Alternative à WeTransfer en entreprise : envoyer des fichiers sans perdre le contrôle

Pourquoi vos équipes l'utilisent même quand c'est interdit

Parce que le canal officiel s'arrête précisément là où le travail commence. Voici les plafonds réels contre lesquels bute quiconque doit envoyer quelque chose de plus gros qu'un PDF :

C'est exactement le schéma que nous avons déjà observé avec l'intelligence artificielle : quand l'outil approuvé ne résout pas la tâche, un outil de l'ombre apparaît. Nous l'avons raconté dans le shadow AI en entreprise, et avec les fichiers cela fonctionne à l'identique. La conclusion est la même : interdire sans donner d'alternative ne supprime pas l'usage, cela supprime seulement votre visibilité sur cet usage.

Ce que vous risquez vraiment (ce n'est pas le fichier)

Le risque n'est pas que le fichier voyage : c'est que vous perdez les réponses aux questions qu'on vous posera ensuite. Quatre conséquences concrètes :

• Vous ne savez pas qui l'a ouvert. Le lien circule dans des courriels transférés et des groupes de discussion. S'il finit là où il ne devrait pas, vous ne pouvez ni le savoir ni l'interrompre.
• Vous ne pouvez pas révoquer. Une fois envoyé, c'est envoyé. L'erreur la plus fréquente et la plus coûteuse est le mauvais destinataire, et la seule parade est de pouvoir éteindre le lien.
• Vous ne maîtrisez pas la conservation. Ni quand le fichier est réellement supprimé, ni s'il en existe des copies. Le jour où une personne exerce son droit à l'effacement, vous ne pouvez pas répondre pour ce que vous ne voyez pas.
• Il n'y a aucun contrat derrière. Si le compte est le compte personnel du salarié, votre entreprise fait traiter des données par un tiers sans contrat de sous-traitance ni garantie sur le lieu d'hébergement.

Et ce n'est pas un risque théorique. Selon son rapport annuel 2025, la CNIL a reçu 6 167 notifications de violations de données, en hausse de 9,5 % sur un an, un incident déclaré sur deux relevant d'un piratage ; l'autorité cite aussi l'envoi de données personnelles à un mauvais destinataire parmi les sources de violation, sans en publier la proportion. Autrement dit : la violation ordinaire n'a pas toujours pour origine un attaquant sophistiqué, elle a souvent pour origine un champ « À » complété automatiquement.

Ce qu'exige la réglementation sur la façon dont l'information sort

Aucun texte ne dit « n'utilisez pas WeTransfer ». Ce qu'ils disent, c'est quelles mesures vous devez pouvoir démontrer, et c'est là qu'un service grand public reste sans réponse :

Deux précisions françaises. D'abord, la CNIL ne se contente pas de l'article 32 : sa fiche « Sécuriser les échanges avec l'extérieur » range explicitement dans les choses à ne pas faire l'envoi de fichiers de données personnelles en clair par des plateformes grand public, et dans les choses à faire le serveur de dépôt temporaire avec durée de mise à disposition limitée et accès restreint aux destinataires autorisés. C'est, mot pour mot, le cahier des charges d'un canal d'entreprise.

Ensuite, la transposition. NIS2 n'est pas encore transposée en France : le véhicule est le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité, et l'ANSSI met déjà à disposition le Référentiel Cyber France (ReCyF), pour l'instant non obligatoire, que les futures entités régulées peuvent appliquer par anticipation. Cela ne change rien à l'urgence : le canal de sortie des fichiers fera partie du périmètre à gouverner, et tout incident qui en découlerait entrera dans les délais de notification que nous détaillons dans notifier un incident NIS2 à 24 heures, 72 heures et un mois (en espagnol).

Les dix exigences d'un canal d'entreprise

Voici la liste avec laquelle évaluer n'importe quel candidat, y compris le plan payant du service que vos équipes utilisent déjà. S'il échoue sur les quatre premières, ce n'est pas une alternative d'entreprise :

1. Chiffrement en transit et au repos, avec les données hébergées là où vous le décidez et sans sortir de l'Espace économique européen sauf autorisation de votre part.
2. Expiration et limite de téléchargements par envoi, et non une politique figée du fournisseur.
3. Vérification du destinataire : mot de passe ou code à usage unique, pour que le lien ne vaille plus rien s'il est transféré.
4. Révocation immédiate d'un envoi déjà parti.
5. Journal d'audit exportable : qui a envoyé quoi, à qui, quand cela a été ouvert et depuis où.
6. Antivirus et règles de contenu dans les deux sens, avec les blocages consignés.
7. Conservation et suppression automatiques par type de document, alignées sur votre politique de conservation.
8. Boîte de dépôt pour que des tiers vous envoient leur documentation sans ouvrir de compte.
9. Intégration à votre identité : authentification unique et double facteur pour les internes, comme nous l'expliquons dans le guide du SSO en entreprise.
10. Contrat de sous-traitance signé avec votre entreprise, pas des conditions de service acceptées par un salarié.

Et une exigence qui ne figure sur aucune grille d'achat mais qui décide du projet : qu'envoyer coûte les mêmes secondes qu'avant. Si adopter le canal d'entreprise ajoute trois étapes, les gens seront revenus à leurs habitudes en deux semaines.

Comparatif : grand public, cloud d'entreprise, FTP et transfert managé

Les quatre options posées sur la table de n'importe quel comité, avec ce que chacune apporte réellement :

Le cloud d'entreprise que vous avez déjà couvre bien la collaboration interne ; pour l'envoi à des tiers et la réception ordonnée de documentation, il reste à mi-chemin, et c'est justement là que vit le risque. Si vous songez en plus à ranger ce qui est à l'intérieur, le point de départ est migrer de SharePoint vers une gestion documentaire avec IA (en espagnol).

Comment faire le changement en 30 jours sans révolte interne

L'ordre compte plus que l'outil. La quasi-totalité des projets qui échouent ont commencé par bloquer :

1. Semaine 1, mesurez. Sortez du proxy ou du pare-feu quels services d'envoi sont utilisés, dans quel volume et depuis quels services. Non pour désigner qui que ce soit : pour savoir ce que vous devez remplacer et à quelle échelle.
2. Semaine 2, configurez. Fixez les règles par défaut (expiration, nombre de téléchargements, quand le mot de passe est exigé), montez la boîte de dépôt des deux flux entrants les plus fréquents et branchez l'authentification de l'entreprise.
3. Semaine 3, pilotez. Commencez par les deux équipes qui déplacent le plus de fichiers, en général le commerce et celle qui traite avec les fournisseurs. Si cela règle leur journée, ce sont elles qui défendront le canal.
4. Semaine 4, communiquez puis bloquez. Annoncez le canal, expliquez pourquoi, et seulement alors fermez les services grand public sur le réseau. Bloquer avant d'avoir une alternative est ce qui transforme le projet en guerre interne.
5. Ensuite, revoyez. Une fois par mois, regardez le journal : ce qui part, vers qui, quels blocages ont eu lieu. Ce rapport est la preuve qu'on vous demandera au prochain audit.

Un détail qui évite bien des discussions : laissez le FTP allumé en lecture seule un mois de plus pour les échanges entre systèmes et migrez ces flux vers du SFTP managé ou une API sans précipitation. Les personnes se déplacent vite ; les intégrations, non.

Comment Dokuflex y répond : le fichier finit là où il doit être

Dokuflex, plateforme BPM low-code avec IA, intègre l'envoi sécurisé de fichiers dans la plateforme même où vivent déjà vos dossiers et vos processus. La différence avec un outil de transfert isolé ne tient pas au lien, elle tient à l'endroit où le fichier atterrit :

• Envoyer, c'est glisser-déposer. Lien chiffré avec l'expiration et le nombre de téléchargements que vous fixez, mot de passe ou code envoyé au destinataire, antivirus avant publication et révocation en un clic. Pour celui qui envoie, cela coûte autant qu'avant.
• Recevoir cesse d'être une boîte mail débordée. La boîte de dépôt est une page à votre marque où le tiers dépose sa documentation sans compte, et ce qu'il dépose entre classé dans le bon dossier.
• Le fichier atterrit dans le dossier. Il reste dans la gestion documentaire avec ses droits d'accès et sa durée de conservation, pas dans le cloud d'un prestataire de passage.
• Et le processus démarre. Ce qui est reçu peut lancer un flux Dokuflex BPM : création d'un fournisseur, dossier KYC (en espagnol), sinistre ou validation de facture, avec l'IA qui classe et extrait les données, et une validation humaine quand la confiance passe sous le seuil.
• Avec la preuve quand il en faut une. S'il vous faut aussi démontrer que vous avez envoyé et ce que vous avez envoyé, l'e-mail certifié ajoute le certificat de preuve ; si vous avez besoin d'un accord, la signature électronique eIDAS tient dans le même circuit.

Ce que Dokuflex ne fait pas, c'est empêcher quelqu'un de photographier son écran. Ce qu'il fait, c'est que le chemin facile devienne aussi le chemin contrôlé, et que le jour où l'on vous demandera ce qui est sorti de l'entreprise et vers où, la réponse soit un rapport et non une hypothèse.

Créez votre compte gratuit et envoyez aujourd'hui votre premier fichier avec expiration et journal →

Questions fréquentes

Sources

• WeTransfer, Plan limits : limites du plan gratuit (10 transferts ou 3 GB par fenêtre glissante de 30 jours, disponibilité de 3 jours) et des plans Starter et Ultimate.
• Aide de Gmail : limite de 25 MB par message avec pièces jointes.
• Microsoft, Exchange Online limits : taille de message par défaut et plage configurable par l'administrateur.
• CNIL, rapport annuel 2025 : 6 167 violations de données notifiées en 2025 (+9,5 % sur un an), un incident déclaré sur deux relevant d'un piratage, l'envoi de données personnelles à un mauvais destinataire cité parmi les sources de violation (sans proportion publiée).
• CNIL, sécuriser les échanges avec l'extérieur : chiffrer les pièces sensibles, transmettre le mot de passe par un autre canal, utiliser SFTP ou HTTPS, serveur de dépôt temporaire à durée de mise à disposition limitée et accès restreint aux destinataires autorisés.
• Règlement (UE) 2016/679 (RGPD) : article 32, sécurité du traitement.
• Directive (UE) 2022/2555 (NIS2) : article 21, mesures de gestion des risques en matière de cybersécurité.
• ANSSI, la directive NIS 2 : état de la transposition française (projet de loi Résilience) et Référentiel Cyber France (ReCyF), mis à disposition depuis mars 2026 et non obligatoire à ce stade.
• Règlement (UE) 2022/2554 (DORA) : résilience opérationnelle numérique du secteur financier.