{"code":"var Component=(()=>{var p=Object.create;var s=Object.defineProperty;var m=Object.getOwnPropertyDescriptor;var v=Object.getOwnPropertyNames;var h=Object.getPrototypeOf,q=Object.prototype.hasOwnProperty;var f=(t,e)=>()=>(e||t((e={exports:{}}).exports,e),e.exports),g=(t,e)=>{for(var i in e)s(t,i,{get:e[i],enumerable:!0})},u=(t,e,i,a)=>{if(e&&typeof e==\"object\"||typeof e==\"function\")for(let r of v(e))!q.call(t,r)&&r!==i&&s(t,r,{get:()=>e[r],enumerable:!(a=m(e,r))||a.enumerable});return t};var b=(t,e,i)=>(i=t!=null?p(h(t)):{},u(e||!t||!t.__esModule?s(i,\"default\",{value:t,enumerable:!0}):i,t)),y=t=>u(s({},\"__esModule\",{value:!0}),t);var l=f((z,o)=>{o.exports=_jsx_runtime});var x={};g(x,{default:()=>d});var n=b(l());function c(t){let e={a:\"a\",blockquote:\"blockquote\",code:\"code\",em:\"em\",h2:\"h2\",h3:\"h3\",img:\"img\",li:\"li\",ol:\"ol\",p:\"p\",strong:\"strong\",ul:\"ul\",...t.components};return(0,n.jsxs)(n.Fragment,{children:[(0,n.jsx)(e.p,{children:\"Vous avez activ\\xE9 iCloud Private Relay pour une raison pr\\xE9cise : emp\\xEAcher les sites que vous consultez de voir d'o\\xF9 vous vous connectez. C'est toute la promesse. Apple relaie votre trafic Safari \\xE0 travers deux sauts, de sorte qu'aucune partie prenante \\u2014 ni votre fournisseur d'acc\\xE8s, ni le site web \\u2014 ne puisse relier votre identit\\xE9 \\xE0 votre destination. Pour une cat\\xE9gorie pr\\xE9cise de requ\\xEAtes, cette promesse ne tient pas.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le 4 ao\\xFBt 2026, les chercheurs en s\\xE9curit\\xE9 Tommy Mysk et Talal Haj Bakry ont publi\\xE9 des travaux montrant qu'un site web peut obtenir votre v\\xE9ritable adresse IP alors qu'iCloud Private Relay est activ\\xE9 et fonctionne normalement. La couverture m\\xE9diatique a suivi le 5 ao\\xFBt, relay\\xE9e notamment par MacRumors, 9to5Mac, TechCrunch et The Hacker News. Il existe trois chemins de fuite distincts, sans rapport m\\xE9canique les uns avec les autres, et le plus tranchant des trois met en jeu les passkeys \\u2014 la technologie d'authentification qu'Apple promeut depuis des ann\\xE9es comme le remplacement plus s\\xFBr des mots de passe.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cet article d\\xE9taille ce que Private Relay promet r\\xE9ellement, ce que les chercheurs ont d\\xE9montr\\xE9, le fonctionnement de chacune des trois fuites, la mani\\xE8re de tester votre propre Mac et ce qu'il vaut sinc\\xE8rement la peine de faire. Une pr\\xE9cision de p\\xE9rim\\xE8tre avant toute chose : il s'agit d'une fuite de votre identit\\xE9 r\\xE9seau, pas de vos contenus de navigation ni de vos comptes. Personne ne lit votre trafic chiffr\\xE9. Personne n'acc\\xE8de \\xE0 votre iCloud. Ce qui fuit, c'est une adresse IP, et son importance d\\xE9pend enti\\xE8rement de qui vous \\xEAtes et de qui vous observe.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Concept de confidentialit\\xE9 iCloud Private Relay sur un Mac\",src:\"/images/blog/icloud-private-relay-leaking-real-ip-address-passkeys-webkit-mac-2026/hero.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h2,{id:\"points-cl\\xE9s-\\xE0-retenir\",children:\"Points cl\\xE9s \\xE0 retenir\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Trois vecteurs distincts, un m\\xEAme r\\xE9sultat.\"}),\" Mysk et Haj Bakry ont d\\xE9montr\\xE9 que les c\\xE9r\\xE9monies WebAuthn/passkey, le pr\\xE9chargement DNS et WebTransport peuvent chacun exposer votre v\\xE9ritable adresse IP \\xE0 un site web alors que Private Relay est activ\\xE9. Ce sont des bugs ind\\xE9pendants qui convergent vers la m\\xEAme d\\xE9faillance.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"La fuite par passkey ne n\\xE9cessite pas que vous poss\\xE9diez une passkey.\"}),\" Les chercheurs ont constat\\xE9 qu'il suffit qu'un site \",(0,n.jsx)(e.em,{children:\"d\\xE9marre\"}),\" la c\\xE9r\\xE9monie \\u2014 les sites qui utilisent les passkeys, ou qui font simplement semblant de les utiliser, peuvent d\\xE9clencher la requ\\xEAte. Vous n'avez jamais besoin de cliquer sur quoi que ce soit ni de mener une connexion \\xE0 son terme.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"C'est une fuite d'IP, pas une compromission.\"}),\" Rien du contenu chiffr\\xE9 de votre navigation n'est expos\\xE9, aucun compte n'est compromis et aucun CVE n'a \\xE9t\\xE9 attribu\\xE9. Ce qui est expos\\xE9, c'est l'identit\\xE9 r\\xE9seau : votre adresse r\\xE9elle et, dans le cas du DNS, votre v\\xE9ritable r\\xE9solveur.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Apple enqu\\xEAte et aucun correctif n'existe aujourd'hui.\"}),\" Apple a d\\xE9clar\\xE9 \\xE0 404 Media qu'elle examinait le rapport. 9to5Mac a rapport\\xE9 que le message de statut d'Apple aux chercheurs indiquait qu'elle pr\\xE9voyait de traiter le probl\\xE8me, avec un correctif vis\\xE9 pour l'automne 2026. MacRumors a d\\xE9crit le probl\\xE8me comme inscrit dans le fonctionnement m\\xEAme de WebKit.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"D\\xE9sactiver Private Relay est la mauvaise r\\xE9action.\"}),\" La fonction fait toujours un vrai travail face aux observateurs passifs de votre r\\xE9seau. La mont\\xE9e en gamme raisonnable, si votre mod\\xE8le de menace le justifie, est un v\\xE9ritable VPN, avec le compromis honn\\xEAte suivant : vous d\\xE9placez votre confiance d'Apple vers un \\xE9diteur de VPN.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.h2,{id:\"ce-quest-r\\xE9ellement-icloud-private-relay-et-ce-quapple-promet\",children:\"Ce qu'est r\\xE9ellement iCloud Private Relay, et ce qu'Apple promet\"}),`\n`,(0,n.jsx)(e.p,{children:\"Avant de juger la fuite, il est utile d'\\xEAtre pr\\xE9cis sur la promesse qui est mise \\xE0 mal \\u2014 car une bonne partie de la confusion autour de cette affaire vient de gens qui attendent de Private Relay quelque chose qui n'a jamais \\xE9t\\xE9 vendu.\"}),`\n`,(0,n.jsx)(e.p,{children:\"iCloud Private Relay est une fonctionnalit\\xE9 iCloud+, c'est-\\xE0-dire qu'elle est fournie avec un forfait de stockage iCloud payant et non avec le syst\\xE8me d'exploitation. Le positionnement d'Apple est constant et plut\\xF4t \\xE9troit : la fonction est con\\xE7ue pour dissimuler votre adresse IP et votre activit\\xE9 de navigation aux fournisseurs r\\xE9seau et aux sites que vous visitez. Voil\\xE0 la promesse. Ce n'est pas \\xAB nous allons tout chiffrer sur votre Mac \\xBB et ce n'est pas \\xAB nous allons vous rendre anonyme \\xBB.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"la-conception-\\xE0-deux-sauts\",children:\"La conception \\xE0 deux sauts\"}),`\n`,(0,n.jsx)(e.p,{children:\"L'architecture est la partie int\\xE9ressante, et elle est r\\xE9ellement bien pens\\xE9e. Lorsque Private Relay est actif, une requ\\xEAte \\xE9mise par Safari ne voyage pas directement vers le serveur de destination. Elle traverse deux proxys successifs.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Le premier saut, le \",(0,n.jsx)(e.strong,{children:\"proxy d'entr\\xE9e\"}),\" (ingress proxy), est exploit\\xE9 par Apple. Apple sait qui vous \\xEAtes \\u2014 vous \\xEAtes connect\\xE9 \\xE0 un compte iCloud, apr\\xE8s tout, et votre appareil s'est connect\\xE9 depuis un r\\xE9seau donn\\xE9. Ce qu'Apple n'obtient pas, c'est la destination. L'adresse du site que vous consultez est chiffr\\xE9e de telle sorte que le proxy d'entr\\xE9e ne peut pas la lire.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Le second saut, le \",(0,n.jsx)(e.strong,{children:\"proxy de sortie\"}),\" (egress proxy), est exploit\\xE9 par un partenaire tiers de diffusion de contenu, et non par Apple. C'est ce proxy qui dialogue effectivement avec le site de destination. Il sait o\\xF9 vous allez. Il ne sait pas qui vous \\xEAtes, car il n'a jamais vu votre adresse IP d'origine ni votre identit\\xE9 iCloud \\u2014 il a re\\xE7u la requ\\xEAte du proxy d'entr\\xE9e d'Apple.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Le r\\xE9sultat est une s\\xE9paration d\\xE9lib\\xE9r\\xE9e des connaissances. Aucune des deux parties ne d\\xE9tient les deux moiti\\xE9s du couple sensible. Apple sait qui, mais pas o\\xF9. Le partenaire sait o\\xF9, mais pas qui. Le site en bout de cha\\xEEne voit l'adresse du proxy de sortie, pas la v\\xF4tre, et Apple propose en plus un r\\xE9glage de localisation approximative pour que l'adresse vue par le site corresponde tout de m\\xEAme grossi\\xE8rement \\xE0 votre r\\xE9gion \\u2014 utile pour les r\\xE9sultats de recherche locaux et l'actualit\\xE9, sans vous localiser pr\\xE9cis\\xE9ment.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"C'est une meilleure conception qu'on ne le dit g\\xE9n\\xE9ralement, et elle ne vous co\\xFBte pratiquement rien de plus si vous payez d\\xE9j\\xE0 pour du stockage iCloud. Si vous voulez un panorama plus large de la fa\\xE7on dont cette fonction s'inscrit parmi les autres protections de la plateforme, notre \",(0,n.jsx)(e.a,{href:\"/blog/macos-tahoe-security-privacy-complete-guide-2025\",children:\"guide complet de s\\xE9curit\\xE9 et de confidentialit\\xE9 macOS Tahoe\"}),\" couvre les fonctionnalit\\xE9s environnantes.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"le-cadrage-essentiel--ce-nest-pas-un-vpn\",children:\"Le cadrage essentiel : ce n'est pas un VPN\"}),`\n`,(0,n.jsx)(e.p,{children:\"Voici le point qui compte pour comprendre la fuite. Private Relay n'est pas un VPN et Apple ne l'a jamais pr\\xE9sent\\xE9 comme tel.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Un VPN, lorsqu'il est correctement configur\\xE9, capture le trafic au niveau de la couche r\\xE9seau. Chaque application de la machine, chaque protocole, chaque socket \\u2014 tout passe par le tunnel parce que la table de routage du syst\\xE8me d'exploitation l'y envoie. C'est pour cela que les VPN sont lourds, qu'ils cassent des choses et qu'ils ont parfois besoin d'une extension noyau ou d'une extension r\\xE9seau syst\\xE8me pour fonctionner.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Private Relay op\\xE8re dans un p\\xE9rim\\xE8tre bien plus \\xE9troit. Il couvre :\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Le trafic de navigation Safari.\"}),\" C'est le cas d'usage phare.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"La r\\xE9solution DNS.\"}),\" Vos requ\\xEAtes DNS sont cens\\xE9es passer par le relais afin que votre r\\xE9solveur ne devienne pas un journal de tous les endroits o\\xF9 vous \\xEAtes all\\xE9.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Une portion du trafic applicatif non chiffr\\xE9.\"}),\" Les requ\\xEAtes HTTP non s\\xE9curis\\xE9es \\xE9mises par des applications sont ramen\\xE9es dans le relais, \\xE0 titre de durcissement.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.p,{children:\"Voil\\xE0 le p\\xE9rim\\xE8tre. Le trafic de Chrome n'y passe pas. Le trafic de votre client de messagerie n'y passe pas. Le trafic chiffr\\xE9 des applications tierces n'y passe pas. Si une application ouvre sa propre connexion avec sa propre pile r\\xE9seau, Private Relay n'est pas sur ce chemin et n'a jamais pr\\xE9tendu l'\\xEAtre.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cette distinction n'est pas un d\\xE9tail technique \\u2014 c'est tout le cadre d'\\xE9valuation des nouvelles d\\xE9couvertes. Deux des trois fuites trouv\\xE9es par les chercheurs sont, \\xE0 un certain niveau, des cas de requ\\xEAtes qui s'\\xE9chappent du p\\xE9rim\\xE8tre trac\\xE9 par Private Relay. Le bug n'est pas que ce p\\xE9rim\\xE8tre existe. Le bug est que des requ\\xEAtes issues de ce que l'utilisateur vit comme \\xAB naviguer dans Safari \\xBB se retrouvent en dehors, de mani\\xE8re invisible, sans aucun signal indiquant que quelque chose a quitt\\xE9 le tunnel.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"ce-que-les-chercheurs-ont-trouv\\xE9\",children:\"Ce que les chercheurs ont trouv\\xE9\"}),`\n`,(0,n.jsx)(e.p,{children:\"Tommy Mysk et Talal Haj Bakry ne sont pas des d\\xE9butants en la mati\\xE8re. Ils ont un long historique de d\\xE9montage des promesses de confidentialit\\xE9 sur les plateformes Apple \\u2014 constatant souvent que l'\\xE9cart entre le discours marketing et l'impl\\xE9mentation est plus large que quiconque ne l'imaginait. Leur m\\xE9thode est constante : construire une d\\xE9monstration, la publier, et laisser l'artefact porter l'argument plut\\xF4t qu'un communiqu\\xE9 de presse.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Leurs travaux sur Private Relay sont dat\\xE9s du \",(0,n.jsx)(e.strong,{children:\"4 ao\\xFBt 2026\"}),\". La couverture m\\xE9diatique est apparue le lendemain, le \",(0,n.jsx)(e.strong,{children:\"5 ao\\xFBt\"}),\", chez MacRumors, 9to5Mac, TechCrunch et The Hacker News, entre autres.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"L'affirmation centrale, en clair : \",(0,n.jsx)(e.strong,{children:\"un site web peut obtenir votre v\\xE9ritable adresse IP m\\xEAme lorsqu'iCloud Private Relay est activ\\xE9\"}),\". Pas via un canal auxiliaire exotique n\\xE9cessitant que vous soyez d'abord attaqu\\xE9, ni en exploitant une mauvaise configuration de votre c\\xF4t\\xE9. Via des fonctionnalit\\xE9s ordinaires de la plateforme web que n'importe quel site peut invoquer.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Les trois vecteurs sont :\"}),`\n`,(0,n.jsxs)(e.ol,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"WebAuthn / passkeys.\"}),\" La requ\\xEAte r\\xE9seau \\xE9mise lors d'une connexion par passkey est d\\xE9clench\\xE9e par le service d'identifiants du syst\\xE8me d'exploitation, et non par Safari : elle n'entre donc jamais dans le chemin relay\\xE9.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Le pr\\xE9chargement DNS.\"}),\" Une fonctionnalit\\xE9 de performance ajout\\xE9e \\xE0 la g\\xE9n\\xE9ration OS 26, qui r\\xE9v\\xE8le le v\\xE9ritable r\\xE9solveur DNS de l'utilisateur.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"WebTransport.\"}),\" Une API de transport plus r\\xE9cente, ajout\\xE9e \\xE0 la g\\xE9n\\xE9ration 26.4, capable d'ouvrir une connexion HTTP/3 directe qui contourne le proxy.\"]}),`\n`]}),`\n`,(0,n.jsxs)(e.p,{children:[\"L'exposition concerne \",(0,n.jsx)(e.strong,{children:\"Safari et la navigation bas\\xE9e sur WebKit\"}),\". Sur iOS, o\\xF9 la plupart des juridictions imposent encore \\xE0 tous les navigateurs d'utiliser WebKit sous le capot, cela signifie que les navigateurs alternatifs sont \\xE9galement touch\\xE9s \\u2014 passer de Safari \\xE0 un autre navigateur iPhone ne change pas le moteur qui fait le travail. Sur Mac, la situation est diff\\xE9rente : l'exposition se concentre sur Safari et sur les applications qui int\\xE8grent WebKit pour leur navigation interne, tandis que les navigateurs non-WebKit comme Chrome et Firefox utilisent leurs propres moteurs et leurs propres piles r\\xE9seau. C'est une diff\\xE9rence significative pour les utilisateurs de Mac, et nous reviendrons sur ce que cela vous apporte \\u2014 et ne vous apporte pas.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"La r\\xE9ponse d'Apple, telle que rapport\\xE9e : l'entreprise a d\\xE9clar\\xE9 \\xE0 404 Media qu'elle \",(0,n.jsx)(e.strong,{children:\"enqu\\xEAtait\"}),\" sur le rapport. 9to5Mac a indiqu\\xE9 que le message de statut d'Apple aux chercheurs signalait qu'elle pr\\xE9voyait de traiter le probl\\xE8me signal\\xE9, avec un correctif vis\\xE9 pour l'\",(0,n.jsx)(e.strong,{children:\"automne 2026\"}),\". C'est l'\\xE9tendue de ce qui a \\xE9t\\xE9 publiquement attribu\\xE9 \\xE0 Apple. Aucune version pr\\xE9cise n'a \\xE9t\\xE9 nomm\\xE9e, aucune date de livraison n'a \\xE9t\\xE9 confirm\\xE9e publiquement par Apple, et aucun CVE n'a \\xE9t\\xE9 attribu\\xE9 \\xE0 l'un des trois vecteurs.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Aucun correctif n'existe aujourd'hui.\"}),\" MacRumors a d\\xE9crit le probl\\xE8me comme inscrit dans le fonctionnement m\\xEAme de WebKit \\u2014 ce qui est une mani\\xE8re juste de caract\\xE9riser une cat\\xE9gorie de bug dont la correction n'est pas un patch sur une fonction, mais une refonte de la question de savoir quel sous-syst\\xE8me poss\\xE8de une requ\\xEAte r\\xE9seau.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"le-vecteur-passkey-expliqu\\xE9-comme-il-faut\",children:\"Le vecteur passkey, expliqu\\xE9 comme il faut\"}),`\n`,(0,n.jsx)(e.p,{children:\"Des trois, c'est celui qui m\\xE9rite d'\\xEAtre compris en d\\xE9tail. C'est le plus surprenant, le plus difficile \\xE0 \\xE9viter, et celui dont l'implication est la plus inconfortable.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"ce-quest-r\\xE9ellement-une-c\\xE9r\\xE9monie-webauthn\",children:\"Ce qu'est r\\xE9ellement une c\\xE9r\\xE9monie WebAuthn\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les passkeys reposent sur WebAuthn, un standard web d'authentification \\xE0 cl\\xE9 publique. Le mod\\xE8le mental que la plupart des gens ont est \\xE0 peu pr\\xE8s juste : au lieu d'envoyer un mot de passe \\xE0 un serveur, votre appareil d\\xE9tient une cl\\xE9 priv\\xE9e, le serveur d\\xE9tient la cl\\xE9 publique correspondante, et se connecter revient \\xE0 prouver que vous contr\\xF4lez la cl\\xE9 priv\\xE9e en signant un d\\xE9fi. Rien de r\\xE9utilisable ne transite sur le r\\xE9seau. Hame\\xE7onner une passkey ne fonctionne pas comme hame\\xE7onner un mot de passe, car la signature est li\\xE9e \\xE0 l'origine.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"La s\\xE9quence d'\\xE9tapes qui accomplit cela s'appelle une \",(0,n.jsx)(e.strong,{children:\"c\\xE9r\\xE9monie\"}),\". Le JavaScript du site appelle le navigateur, le navigateur demande \\xE0 la plateforme de produire ou de v\\xE9rifier un identifiant, vous vous authentifiez localement avec Touch ID ou le code de votre appareil, et une assertion sign\\xE9e revient. Sur les plateformes Apple, l'identifiant lui-m\\xEAme r\\xE9side dans l'app Passwords et se synchronise via iCloud Keychain. Si vous voulez le contexte plus large de ce qu'Apple construit de ce c\\xF4t\\xE9, nous l'avons examin\\xE9 dans notre article sur \",(0,n.jsx)(e.a,{href:\"/blog/macos-27-passwords-app-automatic-password-change-agentic-ai-security-2026\",children:\"l'app Passwords et le changement automatique de mot de passe\"}),\".\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ce \\xE0 quoi presque personne ne pense, c'est qu'une c\\xE9r\\xE9monie n'est pas purement locale. Une partie implique de r\\xE9cup\\xE9rer des donn\\xE9es sur le r\\xE9seau \\u2014 la configuration de la partie utilisatrice (relying party), les donn\\xE9es d'association qui lient le domaine d'un site aux identifiants autoris\\xE9s \\xE0 le servir. Quelque chose doit \\xE9mettre une requ\\xEAte HTTPS pour obtenir cela.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"qui-\\xE9met-la-requ\\xEAte\",children:\"Qui \\xE9met la requ\\xEAte\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est ici que cela d\\xE9rape. Pour citer ce qui a \\xE9t\\xE9 rapport\\xE9 de l'explication des chercheurs :\"}),`\n`,(0,n.jsxs)(e.blockquote,{children:[`\n`,(0,n.jsx)(e.p,{children:\"WebKit confie les c\\xE9r\\xE9monies WebAuthn au service d'identifiants du syst\\xE8me d'exploitation, qui \\xE9met lui-m\\xEAme la requ\\xEAte HTTPS, directement depuis l'appareil et sans avoir connaissance du proxy configur\\xE9 par l'application h\\xF4te.\"}),`\n`]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Lisez attentivement, car chaque proposition compte. WebKit n'ex\\xE9cute pas la c\\xE9r\\xE9monie lui-m\\xEAme ; il la d\\xE9l\\xE8gue \\xE0 un service syst\\xE8me qui d\\xE9tient les identifiants. Ce service \\xE9met ensuite sa propre requ\\xEAte HTTPS sortante. Et surtout, il est \",(0,n.jsx)(e.em,{children:\"sans connaissance du proxy configur\\xE9 par l'application h\\xF4te\"}),\" \\u2014 le service d'identifiants ne sait pas et ne se soucie pas du fait que Safari a \\xE9t\\xE9 configur\\xE9 pour router son trafic par le chemin \\xE0 deux sauts de Private Relay. C'est un processus diff\\xE9rent, avec une configuration r\\xE9seau diff\\xE9rente, qui fait ce pour quoi il a \\xE9t\\xE9 con\\xE7u.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"La cons\\xE9quence, toujours selon ce qui a \\xE9t\\xE9 rapport\\xE9 :\"}),`\n`,(0,n.jsxs)(e.blockquote,{children:[`\n`,(0,n.jsx)(e.p,{children:\"Parce que la requ\\xEAte est \\xE9mise par le service d'identifiants du syst\\xE8me d'exploitation plut\\xF4t que par Safari, elle n'entre jamais dans le chemin relay\\xE9 de Private Relay.\"}),`\n`]}),`\n`,(0,n.jsx)(e.p,{children:\"La requ\\xEAte part donc directement de votre appareil, depuis votre v\\xE9ritable adresse IP, vers un serveur contr\\xF4l\\xE9 par le site web. Le site voit la connexion. Il journalise l'adresse. Private Relay tournait pendant tout ce temps et n'\\xE9tait simplement pas sur ce chemin.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"D'un point de vue architectural, on comprend comment cela a pu arriver sans n\\xE9gligence de personne. La gestion des identifiants \",(0,n.jsx)(e.em,{children:\"devrait\"}),\" \\xEAtre isol\\xE9e du navigateur \\u2014 cette s\\xE9paration est une propri\\xE9t\\xE9 de s\\xE9curit\\xE9, pas une erreur. Garder le mat\\xE9riel cryptographique hors d'un processus qui ex\\xE9cute du JavaScript non fiable provenant de sites arbitraires est exactement la bonne approche. Le probl\\xE8me est que l'isolation a \\xE9t\\xE9 trac\\xE9e pour la s\\xE9curit\\xE9 et que personne n'a redessin\\xE9 la fronti\\xE8re de confidentialit\\xE9 pour qu'elle corresponde. Le service d'identifiants a h\\xE9rit\\xE9 de l'isolation de processus mais pas de la configuration du proxy.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"le-point-le-plus-tranchant--vous-navez-pas-besoin-davoir-une-passkey\",children:\"Le point le plus tranchant : vous n'avez pas besoin d'avoir une passkey\"}),`\n`,(0,n.jsx)(e.p,{children:\"Voici le d\\xE9tail qui transforme cela d'une curiosit\\xE9 architecturale en v\\xE9ritable probl\\xE8me de confidentialit\\xE9.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Les chercheurs notent que cela se d\\xE9clenche sur les sites qui \",(0,n.jsx)(e.strong,{children:\"utilisent les passkeys ou font simplement semblant de les utiliser\"}),\". Un site peut d\\xE9clencher la c\\xE9r\\xE9monie sans que vous meniez aucune connexion \\xE0 son terme. Vous n'avez pas besoin d'avoir une passkey pour ce site. Vous n'avez m\\xEAme pas besoin d'y avoir un compte. Vous n'avez pas besoin de cliquer sur un bouton de connexion, d'approuver une invite Touch ID ni d'interagir avec quoi que ce soit.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Une page peut invoquer l'API et la requ\\xEAte r\\xE9seau part. Que la c\\xE9r\\xE9monie finisse par r\\xE9ussir, \\xE9chouer ou \\xEAtre abandonn\\xE9e n'a aucune importance pour la fuite, car la fuite se produit au moment de la requ\\xEAte, avant que la moindre logique d'authentification n'entre en jeu.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cela inverse le sens de la fonctionnalit\\xE9. WebAuthn existe pour rendre l'authentification plus s\\xFBre. Dans cette configuration, la simple invocation de la machinerie d'authentification devient un d\\xE9clencheur de d\\xE9sanonymisation que n'importe quelle page peut actionner, silencieusement, au chargement. Un traqueur n'a besoin de compromettre quoi que ce soit. Il lui suffit d'inclure un fragment de code qui d\\xE9marre une c\\xE9r\\xE9monie que personne ne terminera jamais, et il r\\xE9colte l'IP r\\xE9elle de chaque utilisateur de Private Relay qui charge la page.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Aucun signal visible par l'utilisateur n'accompagne cela. Pas d'invite, pas de feuille d'autorisation, pas d'indicateur dans la barre d'outils. L'hypoth\\xE8se de conception \\xE9tait que d\\xE9marrer une c\\xE9r\\xE9monie d'identifiants est un acte b\\xE9nin, et dans des circonstances normales c'est le cas.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Illustration du flux d'authentification par passkey\",src:\"/images/blog/icloud-private-relay-leaking-real-ip-address-passkeys-webkit-mac-2026/content-1.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h2,{id:\"le-vecteur-du-pr\\xE9chargement-dns\",children:\"Le vecteur du pr\\xE9chargement DNS\"}),`\n`,(0,n.jsx)(e.p,{children:\"La deuxi\\xE8me fuite a un impact moindre mais elle est instructive, car elle montre le m\\xEAme sch\\xE9ma sous-jacent dans un sous-syst\\xE8me compl\\xE8tement diff\\xE9rent.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE0-quoi-sert-le-pr\\xE9chargement\",children:\"\\xC0 quoi sert le pr\\xE9chargement\"}),`\n`,(0,n.jsx)(e.p,{children:\"Charger une page web est une cha\\xEEne de r\\xE9solutions d\\xE9pendantes. Le navigateur r\\xE9cup\\xE8re le HTML, d\\xE9couvre qu'il r\\xE9f\\xE9rence une feuille de style sur un domaine, une police sur un deuxi\\xE8me, un script d'analytics sur un troisi\\xE8me et des images sur un quatri\\xE8me. Chacun de ces domaines n\\xE9cessite une r\\xE9solution DNS avant m\\xEAme qu'une connexion puisse commencer, et la r\\xE9solution DNS prend du temps \\u2014 quelques dizaines de millisecondes quand tout va bien, consid\\xE9rablement plus sur une mauvaise connexion mobile.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le pr\\xE9chargement DNS est une optimisation simple pour cela. Pendant que le navigateur analyse encore la page, il regarde en avant les liens et ressources r\\xE9f\\xE9renc\\xE9s et r\\xE9sout ces noms d'h\\xF4te \\xE0 l'avance. Quand l'analyseur arrive au point o\\xF9 une connexion est r\\xE9ellement n\\xE9cessaire, l'adresse est d\\xE9j\\xE0 en cache et la connexion d\\xE9marre imm\\xE9diatement. C'est le genre de changement qui se traduit par une am\\xE9lioration r\\xE9elle des m\\xE9triques de chargement de page, ce qui explique pr\\xE9cis\\xE9ment pourquoi les ing\\xE9nieurs de navigateurs continuent d'ajouter ce type de fonctionnalit\\xE9.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Cette impl\\xE9mentation particuli\\xE8re est arriv\\xE9e avec la \",(0,n.jsx)(e.strong,{children:\"g\\xE9n\\xE9ration OS 26\"}),\" \\u2014 les versions de l'\\xE8re Tahoe sur l'ensemble des plateformes Apple.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"ce-quil-expose\",children:\"Ce qu'il expose\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Les chercheurs ont constat\\xE9 que ces requ\\xEAtes de pr\\xE9chargement r\\xE9v\\xE8lent \",(0,n.jsx)(e.strong,{children:\"le v\\xE9ritable r\\xE9solveur DNS de l'utilisateur\"}),\".\"]}),`\n`,(0,n.jsx)(e.p,{children:\"En fonctionnement normal de Private Relay, le DNS est cens\\xE9 faire partie de ce que couvre le relais. C'est d\\xE9lib\\xE9r\\xE9 et important : si vos requ\\xEAtes partaient en clair vers le r\\xE9solveur de votre FAI, celui-ci d\\xE9tiendrait une liste horodat\\xE9e de chaque domaine consult\\xE9, soit un historique de navigation quasi complet, quelle que soit la qualit\\xE9 du chiffrement du trafic lui-m\\xEAme. Private Relay existe en grande partie pour briser exactement ce lien.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Lorsque les requ\\xEAtes de pr\\xE9chargement s'\\xE9chappent de ce chemin, elles partent vers le r\\xE9solveur que votre appareil est effectivement configur\\xE9 \\xE0 utiliser \\u2014 g\\xE9n\\xE9ralement celui fourni par DHCP sur votre r\\xE9seau actuel, ce qui signifie le plus souvent votre FAI, votre employeur, ou l'exploitant du Wi-Fi sur lequel vous \\xEAtes.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce qui fuit ici est plus \\xE9troit qu'une adresse IP brute. Un observateur apprend quel r\\xE9solveur vous utilisez, ce qui est un signal fort sur le r\\xE9seau o\\xF9 vous \\xEAtes et souvent sur le fournisseur qui vous dessert. Combin\\xE9 \\xE0 d'autres signaux, cela contribue \\xE0 une empreinte. Cela signifie \\xE9galement que l'exploitant du r\\xE9solveur voit des r\\xE9solutions qui \\xE9taient cens\\xE9es lui \\xEAtre masqu\\xE9es.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"C'est un probl\\xE8me plus petit que le vecteur passkey et il produit un signal plus grossier. Ce n'est pas rien pour autant. Si vous vous \\xEAtes d\\xE9j\\xE0 battu avec le comportement DNS de macOS en faisant tourner un tunnel, une partie de tout ceci vous semblera famili\\xE8re \\u2014 l'interaction entre les r\\xE9solveurs syst\\xE8me et le trafic relay\\xE9 est une source persistante de confusion, et notre \",(0,n.jsx)(e.a,{href:\"/blog/macos-vpn-troubleshooting-complete-guide-2025\",children:\"guide de d\\xE9pannage VPN sur macOS\"}),\" couvre la forme g\\xE9n\\xE9rale de ces probl\\xE8mes.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"le-vecteur-webtransport\",children:\"Le vecteur WebTransport\"}),`\n`,(0,n.jsx)(e.p,{children:\"La troisi\\xE8me fuite met en jeu la plus r\\xE9cente des trois technologies, et c'est l'illustration la plus nette du probl\\xE8me structurel.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"\\xE0-quoi-sert-webtransport\",children:\"\\xC0 quoi sert WebTransport\"}),`\n`,(0,n.jsx)(e.p,{children:\"WebTransport est une API web moderne de communication bidirectionnelle \\xE0 faible latence entre un navigateur et un serveur. Voyez-la comme le successeur des WebSockets, b\\xE2tie sur HTTP/3 et QUIC plut\\xF4t que sur TCP.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Sa raison d'\\xEAtre est qu'une cat\\xE9gorie significative d'applications web a besoin de mieux que du requ\\xEAte/r\\xE9ponse. Les jeux multijoueurs doivent pousser de l'\\xE9tat en permanence et tol\\xE8rent mieux une mise \\xE0 jour perdue de temps en temps qu'un d\\xE9lai. Les applications vid\\xE9o et audio en direct ont le m\\xEAme besoin. Les \\xE9diteurs collaboratifs, les outils de bureau \\xE0 distance, les tableaux de bord de t\\xE9l\\xE9m\\xE9trie en temps r\\xE9el \\u2014 tous veulent un canal persistant \\xE0 faible surcharge, avec la possibilit\\xE9 d'envoyer des datagrammes non fiables quand la fiabilit\\xE9 ne vaut pas son co\\xFBt en latence.\"}),`\n`,(0,n.jsx)(e.p,{children:\"WebTransport apporte cela en s'appuyant sur QUIC, un transport bas\\xE9 sur UDP avec chiffrement int\\xE9gr\\xE9 et sans blocage de t\\xEAte de ligne entre flux. C'est de la tr\\xE8s bonne ing\\xE9nierie pour le probl\\xE8me qu'elle r\\xE9sout.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"L'impl\\xE9mentation d'Apple est arriv\\xE9e avec la \",(0,n.jsx)(e.strong,{children:\"g\\xE9n\\xE9ration 26.4\"}),\".\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"pourquoi-une-connexion-http3-directe-met-le-proxy-en-\\xE9chec\",children:\"Pourquoi une connexion HTTP/3 directe met le proxy en \\xE9chec\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le proxying de Private Relay est construit autour du trafic web conventionnel \\u2014 les sch\\xE9mas de requ\\xEAtes que produit le chemin r\\xE9seau normal de Safari. Ceux-l\\xE0 passent par la cha\\xEEne \\xE0 deux sauts entr\\xE9e/sortie.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Les chercheurs ont constat\\xE9 que WebTransport peut ouvrir une \",(0,n.jsx)(e.strong,{children:\"connexion HTTP/3 directe\"}),\" qui contourne le proxy. Une fois cette connexion \\xE9tablie directement de l'appareil au serveur de destination, le serveur voit l'adresse r\\xE9elle de l'appareil, exactement comme pour n'importe quelle connexion non relay\\xE9e.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Le sch\\xE9ma est ici identique au cas des passkeys, alors m\\xEAme que le code impliqu\\xE9 est totalement ind\\xE9pendant. Une nouvelle capacit\\xE9 a \\xE9t\\xE9 ajout\\xE9e \\xE0 la plateforme. Cette capacit\\xE9 ouvre des connexions r\\xE9seau. La couche de proxying a \\xE9t\\xE9 b\\xE2tie avec un mod\\xE8le de ce que signifie \\xAB connexion r\\xE9seau \\xBB qui pr\\xE9c\\xE8de la nouvelle capacit\\xE9. Rien ne relie les deux, et la nouvelle capacit\\xE9 op\\xE8re discr\\xE8tement en dehors du p\\xE9rim\\xE8tre.\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est pourquoi le cadrage de MacRumors \\u2014 le probl\\xE8me est inscrit dans le fonctionnement m\\xEAme de WebKit \\u2014 d\\xE9passe la simple rh\\xE9torique. L'\\xE9volution du moteur ne cesse d'ajouter des sous-syst\\xE8mes capables de parler au r\\xE9seau. \\xC0 moins que la fronti\\xE8re du proxy ne soit appliqu\\xE9e \\xE0 un niveau que tous doivent traverser, chaque nouveau sous-syst\\xE8me est un candidat au m\\xEAme bug. Corriger trois fuites sp\\xE9cifiques n'emp\\xEAche pas, en soi, l'apparition d'une quatri\\xE8me.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"comment-tester-votre-propre-mac\",children:\"Comment tester votre propre Mac\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les chercheurs ont construit un outil de test public, ce qui est la chose la plus utile de cette divulgation du point de vue du lecteur. Vous n'avez \\xE0 croire personne sur parole.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"L'outil se trouve \\xE0 l'adresse \",(0,n.jsx)(e.strong,{children:(0,n.jsx)(e.code,{children:\"https://leaks.psylo.app/\"})}),\".\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"ex\\xE9cuter-le-test\",children:\"Ex\\xE9cuter le test\"}),`\n`,(0,n.jsxs)(e.ol,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Confirmez d'abord que Private Relay est activ\\xE9.\"}),\" Inutile de tester la fuite si le relais ne tourne pas. Ouvrez R\\xE9glages Syst\\xE8me, cliquez sur votre compte Apple en haut de la barre lat\\xE9rale, s\\xE9lectionnez iCloud, puis Private Relay, et confirmez que la fonction est activ\\xE9e. Passez directement \\xE0 la section sur la v\\xE9rification de l'\\xE9tat de Private Relay si vous avez un doute \\u2014 la fonction se d\\xE9sactive plus souvent que la plupart des gens ne le r\\xE9alisent.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Notez \\xE0 quoi devrait ressembler votre IP relay\\xE9e.\"}),\" N'importe quel service du type \\xAB quelle est mon IP \\xBB, charg\\xE9 dans Safari avec le relais actif, vous affichera une adresse appartenant au partenaire de sortie d'Apple plut\\xF4t que la v\\xF4tre. C'est votre r\\xE9f\\xE9rence : l'adresse qu'un site est cens\\xE9 voir.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Visitez la page de test dans Safari.\"}),\" Utilisez Safari sp\\xE9cifiquement, puisque les vecteurs sont propres \\xE0 WebKit sur macOS. L'outil ex\\xE9cute ses v\\xE9rifications et rapporte ce qu'il a pu observer de votre connexion.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Comparez les r\\xE9sultats.\"}),\" Un r\\xE9sultat propre signifie que les adresses observ\\xE9es par l'outil via chaque vecteur test\\xE9 correspondent \\xE0 votre adresse relay\\xE9e \\u2014 le proxy a tenu. Un r\\xE9sultat fuyant signifie qu'au moins un vecteur a fait surgir une adresse qui n'est pas celle du relais, et cette adresse est la v\\xF4tre.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Testez sur chaque r\\xE9seau qui compte pour vous.\"}),\" Les r\\xE9sultats peuvent diff\\xE9rer entre votre r\\xE9seau domestique, un r\\xE9seau d'entreprise et un Wi-Fi public, notamment parce que la disponibilit\\xE9 m\\xEAme de Private Relay varie d'un r\\xE9seau \\xE0 l'autre.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.h3,{id:\"la-mise-en-garde-honn\\xEAte\",children:\"La mise en garde honn\\xEAte\"}),`\n`,(0,n.jsx)(e.p,{children:\"Un outil de test vous renseigne sur les vecteurs qu'il impl\\xE9mente. Il ne vous renseigne pas sur tous les vecteurs possibles.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cela compte plus que l'avertissement d'usage habituel, \\xE0 cause du point structurel \\xE9voqu\\xE9 plus haut. Si le probl\\xE8me de fond est que de nouveaux sous-syst\\xE8mes WebKit peuvent ouvrir des connexions r\\xE9seau hors de la fronti\\xE8re du proxy, alors l'ensemble des vecteurs n'est pas fig\\xE9 \\u2014 c'est simplement ce qui a \\xE9t\\xE9 d\\xE9couvert jusqu'ici. Un r\\xE9sultat propre sur un outil qui v\\xE9rifie trois choses signifie que ces trois choses n'ont pas fui lors de ce test, sur ce r\\xE9seau, \\xE0 cet instant. C'est nettement mieux que de ne pas savoir. Ce n'est pas un certificat d'anonymat.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Traitez ce test comme n'importe quel r\\xE9sultat de s\\xE9curit\\xE9 n\\xE9gatif : comme l'absence de preuve pour un ensemble pr\\xE9cis de probl\\xE8mes, non comme une preuve d'absence en g\\xE9n\\xE9ral.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"ce-que-vous-pouvez-r\\xE9ellement-faire-d\\xE8s-maintenant\",children:\"Ce que vous pouvez r\\xE9ellement faire d\\xE8s maintenant\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il n'y a aucun correctif \\xE0 installer. Ce qui suit est class\\xE9 approximativement par utilit\\xE9 r\\xE9elle, et chaque point indique ce qu'il vous co\\xFBte, car une mesure d'att\\xE9nuation dont le compromis n'est pas \\xE9nonc\\xE9 rel\\xE8ve de l'argumentaire commercial plut\\xF4t que du conseil.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"1-utilisez-un-vrai-vpn-si-votre-mod\\xE8le-de-menace-le-justifie\",children:\"1. Utilisez un vrai VPN si votre mod\\xE8le de menace le justifie\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est la mesure d'att\\xE9nuation rapport\\xE9e par la presse, et la seule option de cette liste qui traite le probl\\xE8me \\xE0 la bonne couche. Un VPN correctement configur\\xE9 capture le trafic au niveau r\\xE9seau, en dessous du point o\\xF9 op\\xE8rent ces trois vecteurs. La requ\\xEAte HTTPS du service d'identifiants, la requ\\xEAte DNS de pr\\xE9chargement et la connexion QUIC de WebTransport passent toutes par la pile r\\xE9seau du syst\\xE8me d'exploitation, et un VPN au niveau syst\\xE8me se place sous l'ensemble.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Le compromis est r\\xE9el et vous devriez le formuler \\xE0 voix haute avant d'agir : \",(0,n.jsx)(e.strong,{children:\"vous d\\xE9placez votre confiance d'Apple vers un \\xE9diteur de VPN.\"}),\" La conception \\xE0 deux sauts de Private Relay est sp\\xE9cifiquement construite pour qu'aucune partie ne voie \\xE0 la fois votre identit\\xE9 et vos destinations. Un VPN classique \\xE0 saut unique n'a pas cette propri\\xE9t\\xE9. Votre fournisseur de VPN voit les deux. Vous pariez sur sa politique de journalisation, sa juridiction, sa s\\xE9curit\\xE9 op\\xE9rationnelle et son honn\\xEAtet\\xE9, et contrairement \\xE0 l'architecture d'Apple, ce pari n'est pas garanti par la conception \\u2014 il est garanti par une promesse dans une politique de confidentialit\\xE9.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ce n'est pas un argument contre les VPN. C'est un argument pour en choisir un d\\xE9lib\\xE9r\\xE9ment : audit\\xE9 de fa\\xE7on ind\\xE9pendante, clair sur sa juridiction, avec un mod\\xE8le \\xE9conomique qui ne d\\xE9pend pas de vos donn\\xE9es. Si vous prenez cette voie, attendez-vous \\xE0 passer un moment sur des bizarreries de configuration ; notre \",(0,n.jsx)(e.a,{href:\"/blog/macos-vpn-troubleshooting-complete-guide-2025\",children:\"guide de d\\xE9pannage VPN sur macOS\"}),\" couvre les modes de d\\xE9faillance qui pi\\xE8gent les gens sp\\xE9cifiquement sur macOS.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"2-ne-d\\xE9sactivez-pas-private-relay\",children:\"2. Ne d\\xE9sactivez pas Private Relay\"}),`\n`,(0,n.jsx)(e.p,{children:\"C'est le r\\xE9flexe le plus courant, et il est \\xE0 l'envers.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Private Relay fait toujours un vrai travail face aux observateurs passifs. Votre FAI ne peut toujours pas construire un journal de navigation \\xE0 partir de vos requ\\xEAtes DNS pour tout ce qui passe effectivement par le relais. L'exploitant du Wi-Fi du caf\\xE9 ne peut toujours pas observer les sites que vous visitez. La grande majorit\\xE9 de votre trafic Safari est toujours relay\\xE9e et masque toujours votre adresse aux sites que vous consultez. Les fuites sont des chemins sp\\xE9cifiques qui s'\\xE9chappent, et elles exigent que le site tente activement quelque chose \\u2014 une page doit invoquer une c\\xE9r\\xE9monie passkey, ou utiliser WebTransport, ou d\\xE9clencher un comportement de pr\\xE9chargement.\"}),`\n`,(0,n.jsx)(e.p,{children:\"D\\xE9sactiver le relais ne referme aucune de ces fuites. Cela ne fait que r\\xE9introduire toute l'exposition que le relais \\xE9vitait avec succ\\xE8s. Vous vous retrouvez avec strictement moins de confidentialit\\xE9 qu'avant, en \\xE9change de rien.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"3-soyez-d\\xE9lib\\xE9r\\xE9-sur-les-sites-auxquels-vous-laissez-d\\xE9marrer-une-c\\xE9r\\xE9monie\",children:\"3. Soyez d\\xE9lib\\xE9r\\xE9 sur les sites auxquels vous laissez d\\xE9marrer une c\\xE9r\\xE9monie\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce conseil est plus faible qu'il n'en a l'air, et il vaut la peine d'\\xEAtre honn\\xEAte sur les raisons.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le vecteur passkey se d\\xE9clenche sans interaction. Vous ne pouvez pas refuser une c\\xE9r\\xE9monie dont on ne vous a jamais parl\\xE9. Il n'y a donc aucun r\\xE9glage \\xE0 basculer et aucune invite \\xE0 refuser.\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Ce qu'il vous reste, c'est le contr\\xF4le sur \",(0,n.jsx)(e.em,{children:\"les pages que vous chargez tout court\"}),\". Si vous faites quelque chose o\\xF9 l'exposition de votre IP compte r\\xE9ellement, ayez conscience que toute page ouverte \\u2014 y compris celle sur laquelle vous atterrissez depuis un lien, y compris une vue de navigateur int\\xE9gr\\xE9e dans une app \\u2014 est une page susceptible d'invoquer le vecteur. Cela plaide pour le cloisonnement : effectuez la navigation sensible dans un environnement d\\xE9lib\\xE9r\\xE9ment choisi plut\\xF4t que dans la m\\xEAme session que tout le reste. Cela ne plaide pas pour une liste de sites \\xE0 \\xE9viter, car les sites qui exploiteraient cela ne sont pas de ceux qui s'annoncent.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"4-comprenez-ce-que-le-mode-isolement-fait--et-ne-fait-pas--ici\",children:\"4. Comprenez ce que le mode Isolement fait \\u2014 et ne fait pas \\u2014 ici\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le mode Isolement (Lockdown Mode) est le r\\xE9glage de protection extr\\xEAme d'Apple pour les utilisateurs expos\\xE9s \\xE0 des attaques cibl\\xE9es. Il d\\xE9sactive une longue liste de technologies web, dont la compilation JavaScript \\xE0 la vol\\xE9e et diverses fonctionnalit\\xE9s complexes, sur le principe qu'une surface d'attaque que vous n'avez pas ne peut pas \\xEAtre exploit\\xE9e.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il m\\xE9rite d'\\xEAtre envisag\\xE9 si vous appartenez \\xE0 la population pour laquelle il a \\xE9t\\xE9 con\\xE7u, puisque toute son approche consiste \\xE0 retirer des fonctionnalit\\xE9s plut\\xF4t qu'\\xE0 corriger des bugs pr\\xE9cis, et une fonctionnalit\\xE9 retir\\xE9e ne peut pas fuiter. Mais soyez prudent dans le raisonnement : le mode Isolement est une posture de durcissement, pas un correctif cibl\\xE9 pour ces trois vecteurs, et aucun article de presse ne le pr\\xE9sente comme un rem\\xE8de \\xE0 ce probl\\xE8me. Consid\\xE9rez-le comme une chose raisonnable \\xE0 \\xE9valuer si vous en \\xEAtes d\\xE9j\\xE0 un candidat, pas comme la r\\xE9ponse \\xE0 ce probl\\xE8me pr\\xE9cis. Il casse aussi une grande partie de la navigation web ordinaire, ce qui est voulu et explique pourquoi Apple ne le recommande pas pour un usage g\\xE9n\\xE9ral.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"5-sachez-ce-que-change-le-changement-de-navigateur--et-o\\xF9-cela-ne-change-rien\",children:\"5. Sachez ce que change le changement de navigateur \\u2014 et o\\xF9 cela ne change rien\"}),`\n`,(0,n.jsx)(e.p,{children:\"La plateforme compte, ici.\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Sur iOS\"}),\", changer de navigateur n'aide pas. La plupart des juridictions imposent encore \\xE0 tout navigateur d'utiliser WebKit comme moteur : le navigateur alternatif que vous installez n'est donc qu'une interface diff\\xE9rente sur le m\\xEAme moteur, avec les m\\xEAmes vecteurs. Chrome sur iPhone n'est pas le moteur de Chrome.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Sur Mac\"}),\", la situation diff\\xE8re r\\xE9ellement. Les navigateurs non-WebKit utilisent leurs propres moteurs et leurs propres piles r\\xE9seau : ils se comportent donc diff\\xE9remment vis-\\xE0-vis de ces vecteurs sp\\xE9cifiques issus de WebKit. Mais notez bien ce que cela vous apporte et ce que cela ne vous apporte pas : Private Relay ne relaie de toute fa\\xE7on pas le trafic des navigateurs autres que Safari. Passer \\xE0 Chrome ou Firefox sur macOS ne vous place pas derri\\xE8re le relais \\u2014 cela vous en fait sortir enti\\xE8rement. Vous n'avez pas corrig\\xE9 une fuite ; vous avez renonc\\xE9 \\xE0 la protection. Ce n'est une am\\xE9lioration que si vous l'associez \\xE0 un VPN qui couvre tout. Si vous passez l'essentiel de votre temps dans Safari et voulez en tirer davantage, notre \",(0,n.jsx)(e.a,{href:\"/blog/safari-tahoe-power-user-guide-2025\",children:\"guide Safari pour utilisateurs avanc\\xE9s\"}),\" m\\xE9rite mieux votre attention qu'une migration de navigateur entreprise pour la mauvaise raison.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"Ne vous promettez pas trop avec tout ceci. Les options 2 \\xE0 5 r\\xE9duisent l'exposition ou \\xE9vitent d'aggraver les choses. Seule l'option 1 traite les vecteurs \\xE0 la couche o\\xF9 ils op\\xE8rent, et elle le fait en substituant une relation de confiance \\xE0 une autre.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsx)(e.img,{alt:\"Illustration des couches de confidentialit\\xE9 r\\xE9seau\",src:\"/images/blog/icloud-private-relay-leaking-real-ip-address-passkeys-webkit-mac-2026/content-2.webp\",width:\"1024\",height:\"541\"})}),`\n`,(0,n.jsx)(e.h2,{id:\"qui-devrait-r\\xE9ellement-sen-pr\\xE9occuper\",children:\"Qui devrait r\\xE9ellement s'en pr\\xE9occuper\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les histoires de vie priv\\xE9e r\\xE9compensent l'hyst\\xE9rie et punissent le sens des proportions ; soyons donc pr\\xE9cis sur qui est concern\\xE9 et dans quelle mesure.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"pour-la-plupart-des-gens-cest-une-\\xE9rosion-pas-une-urgence\",children:\"Pour la plupart des gens, c'est une \\xE9rosion, pas une urgence\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous \\xEAtes un utilisateur ordinaire avec un mod\\xE8le de menace ordinaire, voici l'\\xE9valuation honn\\xEAte : une fonctionnalit\\xE9 que vous payez en fait moins que promis dans des circonstances pr\\xE9cises, ce qui est aga\\xE7ant et m\\xE9rite qu'Apple corrige, et la cons\\xE9quence pratique pour vous est proche de z\\xE9ro.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Regardez ce qui fuit r\\xE9ellement. Votre adresse IP, vers un site qui est d\\xE9lib\\xE9r\\xE9ment all\\xE9 la chercher. La plupart des sites disposent d\\xE9j\\xE0 d'identifiants bien meilleurs vous concernant \\u2014 vous \\xEAtes connect\\xE9, vous avez des cookies, vous avez une empreinte de navigateur consid\\xE9rablement plus distinctive qu'une adresse IP qui change quand vous passez d'un r\\xE9seau \\xE0 l'autre. Pour l'\\xE9cosyst\\xE8me publicitaire, une adresse IP est un signal d'appoint, pas le joyau de la couronne. Les entreprises qui exploitent cela, s'il y en a, sont celles qui vous pistent d\\xE9j\\xE0 de fa\\xE7on exhaustive par des moyens que Private Relay n'allait de toute fa\\xE7on jamais arr\\xEAter.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce que vous perdez, c'est une couche de d\\xE9fense en profondeur que vous aviez de bonnes raisons de croire pr\\xE9sente. C'est une r\\xE9clamation l\\xE9gitime. Ce n'est pas une raison de changer votre fa\\xE7on de vivre.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"qui-doit-agir\",children:\"Qui doit agir\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les personnes qui doivent prendre cela au s\\xE9rieux sont celles dont le mod\\xE8le de menace inclut r\\xE9ellement la d\\xE9sanonymisation par adresse IP. Concr\\xE8tement :\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Les journalistes\"}),\" travaillant avec des sources, lorsque le lien entre un reporter et un lieu ou un r\\xE9seau est lui-m\\xEAme une information sensible.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Les militants et organisateurs\"}),\" dans des environnements o\\xF9 une adresse r\\xE9seau correspond \\xE0 une identit\\xE9 r\\xE9elle porteuse de risque.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Les personnes cherchant \\xE0 \\xE9chapper \\xE0 un individu pr\\xE9cis\"}),\" \\u2014 un harceleur, un ex-partenaire violent, quelqu'un ayant les moyens techniques et la motivation d'exploiter un site ou un lien et de lire ce qui s'y connecte. C'est le cas o\\xF9 une adresse IP est r\\xE9ellement dangereuse, car elle peut approcher une localisation et confirmer qu'une personne donn\\xE9e a consult\\xE9 un lien donn\\xE9.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Les personnes dont l'employeur ou l'institution ne devrait pas savoir ce qu'elles recherchent\"}),\", en particulier sur un r\\xE9seau contr\\xF4l\\xE9 par cette institution.\"]}),`\n`]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Si vous appartenez \\xE0 l'un de ces groupes, la posture correcte n'a jamais \\xE9t\\xE9 Private Relay seul. C'\\xE9tait un VPN bien choisi ou Tor, un cloisonnement appropri\\xE9, et l'hypoth\\xE8se que toute fonctionnalit\\xE9 de confort peut \\xE9chouer. Cette divulgation est un rappel de ce principe plut\\xF4t qu'un changement de celui-ci. Notre \",(0,n.jsx)(e.a,{href:\"/blog/mac-security-privacy-guide-2026\",children:\"guide de s\\xE9curit\\xE9 et de confidentialit\\xE9 sur Mac\"}),\" approfondit la construction d'un dispositif en couches, et si vous r\\xE9fl\\xE9chissez \\xE0 r\\xE9duire votre exposition plus largement, \",(0,n.jsx)(e.a,{href:\"/blog/local-ai-apps-mac-privacy-guide-2026\",children:\"faire tourner les outils d'IA en local plut\\xF4t que dans le cloud\"}),\" applique le m\\xEAme raisonnement \\xE0 une autre partie de la pile.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"le-terrain-interm\\xE9diaire\",children:\"Le terrain interm\\xE9diaire\"}),`\n`,(0,n.jsx)(e.p,{children:\"Entre \\xAB cela ne vous concerne pas \\xBB et \\xAB votre s\\xE9curit\\xE9 en d\\xE9pend \\xBB se trouve tout le monde, et la posture raisonnable y est le calibrage plut\\xF4t que l'action. Comprenez que la couverture de Private Relay est plus \\xE9troite que le mod\\xE8le mental que la plupart des gens ont. Cessez de le traiter comme un VPN, car il n'en est pas un et vous disposez d\\xE9sormais d'une d\\xE9monstration concr\\xE8te de la diff\\xE9rence. Gardez-le activ\\xE9, puisqu'il aide toujours contre les observateurs pour lesquels il a \\xE9t\\xE9 con\\xE7u. Et si vous vous retrouvez \\xE0 faire quelque chose o\\xF9 \\xEAtre identifi\\xE9 compterait vraiment, saisissez un outil con\\xE7u pour ce travail plut\\xF4t que de vous en remettre \\xE0 celui qui se trouve d\\xE9j\\xE0 activ\\xE9.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"comment-v\\xE9rifier-si-private-relay-est-seulement-actif\",children:\"Comment v\\xE9rifier si Private Relay est seulement actif\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il y a de fortes chances que Private Relay soit actuellement d\\xE9sactiv\\xE9 sur au moins un r\\xE9seau que vous utilisez, sans que vous en ayez la moindre id\\xE9e. La fonction se d\\xE9sactive d'elle-m\\xEAme dans plusieurs situations, sans grand c\\xE9r\\xE9monial : avant de s'inqui\\xE9ter des fuites, il vaut donc la peine de confirmer que le relais tourne tout court.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"le-r\\xE9glage-principal\",children:\"Le r\\xE9glage principal\"}),`\n`,(0,n.jsx)(e.p,{children:\"Sur un Mac :\"}),`\n`,(0,n.jsxs)(e.ol,{children:[`\n`,(0,n.jsxs)(e.li,{children:[\"Ouvrez \",(0,n.jsx)(e.strong,{children:\"R\\xE9glages Syst\\xE8me\"}),\".\"]}),`\n`,(0,n.jsxs)(e.li,{children:[\"Cliquez sur \",(0,n.jsx)(e.strong,{children:\"votre compte Apple\"}),\" en haut de la barre lat\\xE9rale.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[\"S\\xE9lectionnez \",(0,n.jsx)(e.strong,{children:\"iCloud\"}),\".\"]}),`\n`,(0,n.jsxs)(e.li,{children:[\"Trouvez \",(0,n.jsx)(e.strong,{children:\"Private Relay\"}),\" dans la liste et ouvrez-le.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[\"Confirmez que l'interrupteur est activ\\xE9. Pendant que vous y \\xEAtes, v\\xE9rifiez le r\\xE9glage \",(0,n.jsx)(e.strong,{children:\"Localisation de l'adresse IP\"}),\" \\u2014 \\xAB Conserver la localisation g\\xE9n\\xE9rale \\xBB maintient le fonctionnement des contenus r\\xE9gionaux, tandis que \\xAB Utiliser le pays et le fuseau horaire \\xBB \\xE9largit davantage votre localisation apparente.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.p,{children:\"Si vous ne voyez pas Private Relay du tout, l'explication habituelle est que vous n'\\xEAtes pas sur un forfait iCloud+ payant. C'est une fonctionnalit\\xE9 iCloud+ et elle n'appara\\xEEt pas sur le palier de stockage gratuit.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"linterrupteur-par-r\\xE9seau-que-presque-personne-ne-conna\\xEEt\",children:\"L'interrupteur par r\\xE9seau que presque personne ne conna\\xEEt\"}),`\n`,(0,n.jsxs)(e.p,{children:[\"Celui-ci pi\\xE8ge les gens en permanence. Private Relay poss\\xE8de un \\xE9tat activ\\xE9/d\\xE9sactiv\\xE9 \",(0,n.jsx)(e.em,{children:\"distinct\"}),\" pour chaque r\\xE9seau Wi-Fi individuel, ind\\xE9pendant du r\\xE9glage global.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[\"Pour le v\\xE9rifier : ouvrez R\\xE9glages Syst\\xE8me, allez dans \",(0,n.jsx)(e.strong,{children:\"Wi-Fi\"}),\", cliquez sur \",(0,n.jsx)(e.strong,{children:\"D\\xE9tails\"}),\" \\xE0 c\\xF4t\\xE9 de votre r\\xE9seau connect\\xE9, et cherchez-y l'option Private Relay. Elle peut \\xEAtre d\\xE9sactiv\\xE9e pour ce r\\xE9seau pr\\xE9cis alors que le r\\xE9glage global est activ\\xE9.\"]}),`\n`,(0,n.jsx)(e.p,{children:\"C'est un comportement r\\xE9ellement utile \\u2014 c'est ainsi que l'on garde le relais actif en g\\xE9n\\xE9ral tout en le d\\xE9sactivant pour l'unique r\\xE9seau d'entreprise qui casse sans cela \\u2014 mais cela signifie que \\xAB j'ai activ\\xE9 Private Relay \\xBB et \\xAB Private Relay tourne en ce moment \\xBB sont deux affirmations diff\\xE9rentes. V\\xE9rifiez le r\\xE9glage par r\\xE9seau sur tout r\\xE9seau o\\xF9 un test donne des r\\xE9sultats inattendus.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"les-mani\\xE8res-dont-il-se-d\\xE9sactive-silencieusement\",children:\"Les mani\\xE8res dont il se d\\xE9sactive silencieusement\"}),`\n`,(0,n.jsx)(e.p,{children:\"Au-del\\xE0 des deux interrupteurs, plusieurs conditions d\\xE9sactivent le relais sans avertissement bien visible :\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"R\\xE9seaux non pris en charge.\"}),\" Certains r\\xE9seaux bloquent les protocoles ou les points de terminaison dont Private Relay d\\xE9pend. Dans ce cas, macOS propose g\\xE9n\\xE9ralement de choisir entre utiliser le r\\xE9seau sans le relais ou ne pas se connecter, et le choix fait \\xE0 ce moment-l\\xE0 persiste.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"R\\xE9seaux d'entreprise et g\\xE9r\\xE9s.\"}),\" Les entreprises d\\xE9sactivent fr\\xE9quemment Private Relay de fa\\xE7on d\\xE9lib\\xE9r\\xE9e, car un proxy qui masque les adresses de destination est fondamentalement incompatible avec le filtrage et la surveillance de contenu au niveau r\\xE9seau. Les appareils g\\xE9r\\xE9s peuvent l'avoir d\\xE9sactiv\\xE9 par profil de configuration, sans aucun interrupteur accessible \\xE0 l'utilisateur.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Restrictions de pays et de r\\xE9gion.\"}),\" Private Relay n'est pas disponible partout. Apple a confirm\\xE9 son indisponibilit\\xE9 dans un certain nombre de juridictions, et dans ces r\\xE9gions la fonctionnalit\\xE9 ne tourne tout simplement pas, quels que soient vos r\\xE9glages.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Configurations des op\\xE9rateurs mobiles.\"}),\" Certains op\\xE9rateurs ont livr\\xE9 des configurations qui la d\\xE9sactivent sur leurs r\\xE9seaux.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Configuration VPN ou DNS conflictuelle.\"}),\" Faire tourner un VPN syst\\xE8me signifie g\\xE9n\\xE9ralement que Private Relay se met en retrait, puisque le VPN prend le trafic en premier. Des r\\xE9glages DNS personnalis\\xE9s et certains profils de filtrage DNS peuvent \\xE9galement le d\\xE9sactiver.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.p,{children:\"Le fil conducteur est que Private Relay \\xE9choue en silence plut\\xF4t que bruyamment. Il cesse de fonctionner et vous continuez \\xE0 naviguer. C'est un choix de conception d\\xE9fendable pour une fonctionnalit\\xE9 de confort \\u2014 l'alternative \\xE9tant de casser l'acc\\xE8s Internet des gens \\u2014 mais cela implique que la v\\xE9rification p\\xE9riodique est le seul moyen de conna\\xEEtre votre \\xE9tat r\\xE9el.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"\\xE0-quoi-devrait-ressembler-un-correctif\",children:\"\\xC0 quoi devrait ressembler un correctif\"}),`\n`,(0,n.jsx)(e.p,{children:\"Il vaut la peine de r\\xE9fl\\xE9chir \\xE0 ce qu'Apple doit r\\xE9ellement construire ici, car cela explique pourquoi le calendrier annonc\\xE9 se compte en mois plut\\xF4t qu'en mise \\xE0 jour mineure.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le correctif superficiel consiste \\xE0 traiter chaque vecteur individuellement. Rendre le service d'identifiants conscient de la configuration de proxy de l'application h\\xF4te et router ses requ\\xEAtes de c\\xE9r\\xE9monie en cons\\xE9quence. Ramener les requ\\xEAtes DNS de pr\\xE9chargement dans le chemin DNS du relais. Router les connexions QUIC de WebTransport par la cha\\xEEne de proxys, ou refuser de les \\xE9tablir directement quand le relais est actif. Trois modifications cibl\\xE9es, trois trous referm\\xE9s.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Cela corrigerait les probl\\xE8mes signal\\xE9s et ne corrigerait pas la condition sous-jacente. Le sch\\xE9ma est le m\\xEAme dans les trois cas : un sous-syst\\xE8me capable d'atteindre le r\\xE9seau a \\xE9t\\xE9 construit sans h\\xE9riter de la fronti\\xE8re du proxy. Cela continuera de se produire tant que cette fronti\\xE8re sera quelque chose auquel chaque sous-syst\\xE8me doit adh\\xE9rer volontairement plut\\xF4t que quelque chose d'impos\\xE9 en dessous de tous.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Le correctif plus profond est architectural \\u2014 imposer le relais \\xE0 une couche que tout chemin r\\xE9seau adjacent \\xE0 WebKit doit traverser, de sorte qu'une nouvelle capacit\\xE9 ne puisse pas le contourner par simple ignorance. C'est un changement de grande ampleur, avec un risque r\\xE9el de casse, et c'est le genre de travail qui atterrit dans une version majeure plut\\xF4t que dans une mise \\xE0 jour de s\\xE9curit\\xE9. Il faudrait aussi une politique claire sur le sort des requ\\xEAtes qui ne peuvent v\\xE9ritablement pas \\xEAtre relay\\xE9es : \\xE9chouer ferm\\xE9 et casser la fonctionnalit\\xE9, ou \\xE9chouer ouvert et fuiter. Aucune des deux r\\xE9ponses n'est confortable, et en choisir une rel\\xE8ve d'une d\\xE9cision produit autant que d'ing\\xE9nierie.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Un troisi\\xE8me volet, sans doute le plus pr\\xE9cieux, est visible par l'utilisateur : un signal quelconque lorsqu'une requ\\xEAte \\xE9chappe au relais. Aujourd'hui, la fonctionnalit\\xE9 est enti\\xE8rement muette sur sa propre couverture. Vous ne pouvez pas savoir si la page sur laquelle vous \\xEAtes a \\xE9t\\xE9 enti\\xE8rement relay\\xE9e, partiellement relay\\xE9e, ou pas du tout. Cette opacit\\xE9 est ce qui a transform\\xE9 trois lacunes d'impl\\xE9mentation en une histoire de promesse rompue, car les utilisateurs n'avaient aucun moyen d'observer la diff\\xE9rence entre \\xAB \\xE7a marche \\xBB et \\xAB \\xE7a ne marche pas \\xBB.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"ce-quil-faudra-surveiller-dans-les-versions-de-lautomne-2026\",children:\"Ce qu'il faudra surveiller dans les versions de l'automne 2026\"}),`\n`,(0,n.jsx)(e.p,{children:\"D'apr\\xE8s ce que 9to5Mac rapporte du message de statut d'Apple aux chercheurs, un correctif est vis\\xE9 pour l'automne 2026. C'est ce qui a \\xE9t\\xE9 rapport\\xE9 \\u2014 Apple ne s'est pas engag\\xE9e publiquement sur une version ou une date pr\\xE9cise, et vous ne devriez pas le prendre pour une garantie.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Si et quand quelque chose sort, voici ce qu'il vaudra la peine de v\\xE9rifier :\"}),`\n`,(0,n.jsxs)(e.ul,{children:[`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Si les trois vecteurs sont trait\\xE9s ou seulement celui des passkeys.\"}),\" Le vecteur passkey a fait les gros titres. Les deux autres sont plus discrets et pourraient plausiblement \\xEAtre diff\\xE9r\\xE9s.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Si le correctif est cibl\\xE9 ou structurel.\"}),\" Les notes de version le disent rarement directement, mais les chercheurs referont vraisemblablement leurs tests et publieront leurs conclusions, et leur outil de test donne \\xE0 tout le monde un moyen de v\\xE9rifier de fa\\xE7on ind\\xE9pendante.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Si quoi que ce soit appara\\xEEt c\\xF4t\\xE9 utilisateur.\"}),\" Toute indication de la couverture du relais page par page serait une am\\xE9lioration significative par rapport au silence actuel.\"]}),`\n`,(0,n.jsxs)(e.li,{children:[(0,n.jsx)(e.strong,{children:\"Si le p\\xE9rim\\xE8tre de Private Relay est red\\xE9crit.\"}),\" Si Apple resserre le langage sur ce que couvre la fonctionnalit\\xE9, c'est informatif aussi \\u2014 cela sugg\\xE9rerait que la r\\xE9solution porte en partie sur les attentes plut\\xF4t qu'enti\\xE8rement sur le code.\"]}),`\n`]}),`\n`,(0,n.jsx)(e.p,{children:\"D'ici l\\xE0, la situation reste inchang\\xE9e : les fuites sont r\\xE9elles, le relais fait toujours un travail utile contre les observateurs passifs, et c'est dans l'\\xE9cart entre les deux que vous devez prendre votre propre d\\xE9cision.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"r\\xE9solution-des-probl\\xE8mes-courants\",children:\"R\\xE9solution des probl\\xE8mes courants\"}),`\n`,(0,n.jsx)(e.h3,{id:\"private-relay-est-gris\\xE9-ou-totalement-absent\",children:\"Private Relay est gris\\xE9 ou totalement absent\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),\" vous allez dans R\\xE9glages Syst\\xE8me, votre compte Apple, iCloud, et soit Private Relay n'est pas list\\xE9, soit l'interrupteur ne r\\xE9pond pas.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" passez les causes en revue dans l'ordre. D'abord, confirmez que vous \\xEAtes sur un forfait iCloud+ payant \\u2014 Private Relay n'existe pas sur le palier gratuit, et c'est l'explication la plus courante de son absence. Ensuite, v\\xE9rifiez votre r\\xE9gion : la fonctionnalit\\xE9 est indisponible dans plusieurs pays et n'appara\\xEEt pas l\\xE0 o\\xF9 elle n'est pas propos\\xE9e. Troisi\\xE8mement, si le Mac est g\\xE9r\\xE9 par un employeur ou un \\xE9tablissement scolaire, regardez dans R\\xE9glages Syst\\xE8me sous G\\xE9n\\xE9ral, puis Gestion des appareils, s'il existe un profil de configuration \\u2014 les organisations d\\xE9sactivent couramment Private Relay parce qu'il met en \\xE9chec le filtrage r\\xE9seau, et une restriction au niveau du profil ne peut pas \\xEAtre outrepass\\xE9e localement. Quatri\\xE8mement, v\\xE9rifiez que vous \\xEAtes connect\\xE9 \\xE0 iCloud avec le compte qui porte l'abonnement iCloud+, et non un compte secondaire. Si ces quatre points sont bons et que l'interrupteur reste inerte, d\\xE9connectez-vous d'iCloud puis reconnectez-vous, et red\\xE9marrez.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"private-relay-se-d\\xE9sactive-tout-seul-sur-un-r\\xE9seau-pr\\xE9cis\",children:\"Private Relay se d\\xE9sactive tout seul sur un r\\xE9seau pr\\xE9cis\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),\" le relais fonctionne \\xE0 la maison mais est syst\\xE9matiquement d\\xE9sactiv\\xE9 au bureau, dans un caf\\xE9 particulier ou sur le Wi-Fi d'un h\\xF4tel donn\\xE9.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" v\\xE9rifiez d'abord l'interrupteur par r\\xE9seau, car c'est presque toujours la cause. Ouvrez R\\xE9glages Syst\\xE8me, allez dans Wi-Fi, cliquez sur D\\xE9tails \\xE0 c\\xF4t\\xE9 de ce r\\xE9seau, et cherchez-y le r\\xE9glage Private Relay. Il est ind\\xE9pendant de l'interrupteur global, et si vous avez un jour \\xE9cart\\xE9 l'invite \\xAB ce r\\xE9seau bloque Private Relay \\xBB en choisissant de continuer sans lui, ce choix a \\xE9t\\xE9 m\\xE9moris\\xE9 pour ce r\\xE9seau. R\\xE9activez-le et voyez si la connexion fonctionne toujours. Si le r\\xE9seau bloque r\\xE9ellement le relais, vous serez de nouveau invit\\xE9 \\xE0 choisir, et \\xE0 ce moment-l\\xE0 vous savez que le blocage est en amont plut\\xF4t qu'un r\\xE9glage p\\xE9rim\\xE9. Les r\\xE9seaux d'entreprise en particulier ont tendance \\xE0 le bloquer d\\xE9lib\\xE9r\\xE9ment au niveau du pare-feu, et il n'existe aucun contournement c\\xF4t\\xE9 client \\u2014 si vous avez besoin de confidentialit\\xE9 d'adresse sur un tel r\\xE9seau, un VPN est la seule voie, \\xE0 supposer que le r\\xE9seau en autorise un.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"loutil-de-test-signale-une-fuite-et-vous-voulez-savoir-quoi-faire\",children:\"L'outil de test signale une fuite et vous voulez savoir quoi faire\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),\" vous avez visit\\xE9 l'outil des chercheurs, il a signal\\xE9 que votre adresse r\\xE9elle \\xE9tait visible via un ou plusieurs vecteurs, et vous voulez une prochaine \\xE9tape.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" premi\\xE8rement, n'interpr\\xE9tez pas cela comme une compromission. Un r\\xE9sultat fuyant signifie qu'un site pourrait apprendre votre adresse IP ; il ne signifie pas que quoi que ce soit a \\xE9t\\xE9 vol\\xE9, consult\\xE9 ou compromis, et il n'y a aucun compte \\xE0 s\\xE9curiser ni mot de passe \\xE0 changer. Deuxi\\xE8mement, confirmez que le r\\xE9sultat porte bien sur les vecteurs et non sur un relais d\\xE9sactiv\\xE9 \\u2014 v\\xE9rifiez les r\\xE9glages Private Relay global et par r\\xE9seau puis refaites le test, car un relais d\\xE9sactiv\\xE9 montrera votre adresse r\\xE9elle par tous les chemins et constitue un probl\\xE8me compl\\xE8tement diff\\xE9rent, \\xE0 la solution facile. Troisi\\xE8mement, si le relais est confirm\\xE9 actif et que la fuite persiste, vous avez reproduit le comportement signal\\xE9 et il n'existe aucun correctif c\\xF4t\\xE9 utilisateur. D\\xE9cidez selon votre mod\\xE8le de menace : pour la plupart des gens, la r\\xE9ponse correcte est d'en prendre note et de continuer ; pour ceux qui ont r\\xE9ellement besoin de confidentialit\\xE9 d'adresse, un VPN est la mesure d'att\\xE9nuation disponible, avec le compromis de confiance d\\xE9crit plus haut. Refaites le test apr\\xE8s toute mise \\xE0 jour de l'automne 2026.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"des-sites-vous-bloquent-ou-dysfonctionnent-parce-que-vous-utilisez-private-relay\",children:\"Des sites vous bloquent ou dysfonctionnent parce que vous utilisez Private Relay\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),\" un site bancaire refuse de se charger, un service de streaming affirme que vous \\xEAtes dans le mauvais pays, le paiement d'une boutique \\xE9choue, ou un site vous soumet sans cesse \\xE0 des CAPTCHA.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" cela arrive parce que le site voit l'adresse du proxy de sortie plut\\xF4t que la v\\xF4tre, et soit il ne reconna\\xEEt pas cette adresse comme r\\xE9sidentielle, soit l'adresse se g\\xE9olocalise \\xE0 un endroit inattendu, soit elle appartient \\xE0 une plage partag\\xE9e qui a \\xE9t\\xE9 signal\\xE9e. Commencez par le r\\xE9glage de localisation : dans le panneau Private Relay, basculez Localisation de l'adresse IP sur \\xAB Conserver la localisation g\\xE9n\\xE9rale \\xBB si elle est r\\xE9gl\\xE9e sur l'option plus large au niveau du pays, ce qui r\\xE9sout la plupart des incoh\\xE9rences g\\xE9ographiques. Si cela ne suffit pas, utilisez l'interrupteur par r\\xE9seau pour d\\xE9sactiver le relais uniquement sur ce r\\xE9seau plut\\xF4t que globalement, ou utilisez un autre navigateur pour ce site pr\\xE9cis \\u2014 en gardant \\xE0 l'esprit que les navigateurs autres que Safari sont de toute fa\\xE7on hors du relais sur macOS. D\\xE9sactiver le relais globalement pour r\\xE9gler un site r\\xE9calcitrant est une surcorrection que vous oublierez d'annuler.\"]}),`\n`,(0,n.jsx)(e.h3,{id:\"un-vpn-et-private-relay-entrent-en-conflit\",children:\"Un VPN et Private Relay entrent en conflit\"}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Probl\\xE8me :\"}),\" vous connectez un VPN et Private Relay se signale comme inactif, ou les deux ensemble produisent un DNS cass\\xE9, des connexions qui \\xE9chouent ou une navigation d'une lenteur inutilisable.\"]}),`\n`,(0,n.jsxs)(e.p,{children:[(0,n.jsx)(e.strong,{children:\"Solution :\"}),\" comprenez d'abord que c'est largement attendu. Un VPN syst\\xE8me capture le trafic au niveau r\\xE9seau avant que Private Relay ne le voie ; macOS met donc g\\xE9n\\xE9ralement le relais en retrait lorsqu'un VPN est actif \\u2014 ce n'est pas un bug et cela ne vous laisse pas sans protection, puisque le VPN couvre d\\xE9sormais strictement plus de trafic que le relais n'en couvrait. Le conseil pratique est d'en choisir un et de le laisser poss\\xE9der le chemin. Si vous faites tourner un VPN pour les raisons \\xE9voqu\\xE9es dans cet article, le retrait du relais est le r\\xE9sultat correct. Si vous constatez une v\\xE9ritable casse plut\\xF4t qu'un simple relais signal\\xE9 inactif, les coupables habituels sont une configuration DNS conflictuelle, un client VPN qui ne capture le trafic que partiellement, ou une extension r\\xE9seau r\\xE9siduelle d'un VPN pr\\xE9c\\xE9demment install\\xE9. Supprimez les anciens profils de configuration VPN dans R\\xE9glages Syst\\xE8me avant d'aller plus loin dans le diagnostic, car les profils p\\xE9rim\\xE9s causent une part disproportionn\\xE9e de ces probl\\xE8mes.\"]}),`\n`,(0,n.jsx)(e.h2,{id:\"faq\",children:\"FAQ\"}),`\n`,(0,n.jsx)(e.h3,{id:\"cela-signifie-t-il-que-mon-historique-de-navigation-a-\\xE9t\\xE9-expos\\xE9-\",children:\"Cela signifie-t-il que mon historique de navigation a \\xE9t\\xE9 expos\\xE9 ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Non. Ce qui fuit, c'est votre adresse IP \\u2014 l'identit\\xE9 r\\xE9seau, pas le contenu. Les contenus chiffr\\xE9s de votre navigation restent chiffr\\xE9s, et rien sur les pages que vous lisez n'est r\\xE9v\\xE9l\\xE9 par ces vecteurs, au-del\\xE0 du fait que vous vous \\xEAtes connect\\xE9 \\xE0 un site qui cherchait d\\xE9j\\xE0 \\xE0 vous identifier. Aucun identifiant de compte n'est en jeu et aucun compte n'a \\xE9t\\xE9 compromis.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"devrais-je-arr\\xEAter-dutiliser-les-passkeys-\\xE0-cause-de-cela-\",children:\"Devrais-je arr\\xEAter d'utiliser les passkeys \\xE0 cause de cela ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Non. Les passkeys restent nettement plus s\\xFBres que les mots de passe \\u2014 elles r\\xE9sistent \\xE0 l'hame\\xE7onnage et rien de r\\xE9utilisable ne transite sur le r\\xE9seau. La fuite n'est pas une faiblesse de l'authentification par passkey elle-m\\xEAme ; c'est la requ\\xEAte r\\xE9seau qui soutient la c\\xE9r\\xE9monie qui contourne Private Relay. Abandonner les passkeys reviendrait \\xE0 \\xE9changer un gain de s\\xE9curit\\xE9 r\\xE9el contre un gain de confidentialit\\xE9 marginal.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"un-cve-a-t-il-\\xE9t\\xE9-attribu\\xE9-\\xE0-ce-probl\\xE8me-\",children:\"Un CVE a-t-il \\xE9t\\xE9 attribu\\xE9 \\xE0 ce probl\\xE8me ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Aucun CVE n'a \\xE9t\\xE9 signal\\xE9 pour l'un des trois vecteurs. Les travaux ont \\xE9t\\xE9 publi\\xE9s par Mysk et Haj Bakry le 4 ao\\xFBt 2026 et repris par la presse le lendemain. Apple a d\\xE9clar\\xE9 \\xE0 404 Media qu'elle enqu\\xEAtait. M\\xE9fiez-vous de toute source citant un identifiant CVE pr\\xE9cis pour ce probl\\xE8me, puisqu'aucun n'a \\xE9t\\xE9 publi\\xE9.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"utiliser-chrome-ou-firefox-sur-mon-mac-r\\xE8gle-t-il-le-probl\\xE8me-\",children:\"Utiliser Chrome ou Firefox sur mon Mac r\\xE8gle-t-il le probl\\xE8me ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Pas de la fa\\xE7on dont les gens l'imaginent. Ces navigateurs utilisent leurs propres moteurs et ne sont pas affect\\xE9s par ces vecteurs propres \\xE0 WebKit, mais Private Relay n'a jamais relay\\xE9 leur trafic au d\\xE9part. Changer de navigateur ne vous place pas derri\\xE8re le relais \\u2014 cela vous en retire enti\\xE8rement. Cela n'aide que si vous l'associez \\xE0 un VPN couvrant l'ensemble.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"est-ce-diff\\xE9rent-sur-mon-iphone-et-sur-mon-mac-\",children:\"Est-ce diff\\xE9rent sur mon iPhone et sur mon Mac ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"Oui. Sur iOS, la plupart des juridictions imposent \\xE0 tous les navigateurs d'utiliser WebKit : chaque navigateur de l'appareil partage donc la m\\xEAme exposition et changer d'application ne change rien. Sur Mac, seuls Safari et les applications int\\xE9grant WebKit sont concern\\xE9s, puisque les autres navigateurs embarquent leurs propres moteurs. Les vecteurs eux-m\\xEAmes se comportent de la m\\xEAme mani\\xE8re sur les deux plateformes.\"}),`\n`,(0,n.jsx)(e.h3,{id:\"quand-apple-corrigera-t-elle-cela-\",children:\"Quand Apple corrigera-t-elle cela ?\"}),`\n`,(0,n.jsx)(e.p,{children:\"9to5Mac a rapport\\xE9 que le message de statut d'Apple aux chercheurs indiquait que l'entreprise pr\\xE9voyait de traiter le probl\\xE8me, avec un correctif vis\\xE9 pour l'automne 2026. Apple ne s'est pas engag\\xE9e publiquement sur une version ou une date pr\\xE9cise, au-del\\xE0 de sa confirmation \\xE0 404 Media qu'elle enqu\\xEAte. Aucun correctif n'est disponible aujourd'hui, et MacRumors a d\\xE9crit le probl\\xE8me comme inscrit dans le fonctionnement m\\xEAme de WebKit.\"}),`\n`,(0,n.jsx)(e.h2,{id:\"conclusion\",children:\"Conclusion\"}),`\n`,(0,n.jsx)(e.p,{children:\"Les travaux de Mysk et Haj Bakry sont r\\xE9els, ils sont bien document\\xE9s, et ils m\\xE9ritent qu'Apple les corrige correctement plut\\xF4t que de les rustiner \\xE9troitement. Trois sous-syst\\xE8mes WebKit distincts \\u2014 le service d'identifiants qui traite les c\\xE9r\\xE9monies passkey, le pr\\xE9chargement DNS et WebTransport \\u2014 peuvent chacun placer votre v\\xE9ritable adresse IP sous les yeux d'un site web qui va la chercher, pendant que Private Relay se signale tranquillement comme activ\\xE9. Le vecteur passkey est le plus tranchant des trois, car il suffit qu'un site d\\xE9marre la c\\xE9r\\xE9monie, sans la terminer, et sans rien exiger de vous.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce que ceci n'est pas : une compromission, un piratage de compte, ni une raison de s'alarmer. Private Relay n'a jamais \\xE9t\\xE9 un VPN, n'a jamais pr\\xE9tendu l'\\xEAtre, et fait toujours le travail pour lequel il a \\xE9t\\xE9 construit contre les observateurs qu'il devait arr\\xEAter \\u2014 votre FAI, le r\\xE9seau sur lequel vous \\xEAtes assis, les observateurs passifs qui voient le trafic sans pouvoir amener un site \\xE0 vous sonder activement. Cette protection est intacte, et d\\xE9sactiver la fonctionnalit\\xE9 reviendrait \\xE0 l'abandonner en \\xE9change de rien.\"}),`\n`,(0,n.jsx)(e.p,{children:\"Ce que ceci est : une d\\xE9monstration claire que la couverture de la fonctionnalit\\xE9 est plus \\xE9troite que le mod\\xE8le mental que la plupart des gens ont, et que la fronti\\xE8re n'est impos\\xE9e nulle part o\\xF9 les nouvelles capacit\\xE9s de la plateforme devraient la respecter. Si votre mod\\xE8le de menace inclut r\\xE9ellement quelqu'un qui apprendrait votre adresse IP, la r\\xE9ponse a toujours \\xE9t\\xE9 un outil con\\xE7u pour ce travail, avec le compromis de confiance compris et accept\\xE9. Si ce n'est pas le cas, prenez-en note, gardez le relais activ\\xE9, faites le test si la curiosit\\xE9 vous prend, et observez ce qui sortira \\xE0 l'automne.\"}),`\n`,(0,n.jsx)(e.p,{children:(0,n.jsxs)(e.em,{children:[\"Lecture associ\\xE9e : \",(0,n.jsx)(e.a,{href:\"/blog/mac-security-privacy-guide-2026\",children:\"Guide de s\\xE9curit\\xE9 et de confidentialit\\xE9 sur Mac 2026\"})]})})]})}function d(t={}){let{wrapper:e}=t.components||{};return e?(0,n.jsx)(e,{...t,children:(0,n.jsx)(c,{...t})}):c(t)}return y(x);})();\n;return Component;","toc":[{"title":"Points clés à retenir","url":"#points-clés-à-retenir","depth":2},{"title":"Ce qu'est réellement iCloud Private Relay, et ce qu'Apple promet","url":"#ce-quest-réellement-icloud-private-relay-et-ce-quapple-promet","depth":2},{"title":"La conception à deux sauts","url":"#la-conception-à-deux-sauts","depth":3},{"title":"Le cadrage essentiel : ce n'est pas un VPN","url":"#le-cadrage-essentiel--ce-nest-pas-un-vpn","depth":3},{"title":"Ce que les chercheurs ont trouvé","url":"#ce-que-les-chercheurs-ont-trouvé","depth":2},{"title":"Le vecteur passkey, expliqué comme il faut","url":"#le-vecteur-passkey-expliqué-comme-il-faut","depth":2},{"title":"Ce qu'est réellement une cérémonie WebAuthn","url":"#ce-quest-réellement-une-cérémonie-webauthn","depth":3},{"title":"Qui émet la requête","url":"#qui-émet-la-requête","depth":3},{"title":"Le point le plus tranchant : vous n'avez pas besoin d'avoir une passkey","url":"#le-point-le-plus-tranchant--vous-navez-pas-besoin-davoir-une-passkey","depth":3},{"title":"Le vecteur du préchargement DNS","url":"#le-vecteur-du-préchargement-dns","depth":2},{"title":"À quoi sert le préchargement","url":"#à-quoi-sert-le-préchargement","depth":3},{"title":"Ce qu'il expose","url":"#ce-quil-expose","depth":3},{"title":"Le vecteur WebTransport","url":"#le-vecteur-webtransport","depth":2},{"title":"À quoi sert WebTransport","url":"#à-quoi-sert-webtransport","depth":3},{"title":"Pourquoi une connexion HTTP/3 directe met le proxy en échec","url":"#pourquoi-une-connexion-http3-directe-met-le-proxy-en-échec","depth":3},{"title":"Comment tester votre propre Mac","url":"#comment-tester-votre-propre-mac","depth":2},{"title":"Exécuter le test","url":"#exécuter-le-test","depth":3},{"title":"La mise en garde honnête","url":"#la-mise-en-garde-honnête","depth":3},{"title":"Ce que vous pouvez réellement faire dès maintenant","url":"#ce-que-vous-pouvez-réellement-faire-dès-maintenant","depth":2},{"title":"1. Utilisez un vrai VPN si votre modèle de menace le justifie","url":"#1-utilisez-un-vrai-vpn-si-votre-modèle-de-menace-le-justifie","depth":3},{"title":"2. Ne désactivez pas Private Relay","url":"#2-ne-désactivez-pas-private-relay","depth":3},{"title":"3. Soyez délibéré sur les sites auxquels vous laissez démarrer une cérémonie","url":"#3-soyez-délibéré-sur-les-sites-auxquels-vous-laissez-démarrer-une-cérémonie","depth":3},{"title":"4. Comprenez ce que le mode Isolement fait — et ne fait pas — ici","url":"#4-comprenez-ce-que-le-mode-isolement-fait--et-ne-fait-pas--ici","depth":3},{"title":"5. Sachez ce que change le changement de navigateur — et où cela ne change rien","url":"#5-sachez-ce-que-change-le-changement-de-navigateur--et-où-cela-ne-change-rien","depth":3},{"title":"Qui devrait réellement s'en préoccuper","url":"#qui-devrait-réellement-sen-préoccuper","depth":2},{"title":"Pour la plupart des gens, c'est une érosion, pas une urgence","url":"#pour-la-plupart-des-gens-cest-une-érosion-pas-une-urgence","depth":3},{"title":"Qui doit agir","url":"#qui-doit-agir","depth":3},{"title":"Le terrain intermédiaire","url":"#le-terrain-intermédiaire","depth":3},{"title":"Comment vérifier si Private Relay est seulement actif","url":"#comment-vérifier-si-private-relay-est-seulement-actif","depth":2},{"title":"Le réglage principal","url":"#le-réglage-principal","depth":3},{"title":"L'interrupteur par réseau que presque personne ne connaît","url":"#linterrupteur-par-réseau-que-presque-personne-ne-connaît","depth":3},{"title":"Les manières dont il se désactive silencieusement","url":"#les-manières-dont-il-se-désactive-silencieusement","depth":3},{"title":"À quoi devrait ressembler un correctif","url":"#à-quoi-devrait-ressembler-un-correctif","depth":2},{"title":"Ce qu'il faudra surveiller dans les versions de l'automne 2026","url":"#ce-quil-faudra-surveiller-dans-les-versions-de-lautomne-2026","depth":3},{"title":"Résolution des problèmes courants","url":"#résolution-des-problèmes-courants","depth":2},{"title":"Private Relay est grisé ou totalement absent","url":"#private-relay-est-grisé-ou-totalement-absent","depth":3},{"title":"Private Relay se désactive tout seul sur un réseau précis","url":"#private-relay-se-désactive-tout-seul-sur-un-réseau-précis","depth":3},{"title":"L'outil de test signale une fuite et vous voulez savoir quoi faire","url":"#loutil-de-test-signale-une-fuite-et-vous-voulez-savoir-quoi-faire","depth":3},{"title":"Des sites vous bloquent ou dysfonctionnent parce que vous utilisez Private Relay","url":"#des-sites-vous-bloquent-ou-dysfonctionnent-parce-que-vous-utilisez-private-relay","depth":3},{"title":"Un VPN et Private Relay entrent en conflit","url":"#un-vpn-et-private-relay-entrent-en-conflit","depth":3},{"title":"FAQ","url":"#faq","depth":2},{"title":"Cela signifie-t-il que mon historique de navigation a été exposé ?","url":"#cela-signifie-t-il-que-mon-historique-de-navigation-a-été-exposé-","depth":3},{"title":"Devrais-je arrêter d'utiliser les passkeys à cause de cela ?","url":"#devrais-je-arrêter-dutiliser-les-passkeys-à-cause-de-cela-","depth":3},{"title":"Un CVE a-t-il été attribué à ce problème ?","url":"#un-cve-a-t-il-été-attribué-à-ce-problème-","depth":3},{"title":"Utiliser Chrome ou Firefox sur mon Mac règle-t-il le problème ?","url":"#utiliser-chrome-ou-firefox-sur-mon-mac-règle-t-il-le-problème-","depth":3},{"title":"Est-ce différent sur mon iPhone et sur mon Mac ?","url":"#est-ce-différent-sur-mon-iphone-et-sur-mon-mac-","depth":3},{"title":"Quand Apple corrigera-t-elle cela ?","url":"#quand-apple-corrigera-t-elle-cela-","depth":3},{"title":"Conclusion","url":"#conclusion","depth":2}],"estimatedTime":45}