Un an de SEAL en production

En technologie, un lancement de produit obtient un communiqué de presse. Un produit qui fonctionne discrètement pendant un an obtient quelque chose de plus précieux : le silence. Aucun rapport d’incident. Aucun patch d’urgence. Aucun post « nous avons connaissance du problème ». Juste un système qui fait ce pour quoi il a été conçu, chaque jour, à une échelle qui ne cesse de croître.

Il y a un an, HIN a déployé SEAL comme moteur du nouveau HIN Mail — remplaçant les serveurs de messagerie centralisés par une livraison chiffrée en swarm à travers le système de santé suisse. Il n’y a pas eu d’événement de lancement. Le système est passé en production, et les professionnels de santé ont continué leur travail. Douze mois plus tard, le volume a pratiquement doublé : d’environ 440 000 remises par mois à plus de 800 000.

Cette croissance n’a pas été générée par une campagne marketing. Elle a été générée par des professionnels de santé qui ont découvert que l’envoi de communications sensibles concernant les patients était devenu plus simple, pas plus compliqué.

Ce qui a changé — et ce qui n’a pas changé

Pour les médecins et le personnel médical qui utilisent HIN Mail au quotidien, presque rien n’a changé. C’était précisément l’objectif. SEAL s’intègre via SMTP dans l’infrastructure de messagerie existante. Les professionnels de santé gardent leur client de messagerie, rédigent leurs messages comme ils l’ont toujours fait. Le moteur SEAL s’occupe du reste — chiffrement, fragmentation et distribution de chaque message via IPFS, de sorte qu’aucun système unique ne détient jamais le contenu complet.

Pour les patients qui reçoivent ces messages, tout a changé.

Au lieu de télécharger un fichier HTML (l’ancien processus lourd et peu pratique), ils reçoivent un lien. Un clic sur n’importe quel appareil, dans n’importe quel navigateur. La Web Verification App réassemble et déchiffre le message sur place. Aucun compte à créer et, par défaut, aucune application à installer. Lorsque l’authentification du destinataire est activée, l’ouverture est consignée comme accusé de réception.

Stefan Geldreich, qui a dirigé le pilote au sein du réseau hospitalier HOCH, a qualifié le résultat de « moderne, simple, sûr et intuitif » — ajoutant que « la structure claire et les processus simplifiés représentent un gain majeur pour nous ». Ce retour provient d’un réseau hospitalier qui traite de véritables communications patients via SEAL chaque jour.

Pourquoi l’architecture compte

La messagerie sécurisée traditionnelle concentre les données sur des serveurs centraux. Pirater le serveur, accéder aux messages. L’architecture elle-même est la vulnérabilité.

SEAL élimine cette cible. Chaque message est chiffré avec AES-GCM-256, fragmenté et distribué à travers un swarm de nœuds IPFS. Le point d’entrée de déchiffrement est livré séparément, par e-mail. Les fragments restants se trouvent sur IPFS, identifiés uniquement par des hachages de contenu.

Ce n’est pas une amélioration incrémentale par rapport à la messagerie sécurisée centralisée. C’est un modèle de sécurité fondamentalement différent — un modèle où il n’y a pas de serveur central à pirater, parce qu’il n’y a pas de serveur central.

Le doublement du volume en neuf mois révèle quelque chose d’important sur cette architecture : elle passe à l’échelle sans friction. Quand l’adoption croît, le swarm croît avec elle. Pas de réunions de planification de capacité. Pas de week-ends de migration de serveurs.

Le point de départ, pas la destination

SEAL a été déployé comme première étape d’une transformation bien plus vaste. Il résout le problème immédiat et critique : comment livrer une communication chiffrée et vérifiée à quelqu’un qui ne partage pas votre infrastructure informatique, sans lui demander, par défaut, d’installer quoi que ce soit ?

Mais la communication n’est que la première couche.

Stargate — la nouvelle infrastructure gateway de HIN, développée par Vereign — remplace le gateway de messagerie historique qui a fonctionné pendant environ 30 ans. Là où SEAL rend les messages prouvables, Stargate rend des échanges de données entiers prouvables : gestion des identités, credentials vérifiables, données cliniques structurées, réseau maillé chiffré et conformité réglementaire intégrée au modèle de données plutôt qu’ajoutée après coup.

Le déploiement par phases se poursuit. 2026 apporte les gateways aux hôpitaux et institutions à travers la Suisse. Les HIN Clients dans les cabinets de médecine générale sont prévus ensuite, avec des dates annoncées une fois arrêtées, et non promises à l’avance. La transformation est en cours — et l’année de SEAL en production a prouvé que les fondations tiennent.

Ce que cela prouve au-delà du secteur de la santé

Le secteur de la santé exige les normes les plus élevées en matière de protection des données — dossiers patients, communications cliniques, coordination des assurances. Aucune marge pour le « suffisamment bon ». Si la communication décentralisée et vérifiée fonctionne ici, à cette échelle, elle fonctionne partout où des organisations échangent des informations sensibles au-delà des frontières de confiance.

Finance. Juridique. Compliance. Défense.

Le déficit de confiance est le même partout : deux organisations doivent échanger quelque chose qui compte et ne peuvent pas se permettre de déléguer cette confiance à un tiers.

Un an de production n’est pas une annonce. C’est une preuve. Et dans l’infrastructure de confiance, la preuve est la seule monnaie qui compte.

Note, mise à jour en novembre 2026 : cet article décrivait à l’origine l’accusé de réception comme rattaché au destinataire en tant qu’individu, et indiquait que le lien vers le message pouvait arriver par SMS, par une application de messagerie ou par code QR. En production, le lien est envoyé par e-mail, et un accusé de réception n’identifie pas la personne qui a ouvert un message. En novembre 2026, plusieurs applications d’authentification peuvent être enregistrées pour une même adresse de destinataire. Lorsqu’un destinataire s’authentifie avec une application d’authentification, l’accusé de réception désigne le jeton enregistré qui a ouvert le message. Verimesh (anciennement le projet Stargate) est le nom actuel de l’infrastructure mentionnée ci-dessus. Les HIN Clients dans les cabinets de médecine générale ne sont pas encore planifiés.