Comment choisir parmi les solutions françaises de transfert sécurisé

La souveraineté numérique a fait émerger une offre française abondante : BlueFiles, LockSelf, Oodrive, NetExplorer, MFT Online, TransfertPro et d’autres. Toutes affichent un hébergement en France et une conformité au RGPD.

Ces deux points ne départagent donc plus personne. Les différences se situent ailleurs, et elles sont vérifiables auprès de l’ANSSI plutôt que sur les pages commerciales.

1. Le type de visa de sécurité, et son périmètre. L’ANSSI délivre des certifications, qui portent sur un produit, et des qualifications, qui vont plus loin. Un éditeur peut afficher un visa obtenu sur un seul module, ou sur une version ancienne. La question utile est : quelle version exactement, quelles fonctions, et à quelle date ?

2. Les modes de déploiement couverts. Une certification obtenue en SaaS ne dit rien de la sécurité d’une installation sur vos serveurs, et réciproquement. Si vous envisagez un déploiement On-Premise, vérifiez que le certificat le couvre.

3. La qualification de l’hébergeur. Héberger en France ne signifie pas héberger chez un prestataire qualifié SecNumCloud. C’est pourtant ce que le décret SREN exige pour les données les plus sensibles du secteur public.

4. La certification HDS. Obligatoire dès qu’une donnée de santé à caractère personnel est concernée, y compris pour un simple transfert.

Sur ces quatre critères, voici les faits, tous vérifiables sur le site de l’ANSSI.

• Certification CSPN obtenue en 2018, renouvelée en 2025, portant sur la version 10.2.0.2, domaine d’agrément stockage sécurisé, évaluation conduite par AMOSSYS.
• Deux modes de déploiement couverts par la même certification : SaaS multi-tenant et On-Premise. C’est à ce jour le seul cas parmi les éditeurs français.
• Hébergeur qualifié SecNumCloud : 3DS Outscale, filiale de Dassault Systèmes.
• Certification HDS sur la même infrastructure, ainsi que la certification TISAX.

Nous ne prétendons pas que les autres solutions françaises sont mauvaises. Plusieurs sont excellentes, et certaines couvrent des besoins que nous ne couvrons pas. Nous disons simplement où se situe la différence, et comment la vérifier par vous-même.

Trois réflexes suffisent à trancher un dossier.

• Demandez la référence du certificat et la cible de sécurité associée. Les deux documents sont publics et publiés par l’ANSSI. Un éditeur qui ne peut pas les fournir n’est pas certifié.
• Lisez le périmètre d’évaluation dans la cible de sécurité. Il indique quelles fonctions ont réellement été testées, et dans quel mode de déploiement.
• Vérifiez la date et la version. Une certification porte sur une version précise du logiciel. Une certification de 2018 sur une version que plus personne n’utilise n’apporte pas grand-chose.

Pour TransfertPro, la référence est ANSSI-CSPN-2025/14, et la cible de sécurité correspondante est accessible depuis notre page consacrée à la certification.

Si vous rédigez un cahier des charges ou un dossier de consultation, ces six questions suffisent à écarter les dossiers qui ne tiennent pas.

• Quelle est la référence du visa de sécurité, et sur quelle version du logiciel porte-t-il ?
• Quels modes de déploiement la cible de sécurité retient-elle ?
• L’hébergeur est-il qualifié SecNumCloud ? Par quelle décision de l’ANSSI ?
• L’éditeur et l’hébergeur sont-ils soumis à une loi extraterritoriale, directement ou via leur actionnariat ?
• Les utilisateurs externes consomment-ils des licences ?
• Quelles sont les conditions de réversibilité, format et délai compris ?

Les quatre premières se vérifient sur des documents publics. Les deux dernières se vérifient dans le contrat, pas dans la plaquette.

Une comparaison honnête suppose de dire aussi où nous ne sommes pas le bon choix.

• Nous ne sommes pas une suite bureautique. Pas de messagerie, pas d’agenda, pas de visioconférence. Le périmètre est le document : stockage, partage, envoi, coédition, signature et horodatage.
• Nous ne visons pas le volume gratuit. TSendFree plafonne à 250 Mo. Plusieurs services gratuits sont bien plus généreux, et c’est assumé.
• Nous ne remplaçons pas un outil de transfert managé industriel pour des flux applicatifs à très haute cadence, même si notre interface de programmation et nos accès SFTP couvrent une large part des besoins d’automatisation.

Si votre besoin relève de ces trois cas, une autre solution du marché vous servira mieux, et nous vous le dirons dès le premier échange plutôt qu’au bout de trois réunions.

La certification atteste qu’un produit a résisté à une évaluation menée par un centre agréé. La qualification va plus loin : elle atteste la conformité aux exigences réglementaires et techniques de l’agence, et vaut recommandation de l’État.

Non, pas pour les données les plus sensibles du secteur public. Le décret SREN exige une qualification SecNumCloud de l’hébergeur, que tous les hébergeurs français ne détiennent pas.

En lisant la cible de sécurité, document public publié par l’ANSSI. Elle précise la version évaluée, les fonctions testées et les modes de déploiement retenus.

Oui dès lors qu’une donnée de santé à caractère personnel transite ou est stockée, même temporairement, chez le prestataire.

ANSSI-CSPN-2025/14, avec la cible de sécurité CSPN-CDS-TransfertPro-1.10 du 29 septembre 2025, rédigée par AMOSSYS.

Dites-nous ce que vous utilisez aujourd’hui, nous vous indiquons précisément ce que vous gagnez et ce que vous perdez au changement.

• Notre certification CSPN, référence ANSSI-CSPN-2025/14
• La qualification SecNumCloud de notre hébergeur
• La certification HDS pour les données de santé
• Les modes de déploiement disponibles