Quiconque achète sa première eSIM se pose une variante de la même question : est-ce vraiment sûr, ou suis-je en train de confier mon téléphone à quelque chose que je ne comprends pas ? La question est légitime pour une technologie qui arrive sous forme d'e-mail contenant un code. La réponse courte est oui, et sur un point précis une eSIM est plus difficile à voler que la carte en plastique qu'elle remplace. Mais cette réponse n'a d'intérêt qu'avec le raisonnement qui va avec : ce guide explique donc où le profil est réellement stocké, comment il arrive sur votre téléphone, ce qu'une eSIM protège et ne protège pas, puis la partie que la plupart des articles sautent, à savoir que le risque qui compte est l'entreprise à qui vous achetez, pas la norme elle-même.
La réponse courte, et ce que sûr veut dire ici
Une eSIM n'est pas un autre type de connexion mobile. Ce sont les mêmes identifiants qui vous ont toujours identifié auprès d'un réseau, stockés dans une puce intégrée au téléphone plutôt que sur une carte glissée dans un tiroir. Le modèle de sécurité sous-jacent est celui que l'industrie mobile utilise depuis des décennies.
Face à la menace la plus réaliste pour un voyageur, à savoir que quelqu'un mette la main sur votre téléphone, l'eSIM est nettement meilleure. Une SIM en plastique se retire en quelques secondes par quiconque tient votre appareil. Une eSIM ne se retire pas du tout.
Là où les gens se trompent, c'est en attendant d'une eSIM qu'elle les protège de choses dont aucune SIM ne protège personne. Elle ne chiffre pas votre navigation, ce n'est pas un VPN, et elle n'empêche pas la fraude qui inquiète réellement la plupart des gens, laquelle se produit au service client de votre opérateur et non sur votre appareil.
Il vaut donc la peine de séparer trois questions distinctes que l'on pose souvent comme une seule : la technologie est-elle solide, change-t-elle votre exposition par rapport à une SIM physique, et l'entreprise qui vous la vend est-elle fiable. Les deux premières ont des réponses claires. C'est sur la troisième qu'il faut concentrer son attention.
Où réside réellement un profil eSIM
Le profil se trouve dans un composant appelé eUICC, une version intégrée de l'élément sécurisé qui a toujours équipé les cartes SIM. C'est une petite puce inviolable soudée à la carte du téléphone, conçue pour que les clés qu'elle détient y restent.
Cet objectif de conception compte plus qu'il n'y paraît. Les clés d'authentification qui prouvent au réseau que vous êtes bien vous sont générées et conservées à l'intérieur de l'élément sécurisé, et le fonctionnement normal ne les expose jamais au système d'exploitation, aux applications ni à quoi que ce soit d'accessible par un câble. Des requêtes entrent, des réponses cryptographiques sortent, et le secret ne bouge pas.
C'est le principe de la puce d'une carte bancaire, et c'est pourquoi cloner une SIM moderne n'est pas une attaque réaliste contre un particulier. Il ne s'agit pas de copier un fichier. Extraire des clés d'un élément sécurisé durci relève du travail de laboratoire sur une puce qu'il faudrait d'abord posséder physiquement, et cela n'arrive pas aux voyageurs.
Un même téléphone peut conserver plusieurs profils à la fois, ce qui vous permet de garder votre ligne habituelle et un forfait de voyage côte à côte. Ils restent séparés à l'intérieur de la puce, et un profil de données de voyage n'a aucune capacité à lire votre ligne d'opérateur ou à interférer avec elle.
Comment le profil arrive sur votre téléphone
Le mécanisme de livraison est une spécification publiée de la GSMA appelée provisionnement à distance des SIM, et la comprendre dissipe l'essentiel de la méfiance que le procédé inspire.
Le lien d'installation ou le QR code que vous recevez n'est pas le profil. C'est une adresse et un code d'activation à usage unique, rien de plus. Le format, ce sont littéralement les lettres LPA, puis l'adresse du serveur de provisionnement, puis votre code d'activation. Qui lit ce code apprend où demander et quoi demander, et rien sur votre identité.
Quand vous lancez l'installation, un logiciel de votre téléphone appelé assistant de profil local contacte ce serveur, et les deux parties s'authentifient mutuellement par certificats avant tout transfert. Le profil est ensuite livré par un canal chiffré directement dans l'élément sécurisé. Votre téléphone vérifie qu'il parle à un vrai serveur de provisionnement, et le serveur vérifie qu'il parle à un vrai eUICC.
C'est aussi pourquoi un code d'activation cesse de fonctionner une fois utilisé. Le code donne droit au téléchargement d'un profil, une fois. Il est consommé, et c'est le mécanisme qui fait qu'une eSIM ne s'installe que sur un seul appareil.
eSIM contre SIM physique : laquelle est la plus sûre ?
Sur l'attaque qui arrive réellement aux voyageurs, l'eSIM l'emporte nettement. Si quelqu'un vole un téléphone contenant une SIM en plastique, il peut ouvrir le tiroir, glisser votre SIM dans un appareil bon marché et recevoir immédiatement les appels et SMS envoyés à votre numéro, codes de vérification compris. Cela ne demande aucune compétence et prend une trentaine de secondes.
Avec une eSIM, il n'y a rien à extraire. Le profil est enfermé dans une puce soudée à la carte, et y accéder suppose d'abord de franchir votre écran de verrouillage. C'est une amélioration réelle pour quiconque s'est déjà fait prendre son téléphone dans un endroit bondé.
La même propriété joue en sens inverse, et il est honnête de le dire. Comme le profil ne peut pas être déplacé à la main, vous ne pouvez pas le déplacer non plus. Une eSIM de voyage activée ne peut pas être transférée vers un autre téléphone : si votre appareil rend l'âme en cours de séjour, le forfait ne se retire pas pour aller dans un remplaçant.
Tout le reste est suffisamment proche pour être un match nul. Les deux utilisent la même authentification, les deux passent par les mêmes réseaux, et aucune ne chiffre ce que vous envoyez. Sur le seul terrain de la sécurité, la différence d'extractibilité est la seule vraie distinction.
La fraude au SIM swap, et pourquoi une eSIM de voyage n'est pas une cible
C'est la fraude à laquelle les gens pensent généralement quand ils demandent si les eSIM sont sûres, et il faut être précis, car ce n'est pas du tout une attaque contre la SIM.
Dans un SIM swap, l'attaquant ne touche jamais à votre matériel. Il contacte votre opérateur en se faisant passer pour vous, franchit les contrôles d'identité que cet opérateur applique, et demande le transfert de votre numéro vers une SIM qu'il contrôle. C'est l'opérateur qui effectue le basculement. Votre téléphone perd simplement le réseau, et votre numéro, ainsi que tout message qui lui est envoyé, arrivent désormais sur son appareil.
La technologie eSIM ne cause ni n'empêche cela. C'est une faiblesse dans la façon dont les opérateurs vérifient l'identité de leur interlocuteur. Les défenses sont les mêmes qu'avant : mettez un code ou un PIN sur votre compte opérateur s'il en propose un, et sortez les codes d'authentification importants du SMS pour les mettre dans une application d'authentification, afin que perdre votre numéro ne signifie pas perdre vos comptes.
Une eSIM de voyage est totalement hors de ce schéma, et c'est la partie rassurante. C'est un forfait de données seules, sans numéro de téléphone associé. Il n'y a aucun numéro à voler, elle ne peut pas recevoir vos codes de vérification, et personne ne peut manipuler un opérateur pour transférer quelque chose qui n'a jamais été émis. Elle transporte du trafic internet et rien d'autre.
Votre fournisseur peut-il voir ce que vous faites ?
Cela mérite une réponse franche plutôt qu'une réponse marketing. Tout réseau mobile voit des métadonnées de connexion : que votre appareil s'est connecté, via quelle cellule, quel volume de données a circulé et à quels serveurs vous avez accédé. C'est inhérent à la façon dont les réseaux mobiles acheminent le trafic, et c'est tout aussi vrai de votre opérateur habituel, d'une SIM locale achetée à l'aéroport ou de l'itinérance.
Ce qu'un réseau ne voit pas, c'est le contenu du trafic chiffré. La quasi-totalité du trafic web et applicatif passe aujourd'hui par HTTPS, chiffré entre votre appareil et le service utilisé. Le réseau voit que vous vous êtes connecté à tel service ; il ne peut lire ni vos messages, ni vos mots de passe, ni les pages elles-mêmes.
Une eSIM de voyage n'est pas un produit de confidentialité et ne devrait pas être vendue comme tel. Elle ne cache au réseau rien de plus que ce que le chiffrement cache déjà, et ce n'est pas un VPN. Si votre objectif est de dissimuler au réseau quels services vous utilisez, l'outil pour cela est un VPN, et il fonctionne très bien sur une connexion eSIM.
Il existe un cas où les données mobiles sont l'option la plus confidentielle, et il est très concret en voyage. Un réseau WiFi public ouvert d'hôtel ou de café vous place sur un réseau partagé avec des inconnus et se falsifie très facilement avec un point d'accès portant un nom ressemblant. Une connexion mobile est un lien direct avec un opérateur agréé, sans réseau local partagé et sans possibilité d'usurpation. Pour beaucoup de voyages, c'est l'argument de sécurité le plus fort en faveur du fait d'emporter des données.
Au-delà du réseau, la question devient ce que le vendeur conserve sur vous en tant que client, et cela relève de sa politique de confidentialité, pas de la technologie. Cela vaut une minute de lecture avant d'acheter.
Le vrai risque, c'est le vendeur, pas la technologie
La norme est publique et implémentée de la même façon par tout le monde, ce qui signifie que la variable de cette transaction n'est pas l'eSIM. C'est l'entreprise à qui vous confiez vos coordonnées bancaires et votre e-mail, et c'est là qu'un acheteur prudent devrait regarder.
Le signal le plus utile est de savoir qui traite le paiement. Si le paiement passe par Apple Pay, Google Pay ou un processeur connu comme Stripe, vos données de carte vont à ce processeur et non au vendeur, et vous conservez la protection de rétrofacturation offerte par votre carte. Un site qui vous demande de taper vos numéros de carte dans son propre formulaire s'est chargé d'une responsabilité qu'il ne devrait probablement pas assumer.
Ensuite, cherchez les signes d'une vraie activité derrière le site : une société immatriculée plutôt qu'une vitrine anonyme, une politique de remboursement qui dit quelque chose de précis sur les eSIM, et un support joignable avant l'achat et pas seulement après. C'est aussi bon signe quand les pages de forfaits nomment les réseaux opérateurs réellement utilisés, car les promesses de couverture vagues sont ce qu'il y a de plus facile à écrire dans ce secteur et de plus difficile à vérifier.
Les signaux d'alerte vont dans l'autre sens. Des prix très inférieurs au reste du marché signalent en général un revendeur non autorisé du stock d'un autre, ce qui va très bien jusqu'au jour où il faut du support. Des offres illimitées sans aucune condition d'usage raisonnable sur la page décrivent quelque chose qui n'existe pas. Et l'absence totale d'informations sur l'entreprise est le signal le plus clair de tous.
Par souci de transparence sur notre propre position dans cette liste : Lumbus est une société immatriculée au Royaume-Uni, les paiements passent par Stripe via Apple Pay, Google Pay et carte, nous ne stockons pas les données complètes de carte, et nos pages de forfaits nomment les réseaux locaux sur lesquels chaque forfait fonctionne. Ce sont exactement les points que nous vous dirions de vérifier sur le site de n'importe quel concurrent.
Une courte liste de sécurité pour voyager
L'essentiel de ce qui vous protège réellement à l'étranger n'a pas grand-chose à voir avec le type de SIM que vous portez. C'est l'hygiène ordinaire, qui compte davantage quand on est fatigué, dans un lieu inconnu, et qu'on utilise son téléphone pour tout.
L'habitude la plus rentable, de loin, consiste à sortir l'authentification à deux facteurs du SMS pour la mettre dans une application d'authentification avant de partir. Cela supprime votre numéro de téléphone comme point de défaillance unique, ce qui vous protège du SIM swap, de la perte du téléphone, et du fait de se trouver sans réseau au moment où un code est nécessaire.
Le reste est court, et à faire avant de décoller plutôt qu'après l'atterrissage.
- Utilisez un code de verrouillage long plutôt qu'à quatre chiffres, et activez la biométrie
- Basculez les codes à deux facteurs du SMS vers une application d'authentification
- Mettez un code sur votre compte opérateur s'il en propose un
- Préférez les données mobiles au WiFi public ouvert pour tout ce qui touche à l'argent
- Installez un VPN avant de partir si vous en avez besoin, et testez-le chez vous
- Achetez vos eSIM à des vendeurs avec une vraie société derrière et un processeur de paiement connu
- Activez la localisation de votre appareil et vérifiez qu'elle fonctionne
- Gardez une trace de l'e-mail de commande de votre eSIM, pour que le support puisse vous identifier si le téléphone est perdu
Questions fréquentes
Les eSIM sont-elles sûres ?
Oui. Une eSIM utilise la même authentification que les cartes SIM physiques depuis des décennies, stockée dans un élément sécurisé inviolable intégré au téléphone. Face à la menace réaliste d'un appareil volé, elle est plus sûre qu'une SIM en plastique, car il n'y a rien à retirer pour le mettre dans un autre téléphone. Elle ne chiffre pas votre navigation et ne protège pas de la fraude au SIM swap, qui se produit chez votre opérateur et non sur votre appareil.
Une eSIM peut-elle être piratée ?
Pas d'une manière qui concerne les voyageurs ordinaires. Les clés d'authentification sont générées et conservées dans un élément sécurisé durci et ne sont pas exposées au système d'exploitation ni aux applications en usage normal. Les extraire supposerait des attaques physiques spécialisées sur une puce qu'il faudrait d'abord posséder. Les risques concrets autour des eSIM sont d'acheter à un vendeur malhonnête ou de perdre un téléphone déverrouillé, pas la cryptographie.
Une eSIM est-elle plus sûre qu'une SIM physique ?
Sur un point important, oui. Une SIM physique peut être retirée d'un téléphone volé en quelques secondes et utilisée dans un autre appareil pour recevoir vos appels et SMS. Une eSIM est soudée et ne peut pas être extraite : un voleur doit d'abord franchir votre écran de verrouillage. Pour le reste, les deux sont globalement équivalentes, puisqu'elles utilisent la même authentification et les mêmes réseaux.
Quelqu'un peut-il voler mon eSIM ?
Pas physiquement, et c'est son principal atout. Il n'y a aucune carte à emporter. Les façons réalistes de perdre l'accès sont qu'on vous prenne votre téléphone déverrouillé, ou que quelqu'un accède au compte par lequel vous avez acheté le forfait. C'est pourquoi un code d'appareil solide et un bon mot de passe de compte comptent davantage que tout ce qui touche à la SIM.
Une eSIM de voyage peut-elle servir à une fraude au SIM swap ?
Non, car il n'y a rien à échanger. Une eSIM de voyage est en données seules et n'a aucun numéro de téléphone associé : elle ne peut recevoir ni appels, ni SMS, ni vos codes de vérification. La fraude au SIM swap vise le compte de votre opérateur habituel et votre numéro. Les défenses sont un code sur le compte opérateur et le passage des codes à deux facteurs vers une application d'authentification.
Mon fournisseur d'eSIM peut-il voir ma navigation ?
Tout réseau mobile voit des métadonnées de connexion : que vous vous êtes connecté, via quelle cellule, quel volume de données et vers quels serveurs. C'est également vrai de votre opérateur habituel et d'une SIM locale. Il ne peut pas lire le contenu du trafic chiffré, et la quasi-totalité du trafic web et applicatif est aujourd'hui chiffrée en HTTPS. Pour masquer au réseau lui-même les services que vous utilisez, c'est le rôle d'un VPN.
Est-il sûr d'acheter une eSIM en ligne ?
Il est sûr d'acheter à un vendeur que vous avez vérifié, et en ligne est la seule façon dont les eSIM sont vendues. Cherchez une société immatriculée plutôt qu'une vitrine anonyme, un paiement via Apple Pay, Google Pay ou un processeur connu comme Stripe pour que vos données de carte n'atteignent pas le vendeur, une politique de remboursement traitant spécifiquement des eSIM, et un support joignable avant l'achat. Méfiez-vous des prix très inférieurs au marché.
Est-il sûr de scanner un QR code d'eSIM ?
Oui, s'il provient du fournisseur chez qui vous avez acheté. Un QR code d'eSIM n'est pas un programme et ne peut rien installer par lui-même. Il contient une courte chaîne de texte : les lettres LPA, l'adresse du serveur de provisionnement et un code d'activation à usage unique. Votre téléphone s'en sert pour demander un profil. Traitez-le comme un mot de passe et non comme un lien public, car celui qui le consomme en premier obtient le forfait.
Ai-je encore besoin d'un VPN avec une eSIM ?
Ils résolvent des problèmes différents. Une eSIM vous donne une connexion mobile au lieu de dépendre du WiFi public, ce qui écarte déjà le risque le plus courant en voyage. Un VPN masque au réseau qui transporte votre trafic les services auxquels vous vous connectez, et aide pour les services restreints par région. Si vous utiliseriez un VPN chez vous, utilisez-en un à l'étranger : il fonctionne normalement sur une connexion eSIM.
Que devient mon eSIM si mon téléphone est volé ?
Le voleur ne peut pas l'extraire pour l'utiliser ailleurs, et si le téléphone est verrouillé il n'y accédera pas du tout. Signalez votre ligne habituelle à votre opérateur pour faire suspendre votre numéro. Pour un forfait de voyage, contactez le fournisseur avec l'e-mail de commande ; ce qui est possible dépend de ce qu'il reste du forfait et de son activation, donc garder cet e-mail accessible est réellement utile.
Une eSIM peut-elle suivre ma position ?
Pas au sens que la question sous-entend généralement. Tout réseau mobile sait approximativement où se trouve un appareil connecté, puisqu'il sait quelle antenne le dessert. C'est le fonctionnement des réseaux mobiles et cela vaut identiquement pour les SIM physiques, les SIM locales et l'itinérance. Une eSIM n'ajoute aucune capacité de suivi, et ce n'est pas du GPS. Les applications ayant l'autorisation de localisation en savent bien plus que le réseau.
Qu'est-ce qui est le plus sûr à l'étranger, le WiFi public ou une eSIM ?
Une connexion mobile via eSIM est plus sûre. Le WiFi public ouvert vous place sur un réseau partagé avec des inconnus, et il est très facile de créer un point d'accès portant le nom d'un hôtel ou d'un café pour capter le trafic de ceux qui s'y connectent. Une connexion mobile est un lien direct avec un opérateur agréé, impossible à usurper ainsi. Si vous devez utiliser un WiFi public, faites-le avec un VPN.