Éditions compatibles avec cette fonctionnalité : Enterprise Plus, Education Standard et Education Plus. Comparer votre édition
Vous trouverez ici des réponses aux questions fréquentes sur le chiffrement côté client (CSE) Google Workspace.
Ouvrir la section | Tout réduire
À propos du chiffrement
Où puis-je trouver des informations sur le chiffrement par défaut de Google ?
Pour en savoir plus sur le chiffrement par défaut de Google, accédez au site Google Cloud.
Pour en savoir plus sur le chiffrement standard de Gmail, consultez Chiffrement en transit dans le centre d'aide Gmail.
En quoi le CSE est-il différent du chiffrement de bout en bout ?
Avec le chiffrement de bout en bout, le chiffrement et le déchiffrement ont toujours lieu sur les appareils source et cible (par exemple, sur les téléphones mobiles pour la messagerie instantanée). Les clés de chiffrement sont générées sur le client, or en tant qu'administrateur, vous ne pouvez pas contrôler les clés sur les clients, ni les personnes autorisées à les utiliser. De plus, vous ne pouvez pas savoir quels sont les contenus chiffrés par les utilisateurs.
Avec le chiffrement côté client (CSE), le chiffrement et le déchiffrement ont également toujours lieu sur les appareils source et cible, ici les navigateurs des clients. Toutefois, les clients utilisent des clés de chiffrement générées et stockées à l'aide d'un service de gestion de clés dans le cloud. Vous pouvez ainsi contrôler les clés et les accès à celles-ci. Par exemple, vous pouvez révoquer l'accès d'un utilisateur à des clés, même si c'est lui qui les a générées. Vous pouvez également surveiller les fichiers chiffrés des utilisateurs.
Comprendre l'expérience utilisateur du CSE
Comment les utilisateurs chiffrent-ils les données à l'aide du CSE ?
Les utilisateurs peuvent choisir une option dans les services compatibles pour activer le CSE. Pour savoir comment les utilisateurs peuvent activer le CSE dans les applications Web et mobiles, consultez Présentation de l'expérience utilisateur avec le chiffrement côté client.
Existe-t-il des limites pour les utilisateurs qui utilisent le CSE ?
Oui, certaines fonctionnalités des services Google ne sont pas disponibles lorsque le CSE est activé. Pour en savoir plus, consultez Présentation de l'expérience utilisateur avec le chiffrement côté client.
Configurer le CSE
Que sont les clés de chiffrement et comment puis-je les obtenir ?
Une clé de chiffrement est utilisée pour transformer les données dans un format illisible afin qu'elles apparaissent de manière aléatoire. Cela permet de préserver la confidentialité des données pour toute personne ou tout élément non autorisé à les lire. Pour lire des données chiffrées, une personne ou une application a besoin d'une clé permettant de reconvertir les données dans leur format d'origine.
Pour ajouter une couche de chiffrement aux données Google Workspace de votre organisation à l'aide de clés de chiffrement, vous devez utiliser un service de gestion des clés partenaire de Google ou créer votre propre service de clés à l'aide de l'API CSE de Google. Pour Gmail uniquement, vous pouvez également utiliser le chiffrement par clé matérielle, dans lequel la clé de chiffrement d'un utilisateur se trouve sur une carte à puce.
Quels services de gestion des clés partenaires puis-je utiliser avec le CSE ?
Google a collaboré avec plusieurs services de gestion des clés pour une utilisation avec le CSE. Pour obtenir la liste des services, consultez Configurer votre service de clés pour le chiffrement côté client.
Puis-je utiliser Google comme service de gestion des clés ?
Non, vous devez utiliser un service de gestion de clés externe pour configurer le chiffrement côté client Google Workspace. Avec le CSE, vous contrôlez vos propres clés de chiffrement, et Google ne peut pas y accéder pour déchiffrer vos données.
Puis-je utiliser plusieurs services de clés ?
Oui, vous pouvez utiliser plusieurs services de clés et choisir le service à utiliser pour une unité organisationnelle ou un groupe donné. Vous pouvez également migrer le contenu chiffré d'un service à un autre.
Remarque : Dans la console d'administration, vous pouvez configurer un seul service de clés pour le chiffrement côté client Gmail. Si vous souhaitez connaître les autres options disponibles pour gérer des clés, consultez la Présentation de l'API Google Workspace Client-side Encryption.
Puis-je utiliser des cartes à puce avec le CSE ?
Oui, si votre organisation utilise des cartes à puce pour accéder aux installations et aux systèmes, vous pouvez configurer le chiffrement par clé matérielle pour le CSE Gmail. Requires having the Assured Controls add-on. Les utilisateurs peuvent chiffrer leurs e-mails à l'aide de leur carte à puce contenant leur clé de chiffrement privée. Pour en savoir plus, consultez Configurer et gérer le chiffrement par clé matérielle pour le chiffrement côté client (Gmail uniquement).
Puis-je utiliser à la fois un service de clés et des clés de chiffrement matérielles pour Gmail ?
Oui, vous pouvez configurer à la fois un service de clés et des clés de chiffrement matérielles pour le CSE Gmail. Requires having the Assured Controls add-on. Vous attribuez également le service de clés et le chiffrement par clé matérielle aux mêmes utilisateurs. Toutefois, un utilisateur ne peut utiliser qu'un seul type de chiffrement pour Gmail, selon la configuration de sa clé de chiffrement privée pour Gmail. Pour en savoir plus, consultez Importer des clés de chiffrement pour le chiffrement côté client (Gmail uniquement).
Puis-je changer de service de clés ?
Oui, vous pouvez changer de service de clés. Dans ce cas, il est recommandé de migrer le contenu chiffré avec votre service de clés actuel vers le nouveau service. Pour en savoir plus, consultez Si vous souhaitez changer de service de clés.
Comment limiter les utilisateurs ou les groupes ayant accès à mon service de clés externe ?
Vous gérez la liste de contrôle d'accès aux clés de chiffrement par l'intermédiaire de votre service de clés externe. Votre liste de contrôle d'accès aux clés doit inclure tous les utilisateurs qui doivent chiffrer ou déchiffrer (afficher ou modifier) le contenu. Pour en savoir plus, contactez votre fournisseur de chiffrement.
Vous devez par ailleurs activer le CSE pour tous les utilisateurs qui doivent chiffrer des données. Pour en savoir plus, consultez Activer ou désactiver le chiffrement côté client pour les utilisateurs.
Puis-je appliquer l'utilisation du CSE pour des utilisateurs spécifiques ?
Pour Gmail, Google Drive et Google Agenda, vous pouvez indiquer que le CSE est activé par défaut pour des unités organisationnelles spécifiques. Requires having the Assured Controls add-on.
Dans ce cas, les utilisateurs peuvent toujours le désactiver si nécessaire.
Pour en savoir plus, consultez Activer ou désactiver le chiffrement côté client pour les utilisateurs.
Comment configurer le CSE pour les Drive partagés ?
Vous n'avez pas besoin de configurer le CSE pour les Drive partagés. Le service de clés externe que vous avez configuré dans la console d'administration fonctionne pour les fichiers de Mon Drive et des Drive partagés.
Que se passe-t-il si je reçois une alerte lors de la configuration du CSE ?
Si vous rencontrez un problème de configuration du CSE, consultez Afficher les détails des alertes pour en savoir plus.
Puis-je autoriser les utilisateurs externes à accéder au contenu chiffré côté client de notre organisation ?
Oui. Consultez Fournir un accès externe au contenu chiffré côté client.
Utiliser du contenu chiffré côté client
Puis-je rechiffrer des fichiers existants avec une autre clé de chiffrement ?
Vous pouvez migrer des fichiers chiffrés côté client vers un nouveau service de clés. Pour en savoir plus, consultez Si vous souhaitez changer de service de clés.
Puis-je remplacer le chiffrement d'un fichier par le chiffrement par défaut de Google ?
Oui, vous pouvez supprimer le chiffrement côté client d'un document, d'une feuille de calcul ou d'une présentation Google. Pour en savoir plus, consultez Supprimer le chiffrement d'un document.
Comment déchiffrer les fichiers Drive et les e-mails exportés ?
Pour déchiffrer les fichiers chiffrés côté client ayant été exportés à l'aide de l'outil d'exportation de données ou de Google Vault, vous pouvez utiliser l'utilitaire de déchiffrement accessible via la ligne de commande. Pour en savoir plus, consultez Déchiffrer des fichiers chiffrés côté client exportés.
Puis-je conserver, rechercher et exporter des fichiers et des e-mails chiffrés dans Google Vault ?
Oui. Si votre édition Google Workspace comprend Google Vault, vous pouvez conserver, rechercher et exporter des fichiers Drive et des e-mails Gmail chiffrés côté client dans Vault.
Vous pouvez rechercher des fichiers chiffrés côté client en fonction de leurs métadonnées telles que le titre et le propriétaire. Toutefois, vous ne pouvez pas rechercher de contenu dans la vue d'aperçu, effectuer une recherche par type de fichier ou prévisualiser le contenu.
Pour en savoir plus, consultez le Centre d'aide Google Vault.
Analyser les e-mails et les fichiers chiffrés côté client
Drive et Gmail analysent-ils automatiquement le contenu chiffré côté client pour détecter les menaces de sécurité ?
Les fichiers et les e-mails chiffrés côté client ne sont pas analysés pour détecter les tentatives d'hameçonnage et les logiciels malveillants, car les serveurs de Google n'ont pas accès au contenu.
Puis-je exécuter des analyses de protection contre la perte de données pour le contenu des fichiers ou des e-mails chiffrés côté client ?
Les analyses de protection contre la perte de données ne peuvent pas accéder au contenu chiffré côté client dans les fichiers ou les e-mails. Toutefois, elles peuvent accéder aux métadonnées non chiffrées d'un fichier telles que le titre et les libellés Drive. Ces analyses peuvent donc tout de même permettre d'éviter les fuites de données sensibles.
Passer à une édition Google Workspace non compatible avec le CSE
Qu'advient-il du contenu chiffré si les licences des utilisateurs n'incluent plus le CSE ?
Si les utilisateurs passent à une licence Google Workspace qui n'inclut pas le CSE, ils peuvent toujours accéder aux éléments chiffrés côté client, tels que les fichiers et les e-mails, et les modifier. En revanche, ils ne peuvent pas créer d'éléments chiffrés côté client.
Puis-je supprimer le chiffrement du contenu si je ne souhaite plus utiliser le CSE ?
Si vous ne souhaitez plus utiliser le CSE et déchiffrer des éléments tels que des fichiers et des e-mails, vous devez d'abord exporter ces éléments à l'aide de l'outil d'exportation des données. Supprimez ensuite le CSE à l'aide de l'utilitaire de déchiffrement.
