Telegram est-il sécurisé ? Chiffrement, police et pirates

Telegram se présente comme une application de messagerie « axée sur la vitesse et la sécurité », et plus d'un milliard de personnes l'utilisent. Qu'elle soit sûre dépend du type d'échange dans lequel vous êtes, et la plupart des gens ne sont jamais dans le type chiffré. Tout ce qui suit vient de la FAQ et de la politique de confidentialité de Telegram, de recherches publiées en cryptographie, des chiffres de divulgation jusqu'à mi-2026 et des correctifs de sécurité publiés par Telegram jusqu'en septembre 2026.

Telegram est-il sécurisé ?

Telegram vous protège des inconnus sur votre réseau, mais ses échanges ordinaires ne sont pas chiffrés de bout en bout. Les messages, les groupes et les canaux sont stockés sur les serveurs de Telegram, et c'est Telegram qui détient les clés. Seuls les échanges secrets, lancés à la main avec une seule personne sur un seul appareil, sont chiffrés de bout en bout. Sur décision de justice valable, Telegram peut communiquer votre adresse IP et votre numéro de téléphone.

Pour les discussions ordinaires et les canaux publics, les principaux risques sont les arnaques et le vol de compte, et quelques réglages réduisent les deux. Sur ordinateur, mettez Telegram Desktop à jour vers la version 7.2.9 ou plus récente : deux failles graves de Desktop ont été corrigées en 2026. Tout ce que vous ne voudriez pas qu'une entreprise ou un tribunal puisse lire n'a rien à faire dans un échange Telegram ordinaire. Le contenu des échanges secrets est hors de portée de Telegram, avec des limites sur les endroits où ils fonctionnent.

Telegram est-il chiffré ? Type d'échange par type d'échange

« Chiffré » recouvre deux choses différentes. Le chiffrement entre vous et un serveur empêche les personnes sur le même Wi-Fi de lire vos messages, mais le serveur peut les lire. Le chiffrement de bout en bout signifie que seules les personnes de la conversation détiennent les clés.

La FAQ de Telegram le dit clairement : « Le chiffrement serveur-client est utilisé dans les échanges dans le cloud (échanges privés et de groupe). Les échanges secrets utilisent une couche supplémentaire de chiffrement client-client. »

Trois limites des échanges secrets comptent en pratique :

• Ils sont manuels. Vous ouvrez le profil d'un contact, touchez le menu « … » et choisissez Démarrer un échange secret. Rien ne passe tout seul en échange secret.
• Ils sont limités à deux personnes. Il n'existe pas d'échange secret pour les groupes ou les canaux.
• Ils sont liés à un appareil. Telegram précise qu'un échange secret « ne sera disponible que sur cet appareil », et qu'en vous déconnectant, vous perdez tous vos échanges secrets. Les applications mobiles et Telegram pour macOS les proposent. Telegram Desktop, l'application qu'utilisent la plupart des personnes sous Windows et Linux, ne les propose pas : la demande de fonctionnalité est ouverte sur le suivi des tickets du projet depuis 2014.

Telegram peut-il lire mes messages ?

Pour les échanges dans le cloud, Telegram en a la capacité technique, puisqu'il stocke les messages et détient les clés. Sa politique de confidentialité (en anglais) décrit deux cas où cette capacité est utilisée : les modérateurs peuvent vérifier les messages qui leur ont été signalés par leurs destinataires, et Telegram peut aussi utiliser des algorithmes automatiques pour analyser les messages des échanges dans le cloud afin de bloquer le spam et l'hameçonnage. La même politique indique que le contenu des échanges dans le cloud ne sert pas au ciblage publicitaire.

Telegram défend ce choix en expliquant que les données des échanges dans le cloud sont réparties dans des centres de données de plusieurs juridictions et que « les clés de déchiffrement correspondantes sont divisées en plusieurs parties et ne sont jamais conservées au même endroit que les données qu'elles protègent ». Il faudrait donc plusieurs décisions de justice de pays différents pour forcer l'accès. Cela relève la barre juridique sans changer qui détient les clés.

Pour les échanges secrets, la politique dit qu'il n'existe aucun moyen, pour Telegram ou pour quiconque sans accès direct à votre appareil, de savoir ce qui est envoyé dans ces messages.

Telegram donne-t-il vos données à la police ou aux gouvernements ?

Oui, des données de compte. C'est la partie qui a le plus changé, et elle est datée.

Août 2024. Le fondateur Pavel Durov a été arrêté à l'aéroport du Bourget, près de Paris, et mis en examen pour des activités criminelles sur la plateforme et le manque de coopération de Telegram avec les autorités.

Septembre 2024. Telegram a réécrit la section 8.3 de sa politique de confidentialité. Elle n'a pas changé depuis ; la dernière mise à jour de la politique, le 21 août 2026, concernait la publicité. L'ancienne version ne visait que les personnes soupçonnées de terrorisme. La version actuelle dit, en substance : si Telegram reçoit une décision valable des autorités judiciaires compétentes confirmant que vous êtes suspect dans une affaire d'activités criminelles contraires aux conditions d'utilisation de Telegram, il procède à une analyse juridique de la demande et peut communiquer votre adresse IP et votre numéro de téléphone aux autorités compétentes.

Les chiffres depuis. Telegram ne les publie que via son bot @transparency, un pays à la fois. Pour les États-Unis, BleepingComputer a rapporté (en anglais) 14 demandes satisfaites concernant 108 utilisateurs de janvier à septembre 2024, et 900 demandes concernant 2 253 utilisateurs sur l'année entière. Une archive participative des rapports du bot (en anglais), mise à jour pour la dernière fois le 5 octobre 2026, donne ceci pour les États-Unis :

Dans le monde, 404 Media a compté des données sur 22 777 utilisateurs remises au cours des trois premiers mois de 2025 seulement. L'archive est alimentée par des bénévoles, donc considérez les totaux par pays comme un minimum.

Ce qui n'est pas dans ces chiffres. La FAQ de Telegram affirme : « À ce jour, nous avons divulgué 0 octet de messages utilisateur à des tiers, y compris aux gouvernements. » Les divulgations ci-dessus portent sur des numéros de téléphone et des adresses IP, ce qui suffit pour identifier le titulaire d'un compte. La politique de Telegram indique qu'il peut conserver les adresses IP, les informations sur les appareils et l'historique des noms d'utilisateur pendant 12 mois au maximum.

L'affaire française en octobre 2026. L'enquête est toujours ouverte. Durov a été autorisé à quitter la France en mars 2025, et les enquêteurs ont entièrement levé son interdiction de voyager (en anglais) en novembre 2025. En juillet 2026, il a été interrogé par les juges d'instruction pour la quatrième fois (en anglais), selon l'AFP. Ses avocats affirment qu'aucune preuve ne soutient les accusations.

Le protocole de chiffrement de Telegram est-il sûr ?

Telegram utilise son propre protocole, MTProto, là où la plupart des applications utilisent TLS pour la connexion au serveur. La version actuelle est MTProto 2.0, fondée sur AES-256, SHA-256 et un échange Diffie-Hellman de 2048 bits. Elle a été étudiée publiquement à plusieurs reprises :

• 2015, Jakobsen et Orlandi. Ils ont montré que le MTProto d'origine ne satisfaisait pas une définition de sécurité standard (IND-CCA). Ils n'ont pas trouvé de moyen de récupérer des messages, et MTProto 2.0 a ensuite remplacé la conception qu'ils avaient examinée.
• 2020, Miculan et Vitacolonna. Ils ont vérifié MTProto 2.0 par machine avec l'outil ProVerif et prouvé ses propriétés d'authentification, de confidentialité et de confidentialité persistante, tout en trouvant une faiblesse théorique dans l'étape de renouvellement des clés.
• 2022, Albrecht, Mareková, Paterson et Stepanovs. « Four Attacks and a Proof for Telegram » (en anglais), présenté au IEEE Symposium on Security and Privacy, a trouvé quatre faiblesses, dont une qui permettait à un attaquant sur le réseau de réordonner des messages. Telegram les a corrigées dans des mises à jour de mi-2021. Les auteurs ont écrit que « pour la plupart des utilisateurs, le risque immédiat est faible », et ont prouvé que le protocole corrigé offre un canal confidentiel et protégé en intégrité, avec des réserves sur ses briques inhabituelles.
• 2026, Symbolic Software. Un audit commandé en 2025 et rendu public en mai 2026 (en anglais) a constaté que les applications Android et de bureau envoient un identifiant d'appareil durable, auth_key_id, sous une forme que n'importe quel observateur du réseau peut lire. Il n'expose pas le contenu des messages, mais il pourrait permettre à un fournisseur d'accès ou à un observateur du réseau à l'échelle d'un État de suivre un appareil d'un réseau et d'un lieu à l'autre. Telegram a répondu aux journalistes que l'identifiant change régulièrement et ne révèle rien sur les utilisateurs ni sur les messages. Les auteurs de l'audit le contestent pour les versions qu'ils ont testées.

Personne n'a publié de méthode pour déchiffrer le trafic Telegram. L'exposition la plus importante reste le modèle de stockage décrit plus haut.

Telegram est-il sûr à télécharger ?

Oui, depuis les sources officielles : l'App Store, Google Play ou telegram.org/apps. Les applications Telegram sont open source et prennent en charge les compilations reproductibles (en anglais), si bien que n'importe qui peut vérifier que la version de la boutique a été compilée à partir du code publié. Telegram X pour Android est aussi une application Telegram officielle.

Le risque, ce sont les copies qui ressemblent à Telegram. En septembre 2023, Kaspersky a trouvé sur Google Play des applications Telegram piégées (en anglais) qui copiaient les messages, les contacts et les fichiers des utilisateurs vers les attaquants. Google les a retirées. Vérifiez le nom du développeur avant d'installer, et évitez les versions de Telegram « plus rapides » ou « débloquées », quel que soit le site.

Telegram est-il sûr face aux pirates et aux arnaqueurs ?

La plupart des personnes qui perdent leur compte Telegram se font piéger, pas pirater.

Le vol de compte. Telegram vous connecte avec un code envoyé par SMS ou dans l'application. Quiconque obtient ce code, en vous hameçonnant ou en prenant le contrôle de votre numéro, accède à vos échanges dans le cloud. La FAQ de Telegram précise que les codes de connexion arrivent dans la discussion de service vérifiée nommée « Telegram » et « ne doivent jamais être partagés avec qui que ce soit ».

L'usurpation d'identité et les arnaques à l'investissement. Faux comptes d'assistance, faux administrateurs dans des groupes crypto, offres d'emploi qui paient de petites tâches puis demandent un dépôt : tout cela est courant. Un inconnu peut vous écrire s'il a votre numéro, trouve votre nom d'utilisateur ou partage un groupe avec vous.

Les fichiers malveillants. Telegram accepte des fichiers jusqu'à 2 Go, et les attaquants en profitent. En juillet 2024, ESET a documenté « EvilVideo », une faille qui faisait passer une application Android malveillante pour une vidéo dans une discussion. Telegram l'a corrigée dans la version 10.14.5.

Les failles de Telegram Desktop corrigées en 2026. Deux ont été rendues publiques en septembre et octobre 2026. La première permettait à un bot de cacher du JavaScript dans une discussion, qui s'exécutait quand vous ouvriez un export HTML de la discussion dans un navigateur et pouvait envoyer tout l'export à un attaquant ; elle touchait les versions 4.15.1 à 6.9.3 et a été corrigée dans la 7.0.1 en juillet 2026, selon The Hacker News (en anglais). La seconde permettait, d'un seul clic sur un lien piégé dans un navigateur, de prendre le contrôle d'un compte Telegram Desktop sous Windows sans code d'accès local, et elle s'appuyait sur des réglages permettant à n'importe qui de vous ajouter à un groupe ; elle a été corrigée dans la version 7.2.9 le 17 septembre 2026, selon Cyber Security News (en anglais). Par ailleurs, un logiciel malveillant pour macOS signalé en juillet 2026 copie les fichiers de session de Telegram Desktop pour se connecter ailleurs sans code ni mot de passe de vérification en deux étapes, ce qu'un code d'accès local bloque aussi. Mettez Desktop à jour et définissez un code d'accès (étape 2 ci-dessous).

Les photos privées. Dans un échange ordinaire, une photo est stockée sur les serveurs de Telegram comme n'importe quel autre message, et le destinataire peut l'enregistrer ou la transférer. Dans un échange secret, elle est chiffrée de bout en bout et peut s'autodétruire, mais Telegram prévient lui-même qu'« il n'existe pas de moyen infaillible pour détecter les captures d'écran sur certains systèmes ».

Les autres peuvent-ils voir mon numéro ou ma localisation sur Telegram ?

Telegram exige un numéro de téléphone pour l'inscription. Par défaut, selon la FAQ, « votre numéro n'est visible que par les personnes que vous avez ajoutées à vos contacts ». Un autre réglage détermine si quelqu'un qui a déjà votre numéro peut trouver votre compte grâce à lui, et c'est ainsi que des inconnus relient des numéros à des profils. Les deux sont à l'étape 3 ci-dessous. Votre nom affiché, vos photos de profil et votre nom d'utilisateur sont toujours publics.

Telegram ne montre votre localisation à personne, sauf si vous la partagez. Une position envoyée dans une discussion est stockée comme n'importe quel autre message de cette discussion, selon la section 3.5 de la politique de confidentialité, et la position en direct continue de se mettre à jour pour les personnes avec qui vous la partagez jusqu'à ce que vous l'arrêtiez. Telegram voit lui-même votre adresse IP, qui indique une zone approximative, et peut la conserver jusqu'à 12 mois.

Une vérification de deux minutes à faire vous-même

1. Ouvrez Paramètres > Appareils. Chaque téléphone, ordinateur et navigateur connecté à votre compte y figure. Mettez fin à toute session que vous ne reconnaissez pas.
2. Connectez-vous à Telegram sur un deuxième appareil. Vos échanges ordinaires apparaissent en entier, parce qu'ils étaient sur le serveur depuis le début. Les échanges secrets n'y sont pas, parce qu'ils n'y ont jamais été.
3. Ouvrez le bot @transparency (celui vers lequel renvoie la section 8.3 de la politique de confidentialité de Telegram) pour voir le rapport de divulgation de votre propre pays.

Comment sécuriser Telegram : 8 réglages à changer

Les noms des réglages viennent de la FAQ et du blog de Telegram en français, en novembre 2026. Les libellés varient un peu d'une plateforme à l'autre.

1. Activez la vérification en deux étapes. Dans Paramètres > Confidentialité et sécurité, activez la vérification en deux étapes. Elle ajoute un mot de passe au code de connexion, donc un SMS volé ne suffit pas. Ajoutez un e-mail de récupération que vous contrôlez.
2. Définissez un code d'accès. L'option se trouve aussi dans Paramètres > Confidentialité et sécurité. Elle verrouille l'application elle-même sur un téléphone partagé ou déverrouillé. Sur Telegram Desktop, elle protège aussi la session enregistrée sur votre ordinateur, ce dont dépendaient la faille du lien sous Windows et le vol de session sous macOS décrits plus haut. Profitez-en pour mettre l'application à jour.
3. Cachez votre numéro. Dans Paramètres > Confidentialité et sécurité > Numéro de téléphone, réglez qui peut voir votre numéro sur Personne, puis limitez à vos contacts qui peut vous trouver grâce à votre numéro.
4. Utilisez les échanges secrets pour tout ce qui est sensible. Profil du contact > « … » > Démarrer un échange secret. Comparez l'image de la clé de chiffrement avec l'autre personne, et réglez un minuteur d'autodestruction.
5. Limitez ce que voient les inconnus. Dans Confidentialité et sécurité, restreignez qui peut voir votre dernière connexion et votre photo de profil, qui peut vous appeler et qui peut vous ajouter à des groupes.
6. Réglez un minuteur de suppression automatique par défaut. Paramètres > Confidentialité et sécurité > Autosuppression des messages. Les nouveaux échanges s'effaceront d'eux-mêmes après la durée choisie.
7. Vérifiez les appareils chaque mois. Paramètres > Appareils. Vous pouvez aussi ajouter une clé d'accès dans Confidentialité et sécurité > Clés d'accès, que Telegram décrit comme plus sûre que les codes SMS.
8. Faites le ménage dans les contacts synchronisés. Dans les paramètres de données de Confidentialité et sécurité, vous pouvez arrêter la synchronisation des contacts et supprimer ceux déjà envoyés.

Aucun réglage ne retire un groupe ou un canal des serveurs de Telegram. Écrivez-y comme si le message pouvait être lu plus tard.

La même question vaut pour votre boîte mail

Les échanges dans le cloud de Telegram se résument à savoir qui détient les clés des messages stockés, et l'e-mail fonctionne de la même façon. La plupart des boîtes mail se trouvent sur les serveurs du fournisseur sous une forme qu'il peut lire. Secria Mail utilise le chiffrement à accès zéro pour chaque message de votre boîte : vos clés sont créées sur votre appareil et n'arrivent sur nos serveurs que chiffrées. Notre guide pour savoir si Signal est plus sûr que l'e-mail (en anglais) explique quelles tâches relèvent d'une messagerie instantanée et lesquelles relèvent d'une boîte mail.

Questions fréquentes

Telegram est-il chiffré de bout en bout par défaut ?

Non. Les échanges ordinaires, les groupes et les canaux utilisent un chiffrement entre votre appareil et les serveurs de Telegram, et les messages y sont stockés. Seuls les échanges secrets sont chiffrés de bout en bout, et vous devez lancer chacun vous-même.

La police peut-elle lire mes messages Telegram ?

La politique de Telegram lui permet de communiquer une adresse IP et un numéro de téléphone sur décision judiciaire valable, et il affirme n'avoir jamais divulgué le contenu des messages. Telegram ne peut pas lire le contenu des échanges secrets. Une police qui a votre téléphone déverrouillé peut lire tout ce qui s'y trouve.

Les groupes Telegram sont-ils chiffrés ?

Ils sont chiffrés en transit et au stockage, avec des clés détenues par Telegram. Ils ne sont pas chiffrés de bout en bout, et il n'existe pas d'échange secret pour les groupes.

Telegram X est-il sûr ?

Telegram X est une application Telegram officielle pour Android, listée sur telegram.org/apps. Elle utilise les mêmes comptes, serveurs et chiffrement que l'application principale, donc tout ce qui figure sur cette page s'y applique. Installez-la depuis Google Play ou telegram.org, pas depuis un site tiers.

Telegram est-il sûr avec des inconnus ?

Considérez chaque message inattendu comme non vérifié. Cachez votre numéro de téléphone, ne partagez jamais un code de connexion, n'ouvrez pas les fichiers que vous n'avez pas demandés, et n'envoyez ni argent ni crypto à quelqu'un rencontré dans une discussion.

Telegram est un outil de diffusion et de communauté auquel s'ajoute un seul mode privé. Utilisez ce mode quand c'est important, verrouillez le compte, et accordez la même attention à votre boîte mail avec Secria Mail.