Utiliser web.whats.app sur un poste de travail professionnel semble anodin. L’interface miroir du téléphone s’ouvre dans un onglet de navigateur, les messages s’affichent, les fichiers transitent. Le problème ne réside pas dans l’outil lui-même, mais dans ce que cette facilité masque : des failles techniques documentées, un cadre juridique contraignant en France, et des comportements utilisateurs que l’entreprise ne supervise pas.
Failles techniques de WhatsApp Web documentées en 2025
Les articles concurrents parlent de risques généraux. Les correctifs publiés par Meta en 2025 permettent de mesurer des menaces précises, directement liées à l’usage de web.whats.app en contexte professionnel.
| Faille | Type | Vecteur | Impact en entreprise |
|---|---|---|---|
| Zero-click (correctif 2025) | Exécution sans action utilisateur | Combinaison avec une faille Apple | Compromission silencieuse d’un appareil lié au poste de travail |
| CVE-2025-55177 (synchronisation appareils liés) | Traitement d’URL arbitraire | Ajout frauduleux d’un appareil lié | Un tiers accède aux conversations professionnelles sans alerter l’utilisateur |
La faille zero-click a conduit WhatsApp à notifier moins de 200 utilisateurs potentiellement concernés. Le volume est faible, mais le mécanisme est révélateur : les attaques les plus critiques ciblent désormais des profils précis plutôt qu’un large public.
La vulnérabilité CVE-2025-55177 concerne un scénario très concret en entreprise. Un collaborateur qui laisse une session web.whats.app ouverte sur un poste partagé expose le mécanisme de liaison d’appareil. Un appareil lié frauduleusement accède à l’intégralité des échanges sans que le titulaire du compte reçoive de notification visible.
Données personnelles et RGPD : ce que web.whats.app transfère sans contrôle
Ouvrir web.whats.app sur un navigateur professionnel crée un canal de transfert de données que l’employeur ne supervise pas. Les numéros de téléphone personnels des salariés circulent dans les groupes. Les contacts clients apparaissent dans des conversations mêlées à des échanges privés.
Le RGPD impose à l’employeur de garantir la traçabilité et la gouvernance des données personnelles traitées dans le cadre professionnel. WhatsApp, même dans sa version Business, ne fournit pas de console d’administration permettant de contrôler qui accède à quoi, ni d’archiver les échanges de manière conforme.
- Aucun journal d’audit exploitable par l’entreprise pour les messages échangés via web.whats.app
- Pas de séparation technique entre les données personnelles et professionnelles sur l’appareil du salarié
- Impossibilité de supprimer à distance les données d’entreprise si un salarié quitte la société
- Le carnet de contacts du téléphone personnel est synchronisé avec les serveurs de Meta, y compris les numéros de clients et de fournisseurs
En France, la CNIL a rappelé que le contrôle de la messagerie d’un salarié obéit à des règles strictes. L’employeur ne peut pas accéder librement aux messages, même professionnels, sur un outil que le salarié utilise aussi à titre personnel. Cette zone grise juridique rend toute politique de conformité inapplicable sur WhatsApp.
Coût réel des incidents liés à WhatsApp en entreprise
Les dépenses ne se limitent pas à une éventuelle amende. Le coût d’un incident lié à l’usage non encadré de web.whats.app se répartit sur plusieurs postes que les entreprises sous-estiment.
Fuite de données client
Un fichier partagé dans un groupe WhatsApp ne peut pas être rappelé une fois téléchargé par les participants. Si un collaborateur partage par erreur un document confidentiel dans le mauvais groupe, l’entreprise n’a aucun mécanisme de révocation. La gestion de crise mobilise les équipes juridiques, la direction des services informatiques, et potentiellement la notification à la CNIL sous 72 heures.
Budget de remédiation après compromission
Lorsqu’un appareil lié est compromis via une faille comme CVE-2025-55177, le périmètre d’investigation s’étend à tous les échanges transitant par le compte. L’absence de journaux côté entreprise oblige à reconstituer manuellement le contenu des conversations, un processus coûteux en temps et en ressources.
Le vrai risque financier n’est pas l’amende RGPD mais le temps perdu en gestion de crise quand aucun outil de supervision n’existe sur le canal utilisé.
Règles minimales pour encadrer web.whats.app sans l’interdire
Interdire WhatsApp par note de service ne fonctionne pas. Les groupes continuent d’exister, ils deviennent simplement invisibles pour la direction. Une approche plus réaliste consiste à poser des règles claires sur ce qui peut transiter par ce canal et ce qui ne le peut pas.
- Définir par écrit les catégories de données interdites sur WhatsApp : fichiers clients, données financières, informations de projet confidentielles
- Imposer la vérification en deux étapes sur chaque compte utilisé à des fins professionnelles, pour limiter le risque d’ajout frauduleux d’appareil lié
- Configurer la déconnexion automatique des sessions web.whats.app sur les postes partagés via les règles de gestion du navigateur
- Documenter l’usage dans le règlement intérieur pour clarifier les responsabilités respectives de l’employeur et du salarié
Ces mesures ne remplacent pas une application de messagerie professionnelle dotée d’une console d’administration. Elles réduisent l’exposition immédiate pendant la phase de transition vers un outil offrant un contrôle administratif sur les utilisateurs, les appareils et les données.
Critères de choix d’une alternative à WhatsApp pour les équipes
L’intégration avec les outils existants (gestion de projet, CRM) détermine l’adoption réelle par les équipes. Un outil qui demande de basculer entre plusieurs applications pour suivre un projet sera contourné au profit de WhatsApp en quelques semaines.
La capacité à archiver les échanges, à révoquer l’accès d’un utilisateur et à séparer les données personnelles des données d’entreprise constitue le socle technique non négociable. Sans ces trois fonctions, le risque reste identique quel que soit le nom de l’application.
La conformité au RGPD ne dépend pas uniquement de l’outil choisi. Elle dépend aussi de la manière dont l’employeur encadre la collecte, l’archivage et l’accès aux messages. Un outil conforme mal déployé expose autant qu’un outil non conforme bien maîtrisé par ses utilisateurs.
