Matrix : Element Web impose par défaut la vérification des nouveaux appareils

Element, le client libre de la messagerie Matrix, ne permet plus d’ignorer la vérification des appareils. La version 1.12.33 de ses applications Web et Desktop est sortie le 27 octobre 2026. Depuis, toute session ouverte dans un nouveau navigateur ou sur un autre ordinateur doit être confirmée avant de discuter. L’éditeur a détaillé ce changement le 6 novembre 2026 sur son blog. Les sessions déjà ouvertes et non vérifiées fonctionnent encore, pour l’instant. Mieux vaut donc s’assurer dès maintenant de posséder sa clé de récupération.

Vérifier un appareil, c’est prouver qu’il vous appartient bien. D’après la documentation d’Element, on le fait depuis un autre poste déjà vérifié, ou à l’aide de sa clé de récupération. Jusqu’ici, cette étape pouvait être ignorée. Les notes de version de la 1.12.33 suppriment cette possibilité par défaut. La même version rappelle aussi l’existence de la clé au moment de la déconnexion. Sur mobile, Element X et Element Pro imposaient déjà la vérification à la connexion.

Une identité qui signe chaque appareil

Ce verrou découle du chiffrement de bout en bout, qui rend les messages illisibles pour quiconque n’en est pas le destinataire, serveur compris. À la première connexion, Element crée une identité numérique propre au compte. Elle sert à signer chaque appareil légitime. Un nouvel appareil doit donc être approuvé, depuis un poste déjà reconnu ou avec sa clé. Cette signature prouve que la connexion ne vient pas d’un tiers qui aurait volé l’identifiant et le mot de passe. Elle transmet aussi au poste ajouté les clés nécessaires pour relire l’historique chiffré.

Le changement était annoncé. Le 19 novembre 2025, la fondation Matrix.org présentait une évolution de la spécification du protocole. Celle-ci recommande de ne plus transmettre certains messages chiffrés, ceux qui circulent directement entre appareils, aux terminaux dont l’identité n’est pas signée. Element prévoyait alors d’exclure ces terminaux dès avril 2026. Le site indépendant Privacy Guides a repris cette échéance le 20 novembre 2025. Il relevait que l’avertissement rouge d’un appareil non vérifié était facile à ignorer, et saluait un net progrès pour la sécurité d’Element.

Le calendrier a pourtant glissé. Selon la documentation d’Element, la date d’exclusion des appareils non sécurisés a été repoussée. Elle reste à fixer, et l’éditeur promet un mois de préavis. Le billet du 6 novembre 2026 maintient le principe : les appareils non vérifiés seront exclus des conversations chiffrées, mais aucune date n’est avancée. Nous y voyons une étape intermédiaire : la 1.12.33 impose la vérification à la connexion, sans couper encore les anciennes sessions.

Préparer sa clé de récupération

Pour qui a déjà vérifié ses appareils et configuré sa clé, rien ne change, assure Element. Les autres ont intérêt à agir avant de se connecter sur un nouveau poste. Cette clé, distincte du mot de passe du compte, permet de valider une nouvelle session quand aucun appareil vérifié n’est à portée de main. Pour savoir si l’on en possède une, on clique dans Element Web sur l’avatar en haut à gauche, puis sur « All Settings » et « Encryption ». Si la rubrique Backup propose « Get recovery key », la clé n’existe pas encore.

Configurez la récupération, afin de pouvoir vérifier de nouvelles sessions même si vous perdez tous vos autres appareils.

Le risque concerne surtout la personne qui perd son unique téléphone sans avoir conservé sa clé. Sans appareil vérifié ni clé de récupération, il faut réinitialiser son identité numérique, et l’on perd l’accès à l’historique des messages chiffrés. Une fois la réinitialisation terminée, la documentation demande de récupérer aussitôt une nouvelle clé. Nous conseillons de ne pas attendre ce scénario : générer sa clé dès maintenant, puis la ranger en lieu sûr, par exemple dans un gestionnaire de mots de passe.

Une option de repli pour les administrateurs

Les organisations qui hébergent leur propre instance d’Element Web disposent d’une soupape. Dans le fichier de configuration config.json, l’option force_verification réglée sur false rétablit l’ancien comportement. Celles qui passent par ESS, l’outil de déploiement d’Element (éditions Community ou Pro), appliquent ce réglage dans la configuration de cet outil. L’éditeur recommande de ne s’en servir que temporairement, car les appareils non vérifiés finiront exclus des échanges chiffrés.

Les premiers effets se font sentir chez ceux qui automatisent leurs tests. Dans le dépôt du projet Infinito.Nexus, une demande de modification décrit le blocage. Dès la deuxième connexion d’un même compte, l’écran de vérification n’offre aucun bouton pour passer. L’interface de discussion ne s’affiche donc jamais. Son auteur a écarté l’idée de rester sur une version antérieure à la 1.12.33, qui ne ferait que repousser le changement. Seuls les tests automatisés désactivent l’option : les déploiements en production gardent la vérification obligatoire.

Pour les associations, les TPE et les familles qui utilisent Matrix, la marche à suivre tient en deux gestes : vérifier chaque appareil, puis créer et ranger sa clé avant de changer de poste. Les administrateurs d’un serveur gagneront à prévenir leurs utilisateurs avant de déployer la 1.12.33, et à réserver l’option de désactivation aux cas bloquants. Element reste un logiciel libre, utilisable gratuitement sous licence AGPL (GNU Affero General Public License) ou GPL, à côté d’une licence commerciale payante. À notre avis, cette contrainte est justifiée : elle ferme la porte à qui aurait volé un mot de passe, à condition de ne pas égarer sa clé.