Réponse courte : oui, en avoir un est légal. En utiliser un, c’est là que le risque commence.
Aucune loi n’interdit un mot de passe de contrainte, c’est-à-dire un second mot de passe qui efface tout quand on vous force à déverrouiller. Le logiciel qui propose cette fonction peut être développé, publié et installé en toute légalité. Mais un voyageur américain fait aujourd’hui face à une inculpation fédérale parce que son téléphone se serait effacé tout seul devant des agents frontaliers sur le point de le saisir, et la thèse du gouvernement est que taper un code que vous aviez défini des mois plus tôt compte quand même comme détruire un bien pour empêcher une saisie.
C’est une question juridique réellement inédite. C’est aussi, pour la quasi-totalité des gens qui lisent ces lignes, la mauvaise inquiétude.
Notre guide sur les saisies de téléphones et d’ordinateurs portables dans les aéroports et aux frontières s’ouvre sur le fantasme que presque tout le monde emporte à la douane : “Quand ça tournera mal, j’effacerai simplement toutes les données de mon appareil devant les agents frontaliers.” Ce dossier montre à quoi ressemble cette phrase quand quelqu’un la met vraiment en pratique.
Ce que fait vraiment un mot de passe de contrainte
Un mot de passe de contrainte est un second identifiant de déverrouillage qui détruit l’appareil au lieu de l’ouvrir. GrapheneOS, le système Android durci pour le matériel Pixel, le documente sans détour : saisir le code PIN ou le mot de passe de contrainte partout où le système réclame vos identifiants “effacera irréversiblement l’appareil (ainsi que toute eSIM installée)”.
Trois propriétés comptent.
C’est silencieux. Pas de confirmation, pas de compte à rebours, aucun moyen de revenir en arrière. L’écran s’éteint et l’appareil redémarre.
C’est total. L’effacement détruit le matériel de clé du chiffrement, donc les données ne sont pas supprimées au sens récupérable du terme. Elles ont disparu mathématiquement, et le projet a déclaré publiquement qu’il ne peut aider personne à les récupérer.
Il y a un piège. Si vous réglez l’identifiant de contrainte sur la même valeur que votre déverrouillage réel, le déverrouillage réel l’emporte et rien n’est effacé. GrapheneOS le documente aussi, et c’est exactement le genre de détail qui échappe quand on configure une fonction qu’on espère ne jamais utiliser.
Ce qui s’est passé à Hartsfield-Jackson
Le 24 janvier 2025, Samuel Tunick, résident d’Atlanta, atterrit à Hartsfield-Jackson au retour d’un voyage à l’étranger. Customs and Border Protection, l’agence frontalière américaine, le place en inspection secondaire et le presse de déverrouiller son Google Pixel. Selon les informations publiées par TechCrunch, les agents lui affirment qu’aucun mandat n’est nécessaire puisqu’il n’a pas encore franchi la frontière. Il saisit un code. L’écran devient noir, le téléphone redémarre, et son contenu devient inaccessible. Les agents saisissent l’appareil et le laissent entrer dans le pays.
Environ dix-huit mois plus tard, le parquet l’inculpe au titre du 18 U.S.C. § 2232, l’infraction fédérale de destruction de bien visant à empêcher une saisie par l’État. L’acte d’accusation affirme qu’il a “sciemment détruit, endommagé, gaspillé, éliminé et autrement pris des mesures pour supprimer le contenu numérique d’un téléphone cellulaire Google Pixel, dans le but d’empêcher et d’entraver l’autorité légale du Gouvernement”. Il a plaidé non coupable. La peine maximale est de cinq ans.
Sa défense soutient que la rétention et la saisie étaient illégales, qu’on lui a refusé à plusieurs reprises l’accès à un avocat, et que le gouvernement enquêtait sur son lien avec un mouvement de contestation écologiste d’Atlanta plutôt que sur un délit. Une décision sur la demande d’annulation des preuves n’est pas attendue avant la fin octobre 2026.
Tout ce qui précède relève de l’accusation et de l’argumentation. Rien n’est prouvé dans un sens ou dans l’autre, et cet article ne prend pas position sur la question de savoir s’il a fait ce que le gouvernement affirme.
Pourquoi l’information, c’est l’inculpation, pas l’effacement
Les fouilles d’appareils sans mandat à la frontière n’ont rien de nouveau. Ce qui est nouveau, c’est la thèse juridique qu’on y accroche ici.
Les poursuites au titre de l’article 2232 sont extraordinairement rares. L’avocat commis d’office de Tunick a indiqué qu’un seul autre dossier de ce type est publiquement connu, et il venait d’une enquête sur du trafic de stupéfiants. L’appliquer ici oblige un tribunal à décider si une fonction préconfigurée du système d’exploitation, déclenchée en tapant une chaîne dans une invite, relève du même type d’acte que fracasser un disque dur sur une table.
Si la réponse est oui, alors un réglage devient une infraction à l’instant où vous vous en servez. C’est la partie à surveiller, quelle que soit l’issue pour ce prévenu.
Vos droits à la frontière s’amincissent, ils ne s’épaississent pas
Le terrain juridique a bougé le mois même où l’affaire est devenue publique, et il n’a pas bougé en votre faveur.
Le 13 juillet 2026, la cour d’appel du Fourth Circuit a jugé dans United States v. Belmonte Cardozo qu’une fouille manuelle d’un téléphone à la frontière est une fouille de routine, donc que les agents n’ont besoin ni d’un mandat ni du moindre soupçon pour le parcourir à la main. Comme l’explique l’EFF, la cour a maintenu une exigence plus élevée pour l’extraction forensique, qui requiert toujours un soupçon individualisé dans ce circuit, mais elle a tracé la ligne de façon à ce qu’un humain faisant défiler vos messages compte comme ordinaire.
D’autres circuits sont d’un avis différent, et des affaires comparables sont pendantes ailleurs. La question de la saisie forcée du code au titre du Cinquième Amendement reste séparément non tranchée, les tribunaux étant divisés sur le point de savoir si vous obliger à taper votre propre code constitue un témoignage. Le résultat pratique : vos droits dans un aéroport dépendent de l’aéroport en question, et d’un corpus de jurisprudence en train de bouger.
Vous ne pouvez pas planifier là-dessus. Vous pouvez seulement réduire ce qui est en jeu quand cela tourne contre vous.
Ce qu’a dit GrapheneOS, et ce qu’il a désigné
La réponse du projet a été sans ambiguïté sur le droit. Il a qualifié la fonction de parfaitement légale, a déclaré n’avoir aucune obligation d’affaiblir les protections qu’il livre, et a soutenu qu’une contrainte en ce sens serait inconstitutionnelle.
Puis il a fait quelque chose de plus intéressant. Interrogé sur l’affaire, GrapheneOS a surtout parlé de tout sauf du mot de passe de contrainte, le qualifiant de “seulement une composante” du modèle de sécurité, et a énuméré ce qui fait réellement le travail :
- un chiffrement adossé au matériel, avec une limitation des tentatives imposée par le secure element
- la prise en charge de mots de passe jusqu’à 128 caractères
- un redémarrage automatique vers l’état Before First Unlock après un délai défini, 18 heures par défaut, réglable de 10 minutes à 72 heures
- l’USB limité à la seule recharge lorsque l’appareil est verrouillé, ce qui est le réglage livré par défaut
- le marquage mémoire et d’autres mitigations contre les outils d’extraction
Relisez cette liste. Aucun de ces éléments ne vous demande quoi que ce soit au comptoir. Tous tournent déjà pendant que vous patientez dans la file, épuisé, interrogé par quelqu’un qui détient dans cette pièce bien plus de pouvoir que vous.
C’est tout l’argument, et le projet l’a formulé sans tout à fait le dire.
La protection passive bat la destruction active
Classez chacune de vos protections selon une seule question : que vous demande-t-elle à l’instant précis où un agent tient votre téléphone ?
| Protection | Ce qu’elle vous demande à la frontière | Le risque juridique qu’elle crée |
|---|---|---|
| Voyager avec un appareil propre | Rien, c’est fait à la maison | Aucun |
| Redémarrage automatique vers Before First Unlock | Rien | Aucun |
| USB en recharge seule quand l’appareil est verrouillé | Rien | Aucun |
| Un long mot de passe que vous refusez de saisir | Un refus | Retenue, saisie, entrée refusée si vous n’êtes pas citoyen |
| Un mot de passe de contrainte saisi sur demande | Un acte délibéré, observé, sous caméra | Le seul qui ait produit une inculpation fédérale |
Les trois premières ne vous coûtent rien et sont invisibles. La dernière est la seule ligne de ce tableau qui ait jamais transformé un mauvais après-midi en poursuite pénale.
Un téléphone en Before First Unlock n’a pas été déverrouillé une seule fois depuis son démarrage. Ses clés ne sont pas en mémoire. C’est l’état le plus solide, sur le plan forensique, dans lequel votre appareil puisse se trouver, et il coûte un appui long avant de rejoindre la file.
Faut-il donc en configurer un ?
Ceci n’est pas un conseil juridique, et si la question se pose réellement pour vous, la personne à consulter est un avocat de votre juridiction, avant le vol et non après.
Cela dit, une lecture honnête :
Si vous voyagez déjà propre, cela ajoute du risque sans ajouter de protection. Un appareil qui ne transporte rien de sensible n’a rien à détruire. Vous obtenez tout le bénéfice d’un effacement rien qu’en n’emportant pas les données, et aucune des conséquences.
Son vrai cas d’usage, c’est la contrainte sans aucune procédure légale. Un vol avec violence, un enlèvement, un acteur hostile sans mandat à demander ni tribunal devant qui répondre. Dans ce scénario le calcul est tout autre, et la fonction fait exactement ce pour quoi elle a été conçue.
Les modes de défaillance sont pires qu’on ne l’imagine. C’est irréversible. Cela emporte vos eSIM, ce qui peut vous laisser sans connexion dans un pays étranger. La mémoire musculaire sous stress n’est pas fiable, et le mauvais doigt sur le mauvais chiffre au mauvais moment se termine pareil, que vous l’ayez voulu ou non.
L’avoir configuré n’est pas la même chose que s’en servir. Rien dans cette affaire ne suggère que configurer la fonction pose en soi problème. L’acte reproché, c’est de l’avoir saisi après que les agents ont exigé l’accès.
Que faire à la place
- N’emportez pas les données. C’est tout l’enjeu, et le guide sur les saisies le traite en détail. Tout le reste de cette liste est une erreur d’arrondi à côté.
- Redémarrez avant d’arriver au comptoir. Un appui long place le téléphone en Before First Unlock, gratuit, invisible, et sans rien exiger de vous ensuite.
- Raccourcissez le délai de redémarrage automatique. Si un appareil est saisi verrouillé, un minuteur de 30 minutes le verrouille en profondeur bien avant que quiconque ne l’amène dans un laboratoire.
- Laissez l’USB en recharge seule quand l’appareil est verrouillé. Un téléphone branché ne devrait pouvoir parler à rien.
- Utilisez un mot de passe, pas votre visage. La situation au titre du Cinquième Amendement pour un code mémorisé est contestée, mais réelle. Pour la biométrie elle est nettement plus faible, et une empreinte peut vous être prise sans votre coopération.
Si vous utilisez un Android durci au quotidien, la même logique s’applique avec plus de force, pas moins. Lisez le guide sur le chiffrement intégral du disque pour savoir ce que le chiffrement au repos couvre et ne couvre pas, et voyez notre sélection de systèmes d’exploitation mobiles si vous choisissez une plateforme.
La leçon
Les protections techniques d’un téléphone durci moderne sont réellement excellentes. Face aux voleurs, face aux attaquants distants, face aux outils forensiques ordinaires, elles tiennent.
Ce qu’elles ne peuvent pas faire, c’est résoudre un problème juridique. Et la fonction qui attire le plus l’attention, celle qui vous promet une sortie à la dernière seconde, est justement la seule qui vous demande de prendre une décision irréversible au pire moment possible, devant la personne que vous cherchez à arrêter.
Une confidentialité qui dépend de votre capacité à agir correctement alors que vous êtes effrayé, décalé et en infériorité n’est pas un plan. C’est un pari. Les protections qui valent la peine sont celles qui sont déjà en place avant que vous n’arriviez au comptoir, et c’est pour cela que le bon moment pour y réfléchir, c’est quand vous construisez votre modèle de menace, pas quand quelqu’un vous réclame votre téléphone.