Instagram supprime le chiffrement de ses DM pour 2 milliards d'utilisateurs

Meta a supprimé le chiffrement de bout en bout (E2EE) des messages directs Instagram à compter du 8 mai 2026, une décision qui prive de protection de la vie privée environ 2 milliards d'utilisateurs dans le monde. Ce changement annule une fonctionnalité qu'Instagram avait introduite en option fin 2023, et ouvre la porte à Meta, aux forces de l'ordre et aux systèmes automatisés d'analyse de contenu pour accéder aux conversations privées, aux photos et aux messages vocaux.

Ce qui a changé et quand

Meta a annoncé ce retour en arrière le 13 mars 2026, citant une faible adoption par les utilisateurs comme justification. L'entreprise a déclaré que « très peu de personnes optaient pour la messagerie chiffrée de bout en bout dans les DM, nous supprimons donc cette option d'Instagram ». À partir du 8 mai, tous les DM Instagram reviennent au chiffrement standard côté serveur, ce qui signifie que Meta détient les clés et peut lire le contenu des messages à la demande des forces de l'ordre ou si les règles de la plateforme l'exigent.

Instagram expérimentait l'E2EE depuis 2021 et l'avait déployé plus largement en tant que fonctionnalité optionnelle fin 2023, positionnant la confidentialité comme un argument de vente face à ses concurrents. Ce positionnement est désormais bel et bien abandonné.

Les vraies raisons de ce revirement

Les experts en confidentialité et les chercheurs en sécurité sont sceptiques quant aux raisons officielles de Meta. Supprimer une fonctionnalité parce que peu d'utilisateurs l'activent — au lieu de la laisser pour ceux qui le souhaitent — pointe vers des pressions réglementaires et commerciales plus profondes.

• EU Chat Control : Le projet de loi de la Commission européenne obligerait les plateformes de messagerie à analyser les communications privées pour détecter les contenus pédocriminels (CSAM). L'E2EE rend cela techniquement impossible. Supprimer l'E2EE lève un obstacle majeur à la conformité si la réglementation est adoptée.
• US Take It Down Act : Promulguée et entrant en vigueur le 19 mai 2026, 11 jours seulement après le revirement d'Instagram, cette loi exige que les plateformes détectent et suppriment les images intimes non consensuelles, y compris les deepfakes, dans les 48 heures suivant un signalement. La conformité nécessite à nouveau la capacité d'analyser le contenu.
• UK Online Safety Act : Le régulateur britannique Ofcom détient déjà le pouvoir d'ordonner aux plateformes de détecter les CSAM en vertu de l'Online Safety Act. La conformité de Meta dans plusieurs juridictions devient considérablement plus simple sans l'E2EE.

Ce que cela signifie pour les utilisateurs

Concrètement, les DM Instagram ne sont plus privés au sens traditionnel. Les métadonnées indiquant à qui vous envoyez des messages et quand ont toujours été accessibles à Meta, mais maintenant le contenu lui-même est également lisible par l'entreprise et peut être partagé avec les gouvernements qui émettent des requêtes légales valides.

Pour les journalistes, les activistes, les lanceurs d'alerte et toute personne vivant sous un gouvernement autoritaire, cela représente une augmentation significative des risques. Instagram est largement utilisé dans les pays aux régimes restrictifs précisément parce qu'il était considéré comme un canal relativement privé. Cette hypothèse ne tient plus.

Pour les utilisateurs ordinaires, ce changement signifie que les DM Instagram portent désormais les mêmes attentes en matière de confidentialité que les e-mails hébergés sur un serveur tiers : vos messages sont à l'abri des inconnus, mais pas de l'opérateur de la plateforme ni des procédures judiciaires.

Les alternatives qui offrent toujours l'E2EE

Si la messagerie privée compte pour vous, la garantie technique que Meta vient de supprimer est toujours disponible dans des applications dédiées. Signal reste la référence : l'application est open source, auditée de manière indépendante et l'E2EE est activé par défaut. WhatsApp (qui appartient également à Meta) maintient toujours l'E2EE pour les messages individuels, bien que sa collecte de métadonnées soit importante. Telegram n'offre l'E2EE que dans son mode « Échanges secrets ».

La grande leçon à retenir du revirement d'Instagram est que le chiffrement fourni par une plateforme n'est durable que tant que la plateforme est disposée à le maintenir face à la pression réglementaire. Un chiffrement intégré dans une application contrôlée par une entreprise soumise aux demandes des forces de l'ordre est fondamentalement différent d'un chiffrement que vous contrôlez vous-même.

Un VPN est-il utile ?

Un VPN ne peut pas restaurer le chiffrement de bout en bout de vos messages Instagram, car il s'agissait d'une fonctionnalité côté serveur que Meta a choisi de supprimer. Ce qu'un VPN fournit, c'est une couche de protection différente : il chiffre la connexion entre votre appareil et le serveur VPN, de sorte que votre fournisseur d'accès Internet ne peut pas voir que vous utilisez Instagram ni enregistrer votre activité. Cela est particulièrement important dans les pays où les FAI sont légalement tenus de surveiller l'utilisation des réseaux sociaux. Un VPN masque également votre adresse IP aux serveurs d'Instagram. Cependant, il n'empêche pas Meta de lire vos messages une fois qu'ils arrivent sur leurs serveurs : cette protection a totalement disparu d'Instagram.