VoIP et sécurité : ce qu'un appel depuis le navigateur protège et ce qu'il expose

La VoIP est-elle sécurisée ?

Pour des appels ordinaires, oui. Un appel depuis le navigateur passe par WebRTC, et la norme interdit d'envoyer l'audio en clair : quelqu'un connecté au même Wi-Fi que vous ne peut donc pas simplement écouter ^[1]. Ce que la VoIP change, c'est la confiance plutôt que l'écoute : vous comptez sur le service pour traiter honnêtement votre appel et ses traces, et vous perdez ce qu'offre une ligne téléphonique, comme les appels d'urgence et un numéro que les gens reconnaissent.

La distinction qui compte oppose l'appel d'application à application, où les deux personnes utilisent la même appli, et l'appel qui fait sonner un numéro de téléphone ordinaire. J'ai répondu à six questions courantes pour chacun, à partir des documents des fournisseurs eux-mêmes.

Parmi les services comparés plus bas, seuls TextNow et les offres payantes de Google Voice disent prendre en charge les appels d'urgence ; les autres les excluent ou n'en disent rien.

Pour la conversation elle-même, un appel d'appli à appli chiffré de bout en bout reste l'option la plus confidentielle. Pour joindre des téléphones ordinaires, un appel depuis le navigateur est à peu près aussi confidentiel que le service choisi, et les sections suivantes montrent comment j'en juge un.

WebRTC est-il sûr ?

Oui, en tant que technologie, il est conçu de façon défensive. La norme de l'IETF sur laquelle il repose impose un audio chiffré à chaque appel et un consentement explicite avant qu'une page n'utilise votre micro, et les navigateurs ne proposent le micro qu'aux pages sécurisées (HTTPS) ^[1][19]. Son point faible connu touche la vie privée plutôt que l'écoute : l'établissement d'un appel peut révéler vos adresses IP au service.

Chrome ajoute ses propres contrôles par-dessus la norme. Quand un site d'appel demande le micro, vous pouvez l'autoriser pendant votre visite, l'autoriser cette fois seulement ou ne jamais l'autoriser, et un site ne peut pas lancer un enregistrement pendant que vous êtes dans un autre onglet ou une autre application ^[20]. Sur un numéroteur que je compte n'utiliser qu'une fois, je choisis « Autoriser cette fois ».

WebRTC ne demande ni plug-in ni logiciel supplémentaire ^[21] : une page d'« appel gratuit » qui vous demande d'installer une extension ou une application de bureau réclame donc plus d'accès qu'un appel depuis le navigateur n'en a besoin.

Côté adresses IP, le document de l'IETF lui-même indique que WebRTC peut connaître l'adresse publique de votre VPN et, avec un VPN en split tunneling, l'adresse de votre fournisseur d'accès en dessous ^[22] ; l'aide de Messenger ajoute que les appels en tête-à-tête partagent votre adresse IP avec l'appareil de l'autre personne ^[23]. Comment le tester et le limiter est expliqué dans mon guide sur les fuites WebRTC.

Pour le trajet d'un appel entre l'onglet et le téléphone qui sonne, voyez comment un appel depuis le navigateur atteint un téléphone.

Qui peut entendre ou voir mon appel depuis le navigateur ?

Quatre parties le peuvent : la personne que vous appelez ; le service par lequel vous passez, dont la passerelle transforme l'audio du navigateur en appel téléphonique ordinaire ; les opérateurs de l'autre côté, qui le traitent comme n'importe quel appel ; et quiconque contrôle votre compte ou votre ordinateur. Seul un appel d'appli à appli chiffré de bout en bout, comme sur WhatsApp ou Telegram, tient le service et les opérateurs à l'écart de la conversation elle-même.

La conversation : chiffrée en transit, pas de bout en bout

TwinPhone, le sponsor du site, énonce clairement la limite : la signalisation et les flux média qu'il contrôle sont chiffrés en transit avec TLS et SRTP, et le dernier tronçon, chez l'opérateur, suit le modèle de sécurité de l'opérateur du destinataire ^[4]. Yolla indique que son application web utilise une connexion chiffrée quand vous vous connectez ou passez des appels ^[24]. Google Meet chiffre en transit par défaut et ne propose le chiffrement de bout en bout, sur option, que pour les appels entre comptes personnels ^[25][26].

Méfiez-vous du « bout en bout » sur un numéroteur web. La page d'accueil de PopTox promet un chiffrement WebRTC de bout en bout, mais ses conditions, mises à jour pour la dernière fois le 23 février 2016, précisent que les données peuvent être transférées sans chiffrement ^[27][28]. Un appel qui fait sonner un fixe doit d'abord être décodé sur une passerelle : il ne peut donc pas être de bout en bout au sens strict.

Les traces : qui, quand et combien de temps

La politique de confidentialité de Google indique qu'il peut collecter votre numéro, les numéros appelant et appelé, l'heure, la durée et l'acheminement des appels passés avec ses services ^[5], et l'aide de Google Voice précise qu'il conserve les informations sur les appels, les SMS et la messagerie vocale ^[29]. Call2Friends enregistre le numéro appelé, la date et la durée, et dit ne pas conserver le contenu des appels ^[10]. Globfone liste le numéro composé, l'heure, la durée et le statut de l'appel ^[30].

Cela répond aussi à la question « peut-on tracer un appel VoIP ? » : oui, grâce à ces traces. Google, par exemple, dit partager des informations personnelles lorsqu'il estime que c'est nécessaire pour répondre à une procédure judiciaire ou à une demande exécutoire des autorités ^[5]. Quant aux enregistrements, TwinPhone affirme que les appels personnels ne sont pas enregistrés ^[14].

Confidentialité et appels d'urgence, service par service

WhatsApp et Telegram chiffrent les appels de bout en bout, mais ne joignent que leurs propres utilisateurs. Google Meet rend le chiffrement de bout en bout optionnel, et Teams (gratuit) ne promet que le chiffrement des données ^[26][31]. Les services qui font sonner des téléphones chiffrent au mieux jusqu'à leur passerelle. Seuls TextNow, et Google Voice dans ses offres payantes, disent proposer les appels d'urgence.

Sur téléphone, faites défiler le tableau latéralement pour voir toutes les colonnes.

TwinPhone se range parmi les services qui font sonner des téléphones : chiffré en transit mais pas de bout en bout, pas d'appels d'urgence, et un numéro affiché partagé, sauf si vous louez un numéro ou faites vérifier le vôtre ^[4][7][14]. À son avantage côté confidentialité, l'inscription se fait avec un e-mail ou un compte Google, sans numéro de téléphone ^[17]. Pour les prix, la couverture et mes notes globales, consultez tous les services que j'ai comparés, côte à côte.

Google Voice est-il sûr ?

Oui, avec des réserves. Google Voice fonctionne avec votre compte Google, et son inscription est plus stricte que la plupart : un code par SMS envoyé à un vrai téléphone et, pour les nouveaux numéros, une vérification de pièce d'identité ^[16][34]. Je n'ai trouvé dans l'aide de Google aucune promesse de chiffrement de bout en bout pour les appels Voice, Google conserve l'historique des appels, et l'offre gratuite ne peut pas appeler le 911. Le risque que je surveillerais le plus est une arnaque, pas un piratage.

L'arnaque passe justement par ce code d'inscription. La FTC met en garde contre des inconnus qui vous font envoyer par SMS un code de vérification Google Voice, puis vous le demandent ; si vous le leur donnez, ils tentent de créer un numéro Google Voice associé à votre numéro de téléphone ^[45]. Ne lisez jamais un code de vérification à quelqu'un qui vous a contacté en premier.

• Activez la validation en deux étapes, qui, selon Google, ajoute une couche de sécurité au cas où votre mot de passe serait volé ^[46].
• Masquez votre numéro lors des appels où vous ne voulez pas que votre numéro Voice apparaisse ^[47].
• Gardez un téléphone pour les urgences : l'aide de Google indique qu'on ne peut pas passer d'appels d'urgence avec Google Voice, et le 911 est réservé aux comptes payants Starter, Standard et Workspace ^[33][9].

Les comptes Google Voice personnels ne sont disponibles qu'aux États-Unis ^[48]. Si cela, ou la vérification d'identité, l'exclut pour vous, mes notes sur les alternatives à Google Voice comparent les options.

Les sites d'appels gratuits sont-ils sûrs ?

On peut généralement les ouvrir sans risque, mais chacun vous demande de faire confiance à un exploitant que vous connaissez mal. Les numéroteurs gratuits que j'ai vérifiés diffèrent moins par la technique que par la paperasse : qui les exploite, ce qu'ils enregistrent, ce qu'ils affirment sur le chiffrement et quel numéro ils affichent.

Ce que je vérifie avant de taper un numéro

• Un exploitant nommé. Des conditions qui nomment une société et un pays vous donnent quelqu'un à qui demander des comptes ; des conditions faites de texte type ne vous donnent personne.
• Une politique de confidentialité qui liste ce qui est enregistré. Call2Friends et Globfone disent exactement ce qu'ils conservent, ce qui m'en apprend plus qu'une promesse sans détail.
• Aucun téléchargement. Un appel depuis le navigateur n'a besoin que de l'autorisation du micro : je ferme donc toute page d'appel gratuit qui pousse une extension ou un programme d'installation.
• Des données de carte seulement si l'exploitant est nommé. Globfone vérifie les cartes via Stripe et précise que la carte n'est pas débitée ^[43] ; je ne taperais pas un numéro de carte dans un numéroteur qui ne nomme aucune société.

Prudence avec StartACall, HelloAirDial et MySecondLine. Quand j'ai lu leurs sites le 1 novembre 2026, les conditions de StartACall contenaient un texte type à la place du droit applicable ^[53], celles de HelloAirDial ne nommaient ni société ni juridiction ^[54], et la page d'accueil de MySecondLine affichait du faux texte « Lorem ipsum » ^[55]. Je ne confierais à aucun d'eux mon numéro ni une carte. Les numéroteurs gratuits encore en ligne, et les limites qu'ils annoncent, sont dans les numéroteurs gratuits dans le navigateur que j'ai vérifiés.

Appels d'urgence et numéro affiché : deux limites à connaître d'abord

Deux lacunes comptent plus que le chiffrement pour la plupart des gens. Beaucoup de services dans le navigateur ne peuvent pas joindre le 911, le 112 ou le 999, et d'autres n'en disent rien : un téléphone dans le navigateur ne doit donc jamais être votre seul téléphone. Et le numéro que voit votre correspondant dépend du service : le vôtre, un numéro loué ou un numéro partagé, ce qui influe sur qui décroche et sur la possibilité de vous rappeler.

Appels d'urgence

Les conditions de WhatsApp excluent les services d'urgence, TwinPhone et Yolla ne peuvent pas les composer, et Google Voice ne prend en charge le 911 que sur les comptes payants Starter, Standard et Workspace ^[6][7][8][9]. TextNow fait exception, en acheminant le 911 aux États-Unis et au Canada avec des limites ^[11] ; les détails, et que faire hors des États-Unis, sont dans mon guide des appels d'urgence depuis un ordinateur.

Numéro affiché

Yolla affiche votre propre numéro, Google Voice votre numéro Voice et PopTox un seul numéro partagé par tous ^[13][33][15] ; TwinPhone affiche un numéro partagé qu'on ne peut pas rappeler, sauf si vous louez un numéro ou faites vérifier le vôtre, et il n'affichera pas un numéro dont vous ne pouvez pas prouver qu'il est à vous ^[14]. Pourquoi c'est important quand vous appelez une banque ou une administration, je l'explique dans mon article sur le numéro affiché.

Comment sécuriser ses appels depuis le navigateur

Six habitudes couvrent l'essentiel du risque, et aucune ne demande de compétences techniques. Je les classe de la plus protectrice, choisir le bon type d'appel, jusqu'à la solution de secours que tout utilisateur d'appels dans le navigateur devrait garder : une ligne téléphonique capable de joindre les services d'urgence.

1. Pour une conversation privée, utilisez un appel d'appli à appli chiffré de bout en bout. WhatsApp Web permet désormais ces appels dans le navigateur, même si la fonction est encore en cours de déploiement ^[56][57].
2. Accordez le micro site par site, choisissez « Autoriser cette fois » sur les numéroteurs ponctuels et supprimez les anciennes autorisations dans les paramètres des sites de Chrome ^[20].
3. Activez la validation en deux étapes sur le compte depuis lequel vous appelez, pour qu'un mot de passe volé ne suffise pas à l'ouvrir ^[46].
4. Ne lisez jamais un code de vérification à quelqu'un qui vous a contacté ^[45].
5. Avant d'appeler une banque, un médecin ou une administration, vérifiez quel numéro votre service affiche ; un numéro partagé risque de rester sans réponse.
6. Gardez un mobile ou un fixe à portée de main pour le 911, le 112 ou le 999.

Dans ce guide

• Guides

  Appeler le 112 ou le 911 depuis un ordinateur : ce qui fonctionne, ce qui est bloqué et que faire à la place

  Peut-on appeler le 911 ou le 112 depuis un ordinateur ? J'ai vérifié quels services web et VoIP joignent le 911, 112 ou 999, ce qu'exige la loi et que faire.

• Explications

  Test de fuite WebRTC : ce qu'un appel depuis le navigateur révèle de votre adresse IP

  Faire un test de fuite WebRTC, lire le résultat et voir qui obtient votre IP en appel web, avec les réglages Chrome, Firefox, Brave, Safari et VPN vérifiés.

• Explications

  Numéro affiché en VoIP : ce que voit votre correspondant quand vous appelez depuis un navigateur

  Numéro affiché en VoIP : partagé, fourni par le service ou votre mobile vérifié. Je compare ce que voit la personne appelée et qui peut vous rappeler.

Questions fréquentes