Test & Avis Expert
OpenKeychain est une application Android de gestion de clés OpenPGP : elle crée et stocke les clés, chiffre, déchiffre et signe, et sert de fournisseur de chiffrement à d’autres applications comme K-9 Mail, FairEmail, Conversations ou Password Store. Logiciel libre sous GPL-3.0 ou ultérieure, gratuit, distribué sur F-Droid et Google Play. Un audit indépendant mené par Cure53 n’a relevé aucun problème critique.
Comment ça marche
L’intérêt d’OpenKeychain est d’être un service partagé plutôt qu’une application isolée. Le trousseau vit dans OpenKeychain, protégé par le stockage sécurisé d’Android ; les autres applications ne manipulent jamais la clé privée mais demandent à OpenKeychain d’effectuer l’opération pour elles, via une interface dédiée. Une clé créée une fois sert donc à la messagerie, à la messagerie instantanée et au gestionnaire de mots de passe sans être dupliquée.
L’application gère aussi les clés matérielles compatibles OpenPGP par NFC ou USB, ce qui permet de garder la clé privée hors du téléphone. Les clés produites sont interopérables avec GnuPG, Gpg4win ou Thunderbird. Aucun serveur n’intervient, sauf si vous choisissez de publier ou de récupérer une clé sur un serveur de clés. Il n’y a pas de modèle économique.
Ce que ça ne protège pas
La limite décisive est l’état du projet. Les développeurs indiquent explicitement dans le dépôt que le logiciel n’est plus activement développé : ils appliquent encore les correctifs de sécurité signalés et la maintenance de base, mais aucune fonction nouvelle n’est prévue. Les faits confirment : la dernière version publiée est la 6.0.4, et le dépôt n’a plus reçu de modification depuis le 16 mai 2024, soit plus de deux ans. Pour une application qui manipule des clés privées sur un système dont les mécanismes de sécurité évoluent à chaque version, c’est une réserve sérieuse.
Les limites d’OpenPGP s’ajoutent : l’expéditeur, les destinataires, la date et l’objet d’un courriel restent en clair ; il n’y a pas de confidentialité persistante ; et la vérification de l’empreinte d’une clé par un canal séparé est l’étape que tout le monde saute.
Enfin, un téléphone est un mauvais coffre : une clé privée sur un appareil Android est protégée par le verrouillage de l’appareil et par le stockage sécurisé, pas par un périphérique dédié. Le recours à une clé matérielle est la seule façon de sortir de cette limite.
Face aux alternatives
Sur Android, FairEmail intègre OpenPGP et sait fonctionner avec OpenKeychain ou seul. Thunderbird, disponible sur Android depuis la reprise de K-9 Mail, gère OpenPGP nativement sans dépendre d’un fournisseur externe — ce qui, compte tenu de la mise en sommeil d’OpenKeychain, mérite d’être regardé en premier. Pour la messagerie chiffrée sans gestion de clés, Signal ou Delta Chat répondent au besoin autrement.
