Quel est le niveau de sécurité de Dropbox ?

Dropbox protège vos données grâce à dif­fé­rentes mesures de sécurité, notamment le chif­fre­ment, la gestion des droits d’accès, l’au­then­ti­fi­ca­tion à deux facteurs et la géo­re­don­dance. En raison du siège américain de l’en­tre­prise et des em­pla­ce­ments de stockage possibles, une uti­li­sa­tion de Dropbox conforme au RGPD nécessite toutefois une éva­lua­tion précise et, selon le contexte, des garanties sup­plé­men­taires.

Dropbox est-il sécurisé ?

• Dropbox protège les données stockées au moyen d’un chif­fre­ment AES 256 bits. Lors du transfert entre les ap­pli­ca­tions Dropbox et ses serveurs, les données sont protégées par TLS avec un chif­fre­ment d’au moins 128 bits.
• La sécurité de Dropbox repose sur l’au­then­ti­fi­ca­tion à deux facteurs, les contrôles d’accès, la sur­veil­lance des activités et dif­fé­rentes fonctions de pro­tec­tion destinées aux comptes pro­fes­sion­nels. Un chif­fre­ment de bout en bout n’est pas activé par défaut pour l’ensemble des données, mais il peut être appliqué à certains dossiers d’équipe dans les offres Business Plus, Advanced et En­ter­prise.
• Pour la majorité des contenus, Dropbox utilise un chif­fre­ment géré côté serveur. Le four­nis­seur conserve donc la maîtrise technique des clés, sauf lorsque le chif­fre­ment de bout en bout est activé pour les dossiers concernés. Dropbox peut également être tenu de répondre à des demandes ju­ri­di­que­ment valables émanant des autorités. L’en­tre­prise indique examiner ces demandes et publie des rapports de trans­pa­rence à ce sujet.
• En matière de pro­tec­tion des données, Dropbox fournit des garanties et des documents destinés à permettre une uti­li­sa­tion conforme au RGPD. La con­for­mité dépend cependant aussi de la con­fi­gu­ra­tion du service, des contrats conclus, de la nature des données traitées et des mesures mises en œuvre par l’en­tre­prise uti­li­sa­trice.

Quelles tech­niques de chif­fre­ment Dropbox utilise-t-il pour protéger les données ?

Pour les en­tre­prises qui ex­ter­na­li­sent leurs données auprès de pres­ta­taires tiers, méthodes de chif­fre­ment ap­pli­quées aux données au repos (Data at Rest) jouent un rôle essentiel. Pour les en­tre­prises qui ex­ter­na­li­sent leurs données auprès de pres­ta­taires tiers, les ap­pli­quées aux données stockées, ou Data at Rest, jouent un rôle essentiel. Dropbox, l’un des services Cloud les plus anciens et les plus connus, protège les données au repos et pendant leur transfert à l’aide de plusieurs mé­ca­nismes de chif­fre­ment.

Chif­fre­ment AES 256 bits

Pour les données stockées sur ses serveurs, Dropbox utilise un chif­fre­ment AES 256 bits. L’Advanced En­cryp­tion Standard avec une clé de 256 bits fait partie des méthodes de chif­fre­ment sy­mé­trique les plus robustes ac­tuel­le­ment utilisées. Il offre une pro­tec­tion élevée contre les accès non autorisés et les attaques par force brute.

Ce niveau de chif­fre­ment ne signifie pas que Dropbox repose sur un modèle Zero Knowledge. Pour la majorité des contenus, les clés de chif­fre­ment sont gérées par le four­nis­seur. Pour la majorité des contenus, Dropbox conserve la maîtrise technique des clés et peut donc, dans certaines cir­cons­tances encadrées, accéder aux données con­cer­nées.

TLS pour les données en transit

Les données doivent être protégées lorsqu’elles sont trans­fé­rées entre votre appareil et les serveurs de Dropbox. Le service utilise pour cela TLS (Transport Layer Security), qui crée une connexion chiffrée et au­then­ti­fiée.

Selon Dropbox, les trans­ferts de fichiers sont protégés par TLS et un chif­fre­ment d’au moins 128 bits. Cette pro­tec­tion réduit fortement le risque d’in­ter­cep­tion ou de mo­di­fi­ca­tion des données pendant leur trans­mis­sion, ou Data in Transit.

Chif­fre­ment Zero Knowledge et de bout en bout

Le principe Zero Knowledge signifie que les données sont chiffrées avant leur transfert vers le Cloud et que le four­nis­seur ne dispose pas des clés né­ces­saires pour les dé­chif­frer. Il est gé­né­ra­le­ment associé au chif­fre­ment de bout en bout (E2EE), dans lequel les données ne peuvent être dé­chif­frées que sur les appareils ou par les uti­li­sa­teurs autorisés.

En 2022, Dropbox a acquis les actifs tech­no­lo­giques de l’en­tre­prise allemande Box­cryp­tor afin d’intégrer des fonctions de chif­fre­ment de bout en bout à ses propres services.

Dropbox propose désormais cette forme de pro­tec­tion pour certains contenus et dans certaines offres pro­fes­sion­nelles, notamment pour des dossiers d’équipe sé­lec­tion­nés. Le chif­fre­ment de bout en bout n’est toutefois pas activé par défaut pour l’ensemble des fichiers. Dans le fonc­tion­ne­ment standard, Dropbox continue d’utiliser un chif­fre­ment géré côté serveur, dont les clés restent sous le contrôle du four­nis­seur. Dropbox peut donc tech­ni­que­ment accéder aux contenus concernés dans certaines cir­cons­tances.

À quelles données Dropbox peut-il accéder ?

Avant d’utiliser un service Cloud, il est re­com­mandé de consulter ses con­di­tions générales afin de vérifier quels droits d’accès le four­nis­seur se réserve pour assurer le fonc­tion­ne­ment du service. Les con­di­tions de Dropbox prévoient certains trai­te­ments et accès né­ces­saires au fonc­tion­ne­ment, à la sé­cu­ri­sa­tion et à l’ad­mi­nis­tra­tion du service.

Pour les uti­li­sa­teurs, cela signifie que :

• Dropbox peut tech­ni­que­ment traiter certaines données
• Les contenus soumis au chif­fre­ment standard ne sont pas tech­ni­que­ment inac­ces­sibles au four­nis­seur
• Un contrôle renforcé peut être obtenu au moyen du chif­fre­ment de bout en bout proposé pour certains dossiers ou d’une solution de chif­fre­ment côté client

Quels droits de partage les uti­li­sa­teurs de Dropbox peuvent-ils définir ?

Au-delà des droits d’accès du four­nis­seur, la sécurité des données dépend également des pos­si­bi­li­tés de partage et de col­la­bo­ra­tion. Il est essentiel de pouvoir dé­ter­mi­ner pré­ci­sé­ment qui peut consulter ou modifier certains fichiers.

Dropbox propose pour cela des droits de partage com­pa­rables à ceux de nom­breuses al­ter­na­tives à Dropbox. Pour chaque fichier ou dossier, vous pouvez :

• Accorder l’accès à certaines personnes
• Générer un lien de partage
• Définir un accès en lecture seule ou autoriser les mo­di­fi­ca­tions
• Retirer les droits accordés à tout moment

Vous pouvez ainsi gérer les personnes au­to­ri­sées à accéder à vos contenus et l’étendue de leurs droits.

Comment protéger un compte Dropbox avec l’au­then­ti­fi­ca­tion à deux facteurs ?

L’au­then­ti­fi­ca­tion à deux facteurs (2FA) permet de renforcer la pro­tec­tion de votre compte Dropbox contre les accès non autorisés. Cette fonction doit être activée dans les pa­ra­mètres du compte.

Une fois la 2FA con­fi­gu­rée, la connexion nécessite, en plus du mot de passe, un second moyen de vé­ri­fi­ca­tion. Selon les options dis­po­nibles, il peut s’agir de :

• Un code généré par une ap­pli­ca­tion d’au­then­ti­fi­ca­tion
• Un code envoyé par SMS
• Une clé de sécurité physique
• Une clé d’accès

L’au­then­ti­fi­ca­tion à deux facteurs réduit con­si­dé­ra­ble­ment le risque d’accès frau­du­leux lorsqu’un mot de passe est compromis. En revanche, elle ne dispense pas d’utiliser un mot de passe unique et robuste ni de vérifier at­ten­ti­ve­ment les demandes de connexion.

Pendant combien de temps les fichiers Dropbox peuvent-ils être restaurés ?

Dropbox conserve les fichiers supprimés et leurs versions an­té­rieures pour une durée qui dépend de l’abon­ne­ment utilisé :

• Dropbox Basic, Plus et Family : 30 jours
• Dropbox Pro­fes­sio­nal, Standard, Es­sen­tials et Business : 180 jours
• Dropbox Advanced, En­ter­prise et Business Plus : 365 jours

Des options sup­plé­men­taires peuvent prolonger cette période pour certaines offres. Il s’agit cependant d’une fonction de res­tau­ra­tion de fichiers et de versions an­té­rieures, et non d’une garantie de ré­cu­pé­ra­tion complète du compte dans toutes les si­tua­tions.

En cas de com­pro­mis­sion du compte, Dropbox re­com­mande de modifier le mot de passe, d’activer l’au­then­ti­fi­ca­tion à deux facteurs, de dé­con­nec­ter les appareils inconnus et de vérifier les ap­pli­ca­tions associées.

Quelle pro­tec­tion Dropbox offre-t-il contre les cy­be­rat­taques ?

Toute personne qui ex­ter­na­lise des données vers un service Cloud doit vérifier les mesures mises en place contre les accès non autorisés, les malwares et la perte de données. Dropbox offre plusieurs niveaux de pro­tec­tion com­pa­rables à ceux d’autres services comme Google Drive ou iCloud.

Pro­tec­tion technique

• Sé­cu­ri­sa­tion des data centers et re­don­dance de l’in­fras­truc­ture
• Chif­fre­ment AES 256 bits pour les données stockées
• Chif­fre­ment TLS pour les données en transit
• Sé­pa­ra­tion des fichiers et des mé­ta­don­nées dans l’in­fras­truc­ture
• Sur­veil­lance des activités et détection de com­por­te­ments in­ha­bi­tuels
• Détection des ran­som­wares et alertes pour les ad­mi­nis­tra­teurs dans certaines offres pro­fes­sion­nelles

Sé­cu­ri­sa­tion du compte

• Au­then­ti­fi­ca­tion à deux facteurs
• Prise en charge des clés de sécurité et des clés d’accès
• Pro­tec­tion par mot de passe sécurisé
• Gestion des appareils et des sessions con­nec­tées
• Contrôles d’accès et fonctions ad­mi­nis­tra­tives pour les équipes

Gestion et res­tau­ra­tion des données

• Syn­chro­ni­sa­tion des fichiers
• His­to­rique des versions
• Res­tau­ra­tion des fichiers supprimés
• Fonction Dropbox Rewind pour rétablir un dossier ou un compte à un état antérieur dans les offres com­pa­tibles
• Options de sau­ve­garde au­to­ma­tique avec Dropbox Backup

Malgré ces mesures de sécurité, Dropbox ne remplace pas une solution complète de pro­tec­tion des terminaux. Les fichiers syn­chro­ni­sés peuvent toujours contenir des logiciels mal­veil­lants lorsqu’ils pro­vien­nent d’une source externe ou qu’un appareil connecté est déjà compromis. Il reste donc re­com­mandé d’utiliser une solution an­ti­mal­ware adaptée, de maintenir les appareils à jour et de contrôler les fichiers partagés avant de les ouvrir.

Comment l’IA contribue-t-elle à la sécurité de Dropbox ?

Dropbox utilise l’in­tel­li­gence ar­ti­fi­cielle dans Dropbox Dash, qui permet de re­cher­cher, d’organiser et de résumer des contenus provenant de Dropbox et d’ap­pli­ca­tions con­nec­tées. Pour fournir ces fonctions, Dash accède uni­que­ment aux contenus auxquels l’uti­li­sa­teur est déjà autorisé à accéder et respecte les au­to­ri­sa­tions définies dans les services d’origine.

Dans les offres com­pa­tibles, Dropbox Protect permet aux ad­mi­nis­tra­teurs de sur­veil­ler la propriété des fichiers, les au­to­ri­sa­tions et les activités de partage dans Dropbox, Google Drive et Microsoft 365. Il est par exemple possible de repérer les liens publics, les partages externes ou les droits d’accès trop étendus, puis de supprimer des liens ou d’ajuster les au­to­ri­sa­tions.

Les prin­ci­paux domaines d’ap­pli­ca­tion sont les suivants :

• Détection des risques de partage : les ad­mi­nis­tra­teurs peuvent iden­ti­fier les liens ac­ces­sibles pu­bli­que­ment, les partages externes et les au­to­ri­sa­tions po­ten­tiel­le­ment trop larges.
• Contrôle des accès : les droits associés aux documents peuvent être examinés et, lorsque le service connecté le permet, ajustés depuis une interface cen­tra­li­sée.
• Trans­pa­rence : les rapports indiquent qui possède les contenus, avec qui ils sont partagés et quelles au­to­ri­sa­tions sont ap­pli­quées.
• Recherche et analyse des contenus : Dropbox Dash utilise l’IA pour retrouver des in­for­ma­tions et générer des réponses ou des résumés à partir des sources au­to­ri­sées.

L’uti­li­sa­tion de ces fonctions implique le trai­te­ment des contenus né­ces­saires à la recherche, à l’analyse ou à la création de résumés. Les ap­pli­ca­tions externes doivent être con­nec­tées et au­to­ri­sées avant que Dash puisse accéder à leurs données. Les uti­li­sa­teurs et les ad­mi­nis­tra­teurs con­ser­vent la pos­si­bi­lité de gérer les services connectés.

Dropbox indique ne pas utiliser les contenus de ses clients pour entraîner ou créer des modèles d’IA gé­né­ra­tive sans leur con­sen­te­ment. Il convient néanmoins de dis­tin­guer les modèles de Dropbox des éventuels services d’IA tiers intégrés : les con­di­tions de trai­te­ment peuvent varier selon la fonc­tion­na­lité et le four­nis­seur utilisés.

Quels incidents de sécurité Dropbox a-t-il connus ?

Depuis son lancement en 2008, Dropbox a connu plusieurs incidents de sécurité et dys­fonc­tion­ne­ments im­por­tants. Parmi les prin­ci­paux cas rendus publics figurent :

• 2011 : une erreur in­tro­duite lors d’une mise à jour du système d’au­then­ti­fi­ca­tion a permis, pendant près de quatre heures, de se connecter à certains comptes sans saisir le mot de passe correct. Dropbox a indiqué que moins de 1 % des uti­li­sa­teurs s’étaient connectés pendant cette période et a fermé toutes les sessions actives par pré­cau­tion.
• 2012 : le compte d’un employé a été compromis, ce qui a permis l’accès à des données d’iden­ti­fi­ca­tion d’uti­li­sa­teurs. L’ampleur réelle de l’incident n’a été confirmée qu’en 2016, lorsque Dropbox a reconnu que plus de 68 millions d’adresses email et de mots de passe hachés et salés provenant de 2012 avaient été exposés. Dropbox n’a trouvé aucun indice montrant que les comptes concernés avaient été di­rec­te­ment consultés à l’aide de ces données.
• 2017 : d’anciens fichiers supprimés sont réapparus dans certains comptes. Selon Dropbox, un bug avait empêché la sup­pres­sion dé­fi­ni­tive de certains fichiers sur ses serveurs. Une tentative de cor­rec­tion a ensuite entraîné leur res­tau­ra­tion in­vo­lon­taire. Il ne s’agissait pas d’une cy­be­rat­taque, mais d’un dys­fonc­tion­ne­ment interne lié à la sup­pres­sion des données.
• 2022 : une campagne de phishing imitant le service CircleCI a permis à des at­ta­quants de com­pro­mettre un compte GitHub utilisé par Dropbox et de copier environ 130 dépôts de code internes. Ceux-ci con­te­naient par exemple des pro­to­types, des outils internes et certains fichiers de con­fi­gu­ra­tion. Selon Dropbox, les contenus des comptes clients, leurs mots de passe et leurs données de paiement n’ont pas été affectés.
• 2024 : des at­ta­quants ont obtenu un accès non autorisé à l’en­vi­ron­ne­ment de pro­duc­tion de Dropbox Sign, an­cien­ne­ment HelloSign. Ils ont pu consulter des données telles que des adresses email, des noms d’uti­li­sa­teur, des numéros de téléphone, des mots de passe hachés ainsi que certaines in­for­ma­tions d’au­then­ti­fi­ca­tion, notamment des clés API, des jetons OAuth et des données liées à l’au­then­ti­fi­ca­tion mul­ti­fac­teur. Dropbox a précisé que l’incident était limité à Dropbox Sign et qu’aucun accès non autorisé au contenu des documents ou aux in­for­ma­tions de paiement n’avait été constaté.

Ces incidents ne sig­ni­fient pas que Dropbox est sys­té­ma­ti­que­ment peu sécurisé. Ils montrent que la sécurité d’un service Cloud dépend non seulement du chif­fre­ment des fichiers, mais aussi de la pro­tec­tion des comptes employés, des systèmes d’au­then­ti­fi­ca­tion, des outils de dé­ve­lop­pe­ment et des processus internes de gestion des données.

Quel est l’impact du CLOUD Act sur Dropbox ?

Dropbox ap­par­tient à un groupe américain et peut être concerné par les mé­ca­nismes du CLOUD Act, même si les services destinés aux uti­li­sa­teurs européens sont fournis par une entité établie en Irlande. Cette loi permet aux autorités amé­ri­caines de demander à des four­nis­seurs établis aux États-Unis la trans­mis­sion de données placées sous leur pos­ses­sion, leur garde ou leur contrôle, y compris lorsque celles-ci sont stockées en dehors des États-Unis.

Cela ne signifie pas que les autorités disposent d’un accès au­to­ma­tique ou gé­né­ra­lisé aux données Dropbox. Les demandes doivent respecter une procédure juridique valable. Dropbox indique examiner chaque demande, vérifier sa con­for­mité au droit ap­pli­cable et informer les uti­li­sa­teurs concernés lorsque la loi le permet. Une simple demande de con­ser­va­tion des données n’entraîne pas non plus leur trans­mis­sion : une procédure juridique sup­plé­men­taire est né­ces­saire pour obtenir leur di­vul­ga­tion.

Depuis juillet 2023, le EU-US Data Privacy Framework constitue une base juridique pour certains trans­ferts de données per­son­nelles entre l’Union eu­ro­péenne et les en­tre­prises amé­ri­caines cer­ti­fiées. Dropbox figure parmi les en­tre­prises cer­ti­fiées dans le cadre de ce dis­po­si­tif. Le Data Privacy Framework ne supprime toutefois pas toutes les pos­si­bi­li­tés d’accès des autorités amé­ri­caines prévues par la lé­gis­la­tion nationale.

L’uti­li­sa­tion de Dropbox con­for­mé­ment au RGPD reste donc possible, mais elle doit être évaluée en fonction du contexte. Les en­tre­prises doivent examiner les ca­té­go­ries de données traitées, les garanties con­trac­tuelles, les trans­ferts in­ter­na­tio­naux et les mesures tech­niques et or­ga­ni­sa­tion­nelles mises en place. Selon le niveau de sen­si­bi­lité des données, un chif­fre­ment sup­plé­men­taire côté client, avec des clés con­trô­lées par l’en­tre­prise, peut renforcer leur pro­tec­tion.

Dropbox respecte-t-il les exigences de pro­tec­tion des données ap­pli­cables aux en­tre­prises ?

En matière de sécurité et de sou­ve­rai­neté des données, les en­tre­prises doivent vérifier si les garanties offertes par Dropbox cor­res­pon­dent à leurs obli­ga­tions et à la sen­si­bi­lité des in­for­ma­tions traitées. Dropbox met à dis­po­si­tion dif­fé­rentes mesures de sécurité, cer­ti­fi­ca­tions et do­cu­men­ta­tions pouvant aider les en­tre­prises à évaluer le service au regard de leurs obli­ga­tions.

Selon le produit et l’offre concernés, Dropbox présente les cer­ti­fi­ca­tions et rapports d’audit suivants :

• ISO 27001 pour le ma­na­ge­ment de la sécurité de l’in­for­ma­tion
• ISO 27017 pour la sécurité des services Cloud
• ISO 27018 pour la pro­tec­tion des données per­son­nelles dans le Cloud
• ISO 27701 pour le ma­na­ge­ment des in­for­ma­tions relatives à la vie privée
• Rapports d’audit SOC 1, SOC 2 et SOC 3
• Cer­ti­fi­ca­tion et at­tes­ta­tion CSA STAR de niveau 2

Ces cer­ti­fi­ca­tions reposent sur des contrôles réalisés par des or­ga­nismes in­dé­pen­dants. Elles attestent de l’existence de processus struc­tu­rés et de mesures de sécurité con­trô­lées, mais ne ga­ran­tis­sent pas à elles seules que chaque uti­li­sa­tion de Dropbox est au­to­ma­ti­que­ment conforme au RGPD.

Dropbox peut en principe être utilisé dans un cadre pro­fes­sion­nel conforme au RGPD. Les en­tre­prises restent res­pon­sables de la manière dont elles con­fi­gu­rent le service, at­tri­buent les droits d’accès et traitent les données per­son­nelles. De plus, elles doivent tenir compte du fait que Dropbox est une en­tre­prise amé­ri­caine sus­cep­tible d’être soumise aux demandes d’accès prévues par le CLOUD Act.

Pour renforcer la pro­tec­tion des données avec Dropbox, les en­tre­prises doivent :

• Vérifier et accepter le Data Pro­ces­sing Agreement de Dropbox, qui encadre la sous-traitance con­for­mé­ment à l’article 28 du RGPD
• Vérifier la base juridique utilisée pour les trans­ferts de données vers les États-Unis
• Vérifier les clauses con­trac­tuelles types et les autres garanties lorsque le mécanisme de transfert retenu l’exige
• Évaluer les risques associés aux trans­ferts et à la nature des données traitées
• Limiter les droits d’accès selon le principe du moindre privilège
• Définir des règles internes de con­ser­va­tion, de partage et de sup­pres­sion des données
• Mettre en place des mesures tech­niques sup­plé­men­taires pour les données par­ti­cu­liè­re­ment sensibles, par exemple un chif­fre­ment contrôlé côté client

La con­for­mité au RGPD ne dépend donc pas uni­que­ment des mesures de sécurité proposées par Dropbox. Elle résulte de l’as­so­cia­tion entre les garanties du four­nis­seur, la con­fi­gu­ra­tion du service et les mesures or­ga­ni­sa­tion­nelles prises par l’en­tre­prise uti­li­sa­trice.

En résumé : Dropbox est-il sécurisé ?

Grâce à ses mé­ca­nismes de chif­fre­ment, à ses contrôles d’accès et à ses fonctions de pro­tec­tion, Dropbox peut offrir un niveau de sécurité adapté à de nombreux usages, selon l’offre et la con­fi­gu­ra­tion choisies. Ses cer­ti­fi­ca­tions in­ter­na­tio­nales et ses rapports d’audit SOC attestent également de processus struc­tu­rés en matière de sécurité et de pro­tec­tion des données.

Certaines limites doivent néanmoins être prises en compte. Le chif­fre­ment de bout en bout n’est pas activé par défaut pour l’ensemble des contenus et, dans le cadre du chif­fre­ment standard géré côté serveur, Dropbox conserve la maîtrise technique des clés. Dans le cadre du chif­fre­ment standard géré côté serveur, Dropbox conserve la maîtrise technique des clés et peut accéder aux données dans certaines cir­cons­tances. Cette limite ne s’applique pas de la même manière aux dossiers protégés par le chif­fre­ment de bout en bout. Les incidents de sécurité passés et l’ap­pli­ca­tion possible du CLOUD Act américain cons­ti­tuent également des facteurs im­por­tants, notamment pour les en­tre­prises qui traitent des in­for­ma­tions sensibles.

Pour dé­ter­mi­ner quel Cloud est le plus sécurisé, il convient donc d’examiner non seulement les mesures tech­niques, mais aussi le cadre juridique, les em­pla­ce­ments de stockage et les pos­si­bi­li­tés de chif­fre­ment côté client. Dropbox peut être utilisé con­for­mé­ment au RGPD, mais cette con­for­mité n’est pas au­to­ma­tique : elle dépend des contrats conclus, de la con­fi­gu­ra­tion du service, de la nature des données et des mesures tech­niques et or­ga­ni­sa­tion­nelles mises en place par l’en­tre­prise.

Pour les données par­ti­cu­liè­re­ment sensibles ou soumises à des exigences strictes de sou­ve­rai­neté, une solution proposant un hé­ber­ge­ment dans l’Union eu­ro­péenne, des en­ga­ge­ments con­trac­tuels adaptés et des clés con­trô­lées par le client peut être plus ap­pro­priée.