French Tech 2030 : 68 des 80 lauréats confient leurs e-mails à Google ou Microsoft, notre relevé

Sur les 80 start-up de la promotion French Tech 2030 annoncée le 16 octobre 2026, 66 reçoivent leurs e-mails directement chez Google ou Microsoft, d’après les enregistrements MX que nous avons relevés le 17 octobre sur les domaines de leurs sites officiels. Deux autres y arrivent par un domaine voisin, ce qui fait 68. Côté cybersécurité, les dix lauréats sans exception confient leur messagerie à un fournisseur américain. Seules trois entreprises passent par OVHcloud.

Le chiffre a d’abord été publié par Next, qui a fait l’exercice à partir des adresses de contact. Nous l’avons refait de notre côté, avec une méthode écrite plus bas, pour savoir s’il tenait et ce qu’il dit vraiment de la souveraineté de ces entreprises. Il tient, à deux unités près.

French Tech 2030 : ce que dit le relevé des 80 lauréats

Le gouvernement a présenté la promotion dans un dossier de presse du ministère de l’Économie : 80 start-up deeptech réparties en huit thématiques, de l’intelligence artificielle au spatial en passant par le quantique, la santé ou les semi-conducteurs. Le document précise que la Mission French Tech les « sensibilise aux enjeux de souveraineté, de cybersécurité et de propriété intellectuelle ».

Nous sommes partis de la liste officielle publiée par la Mission French Tech, qui donne pour chaque lauréat un lien vers son site. 79 en ont un ; Valmy, dans la catégorie intelligence artificielle, n’en a pas. Pour chacun des 79 domaines, nous avons interrogé le DNS public sur l’enregistrement MX, celui qui indique au reste d’Internet quel serveur reçoit le courrier du domaine.

Les deux domaines sans MX ne sont pas des entreprises sans e-mail. Shark Robotics écrit depuis son domaine en .fr et Memority depuis sa version en .com : les deux pointent vers Microsoft. En les comptant, on retrouve les 68 lauréats chez Google ou Microsoft annoncés par Next. L’écart avec son total de 71 entreprises américaines vient du tri des cas incertains, que nous ne rangeons pas d’office chez un fournisseur.

Les six cas où le MX ne dit pas tout

Six lauréats font passer leur courrier par une passerelle de filtrage, un service qui trie le spam avant de transmettre les messages à la vraie boîte. Le MX montre la passerelle, pas la messagerie. Pour quatre d’entre eux (Hexana, Stellaria, Wise Integration, Elistair), l’enregistrement SPF, qui liste les serveurs autorisés à envoyer au nom du domaine, inclut les serveurs d’envoi de Microsoft. C’est un indice fort d’une messagerie Microsoft 365 derrière le filtre, pas une preuve : un SPF autorise l’envoi, il ne dit pas où sont stockées les boîtes.

Même prudence pour les serveurs maison. Celui de Spacedreams reçoit bien le courrier, mais son SPF autorise aussi Microsoft. Keysom, dans les semi-conducteurs, est le seul lauréat dont le relevé ne laisse apparaître aucun fournisseur américain : un serveur à son nom et un SPF qui cite Infomaniak, hébergeur suisse.

La cybersécurité, 10 sur 10 chez un fournisseur américain

Le résultat le plus frappant tient à une catégorie. Les dix lauréats de la thématique cybersécurité reçoivent leur courrier chez Microsoft ou Google : Anozr Way, CryptoNext Security, Glimps, ID4US, Jizô AI, Kerys Software, YesWeHack et Memority chez Microsoft, Evertrust et Qevlar AI chez Google. Pour Evertrust, le domaine du site (.io) pointe vers Google et sa variante en .fr vers Microsoft : les deux sont américains.

Ces entreprises vendent de la protection, de la cryptographie post-quantique ou de la gestion d’identité, souvent à des clients publics. Leur choix de messagerie n’est pas une faille en soi : Microsoft 365 et Google Workspace sont des services solides, bien administrés, et une start-up de vingt personnes a d’autres priorités que d’opérer son propre serveur. Mais il dit une chose simple : même dans le secteur le plus sensibilisé, l’outil de communication de base reste un service soumis au droit américain.

Qui contrôle ces e-mails, et sous quel droit ?

Qui détient le courrier. Le fournisseur qui reçoit le message le stocke et en gère les clés de chiffrement, sauf si l’entreprise ajoute elle-même un chiffrement de bout en bout. Pour une boîte Microsoft 365 ou Google Workspace, c’est donc une société américaine qui conserve les échanges avec les clients, les investisseurs et l’administration.

Sous quel droit. Microsoft et Google restent soumis au CLOUD Act, qui permet aux autorités américaines de leur demander des données qu’ils contrôlent, y compris quand les serveurs sont en Europe. Héberger les boîtes dans un centre de données européen ne règle donc pas la question : c’est le principe de l’extraterritorialité. Pour une deeptech qui manipule des brevets, des contrats de défense ou des données de santé, le risque n’est pas théorique ; il est juridique.

Qui peut partir. Changer de messagerie est l’une des migrations les plus simples du numérique : on exporte les boîtes, on modifie l’enregistrement MX, et le courrier arrive ailleurs. La difficulté vient de tout ce qui est accroché autour (agenda, partage de fichiers, visioconférence, authentification unique), qui crée un enfermement bien plus fort que la boîte elle-même. Notre comparatif de sept messageries européennes vérifiées donne des solutions de remplacement, avec leurs limites.

Vérifier la messagerie de n’importe quel domaine en une commande

Le relevé est reproductible par n’importe qui, sans outil payant. Sur Linux ou macOS, dans un terminal :

dig +short MX exemple.fr
dig +short TXT exemple.fr | grep spf

Sous Windows, la commande nslookup -type=mx exemple.fr donne le même résultat. Trois lectures suffisent dans la plupart des cas :

• un nom en google.com ou googlemail.com : Gmail ou Google Workspace ;
• un nom en mail.protection.outlook.com : Microsoft 365 ;
• un nom de filtre (Mailinblack, Hornetsecurity, Vade, Proofpoint…) : la vraie messagerie est derrière, et le SPF donne un indice sur le fournisseur.

C’est aussi un bon réflexe avant de signer avec un prestataire qui promet une offre souveraine : s’il vend de l’hébergement européen mais reçoit son propre courrier chez un géant américain, la question mérite d’être posée.

Ce que le relevé ne permet pas de dire

Un enregistrement MX est une photographie du 17 octobre 2026. Il ne dit rien des autres outils de ces entreprises (stockage, code source, calcul), ni des contrats signés avec leur fournisseur, ni d’un éventuel chiffrement ajouté. Il ne mesure pas non plus un risque réel de fuite : il décrit une dépendance. Enfin, une start-up en hypercroissance change souvent d’outils, et certaines ont pu migrer depuis la publication de Next.

Notre avis : le reproche ne vise pas les start-up, qui choisissent l’outil le plus répandu, mais le programme. Un dispositif public qui sélectionne 80 entreprises « pour maîtriser les technologies » et affirme les sensibiliser à la souveraineté pourrait fixer une exigence minimale et vérifiable : une messagerie hors de portée du droit extraterritorial pour les lauréats des thématiques sensibles. La migration coûte quelques jours, la dépendance dure des années.

Dernière vérification : 17/10/2026