Matrix et Element (ex-Riot) : comment fonctionne cette messagerie décentralisée

Beaucoup de gens cherchent encore « Riot » : l'application porte le nom d'Element depuis 2020. Elle n'est qu'une porte d'entrée vers Matrix, un réseau de messagerie sans centre, qui fonctionne un peu comme l'e-mail. Ce modèle a des avantages réels, et des limites qu'il vaut mieux connaître avant de s'y installer.

En bref

• Element est une application. Matrix est le protocole, ouvert, que plusieurs applications utilisent.
• Personne ne détient tout le réseau : chaque serveur héberge ses comptes et échange avec les autres.
• Les conversations privées sont chiffrées de bout en bout par défaut. Les serveurs voient tout de même qui parle dans quel salon, et quand.
• Pour une messagerie simple avec ses proches, Signal reste plus facile. Matrix se justifie pour des communautés, des organisations, ou pour héberger soi-même.

De Riot à Element

Le 15 juillet 2020, Riot est devenu Element. La société qui le développait, New Vector, a pris le même nom, et son service d'hébergement Modular est devenu Element Matrix Services. Il s'agit d'un changement de nom : l'application est la même.

Matrix, le réseau derrière l'application

Matrix fonctionne « comme l'e-mail, mais pour la messagerie instantanée », selon sa propre documentation. Vous ouvrez un compte sur un serveur d'accueil (homeserver), et votre identifiant contient le nom de ce serveur, sous la forme @pseudo:serveur.fr. Vous pouvez écrire à quelqu'un inscrit sur un autre serveur, comme une adresse Gmail écrit à une adresse Proton.

Quand vous envoyez un message dans un salon, votre serveur l'ajoute à l'historique du salon et le transmet à chaque autre serveur qui y participe. Chaque serveur garde sa propre copie de l'historique. Un salon ne dépend donc pas d'un seul serveur, mais les données existent à autant d'endroits qu'il y a de serveurs participants.

Le protocole est confié à la Matrix.org Foundation, une société d'intérêt communautaire britannique, chargée de le maintenir comme un standard unique. Element, la société, développe l'application Element et un logiciel serveur ; d'autres applications compatibles existent. L'application Element est gratuite.

Le chiffrement

Depuis le 6 mai 2020, Element chiffre de bout en bout par défaut toutes les nouvelles conversations non publiques. Matrix utilise deux mécanismes décrits dans sa spécification : Megolm chiffre les messages de chaque salon, conversations à deux comprises, et Olm sert à transmettre les clés Megolm d'un appareil à l'autre. Notre article sur le chiffrement de bout en bout explique le principe.

En pratique, deux réglages comptent :

• La phrase ou clé de récupération : elle permet de retrouver l'historique chiffré sur un nouvel appareil. Sans elle, une réinstallation peut faire perdre l'accès aux anciens messages.
• La vérification : comparer des émojis ou scanner un code QR avec un contact confirme que vous parlez bien à ses appareils. Une fois vérifiés, ses nouveaux appareils sont reconnus automatiquement.

Un précédent à connaître : en septembre 2022, des chercheurs de Royal Holloway, de l'université de Sheffield et de Brave ont trouvé deux failles critiques dans les bibliothèques utilisées par Element et d'autres clients. Matrix a précisé qu'il s'agissait d'erreurs d'implémentation, pas du protocole, et a demandé une mise à jour immédiate. Gardez l'application à jour. Et comme pour toute messagerie, le chiffrement ne protège pas un téléphone ou un ordinateur déjà compromis.

Ce que les serveurs voient encore

• Les salons publics ne sont pas chiffrés par défaut : tout serveur qui y participe en lit le contenu.
• Les métadonnées restent visibles des serveurs qui hébergent un salon, même chiffré : qui en fait partie, qui y entre ou en sort, quand les messages sont envoyés. Notre article sur les métadonnées explique pourquoi cela compte.
• Votre serveur d'accueil connaît votre compte, vos appareils et votre adresse IP. Le choix du serveur est donc un choix de confiance.

Si votre risque porte surtout sur les métadonnées, des messageries conçues pour en exposer moins, comme SimpleX Chat, sont à comparer. Voir notre comparatif des messageries.

Tchap, la version de l'État

Tchap, lancé en version bêta le 19 avril 2019, est la messagerie des agents publics français. D'après le communiqué de lancement, elle s'appuie sur Riot adapté aux besoins de l'État et sur le standard Matrix, avec la contribution de l'ANSSI.

En juin 2026, la direction du numérique de l'État a confirmé une intrusion : selon Acteurs publics, l'attaquant a obtenu des identifiants par ingénierie sociale et accédé aux salons publics, non chiffrés, touchant 73 467 comptes. Selon la direction du numérique de l'État, citée par le même média, les conversations privées, chiffrées, sont restées inaccessibles. L'épisode illustre la limite décrite plus haut : ce qui n'est pas chiffré de bout en bout reste lisible par qui accède au serveur.

Pour qui, et avec quel serveur

• Pour parler avec vos proches : Signal demande moins de réglages et ne vous fait pas choisir de serveur.
• Pour une association, un groupe de projet ou une communauté : Matrix permet des salons nombreux, des passerelles et des comptes sur le serveur de votre choix.
• Pour garder la main sur les données : héberger son propre serveur, avec les contraintes décrites dans notre guide de l'auto-hébergement. Un serveur mal entretenu est un risque en soi.

La fiche Matrix / Element du catalogue détaille les applications et les plateformes.

FAQ

Riot et Element, est-ce la même application ?

Oui. Le 15 juillet 2020, Riot a été renommé Element, et la société New Vector qui le développait a pris le même nom. Les utilisateurs de Riot sur Android ont été mis à jour automatiquement vers Element.

Faut-il un compte sur matrix.org pour utiliser Element ?

Non. Element se connecte à n'importe quel serveur Matrix. matrix.org est un serveur parmi d'autres ; vous pouvez en choisir un autre ou héberger le vôtre, et parler quand même avec les utilisateurs des autres serveurs.

Les messages Element sont-ils chiffrés ?

Les conversations non publiques créées depuis mai 2020 sont chiffrées de bout en bout par défaut. Les salons publics ne le sont pas, et les serveurs voient toujours qui participe à quel salon et quand.

Sources

• Element, Welcome to Element (15 juillet 2020) et chiffrement par défaut (6 mai 2020)
• Matrix, concepts, la fondation, spécification et failles de 2022
• DINSIC, communiqué de lancement de Tchap (19 avril 2019)
• Acteurs publics, intrusion sur Tchap (juin 2026)