Le jour où tu as allumé ton Mac pour la première fois, l’assistant t’a demandé un nom et un mot de passe. Il a créé ton compte, et sans te poser la question, il en a fait un administrateur.

Depuis, tu vis dedans. Tu lis tes mails, tu installes des apps trouvées sur un forum, tu colles des commandes copiées sur un site, le tout avec les clés de tout l’immeuble dans la poche.

Le conseil est vieux comme les systèmes multi-utilisateurs, et presque personne ne l’applique. Un compte standard pour vivre, un compte administrateur à part pour modifier le système. Une installation douteuse lancée depuis le compte standard se heurte alors à une question qu’elle ne sait pas résoudre, le mot de passe d’un autre compte.

À la fin de ce tuto, ton compte de tous les jours sera standard, avec toutes tes données, et un compte admin dédié gardera les clés du système. Compte une petite demi-heure, redémarrages compris.

Avant de commencer

L’ordre des opérations est tout l’enjeu de ce tuto. On ne transforme pas l’admin actuel en standard pour en recréer un autre à côté, on fait l’inverse.

Pourquoi dans ce sens

Ton compte actuel contient tout, tes fichiers, ta session iCloud, tes réglages, tes apps, tes mots de passe enregistrés. Créer un nouveau compte standard et y déménager, c’est un week-end de copier-coller et de réglages oubliés. Créer un nouvel admin vide, puis retirer les droits d’administration à ton compte habituel, ne déplace rien. Tu te reconnectes le lendemain, tout est à sa place, seuls tes pouvoirs ont changé.

Ce qu’il te faut

• Un Mac à jour. Les captures viennent de macOS 27, les libellés sont ceux de Réglages Système en français.
• Un mot de passe neuf et solide pour le compte admin, différent de celui de ton compte habituel. Range-le dans ton gestionnaire de mots de passe, c’est lui qui t’ouvrira le système désormais.
• Une sauvegarde récente. On ne touche pas à tes données, mais on touche aux comptes, et une sauvegarde Time Machine fraîche ne coûte rien.

Le piège à éviter

La seule vraie façon de rater ce tuto, c’est de te retrouver sans aucun administrateur qui marche. macOS t’en protège en partie, il refuse de retirer ses droits au dernier administrateur du Mac. Il ne t’empêche pas, en revanche, de rétrograder ton compte alors que le nouvel admin a un mot de passe que tu as mal noté. D’où une règle simple, on teste le nouvel admin avant de toucher à l’ancien.

Le passage en compte standard, étape par étape

Six étapes pour la bascule, puis trois vérifications pour t’assurer que la marche tient.

Étape 1, ouvrir les réglages des utilisateurs

Chemin, menu Apple > Réglages Système > Utilisateurs et groupes.

Tu vois ton compte, marqué Admin, et éventuellement l’utilisateur invité. C’est ici que tout se joue.

Étape 2, créer le nouvel administrateur

Clique sur « Ajouter un utilisateur… ». macOS te demande ton mot de passe, c’est normal, tu es encore admin.

Dans la fenêtre qui s’ouvre, règle « Nouvel utilisateur » sur Administrateur. Donne-lui un nom qui dit ce qu’il fait, « Admin » en nom complet et admin en nom du compte, par exemple. Saisis le mot de passe solide préparé plus haut, confirme-le, puis clique sur « Créer l’utilisateur ».

Ce compte n’a pas besoin d’iCloud, ni de mail, ni de rien. Ne le connecte à aucun compte Apple. C’est un trousseau de clés qu’on sort du tiroir, pas un endroit où l’on habite.

Ce que tu dois voir, Admin apparaît dans la liste, marqué Admin.

Étape 3, tester le nouvel admin, pour de vrai

Menu Apple > Fermer la session. À l’écran de connexion, choisis Admin et entre son mot de passe. La première ouverture déroule un court assistant, laisse passer.

Si ton disque est chiffré par FileVault, va plus loin. Éteins complètement le Mac, rallume-le, et vérifie que le compte Admin apparaît dès le premier écran, celui qui déverrouille le disque. Normalement, il y est d’office. S’il n’y figure pas, ne va pas plus loin. Reconnecte-toi sur ton compte habituel, encore administrateur, ouvre le Terminal et tape sudo fdesetup add -usertoadd admin. Il te demande d’abord ton mot de passe (celui de sudo), puis le nom et le mot de passe d’un compte déjà autorisé à déverrouiller le disque, le tien, puis le mot de passe d’Admin. Refais ensuite le test à froid.

Tant que cette connexion n’a pas réussi, on ne va pas plus loin.

Étape 4, retirer les droits à ton compte habituel

Toujours connecté en Admin, retourne dans Réglages Système > Utilisateurs et groupes. Clique sur le bouton d’information à droite de ton compte habituel, puis désactive « Autoriser cet utilisateur à administrer cet ordinateur ». Valide.

Pourquoi depuis le compte Admin ? Parce que macOS refuse qu’un administrateur se retire lui-même ses droits, le message est explicite, « Vous ne pouvez pas vous retirer des administrateurs ». La boucle est logique, c’est un autre admin qui te rétrograde.

Ce que tu dois voir, macOS te prévient, « Vous devez redémarrer votre ordinateur pour que les modifications des réglages d’administrateur » de ton compte « prennent effet ».

Étape 5, redémarrer et rentrer chez toi

Redémarre pour que le changement de droits prenne effet, puis connecte-toi sur ton compte habituel.

Tout est là. Tes fichiers, tes apps, ta session iCloud, ton fond d’écran si smart. Dans Utilisateurs et groupes, la mention sous ton nom est passée à Standard.

Étape 6, rendre l’admin facile à appeler

Quand le système veut un administrateur, il te demande le nom et le mot de passe d’Admin, sans quitter ta session. Pour les rares fois où tu veux vraiment basculer, garde le raccourci sous la main.

Chemin, Réglages Système > Barre des menus > Permutation d’utilisateur > Afficher dans la barre des menus.

Vérifier que la marche tient

Le test de l’app glissée

Télécharge VLC depuis son site officiel, ouvre l’image disque et glisse l’app dans le dossier Applications. Depuis ton compte standard, le Finder s’arrête et réclame un nom et un mot de passe d’administrateur.

Ce que tu dois voir, une demande d’authentification, et non une copie silencieuse. C’est exactement la marche que tu viens de construire. Le dossier Applications du système appartient aux administrateurs, ton compte n’y écrit plus sans leur accord. Pour VLC, tu tapes les identifiants Admin et la copie se fait. Pour un installeur que tu n’as pas lancé toi-même, tu viens de gagner une seconde de réflexion.

Une nuance, pour ne pas te mentir. Le compte standard peut installer des apps, Apple l’écrit noir sur blanc. Pas dans le dossier Applications du Mac, celui que tu viens de tester, mais dans un dossier Applications à lui, rangé dans son dossier de départ.

Là, pas de mot de passe, et l’app tourne. Seulement, elle tourne avec tes droits d’utilisateur simple. Elle peut toucher à tes fichiers, mais pas au système, ni aux autres comptes, et elle ne peut pas s’octroyer les droits d’Admin sans son mot de passe. C’est toute la différence.

FileVault, les deux comptes doivent pouvoir ouvrir le disque

Chemin, Réglages Système > Confidentialité et sécurité > FileVault.

Vérifie que l’interrupteur FileVault est activé. Sous macOS 27, ce volet n’affiche plus la liste des comptes autorisés à déverrouiller le disque, seulement l’interrupteur et la clé de secours. Le vrai contrôle, tu l’as fait à l’étape 3, devant le premier écran de démarrage. Si FileVault n’est pas activé, c’est le moment, le tuto privacy détaille l’activation et la clé de secours.

Les mises à jour, sans mot de passe admin

Dernier soupçon à lever, celui qui fait reculer tout le monde. Un compte standard peut-il encore mettre son Mac à jour ? D’après le guide de déploiement d’Apple, oui, autoriser une mise à jour demande d’être propriétaire du volume, pas d’être administrateur. Sur un Mac Apple silicon, ton compte, créé au premier démarrage, l’est.

Chemin, Réglages Système > Général > Mise à jour de logiciels.

Ce que ça change, et ce que ça ne change pas

Un programme lancé depuis ton compte standard tourne avec tes droits, et tes droits ne vont plus jusqu’au système. Il ne peut pas écrire dans les dossiers réservés aux administrateurs, ni installer un composant système, ni créer un compte, ni toucher aux réglages des autres utilisateurs. La commande sudo, dans le Terminal, lui est refusée aussi.

Pour tout ça, il lui faut le nom et le mot de passe d’Admin, qu’il n’a pas. Le système lui-même est scellé par Apple, même un administrateur ne peut pas le modifier. Ce que tu protèges ici, c’est tout ce qui l’entoure, le dossier Applications, les programmes lancés au démarrage pour tout le Mac, les réglages communs.

C’est une marche de plus, pas une armure.

Le compte standard ne protège pas ce qui t’appartient. Tes documents, tes photos, ce que ton navigateur garde en mémoire, les mots de passe enregistrés dans ta session, tout ça vit sous ton nom, et un programme qui tourne sous ton nom peut tenter d’y accéder.

Les voleurs de données qui ciblent le Mac n’ont pas besoin de droits d’administrateur pour faire leurs valises, ils visent justement ce qui est à toi. Le compte standard ne remplace donc ni un bon filtre à l’entrée, ni un contrôle de ce qui sort, ni ta vigilance quand on te demande de coller une commande dans le Terminal.

La marche ne tient que si tu ne la franchis pas par réflexe. Une fenêtre qui réclame un mot de passe d’administrateur au mauvais moment, pendant l’ouverture d’un document ou juste après un téléchargement, se refuse. Certains malwares savent imiter ces fenêtres. Si tu tapes les identifiants Admin dès qu’on te les demande, tu as juste ajouté un mot de passe à ton quotidien.

Ce que tu gagnes est quand même réel. Tout ce qui voulait s’installer en profondeur, s’accrocher au système ou toucher aux autres comptes doit désormais passer par une porte que tu tiens fermée. Et le soir où tu installes une app douteuse en pensant à autre chose, c’est ta session qui encaisse, pas le système. Tes fichiers, eux, restent exposés, on l’a dit plus haut.

Si ça ne marche pas

L’interrupteur « Autoriser cet utilisateur à administrer cet ordinateur » refuse de se désactiver

Tu es connecté sur le compte que tu essaies de rétrograder. macOS refuse qu’un administrateur se retire lui-même ses droits. Ferme la session, ouvre Admin, recommence l’étape 4.

Le compte Admin n’apparaît pas au démarrage

FileVault ne l’a pas autorisé à déverrouiller le disque. Depuis une session administrateur, tape dans le Terminal sudo fdesetup add -usertoadd admin, donne le mot de passe d’un compte déjà autorisé puis celui d’Admin, et éteins puis rallume pour vérifier.

Une app te réclame le mot de passe admin à chaque mise à jour

Elle est installée dans le dossier Applications du système et se met à jour toute seule, donc elle a besoin d’écrire là où tu n’écris plus. Tu tapes les identifiants Admin.

Tu as besoin d’une commande admin dans le Terminal

Ouvre une session Admin par la Permutation d’utilisateur. Ou, dans ton Terminal, tape su admin, saisis son mot de passe, puis lance tes commandes avec sudo, qui te redemandera ce mot de passe. Tape exit dès que tu as fini, et réserve ce raccourci aux moments où tu sais exactement ce que tu lances.

Pour les pressés

Ce que fait cet article. Il passe ton compte de tous les jours en standard sans rien déménager, et confie les clés du système à un compte Admin dédié, créé et testé avant de toucher à quoi que ce soit.

Concrètement, la marche à suivre.

1. Réglages Système > Utilisateurs et groupes > Ajouter un utilisateur…, « Nouvel utilisateur » réglé sur Administrateur, sans compte Apple.
2. Ferme la session et ouvre Admin. Avec FileVault, éteins puis rallume, Admin doit apparaître dès le premier écran.
3. Depuis Admin, Utilisateurs et groupes, bouton d’information de ton compte habituel, « Autoriser cet utilisateur à administrer cet ordinateur » désactivé, puis redémarre.
4. Réglages Système > Barre des menus > Permutation d’utilisateur, Afficher dans la barre des menus.
5. Réglages Système > Confidentialité et sécurité > FileVault, activé.
6. Glisse une app dans Applications depuis ton compte, le Finder doit réclamer les identifiants Admin.

À lire aussi, L’antivirus seul ne protège plus ton Mac, voici la solution

À lire aussi, La Privacy sur macOS, pour protéger efficacement ta vie numérique

Des termes techniques ? Consulte le glossaire.

Sources

Apple

• Modifier les réglages Utilisateurs et groupes sur Mac, guide d’utilisation du Mac, types de comptes Administrateur, Standard et Partage uniquement.
• Secure token, bootstrap token et propriété du volume, guide de déploiement Apple, autorisation des mises à jour par un utilisateur standard propriétaire du volume.
• Gérer FileVault, guide de déploiement Apple, secure token et déverrouillage du disque.

Analyse indépendante

• Standard users can upgrade macOS, The Eclectic Light Company, mises à jour et montées de version depuis un compte standard depuis macOS 12.3.

Logiciel cité

• VLC, site officiel de VideoLAN.