Sauvegarde Signal locale : vos messages chiffrés sur votre propre disque, et ce que vous contrôlez vraiment

La sauvegarde Signal peut maintenant rester chez vous. Avec Signal 8.30 pour iPhone, publié le 28 septembre 2026, l’iPhone et, selon l’éditeur, les applications pour Windows, macOS et Linux savent créer une copie chiffrée de l’historique dans le dossier de votre choix : disque externe, NAS ou espace en ligne. Signal ne la voit pas et ne peut pas la déchiffrer. La contrepartie : tout repose sur une clé de récupération que vous seul détenez, et qui ouvre toutes vos anciennes copies.

Ce que change la sauvegarde Signal en version 8.30

La sauvegarde sur l’appareil existait depuis des années sur Android ; Signal la présente comme une première sur iPhone et sur ordinateur. L’éditeur avait d’abord lancé ses sauvegardes sécurisées hébergées en septembre 2025, en commençant par Android, comme l’explique son billet de lancement du 8 septembre 2025. Le bilan publié le 28 septembre 2026 annonce la fin de cette première phase : sauvegarde hébergée et sauvegarde sur l’appareil sont disponibles partout, et une archive créée sur un système peut être restaurée sur un autre.

Signal y détaille aussi le nouveau format de la copie locale, qui compte pour qui veut l’héberger soi-même :

• Les médias sont rangés à part, dans un dossier séparé de l’archive des messages. Une synchronisation régulière vers un autre support ne recopie donc pas tout à chaque fois.
• Les doublons ne sont stockés qu’une fois : un même fichier reçu plusieurs fois n’occupe pas plusieurs fois la place.
• Android adopte le même format multiplateforme, ce qui rend une sauvegarde Android restaurable sur iPhone, et inversement.

Sur iPhone, Signal ajoute un transfert direct d’un appareil à l’autre via Wi-Fi Aware, présenté comme plus rapide et plus fiable. Ce transfert ne remplace pas une sauvegarde : il suppose d’avoir encore l’ancien téléphone en main.

Une nuance sur la version de bureau

Signal annonce la disponibilité sur tous les systèmes. À la date de notre vérification, le dépôt public de Signal Desktop sur GitHub listait la 8.29.0, publiée le 1er octobre, comme dernière version stable, et une 8.30.0-beta.1. Les notes de ces deux versions ne mentionnent pas la sauvegarde. Si l’option n’apparaît pas encore sur votre ordinateur, vérifiez la mise à jour avant de chercher plus loin.

Capture de la page des versions de Signal Desktop sur GitHub, le 06/10/2026.

Hébergée ou locale : quelle sauvegarde Signal choisir ?

Les deux formules ne protègent pas contre les mêmes risques. Le tableau ci-dessous reprend les caractéristiques publiées par Signal dans ses billets de 2025 et de 2026.

Notre lecture, selon votre situation :

• Vous n’avez ni NAS ni disque branché régulièrement : la sauvegarde hébergée gratuite couvre l’essentiel, c’est-à-dire les textes. Elle est automatique, ce qui compte plus que tout le reste : une sauvegarde qu’on oublie de lancer ne protège personne.
• Vos photos et documents dans Signal comptent : la formule gratuite ne garde que 45 jours de médias. Il faut choisir entre l’offre payante et la copie locale.
• Vous voulez que rien ne dépende du service : la copie locale vers un support que vous maîtrisez, doublée d’une copie hors de chez vous (chiffrée, elle peut aller chez un tiers sans être lisible).
• Vous êtes une personne exposée (journaliste, avocat, militant) : la question n’est pas seulement de sauvegarder, mais de décider si une archive doit exister. Une copie locale ancienne et sa clé, saisies ensemble, révèlent tout l’historique sauvegardé.

Qui contrôle votre sauvegarde Signal ?

La réponse tient en trois couches : l’éditeur, le support de stockage, et la clé.

L’éditeur et son droit

Le contrat est passé avec Signal Messenger LLC, dont l’adresse postale publiée est à Mountain View, en Californie. Ses conditions d’utilisation prévoient l’application du droit californien et la compétence du tribunal fédéral du district nord de Californie ou d’un tribunal de l’État dans le comté de San Mateo. Une entreprise américaine relève du CLOUD Act : une autorité américaine peut lui demander les données qu’elle détient, quel que soit le pays où elles sont stockées. Signal n’indique pas, dans les sources consultées, où sont hébergées les sauvegardes. C’est ici que les trois dimensions de la souveraineté des données se séparent : le lieu de stockage est inconnu, le droit applicable est américain, mais la maîtrise technique du contenu reste de votre côté.

Car l’archive est chiffrée avec une clé de récupération de 64 caractères, générée sur votre appareil et jamais transmise aux serveurs de Signal, selon le billet de 2025. Ce que Signal livre quand la justice le sollicite est public : sa page consacrée aux demandes des autorités recense des réponses limitées, selon les cas, à la date de création du compte et à la dernière connexion, et une demande du district de Columbia datée du 6 mars 2026. Un serveur qui ne détient que des données chiffrées dont il n’a pas la clé n’a rien de lisible à remettre. C’est une garantie technique, pas une promesse contractuelle.

Le support de stockage

Avec la copie locale, c’est vous qui décidez où vont les fichiers. Si ce dossier est synchronisé vers iCloud, OneDrive ou Google Drive, le fichier reste chiffré, mais vous ajoutez un intermédiaire qui voit qu’un fichier existe, sa taille et ses dates de modification. Ce n’est pas le contenu des messages, mais c’est une information. Pour éviter cet intermédiaire, un disque externe, un NAS ou un petit serveur domestique (un Raspberry Pi suffit pour ce rôle) gardent tout chez vous. Pour une copie hors de chez vous, une alternative européenne à Google Drive réduit l’exposition au droit américain, sans la rendre nécessaire puisque le contenu est déjà chiffré.

La clé : votre pouvoir, et votre point faible

Le choix de Signal sur la copie locale a une conséquence qu’il faut connaître. La version hébergée ajoute une clé secondaire renouvelée chaque jour dans un environnement d’exécution sécurisé, pour apporter de la confidentialité persistante (forward secrecy). La copie locale ne peut pas en profiter, puisqu’elle doit fonctionner sur n’importe quel support. Signal l’écrit sans détour : « Your on-device backup recovery key can decrypt all past backups wherever they are stored » (billet du 28 septembre 2026). La sauvegarde hébergée, elle, est refaite toutes les 24 heures et la précédente est supprimée automatiquement.

Capture du billet « Back to Backups: A Year in Review » (signal.org), le 06/10/2026.

Concrètement, quelqu’un qui récupère votre clé peut ouvrir non seulement la copie d’aujourd’hui, mais aussi toutes les copies anciennes que vous avez laissé traîner sur une clé USB ou un vieux disque. Et si vous perdez la clé, personne, Signal compris, ne peut restaurer quoi que ce soit.

Mettre en place une sauvegarde Signal locale sans se piéger

Les menus exacts varient selon le système. Les principes, eux, valent partout :

1. Mettez à jour Signal sur le téléphone et l’ordinateur, et vérifiez que l’option de sauvegarde sur l’appareil apparaît dans les réglages de sauvegarde.
2. Choisissez un dossier qui part ailleurs : une copie restée sur le téléphone ne protège pas contre la perte du téléphone. Un disque externe ou un NAS est le choix le plus simple.
3. Notez la clé de récupération hors ligne, sur papier ou dans un gestionnaire de mots de passe (Signal sur Android et iOS sait s’y intégrer), et jamais dans le même dossier que la sauvegarde. C’est la règle qui compte le plus, vu ce que la clé permet d’ouvrir.
4. Synchronisez le dossier des médias séparément : Signal a rangé les médias à part justement pour faciliter ces synchronisations périodiques.
5. Faites le ménage dans les anciennes copies que vous ne voulez plus conserver, puisque la même clé les ouvre toutes : c’est le conseil que donne Signal pour une copie sur clé USB.
6. Testez une restauration au moins une fois, par exemple lors d’un changement de téléphone. Une sauvegarde jamais restaurée est une hypothèse, pas une garantie.

Ces gestes rejoignent ceux que nous recommandons pour sécuriser son ordinateur : une sauvegarde chiffrée n’est sûre que si la machine qui la produit l’est aussi.

Les cas limites à connaître

• Messages éphémères : ceux qui doivent disparaître dans les 24 heures ne sont dans aucune sauvegarde. C’est voulu : une conversation réglée pour s’effacer ne doit pas survivre dans une archive.
• Messages longs : dans la formule hébergée, un message de plus de 128 Ko est traité comme une pièce jointe, et tombe donc sous la limite de 45 jours en gratuit.
• Allègement du téléphone : l’offre payante peut retirer de l’appareil les anciens médias en ne gardant qu’une vignette, l’original restant dans la sauvegarde. Signal cite l’exemple de 5 120 Mo ramenés à environ 600 Mo. Si vous résiliez, pensez à ce qui n’est plus que sur ses serveurs.
• Ordinateur lié : un ordinateur relié au téléphone peut désormais demander au téléphone les pièces jointes qui lui manquent, toujours chiffrées de bout en bout.

Questions fréquentes

Dernière vérification : 06/10/2026