OneDrive Personal Vault est le dossier que Microsoft propose à toute personne qui paie déjà pour OneDrive ou l'utilise simplement. Il se trouve au sein de votre OneDrive, réclame une seconde vérification avant de s'ouvrir et se reverrouille dès que vous vous éloignez. La question que les gens se posent ensuite est de savoir s'il est réellement chiffré, et si cela revient à une véritable confidentialité. Voici ce que dit Microsoft, et ce que cela signifie concrètement.

Ce que fait Personal Vault

Microsoft décrit Personal Vault comme une zone protégée dans OneDrive pour vos fichiers et photos les plus importants ou sensibles. Par rapport au reste de votre OneDrive, il apporte plusieurs éléments :

  1. Une seconde vérification pour l'ouvrir. Vous connecter à votre compte Microsoft ne suffit pas. Vous confirmez également par empreinte digitale, visage, code PIN, un code envoyé par e-mail ou SMS, ou avec l'application Microsoft Authenticator.
  2. Verrouillage automatique. Microsoft précise qu'il se verrouille après 20 minutes d'inactivité sur le web et 3 minutes sur mobile. Sur un PC Windows, vous définissez vous-même le délai d'attente.
  3. Aucun partage. Les fichiers à l'intérieur ne peuvent pas être partagés. Vous devez d'abord sortir le fichier du coffre.
  4. Moins de traces. Les éléments du coffre n'apparaissent pas dans la recherche OneDrive et les miniatures sont masquées sur votre ordinateur.

Pour garder une déclaration d'impôts ou un scan de passeport derrière une porte supplémentaire par rapport au reste de vos fichiers cloud, c'est une conception judicieuse.

Est-il chiffré ?

Oui, de la même manière que le reste de OneDrive. La page d'assistance de Microsoft expliquant comment OneDrive protège vos données indique que chaque fichier est chiffré au repos avec une clé AES-256 unique, et que les fichiers sont protégés en transit avec TLS. Sur un PC Windows, les fichiers de Personal Vault se synchronisent dans une zone de votre disque chiffrée avec BitLocker, et Microsoft affirme qu'ils ne sont pas mis en cache sans protection sur votre PC, appareil ou navigateur.

Ce que Microsoft ne dit pas, c'est qu'il est chiffré de bout en bout. La même page explique que la clé de chaque fichier est elle-même chiffrée à l'aide de clés maîtresses conservées dans Azure Key Vault, le service de clés propre à Microsoft. Les clés sont donc gérées du côté de Microsoft, et non dérivées d'un mot de passe que vous êtes seul à détenir. C'est la différence que détaille Le chiffrement zero-knowledge expliqué : un chiffrement qui protège vos fichiers contre des tiers extérieurs n'est pas équivalent à un chiffrement qui en exclut aussi le fournisseur du service.

Ce qui l'ouvre

La force de Personal Vault réside dans cette étape supplémentaire. Quelqu'un qui détient votre mot de passe Microsoft a toujours besoin de votre empreinte, de votre visage, de votre PIN ou d'un code pour entrer. C'est une protection bien réelle contre un mot de passe ayant fuité.

Il convient toutefois d'être lucide sur ce contre quoi cette étape supplémentaire protège. Il s'agit d'un contrôle d'accès placé devant des fichiers qui résident sur votre compte Microsoft. Toute personne en mesure de franchir cette étape, ou assise devant votre PC déverrouillé avant la fermeture du coffre, a accès aux fichiers. Et comme les clés demeurent chez Microsoft, le coffre est protégé par les politiques de Microsoft, et non par un secret dont vous êtes le seul détenteur.

Les limites que la plupart ignorent

La propre FAQ de Microsoft liste plusieurs limites utiles à connaître avant de s'y fier :

  • Trois fichiers sur l'offre gratuite. Sans abonnement Microsoft 365 Famille ou Personnel, vous ne pouvez ajouter que trois fichiers au maximum.
  • Aucune application Mac. Personal Vault est disponible depuis le web, l'application mobile ou un PC Windows. macOS ne figurant pas sur la liste des systèmes pris en charge, vous l'utilisez dans le navigateur sur un Mac.
  • Noms de fichiers sous Windows 10. Microsoft indique que Personal Vault sous Windows 10 ne protège pas les noms ni les empreintes (hashes) des fichiers lorsque le coffre est verrouillé.
  • Suppression sur un PC. Les fichiers supprimés de Personal Vault sur un PC sont effacés définitivement et ne transitent pas par la corbeille de l'ordinateur.
  • Modification sur mobile. Vous pouvez visualiser des documents Office sur votre téléphone, mais vous devez les extraire du coffre pour les modifier.
  • Listes des fichiers récents. Un fichier ouvert depuis le coffre peut continuer d'apparaître dans la liste des éléments récents de l'application concernée.

Aucun de ces points ne constitue un défaut à proprement parler, mais plutôt la nature même de la fonctionnalité : un recoin verrouillé d'un disque cloud, conçu avant tout pour Windows.

Le test du verrou ou de la grille

Dans Comment protéger un dossier par mot de passe sur Mac et Windows, nous utilisons trois critères pour juger tout dossier verrouillé. Voici les réponses qu'y apporte Personal Vault :

  1. Les fichiers sont-ils chiffrés ? Oui : AES-256 au repos, TLS en transit, BitLocker pour les copies locales sur Windows. Pas de bout en bout.
  2. La clé est-elle distincte de votre compte ? En partie. Une seconde vérification est demandée, mais le coffre fait partie intégrante de votre compte Microsoft et les clés sont gérées par Microsoft.
  3. Que se passe-t-il en cas d'oubli ? Vous récupérez l'accès via votre compte Microsoft et ses méthodes de vérification. Pratique, mais c'est aussi le signe que vous n'êtes pas seul à détenir la clé.

Cela fait de Personal Vault une solide grille devant un stockage cloud, plutôt qu'un verrou que vous seul pouvez ouvrir. Si ce que vous cherchez est une véritable alternative, Le meilleur dossier sécurisé pour Windows et Mac compare les solutions côte à côte.

Quand un coffre-fort dédié vaut la peine

Une application de coffre-fort dédiée comme Vaultine répond différemment à ces questions. Les fichiers sont chiffrés sur votre appareil avec AES-256 et ne s'ouvrent qu'avec le modèle ou le code PIN propre à Vaultine, distinct de votre compte Microsoft, de votre mot de passe Mac ou du code de déverrouillage de votre téléphone.

Elle répond aussi aux besoins que Personal Vault ne cherche pas à couvrir :

  • Une véritable application Mac. Vaultine s'exécute nativement sur macOS et Windows, et le même coffre fonctionne également sur iPhone et Android. Le coffre-fort chiffré pour tous vos appareils montre comment procéder.
  • Face à une demande de déverrouillage. Un Decoy Vault et un Duress Vault gèrent l'instant où quelqu'un exige que vous ouvriez le coffre.
  • Un modèle ou un code PIN oublié. Une phrase de récupération de 12 mots vous redonne l'accès. Personne d'autre ne détenant votre clé, personne d'autre ne peut le faire à votre place.

Vos fichiers restent sur votre appareil par défaut. La synchronisation Dropbox (Pro) est facultative, et si vous l'activez, les fichiers sont chiffrés avant même de quitter votre appareil. Si vous préférez continuer d'utiliser OneDrive, Chiffrer des fichiers avant de les envoyer sur Dropbox expose le même principe pour n'importe quel stockage en ligne : chiffrer d'abord, téléverser ensuite.

La version courte

OneDrive Personal Vault est chiffré : AES-256 au repos, TLS en transit et BitLocker sur les PC Windows. Il ajoute une seconde vérification, se reverrouille automatiquement et bloque le partage. Il n'est pas chiffré de bout en bout, les clés sont gérées par Microsoft, les comptes gratuits sont limités à trois fichiers et il n'y a pas d'application Mac. Si vous cherchez un verrou avec sa propre clé qui fonctionne de manière identique sur votre Mac et sur votre PC, c'est précisément le rôle d'un coffre-fort dédié.

Essayez gratuitement avec un maximum de 10 fichiers sur vaultine.app.