Très populaire ces dernières années et misant sur son standard JMAP maison, Fastmail est propulsé par des performances de premier plan. Il pose également la question des priorités dans la recherche d’un nouveau fournisseur email.

Fastmail est une société australienne fondée à Melbourne en 1999. Elle opère sur le terrain de l’email depuis plus de 20 ans, une longévité qui explique sa célébrité, relative en France. On le sait d’ailleurs moins, mais elle a appartenu à Opera de 2010 à 2013, avant d’être rachetée par ses propres employés. Elle est restée indépendante depuis.

Son intérêt repose sur une dichotomie cristallisant de nombreuses thématiques de ces dernières années : le service et les performances d’un côté, la vie privée de l’autre. Mais si Fastmail est un excellent produit sur le plan technique, il pose la question de l'accès aux données. La faute, en grande partie, à son statut de société australienne.

JMAP : un standard à concrétiser

La société a travaillé dès 2014 sur un protocole qu'elle pousse désormais comme un standard : JMAP (JSON Meta Application Protocol). Elle partait du constat qu’IMAP a fait son temps.

S'il a apporté la synchronisation des emails entre plusieurs appareils, il n’est pas adapté au monde mobile. Les connexions établies sont de longue durée, il est gourmand en ressources, difficile à mettre en œuvre et est trop lent. En outre, du fait de sa stagnation (en association avec le SMTP), il laisse la porte ouverte aux grandes plateformes américaines et autres petits nouveaux pour le développement de solutions propriétaires, comme on l'a vu avec Hey.com.

Simple projet interne porté par le PDG Bron Gondwana et le directeur et architecte UX Neil Jenkins au départ, JMAP disposait trois ans plus tard d'un groupe de travail à l’IETF. La route du standard est alors ouverte.

Cela provoquait un afflux d’autres ingénieurs, parmi lesquels Chris Newman d'Oracle. Deux ans plus tard, le 18 juillet 2019, la RFC 8620 était publiée, avec à son bord un nouveau modèle pour la synchronisation des données. Le 13 août, la RFC 8621 suit, décrivant la mécanique interne de gestion des emails. Leur auteur principal est Jenkins, leur co-auteur Newman.

Le protocole est déjà utilisé par Fastmail. C’est en fait une publication sous forme de standard ouvert des fonctions proposées par le service. On retrouve des classiques comme l’annulation d’un mail envoyé dans les 15 secondes suivant son expédition, des notifications push pour l’ensemble des dossiers ou la synchronisation des contacts et agendas. Basé sur HTTPS et JSON, JMAP intègre nativement du chiffrement. Les connexions ne sont que temporaires.

Il est utilisé à travers de nombreuses implémentations (serveurs, clients, bibliothèques) et peut-être bientôt Thunderbird.

Fastmail : une mise en route très simple, mais un service payant

On ne pourra pas reprocher à Fastmail de ne pas être assez accueillant, en dépit d’une page d’inscription en anglais. Pour ceux qui en auraient peur, sachez que la langue peut se changer ensuite dans l’interface du webmail.

La création du compte est aisée : on renseigne son nom, on se choisit un affixe auquel sera accolé le @fastmail.com (par défaut, mais on peut choisir dans une longue liste), puis un mot de passe. Soyez certains d’ailleurs de ce que vous écrivez, car il n’y a pas de champ de confirmation. Un problème inexistant avec un gestionnaire de mots de passe.

On arrive ensuite directement dans l’interface du webmail. Là, quelques explications basiques sont données sur les emplacements des fonctions. Mais l'interface est familière : répartition en trois colonnes, dossiers habituels, menu général en haut à gauche, panneau de lecture à droite avec les fonctions principales, champ de recherche en haut, etc.

Le service est sans publicité ni pistage. Il ne propose aucune formule gratuite, contrairement à Mailo ou ProtonMail, mais une simple période d'essai : le compte créé est limité à 30 jours d’utilisation sans frais, sur la base d’un forfait Standard. Ce dernier propose 30 Go de stockage, une synchronisation mobile complète (emails, contacts et agendas) et permet d’utiliser un nom de domaine personnalisé, pour 5 dollars par mois. Il s'agit du forfait intermédiaire.

Pour 3 dollars, le Basic propose 2 Go de stockage et abandonne le nom de domaine personnalisé. La formule Professional est facturée 9 dollars par utilisateur et fournit une gestion centralisée des comptes, disposant chacun de 100 Go de stockage, et ajoute la conservation inaltérable des messages.

Si au bout de 30 jours vous n’avez pas renseigné de moyen de paiement et choisi un forfait, le compte créé ne pourra plus être utilisé. Une logique implacable. Dommage, car une offre gratuite, même très limitée (500 Mo de stockage et 150 messages échangés par jour chez ProtonMail), aurait suffi à se faire plus sereinement une idée des capacités du service.

Interface et généralités

L’interface ne brise pas les codes et devrait pouvoir être prise en main par n’importe qui. L’ensemble est très réactif, au point qu’une fois installé via un raccourci dans un navigateur Chromium, il donne presque l’impression d’être davantage une application classique. C’est particulièrement vrai pendant les changements de dossier : si le contenu en a été chargé au moins une fois, c'est instantané, sans ce petit « blanc » caractéristique du web. Le service porte donc bien son nom.

Souvent comparé à ProtonMail, Fastmail possède une interface nettement plus simple. Par exemple, les tailles de colonnes peuvent être modifiées à la souris directement depuis l’interface. Cinq thèmes sont proposés, tous très sobres (voire austères). Le sombre est particulièrement réussi.

L'équipe a eu la bonne idée d’en inclure un aux polices larges, mais uniquement en blanc. Cet aspect n’est curieusement pas découplé. Contrairement à ProtonMail l’ajout de thèmes via du CSS (une méthode peu accueillante) est impossible.

Le menu général en haut à gauche permet d’accéder aux principales rubriques : courrier, contacts, calendrier, notes, fichiers et réglages. Sous cette mini-grille se trouvent les accès à l’aide, au changement d’utilisateur et à la déconnexion.

Les autres fonctions classiques sont là où on les attend : un champ de recherche en haut permettant de créer à la volée une règle après affichage des résultats, un filtre en haut de la colonne des emails pour les trier selon différents critères, l’ajout et l’édition rapide de dossiers en bas à gauche, ou encore les outils habituels surplombant le panneau de lecture.

Archiver, Supprimer, Snooze et Déplacer sont là. Ils sont suivis d’un bouton « + » contenant le marquage comme lu/non-lu, l’épinglage, le suivi sous forme de pièce jointe et l’envoi dans les spams. On aurait aimé cependant que ces fonctions profitent de l’espace supplémentaire en fonction de la taille de l’écran, surtout pour la déclaration de spam.

Globalement, l’interface est efficace, mais Fastmail manque d'une touche supplémentaire de modernité. Par exemple, les actions principales s’affichant au survol d’un courrier dans la colonne centrale, comme dans Outlook.com. Autre regret, l’absence de vue réduite pour l’écriture d’un nouvel email, comme Gmail le propose depuis bien longtemps.

À l’instar de ProtonMail, on remarque également un petit manque de finalisation dans la traduction. Rien qui touche l’interface principale, mais certaines explications dans les paramètres sont toujours en anglais. Cela étant, si l’anglais ne vous a pas bloqué pour la procédure d’inscription, ce ne sont pas quelques mots oubliés dans les réglages qui vous empêcheront de vous servir de Fastmail.

Enfin, le service gère les notifications, mais le contraire aurait été étonnant.

Caractéristiques principales et fonctionnalités

Fastmail est ainsi avant tout un webmail, mais des applications pour Android et iOS sont disponibles. L’ensemble supporte les protocoles POP3, IMAP, JMAP (évidemment), ainsi que CalDAV et CardDAV, puisque l’offre intègre une gestion des contacts et un calendrier. Il est particulièrement simple d’importer les données d’autres comptes.

Il y aura plus ou moins d’étapes selon les services et les options de sécurité qui y ont été activées. Avec Outlook.com par exemple, il faudra se servir d’un mot de passe généré spécifiquement pour cet usage. On peut l’obtenir via l’interface web du service ou l’Authenticator de Microsoft.

La procédure d’importation peut prendre du temps, selon le nombre de courriers stockés. Si vous rapatriez des milliers d’emails accumulés pendant des années, le processus peut réclamer jusqu’à plusieurs dizaines de minutes. Attention, il ne concerne que les courriers, pas les calendriers ni les contacts (qui passent par CalDAV et CardDAV).

On retrouve l’organisation en fils de discussions par défaut, la création de groupes et de listes de diffusions pour les contacts, le support des noms de domaine personnalisés… En gros, tout ce que l’on est en droit d’attendre d’un service du genre. Très bon point, de nombreux guides sont disponibles pour aider à réaliser les différentes étapes, qu’elles concernent des fonctions internes – comme la création de règles – ou la configuration de clients tiers par exemple.

Sécurité et vie privée au sein de Fastmail

Vient la question de la sécurité, qui mérite que l’on s’y attarde, tout d'abord pour quelques bonnes nouvelles : l’authentification à deux facteurs est prise en charge via des applications dédiées ou clés de sécurité. Un processus spécifique existe pour les clés Yubico lorsqu'elles sont configurées pour générer mot de passe à usage unique (OTP).

Autre très bon point, malheureusement trop rare : le support de SPF, DKIM et DMARC. Partiel pour ce dernier, pour des raisons d’héritage technique selon l’éditeur, mais c'est déjà bien mieux que d'autres.

• Emails avec SPF, DKIM, DMARC, ARC et BIMI : à quoi ça sert, comment en profiter ?
• Protection contre le phishing et le spoofing d'email via SPF et DKIM : une faillite française

Mais Fastmail se distingue d'autres services payants comme Mailo ou ProtonMail en ne proposant pas de chiffrement PGP. La société s’en est expliquée longuement en 2016. Au cœur de son refus, une problématique connue : « Si [PGP] tourne sur nos serveurs, alors soit nous avons la clé, soit vous nous l’envoyez à chaque fois que vous lisez vos emails ». En cas de faille sur le serveur, la plupart des clés seraient également très vite compromises.

Si PGP peut être géré par le navigateur, des fuites peuvent se produire quand du code est téléchargé depuis les serveurs. Et de résumer : « Il n’y a aucun moyen pour nous de vous fournir PGP ou une technologie similaire de chiffrement immunisée à une compromission de notre service ». Soit. Mais il n'en reste pas moins que sortis des questions d'éventuelle compromission des serveurs, les utilisateurs peuvent quand même avoir besoin d'une couche de sécurité supplémentaire.

L’éditeur pointe qu’il est toujours possible de chiffrer le courrier dans une solution tierce puis de l’envoyer via son service. Il y a d’ailleurs dédié un billet de blog fin 2016, en recommandant des extensions comme Mailvelope et WebPG, des applications telles qu’Openkeychain sur Android, iPGMail sur iOS, Postbox et Thunderbird pour Linux et Windows.

Bien entendu, SSL/TLS est utilisé pour chiffrer le transport (à ne pas confondre avec les contenus), mais il ne s’agit là que d'un niveau de protection assez classique. Tout comme le chiffrement du stockage via LUKS sur les serveurs de Fastmail, qui dispose donc des clés de déchiffrement. Conséquence, les données peuvent être lues par l’entreprise qui affirme cependant que ses standards en matière de respect de la vie privée sont très élevés.

Nationalité, emplacement des serveurs : la douloureuse question

Pourtant, Fastmail est une société australienne disposant de serveurs aux États-Unis. L’un et l’autre sont connus non seulement pour collaborer intensivement sur les questions de renseignement, mais également pour leurs lois très claires sur la mise à disposition des données en cas d’enquête, avec bien sûr mise à disposition des clés de chiffrement (contre mandat délivré par un juge).

Plus précisément dans le cas de l’Australie, le Metadata Retention Act de 2015 impose aux fournisseurs d’accès du pays de tenir prêtes les métadonnées pour les forces de l’ordre. S’en est suivi un combat du commissaire à la vie privée Timothy Pilgrim, qui souhaitait faire inclure ces informations sous la protection du Privacy Act. Mais dans un jugement de janvier 2017, la Haute Cour (plus haute juridiction du pays) a tranché : les métadonnées ne sont pas des données personnelles. La situation s’est durcie depuis avec l’Assistance and Access Bill de 2018.

On est donc loin ici de ProtonMail et de ses serveurs situés en Suisse. L’activité de Fastmail s’en est d’ailleurs ressentie, au point qu'en février 2019, le PDG Bron Gondwana listait plusieurs problèmes dans un rapport remis au sénat australien : « La manière dont les lois ont été introduites, débattues et finalement votées crée l’impression que l’Australie a changé, que nous ne sommes plus un pays respectant la vie privée ».

Il y confirme que des abonnés sont partis, que des clients potentiels sont finalement allés voir ailleurs et que la société reçoit de nombreuses demandes de déplacement de ses activités vers un pays aux lois plus vertueuses. Il y pointe également une complexité plus grande à se mettre en conformité avec le RGPD européen. Depuis, le sujet est régulièrement abordé, comme en témoigne un autre billet daté du 21 décembre 2018.

La section vie privée des conditions d’utilisation est d’ailleurs très claire dès lors qu’un transfert de données a lieu : « Vos informations personnelles peuvent être divulguées, transférées ou traitées à l'extérieur de votre pays de résidence. Cela inclut l'Australie, les États-Unis, l'Inde et les Pays-Bas, où ils seront soumis aux lois du pays vers lequel ils sont transférés », y compris pour les utilisateurs européens.

Fastmail fait donc « au mieux », expliquant que l’absence de chiffrement permet aussi de débloquer des fonctions comme la recherche dans les contenus ou envoyer des notifications push pour les évènements du calendrier. En outre, la perte du mot de passe laisse place à une procédure de récupération des données qui ne peut exister avec des services avec chiffrement de bout-en-bout, qui n’ont pas accès à la clé privée.

Si l'entreprise pousse l’utilisation de technologies open source, cela se fait dans certaines limites. L’architecture du service est largement basée sur Cyrus, un projet de serveur IMAP auquel ses développeurs participent très activement. Il en va de même de JMAP, devenu depuis un standard. Mais l’implémentation faite ainsi que les applications sont propriétaires. On ne sera donc pas surpris de constater que les produits de la société n’ont jamais été audités.

L'équipe donne le sentiment de faire au mieux dans le cadre imposé. Une impression renforcée par quelques très bons points, comme la grande transparence de l’entreprise sur ses choix, qu’elle explique volontiers et de manière approfondie sur son blog, avec un angle plus technique que commercial.

Mais Fastmail a beau être payant et ne pas fouiller dans les courriers, l’absence de chiffrement de bout-en-bout et sa domiciliation australienne risquent fort de faire tiquer celles et ceux voulant éviter l'influence américaine sur l'accès à leurs données et le respect de la vie privée. On en revient ainsi à la confiance que chacun peut choisir d'accorder (ou non) à une entreprise assurant que les contenus des clients ne sont jamais regardés. 

Envoi et réception des emails, recherche et règles

Revenons-en au fonctionnement du service. La première fois que vous souhaiterez envoyer un courrier, il vous sera demandé un numéro de téléphone pour recevoir un SMS de confirmation avec un code à six caractères.

Une mesure de sécurité classique pour éviter les comptes créés pour du spam. Elle n’est active que pour les comptes d’essai : si vous vous abonnez immédiatement, le paiement fait office de preuve. Il est peu probable toutefois que beaucoup se précipitent vers une formule payante sans avoir testé au minimum le service.

Envoyer et recevoir des courriers dans Fastmail est aussi simple que dans les services grand public des grands éditeurs américains. C’est bien sûr là que l’absence de PGP se remarque, puisqu’il n’est pas question de gérer des clés ou des icônes de cadenas pour signaler qu’un email est chiffré et qu’un autre ne l’est pas.

Comme souvent, le bouton de création d’un nouveau courrier se situe en haut à gauche. En-dehors du choix ergonomique de rester en plein écran, il n’y a aucune surprise à attendre : les éléments sont connus, la réactivité exemplaire.

La réception des emails se passe également comme ailleurs. L’utilisateur verra parfois certains courriers marqués d’une pastille verte contenant un symbole « check » blanc : c’est la marque réservée à l’éditeur, pour ses communications officielles avec ses clients. Le mécanisme n’est malheureusement pas étendu à d’autres expéditeurs (selon SPF, DKIM, etc.). Ces pastilles n’apparaissent que dans le webmail et les applications mobiles de Fastmail, pas dans les clients tiers.

L’interface du moteur de recherche a beau être presque « sommaire », elle présente immédiatement ses points forts : zone de recherche, expéditeur, destinataire, sujet, période d’envoi ou réception, le type de pièce jointe (image, PDF, document, feuille de calcul…), statut de lecture et épinglage. On peut rapidement resserrer la recherche sur des critères spécifiques. Ni Gmail ni Outlook.com (entre autres) n’ont ce degré de précision, particulièrement le type de pièce jointe.

Autre intérêt de Fastmail : sa gestion des règles. Il existe deux méthodes pour en créer, une simple et une plus technique. La première passe par l’interface graphique du service, dans les paramètres, section « Filters & Règles » (on notera au passage le mélange anglais-français). On définit simplement des conditions puis des actions.

La seconde est plus complexe mais beaucoup plus puissante. Elle s’appuie sur le moteur Sieve et l’écriture directe des conditions et actions. Il s’agit littéralement d’un langage de programmation, avec variables, valeurs et autres. Sur son site, l'équipe décrit les usages que l’on peut faire de Sieve, qui peut être utilisé pour créer de véritables extensions.

Et donne d’ailleurs d'autres exemples : rythme des réponses automatiques en période de vacances, attribution de drapeaux IMAP, édition et suppression d’informations dans l’en-tête des courriers entrants, ou encore la détection des emails dupliqués. La fonction a beau être réservée à un certain public, elle n’en est pas moins présente et permet d’étendre les capacités générales de Fastmail.

Calendriers, contacts, fichiers et notes

Il ne faut pas réduire Fastmail à un service de courrier électronique, en dépit de son nom. Plusieurs autres fonctions sont présentes, pour former notamment le triptyque email-contacts-agenda.

La partie Contacts est évidente. On retrouve là encore une séparation en trois colonnes, avec des dossiers, les éléments et leurs détails. La même présentation que pour les emails et la plupart des services concurrents. La création de groupes passe par le bouton « + » en bas à gauche. Le remplissage par un classique glisser-déplacer ou des créations de contacts.

On peut en importer grâce à CardDAV. La fonction se trouve au même endroit que pour les emails : Réglages > Importation et configuration > Envoyer le fichier du carnet d’adresses. Ce dernier se récupère facilement via la fonction d’exportation du service utilisé. Il s’agit d’une fonction standard.

Le calendrier est intéressant si vous souhaitez mettre tous vos œufs dans le même panier. C’est d’autant plus facile quand les emails et contacts sont déjà en place, l’ensemble formant un tout cohérent. Là encore, l’importation permet de récupérer tous les évènements stockés dans un autre service, cette fois via CalDAV.

Vous ne trouverez pas dans le calendrier de Fastmail de fonctions très poussées ou exotiques. Mais tout ce que l’on peut attendre d’une telle fonction est bien là : création et gestion des évènements, choix du calendrier, contacts présents, tranche horaire, alarmes, adresse, notes, etc.

Finissons avec les notes et fichiers. Les premières sont exactement ce qu’elles annoncent : on peut créer des notes contenant diverses informations, qui seront ensuite synchronisées et consultables depuis les applications mobiles. Une fonction très classique, présente dans de très nombreux produits. Opera par exemple dans les navigateurs, la plupart des gestionnaires de mots de passe ou même Notes dans iOS, qui fonctionnent tous sur le modèle des informations synchronisées. La version de Fastmail est d’ailleurs très basique, puisque l’on ne peut enregistrer que du texte.

Quant aux fichiers, il s’agit tout simplement de stocker des données en puisant l’espace correspondant à l’abonnement souscrit. Les fichiers ne doivent pas dépasser 50 Mo, mais peuvent être a priori de tout type. Ce qui est utile pour avoir sous la main des documents spécifiques, comme des rapports, des billets de train/d’avion sous forme de PDF, etc.

Notes et Fichiers ont pour eux un fonctionnement très simple. La prise en main est immédiate. Il faut cependant rappeler ici les mêmes problématiques en matière d'accès aux données. On stocke facilement dans les notes et les documents des informations personnelles, voire sensibles. Il s’agit donc là encore d’une question de confiance, tant sur l’absence de chiffrement du contenu que l’emplacement des serveurs, c’est-à-dire essentiellement aux États-Unis.

Les applications mobiles : rien à redire

On a déjà pu voir que Fastmail avait de réelles forces à mettre en avant. Les applications mobiles en sont une autre. Légères, elles manquent peut-être d’un soupçon de réactivité. Elles sont cependant complètes, ramenant dans un smartphone toutes les fonctions du webmail.

On peut d’ailleurs voir facilement la vitesse de synchronisation du service avec une action simple comme changer la couleur d’un dossier : la modification est répercutée dans la seconde dans l’application. Courriers, contacts, calendriers, notes et fichiers sont tous présents. Ces deux derniers ne permettent d’ailleurs pas uniquement de lire les contacts.

Dans Fichiers par exemple, on peut envoyer de nouveaux contenus depuis le téléphone, soit en piochant dans la pellicule photo, soit en explorant les autres fichiers via une interface qui dépend de la plateforme utilisée, Android ou iOS.

Les capacités des applications sont en tout cas les mêmes, sans traitement de faveur. C’est probablement la principale force vive de Fastmail : un bouquet cohérent de services que l’on retrouve partout et dont le fonctionnement ne réserve aucune surprise. Les performances sont toujours au rendez-vous, et la configuration est très simple.

• Télécharger Fastmail pour Android
• Télécharger Fastmail pour iOS

Fastmail, cet intéressant révélateur de priorités

Finalement, Fastmail a le mérite de faire poser la question de ce qui importe réellement au moment de choisir un fournisseur de service. Même si nous abordons souvent le chiffrement et la vie privée – par exemple au sein de nos récents dossiers sur les navigateurs – nous sommes conscients que tous n’y accordent pas la même importance.

Il s'agit ainsi d'un candidat intéressant pour qui cherche ce type de service sans publicité ni pistage. En dépit des problématiques d'accès aux données déjà soulignées, l’éditeur a pour lui un historique de sérieux et de transparence dans la communication. Ses performances sont un autre atout de poids, même face à un concurrent comme Gmail.

Si vous cherchez donc un webmail rapide, complet et sans publicités, Fastmail est donc une alternative crédible. Si vous êtes en revanche sensible à la vie privée, et que vous n'utilisez pas vos propres solutions de chiffrement locale, passez votre chemin. Car en dépit des affirmations de l’entreprise sur son respect des données, l’absence de chiffrement des contenus de bout-en-bout et sa domiciliation australienne sont deux problèmes sur lesquels il est difficile de passer.

Le travail autour de JMAP reste à suivre, car le protocole – désormais standardisé – offre de réels avantages.