autres appareils le récupèrent et le déchiffrent localement. Les apps desktop proposent des dossiers synchronisés, à la Dropbox, et les mobiles donnent accès à l'ensemble. Comme tout passe par le serveur central de Proton, la synchronisation est cohérente et relativement simple à raisonner : il y a une source de vérité, le cloud, et les appareils s'y alignent. C'est confortable et prévisible.

Mais poser la question "que se passe-t-il hors-ligne" révèle la nature profonde du produit. Proton Drive est pensé pour être connecté. Vous pouvez rendre des fichiers disponibles hors-ligne, mais l'expérience par défaut suppose une liaison avec le serveur : c'est là que vivent vos données. Si le service Proton connaît une panne, vous gardez l'accès à ce qui est en cache localement, mais l'expérience complète (parcourir toute l'arborescence, récupérer un vieux fichier jamais téléchargé sur cet appareil) dépend du retour du service. Ce n'est pas un reproche, c'est la définition d'un produit cloud-first. Il faut juste savoir que votre accès à l'intégralité de vos fichiers est corrélé à la disponibilité d'un tiers.

Et à la résiliation ? C'est un scénario qu'on n'anticipe jamais assez. Si vous arrêtez de payer et repassez au plan gratuit, vous devez rester sous le quota gratuit, sinon l'accès en écriture et la synchronisation se retrouvent contraints jusqu'à ce que vous soyez de nouveau sous la limite. Vos fichiers restent chiffrés et vous appartiennent, mais l'accès pratique passe par le service Proton, donc la relation commerciale et l'accès aux données ne sont pas totalement découplés. C'est le compromis inhérent au modèle cloud : la commodité de "tout est partout" a pour contrepartie que "tout" est chez un prestataire avec qui vous devez rester en règle. À comparer avec un modèle où le fichier chiffré est d'abord un fichier sur votre disque, que vous gardez quoi qu'il arrive à votre abonnement.

Récupération et perte d'accès : le scénario qu'on redoute

C'est le sujet le moins glamour et le plus important. Dans tout système chiffré côté client, la contrepartie de "personne ne peut lire vos données" est brutale : si vous perdez la clé, personne ne peut vous aider, pas même le fournisseur. C'est le prix de la vraie confidentialité, et c'est vrai pour Proton comme pour Filarr. La question n'est donc pas "y a-t-il un risque de perte définitive" (oui, toujours, par construction), mais "quels garde-fous l'outil me donne-t-il pour ne pas tomber dedans".

Proton propose des mécanismes de récupération pensés pour son écosystème : une phrase de récupération, des méthodes de reset qui, selon leur configuration, peuvent réinitialiser l'accès au compte tout en gérant le sort des données chiffrées. Le point délicat, propre au chiffrement de bout en bout, est que réinitialiser un mot de passe n'est pas la même chose que retrouver la capacité de déchiffrer d'anciennes données : si les clés dépendaient de l'ancien secret et que vous n'avez pas conservé de moyen de récupération, réinitialiser le compte peut vous rendre l'accès au compte sans vous rendre l'accès aux anciens fichiers. C'est subtil, c'est contre-intuitif pour l'utilisateur moyen, et c'est exactement le genre de piège où les gens perdent des données en croyant faire la manip de sécurité recommandée. Le conseil vaut pour tous ces produits : au moment de l'inscription, conservez précieusement la phrase de récupération hors-ligne, et comprenez que c'est elle, pas le support client, qui vous sauvera.

Le scénario de la mort du compte ou de l'utilisateur mérite d'être posé aussi, parce que personne ne le fait avant qu'il soit trop tard. Dans un modèle zero-knowledge, un proche ne peut pas simplement "demander l'accès" au fournisseur : le fournisseur ne peut littéralement pas ouvrir les données. La transmission repose donc sur le partage anticipé du secret (mot de passe, phrase de récupération) à une personne de confiance ou via un dispositif de succession numérique que vous organisez vous-même. C'est vrai pour Proton et pour Filarr. La confidentialité totale a ce coût : elle ne fait pas d'exception, même pour vos héritiers, sauf si vous l'avez préparée.

Le tableau comparatif, encadré de l'analyse qu'il mérite

Un tableau ne remplace pas un raisonnement, mais il aide à voir la structure d'un coup d'œil. Voici, honnêtement posées, les grandes lignes de Proton Drive face à l'approche local-first chiffrée de Filarr. Lisez-le en gardant en tête que ces deux produits ne jouent pas exactement le même sport : l'un est un cloud chiffré, l'autre un workspace local chiffré avec cloud optionnel.

Critère	Proton Drive	Filarr
Modèle de base	Cloud-first (données sur serveurs Proton, chiffrées)	Local-first (données chiffrées sur votre disque)
Cloud	Obligatoire, c'est le produit	Optionnel, la sync "ne fait que suivre"
Chiffrement	OpenPGP, ECC Curve25519, blocs de 4 Mo	AES-256-GCM par fichier, clé par fichier (FEK/KEK)
Dérivation de clé	Non détaillée publiquement en paramètres exacts	PBKDF2-SHA512 600 000 itérations, Argon2id optionnel
Métadonnées	Noms, dossiers, aperçus chiffrés (excellent)	Contenu chiffré, cloud stocke des blobs opaques
Zero-knowledge serveur	Oui pour le contenu stocké	Oui pour la sync, et rien sur le serveur sans sync
App web	Oui (avec la nuance code livré par le serveur)	App desktop native, pas de crypto livrée par navigateur
Récupération	Phrase de récupération, reset selon config	Phrase 24 mots BIP-39
Plateformes	Windows, macOS, Linux, iOS, Android, web	Windows, macOS, Linux, mobile en cours
Fonction	Stockage de fichiers privé	Notes + fichiers + graph, un seul espace
Open source	Apps clientes oui (sept. 2024), serveur non	Client desktop BSL 1.1, site AGPL
Audit externe	Securitum (web 2021, mobile 2022)	Pas d'audit externe public à ce jour
Prix	Gratuit 2 à 5 Go, Unlimited ~9,99 à 12,99/mois	Gratuit en local à vie, sync dès 4 euros/mois

Ce tableau montre deux choses. D'abord, sur le terrain qui est le sien, le cloud chiffré, Proton est très solide, et il fait même mieux que la plupart des concurrents sur les métadonnées. Ensuite, la différence la plus profonde n'est pas une case, c'est la première ligne : le point de départ. Chez Proton, vos données sont chez un tiers, protégées par la crypto. Chez Filarr, vos données sont chez vous, et le tiers n'entre en jeu que si vous le décidez. Le reste du tableau découle largement de cette divergence de départ. Un tableau où l'un cocherait tout et l'autre rien serait suspect, et vous verrez dans les deux prochaines sections que chacun gagne réellement sur son terrain.

Là où Proton Drive gagne vraiment

Soyons nets, Proton Drive fait plusieurs choses mieux que Filarr, et prétendre le contraire serait malhonnête. D'abord, la maturité et l'ampleur de l'écosystème. Proton est une entreprise établie depuis 2014, avec une base d'utilisateurs massive, une infrastructure éprouvée, des apps sur absolument toutes les plateformes, y compris un web complet et des apps mobiles matures. Filarr, lancé et grandissant en 2026, a une communauté plus jeune, un mobile encore en finalisation, et n'a pas dix ans de rodage derrière lui. Pour quelqu'un qui veut la tranquillité d'un acteur installé, avec du support, une longévité démontrée et une présence sur tous les appareils dès aujourd'hui, Proton est le choix rassurant, et c'est un argument parfaitement valable.

Ensuite, les audits externes. Proton Drive a été audité par Securitum, un tiers indépendant reconnu, sur ses apps web et mobiles. Filarr, à ce jour, n'a pas d'audit de sécurité externe publié. Un audit indépendant n'est pas une garantie absolue, mais c'est un signal de sérieux et une paire d'yeux extérieurs sur le code, et c'est un vrai point pour Proton. Quand on manipule des données très sensibles et qu'on veut pouvoir montrer patte blanche à un DPO ou à un client, "audité par Securitum" pèse plus lourd que "faites-moi confiance". Je le dis d'autant plus volontiers que c'est un domaine où Filarr doit encore progresser.

Le chiffrement des métadonnées est un troisième point où Proton excelle. Cacher les noms de fichiers, les noms de dossiers et les aperçus côté serveur est un travail que beaucoup de concurrents ne font pas, et Proton le fait proprement, intégré à sa hiérarchie de clés. Enfin, il y a l'intégration : si vous utilisez déjà Proton Mail, Calendar, VPN et Pass, avoir Drive dans le même compte, avec une seule identité et une seule facture, a une valeur de commodité réelle. L'écosystème cohérent est un avantage que Filarr, produit unique et focalisé, n'offre pas. Pour un utilisateur qui veut une suite privacy-first complète plutôt qu'un outil spécialisé, Proton est difficile à battre.

Là où Filarr gagne vraiment

Maintenant l'autre plateau de la balance, et je vais être franc sur ce qui rend l'approche de Filarr différente plutôt que "meilleure dans l'absolu". Le premier avantage est structurel : le local-first réel. Avec Filarr, vos fichiers sont chiffrés en AES-256-GCM directement sur votre disque, avec une clé unique par fichier (une FEK par fichier, enveloppée par une KEK dérivée de votre mot de passe). L'app fonctionne à 100% hors-ligne, sans compte, sans connexion, gratuitement, pour toujours. Le cloud est une option que vous activez si vous voulez synchroniser, pas la fondation du produit. La conséquence pour le zero-knowledge est radicale : sans synchronisation activée, il n'y a tout simplement aucun serveur qui détient quoi que ce soit vous concernant, chiffré ou non. La meilleure façon d'être aveugle à vos données, c'est de ne jamais les avoir. C'est une garantie d'un genre différent de celle de Proton, plus forte sur ce point précis parce qu'elle ne dépend d'aucune promesse de bon comportement d'un tiers.

Deuxième avantage, l'absence de crypto livrée par le navigateur. Filarr est une app desktop native (Electron et React), installée sur votre machine. Le code de chiffrement ne vous est pas re-servi à chaque session par un serveur que vous devez croire sur parole. C'est précisément l'astérisque que je pointais sur l'app web de Proton, et Filarr l'évite par conception en n'ayant pas de modèle "tout dans le navigateur" pour la partie sensible. Pour qui prend le zero-knowledge au pied de la lettre, c'est une différence qui compte.

Troisième avantage, quand la synchronisation est activée, Filarr la fait en zero-knowledge par conception : le serveur (Cloudflare R2) ne stocke que des blobs chiffrés opaques, et vous pouvez même utiliser votre propre bucket S3-compatible (BYOS) si vous ne voulez faire confiance à personne d'autre que vous-même. J'ai expliqué en détail comment ce transfert de clés et ces manifestes chiffrés fonctionnent dans mon article sur la synchronisation zero-knowledge de Filarr, où le serveur ne peut jamais lire vos fichiers. Et le choix du chiffrement authentifié moderne n'est pas anodin : si vous voulez comprendre pourquoi j'ai retenu ce mode précis, j'ai écrit un papier entier sur ce qu'est l'AES-256-GCM et pourquoi ça compte pour une app de fichiers.

Quatrième avantage, et c'est le plus mésestimé : Filarr n'est pas qu'un espace de stockage, c'est un vrai workspace. Notes, fichiers, et un graph qui relie les deux, dans une seule app chiffrée, avec des workspaces multi-profils et le support de plus de 51 formats de fichiers. Proton Drive stocke vos fichiers, et Proton Docs ajoute des documents, mais l'idée d'un cerveau unique où vos notes et vos fichiers vivent reliés par un graphe est un terrain que Filarr occupe et que Proton n'aborde pas. Ce n'est pas mieux ou moins bien, c'est un produit différent, pour un besoin différent. Enfin, la transparence : le client desktop de Filarr est publié sur GitHub sous licence Business Source License 1.1, et j'ai expliqué ce choix et ses limites dans l'annonce du passage en open source. C'est un modèle différent de l'open source complet de Proton côté client, avec ses propres arbitrages que j'assume.

Migration concrète, dans les deux sens

Parlons friction réelle, parce que "il suffit de migrer" cache toujours des heures perdues. Passer de Proton Drive à Filarr, ou l'inverse, n'est pas un simple bouton, et il faut le dire. Dans les deux cas, vos fichiers sont chiffrés à la source, donc la migration consiste concrètement à déchiffrer d'un côté (en les exportant, c'est-à-dire en les téléchargeant en clair sur votre machine) puis à réimporter de l'autre (où ils seront re-chiffrés selon le schéma de la nouvelle app). Il n'existe pas de tuyau chiffré direct de coffre à coffre, parce que les deux apps ne partagent pas de clés, et c'est normal.

De Proton Drive vers Filarr, la démarche est la suivante. Vous téléchargez vos fichiers depuis Proton Drive (via l'app desktop ou le web), ce qui vous donne une copie déchiffrée dans un dossier local. Vous glissez ensuite ce dossier dans Filarr, qui chiffre chaque fichier avec sa propre clé au moment de l'import. La friction principale est le passage transitoire par des fichiers en clair sur votre disque le temps de la manip, donc faites-le sur une machine de confiance avec un disque chiffré, et supprimez proprement la copie intermédiaire ensuite. Le gain : vos fichiers passent d'un modèle où ils vivent chez Proton à un modèle où ils vivent chez vous, avec la sync comme option. Ce que vous perdez potentiellement : l'intégration à l'écosystème Proton et le web multi-appareils instantané, si vous en dépendiez.

Dans l'autre sens, de Filarr vers Proton Drive, c'est symétrique : vous exportez depuis Filarr (l'app permet d'exporter vos fichiers, y compris sous forme d'archive chiffrée pour la sauvegarde, mais pour migrer vous voudrez la version déchiffrée), puis vous uploadez dans Proton Drive. Si vous quittez Filarr pour Proton, c'est en général parce que vous voulez le web complet, les apps mobiles matures aujourd'hui, ou l'écosystème intégré, et ce sont des raisons légitimes. Dans les deux sens, ma recommandation est la même : migrez par lots, vérifiez l'intégrité d'un échantillon de fichiers après import, et ne supprimez la source qu'une fois la destination validée. La règle d'or de toute migration de données est de ne jamais avoir une seule copie pendant l'opération.

Le prix décortiqué, avec des scénarios chiffrés

Les grilles tarifaires ne veulent rien dire tant qu'on ne les projette pas sur un usage réel. Posons les faits d'abord. Proton Drive offre un plan gratuit qui démarre à 2 Go et monte à 5 Go après quelques actions d'onboarding dans les 30 premiers jours. Le stockage sérieux passe par un abonnement, le plus courant étant Proton Unlimited, autour de 9,99 euros par mois en engagement annuel (davantage en mensuel, jusqu'à environ 12,99), qui inclut 500 Go de stockage plus Mail, Docs, VPN et Pass. Filarr, de son côté, est gratuit à vie en local, sans limite artificielle de stockage puisque vous utilisez votre propre disque, et la synchronisation cloud commence à 4 euros par mois.

Scénario numéro un, l'utilisateur solo qui veut juste chiffrer ses fichiers sur son ordinateur, sans multi-appareils. Avec Filarr, coût : zéro, pour toujours, quel que soit le volume, parce que le local est gratuit et que votre stockage est votre disque. Avec Proton Drive, le plan gratuit vous limite à 5 Go, ce qui est vite atteint dès qu'on parle de photos ou de documents lourds, et au-delà il faut payer un abonnement. Pour ce profil, l'écart est net : Filarr gagne largement sur le coût pur.

Scénario numéro deux, l'utilisateur qui veut ses fichiers synchronisés sur deux ou trois appareils et une centaine de Go dans le cloud. Avec Proton Drive, vous êtes sur Proton Unlimited à ~9,99 euros par mois, mais vous obtenez 500 Go et surtout tout l'écosystème (Mail, VPN, Pass), donc si vous alliez de toute façon payer pour un VPN et un mail privé, le prix se justifie par le bundle. Avec Filarr à 4 euros par mois pour la sync, vous payez moins de la moitié, mais vous n'avez que la sync de fichiers, pas la suite. Le verdict dépend donc entièrement de si vous voulez la suite complète ou seulement du stockage : à besoin égal (juste des fichiers), Filarr est moins cher, à besoin étendu (toute une suite privacy), Proton Unlimited est un meilleur rapport global.

Scénario numéro trois, le professionnel avec beaucoup de données (500 Go et plus) et une exigence de souveraineté. Avec Proton, vous montez en gamme de stockage et le coût grimpe avec le volume, comme tout cloud. Avec Filarr, votre stockage local est limité par votre disque (donc quelques centaines de Go coûtent le prix d'un disque, une fois, pas par mois), et si vous voulez de la sync, l'option BYOS vous laisse brancher votre propre bucket S3, où vous ne payez que le stockage réel au tarif du fournisseur, souvent bien moins cher que les paliers d'un cloud grand public. Pour de gros volumes avec exigence de contrôle, le modèle de Filarr peut sortir nettement moins cher sur la durée, au prix d'un peu plus de configuration.

Open source et licence : ce que ça change vraiment pour vous

On agite souvent "open source" comme un totem, alors regardons ce que ça vous apporte concrètement dans chaque cas. Proton a ouvert le code de toutes les apps Proton Drive en septembre 2024. Concrètement, ça veut dire que des chercheurs indépendants peuvent lire le code des clients desktop et mobiles et vérifier que le chiffrement se passe comme annoncé. C'est une vraie garantie de transparence pour les clients installés, et couplée aux audits Securitum, ça donne un niveau de confiance vérifiable élevé. La limite, déjà évoquée, est double : le code serveur reste fermé, et pour l'app web, l'ouverture du code n'empêche pas structurellement qu'un code différent soit servi à une session ciblée. "Open source" chez Proton Drive veut donc dire "les apps que vous installez", ce qui est déjà beaucoup, pas "toute la pile de bout en bout".

Filarr fait un choix différent, à assumer honnêtement. Le client desktop est publié sous Business Source License 1.1, ce qui n'est pas de l'open source au sens strict de l'OSI : c'est une licence "source disponible" qui laisse lire et auditer le code, l'utiliser, le modifier pour soi, mais restreint certains usages commerciaux concurrents pendant une période avant de basculer en licence pleinement ouverte. Le site web de Filarr, lui, est sous AGPL-3.0, une vraie licence open source, et il faut bien distinguer les deux (le client sous BSL, le site sous AGPL). Pour vous, utilisateur, l'important est le résultat pratique : le code du client qui chiffre vos fichiers est lisible et auditable, vous pouvez vérifier ce qu'il fait, et comme c'est une app native installée, il n'y a pas de crypto re-servie par un serveur. Le choix de la BSL est un arbitrage entre transparence et modèle économique viable pour un petit éditeur, que je préfère assumer clairement plutôt que d'agiter un "open source" qui ne serait pas tout à fait exact.

Quatre profils, quatre recommandations honnêtes

Si vous êtes déjà dans l'écosystème Proton et que vous voulez une suite complète, choisissez Proton Drive, franchement. Vous avez déjà Mail, peut-être le VPN et Pass, vous voulez une seule identité, une seule facture, et du stockage privé qui s'intègre au reste. Proton Drive coche toutes ces cases, il est mature, audité, présent sur toutes les plateformes, et son chiffrement des métadonnées est excellent. Filarr, produit spécialisé et local-first, ne cherche pas à remplacer une suite entière, et vous n'auriez pas de raison de fragmenter votre vie numérique juste pour changer de modèle de stockage.

Si vous êtes une personne qui veut que ses fichiers vivent d'abord chez elle, sur son disque, et que le cloud soit une option et non une obligation, choisissez Filarr. C'est le cœur de la différence : chez Filarr, tant que vous n'activez pas la sync, aucun serveur ne détient rien, ce qui est le plus haut niveau de zero-knowledge possible, l'absence pure. Vous gardez vos fichiers quoi qu'il arrive à un abonnement, vous travaillez hors-ligne par défaut, et vous ajoutez le cloud si et quand vous le voulez, y compris sur votre propre bucket.

Si vous êtes un knowledge worker ou un dev qui veut relier ses notes et ses fichiers dans un seul cerveau chiffré, avec un graphe, Filarr est fait pour ça et Proton Drive ne l'est pas. Proton Drive stocke, Filarr organise et relie. Si votre besoin est de penser et de connecter des idées à des documents, pas seulement de ranger des fichiers, la différence est décisive et joue clairement pour Filarr.

Et si vous êtes un professionnel qui doit pouvoir montrer patte blanche, un audit externe, une conformité démontrable à un client ou à un DPO, Proton a aujourd'hui un avantage réel avec ses audits Securitum et sa longévité, que Filarr, plus jeune et sans audit externe public à ce jour, ne peut pas encore égaler sur ce terrain de la preuve institutionnelle. C'est un point où je préfère être honnête plutôt que de survendre : la crédibilité vérifiable par un tiers, ça se construit dans le temps, et Proton a une longueur d'avance.

Conclusion : oui, avec des astérisques que vous connaissez maintenant

Alors, Proton Drive est-il vraiment zero-knowledge ? Pour le stockage de vos fichiers et de leurs métadonnées, oui, sincèrement et solidement : le contenu, les noms, l'arborescence sont chiffrés côté client, les serveurs de Proton ne stockent que du chiffré et ne détiennent pas vos clés, et c'est validé par des audits externes et un code client ouvert. Sur ce terrain, Proton fait partie du haut du panier du cloud chiffré, et le mérite pleinement. Les astérisques ne sont pas des pièges cachés, ce sont les limites réelles et connues du modèle : l'app web livre son code de chiffrement à chaque session, ce qui déplace de la confiance vers le serveur, donc préférez les apps natives si le zero-knowledge est votre priorité ; le code serveur reste fermé, donc vous vérifiez le client et faites confiance pour le reste ; et "zero-knowledge" ne veut pas dire "le serveur ne sait rien", il sait que vous existez et quand vous vous connectez, il ne peut simplement pas lire vos fichiers.

Si ces astérisques vous vont, et pour beaucoup de gens ils sont parfaitement acceptables, Proton Drive est un excellent choix de cloud privé. Si, au contraire, l'idée que vos données doivent obligatoirement vivre chez un tiers, même aveugle, vous dérange, alors la question n'est plus "ce tiers est-il vraiment aveugle" mais "pourquoi mes données devraient-elles être chez un tiers tout court". C'est exactement la question qui m'a poussé à construire Filarr : un workspace chiffré où vos fichiers vivent d'abord sur votre disque, en AES-256-GCM par fichier, où le cloud ne fait que suivre si vous l'activez, et où le plus fort des zero-knowledge, l'absence de serveur, est le comportement par défaut. Les deux approches sont légitimes. Proton chiffre magnifiquement des données qui vivent chez lui. Filarr fait en sorte qu'elles n'aient pas à y vivre du tout. À vous de voir quelle promesse vous laisse dormir tranquille. Si vous voulez creuser la comparaison au-delà de la seule question du zero-knowledge, j'ai écrit un face-à-face complet dans Proton Drive vs Filarr, cloud chiffré contre workspace local-first.

FAQ

Proton Drive peut-il lire mes fichiers ? Non, pas le contenu. Vos fichiers sont chiffrés côté client avec OpenPGP et de la cryptographie sur courbe Curve25519 avant de quitter votre appareil, et Proton ne détient pas les clés qui permettraient de les déchiffrer. Le serveur ne stocke que du chiffré opaque. La seule nuance concerne l'app web, dont le code de chiffrement est livré par le serveur à chaque session, ce qui explique pourquoi les apps natives offrent une garantie plus forte.

Proton Drive chiffre-t-il aussi les noms de fichiers ? Oui, et c'est un de ses gros points forts. Contrairement à beaucoup de clouds "chiffrés" qui laissent les noms de fichiers, la structure des dossiers et les aperçus en clair côté serveur, Proton chiffre ces métadonnées de bout en bout. Le serveur ne voit donc ni le nom de vos fichiers, ni celui de vos dossiers, ni les miniatures.

"Zero-knowledge" veut-il dire que Proton ne sait absolument rien de moi ? Non, et c'est un malentendu fréquent. Zero-knowledge signifie que le serveur ne peut pas lire le contenu de vos données, pas qu'il ignore tout. Proton connaît l'existence de votre compte, votre adresse email de connexion, et des métadonnées techniques comme les schémas d'accès. C'est vrai de tout service cloud. Le contenu de vos fichiers, lui, reste inaccessible.

Qu'est-ce qui est plus "zero-knowledge", Proton Drive ou une app local-first comme Filarr ? Ça dépend de l'usage. Pour des données qui doivent vivre dans un cloud, Proton offre un excellent zero-knowledge. Mais le plus haut niveau de confidentialité, c'est l'absence de serveur : avec une app local-first comme Filarr, tant que vous n'activez pas la synchronisation, aucun serveur ne détient quoi que ce soit vous concernant. Impossible de lire ce qu'on n'a jamais.

Si j'oublie mon mot de passe Proton Drive, puis-je récupérer mes fichiers ? Uniquement via les mécanismes de récupération que vous avez configurés à l'avance, comme la phrase de récupération. Comme le chiffrement est côté client, Proton ne peut pas réinitialiser vos données à votre place. Attention à une subtilité : réinitialiser l'accès au compte n'équivaut pas toujours à retrouver la capacité de déchiffrer d'anciens fichiers si vous n'avez pas conservé votre moyen de récupération. Gardez-le hors-ligne, précieusement.

L'app web de Proton Drive est-elle aussi sûre que les apps installées ? Pour la robustesse du chiffrement lui-même, oui. Mais sur le plan du modèle de confiance, non tout à fait : l'app web reçoit son code de chiffrement du serveur à chaque session, donc en théorie un serveur compromis ou contraint pourrait servir un code altéré à une cible. Les apps natives, installées une fois et auditables, ne présentent pas cette faiblesse structurelle. Si le zero-knowledge est votre priorité absolue, privilégiez les apps desktop et mobiles.

Proton Drive est-il open source ? Les apps clientes (web, desktop, mobiles) ont été publiées en open source en septembre 2024, ce qui permet de vérifier que le chiffrement fonctionne comme annoncé côté client. Le code serveur, en revanche, reste fermé. "Open source" signifie donc ici les applications sur votre appareil, pas l'ensemble de l'infrastructure serveur.

Combien coûte Proton Drive comparé à Filarr ? Proton Drive propose un plan gratuit de 2 à 5 Go, puis l'abonnement Proton Unlimited autour de 9,99 euros par mois en annuel pour 500 Go plus toute la suite Proton. Filarr est gratuit à vie en local (votre stockage est votre disque, sans limite artificielle), et la synchronisation cloud optionnelle démarre à 4 euros par mois, avec la possibilité d'utiliser votre propre bucket S3. À besoin purement stockage, Filarr est moins cher ; à besoin de suite complète, Proton Unlimited offre un meilleur rapport global.