La messagerie sécurisée de santé (MSSanté) : pourquoi et comment l'utiliser

Pourquoi pas une messagerie grand public

Les messageries gratuites ou personnelles n'ont pas été pensées pour le secret médical. Selon la CNIL, sans mesure complémentaire, les canaux grand public (messagerie électronique, messagerie instantanée, plateformes de dépôt de fichiers) constituent rarement un moyen sûr de transmettre des données personnelles. Une erreur de destinataire suffit, et les acteurs qui gèrent les serveurs peuvent avoir accès au contenu ou aux métadonnées[CNIL, guide sécurité].

Pour le guide de l'Ordre des médecins et de la CNIL, votre obligation de sécuriser vos échanges de données de santé impose de passer par une messagerie sécurisée. Une messagerie qui ne chiffre pas les données et les héberge dans un pays ou chez un prestataire n'offrant pas une protection conforme aux règles européennes est à proscrire[CNOM et CNIL]. Le référentiel de la CNIL pour les cabinets recommande lui aussi une messagerie sécurisée de santé entre professionnels[CNIL, référentiel].

Si le destinataire n'a pas accès à une messagerie sécurisée de santé (psychologue, ostéopathe, organisme), le guide CNOM et CNIL demande de chiffrer les pièces sensibles et d'envoyer le mot de passe par un autre canal (téléphone, SMS)[CNOM et CNIL].

MSSanté et l'espace de confiance

MSSanté désigne un système plutôt qu'un logiciel. Plusieurs opérateurs (éditeurs de logiciels, établissements, administrations, Ordres) proposent des messageries qui respectent des règles communes de sécurité et d'interopérabilité définies par l'Agence du numérique en santé. Ensemble, elles forment l'espace de confiance MSSanté[ANS, MSSanté].

Espace de confiance

L'ensemble des messageries qui respectent les règles MSSanté. Un message échangé entre deux boîtes MSSanté n'en sort pas.

Opérateur MSSanté

L'organisme qui fournit votre boîte sécurisée et achemine vos messages : votre éditeur de logiciel, Mailiz ou un autre fournisseur.

Annuaire santé

L'annuaire commun des professionnels de santé, accessible depuis les messageries de l'espace de confiance, pour trouver l'adresse sécurisée d'un confrère[ANS, MSSanté].

Une adresse MSSanté se termine en général par « mssante.fr ». Entre deux adresses de l'espace de confiance, aucune manipulation n'est nécessaire : ni pièce jointe à chiffrer, ni mot de passe à envoyer à part.

La sécurité du transport ne dispense pas de vérifier le destinataire, une précaution que cite aussi le référentiel de la CNIL[CNIL, référentiel]. Chercher l'adresse dans l'annuaire plutôt que la recopier, et vérifier les homonymes avant d'envoyer, évite la plupart des erreurs.

Comment obtenir une boîte MSSanté

1. 01

   Interroger votre éditeur de logiciel métier

   Votre logiciel peut intégrer une messagerie MSSanté, qui regroupe vos échanges dans votre outil habituel. Votre caisse d'assurance maladie peut aussi vous orienter[ANS, MSSanté].

2. 02

   Ou activer Mailiz

   Mailiz est le service proposé par l'Agence du numérique en santé et les Ordres de santé. L'activation et l'utilisation sont gratuites, et l'adresse prend la forme pré[email protected][Mailiz]. On y accède par webmail, avec Pro Santé Connect (carte CPS ou e-CPS) ou un code à usage unique, ou depuis un logiciel compatible MSSanté[Mailiz].

3. 03

   Ou choisir un autre opérateur

   D'autres opérateurs existent, notamment pour les établissements et les structures ; l'Agence du numérique en santé en publie la liste[ANS, MSSanté].

Depuis décembre 2025, Mailiz propose une délégation de boîte aux lettres pour donner un accès à une secrétaire ou un assistant médical[Mailiz]. C'est préférable au partage de vos identifiants, car le référentiel de la CNIL rappelle que la carte CPS reste strictement personnelle et que son code ne doit pas être communiqué au personnel du cabinet[CNIL, référentiel].

Inscrivez aussi la messagerie sécurisée dans votre registre des traitements, où le guide CNOM et CNIL la fait figurer[CNOM et CNIL]. Voir vos obligations de responsable de traitement.

Écrire à vos patients via Mon espace santé

Mon espace santé, le service numérique personnel de chaque assuré, comporte une messagerie sécurisée reliée à MSSanté. Depuis votre messagerie MSSanté habituelle, vous écrivez à vos patients à une adresse construite à partir de leur identifiant national de santé (INS), sous la forme [email protected]. L'INS figure dans le dossier patient de votre logiciel ou s'obtient par le téléservice INSi[Assurance maladie].

Seul le professionnel peut initier l'échange ; le patient peut ensuite répondre à vos messages[Assurance maladie]. Vous évitez ainsi d'envoyer résultats ou comptes rendus sur la boîte personnelle du patient.

Et votre messagerie habituelle ?

Vous garderez une adresse classique pour les fournisseurs, l'administration ou la prise de rendez-vous. Cette boîte reste une porte d'entrée vers le cabinet et demande quelques précautions :

• Activer la double authentification : un code demandé lors d'une nouvelle connexion, en plus du mot de passe. La CNIL recommande de privilégier l'authentification multifacteur, en particulier pour les accès depuis l'extérieur[CNIL, guide sécurité].
• Un mot de passe propre à cette boîte, idéalement conservé dans un gestionnaire de mots de passe.
• Vérifier de temps en temps les règles de transfert et de filtrage : une redirection ajoutée à votre insu est un signe classique de compte compromis[Cybermalveillance.gouv.fr].
• Ne pas y faire transiter de données de santé : si un confrère ou un patient vous écrit à cette adresse, répondez par la messagerie sécurisée.

Reconnaître l'hameçonnage

L'hameçonnage (« phishing ») consiste à vous faire cliquer sur un lien ou ouvrir une pièce jointe en se faisant passer pour un organisme connu : caisse d'assurance maladie, éditeur, banque, livreur. Cybermalveillance.gouv.fr relève comme signes d'alerte une offre trop alléchante, une apparence suspecte, une pièce jointe inattendue ou une adresse d'expéditeur fantaisiste[Cybermalveillance.gouv.fr].

• Survolez le lien sans cliquer pour voir l'adresse réelle ; si elle ne correspond pas exactement au site attendu, ne cliquez pas[Cybermalveillance.gouv.fr].
• Aucun organisme sérieux ne vous demande votre mot de passe par message[Cybermalveillance.gouv.fr].
• Dans le doute, contactez l'organisme par un canal que vous connaissez déjà, jamais par celui du message.
• Si vous avez cliqué et saisi un mot de passe, changez-le immédiatement et conservez le message[Cybermalveillance.gouv.fr]. Si la boîte contient des données de patients, voir que faire en cas d'incident.
• Les messages frauduleux se signalent sur Signal Spam, les SMS au 33700[Cybermalveillance.gouv.fr].

Ces réflexes valent aussi pour MSSanté, qui sécurise le transport des messages : une pièce jointe piégée y reste dangereuse.