Olvid est une messagerie qui se définit comme pleinement « sécurisée ». Elle ne fait appel à aucun annuaire centralisé et ne demande pas l’analyse du répertoire téléphonique pour fonctionner. On ne peut donc pas consulter une liste de contacts déjà présents sur la messagerie et leur envoyer un message. À la place, il faut manuellement ajouter ce contact et le vérifier. Olvid garantit l’authenticité de son interlocuteur et ne cherche pas à concurrencer directement un WhatsApp ou même un Signal.

En décembre 2023, Olvid – jusqu’ici relativement confidentielle – est tout à coup au cœur de l’attention des médias. Et pour cause : une circulaire signée d’Elizabeth Borne, alors Première ministre, demande à ce que le personnel de tous les ministères transite vers Olvid. Le tout en quelques semaines. Cette circulaire avait également fait grincer des dents, car elle mentionnait des failles de sécurité dans toutes les autres messageries. Meredith Whittaker, présidente de la fondation Signal, avait fait part de son agacement.

On n’entendra plus parler de cette circulaire avec l’arrivée de Gabriel Attal à Matignon. À l’époque, Olvid se disait très heureuse de cette brusque mise en lumière. Dans une précédente interview du cofondateur Thomas Baignères, on avait d’ailleurs appris que l’entreprise n’avait pas participé à cette décision. En fait, elle n’avait même pas été consultée, ni même avertie. Le programme et le rythme des journées s’en était retrouvés nettement bouleversés.

Nous avons à nouveau contacté Thomas Baignères pour faire le point sur Olvid et son développement depuis cette fameuse circulaire.

> Comment avez-vous vécu l’ascenseur émotionnel entre la parution de la circulaire et son annulation ?

Alors, en tant qu’entreprise, je pense qu’il n’y a que du positif. Vraiment, ça a été un éclairage incroyable. Il faut dire ce qui est.

Par nature, on est très discrets. Quand on nous interroge, on est très ouverts. On veut expliquer notre approche, pourquoi on fait les choses, comment on les fait. On essaie d’être le plus possible transparents sur nos procédés, sur le code, sur absolument tout. Mais on ne prend pas vraiment les devants. C’est peut-être quelque chose que l’on va devoir améliorer dans les années à venir. On ne fait pas de communiqués de presse ni de publicité.

Et là, tout d'un coup, avec une circulaire comme celle-là, on est propulsés du jour au lendemain à un niveau dont on n'avait pas l'habitude. On a dû répondre de manière aussi simple que possible à beaucoup de questions qui ne l’étaient pas forcément. Les questions de souveraineté reviennent souvent et on a 30 ou 40 secondes maximum pour répondre sans faire de raccourci maladroit.

On a beaucoup appris sur cette façon de communiquer à haut niveau et on s’y tient. Je pense qu’on s’en est bien tirés. Quelques mois plus tard, on voit qu’à l’exception de quelques personnes, toute cette campagne a été bien prise. On a pu remettre les points sur les i pour un certain nombre de choses, des « sujets qui fâchent » comme on les appelle, comme AWS et les adresses IP.

[Pour rappel, la partie serveur d’Olvid est hébergée chez AWS pour profiter de DynamoDB]

> Que se passe-t-il pour Olvid depuis la disparition de la circulaire ?

Alors, pour être transparent, je ne pense pas que ce soit tombé à l'eau. Bon évidemment, je vous accorde que c’est compliqué de savoir si elle sera rendue publique un jour. J’ai des doutes (rires).

Mais très concrètement, nous, aujourd'hui, on travaille avec la quasi-totalité des ministères et on les aide à déployer. Pas toujours en version payante d’ailleurs. Il arrive que certains ministères le déploient d'une manière un peu plus marginale et on les accompagne juste pour qu'ils tirent pleinement partie de la version gratuite aussi. C'est quand même un honneur de pouvoir les servir, d'une certaine manière, donc on le fait volontiers.

Et puis il y a d'autres ministères qui, eux, se sont exécutés et continuent à utiliser Olvid. Ils utilisent les services d'annuaire, les appels sécurisés et différentes options qu'on a mises à leur disposition. Là, on travaille avec eux sur des problématiques d'intelligence artificielle, aussi incroyable que ça puisse paraître.

On a constaté dans la presse qu’il était à peu près convenu que la directive n’était plus en vigueur. Alors que nous, notre expérience, c’est qu’elle est toujours là. Donc on est un peu surpris. On ne peut pas affirmer qu’elle est toujours là, mais ce que je peux vous dire, c’est qu’Olvid… ça se fait. Pas en deux semaines comme à l’époque. Rien ne se fait en deux semaines.

> Les ministères ont-ils été réactifs suite à cette circulaire ?

Je ne peux pas citer de noms, mais certains ont été très réactifs oui. L’un d’eux nous a contactés dès le lendemain. Dans la semaine, Olvid y était déployée. Techniquement, ils étaient très forts.

On ne propose rien de vraiment compliqué. Si la personne chargée du projet connait ces problématiques, il y en a pour une heure montre en main, annuaire compris. Et au niveau de l’État français, ils ont cette capacité. On a eu face à nous des gens hyper compétents.

> Pensez-vous aujourd’hui que vous étiez prêts à une telle exposition ?

Je pense que oui. On existe depuis un certain temps, on a fait notre nid petit à petit. Et on n’était pas non plus des inconnus pour un certain nombre de ministères ou d’autres administrations.

La DGSI, le ministère des Armées, le ministère de l’Intérieur et d’autres nous ont vraiment interpelés plusieurs fois dans le passé. Ils nous ont posé énormément de questions, souvent en « off », auxquelles nous étions ravis de répondre. Quand on vous pose des questions sur ce que vous faites et que vous faites les choses « en bonne et due forme », c’est agréable d’avoir des interlocuteurs qui comprennent vraiment ce que vous faites et comment vous le faites.

> Après la circulaire et au-delà de la sphère politique, avez-vous constaté une vague d’arrivées sur Olvid ?

Alors oui. Le grand public, par curiosité. Mine de rien, quand vous avez un éclairage comme ça, il y a beaucoup de gens qui essaient. Ils se disent « Tiens, c'est amusant. Je vais regarder si ça existe. Tiens, c'est une application gratuite. Bon, je vais la télécharger, je vais l'installer ».

On avait déjà rencontré ce comportement par le passé. Quand Meta avait changé ses conditions générales, on avait eu un boom énorme sur Olvid, parce que les gens se sont dit tout à coup « WhatsApp c’est le mal », pour caricaturer. C’était à peu près la conclusion sur les réseaux en tout cas.

Après, beaucoup n’ont pas compris ce qu’on proposait. Il ne s’agit pas de recopier ce qui existe dans WhatsApp ou Signal. On propose une alternative avec un état d’esprit différent, avec une liberté absolue et une réelle sécurité. On n’utilise pas de SMS par exemple pour garantir l’intégrité de l’identité cryptographique. Pour moi, ce sont des aberrations techniques. On ne le fait pas et on ne le fera jamais.

On préfère proposer la maitrise absolue de qui entre en contact avec vous. Sinon, on se retrouve au service de l’application, et pas l’inverse. On ne fera pas non plus de découverte des contacts.

> N'y a-t-il pas un travail à faire chez Olvid à ce niveau ?

C'est sûr que ceux qui arrivent, qui disent « je ne vois aucun contact », et en déduisent que personne n'utilise l'application, ils n'ont pas compris. Forcément, ils la désinstallent, je le comprends très bien.

On a clairement un travail à faire sur les interfaces et sur l'onboarding, comme on appelle ça chez nous, pour faire comprendre Olvid à un utilisateur qui n'aurait pas pris les 4 minutes pour aller regarder le site web. Je conçois bien que les gens ont autre chose à faire. Mais on peut travailler à ce qu’ils comprennent plus facilement que ce n’est pas une application de SMS. C’est autre chose, plus que ça.

Et j'entends les critiques pour nous dire que ce n'est pas forcément bien fait, ce n'est pas encore clair, etc. Je pense qu'on les entendra toute notre vie, mais oui, on a des efforts à faire sur ces choses-là. On a commencé un énorme travail sur les interfaces, qu’on va intensifier à partir de septembre, pour que ce soit plus évident. C’est dans nos priorités.

> Avez-vous d’ailleurs un compte d’utilisateurs actifs ?

Je ne peux pas vous donner de chiffres précis, parce que la manière dont est faite Olvid ne le permet pas. Sur un WhatsApp ou un Signal c’est facile : il suffit de compter le nombre de numéros de téléphones inscrits dans l’annuaire général et de voir s’il y a une activité. On n’a pas d’annuaire chez Olvid. Par contre, on peut regarder combien de clés cryptographiques ont été créées et on a observé une certaine progression.

On a vu deux gros bonds, après le changement des conditions générales de WhatsApp et quand la circulaire est sortie. Ça reste des ordres de grandeur, mais avant la circulaire, on était environ à 100 000, puis on est passés à 170 000, 180 000 utilisateurs actifs, avant de retomber assez vite. Aujourd’hui, le nombre doit être de l’ordre de 150 000. C’est sûr que c’est moins que WhatsApp, mais le but n'était pas de les rattraper non plus.

Les utilisateurs qu’on perd, on les perd tout de suite. C’est réglé en quelques jours. Ceux qu’on garde continuent à utiliser Olvid. Il y a aussi un effet réseau : les gens qui gardent Olvid parlent de l’application autour d’eux.

> Vous parliez de priorités, sur quoi vous-êtes vous concentrés ces derniers mois ?

On essaie de trouver un équilibre qui n’est pas forcément simple, entre les fonctions gratuites, qui sont vraiment disponibles pour tous, et les payantes, qui nous permettent de financer le reste. L’autre gros axe, ce sont les améliorations transversales, dont l’amélioration de l’existant et les nouvelles fonctions.

Pour l’existant, on travaille beaucoup sur la synchronisation entre différents appareils. C’est en production sur les plateformes d’Apple et Android. Ça sortira fin août sur Windows. On s’intéresse aux personnes qui ont pris un abonnement et qui utilisent plusieurs appareils. C’est un aspect qui semble évident, mais ce n’est pas aussi simple pour nous, à cause de l’architecture et de la sécurité d’Olvid.

En fait, jusqu’à il y a peu, il était nécessaire d’avoir ce que l’on appelle un canal sécurisé entre votre appareil et celui de votre contact. C’est une manière abstraite de dire que vous avez échangé les bonnes clés cryptographiques. Les deux appareils font du ratcheting, un peu à la manière de Signal, même si on le fait différemment.  Chaque message que vous envoyez est chiffré avec une clé secrète qui n’existe qu’à deux endroits, sur votre téléphone et celui de votre destinataire. Juste avant l’envoi, votre clé est supprimée. Quand le message arrive sur le téléphone du destinataire, il est déchiffré et la clé est aussi supprimée. C’est ce mécanisme qui permet de garantir la sécurité persistante.

Le problème, c’est qu’il prend un certain temps. Les téléphones, particulièrement les iPhone, sont très regardants sur la batterie utilisée par les applications tierces. Donc tous les échanges cryptographiques en arrière-plan peuvent prendre du temps. Au quotidien, on peut se retrouver avec des délais dans le traitement des messages, donc dans la synchronisation. On a donc développé une technologie qui nous permet d’envoyer quand même les données aux autres appareils, même s’ils sont éteints, pour ne pas avoir à tout recommencer. Avec ces améliorations, on a dix fois moins de problèmes de synchronisation qu’avant.

> D’accord, c’est une amélioration notable, mais y a-t-il un axe majeur de développement sur une nouveauté ?

Aussi incroyable que ça puisse paraître… c’est l’intelligence artificielle.

> De l’IA dans une messagerie sécurisée ?

(Rires) Non, pas comme ça. On s’est rendu compte, notamment avec le chat de Mistral ou ChatGPT, que l’interaction principale avec l’IA est textuelle. Ça nous a donc semblé pas mal d’avoir une messagerie qui permette de discuter avec l’IA. Pourquoi Olvid plutôt qu’une autre ? Parce qu’on reste sur la promesse de garantir la confidentialité, mais aussi parce qu’on garantit l’authenticité de l’interlocuteur. À ma connaissance, on est les seuls à faire ça.

De la garantie de savoir à qui on parle, on glisse vers celle de savoir à quoi on parle. L’idée, c’est de pouvoir garantir que vous parlez à la bonne IA, surtout quand c’est une IA qui doit vous aider à prendre une décision.

On pense que de plus en plus d’entreprises vont déployer en interne des IA entrainées sur leurs données. Ça nous parait donc important de proposer un intermédiaire fiable entre ces IA et les appareils. Dans notre offre entreprise, on peut fournir des bots qui vont pouvoir être déployés en interne, s’interfacer avec les IA et servir d’agents de liaison. À VivaTech, on avait fait une démonstration avec un petit serveur et un modèle open source de Mistral. On avait montré qu’on pouvait parler au bot, qui était simplement présent sous forme de contact sur un appareil. Avec Olvid, on peut garantir le chiffrement des échanges et la certitude que le bot à qui on parle est bien ce qu’il prétend être.

Mais nous en tout cas, on ne fait pas d’IA.

> Les ministères se sont-ils montrés intéressés par cet aspect ?

Les ministères ne nous ont pas attendus pour s'intéresser à ces questions. Il y a une réelle problématique de souveraineté derrière l'IA, que je suppose au moins aussi importante que celle posée par le choix de tel ou tel moteur de recherche. C'est en particulier le cas pour les IA génératives (à tel point que l'ANSSI a publié un document de recommandations dédié). Donc oui, les bots Olvid les intéressent, car ils apportent des solutions aux problèmes rencontrés, notamment, au moment de la mise en production.

Nous nous efforçons de construire notre feuille de route avec tous nos clients (ainsi qu'avec les utilisateurs issus du grand public qui ont la gentillesse de nous faire des retours constructifs). Les problématiques d'IA sont donc arrivées chez Olvid de façon assez naturelle.

Par exemple : comment donner accès, de manière sécurisée, à une IA « privée » ? Autrement dit, à une IA potentiellement entraînée grâce à de l'information non publique, voire confidentielle, dont l'accès ne peut donc pas être accordé à n'importe qui ? Et dans l'autre sens : comment, en tant qu'utilisateur, puis-je avoir la certitude de m'adresser à la « bonne » IA ? Olvid ne résout pas seulement les problématiques de confidentialité dans ce cas. Elle résout aussi les problèmes d'authentification bidirectionnelle : on peut s'assurer que seules les personnes légitimes auront accès à l'IA, et ces personnes auront la certitude que les réponses apportées l'ont été par la bonne IA.

> D’autres axes de développement ? Particulièrement pour les personnes non abonnées ?

C’est vrai qu’on a surtout parlé de fonctions payantes, ça peut être décevant pour les autres. On en a un peu parlé tout à l’heure, mais on va faire de gros efforts sur tout ce qui est interface et ergonomie. Par exemple, la mise en contact.

On a beaucoup de retours, notamment sur les réseaux, sur le fait qu’il faut forcément être face à face pour s’ajouter. Ce n’est pas le cas, on a quatre moyens de le faire en gratuit et cinq en payant. On se rend compte que si on avait mieux fait notre travail, le message serait beaucoup mieux passé. On a peut-être perdu des utilisateurs comme ça, donc il faut que ce soit plus évident.

On commence à rentrer vraiment dans les questions d’UI/UX, on sait qu’on a du travail à faire là-dessus. On ne peut plus se contenter de quelque chose de « pas affreux ». Au stade où on en est aujourd’hui, ça devient primordial, on en a conscience. Sans pouvoir engloutir dans ces sujets des millions de dollars comme les sociétés californiennes qui sont allées très loin dans ce domaine, ce n’est pas parce qu’on est Français qu’on ne peut pas faire quelque chose de vraiment agréable.