Vos données et la sécurité

Mise à jour le 6 octobre 2026

La réponse courte : vos mails ne passent pas par nos serveurs.

Hexomail est un client mail : une application installée sur votre ordinateur ou votre téléphone, qui se connecte directement aux serveurs de votre fournisseur (Gmail, Orange, votre hébergeur…) pour relever et envoyer vos messages. Ce n'est pas un service de messagerie : vos adresses restent chez votre fournisseur actuel, qui continue de stocker et de pouvoir lire vos messages comme aujourd'hui. Hexomail vous protège des expéditeurs qui vous pistent, pas de votre fournisseur.

Nos serveurs n'interviennent que pour des services facultatifs ou techniques, tous détaillés ci-dessous, y compris les rares cas où une donnée vous concernant les traverse. La politique de confidentialité en donne la version juridique.

En résumé

Vos messages

Jamais sur nos serveurs.

Vos mots de passe

Jamais, sauf chiffrés pour votre nouvel appareil lors de son ajout : illisibles pour nous.

La recherche

Entièrement sur votre appareil.

Publicité et mesure d'audience

Aucune, ni dans l'application ni sur ce site.

Services facultatifs

Réglages automatiques, proxy d'images, liens opaques, HexoTransfert et synchronisation passent par nos serveurs, sans vos messages.

Quelle donnée va où

Gmail et les autres fournisseurs

Avec la plupart des fournisseurs, Hexomail se connecte avec votre mot de passe (ou un mot de passe d'application), conservé dans le trousseau de votre système.

Google. Vous vous connectez sur la page officielle de Google (qui affiche pour l'instant un avertissement « application non vérifiée », voir pourquoi). L'autorisation demandée est l'accès complet à Gmail, seul moyen de relever et d'envoyer vos messages en IMAP et SMTP. L'échange avec Google se fait sur votre appareil : votre mot de passe Google, vos jetons d'accès et vos messages ne passent jamais par nos serveurs.

Microsoft. Les comptes Microsoft (Outlook, Hotmail, Live, Microsoft 365) ne sont pas pris en charge pour le moment : Microsoft n'accepte plus de mot de passe pour ces boîtes, et Hexomail ne propose pas la connexion Microsoft.

Réglages automatiques. À l'ajout d'une adresse, Hexomail demande à notre serveur les réglages IMAP et SMTP de son domaine (la partie après « @ »). Le serveur les cherche dans les bases publiques de réglages et dans les DNS du domaine. Votre adresse complète n'est jamais envoyée.

Traceurs, images et liens

Images. Les images distantes ne sont pas chargées tant que vous ne le demandez pas : c'est par elles que l'expéditeur sait que vous avez ouvert son message, et d'où. Les pixels espions sont repérés et jamais chargés. Les images SVG sont converties en image simple sur votre appareil, ce qui neutralise le code qu'elles peuvent contenir.

Liens nettoyés. Avant d'ouvrir un lien, Hexomail retire sur votre appareil les paramètres de pistage (utm_…, fbclid, gclid, mc_eid et bien d'autres) et déballe les liens de redirection qui contiennent leur destination (Outlook Safe Links, Google, Proofpoint). La liste des règles est mise à jour depuis notre serveur ; le nettoyage, lui, ne demande aucune connexion.

Services payants. Certains liens ne disent pas où ils mènent (raccourcisseurs, liens de suivi d'envoi en masse). Sur demande, notre serveur les suit pour vous montrer leur destination, sans les ouvrir dans votre navigateur. De même, le proxy d'images charge les images à votre place pour cacher votre adresse IP à l'expéditeur, et retire leurs métadonnées. Ni les adresses des liens ni celles des images ne sont journalisées. Ces services ne sont pas encore ouverts à la vente.

Le compte Hexomail

Hexomail fonctionne sans compte. Le compte Hexomail, facultatif, sert à HexoTransfert et à la synchronisation entre vos appareils. Il se crée avec une de vos adresses mail, vérifiée par un code que Hexomail lit tout seul dans votre boîte, et un mot de passe.

Synchronisation. Vos comptes (sans les mots de passe), signatures, domaines de confiance et réglages sont chiffrés en AES-256-GCM sur votre appareil, avec une clé dérivée de votre clé HexoTransfert, que nous n'avons pas. Notre serveur stocke des blocs illisibles ; il voit leur nombre, leur taille et leur date de mise à jour.

Nouvel appareil. Scannez le QR code affiché par un appareil déjà configuré, ou saisissez son code court, puis vérifiez que le même code de contrôle s'affiche sur les deux écrans. Vos comptes, mots de passe compris, passent d'un appareil à l'autre dans une enveloppe chiffrée pour le seul nouvel appareil ; notre serveur la relaie sans pouvoir l'ouvrir et l'efface dès sa réception, au plus tard après 10 minutes. Les accès Google ne sont pas transmis : chaque appareil se connecte à Google lui-même.

Si vous perdez un appareil

Il vous reste un autre appareil. Ajoutez le nouveau en scannant le QR code de celui qui reste : tout est transféré, y compris votre clé HexoTransfert.

Vous avez perdu tous vos appareils. Vos messages sont toujours chez votre fournisseur : réinstallez Hexomail et ajoutez vos adresses. Vous vous reconnectez à votre compte Hexomail avec votre mot de passe, et créez une nouvelle clé HexoTransfert ; chacune de vos adresses reçoit un mail d'alerte. Les fichiers HexoTransfert reçus avec l'ancienne clé et les données synchronisées ne peuvent plus être ouverts.

C'est un choix : votre mot de passe Hexomail ne permet pas de récupérer votre clé, sans quoi quiconque le découvrirait (ou nous) pourrait lire vos fichiers. Si une clé est remplacée sur un de vos appareils, l'ancienne reste utilisable sur les autres pour ouvrir les anciens fichiers, et peut leur être transférée.

HexoTransfert

HexoTransfert envoie un fichier que seul son destinataire peut ouvrir. Le fichier est chiffré sur votre appareil puis joint à un mail ordinaire : il ne passe jamais par nos serveurs et n'y est jamais stocké.

Le destinataire doit utiliser Hexomail et avoir publié sa clé. Hexomail la trouve dans notre annuaire à partir de son adresse ; une clé ne peut être publiée que pour une adresse dont le propriétaire a prouvé qu'il la lit, par un code reçu par mail. Si le destinataire n'a pas de clé, le transfert n'est pas possible.

Chaque rôle associe un algorithme éprouvé et un algorithme normalisé en 2024 pour résister aux ordinateurs quantiques : il faudrait casser les deux. Le fichier embarque la clé publique de l'expéditeur et la signature de son contenu. Les clés sont fournies par notre annuaire : un annuaire compromis pourrait en théorie fournir une fausse clé. La parade est l'empreinte de la clé, affichée dans les réglages HexoTransfert de chacun : pour un échange sensible, comparez-la avec votre correspondant par un autre moyen (téléphone, en personne). Le format HexoTransfert sera publié en open source.

La version web, à venir

La version web ne sera pas un client mail : votre téléphone (ou votre ordinateur habituel) restera celui qui relève et envoie vos mails, et le navigateur affichera ce qu'il lui envoie, chiffré entre les deux. Notre serveur relaiera les échanges sans pouvoir les lire. Les messages affichés resteront en mémoire dans la page, sans être enregistrés sur l'ordinateur, et seront effacés à la fermeture de l'onglet ou après quinze minutes d'inactivité.

Comme pour toute page web, le navigateur et le système de l'ordinateur restent hors de notre contrôle : n'ouvrez la version web que sur un ordinateur de confiance. Les comptes Gmail connectés avec Google n'y seront pas accessibles à son lancement.

Signaler une faille

Vous pensez avoir trouvé une faille de sécurité dans Hexomail, HexoTransfert ou nos serveurs ? Écrivez à bonjour@hexonest.fr avec « Sécurité » dans l'objet, et laissez-nous le temps de la corriger avant de la rendre publique. Nous vous répondons et vous tenons informé de la correction.

Questions fréquentes

Hexonest peut-il lire mes mails ?

Vos messages ne passent pas par nos serveurs, nous ne les recevons donc pas. Votre fournisseur de mail, lui, les stocke et peut les lire, comme aujourd'hui : Hexomail ne chiffre pas vos mails.

Hexomail fonctionne-t-il hors connexion ?

Oui pour lire et chercher dans les messages déjà relevés. Les pièces jointes se téléchargent quand vous les ouvrez.

Combien ça coûte ?

L'application est gratuite. Les services en ligne facultatifs (proxy d'images, destination des liens opaques, recherche de clés HexoTransfert au-delà des crédits offerts) seront payants ; ils ne sont pas encore en vente.

Hexomail est-il open source ?

Non. Le format HexoTransfert sera publié en open source.

Où sont vos serveurs ?

Chez OVH, à Gravelines, en France. Les codes de vérification et les alertes partent de notre serveur de messagerie, hébergé par HostNatPro, en France.

Pourquoi Google affiche-t-il « application non vérifiée » ?

Pour accéder à Gmail, une application doit être vérifiée par Google. Celle d'Hexomail ne l'est pas encore : à la connexion, Google affiche un avertissement, et le nombre de comptes Gmail pouvant se connecter est limité. Vous pouvez continuer en toute connaissance de cause, ou ajouter votre compte Gmail avec un mot de passe d'application.

Que voit mon fournisseur de mail ?

Tout ce qu'il voyait déjà : vos messages, vos contacts et les connexions de vos appareils. Hexomail ne chiffre pas vos mails et ne les cache pas à votre fournisseur ; il vous protège des expéditeurs qui vous pistent.

Pourquoi pas Thunderbird ?

Si Thunderbird vous convient, gardez-le : c'est un très bon client libre. Hexomail fait d'autres choix : protections actives sans réglage (traceurs signalés, liens nettoyés avant ouverture), la même application sur ordinateur et sur Android, synchronisation chiffrée de vos comptes, et HexoTransfert.

Qui est derrière Hexomail ?

Hexonest, société par actions simplifiée française, basée à Paris (voir les mentions légales).

Le code a-t-il été audité ?

Pas encore : aucun audit de sécurité externe n'a été réalisé à ce jour. La publication du format HexoTransfert permettra à chacun de l'examiner.

Voir les plateformes