Partie 6 · Sécurité, conformité et vie privée

Transferts sécurisés

Envoyer des fichiers volumineux par un lien qui expire, tenir le journal d'accès exigé par la Loi 25 et ouvrir une salle de données sous entente.

Symbifox 18.0 (catalogue de septembre 2026) · Modules : Transfert sécurisé, Transfert sécurisé : entente de confidentialité · Révisé le 2026-09-12

L'application Transferts sécurisés remplace le service gratuit vers lequel on se rabat quand une pièce jointe est refusée. Elle s'adresse à toute personne qui envoie des documents à un client, et à la personne qui doit ensuite prouver qui les a reçus. Un envoi produit un lien daté, un code à usage unique si vous l'exigez, et un journal d'accès que rien ne réécrit. À l'échéance, les fichiers sont effacés du stockage et la preuve de ce qui s'est passé reste.

Vue d'ensemble#

Un transfert est un envoi : un expéditeur, des destinataires, un objet, un message, des fichiers, une échéance. Il porte une référence du type « TR-2026-001 » et un état qui va de brouillon à actif, puis à expiré, purgé ou suspendu. Le lien de partage contient un jeton qui ne se devine pas; il cesse de fonctionner à l'échéance. Le code du destinataire est un code à usage unique envoyé par courriel ou par SMS : tant qu'il n'est pas saisi, ni le message ni les fichiers ne s'affichent. Une marque habille la page publique et les courriels selon le domaine par lequel le visiteur arrive. Le journal d'accès consigne chaque événement, de la création à la purge.

Deux modes de transmission coexistent. En destinataires nommés, vous savez à qui vous écrivez et chacun reçoit son lien. En audience ouverte, le lien ne vise personne : vous le diffusez, et chaque personne qui l'ouvre déclare son adresse, la confirme par un code, puis entre. C'est le mode d'une salle de données, où l'on ne connaît pas d'avance la liste des lecteurs.

Deux chemins mènent au dépôt des fichiers, et ils ne se valent pas. Depuis la page publique, le navigateur téléverse directement vers le stockage : les octets ne passent pas par Symbifox, ce qui autorise plusieurs gigaoctets et la reprise après une coupure. Depuis l'assistant interne, les fichiers passent par Symbifox et restent donc plafonnés, à 25 Mo par défaut.

Configuration#

Accès et droits#

Le lien brut n'est pas affiché sur la fiche : il se lit par l'assistant Révéler le lien, qui inscrit la révélation au journal. C'est le seul chemin prévu depuis Symbifox, et il est réservé aux gestionnaires.

Paramètres#

Les réglages de l'instance se trouvent dans Transferts sécurisés › Configuration › Paramètres.

Données de base#

Une marque au moins doit exister : c'est elle qui donne le logo, les couleurs, les limites et le domaine du lien. La marque par défaut sert tout domaine qui ne correspond à aucune autre. Décidez ensuite si vous ouvrez des pages de dépôt personnelles, puis, si vous prévoyez des salles de données, cochez Audience ouverte offerte sur la marque visée et fixez-y un nombre maximal de visiteurs.

Premiers pas#

Ce parcours envoie un message retenu derrière un code, depuis Symbifox, sans toucher à la page publique.

1. Ouvrez Transferts sécurisés › Nouveau message sécurisé.
2. Choisissez les Destinataires dans le carnet, ou saisissez des adresses dans Autres courriels.
3. Gardez le Canal du code sur « Courriel », ou choisissez « SMS » si le mobile du destinataire est connu.
4. Saisissez l'Objet, par exemple « Rapport d'audit TI », puis le message à transmettre.
5. Sélectionnez Fichiers pour joindre des pièces, au besoin.
6. Ajustez Disponible (jours) et, s'il le faut, le Mot de passe (optionnel).
7. Sélectionnez Envoyer.

Résultat : un transfert actif paraît dans Transferts, le destinataire reçoit un courriel qui ne contient que l'objet et le lien, et le journal enregistre la création puis l'envoi. Le contenu ne s'affichera qu'après la saisie du code.

Tâches courantes#

Envoyer des fichiers volumineux depuis la page publique#

C'est le chemin à prendre au-delà de quelques dizaines de mégaoctets, puisque les fichiers ne passent pas par Symbifox.

1. Ouvrez l'adresse publique d'envoi de votre marque dans un navigateur.
2. Saisissez votre courriel, puis les adresses des destinataires.
3. Déposez les fichiers dans la zone prévue et attendez la fin du téléversement.
4. Choisissez la durée de disponibilité et, au besoin, un mot de passe.
5. Cochez la demande de code du destinataire si la marque l'offre.
6. Envoyez.

Résultat : le transfert apparaît dans Transferts avec l'état actif, et les destinataires reçoivent chacun leur courriel.

Recevoir des fichiers par une page de dépôt#

Une page de dépôt est une page publique dont le destinataire est fixé : quiconque l'ouvre ne peut envoyer qu'à cette personne.

1. Ouvrez Transferts sécurisés › Configuration › Marques, puis sélectionnez Nouveau.
2. Saisissez le Nom et l'Identifiant de page (slug), par exemple « depot ».
3. Renseignez Destinataire unique (page de dépôt) avec l'adresse qui recevra tout.
4. Saisissez au besoin le Nom affiché du destinataire.
5. Enregistrez.

Résultat : la page répond à l'adresse /to/depot, le champ destinataire y est masqué, et le serveur impose l'adresse au dépôt comme à l'envoi. Partagez cette adresse plutôt que de demander à un client de vous écrire une pièce jointe.

Ouvrir une salle de données#

Le lien d'une audience ouverte ne nomme personne : c'est vous qui le diffusez, et chaque visiteur se présente.

1. Ouvrez Transferts sécurisés › Configuration › Marques et cochez Audience ouverte offerte sur la marque visée.
2. Renseignez Visiteurs max. (défaut) sur la même marque.
3. Ouvrez Transferts sécurisés › Nouveau lien à audience ouverte.
4. Saisissez l'objet, le message et les fichiers, comme pour un envoi nommé.
5. Ajustez Domaines admis, Visiteurs max. et Téléchargements par visiteur.
6. Cochez M'aviser à chaque nouveau visiteur, puis envoyez.

Résultat : le lien vous revient à vous, et non à une liste de destinataires. Chaque personne qui l'ouvre déclare son adresse, reçoit un code, le confirme, puis accède au contenu; elle paraît alors dans Visiteurs.

Bloquer un visiteur#

Une identité admise se coupe sans fermer le lien ni gêner les autres.

1. Ouvrez Transferts sécurisés › Visiteurs.
2. Cochez la ligne de la personne.
3. Sélectionnez Bloquer.

Résultat : l'état de la ligne passe à bloqué et la personne n'ouvre plus rien. La ligne reste, parce que le journal doit garder la trace de ce qui a été consulté. Débloquer revient en arrière.

Exiger un code du destinataire après l'envoi#

Un transfert déjà parti peut être refermé derrière un code, sans rappeler les courriels déjà livrés.

1. Ouvrez le transfert dans Transferts sécurisés › Transferts.
2. Sélectionnez Exiger un code du destinataire.

Résultat : le lien ne change pas, mais la prochaine ouverture demande un code. Le journal inscrit l'événement, et le lien cesse d'être masqué dans le fil de discussion, puisqu'il n'ouvre plus rien à lui seul.

Renvoyer le lien aux destinataires#

Le cas prévu est celui du destinataire qui n'a jamais reçu le courriel, ou qui l'a effacé.

1. Ouvrez le transfert.
2. Sélectionnez Renvoyer le lien aux destinataires.

Résultat : le même lien repart aux mêmes adresses, et le journal note un nouvel envoi. Le transfert doit être encore actif.

Prolonger l'échéance#

L'échéance ne se modifie pas à la main sur la fiche : elle passe par un assistant, qui laisse une trace.

1. Ouvrez le transfert.
2. Sélectionnez Prolonger l'échéance.
3. Choisissez la Nouvelle durée, comptée depuis l'envoi.
4. Sélectionnez Prolonger.

Résultat : la nouvelle échéance s'affiche sur la fiche et le journal enregistre la prolongation. Un transfert déjà purgé ne se prolonge pas : ses fichiers n'existent plus.

Couper un lien et effacer les fichiers#

Deux gestes distincts, dans cet ordre : couper l'accès, puis reprendre la place.

1. Ouvrez le transfert.
2. Sélectionnez Expirer maintenant pour éteindre le lien à l'instant.
3. Sélectionnez Purger les fichiers pour effacer les objets du stockage sans attendre la passe quotidienne.

Résultat : le lien ne répond plus et les fichiers sont effacés. Les métadonnées et le journal restent : c'est la preuve qui survit au contenu.

Traiter un signalement d'abus#

Un visiteur peut signaler un envoi depuis la page publique. La réaction est immédiate et ne vous attend pas.

1. Ouvrez le transfert passé à l'état suspendu.
2. Lisez l'onglet Journal pour retrouver le signalement et son horodatage.
3. Sélectionnez Réactiver si le signalement est infondé.

Résultat : à la suspension, le lien s'éteint sans que rien soit effacé, un courriel détaillé part au bureau d'abus, un avis neutre part aux destinataires et une activité est posée aux gestionnaires. La réactivation redonne accès, dans les limites de l'échéance d'origine.

Produire le certificat d'accès#

Le certificat est la pièce à joindre quand il faut démontrer, devant un tiers, ce qui a été remis et à qui.

1. Ouvrez le transfert.
2. Sélectionnez Vérifier l'intégrité et lisez le verdict affiché.
3. Sélectionnez Certificat d'accès (PDF).

Résultat : un PDF à vos couleurs, qui recalcule l'intégrité du journal à l'impression, donne les tailles confirmées par le serveur, les horodatages en temps universel et la façon de refaire le calcul soi-même.

Exporter le journal d'un transfert#

L'export sert quand la preuve doit vivre hors de Symbifox, dans un dossier d'audit ou chez un tiers.

1. Ouvrez le transfert.
2. Sélectionnez Exporter le journal (CSV).

Résultat : un fichier téléchargé dont la première ligne porte le verdict d'intégrité de la chaîne, suivi de tous les événements du transfert.

Créer une marque à vos couleurs#

Une marque relie un domaine, une allure et des limites. Elle se règle une fois, puis sert à tous les envois qui passent par ce domaine.

1. Ouvrez Transferts sécurisés › Configuration › Marques, puis sélectionnez Nouveau.
2. Saisissez le Nom et le Domaine, sans schéma ni port.
3. Téléversez le Logo et le Favicon, puis réglez la Couleur principale et la Couleur foncée.
4. Ajustez les limites : taille par transfert, nombre de fichiers, rétention maximale.
5. Cochez les options voulues, dont Mot de passe autorisé, Code destinataire offert et Filigrane au téléchargement.
6. Sélectionnez Configurer le domaine (CORS) pour que le téléversement direct fonctionne depuis ce domaine.

Résultat : la page publique et les courriels servis sous ce domaine prennent cette allure. Décochez Afficher « Propulsé par » pour une marque en marque blanche.

Exiger une entente de confidentialité avant l'accès#

Cette tâche demande le module pont décrit plus bas. Elle place la signature d'une entente entre le code à usage unique et le contenu.

1. Ouvrez Transferts sécurisés › Configuration › Marques et sélectionnez la marque.
2. Téléversez l'entente en PDF et cochez l'exigence de signature.
3. Saisissez au besoin le texte de consentement, et choisissez un gabarit de pavés si la signature doit être dessinée sur les pages.
4. À l'envoi, gardez ou retirez l'exigence dans l'assistant.

Résultat : chaque visiteur signe son propre exemplaire, à l'identité qu'il vient de confirmer, avant que le message, les fichiers et les liens directs s'ouvrent. Exiger une entente exige aussi le code du destinataire : une signature anonyme ne prouverait rien.

Les menus, un à un#

Transferts sécurisés › Tableau de bord : une vue graphique du volume stocké et des téléchargements, regroupée par marque à l'ouverture. Les icônes du coin passent au tableau croisé et à la liste; Mesures change ce qui est mesuré.

Transferts sécurisés › Nouveau message sécurisé : l'assistant d'envoi depuis Symbifox, décrit dans Premiers pas. Il compose un message, y joint au besoin des fichiers, et retient le contenu derrière un code.

Transferts sécurisés › Nouveau lien à audience ouverte : le même assistant, en mode audience ouverte. Sur la démo Boréal, ce menu répond par un refus, faute d'une marque qui offre l'audience ouverte, et indique quoi cocher sur la marque visée.

Transferts sécurisés › Transferts : la liste de travail, filtrée sur « Actifs » à l'ouverture. Colonnes Référence, Objet, Marque, Courriel de l'expéditeur, taille, Protégé, téléchargements, Expire le et État, avec le total des octets en pied de liste. Les vues graphique et tableau croisé sont accessibles depuis les icônes du coin.

Transferts sécurisés › Visiteurs : les personnes admises sur un lien à audience ouverte, filtrées sur « Confirmés ». Colonnes Transfert, Identité, Type d'identité, État, Première demande, Confirmé le et téléchargements. La démo n'en compte aucun.

Transferts sécurisés › Journal d'accès : tous les événements de tous les transferts, du plus récent au plus ancien. Colonnes Horodatage (UTC, ISO 8601), Transfert, Action, Fichier, Adresse IP, Acteur et Note. C'est l'écran à ouvrir pour répondre à « qui a vu quoi, et quand ».

Transferts sécurisés › Configuration : menu de regroupement, visible aux seuls gestionnaires.

Transferts sécurisés › Configuration › Marques : la liste des marques, avec Nom, Domaine, Identifiant de page (slug), Dépôt vers, Palier, Défaut, Propulsé par, Client et Actif. La démo n'en compte qu'une, la marque par défaut, au palier gratuit.

Transferts sécurisés › Configuration › Paramètres : la section Transfert sécurisé des Paramètres, décrite dans Configuration.

Référence#

Champs du formulaire Transfert#

Champs du formulaire Nouveau message sécurisé#

Champs du formulaire Marque#

Champs du formulaire Visiteur#

Rapports et exports#

Le module produit un rapport imprimable, le Certificat d'accès (PDF), et un export du journal en CSV, tous deux depuis la fiche d'un transfert. Le certificat recalcule le verdict d'intégrité au moment de l'impression plutôt que de reprendre un verdict enregistré.

Automatisations#

Cinq passes tournent seules. Chaque jour, les transferts échus passent à expiré et leurs fichiers sont effacés du stockage. Chaque heure, les brouillons abandonnés sont nettoyés, les liens sont masqués dans les fils de discussion des transferts qui ne sont plus protégés par un code, et les pièces jointes de composition sont purgées. Chaque semaine, les journaux sortis de la période de rétention sont retirés : c'est le seul chemin qui efface jamais une entrée de journal. La suspension sur signalement d'abus, elle, est immédiate et n'attend aucune passe.

Pages publiques et portail#

Un jeton inconnu, expiré, purgé ou suspendu reçoit la même réponse qu'une page inexistante.

Modules qui enrichissent cette application#

Un module pont ajoute une barrière entre le code à usage unique et le contenu.

L'application Signatures électroniques fournit le moteur de signature que ce pont utilise, décrite au chapitre Signatures électroniques.

Comprendre#

Pourquoi les octets évitent Symbifox. Sur la page publique, le navigateur dépose les fichiers directement dans le stockage, avec une autorisation signée pour l'occasion. Un fichier de plusieurs gigaoctets passe, et une coupure reprend là où elle s'est arrêtée. L'assistant interne, lui, fait transiter les octets par Symbifox, et c'est pourquoi il reste plafonné.

Pourquoi le fichier ne peut pas être remplacé après coup. À la finalisation, la taille de chaque fichier est vérifiée auprès du stockage et son empreinte est épinglée. Cette empreinte est revérifiée avant chaque téléchargement : un objet remplacé entre-temps ne se télécharge pas.

Pourquoi le lien disparaît du fil de discussion. Les courriels envoyés restent attachés au transfert, et le lien s'y trouvait en clair. Il est masqué dès que la file d'envoi a livré le courriel, sauf quand un code du destinataire garde le contenu. Un courriel encore en attente n'est jamais retouché, sinon il partirait avec un lien mort.

Pourquoi une réponse identique pour tous les liens morts. Inexistant, expiré, purgé, suspendu : la réponse est la même. Une réponse différente selon l'état confirmerait à un inconnu quels liens existent.

Pourquoi le journal ne se corrige pas. Chaque entrée porte l'empreinte de la précédente. Retirer ou modifier une ligne casse la chaîne, et Vérifier l'intégrité le dit. C'est ce qui donne sa valeur au certificat : il ne demande pas qu'on lui fasse confiance, il fournit de quoi refaire le calcul.

Pourquoi le filigrane change le chemin du téléchargement. Pour estamper un PDF au nom du destinataire, Symbifox doit servir lui-même les octets au lieu de renvoyer vers le stockage. L'option ne vaut que pour les PDF; les autres fichiers gardent la redirection directe.

Pourquoi une identité par mobile ne peut pas signer. Une signature exige une adresse de courriel. Dès qu'une entente est exigée, l'identification par mobile est retirée de la page, plutôt que de conduire un visiteur vers une porte qu'il ne pourra pas franchir.

Pourquoi la purge garde le journal. Les fichiers sont effacés à l'échéance, ce qui est le but. Les métadonnées et le journal restent : la preuve de la remise doit survivre au contenu remis, et c'est ce que la Loi 25 attend.

Dépannage#

Voir aussi#

• Signatures électroniques : le moteur de signature de l'entente de confidentialité.
• Vie privée (Loi 25 et autres cadres) : la conservation et la destruction des documents.
• Pages de liens : la page personnelle qui publie votre page de dépôt.
• Contacts : le carnet d'où viennent les destinataires et leurs numéros.
• Employés : les personnes pour qui une page de dépôt se crée seule.
• Paramètres et identité de marque : le logo et les couleurs repris par les marques.