Test & Avis Expert
Gpg4win est la distribution Windows de GnuPG : elle installe le moteur de chiffrement et les outils qui l’entourent pour chiffrer et signer fichiers et courriels au standard OpenPGP. Elle réunit GnuPG, le gestionnaire de clés Kleopatra, le greffon GpgOL pour Outlook et l’intégration GpgEX à l’explorateur de fichiers. Logiciel libre, sous GNU GPL ou LGPL selon les composants, financé par des dons et par des contrats publics allemands. La version 5.1.0 a été publiée le 29 juillet 2026 ; elle embarque GnuPG 2.5.21, GpgOL 2.7.3, GpgEX 1.1.2, Libgcrypt 1.12.2 et Libksba 1.8.0.
Comment ça marche
OpenPGP repose sur une paire de clés : la clé publique, que vous distribuez, sert à chiffrer à votre intention et à vérifier vos signatures ; la clé privée, protégée par une phrase de passe et conservée sur votre machine, sert à déchiffrer et à signer. Kleopatra gère ce trousseau — création, importation, certification, révocation — et sert de point d’entrée à tout le reste. GpgEX ajoute les entrées de menu contextuel dans l’explorateur pour chiffrer un fichier ou un dossier ; GpgOL fait la même chose dans Outlook.
Le chiffrement est réalisé sur votre poste, avant tout envoi. Ni le fournisseur de messagerie, ni l’hébergeur du fichier ne voient le contenu. Les versions récentes ont suivi les évolutions du standard : la branche 5.0.0, sortie le 14 janvier 2026, a apporté la prise en charge de Kyber, l’algorithme d’échange de clés résistant aux ordinateurs quantiques, ainsi qu’un nouveau greffon Outlook et le passage à Qt 6.10.1. Le rythme de correction est soutenu : la 5.0.2 du 16 mars 2026 corrigeait notamment une vulnérabilité de libpng, et la 5.0.1 un dépassement de tampon dans l’agent GnuPG.
Ce que ça ne protège pas
OpenPGP ne chiffre que le corps du message et les pièces jointes. L’expéditeur, les destinataires, la date et l’objet circulent en clair : qui écrit à qui, quand, et à quel sujet reste visible du fournisseur de messagerie et de quiconque observe le trafic. Pour beaucoup de modèles de menace, c’est l’essentiel de l’information.
Le second point est la confidentialité persistante, que OpenPGP n’offre pas : la même clé privée sert pendant des années, si bien qu’une clé compromise aujourd’hui déchiffre tous les messages archivés depuis sa création. Les messageries modernes renouvellent leurs clés à chaque échange, pas OpenPGP.
Enfin, la difficulté d’usage est un risque réel, pas un détail de confort : vérifier l’empreinte d’une clé avant de s’y fier est l’étape qui fait tenir tout l’édifice, et c’est celle qu’on saute. Une clé récupérée sur un serveur de clés sans vérification hors bande ne prouve rien.
Face aux alternatives
GnuPG est le moteur seul, en ligne de commande, sur toutes les plateformes. GPG Suite est l’équivalent de Gpg4win pour macOS, avec une partie payante. Thunderbird embarque sa propre implémentation OpenPGP et ne dépend pas de Gpg4win. Pour de la messagerie confidentielle sans gérer de clés, Signal ou Proton Mail résolvent le problème autrement, avec moins de contrôle et moins d’interopérabilité.
