Internxt : changer de cloud sans signer un chèque en blanc
Et si changer de cloud permettait de mieux choisir qui peut lire nos fichiers ? Internxt ouvre la piste, avec des promesses qu’il faut prendre le temps de déplier.
Changer d’adresse ne dispense pas de poser des questions.
Quand je lis qu’un service européen propose de garder mes fichiers à l’abri des regards, je comprends immédiatement l’attrait. L’idée de ne pas tout confier aux mêmes géants a quelque chose de reposant. Puis arrivent les mots qui brillent : connaissance nulle, post-quantique, audit, stockage à vie. Le repos devient une petite séance de traduction.
L’avis de Clubic sur Internxt, publié le 30 mars 2026, est mon point de départ. Je n’ai pas réalisé un nouveau test de vitesse ni confié mes archives au service pour cet article. Ce qui m’intéresse, c’est la promesse : qu’est-ce que changer de cloud permet de mieux maîtriser, et quelle confiance faut-il encore accorder au nouveau venu ?
Une alternative ne doit pas devenir un acte de foi
Internxt se présente comme une alternative espagnole centrée sur la confidentialité des fichiers. Le projet mérite qu’on s’y intéresse : il propose de déplacer la question du nombre de gigaoctets vers celle des personnes capables de lire ce qu’on stocke.
Mais je ne voudrais pas remplacer un automatisme par un autre. « Je prends celui que tout le monde utilise » et « je prends celui qui se présente comme l’alternative vertueuse » sont deux façons de sauter l’examen. La seconde est plus satisfaisante à raconter, pas nécessairement plus rigoureuse.
La nationalité d’une entreprise, l’emplacement des serveurs, les mécanismes de chiffrement et la manière dont fonctionne une application sont des questions liées, mais différentes. Une adresse européenne ne permet pas, à elle seule, de connaître la réponse à toutes les autres.
Je peux donc trouver souhaitable qu’il existe davantage de choix sans décerner un brevet de sécurité à chaque challenger. Une alternative gagne à être examinée sérieusement, justement parce qu’on aimerait pouvoir lui confier quelque chose d’important.
La question décisive : qui possède les clés ?
Dans sa documentation de 2025 sur la connaissance nulle, Internxt affirme ne pas conserver les fichiers, mots de passe ou clés sous une forme lisible. Le fournisseur présente son architecture comme une manière de limiter sa propre capacité à accéder aux données. C’est la conception annoncée, pas la conclusion d’un audit que j’aurais mené.
L’intuition est intéressante : au lieu de demander seulement au gardien de promettre qu’il n’ouvrira pas les dossiers, on cherche à ne pas lui donner la clé. C’est une différence de modèle de confiance, pas simplement un engagement de discrétion plus joliment formulé.
Il faut pourtant préciser ce que le mot « données » recouvre. Empêcher de lire le contenu d’un document ne signifie pas automatiquement qu’aucune information liée au compte ou au fonctionnement du service n’existe. Pour juger un produit, je voudrais savoir ce qui est protégé, ce qui reste nécessaire à son exploitation et comment le partage fonctionne.
Même prudence avec le terme « open source ». Rendre du code examinable ouvre une possibilité de vérification ; cela ne prouve pas que tout a été vérifié, ni que toutes les versions effectivement utilisées sont exemptes de défauts. La transparence peut faciliter le contrôle. Elle ne le remplace pas.
Et protéger les clés pose aussi une question pratique. Si l’accès au contenu dépend réellement d’un secret détenu par l’utilisateur, il faut comprendre les possibilités de récupération avant de perdre ce secret. Je ne suppose pas ici ce que ferait exactement Internxt dans chaque cas : c’est un point à documenter avant une migration.
Post-quantique ne veut pas dire invulnérable
L’autre mot impressionnant de la présentation est « post-quantique ». Il ne signifie pas que le cloud utiliserait un ordinateur quantique pour ranger mes photos. Il désigne des mécanismes conçus pour résister à des attaques que de futurs ordinateurs quantiques suffisamment puissants pourraient rendre possibles.
Le NIST a publié ses premiers standards de ce type en août 2024. L’un d’eux, ML-KEM, est fondé sur CRYSTALS-Kyber. Son objet est un mécanisme de protection et d’établissement de clés ; le nom d’une famille cryptographique ne suffit donc pas à certifier un service complet.
Internxt met en avant Kyber-512 dans sa communication. Je ne transforme pas cette mention en attestation de conformité de toute son implémentation au standard final, ni en preuve qu’il serait le seul fournisseur sérieux. Il faudrait examiner précisément les versions, les usages et l’assemblage des composants.
Un chiffrement tourné vers les menaces futures n’efface pas les questions ordinaires : le fonctionnement des applications, la gestion du compte, les liens de partage, les mises à jour. Ce serait dommage de regarder très loin devant au point de ne plus vérifier la porte juste à côté.
Les preuves ont un périmètre
Dans une annonce datée d’août 2025, Internxt indique avoir fait réaliser un audit par Securitum et ne pas avoir fait l’objet de constats graves lors de cet examen. C’est un élément intéressant à demander et à lire, mais je distingue l’annonce du fournisseur du rapport technique complet, que je n’ai pas pu examiner ici dans sa version 2025.
Pour évaluer ce genre de preuve, mes questions seraient assez simples : quelle version a été testée, sur quel périmètre, à quelle date, et que sont devenus les éventuels constats ? Un résultat d’examen n’est pas une garantie illimitée sur toutes les évolutions d’un service.
Le mot « certification » mérite la même attention. Le texte de départ évoque notamment HIPAA. Or le ministère américain de la Santé précise qu’il ne reconnaît pas les certifications privées concernant la Security Rule comme un substitut aux obligations des organismes concernés. Je n’en déduis ni conformité ni non-conformité d’Internxt ; j’écarte seulement le raccourci d’un tampon universel.
Ce dossier n’est donc pas un feu vert pour y déposer des données médicales ou professionnelles soumises à des exigences particulières. Une présentation commerciale et quelques références publiques ne suffisent pas à valider un usage réglementé.
Mes fichiers doivent rester retrouvables
La confidentialité n’épuise pas le sujet. Un document parfaitement illisible pour les autres, mais impossible à récupérer pour moi, ne remplit pas toutes mes attentes. Le choix d’un stockage devrait aussi porter sur les fonctions réellement nécessaires et sur la possibilité de revenir en arrière.
Je voudrais vérifier avec des copies sans importance comment se passent un envoi, un téléchargement, un partage puis une récupération. Retrouver une ancienne version et conserver une copie ailleurs sont encore d’autres besoins. Je ne les déduirais pas du seul mot « sauvegarde » sur une page d’offre.
Les recommandations de Cybermalveillance.gouv.fr rappellent l’intérêt de plusieurs supports et des tests de récupération. Cela replace le cloud dans un ensemble : un outil de protection ne dispense pas de vérifier qu’on peut effectivement retrouver ses données.
Les offres à paiement unique, parfois présentées comme « à vie », ajoutent une promesse commerciale, pas une démonstration de pérennité technique. Avant de comparer des économies théoriques sur des décennies, je regarderais les conditions, ce qui est inclus et la manière de repartir avec mes fichiers. Aucun prix promotionnel ne répond à ces questions à ma place.
Je termine donc avec une sympathie conditionnelle pour cette alternative, pas avec un classement. La bonne question n’est pas seulement : à qui vais-je désormais faire confiance ? C’est aussi : quelles choses puis-je vérifier, lesquelles dois-je encore croire, et resterai-je capable de changer d’avis ?