La souveraineté ne se délègue pas.

Un opérateur peut être contraint d’agir ; la localisation d’un centre de données n’y change rien.

La question déterminante n’est pas seulement le lieu de stockage des données, mais l’identité de celui qui peut être contraint d’agir à votre encontre. Tout opérateur, qu’il soit suisse, français ou allemand, demeure une entreprise susceptible de recevoir une réquisition judiciaire, une mesure de sanction, une injonction de confidentialité ou une instruction gouvernementale. En 2025, le compte de messagerie d’un procureur en exercice d’une cour internationale a été suspendu à la suite de sanctions étrangères ayant atteint son fournisseur ; la résidence des données ne l’a pas protégé, l’opérateur s’étant conformé à la contrainte qui lui était imposée. Tant qu’un tiers administre votre messagerie, la continuité de votre service relève de sa décision, et non de la vôtre.

L’opérateur ne peut être personne d’autre que vous.

OxiMail est un binaire Rust unique que vous administrez sur votre propre infrastructure, sans aucune dépendance américaine dans sa pile logicielle. Les clés de chiffrement sont enveloppées par votre clé maître de client et ne quittent jamais votre machine. Lorsque vous l’administrez vous-même, il n’existe aucun tiers à réquisitionner, à sanctionner ou à contraindre, puisqu’il n’existe aucun tiers. C’est la garantie qu’un « cloud souverain » ne pourra jamais offrir, par conception : son modèle suppose un opérateur ; le nôtre s’en dispense.

Pleine ou déléguée : nous ne confondons jamais les deux.

La souveraineté totale exige que vous soyez l’opérateur. Si un partenaire local de confiance l’administre pour vous, vous gagnez un ancrage dans votre droit et un interlocuteur identifié, mais vous lui accordez votre confiance pendant le fonctionnement du service. Les deux modèles sont légitimes ; nous vous indiquons précisément lequel vous retenez.

Votre serveur, votre root, et non un chiffrement de bout en bout intégral.

Le chiffrement au repos est celui du disque. Le volume sous chaque instance OxiMail est chiffré, par vous, et le produit le mesure : le programme d’installation refuse de procéder sur un volume de données en clair sans votre accord explicite, et une jauge de supervision rapporte l’état qu’elle constate plutôt que celui qu’on lui a déclaré. Nous chiffrions autrefois le contenu une seconde fois dans l’application, et nous avons arrêté, délibérément : cela coûtait de six à vingt fois plus cher à chaque requête, cela créait un risque « clé perdue, données perdues » qui n’existait pas sans lui, et cela n’ajoutait aucune protection que le disque n’offre déjà. Le serveur manipule le contenu en clair pendant son fonctionnement : c’est ce qui permet à la recherche, aux règles côté serveur, à l’assistant IA et aux clients IMAP/CalDAV de fonctionner. La conséquence, énoncée clairement : quiconque a le root sur le serveur peut lire les messages. L’affirmation « l’opérateur n’est personne » n’est donc vraie que lorsque vous êtes vous-même l’opérateur, et c’est là tout l’enjeu.

Nous ne cherchons pas à généraliser le chiffrement de bout en bout, à la manière de Proton. Sur un serveur que vous contrôlez, une telle approche priverait le produit de la moitié de ses fonctions (recherche côté serveur, assistant, agenda partagé) pour un bénéfice qui disparaît dès lors que la machine vous appartient. Le modèle de menace retenu est « maîtrisez votre infrastructure », et non « méfiez-vous de vos propres administrateurs ». Si vous ne pouvez pas accorder votre confiance à ceux qui administrent votre serveur, le chiffrement n’est pas le premier problème à résoudre.

Ce que nous prenons au sérieux, en revanche, c’est le trafic en transit et les clés elles-mêmes. Chacun de nos ports négocie un échange de clés post-quantique, parce qu’un adversaire peut enregistrer aujourd’hui du trafic chiffré et le déchiffrer dans quelques années : cette échéance-là ne se rattrape pas rétroactivement. OpenSSL a entièrement quitté le binaire, de sorte que la pile TLS est en Rust, à sûreté mémoire. La clé racine existe toujours, pour les secrets qui valent quelque chose hors de la machine (mots de passe d’application, clés de fournisseurs d’IA, identité de fédération du nœud), et elle peut être mise sous séquestre hors de la machine, sous une forme que vous notez et rangez où bon vous semble : nous avons restauré une instance de zéro sur du matériel neuf pour prouver que cela fonctionne, plutôt que de le supposer. La perdre n’oblige plus qu’à régénérer des secrets, jamais à renoncer à vos données.

Votre assistant IA suit la même règle.

Microsoft Copilot et Google lisent vos messages dans leur cloud : aucun autre réglage n’est possible. L’assistant d’OxiMail vous laisse choisir où il s’exécute, selon la même logique : déléguer ou non. Pour un déploiement souverain, le choix par défaut est un modèle local : il lit vos messages sur votre propre matériel, et rien ne quitte la machine. Sur une machine équipée d’un GPU modeste, un modèle auto-hébergé rivalise avec une IA souveraine gérée par un tiers pour le courrier, l’agenda et les tâches du quotidien, sans aucun tiers. Nous livrons cette machine clé en main via notre offre de services : elle exécute votre assistant et entraîne vos modèles par organisation, sans aucun tiers ni facturation à l’usage.

Ce n’est plus une recommandation, et la migration a déjà commencé.

Partout en Europe et en Suisse, le secteur public reçoit désormais l’ordre, et non plus une recommandation, de quitter les grands fournisseurs de cloud américains. Des administrations françaises abandonnent les outils collaboratifs américains ; des autorités allemandes de protection des données ont tranché contre Microsoft 365 dans les écoles ; un Land allemand migre des dizaines de milliers de postes vers l’open source ; l’UE finance des alternatives via son programme Next Generation Internet ; la Suisse a durci la LPD. Le budget est alloué et le cap est fixé.

Et les organisations déjà passées à Linux, LibreOffice et Thunderbird se heurtent au même obstacle : le système d’exploitation, les documents et les fichiers disposent de réponses souveraines, mais la messagerie, l’agenda et les contacts n’en ont pas. OxiMail est cette réponse, et le changement n’a rien d’un saut dans le vide : vos boîtes existantes sont reprises depuis Microsoft 365, Google ou votre propre serveur, avec tout leur historique.

Quiconque doit quitter Microsoft aujourd’hui se retrouve devant le même rayon presque vide.

Ce qu’un acheteur soucieux de souveraineté trouve réellement aujourd’hui, en ne comptant que ce que chaque produit livre. Drive place OxiMail aussi sur le rayon des serveurs de fichiers, d’où cette colonne.

Le budget est alloué, les acheteurs cherchent : il n’existe aucune autre suite souveraine complète, auto-hébergeable et moderne. Là où la plupart de ces solutions accusent leur âge, OxiMail est de conception récente : rapide, fluide et pensé pour le mobile, le genre de messagerie que vos équipes ouvrent sans soupirer.

Pourquoi un seul binaire, et pourquoi Rust →