Tchap : Remarques et conseils messageries

Remarques critiques & conseils

Souveraineté ≠ sécurité absolue
Le fait que Tchap soit opéré par l’État français est un avantage en termes de contrôle juridique et politique, mais cela ne garantit pas qu’aucune faille n’existe. La sécurité dépend aussi de la mise en œuvre, des correctifs, de la vigilance opérationnelle.

Maturité du système / historique
Olvid est plus récent comme produit. Bien qu’il ait obtenu une certification CSPN (certification de sécurité de premier niveau) pour certains clients, certains critiques soulignent que le code serveur reste propriétaire, ce qui limite la vérifiabilité externe.

De même, pour Tchap, l’aspect “fork d’Element / Matrix sans fédération” montre qu’il s’agit d’une adaptation de technologie éprouvée, mais contrôlée.

Flexibilité contre contrôle
Avec Element / Matrix, une organisation a plus de latitude — hébergement, personnalisation, fédération — mais aussi plus de responsabilités (sécurisation, maintenance). Avec une messagerie “clé en main” comme Tchap ou Olvid, l’infrastructure est “prise en charge”, ce qui peut être perçu comme une simplification (à condition que le fournisseur/institution assure bien la sécurité opérationnelle).

Interopérabilité utile mais potentiellement risquée
La fédération (communication entre serveurs) est un atout pour échanger entre organisations, mais elle peut aussi offrir des vecteurs d’attaque ou compliquer la gouvernance (autoriser / refuser certains serveurs, audits externes, etc.). Dans des contextes sensibles, certaines organisations choisissent de restreindre ou désactiver la fédération, même si la plateforme le permet.

Adoption et formation humaine
Le meilleur système du monde reste inefficace si les utilisateurs ne l’adoptent pas, le contournent ou commettent des erreurs (ex. partage de documents via des canaux non sécurisés). Il faut accompagner avec formation, sensibilisation, support.

Archivage / traçabilité / conformité
Dans le secteur public, des obligations d’archivage, de transparence ou de contrôle peuvent exister. Il faut vérifier si la messagerie permet les exports, l’archivage conforme, la conservation des logs selon les normes légales quand c’est nécessaire.

Références

• Tchap (Wikipedia, FR) – description du projet, architecture Matrix, fédération désactivée.
• Olvid (Wikipedia, EN) – mention de la certification CSPN ANSSI.
• Discussion Hacker News sur Olvid (2021) – critiques sur l’ouverture du code serveur.
• Element.io – Documentation officielle – caractéristiques de Matrix, fédération et gouvernance.
• JoinMatrix.org – guide d’usage de Matrix, risques et opportunités liés à la fédération.