Partage de fichiers sécurisé, sous gouvernance DSI

Un commercial doit envoyer un contrat de 800 Mo à un client cet après-midi. Votre messagerie plafonne à 25 Mo, l'outil interne demande six clics et un VPN. Il ouvre WeTransfer depuis son compte perso. Le fichier quitte votre infrastructure, transite par un service grand public, et vous n'avez aucune trace de qui l'a envoyé, à qui, ni de ce qu'il devient.

Ce scénario se répète chaque jour dans toute organisation. Les employés ne contournent pas vos règles par malveillance : ils contournent la friction. Quand l'outil officiel est plus lent et plus compliqué que Dropbox perso ou Google Drive personnel, ils prennent le chemin court. C'est précisément ce que documentent les enquêtes post-incident : le shadow IT figure régulièrement comme point d'entrée ou facteur aggravant des violations de données.

Le coût n'est pas théorique. Le rapport IBM Cost of a Data Breach 2025 chiffre la violation moyenne à 4,88 millions de dollars. Un fichier RH, un plan stratégique ou une liste clients déposé sur un service grand public sans contrôle, c'est une fuite potentielle hors de tout cadre RGPD, sans journalisation, sans expiration, sans révocation possible.

Bannir WeTransfer ne marche pas. Si vous coupez l'outil pratique sans le remplacer par quelque chose d'aussi rapide, vos équipes trouvent un autre contournement. La seule stratégie qui tient : donner un outil officiel plus simple que le shadow IT, et imposable techniquement.

Pli Scellé est conçu pour ça. Le partage tient en un glisser-déposer : un lien sécurisé est généré, l'expéditeur le transmet, point. Pas de compte à créer pour le destinataire, pas de configuration. Côté DSI, chaque partage est chiffré en AES-256-GCM avec une architecture zero-knowledge : la clé reste dans le navigateur de l'expéditeur, le serveur ne voit jamais le contenu en clair. Même nous ne pouvons pas lire les fichiers.

Chaque lien expire automatiquement, de 1 heure à 30 jours selon votre politique, puis les données sont purgées définitivement. Plus de fichiers oubliés sur un serveur tiers pendant des années. Les fichiers non chiffrés passent par une analyse antivirus ClamAV avant mise à disposition. Et les receive links permettent à un tiers externe de vous déposer un fichier de façon sécurisée, sans qu'il ait besoin d'un compte, là où aujourd'hui vous lui demandez probablement de passer par sa propre solution non maîtrisée.

Un outil sécurisé qui ne s'intègre pas à votre SI reste un silo de plus à gérer. Pli Scellé se branche sur votre IAM existant.

Le SSO/SAML est disponible dès le plan Essentiel : Azure AD, Okta, Google Workspace. Vos collaborateurs s'authentifient avec leurs identifiants d'entreprise, vos politiques de mot de passe et de MFA s'appliquent, et un départ révoque l'accès immédiatement via votre annuaire. Le provisioning SCIM 2.0 (dès le plan Pro) automatise la création et la désactivation des comptes : un employé qui quitte l'organisation perd son accès sans intervention manuelle.

Côté contrôle d'accès réseau, l'IP allowlist et les restrictions géographiques (plan Pro) limitent l'usage aux plages d'adresses de l'entreprise ou aux pays autorisés. L'authentification forte repose sur la 2FA et les passkeys.

Pour l'audit et la conformité, chaque action génère un log : qui a partagé quoi, quand, vers qui, qui a consulté. La rétention est de 30 jours en Essentiel et 90 jours en Pro, avec export à partir du plan Pro. Ces journaux répondent directement à l'exigence de journalisation des accès posée par l'article 32 du RGPD, qui impose des mesures techniques pour garantir la confidentialité et l'intégrité des données. L'API REST et les webhooks permettent de connecter Pli Scellé à votre SIEM, vos workflows internes ou votre outillage de détection. Et nous ne pratiquons aucun tracking comportemental sur la plateforme.

La localisation des serveurs ne suffit plus à protéger vos données. Le Cloud Act américain autorise les autorités fédérales à contraindre tout fournisseur de droit américain à transmettre des données, quelle que soit la localisation des serveurs. Concrètement, vos fichiers stockés chez AWS, Azure ou Google Cloud dans un datacenter parisien restent juridiquement accessibles depuis Washington.

Pli Scellé est édité et hébergé en France par SHPV FRANCE SAS, une société de droit français. Vos données ne tombent pas sous le coup du Cloud Act. Pour un RSSI qui traite des données sensibles, des données de santé ou des données soumises à des obligations sectorielles, cette différence juridique est structurante : l'hébergement souverain est aujourd'hui exigé pour les traitements de données sensibles de l'État, et la même logique s'applique à toute organisation qui veut maîtriser sa chaîne de responsabilité.

Combiné au chiffrement zero-knowledge, vous obtenez une garantie à deux niveaux : même sous contrainte légale, l'hébergeur ne dispose que de données chiffrées illisibles, et l'hébergeur n'est de toute façon pas soumis à une juridiction extraterritoriale.