Comment protéger un fichier ZIP par mot de passe

Un mot de passe n'est pas toujours du chiffrement

La plupart des outils d'archivage placeront volontiers un mot de passe sur un ZIP, mais ils ne le protègent pas tous de la même façon. Le format ZIP prend en charge deux schémas de chiffrement : le chiffrement hérité ZipCrypto, qui est rapide et faible, et WinZip AES, qui est lent à attaquer et robuste. Plusieurs outils utilisent encore ZipCrypto par défaut, de sorte que la partie la plus importante de la protection d'un ZIP est de choisir AES-256 délibérément.

Windows : le ZIP intégré ne peut pas le faire

La fonction « Compresser vers un fichier ZIP » intégrée à l'Explorateur de fichiers de Windows ne peut pas ajouter de mot de passe du tout. Elle crée des archives ordinaires, non chiffrées, et n'offre aucun champ de mot de passe où que ce soit dans le processus. Pour chiffrer un ZIP sous Windows, il vous faut un outil distinct.

Windows : 7-Zip avec AES-256

7-Zip est gratuit, open source, et le moyen le plus fiable de créer un ZIP chiffré en AES sous Windows. Le seul piège est que sa méthode de chiffrement par défaut pour le format ZIP est le faible ZipCrypto, vous devez donc la changer vous-même.

1. Installer 7-Zip. Téléchargez-le depuis le site officiel, 7-zip.org, et lancez le programme d'installation.
2. Sélectionner vos fichiers. Dans l'Explorateur de fichiers, sélectionnez le fichier ou le dossier, faites un clic droit et choisissez 7-Zip, puis Ajouter à l'archive.
3. Choisir le format ZIP. Dans la boîte de dialogue, réglez Format de l'archive sur zip.
4. Régler sur AES-256. Dans la section Chiffrement, ouvrez le menu Méthode de chiffrement et changez-le de ZipCrypto à AES-256.
5. Saisir une phrase secrète robuste. Saisissez une phrase secrète longue et unique dans les champs Entrer le mot de passe et Entrer le mot de passe à nouveau.
6. Créer l'archive. Cliquez sur OK. Le fichier .zip obtenu est chiffré avec AES-256.

Une limite subsiste. Dans le format ZIP, les noms de fichiers à l'intérieur de l'archive ne sont pas chiffrés, ils restent donc visibles même après avoir défini un mot de passe. Si les noms eux-mêmes sont sensibles, passez Format de l'archive à 7z, ce qui active l'option Chiffrer les noms de fichiers, ou placez d'abord les fichiers dans un conteneur unique.

Vérifiez le résultat. Ouvrez la nouvelle archive dans 7-Zip (clic droit dessus, 7-Zip, puis Ouvrir archive). Les noms de fichiers s'affichent, car le ZIP ne les chiffre pas, et la colonne Méthode doit indiquer AES-256 Deflate. Double-cliquez sur un fichier : 7-Zip doit demander le mot de passe. Si un fichier s'ouvre sans invite, ou si la méthode commence par ZipCrypto, recréez l'archive avec la Méthode de chiffrement réglée sur AES-256. L'Explorateur de fichiers de Windows liste lui aussi les noms mais ne peut pas ouvrir les entrées AES : une erreur de l'Explorateur est donc normale ici.

macOS : utilisez Keka ou 7-Zip, pas le zip intégré

macOS peut créer un ZIP chiffré depuis le Terminal avec zip -e archive.zip fichier, mais cette commande utilise le faible chiffrement ZipCrypto, ce n'est donc pas un bon choix pour des données sensibles. La commande Compresser du Finder a la même limitation que l'Explorateur Windows : elle crée une archive non chiffrée sans aucune option de mot de passe. Pour une vraie protection, utilisez un outil qui prend en charge AES. Keka est une application Mac simple, mais ses ZIP utilisent le schéma hérité Zip 2.0 tant que vous n'activez pas AES : keka.io indique que Keka applique la « spécification de chiffrement AES-256 pour vos fichiers 7z et la spécification de chiffrement héritée Zip 2.0 pour vos fichiers Zip ». Les versions actuelles de Keka offrent deux réglages pour cela : la case Utiliser le chiffrement AES-256 parmi ses options de compression avancées, et Utiliser AES-256 lors du chiffrement des fichiers ZIP (moins compatible) dans ses réglages. Cochez l'un d'eux avant de compresser, ou utilisez le format 7z de Keka, qui est déjà en AES-256. Dans les deux cas, vérifiez le résultat ensuite dans le Terminal : zipinfo -v archive.zip indique une entrée WinZip AES comme compression method: unknown (99), donc une entrée chiffrée qui affiche une méthode comme deflated n'est pas en WinZip AES. 7-Zip est une autre option, mais sous macOS c'est un programme en ligne de commande : 7-zip.org ne propose pour Mac qu'une version console, à lancer depuis le Terminal.

Choisir une phrase secrète que vous ne perdrez pas

Un chiffrement robuste n'aide que si la phrase secrète l'est, alors utilisez quelque chose de long et unique plutôt qu'un mot court que vous réutilisez ailleurs. Une chaîne aléatoire issue d'un gestionnaire de mots de passe convient bien, tout comme une phrase secrète composée de plusieurs mots sans rapport ; l'une comme l'autre est bien plus robuste qu'un simple mot du dictionnaire avec un chiffre ajouté à la fin. AES-256 est aussi conçu pour être impitoyable. Une phrase secrète assez robuste pour arrêter un attaquant est tout aussi capable de vous verrouiller dehors définitivement, car il n'y a ni porte dérobée ni réinitialisation. Enregistrez-la dans un gestionnaire de mots de passe dès que vous créez l'archive.

Évitez le ZIP intégré, choisissez AES-256 dans 7-Zip ou Keka, et notez la phrase secrète en lieu sûr. Si vous avez plus tard besoin d'une copie non protégée, retirer le mot de passe d'un ZIP revient à l'extraire puis à le recompresser sans mot de passe. Si vous voulez comprendre ce que vous activez, l'aperçu des fichiers ZIP chiffrés et la note sur à quel point les ZIP protégés sont sûrs exposent le raisonnement derrière chaque choix.