Tu croises ces termes dans nos articles. Voici ce qu’ils veulent dire, sans jargon inutile.

5/9/14 Eyes

Alliances de renseignement entre pays qui partagent leurs données de surveillance. 5 Eyes : États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande. 9 Eyes : les 5 + Danemark, France, Pays-Bas, Norvège. 14 Eyes : les 9 + Allemagne, Belgique, Italie, Suède, Espagne. Un fournisseur VPN ou cloud basé dans un pays membre peut être contraint de remettre des données sur ordre gouvernemental.

ALF (Application Layer Firewall)

Pare-feu applicatif intégré à macOS depuis Mac OS X 10.5 (2007). Filtre les connexions entrantes par application : tu autorises Skype à recevoir des connexions, tu bloques Transmission. Ne filtre pas le trafic sortant. Activable dans Réglages Système → Réseau → Pare-feu. Pour le filtrage sortant process-aware, il faut un outil tiers (Little Snitch, LuLu) qui s’appuie sur NEFilterDataProvider.

ABM (Apple Business Manager) / Managed Apple ID

Console web d’Apple destinée aux organisations pour provisionner des Managed Apple ID, déployer des appareils en MDM (zero-touch via Automated Device Enrollment), distribuer des apps en volume, et fédérer l’identité avec un IdP existant (Microsoft Entra ID, Google Workspace, Okta). Un Managed Apple ID est un compte Apple dont l’organisation est administratrice : elle peut le créer, le suspendre, le réinitialiser, le supprimer. À la différence d’un Apple ID personnel, certaines fonctions sont désactivées (Apple Pay, Wallet, App Store payant, achats in-app sans approbation). Couplé à Apple Business Essentials, c’est l’équivalent fonctionnel d’un Google Workspace Admin ou d’un Microsoft 365 Admin Center pour une flotte Apple.

APNs (Apple Push Notification service)

Infrastructure d’Apple qui achemine toutes les notifications push vers les iPhones et Macs. Quand une app envoie un message, la notification transite d’abord par les serveurs APNs d’Apple avant d’arriver sur ton appareil. Apple peut accéder aux métadonnées de ces notifications et les remettre aux autorités sur mandat judiciaire. Paramétrer Signal et iOS en mode « No Name or Content » empêche le contenu du message d’apparaître dans le payload de la notification.

ADP (Protection avancée des données)

Option de chiffrement renforcé d’iCloud, activable dans Réglages Système > [ton nom] > iCloud. Une fois active, seuls tes appareils de confiance détiennent les clés de chiffrement de la quasi-totalité de tes données iCloud. Apple ne peut plus les lire, même sous injonction judiciaire. Exceptions : iCloud Mail, Contacts et Calendrier restent lisibles par Apple pour des raisons d’interopérabilité (CalDAV/CardDAV). Retirée au Royaume-Uni depuis 2025 sous pression gouvernementale.

ANSSI (Agence nationale de la sécurité des systèmes d’information)

Autorité nationale française en matière de cybersécurité, rattachée au Premier ministre. Publie les référentiels de sécurité, coordonne la réponse aux incidents majeurs, et supervise la transposition des directives européennes comme NIS2 en France. Recense les entités concernées par NIS2 et publie les guides de conformité.

ATT (App Tracking Transparency)

Mécanisme Apple introduit avec iOS 14.5 (avril 2021) qui oblige chaque application à demander l’autorisation explicite de l’utilisateur avant de suivre son activité sur d’autres apps et sites web. Le suivi en question concerne l’identifiant publicitaire mobile (MAID) — utilisé pour construire des profils cross-applications. Limite significative : ATT ne bloque pas la collecte de ta localisation par une app qui en a une permission fonctionnelle légitime (météo, navigation). Cette localisation peut malgré tout alimenter les réseaux publicitaires RTB via des SDK intégrés.

Age broker (courtier d’âge)

Acteur, public ou privé, qui certifie l’âge d’un utilisateur pour le compte d’un service tiers. Quand une plateforme veut vérifier que tu es majeur sans avoir à manipuler elle-même tes papiers, elle délègue cette vérification à un broker qui retourne un simple « oui/non ». Plusieurs textes en cours (US HR 8250, Illinois HB 5511, UK Online Safety Act) imposent ce rôle aux fournisseurs d’OS (Apple, Google, Microsoft) ou à des prestataires accrédités. Le risque privacy est structurel : centralisation chez deux ou trois acteurs, agrégation possible avec d’autres données, et impossibilité technique de garantir le « zero-knowledge » dans la plupart des implémentations actuelles.

Age verification (vérification d’âge)

Mécanisme imposant aux services en ligne de vérifier l’âge de leurs utilisateurs avant de leur donner accès à certains contenus ou fonctionnalités. Plusieurs juridictions sont passées d’une vérification déclarative (cocher une case) à une vérification cryptographique forte impliquant pièce d’identité, scan biométrique, carte bancaire, ou attestation OS-level. UK Online Safety Act, Australia Online Safety Amendment, Brésil Loi 15.211/2025, app EU age verif, US HR 8250 et Illinois HB 5511 en sont les implémentations principales en 2026. Une lettre ouverte signée par 371 chercheurs en cybersécurité (mars 2026, dont Ronald Rivest et Bart Preneel) qualifie les rollouts en cours de « dangerous and socially unacceptable ».

BootROM

Code de démarrage gravé physiquement dans le chip Apple Silicon à la fabrication. Immuable, impossible à modifier par logiciel. Premier maillon de la chaîne de confiance Secure Boot : il vérifie l’authenticité de chaque composant qui démarre ensuite.

Bouncer (CrowdSec)

Composant de CrowdSec qui applique les décisions du moteur. Le moteur détecte et décide de bannir une IP, mais ne touche pas lui-même au pare-feu, c’est le bouncer qui pose la règle de blocage. Le bouncer firewall (nftables ou iptables) jette l’IP fautive hors de ton serveur. Séparation volontaire : tu peux avoir plusieurs bouncers (pare-feu, reverse proxy web) qui appliquent les mêmes décisions à leur niveau.

Cache de pages (page cache)

Zone de la mémoire vive où le noyau garde une copie des fichiers récemment lus, pour éviter de retourner les chercher sur le disque à chaque accès. Un binaire exécuté plusieurs fois est servi depuis ce cache. Corrompre le cache de pages revient donc à changer ce que le système croit exécuter, sans jamais toucher au fichier posé sur le disque. C’est le mécanisme exploité par la faille pedit COW (CVE-2026-46331) dans l’évasion SharedRoot de Claude Cowork.

Daemon

Processus informatique qui tourne en arrière-plan sur un système, sans interface visible, et qui démarre automatiquement avec la session utilisateur. Sur macOS, les daemons sont gérés par launchd. Proton Bridge est un daemon : il tourne silencieusement, fait son travail (déchiffrer les emails, exposer IMAP local), et n’a pas de fenêtre ouverte en permanence. L’icône dans la barre de menus est sa seule présence visible.

Bridge IMAP

Outil logiciel de Proton Mail (Proton Mail Bridge) qui permet d’utiliser un client email tiers, Apple Mail, Thunderbird, Outlook, avec un compte Proton. Il s’installe localement sur ton Mac et gère le chiffrement/déchiffrement de façon transparente. Disponible uniquement sur les plans payants.

Chaîne d’approvisionnement logicielle (software supply chain)

Tout le trajet d’un logiciel jusqu’à ta machine : qui l’écrit, qui le compile, qui le signe, qui pousse le binaire dans la mise à jour. C’est une chose bien distincte de l’adresse où l’éditeur est immatriculé juridiquement. Un logiciel peut être édité par une société européenne et voir son code écrit ou signé ailleurs, et c’est cette chaîne, pas le registre du commerce, qui décide à qui tu fais réellement confiance. Voir aussi supply chain attack.

Chiffrement au repos

Chiffrement des données stockées sur un serveur (par opposition au chiffrement en transit). Protège les données si le serveur est physiquement compromis. La distinction clé : avec Gmail, Google chiffre tes emails au repos mais détient les clés. Avec Proton, le chiffrement est fait avant envoi, Proton ne détient pas les clés.

Chiffrement côté client

Méthode de chiffrement où les données sont chiffrées sur l’appareil de l’utilisateur avant d’être envoyées au serveur. Le fournisseur ne reçoit que des données déjà chiffrées et ne détient pas les clés pour les déchiffrer. C’est la base du modèle zero-knowledge. Distinct du chiffrement au repos (le fournisseur chiffre sur son serveur mais détient les clés) et du chiffrement en transit (données chiffrées pendant le transfert seulement). Proton Drive utilise le chiffrement côté client ; iCloud Drive sans ADP et Infomaniak kDrive utilisent le chiffrement au repos.

Chiffrement de bout en bout (E2EE)

End-to-End Encryption. Méthode de chiffrement où seuls l’expéditeur et le destinataire possèdent les clés pour lire le contenu. Le fournisseur du service (Proton, Signal…) ne peut techniquement pas accéder aux données, même sous injonction judiciaire.

Client-side scanning

Technique de surveillance qui consiste à scanner le contenu d’un message, d’une photo ou d’un fichier directement sur l’appareil de l’utilisateur, avant le chiffrement et l’envoi. Le contenu est comparé à une base de données (par exemple de contenus pédopornographiques) et signalé aux autorités en cas de correspondance. Le chiffrement de bout en bout reste “techniquement” intact pendant le transport, mais le contenu a été lu avant d’être chiffré. C’est le mécanisme au coeur du règlement CSAR (Chat Control 2.0) proposé par l’UE.

CAPI (Central API, réseau communautaire CrowdSec)

API centrale de CrowdSec à laquelle ton moteur est inscrit par défaut. Fonctionne dans les deux sens : quand tu bannis une IP, tu remontes un signal minimal (l’adresse, le scénario, l’horodatage, jamais tes journaux), et en retour tu télécharges la liste communautaire agrégée. Résultat, tu bloques des attaquants repérés ailleurs sans les avoir jamais croisés. Désinscription possible pour tourner en pur local.

CrowdSec

Moteur de sécurité open source et auto-hébergé qui lit tes journaux (SSH, web, mail), détecte les comportements malveillants via des scénarios, et bloque les IP fautives au niveau réseau, seul ou via la liste communautaire partagée. Séparé en deux : le moteur décide, le bouncer applique. Alternative souveraine aux services anti-intrusion SaaS. Voir aussi bouncer, CAPI.

CTI (Cyber Threat Intelligence)

Renseignement sur les menaces : la collecte et le partage d’informations sur les attaquants (adresses IP, scénarios, tactiques) pour anticiper les attaques. Dans CrowdSec, la CTI communautaire alimente la liste des IP malveillantes connues que tu télécharges avant même ta première attaque.

CSAR (Child Sexual Abuse Regulation)

Proposition de règlement européen, aussi connue sous le nom “Chat Control 2.0”. Obligerait les services de messagerie à détecter les contenus pédopornographiques (CSAM) dans les communications privées, y compris chiffrées de bout en bout, via du client-side scanning. En trilogue depuis décembre 2025.

Cyber Solidarity Act

Règlement européen (UE 2025/38, en vigueur le 4 février 2025) qui organise la solidarité cyber entre États membres : mécanismes d’alerte partagés, réserve d’intervention mobilisable en cas de crise, budget commun. À ne pas confondre avec le CSAR (Chat Control), qui vise la surveillance des messageries. Même famille de sigles, sujets opposés.

CVE (Common Vulnerabilities and Exposures)

Identifiant standardisé d’une vulnérabilité de sécurité, format CVE-AAAA-NNNN (année + numéro). Maintenu par MITRE et le NIST via la base NVD (National Vulnerability Database). Chaque CVE possède un score de gravité CVSS de 0 à 10 (CRITICAL ≥ 9, HIGH 7-8.9, MEDIUM 4-6.9, LOW < 4) et un statut (Awaiting Analysis, Analyzed, Modified, Reserved). Tous les correctifs sécurité sérieux référencent leur CVE. Tu peux consulter le détail d’une CVE sur nvd.nist.gov/vuln/detail/CVE-....

CLOUD Act

Clarifying Lawful Overseas Use of Data Act. Loi américaine de 2018 qui autorise les autorités américaines à contraindre des entreprises américaines (Google, Microsoft, Amazon…) à remettre des données stockées à l’étranger, sans passer par les mécanismes habituels de coopération judiciaire internationale. S’applique à Gmail, OneDrive, iCloud (serveurs US) indépendamment de ta nationalité ou de ta localisation.

Coalition Against Stalkerware

Coalition internationale fondée en 2019 par l’Electronic Frontier Foundation, Kaspersky, Malwarebytes, Norton, le Centre Hubertine Auclert (France), WESNET (Australie) et une dizaine d’autres organisations. Centralise les ressources pour les victimes de stalkerware (kits de réponse, conseils techniques, contacts par pays) et coordonne la détection multi-éditeurs. Site : stopstalkerware.org, contenu multilingue dont français. Référence quand tu suspectes une installation active sur ton appareil ou celui d’un proche.

Data Privacy Framework (DPF)

Accord de transfert de données UE-États-Unis adopté par la Commission européenne en juillet 2023, en remplacement du Privacy Shield invalidé par l’arrêt Schrems II. Il autorise à nouveau les transferts de données personnelles vers les entreprises américaines certifiées. Déjà contesté par des organisations comme NOYB, son avenir juridique reste incertain.

DLP (Data Loss Prevention)

Ensemble de mécanismes qui scannent les contenus circulant dans une organisation (emails sortants, fichiers partagés, messages collaboratifs) pour bloquer la fuite d’informations sensibles : numéros de carte bancaire, identifiants personnels, secrets internes, propriété intellectuelle. Implémenté côté serveur dans Google Workspace (modules Vault et DLP), Microsoft 365 (Microsoft Purview), et certaines suites collaboratives. Implication structurelle : le fournisseur doit pouvoir lire le contenu en clair pour le scanner, ce qui exclut par construction les services zero-knowledge ou E2EE de bout en bout. Un Workspace plein E2EE ne peut pas faire de DLP côté serveur sur le contenu — c’est un trade-off explicite.

DMA (Digital Markets Act)

Règlement européen en vigueur depuis mars 2024 qui vise à limiter les pratiques anticoncurrentielles des grandes plateformes (Apple, Google, Meta…). Pour les utilisateurs Apple, le DMA ouvre notamment la porte au sideloading sur iOS : installer des applications sans passer par l’App Store. Concrètement, si Signal ou une autre messagerie devait quitter l’App Store européen, le DMA rendrait techniquement possible la distribution via un canal alternatif.

Docker

Déduplication

Technique de sauvegarde qui ne stocke qu’une seule fois les blocs de données identiques, même s’ils apparaissent dans plusieurs fichiers ou plusieurs instantanés successifs. Au lieu de recopier intégralement tes données à chaque sauvegarde, l’outil ne transfère que ce qui a réellement changé. Résultat, le volume de stockage hors-site reste contenu et les sauvegardes successives sont rapides. Kopia, restic et Borg l’appliquent nativement.

Outil de conteneurisation qui isole des applications dans des “conteneurs” indépendants sur un même serveur. Chaque conteneur embarque tout ce dont l’application a besoin pour fonctionner (code, dépendances, configuration), sans interférer avec le reste du système. Nextcloud AIO, par exemple, tourne dans un conteneur Docker, ce qui simplifie l’installation et les mises à jour.

DNS

Domain Name System. L’annuaire d’internet : il traduit un nom de domaine (macsouverain.com) en adresse IP (83.228.215.109). Par défaut, les requêtes DNS passent souvent en clair, ton FAI voit donc quels sites tu consultes, même en HTTPS.

DNSCrypt

Protocole de chiffrement et d’authentification des requêtes DNS, antérieur à DoH et DoT, créé en 2011. Authentifie cryptographiquement la réponse du resolver pour éviter qu’un attaquant ne se fasse passer pour lui. Largement supporté par les resolvers communautaires no-logs et par les clients comme dnscrypt-proxy. Distinct de DoH/DoT : DNSCrypt utilise son propre format chiffré, DoH s’appuie sur HTTPS, DoT sur TLS dédié. Dans la pratique, un client moderne comme dnscrypt-proxy parle les trois.

dnscrypt-proxy

Service local open source qui tourne sur ta machine et devient ton resolver DNS. Reçoit les requêtes système sur 127.0.0.1:53, les chiffre via DNSCrypt, DoH ou DoT, et les envoie à un ou plusieurs resolvers upstream (Quad9, Mullvad, communautaires). Cache local, anti-leak natif (force toutes les requêtes système dans son tunnel), filtrage de domaines optionnel, multi-resolvers anycast. Installable sur macOS via brew install dnscrypt-proxy. Configuration dans /opt/homebrew/etc/dnscrypt-proxy.toml.

DNSSEC

Domain Name System Security Extensions. Ensemble d’extensions cryptographiques qui signent les enregistrements DNS pour permettre au resolver de vérifier qu’une réponse vient bien du serveur autoritaire légitime du domaine, et pas d’un attaquant qui se serait interposé. Protège contre l’empoisonnement de cache et les réponses forgées. DNSSEC ne chiffre pas les requêtes (c’est le rôle de DoH/DoT/DNSCrypt), il garantit leur authenticité. Activé côté resolver (Unbound le fait nativement) et côté domaine signé.

DINUM (Direction interministérielle du numérique)

Direction française rattachée au Premier ministre, chargée de la stratégie numérique de l’État. En avril 2026, elle annonce un plan de migration de 2,5 millions de postes administration vers Linux, avec sept axes de réduction de dépendance (postes de travail, outils collaboratifs, antivirus, IA, bases de données, virtualisation, équipements réseau). Visio souveraine pour 200 000 agents fin 2026, 2,5 millions en 2027. Plans ministériels dus avant l’automne 2026. C’est l’un des contre-mouvements souverains les plus structurés en Europe.

DNS-over-HTTPS (DoH)

Protocole qui chiffre les requêtes DNS dans un tunnel HTTPS standard, sur le port 443. Pour un observateur extérieur (FAI, admin réseau), le trafic est indistinguable du reste de la navigation web. Protège la destination de tes requêtes DNS sans qu’elle soit visible en clair sur le réseau. Supporté nativement sur macOS depuis Big Sur (macOS 11).

DNS-over-TLS (DoT)

Protocole qui chiffre les requêtes DNS dans un tunnel TLS dédié, sur le port 853. Techniquement similaire au DoH sur le plan de la protection, mais plus facile à identifier et à bloquer par les administrateurs réseau. Les deux (DoH et DoT) font la même chose sur le fond : rendre tes requêtes DNS illisibles pour les acteurs réseau.

Espace de noms utilisateur (user namespace)

Mécanisme du noyau Linux qui donne à un processus sa propre vue des identités d’utilisateurs. Concrètement, tu peux être un utilisateur ordinaire sur la machine et root à l’intérieur de ton espace de noms. C’est le socle des conteneurs sans privilèges, et c’est aussi une porte d’entrée classique vers l’escalade de privilèges, puisque le processus y obtient des capacités noyau qu’il n’aurait jamais eues autrement. Les désactiver pour les processus non privilégiés est un durcissement courant.

Evil Twin

Attaque Wi-Fi où un attaquant crée un faux point d’accès portant le même nom qu’un réseau légitime (le Wi-Fi du café, de l’hôtel…). Ton appareil s’y connecte automatiquement, et l’attaquant peut observer ou manipuler ton trafic.

Easy Switch

Outil d’import intégré à Proton Mail qui permet de migrer ses emails, contacts et calendriers depuis Gmail, Yahoo ou Outlook directement dans Proton. La connexion se fait via OAuth (aucun mot de passe à donner à Proton), et l’import s’effectue en arrière-plan. Disponible depuis les paramètres de Proton Mail web.

ECH (Encrypted Client Hello)

Ed25519

Algorithme de signature cryptographique moderne, basé sur les courbes elliptiques, utilisé notamment pour générer des paires de clés SSH. Comparé aux anciennes clés RSA, une clé Ed25519 est beaucoup plus courte, plus rapide à vérifier, et au moins aussi solide. C’est le choix par défaut recommandé aujourd’hui pour s’authentifier sur un serveur par clé plutôt que par mot de passe, via la commande ssh-keygen -t ed25519.

Extension du protocole TLS qui chiffre la partie “bonjour” de l’établissement d’une connexion HTTPS, là où ton navigateur annonce encore en clair quel domaine il souhaite contacter (le SNI). Sans ECH, un observateur réseau peut savoir à quel site tu te connectes même si le DNS est chiffré. Les navigateurs majeurs (Chrome, Firefox, Safari depuis Sequoia) supportent ECH côté client. Le frein au déploiement complet est côté serveurs : seuls les services utilisant Cloudflare ou quelques grands CDN ont activé ECH. Pour les sites auto-hébergés, le SNI reste lisible en clair.

Entraide judiciaire internationale

Procédure par laquelle un État demande à un autre État de l’aider dans une enquête judiciaire, par exemple pour obtenir des données hébergées sur son territoire. Beaucoup plus lente et encadrée qu’une simple injonction domestique. C’est ce qui protège les données hébergées en Suisse : un gouvernement étranger ne peut pas exiger directement l’accès, il doit passer par un juge suisse.

Electron (apps)

Technologie qui permet de construire des apps de bureau (Discord, Slack, Teams, Notion, VS Code, Spotify…) en réutilisant du code web. Une app Electron embarque une version du moteur Chrome à l’intérieur d’elle-même. Conséquence : si Chrome corrige un bug, l’app Electron continue à tourner sur l’ancienne version jusqu’à sa prochaine mise à jour. Les apps Electron qui se mettent à jour rarement deviennent des cibles de choix quand de nouvelles failles Chrome sont découvertes.

Exploit navigateur

Code conçu pour tirer parti d’une faille dans un navigateur web ou dans le moteur d’un navigateur embarqué (comme Chrome dans une app Electron). Permet à un attaquant de faire exécuter un programme sur ta machine sans ta permission, typiquement en t’envoyant un lien ou un message piégé. La convention des chercheurs en sécurité pour prouver qu’un exploit fonctionne : ouvrir la calculatrice de la machine cible (“pop calc”). Si la calc s’ouvre sans autorisation, n’importe quel autre programme peut s’ouvrir.

FAI

Fournisseur d’Accès à Internet. Orange, Free, SFR, Swisscom… L’entreprise qui te connecte à internet, et qui voit les métadonnées de tout ton trafic.

Fatigue d’alerte

État où une équipe de sécurité reçoit tant de notifications, souvent des faux positifs ou des doublons, qu’elle finit par les ignorer. Une alerte noyée dans le bruit n’est pas vue, et un vrai incident passe avec les autres. Pire que l’absence d’alerte, parce qu’elle donne l’illusion d’être couvert. Se combat en calibrant les seuils (quel niveau de règle notifie quel canal) et en dédupliquant en amont, dans la fréquence et la fenêtre temporelle des règles, jamais au moment de la notification.

FISA 702

Section 702 du Foreign Intelligence Surveillance Act américain. Autorise la NSA à collecter sans mandat judiciaire les communications électroniques de cibles étrangères situées hors des États-Unis. En pratique, les communications de citoyens et résidents américains « in contact with » ces cibles sont également balayées. La réautorisation pour dix-huit mois supplémentaires votée fin avril 2026 a été qualifiée de « clean extension », sans amendement « warrant requirement ». La NSA peut ensuite chercher dans cette base massive des communications d’Américains sans mandat (« backdoor searches »), pratique régulièrement dénoncée par l’EFF et le Brennan Center for Justice.

Forge Git

Plateforme web qui héberge des dépôts Git et fournit une interface pour naviguer dans le code, gérer les versions, suivre les problèmes. GitHub (Microsoft), GitLab et Gitea en sont des exemples. Gitea est une forge légère et auto-hébergeable, alternative souveraine aux plateformes centralisées.

Fuite DNS (DNS leak)

Situation où les requêtes DNS d’un utilisateur contournent le tunnel VPN et atteignent directement le résolveur DNS du FAI, révélant ainsi les domaines visités. Un VPN peut chiffrer tout le trafic web tout en laissant le DNS fuir en dehors du tunnel, selon sa configuration. Les VPN sérieux forcent toutes les requêtes DNS à passer par leur propre résolveur. Vérifiable sur dnsleaktest.com.

Forward secrecy (confidentialité persistante)

Propriété cryptographique qui garantit que la compromission d’une clé de session ne permet pas de déchiffrer les échanges passés. Chaque conversation génère des clés temporaires éphémères : même si un attaquant enregistre le trafic chiffré aujourd’hui et accède à la clé privée demain, les échanges passés restent illisibles. Signal et Proton Mail implémentent la forward secrecy. C’est une propriété distincte du chiffrement de bout en bout, et un indicateur de maturité cryptographique sérieuse.

FSB

Service fédéral de sécurité russe, héritier du KGB. Dans le contexte de la souveraineté logicielle, il joue aussi un rôle d’autorité de certification : à ce titre, il a accès au code source des logiciels soumis pour homologation. Quand un éditeur passe par cette voie, ses sources ne restent pas privées.

FSTEC

Service fédéral russe de contrôle technique et des exportations, rattaché au ministère de la Défense. Il certifie la sécurité des logiciels destinés aux administrations et aux infrastructures sensibles, et pour ça il impose que le code source soit soumis à des laboratoires accrédités. Autrement dit, l’État voit le code avant de valider.

GGUF

Format de fichier de modèle d’IA quantifié, popularisé par le projet llama.cpp et utilisé par Ollama et beaucoup d’outils multiplateformes. Il embarque dans un seul fichier les poids du modèle et ses métadonnées, ce qui le rend simple à distribuer et à charger. Sur Mac, il fonctionne mais reste moins optimisé que le format MLX d’Apple : à modèle et quantification équivalents, une version MLX tourne généralement plus vite sur Apple Silicon. GGUF garde l’avantage de la portabilité, il tourne aussi sur PC et Linux.

Git

Système de contrôle de version décentralisé. Chaque modification de fichier est enregistrée, traçable, et réversible. Indispensable pour versionner du code, des configurations, ou tout projet texte. Créé par Linus Torvalds (le créateur de Linux), utilisé par à peu près tout le monde dans le développement logiciel.

Harvest now, decrypt later

Stratégie d’attaque où un adversaire intercepte et stocke aujourd’hui des communications chiffrées qu’il ne sait pas encore lire, dans l’espoir de les déchiffrer dans dix ou vingt ans, quand un ordinateur quantique suffisamment puissant existera. Concerne particulièrement le chiffrement classique (RSA, courbes elliptiques) qui tombe sous l’algorithme de Shor sur machine quantique. C’est ce que le chiffrement post-quantique cherche à neutraliser.

Hugging Face

Plateforme communautaire de référence pour héberger, partager et télécharger des modèles d’IA open source, leurs jeux de données et des démos. C’est le « dépôt » où la quasi-totalité des modèles ouverts (Qwen, Mistral, Llama, Gemma…) sont publiés, souvent en plusieurs variantes de format et de quantification. Des outils comme LM Studio ou Ollama vont y chercher les modèles pour toi, sans que tu aies à naviguer sur le site. Héberger un modèle sur Hugging Face ne dit rien de sa licence : il faut vérifier au cas par cas si l’usage commercial est autorisé (Apache 2.0, MIT) ou restreint.

HTTPS

HyperText Transfer Protocol Secure. Version chiffrée du protocole HTTP. Protège le contenu échangé entre ton navigateur et un site web. Ne protège pas les métadonnées (quel site tu visites, quand, combien de fois).

Identity broker (courtier d’identité)

Service qui authentifie un utilisateur pour le compte de plusieurs sites ou applications tiers, en centralisant la vérification d’identité. World ID (Tools for Humanity / Sam Altman) avec ses 18 millions d’utilisateurs vérifiés par scan d’iris dans 160 pays, GOV.UK Wallet pour le Royaume-Uni, ou les wallets numériques EUDI sont des exemples opérationnels. Le risque structurel : un tiers acquiert une vue agrégée de chaque interaction d’un utilisateur avec l’ensemble des services intégrés, et la centralisation crée une cible massive pour attaques et coercition légale. Position éditoriale Mac Souverain : tout broker d’identité non zero-knowledge est par construction un point de surveillance.

iCloud Private Relay

Service inclus dans iCloud+ qui chiffre les requêtes DNS et le trafic Safari, et les fait sortir via un double relais : un serveur Apple (qui voit ton IP mais pas la destination) puis un partenaire externe, généralement Cloudflare ou Akamai (qui voit la destination mais pas ton IP). Couvre uniquement Safari et certaines API système iCloud, pas Chrome, Firefox, Mail, Slack ou les apps tierces. Désactive le DNS configuré au niveau OS pour son périmètre. Utile en complément, mais ne remplace pas un resolver souverain pour le reste du trafic.

IMAP

ISO 27001

Norme internationale qui définit les exigences d’un système de management de la sécurité de l’information. Un datacenter ou un hébergeur certifié ISO 27001 a fait auditer par un organisme indépendant ses procédures de gestion des risques, des accès et des incidents. La certification ne garantit pas qu’un service est inviolable, mais elle atteste qu’une démarche de sécurité structurée existe et qu’elle est contrôlée régulièrement.

Indexeur

Composant d’un moteur de recherche ou d’un SIEM qui range les journaux entrants dans une structure de données optimisée, pour pouvoir ensuite les rechercher et les corréler en quasi temps réel. Dans Wazuh, l’indexeur (un dérivé d’OpenSearch) est la brique la plus gourmande en mémoire vive : c’est lui qui fixe le minimum de RAM d’un serveur SIEM. En dessous de 8 Go, il rame ou s’arrête.

Integrator (integratord)

Démon de Wazuh qui lit le flux d’alertes en continu et pousse chaque alerte au-dessus d’un seuil vers un canal externe (chat auto-hébergé, webhook, script custom). Il démarre avec le manager et se configure dans ossec.conf via des blocs <integration>, chacun avec son propre seuil <level> sur l’échelle 0 à 16. À distinguer des notifications email natives, gérées directement par le manager. C’est la brique qui transforme un SIEM qui détecte en un SIEM qui prévient.

Internet Message Access Protocol. Protocole standard de récupération des emails. À l’inverse de POP3 (qui télécharge et supprime les emails du serveur), IMAP synchronise en temps réel entre le serveur et ton client mail, les emails restent sur le serveur, accessibles depuis plusieurs appareils. Proton Mail utilise son propre protocole propriétaire, mais Proton Bridge expose une interface IMAP standard sur 127.0.0.1 pour permettre à Apple Mail et d’autres clients de fonctionner normalement.

KIP (Kernel Integrity Protection)

Protection hardware d’Apple Silicon qui empêche toute modification du noyau macOS en cours d’exécution, même avec les droits root. Le code du noyau en mémoire est protégé en écriture par le processeur. Rend structurellement impossible toute une catégorie d’attaques qui consistaient à injecter du code malveillant dans le noyau d’un Mac en marche.

kDrive

Service de stockage cloud d’Infomaniak, hébergeur suisse basé à Genève. Propose 15 Go gratuits, puis des plans payants à partir de 2 To. Spécificités : datacenters propriétaires en Suisse, support WebDAV natif pour montage dans le Finder, OnlyOffice intégré pour la co-édition de documents en temps réel. Juridiction suisse (nLPD). Attention : kDrive utilise le chiffrement au repos et en transit, mais pas le chiffrement côté client (E2EE). Infomaniak détient les clés de chiffrement.

KMS (Key Management Service)

Service de gestion de clés cryptographiques proposé par les hyperscalers (AWS KMS, Google Cloud KMS, Azure Key Vault) pour stocker, faire tourner et auditer les clés qui chiffrent les données d’une organisation. Deux modes principaux : provider-managed (le fournisseur génère et conserve la clé), et customer-managed encryption keys (CMEK ou BYOK / HYOK, l’organisation conserve la clé et l’expose au service via une API). Google Workspace propose CSE (Client-Side Encryption) avec un KMS externe pour Drive, Docs, Meet et Gmail : la clé reste hors-Google, ce qui exclut Google d’une éventuelle injonction CLOUD Act portant sur le contenu en clair. Limite fonctionnelle : le contenu chiffré côté client casse une bonne partie des fonctions serveur (recherche full-text, DLP, indexation, prévisualisation), c’est un arbitrage explicite.

Kill switch

Kopia

Outil de sauvegarde open source qui chiffre les données côté client, avant de les envoyer vers un stockage distant. Il fait de la déduplication pour limiter le volume transféré et sait écrire vers un stockage compatible S3, du cloud souverain à un NAS local. La clé de chiffrement reste chez toi : même l’hébergeur du backup ne peut pas lire ce qu’il stocke. Perdre cette clé rend les sauvegardes définitivement illisibles, y compris pour toi.

Fonction d’un VPN qui coupe automatiquement ta connexion internet si le tunnel VPN se déconnecte. Empêche toute fuite de trafic non chiffré, même une seconde.

MLS (Messaging Layer Security)

Protocole de chiffrement de groupe standardisé par l’IETF (RFC 9420). Conçu pour les communications de groupe (visioconférence, messagerie multi-participants) avec chiffrement de bout en bout natif. Contrairement aux protocoles plus anciens, MLS supporte nativement l’ajout et le retrait de participants tout en maintenant la confidentialité des échanges passés et futurs (forward secrecy + post-compromise security). Utilisé par Proton Meet depuis son lancement le 31 mars 2026. Signal, WhatsApp et d’autres messageries travaillent également à son adoption.

Matrix

Protocole de communication ouvert et décentralisé pour la messagerie instantanée, les appels voix/vidéo et le partage de fichiers, le tout chiffré de bout en bout. Contrairement à Slack ou WhatsApp, Matrix est fédéré : tu peux héberger ton propre serveur et communiquer avec les utilisateurs d’autres serveurs. Synapse est le serveur de référence, Element le client le plus courant.

Mesh network

Réseau dans lequel chaque appareil (nœud) se connecte directement aux autres, en peer-to-peer, sans passer par un serveur central. Si un nœud tombe, les autres continuent de communiquer. Tailscale crée un mesh network chiffré via WireGuard entre tous tes appareils.

MAID (Mobile Advertising Identifier)

Identifiant publicitaire unique attribué à chaque appareil mobile par son système d’exploitation (IDFA sur iOS, GAID sur Android). Permet aux annonceurs et aux courtiers en données de suivre un utilisateur d’application en application pour construire un profil comportemental. Réinitialisable dans les réglages (Réglages > Confidentialité et sécurité > Suivi sur iOS), ce qui génère un nouvel identifiant et coupe le lien avec l’historique précédent, sans l’effacer dans les bases de données tierces.

MFA (Multi-Factor Authentication)

Authentification multifacteur : mécanisme qui exige au moins deux preuves d’identité pour accéder à un compte (mot de passe + code SMS, clé physique, biométrie, etc.). Réduit drastiquement le risque de compromission même en cas de vol de mot de passe. Rendu obligatoire par la directive NIS2 pour les entités concernées.

Man-in-the-middle (MITM)

Attaque où un tiers s’interpose entre toi et le serveur avec lequel tu communiques, pour intercepter, lire ou modifier les échanges. Fréquent sur les réseaux Wi-Fi publics non sécurisés.

MCP (Model Context Protocol)

Protocole standard publié par Anthropic en novembre 2024 pour brancher des outils, données et services à un grand modèle de langage (LLM). Concrètement, c’est ce qui permet à Claude Desktop, Cursor ou Windsurf de lire ton filesystem, requêter une base de données, ou exécuter une commande shell. Repose sur deux interfaces principales, STDIO (process local) et HTTP/SSE (réseau). L’interface STDIO est implémentée par défaut sans isolation, ce qui en fait un vecteur d’attaque documenté en avril 2026 par OX Security (200 000 instances vulnérables, position Anthropic “by design”).

MDM (Mobile Device Management)

Mécanisme de gestion à distance d’appareils Apple, à l’origine conçu pour les flottes d’entreprise et les parcs scolaires. Un profil de configuration MDM, installé sur un iPhone ou un iPad, donne à un administrateur des droits étendus : forcer un code, restreindre des apps, lire l’inventaire matériel, parfois pousser ou retirer des applications. Le profil peut être marqué removalDisallowed pour empêcher la victime de le supprimer sans connaître le code de supervision. Côté entreprise c’est légitime. Côté domestique, c’est devenu le vecteur principal du stalkerware iPhone : un proche supervise ton téléphone via Apple Configurator pendant deux minutes, installe un profil au nom anodin (« iOS Update », « Battery Optimizer »), et lit ensuite tes données à distance. Visible dans Réglages > Général > VPN et gestion des appareils.

Métadonnées

Les données sur les données. Pour un email : qui l’a envoyé, à qui, quand, depuis quelle IP, mais pas le contenu. Pour ta navigation : quels sites, à quelle heure, quelle fréquence. Souvent plus révélatrices que le contenu lui-même.

MIE (Memory Integrity Enforcement)

Protection mémoire kernel introduite par Apple avec la puce M5 (annoncée 2025), gravée dans le silicium. S’appuie sur l’extension matérielle MTE d’ARM v9 (Memory Tagging Extension) : chaque allocation mémoire reçoit une étiquette secrète, et le processeur refuse toute lecture ou écriture dont l’étiquette ne correspond pas. Conçu pour bloquer en hardware les classes entières de corruption mémoire (use-after-free, buffer overflow) qui sont à l’origine de la majorité des exploits kernel macOS et iOS. Présenté par Apple comme l’aboutissement de cinq ans de travail défensif. Premier bypass public démontré le 14 mai 2026 par Calif.io avec l’aide de Mythos d’Anthropic, patché dans macOS Tahoe 26.5 le 11 mai 2026.

MTE (Memory Tagging Extension)

Extension matérielle de l’architecture ARM v9, sur laquelle Apple appuie MIE. Le processeur attribue une étiquette de 4 bits à chaque bloc de 16 octets de mémoire, et la même étiquette est stockée dans les pointeurs qui y accèdent. Toute discordance déclenche une exception kernel. Première implémentation sérieuse dans une puce grand public avec le M5. À distinguer de MTE software-only (Google a tenté l’approche sur Pixel) qui n’offre pas les mêmes garanties.

NEFilterDataProvider (Network Extension)

Framework Apple introduit avec macOS Big Sur (2020) qui remplace les anciens kernel extensions (kext) pour le filtrage réseau. Les pare-feu sortants modernes (Little Snitch 5+, LuLu 2+) tournent en NetworkExtension userspace, pas en kernel. Avantages : plus de risque de kernel panic lié à un kext tiers, signature Apple obligatoire, sandboxing strict. Limite : un seul NEFilterDataProvider actif à la fois sur macOS — installer LS et LuLu en même temps est impossible (l’un écrase l’autre).

NIS2 (Network and Information Security 2)

Directive européenne de cybersécurité entrée en vigueur en janvier 2023. Élargit les obligations de sécurité à environ 15 000-18 000 entités françaises (contre ~500 sous NIS1) : toute organisation de plus de 50 salariés et 10 millions d’euros de chiffre d’affaires dans les secteurs couverts (santé, énergie, numérique, finances, transports). L’article 21 impose notamment le chiffrement des données en transit et au repos, la MFA et des communications sécurisées. L’article 20 engage la responsabilité personnelle des dirigeants. La France n’avait pas encore transposé NIS2 dans sa législation nationale en avril 2026 (deadline : octobre 2024). En contradiction structurelle avec le règlement CSAR qui veut contourner le chiffrement par design.

No-logs

Politique d’un fournisseur VPN qui affirme ne conserver aucun journal de tes connexions (sites visités, horaires, adresses IP). Fiable uniquement si vérifiée par un audit indépendant.

Nextcloud

Plateforme de collaboration open source auto-hébergeable : stockage de fichiers, calendrier, contacts, notes, visioconférence. Alternative souveraine à Google Workspace et Microsoft 365. La version AIO (All-in-One) simplifie le déploiement via Docker. Supporte le chiffrement de bout en bout (E2EE) côté client.

nLPD (nouvelle Loi fédérale sur la Protection des Données)

Loi suisse de protection des données personnelles, révisée et entrée en vigueur en septembre 2023. Proche du RGPD européen dans ses principes (consentement, transparence, droit d’accès), mais distincte juridiquement. Les entreprises suisses comme Proton ou Infomaniak sont soumises à la nLPD, et conformes au RGPD pour les données de résidents européens (application extraterritoriale du RGPD, article 3).

OAuth

Open Authorization. Protocole standard qui permet à une application d’accéder à tes données sur un autre service, sans que tu lui donnes ton mot de passe. Tu autorises explicitement l’accès via une fenêtre du service d’origine (Google, Apple…), qui génère un jeton temporaire à usage limité. C’est ce que Proton Easy Switch utilise pour se connecter à Gmail : tu t’authentifies chez Google, qui donne à Proton un accès en lecture à ta boîte, sans que Proton voie jamais ton mot de passe Google.

OpenPGP

Standard ouvert de chiffrement de bout en bout pour les emails, défini par les RFC 4880 puis RFC 9580 (2024). Utilise une cryptographie à clé publique : chaque utilisateur a une clé privée gardée localement et une clé publique publiée. N’importe quel client compatible (Proton Mail, Thunderbird, GnuPG, Mailvelope, etc.) peut lire et écrire des emails OpenPGP. C’est l’opposé d’un protocole propriétaire enfermé dans une seule app. Le draft draft-ietf-openpgp-pqc étend OpenPGP avec des algorithmes post-quantiques pour résister aux ordinateurs quantiques futurs.

Online Safety Act (UK)

Loi britannique de 2023 entrée en enforcement le 25 juillet 2025 sous la supervision de l’Ofcom. Impose aux plateformes en ligne, y compris les sites adultes et certains réseaux sociaux, des obligations de protection des mineurs incluant la vérification d’âge robuste. Au premier trimestre 2026, l’Ofcom a ouvert plus de quatre-vingt-dix enquêtes et prononcé six amendes (Kick Online Entertainment 800 000 £, 8579 LLC 1,35 M£, 4chan 520 000 £). Un joint statement ICO + Ofcom (mars 2026) précise que la « self-declaration » seule n’est pas considérée comme effective. Texte modèle copié ensuite par l’Australie, le Brésil et la Commission européenne.

OnlyOffice

Suite bureautique open source (AGPLv3) développée par Ascensio System SIA, alternative à Microsoft Office et Google Docs pour le traitement de texte, les feuilles de calcul et les présentations. Compatibilité native avec les formats Microsoft (.docx, .xlsx, .pptx) et co-édition en temps réel multi-utilisateurs. S’intègre dans Nextcloud, Infomaniak kSuite (kDrive + Mail), ownCloud et plusieurs offres souveraines comme module de collaboration documentaire. Auto-hébergeable via Docker (Document Server). Position éditoriale : permet de tenir la fonction “co-édition de docs” sans Google Workspace ni Microsoft 365, à condition d’accepter le compromis de fonctionnalités face aux suites propriétaires les plus poussées.

Open source

Logiciel dont le code source est public et vérifiable par tous. Permet à des chercheurs indépendants de vérifier qu’il n’y a pas de backdoor ou de faille cachée.

Pare-feu sortant process-aware

Pare-feu qui intercepte les connexions sortantes d’une machine et rend un verdict allow/drop par process et par destination. Différence clé avec un pare-feu IP/port classique : il sait que c’est Photos.app qui parle à apple.com, pas juste “trafic HTTPS sortant”. Sur macOS, deux outils dominent : Little Snitch (Objective Development, payant, closed-source, viennois) et LuLu (Patrick Wardle / Objective-See, gratuit, OSS GPL-3.0, américain). Tous deux s’appuient sur le framework Apple NEFilterDataProvider. Complète ALF (entrant) et Santa (exécution binaires) — couches indépendantes.

Portail captif

Page web affichée automatiquement quand tu te connectes à un réseau Wi-Fi public (hôtel, café, aéroport). Tu dois généralement accepter des conditions ou t’identifier avant d’accéder à Internet. Problème : un attaquant peut créer un faux portail captif imitant celui du réseau légitime pour intercepter tes identifiants ou installer un malware.

Post-quantique (chiffrement)

Famille d’algorithmes de chiffrement conçus pour résister à un futur ordinateur quantique suffisamment puissant. Les algorithmes classiques (RSA, courbes elliptiques) seraient cassés par l’algorithme de Shor sur machine quantique mature. NIST a standardisé en août 2024 le ML-KEM (FIPS 203, dérivé de Kyber) pour l’échange de clés et le ML-DSA pour la signature. La plupart des déploiements 2026 sont hybrides : ils combinent un algorithme classique éprouvé avec un algorithme post-quantique récent, pour ne pas faire reposer la sécurité sur le seul nouveau venu en cas de faille découverte. Apple iMessage l’a déployé en février 2024 (PQ3), Signal en septembre 2023 (PQXDH), Tuta en 2024 (schéma maison), Proton Mail en mai 2026 sur OpenPGP standardisé. Le but n’est pas de protéger contre une menace existante mais d’anticiper la stratégie « harvest now, decrypt later ».

Profil de configuration

Fichier .mobileconfig qu’un iPhone, un iPad ou un Mac peut installer pour appliquer un jeu de réglages prédéfini : Wi-Fi d’entreprise, VPN, restrictions, contraintes de mot de passe, certificats racines, accès MDM. Conçu pour les administrateurs de flotte, le mécanisme est légitime quand c’est ton employeur ou ton école qui le déploie. Devient un problème quand un proche en installe un sur ton téléphone à ton insu, typiquement via Apple Configurator avec un câble : le profil peut être marqué removalDisallowed, baptisé d’un nom anodin (« iOS Update », « Battery Optimizer »), et masqué par un mot de passe Temps d’écran. À vérifier régulièrement dans Réglages > Général > VPN et gestion des appareils.

Protocole Signal

Protocole cryptographique open source développé par Open Whisper Systems, distinct de l’application Signal. Combine le chiffrement asymétrique (clés publiques/privées), la double ratchet algorithm (forward secrecy à chaque message) et le chiffrement préliminaire (X3DH). Utilisé par Signal (l’application), WhatsApp, Skype (en option) et d’autres messageries. Sa particularité : même si un attaquant récupère les clés de session d’un instant T, il ne peut pas déchiffrer les messages passés ni futurs. WhatsApp utilise le protocole Signal pour le chiffrement des messages, mais l’application reste propriétaire et collecte des métadonnées.

PAC (Pointer Authentication Codes)

Mécanisme de sécurité hardware d’Apple Silicon qui signe cryptographiquement chaque pointeur de fonction. Avant d’exécuter une fonction, le processeur vérifie la signature du pointeur, si quelqu’un l’a modifié pour rediriger vers du code malveillant, la vérification échoue. Bloque les attaques ROP et JOP, deux techniques d’exploitation massivemement utilisées.

Pixel de suivi (pixel espion)

Image transparente d’un pixel sur un pixel, hébergée sur un serveur distant, intégrée dans le HTML d’un email. Quand ton client mail charge l’image, il envoie une requête HTTP au serveur de l’expéditeur, qui enregistre ton IP, ton client mail, l’heure d’ouverture et un identifiant unique lié à ton adresse email. Résultat : l’expéditeur sait que tu as ouvert, quand, depuis quelle ville et combien de fois. Largement utilisé par les newsletters, les emails marketing B2B (Mailchimp, HubSpot, Outreach) et les services e-commerce. La CNIL a adopté le 14 avril 2026 sa recommandation sur les pixels de suivi : ils sont désormais traités comme des traceurs au sens de l’article 82 de la Loi Informatique et Libertés. Le consentement est requis par défaut, avec une seule exemption : la mesure de délivrabilité individuelle d’un email transactionnel (confirmation, alerte, reset). Apple Mail (“Protéger l’activité Mail”, “Bloquer tout le contenu distant”) et Proton Mail (filtrage côté serveur, actif par défaut) neutralisent ces pixels. Gmail ne les bloque pas.

Resolver DNS (récursif)

Serveur DNS qui fait le travail de remontée à ta place. Quand ton Mac demande proton.me, le resolver récursif interroge successivement un root server, le serveur du TLD .me, puis le serveur authoritative du domaine, et te renvoie l’adresse IP finale. Par défaut, ton resolver est celui de ton FAI (poussé en DHCP par la box). Il peut être remplacé par un resolver public (Quad9, Cloudflare, NextDNS, Mullvad), un resolver local (dnscrypt-proxy), ou un resolver récursif perso (Unbound sur VPS). Voir aussi : Root server, TLD, Serveur authoritative.

Root server

L’un des treize points d’entrée logiques de la hiérarchie DNS mondiale (lettres A à M, opérés par différentes organisations dont l’IANA, Verisign, l’US Army, RIPE NCC, etc.). Premier interlocuteur d’un resolver récursif qui n’a pas la réponse en cache. Ne donne jamais directement l’adresse d’un site, mais indique à quel serveur de TLD s’adresser ensuite (.com, .org, .fr, .eu…). En pratique, les root servers sont répliqués via anycast sur des centaines de sites dans le monde.

RCE (Remote Code Execution)

Vulnérabilité de sécurité qui permet à un attaquant d’exécuter du code arbitraire sur la machine de la victime, à distance, sans accès physique. C’est la classe d’attaque la plus grave, parce qu’elle ouvre tout : exfiltration de fichiers, installation d’un keylogger, prise de contrôle complète, pivot sur le réseau. Une RCE peut être “zero-click” (sans interaction utilisateur, comme PEGASUS sur iMessage) ou nécessiter une action déclenchante (visiter une page, ouvrir un fichier). Par opposition aux LCE (Local Code Execution) qui nécessitent un accès local préalable.

Ransomware

Logiciel malveillant qui chiffre les données de la victime (fichiers locaux, partages réseau, parfois sauvegardes accessibles) puis exige une rançon en cryptomonnaie pour fournir la clé de déchiffrement. Les variantes modernes pratiquent la “double extorsion” : exfiltration des données en parallèle du chiffrement, avec menace de publication si la rançon n’est pas payée. L’écosystème post-incident (négociateurs, assureurs cyber, cabinets de réponse) a souvent un intérêt convergent à ce que la victime paie, parfois jusqu’à la collusion explicite. Seule défense fiable : sauvegardes chiffrées côté client suivant la règle 3-2-1-1, segmentation réseau, et procédure de réponse documentée à l’avance sans dépendance à des intermédiaires.

Règle 3-2-1-1 (sauvegardes)

Convention reconnue en cybersécurité pour structurer une stratégie de backup résiliente : 3 copies des données, sur 2 supports de stockage différents, dont 1 copie hors site (géographiquement séparée), dont 1 copie hors ligne (“air-gapped”, physiquement déconnectée). La 4e composante (le second “1”) a été ajoutée à la version historique 3-2-1 pour répondre spécifiquement aux ransomwares modernes qui ciblent les sauvegardes en ligne et les répliquent dans leur chiffrement. Combinée à un outil de backup zero-knowledge (Kopia, restic, Borg) et à des restaurations testées trimestriellement, cette règle constitue le minimum vital de souveraineté sur ses données.

RTB (Real-Time Bidding)

Système d’enchères publicitaires en temps réel qui se déclenche à chaque affichage de pub dans une application ou sur un site web. En quelques millisecondes, des dizaines d’acheteurs potentiels reçoivent des données sur l’utilisateur (identifiant mobile MAID, adresse IP, localisation approximative, profil comportemental) et enchérissent pour afficher leur publicité. Le problème : à chaque enchère, ces données transitent vers tous les participants, qu’ils remportent l’enchère ou non. Des entreprises comme Webloc (Penlink) exploitent ces flux RTB à grande échelle pour de la surveillance géographique sans mandat.

ROP / JOP (Return-Oriented Programming / Jump-Oriented Programming)

Techniques d’exploitation qui réutilisent des fragments de code légitime déjà présents en mémoire (des “gadgets”) pour construire une séquence d’exécution malveillante, sans avoir à injecter de nouveau code. Contournaient historiquement les protections comme DEP/NX. PAC (sur Apple Silicon) rend ces attaques exponentiellement plus difficiles.

S/MIME

Secure/Multipurpose Internet Mail Extensions. Standard de chiffrement et de signature des emails basé sur les certificats X.509 (PKI), historiquement dominant dans les environnements entreprise et administration (Microsoft 365, Google Workspace en option payante, ministères). Chaque utilisateur dispose d’une paire clé publique/clé privée certifiée par une autorité (CA), ce qui permet à la fois de signer (authenticité de l’expéditeur) et de chiffrer un email pour un destinataire connu. Distinct d’OpenPGP : S/MIME repose sur une hiérarchie de confiance centralisée (CAs), OpenPGP sur un réseau de confiance pair-à-pair. Les deux résolvent le même problème, ils ne s’interopèrent pas. La plupart des Workspaces “secure mail” propriétaires (Workspace S/MIME hosted, Microsoft 365 Message Encryption) sont en S/MIME, jamais en OpenPGP.

Seccomp

Filtre du noyau Linux qui restreint les appels système qu’un processus a le droit d’utiliser. Bien réglé, il transforme une faille exploitable en cul-de-sac : le code hostile s’exécute, mais l’appel dont il a besoin pour aller plus loin lui est refusé.

SecNumCloud

Référentiel de qualification publié par l’ANSSI qui certifie les fournisseurs de services cloud répondant aux exigences de sécurité les plus strictes pour héberger des données sensibles ou critiques de l’État français et des opérateurs d’importance vitale. Trois piliers : sécurité technique forte, immunité juridique (pas de droit d’accès extraterritorial type CLOUD Act), gouvernance européenne (capital, sièges sociaux, personnels). En pratique, SecNumCloud exclut les hyperscalers américains à 100 % (AWS, Azure, GCP), même via leurs entités françaises ou irlandaises. Fournisseurs qualifiés : OVHcloud, Outscale (Dassault Systèmes), Numspot, Cloud Temple. Référence dans le débat européen sur la souveraineté numérique cloud.

Sideloading

Installation d’une application sur un appareil mobile sans passer par le magasin officiel (App Store sur iOS, Play Store sur Android). Sur Android, c’est possible depuis toujours via des fichiers APK. Sur iOS, le DMA (Digital Markets Act) européen l’autorise depuis mars 2024 via des “marketplaces alternatives”. Signal, par exemple, pourrait distribuer son application iOS hors App Store si elle devait quitter le marché européen.

Signature de code (code signing)

Signature cryptographique apposée sur une mise à jour logicielle. Elle garantit deux choses : l’origine (le binaire vient bien de l’éditeur annoncé) et l’intégrité (personne ne l’a modifié en route). Ce qu’elle ne garantit pas : que le contenu soit inoffensif. Un éditeur peut signer dans les règles un code qui fait quand même exactement ce que tu ne veux pas.

Secure Enclave

Cryptoprocesseur isolé intégré dans chaque chip Apple Silicon. Il possède sa propre mémoire, son propre microkernel et son propre moteur AES, totalement séparés du processeur principal. Stocke les clés biométriques (Touch ID), les clés de chiffrement FileVault, et les secrets Apple Pay. Ne livre jamais ses clés au système d’exploitation : il effectue les opérations cryptographiques à sa demande, sans les exposer.

SDK (Software Development Kit)

Ensemble d’outils qu’un développeur intègre dans son application pour ajouter une fonctionnalité sans la coder de zéro : analytics, publicité, cartographie, monétisation. Le problème privacy : les SDK publicitaires intégrés dans des apps légitimes (météo, fitness, dating) peuvent collecter silencieusement ta localisation et la revendre au marché RTB, indépendamment des politiques de l’app hôte. Tu accordes la permission de localisation à l’app, pas au SDK qui vit à l’intérieur.

Serveur authoritative (DNS)

Serveur DNS qui détient la vérité officielle pour un domaine donné. Pour proton.me, ce sont les serveurs DNS administrés par Proton (ou son délégataire). Quand un resolver récursif arrive en bout de chaîne, c’est le serveur authoritative qui lui renvoie l’adresse IP réelle. Par construction, il ne voit que les requêtes qui le concernent, jamais l’agrégat de ce que demande un utilisateur, ce qui rend la résolution récursive intrinsèquement plus respectueuse de la vie privée qu’un resolver centralisé.

Schrems II

Arrêt de la Cour de Justice de l’Union européenne du 16 juillet 2020 qui a invalidé le Privacy Shield, l’accord de transfert de données UE-US. La Cour a jugé que la surveillance américaine (FISA 702, Executive Order 12333) était incompatible avec les droits fondamentaux européens. Conséquence : stocker des données personnelles de résidents européens chez des entreprises américaines sans mesures supplémentaires pose un problème de conformité RGPD. Partiellement remplacé par le Data Privacy Framework (2023), déjà contesté.

Fingerprinting navigateur

Technique de tracking qui construit une empreinte unique à partir de signaux passifs émis par ton navigateur : rendu canvas, GPU, polices installées, résolution d’écran, timezone, plugins actifs. Cette combinaison est suffisamment distinctive pour t’identifier à travers les sites sans cookie, sans identifiant explicite, et en navigation privée. Utilisée par les réseaux adtech (Meta Pixel, Google Analytics, data brokers) pour du suivi cross-site. Ni le DNS souverain ni un VPN n’y changent quoi que ce soit : c’est une couche applicative dans le navigateur. La réponse est côté client : Firefox avec arkenfox, Brave (randomisation native), ou extensions comme CanvasBlocker.

SNI (Server Name Indication)

Extension du protocole TLS qui permet à ton navigateur d’annoncer quel domaine il souhaite contacter avant que la connexion HTTPS soit établie. Indispensable pour les serveurs qui hébergent plusieurs domaines sur la même adresse IP. Problème privacy : cette annonce se fait encore en clair dans la plupart des connexions TLS actuelles, ce qui permet à un observateur réseau de savoir à quel site tu te connectes même sans voir le DNS. Solution en cours de déploiement : ECH (Encrypted Client Hello).

SOC 2 Type II

Audit de sécurité reconnu, défini par l’AICPA (American Institute of Certified Public Accountants), qui évalue les contrôles d’une organisation sur cinq critères : sécurité, disponibilité, intégrité du traitement, confidentialité, protection des données. Type II = l’audit porte sur l’efficacité opérationnelle de ces contrôles sur une période d’observation (généralement 6 à 12 mois), pas juste sur leur existence à un instant T. Un fournisseur SOC 2 Type II audité a démontré que ses procédures de sécurité tournent réellement en conditions réelles, pas qu’elles sont simplement documentées. Proton AG est SOC 2 Type II audité depuis 2023.

SoC (System on a Chip)

Architecture où CPU, GPU, mémoire, Neural Engine, Secure Enclave et contrôleurs de sécurité sont intégrés sur un même die de silicium. Apple Silicon (M1, M2, M3, M4) est un SoC. Avantage sécurité : les communications inter-composants ne traversent plus de bus physiques exposés, et le chiffrement mémoire est géré directement dans le contrôleur intégré.

SMTP

Simple Mail Transfer Protocol. Protocole standard d’envoi des emails. Quand tu cliques sur “Envoyer” dans Apple Mail, c’est SMTP qui prend en charge la transmission du message vers le serveur de messagerie sortant. Proton Bridge expose un serveur SMTP local sur le port 1025 de 127.0.0.1, Apple Mail y envoie les emails, Bridge les chiffre et les transmet aux serveurs Proton.

S3 (stockage objet)

Standard de stockage cloud inventé par Amazon (AWS S3) devenu un protocole universel. Les données sont organisées en “objets” dans des “buckets”, accessibles via une API HTTP. De nombreux fournisseurs proposent du stockage S3-compatible (Infomaniak Swiss Backup, Backblaze B2, Scaleway), ce qui évite le vendor lock-in : tu peux changer de fournisseur sans changer d’outil de backup.

SDP (Stolen Device Protection)

Fonctionnalité de sécurité iOS activée automatiquement quand ton iPhone est loin de tes lieux habituels (domicile, bureau). Elle exige une authentification biométrique (Face ID ou Touch ID) pour les actions sensibles comme modifier le mot de passe Apple ID ou désactiver SDP elle-même. Le code PIN seul ne suffit plus. Depuis iOS 26.4, elle est activée par défaut sur les nouvelles installations.

SIP (System Integrity Protection)

Mécanisme de protection intégré à macOS qui empêche les programmes, y compris ceux avec des privilèges root, de modifier certains fichiers et dossiers système critiques. SIP protège notamment /System, /usr (sauf /usr/local), et certains attributs étendus du système de fichiers. Pour le désactiver temporairement (nécessaire pour certaines opérations avancées), il faut redémarrer en mode Recovery et utiliser csrutil disable. Apple le réactive automatiquement après chaque mise à jour majeure de macOS.

SSL stripping

Attaque qui force ta connexion à passer en HTTP (non chiffré) au lieu de HTTPS (chiffré), en interceptant la requête initiale. Le site pense que tu es en sécurité, mais l’attaquant lit tout en clair.

TCC (Transparency, Consent, and Control)

Système de permissions de macOS qui demande ton autorisation explicite avant qu’une app accède à des données sensibles : localisation, photos, contacts, microphone, caméra, historique de navigation. Quand une app veut accéder à tes photos, TCC affiche une boîte de dialogue. Sans ton “autoriser”, l’app n’y a pas accès. Attention : TCC ne couvre qu’une partie des autorisations réelles. Un second mécanisme, com.apple.macl, accorde un accès permanent via les attributs étendus des fichiers quand tu utilises le sélecteur Open/Save, le glisser-déposer ou le double-clic. Cet accès est invisible dans l’interface Confidentialité & Sécurité. La faille “Sploitlight” (mars 2026) a montré que les plugins tiers de Spotlight pouvaient contourner TCC et accéder aux données sensibles sans déclencher de demande de permission.

Trusted System Agent

Cadre proposé par Apple aux régulateurs européens en 2026 pour concilier Siri AI et les exigences d’interopérabilité du DMA : les assistants concurrents passeraient par un agent système certifié par Apple plutôt que d’accéder directement aux données de l’appareil. La Commission l’a rejeté à ce stade, et Apple en a fait l’argument pour ne pas lancer Siri AI sur iPhone et iPad dans l’UE. Le sort de ce mécanisme conditionne l’arrivée, ou non, de Siri AI en Europe.

Trilogue

Phase de négociation législative européenne à huis clos entre le Parlement européen, le Conseil de l’UE et la Commission européenne. C’est là que le texte final d’un règlement est réellement rédigé, à partir des positions respectives des trois institutions. Les trilogues ne sont pas publics, ce qui les rend opaques et difficiles à influencer pour les citoyens. Le CSAR (Chat Control 2.0) est en trilogue depuis décembre 2025.

T2 (puce de sécurité Apple)

Tailscale

Service qui crée un réseau privé chiffré, un mesh, entre tous tes appareils, par-dessus le protocole WireGuard. Tes machines se voient entre elles via des adresses privées, comme si elles étaient sur le même réseau local, alors qu’elles sont éparpillées entre un datacenter, ton bureau et chez toi. Le reste d’internet ne voit rien. Concrètement, il permet de retirer un service comme SSH de l’IP publique et de ne l’exposer que sur ce maillage privé, le rendant invisible aux scans depuis internet.

Chip de sécurité présent sur les Mac Intel de 2018 à 2020. Gérait le Secure Enclave, Touch ID, le chiffrement FileVault et le Secure Boot sur ces modèles. Remplacé et intégré directement dans le SoC Apple Silicon à partir de 2020 (M1), il n’existe plus comme composant séparé.

TLD (Top-Level Domain)

ufw (Uncomplicated Firewall)

Interface simplifiée de gestion du pare-feu sur les distributions Linux de la famille Debian et Ubuntu. Elle permet, en quelques commandes lisibles, de bloquer par défaut toutes les connexions entrantes puis de n’ouvrir que les ports strictement nécessaires. La bonne posture de durcissement consiste à tout fermer (default deny incoming) puis à n’autoriser que le service voulu, idéalement uniquement sur une interface réseau privée.

Niveau le plus élevé de la hiérarchie d’un nom de domaine, après le point final : .com, .org, .fr, .eu, .me. Chaque TLD est administré par une organisation (Verisign pour .com, AFNIC pour .fr, EURid pour .eu…) qui maintient les serveurs DNS faisant autorité sur les délégations à l’intérieur du TLD. Quand un resolver récursif demande proton.me à un root server, on lui répond “demande aux serveurs du .me”, qui à leur tour pointeront vers les serveurs authoritative de proton.me.

Unbound

unattended-upgrades

Paquet des distributions Linux Debian et Ubuntu qui installe automatiquement les correctifs de sécurité publiés pour le système, sans intervention manuelle et sans toucher au reste de la configuration. Une fois activé, les failles connues d’un serveur se referment toutes seules, là où personne ne se connecte tous les matins pour patcher à la main. Un serveur non patché est un serveur vulnérable.

Serveur DNS récursif open source réputé pour la propreté de son code, sa légèreté et son sérieux côté sécurité. Maintenu par NLnet Labs (Pays-Bas). Utilisé en pratique pour monter son propre resolver récursif personnel, typiquement sur un VPS, joint à un mesh privé (Tailscale, WireGuard) et restreint à n’écouter que sur l’interface privée. Permet de résoudre directement contre la hiérarchie DNS (root → TLD → authoritative), sans dépendre d’un resolver public tiers. Validation DNSSEC native. Configuration claire en /etc/unbound/unbound.conf.

Vault eDiscovery

vCPU (cœur de processeur virtuel)

Unité de calcul attribuée à une machine virtuelle ou un VPS, correspondant à une part d’un cœur physique du serveur hôte. Quand un hébergeur annonce un VPS à 4 vCPU, ta machine dispose de l’équivalent de quatre cœurs logiques pour exécuter ses tâches. Pour un SIEM type Wazuh surveillant une cinquantaine de machines, 4 vCPU constituent un point de départ raisonnable pour absorber l’indexation et les corrélations sans saturer.

Module d’archivage et de découverte légale (eDiscovery) intégré à Google Workspace (Google Vault) et Microsoft 365 (Microsoft Purview eDiscovery), conçu pour conserver, rechercher et exporter les emails, fichiers Drive et messages Chat dans le cadre de litiges, audits ou enquêtes internes. Pose des holds (rétention forcée d’éléments même supprimés par l’utilisateur), permet des recherches full-text à l’échelle d’une organisation entière, et exporte les résultats au format standard pour les avocats. Implication structurelle : le fournisseur doit accéder en clair à l’ensemble des contenus indexés, ce qui exclut par construction l’usage parallèle d’un chiffrement zero-knowledge ou client-side encryption sur les périmètres concernés. Quand une organisation active CSE sur certains contenus, eDiscovery ne les voit plus — c’est un compromis assumé.

vCard (.vcf)

Format standard d’échange de contacts (cartes de visite numériques). Un fichier .vcf contient un ou plusieurs contacts avec nom, adresses email, numéros, etc. Google Contacts peut exporter tous tes contacts en un seul fichier .vcf, que tu peux ensuite importer dans n’importe quel service compatible, dont Proton Mail.

Vendor lock-in

Situation où tu es enfermé dans l’écosystème d’un fournisseur, avec un coût de migration élevé si tu veux partir. Google Workspace en est l’exemple type : emails, documents, calendrier, tout est imbriqué. Utiliser des standards ouverts (IMAP, S3, CalDAV) et des formats non propriétaires limite ce risque.

VirtioFS

Protocole de partage de fichiers entre une machine virtuelle et la machine qui l’héberge. Il permet de monter un dossier de l’hôte à l’intérieur de la VM. Tout dépend de ce qu’on lui donne à partager, un dossier précis ou la racine du disque : dans le cas SharedRoot, Claude Cowork montait l’hôte entier en lecture-écriture.

VPS

Virtual Private Server. “Virtuel” parce que ce n’est pas un serveur physique dédié : l’hébergeur découpe un gros serveur en plusieurs machines virtuelles isolées les unes des autres, et t’en loue une. Comme un appartement dans un immeuble : l’appart est à toi, les voisins ne peuvent pas entrer, mais vous partagez le même bâtiment. Tu as ton propre OS, tes propres ressources (CPU, RAM), ton propre accès root. C’est ton serveur, hébergé dans un datacenter professionnel avec connexion fiable et courant garanti. Beaucoup moins cher qu’un serveur dédié, et largement suffisant pour du self-hosting sérieux.

VPN

Virtual Private Network. Tunnel chiffré entre ton appareil et un serveur distant. Masque ton trafic à ton FAI, protège ta connexion sur les réseaux publics, et remplace ton adresse IP visible par celle du serveur VPN.

WebDAV

Web Distributed Authoring and Versioning. Extension du protocole HTTP qui permet à des clients distants de lire, écrire, déplacer et supprimer des fichiers sur un serveur web, exactement comme sur un disque local. Sur Mac, tu peux monter un serveur WebDAV dans le Finder via Cmd+K : il apparaît comme un volume réseau, accessible depuis n’importe quelle app. Nextcloud, Infomaniak kDrive et de nombreux NAS supportent WebDAV. Proton Drive et iCloud Drive ne le proposent pas nativement.

World ID

Système de vérification d’identité humaine privé, opéré par Tools for Humanity (Sam Altman). Repose sur le scan d’iris via un dispositif dédié, l’Orb. 18 millions d’utilisateurs vérifiés au 17 avril 2026 dans 160 pays. Partenariats annoncés avec Tinder, Zoom, DocuSign, Okta, Shopify et VanEck. Pitch officiel : « le premier layer d’identité décentralisée pour l’humanité » face aux bots et deepfakes générés par les IA. Interdit ou limité dans plusieurs juridictions (Allemagne, Espagne, Hong Kong, Kenya, Brésil avant 2024). Position Mac Souverain : illustration emblématique du pattern M3 (centralisation chez deux ou trois courtiers d’identité), avec un risque structurel de constitution d’une base biométrique privée à l’échelle planétaire.

WireGuard

Protocole VPN moderne et léger (~4 000 lignes de code contre ~100 000 pour OpenVPN). Plus rapide, plus simple à auditer, moins de surface d’attaque. Utilisé par Proton VPN, NordVPN (sous le nom “NordLynx”) et la plupart des VPN sérieux.

Zero-knowledge

Architecture de service où le fournisseur est techniquement incapable d’accéder aux données de l’utilisateur, même s’il le voulait, même sous injonction judiciaire. Le chiffrement est effectué côté client (sur ton appareil), avec une clé que le fournisseur ne détient jamais. Proton Mail est zero-knowledge : tes emails sont chiffrés avant d’atteindre leurs serveurs. À l’opposé, Gmail chiffre tes emails au repos mais détient les clés, ce n’est pas zero-knowledge.

xattr (attributs étendus)

Outil en ligne de commande macOS qui lit et modifie les attributs étendus des fichiers : des métadonnées invisibles attachées à chaque fichier par le système. L’attribut le plus important en matière de sécurité est com.apple.quarantine, que macOS pose automatiquement sur tout fichier téléchargé depuis internet. C’est lui que Gatekeeper consulte pour décider si un exécutable doit être bloqué ou signalé. La commande xattr -c supprime tous les attributs d’un fichier en un coup, y compris ce marqueur de quarantaine. Résultat : Gatekeeper traite le fichier comme s’il avait toujours été local, sans avertissement ni blocage. Aucune app légitime n’a besoin de te demander d’exécuter xattr -c sur quoi que ce soit.

NSL (National Security Law, Hong Kong)

Loi de sécurité nationale imposée à Hong Kong par Pékin le 30 juin 2020. Modifications des règles d’enforcement au 23 mars 2026 : la police peut désormais exiger les mots de passe et les clés de chiffrement d’un suspect, refuser est un délit pénal. Première démocratie historique à contraindre frontalement la remise des clés cryptographiques. Position Mac Souverain : référence comparative pour mesurer ce que CSAR (UE) et le verdict Meta NM (US) produisent par d’autres voies, contrat ou jurisprudence, sans imposer la contrainte directe.

eIDAS 2.0

Règlement européen sur l’identification électronique et les services de confiance, version 2 entrée en application progressive depuis 2024. Crée un cadre juridique pour les European Digital Identity Wallets (EUDI Wallets), portefeuilles d’identité numériques que chaque État membre doit fournir à ses citoyens d’ici fin 2026. Les plateformes en ligne dites very large (au sens du DSA) doivent accepter ces wallets pour la connexion. Marché public ouvert aux intégrateurs comme Thales, IDEMIA, Entrust. Position Mac Souverain : illustration du pattern « la régulation crée le besoin, le marché vend la solution ».

XTS-AES-128

Algorithme de chiffrement utilisé par FileVault sur Apple Silicon. XTS (XEX-based tweaked-codebook mode with ciphertext stealing) est conçu spécifiquement pour le chiffrement de disques. Sur Apple Silicon, les opérations AES sont accélérées par hardware dans le contrôleur mémoire, zéro impact sur les performances, chiffrement toujours actif.

C2 (Command and Control)

Serveur contrôlé par l’attaquant qui pilote à distance les machines infectées et reçoit les données exfiltrées. Bloquer les sorties réseau vers les domaines C2 connus (via Little Snitch ou LuLu, sur la base d’IOC publiés par les chercheurs en sécurité) coupe l’opération même si le malware s’est exécuté localement. Les domaines C2 sont souvent des sites WordPress compromis ou des domaines fraîchement enregistrés, désaffectés en quelques jours pour échapper aux blocklists.

EDR (Endpoint Detection and Response)

Antivirus comportemental nouvelle génération qui surveille en temps réel les actions des processus, par opposition aux antivirus signature classiques qui se contentent de matcher des hash de fichiers connus. Les EDR détectent les chaînes d’attaque (création de fichier, élévation, sortie réseau suspecte) plutôt que des fichiers individuels, ce qui les rend plus efficaces face aux malwares polymorphes ou fileless. Sur macOS, les outils gratuits d’Objective-See (KnockKnock, BlockBlock, LuLu, ReiKey) couvrent une bonne partie des cas d’usage EDR pour utilisateur individuel.

Fileless (malware)

Malware qui s’exécute en mémoire sans jamais écrire son code complet sur disque, ce qui contourne la majorité des antivirus signature et limite drastiquement les traces forensiques après nettoyage. Le payload est typiquement chargé via un script léger (PowerShell sur Windows, AppleScript ou shell sur macOS) qui télécharge et exécute le code en RAM. Variante avancée : abus de binaires natifs signés Apple (osascript, curl, bash) pour passer inaperçu auprès de XProtect et des EDR.

Infostealer

Famille de malware spécialisée dans le vol de credentials, cookies de session, contenus de gestionnaires de mots de passe (Trousseau macOS, navigateurs), portefeuilles crypto et fichiers sensibles. Les données sont exfiltrées vers un serveur C2 puis revendues sur des marketplaces underground. Les infostealers récents (MacSync, AMOS, Banshee) ciblent macOS en exploitant le social engineering plutôt que des failles techniques, l’utilisateur exécute lui-même le payload après instructions piégées.

IOC (Indicator of Compromise)

Élément technique vérifiable qui prouve ou suggère qu’une machine ou un réseau a été compromis. Les IOC publics les plus utiles sont les domaines C2, les hash SHA-256 des binaires malveillants, les URLs de téléchargement, les IP des serveurs d’exfiltration. Les chercheurs publient les IOC d’une campagne pour permettre aux victimes potentielles de bloquer ou détecter rapidement (filtres Little Snitch, règles firewall). Les IOC vieillissent vite, les attaquants tournent leur infrastructure tous les quelques jours.

Malvertising

Contraction de malicious advertising. Distribution de malware via des publicités sponsorisées sur les régies légitimes (Google Ads, Meta Ads, Microsoft Ads). L’attaquant achète une enchère sur un mot-clé populaire (souvent le nom d’un logiciel recherché) et fait pointer son annonce vers une page d’installation piégée, parfois hébergée sur le vrai domaine du logiciel détourné via des fonctions secondaires (chats partagés, GitHub Pages, posts forum). Vecteur particulièrement efficace parce que la victime cherche activement à installer quelque chose et fait moins attention aux signaux d’alerte.

Polymorphe (malware)

Code malveillant qui se réécrit lui-même à chaque distribution, produisant un binaire avec un hash SHA-256 unique pour chaque victime. Cette technique neutralise les indicateurs de compromission par hash agrégés (les blocklists basées sur SHA-256 deviennent inutiles) et complique la détection par signature. Les antivirus comportementaux (EDR) qui regardent ce que le code fait plutôt que ce qu’il est restent efficaces.

XProtect

Antivirus signature natif de macOS, intégré silencieusement dans le système et mis à jour automatiquement par Apple via des règles YARA. Détecte les malwares connus à partir de signatures publiques, mais reste aveugle face aux variants polymorphes ou aux exécutions fileless. À considérer comme un premier filet, pas comme une protection complète. Pour aller plus loin, compléter avec les outils Objective-See ou un EDR commercial. Depuis macOS 15 Sequoia, XProtect a migré vers /var/protected/xprotect/ et fournit la commande native sudo xprotect version pour interroger la base de signatures installée.

XPR (XProtect Remediator)

Scanner actif intégré à macOS, second étage de la défense XProtect. Tourne en tâche de fond et inspecte régulièrement le disque à la recherche de menaces déjà installées. Quand il en trouve une, il la neutralise sans solliciter l’utilisateur. Successeur de MRT (Malware Removal Tool) déprécié en avril 2022. Introduit avec macOS 12.3 Monterey.

CloudKit

Service de synchronisation cloud d’Apple, normalement utilisé pour iCloud Photos, le Trousseau, iMessage et les apps tierces. Depuis macOS 15.2 Sequoia, Apple s’en sert aussi comme canal de distribution exclusif des signatures XProtect : les mises à jour transitent par CloudKit, sans notification, généralement dans les 24 à 72 heures.

npm (Node Package Manager)

Registre logiciel central de l’écosystème JavaScript. Les développeurs publient et téléchargent des paquets via npm install. Maillon historiquement fragile dans la chaîne d’approvisionnement logicielle : un seul paquet compromis peut affecter des millions de machines en quelques heures (cf. supply chain attack, Mini Shai-Hulud).

Stalkerware

Logiciel espion vendu au grand public et installé clandestinement sur le téléphone d’un proche, généralement un conjoint, un ex ou un enfant adulte, pour lire ses messages, écouter ses appels, suivre sa position et activer son micro à distance. Différent du spyware mercenaire type Pegasus ou Predator par sa cible commerciale (acheteur individuel à trente ou cent dollars par mois, pas un État) et son mode d’installation (accès physique au téléphone, deux minutes pendant que la victime fait autre chose). Marques historiques régulièrement leakées : mSpy, Spyzie, Cocospy, TheTruthSpy, FlexiSpy. Sociétés généralement domiciliées en holdings chypriotes ou offshore, rebrandées tous les dix-huit mois quand un leak les expose. Côté iPhone, vecteur dominant : un profil de configuration MDM camouflé installé via Apple Configurator. Côté Android, app planquée derrière un nom système avec accessibilité activée. Le marché total dépasse le million d’utilisateurs payants mondiaux. Voir aussi : Coalition Against Stalkerware (stopstalkerware.org).

Supervision iPhone

Mode dans lequel un iPhone est administré par un poste de gestion via Apple Configurator (logiciel Mac) ou une solution MDM. La supervision donne à l’administrateur des droits étendus que ne donne pas un enregistrement MDM standard : interdiction de retirer le profil par l’utilisateur (removalDisallowed), restrictions matérielles, contrôle d’apps, lecture d’inventaire détaillée. Le mode supervisé est légitime sur les flottes d’entreprise et les parcs scolaires, mais dévoyé dans le contexte stalkerware domestique : un proche supervise ton iPhone en deux minutes avec un câble Lightning ou USB-C et un Mac, puis installe un profil verrouillé. Pour vérifier si ton appareil est supervisé : Réglages, en haut, mention « Cet iPhone est supervisé » si c’est le cas. Apple a discrètement réduit les capacités de supervision côté Apple Configurator depuis iOS 17 pour limiter les usages détournés.

Supply chain attack

Attaque qui ne vise pas directement sa victime finale mais qui passe par un intermédiaire de confiance dans la chaîne logicielle, typiquement un paquet open source largement utilisé. L’attaquant compromet le maillon faible (pipeline CI/CD mal configuré, mainteneur isolé, dépendance abandonnée), et le payload se propage automatiquement chez tous les utilisateurs en aval, signé et vérifié comme légitime. Vecteur dominant des incidents logiciels critiques depuis 2024.

Pull request (PR)

Mécanisme standard de contribution à un projet open source hébergé sur GitHub. Un contributeur externe propose une modification du code via une PR, le mainteneur du projet la relit, commente, accepte ou refuse. Le pilier social du développement open source moderne. Quand mal configurée (workflow pull_request_target permissif), une PR malveillante peut exécuter du code avec les droits du dépôt cible, vecteur d’attaques supply chain de plus en plus fréquentes.

TanStack

Écosystème open source de bibliothèques JavaScript utilitaires (React Query, React Router, TanStack Form, TanStack Table). Largement utilisé par les développeurs modernes du web, dont OpenAI, Netflix, Shopify. Cible d’une compromission supply chain le 11 mai 2026 (170+ paquets vérolés en six minutes via pipeline GitHub Actions détourné).

Mini Shai-Hulud

Malware npm variante du worm Shai-Hulud apparu en 2024. Cible spécifiquement les machines de développeurs : mots de passe, clés d’accès cloud (AWS, GCP, Vault), jetons GitHub et npm, clés SSH privées, fichiers de session. Sur macOS, persiste via un LaunchAgent. Premier cas documenté d’un paquet npm malveillant portant une attestation SLSA valide, signe que les chaînes de signature de confiance modernes ne sont pas une garantie quand le pipeline CI/CD lui-même est compromis.

Private Cloud Compute (PCC)

Infrastructure cloud d’Apple dédiée aux requêtes Apple Intelligence trop lourdes pour le modèle local. Tourne sur du custom-silicon Apple avec cinq garanties techniques : calcul sans état (données jamais conservées après la requête), protections appliquées par la technique et non par contrat, aucun accès privilégié au runtime, non-ciblabilité (impossible de router une requête vers un nœud précis), et transparence vérifiable (chaque build publié dans un log cryptographique, images inspectables). À ce jour la stack cloud IA la plus auditable du marché grand public, mais ce n’est pas du chiffrement de bout en bout : le texte est déchiffré côté Apple le temps du calcul.

Chiffrement homomorphe

Technique cryptographique permettant à un serveur de calculer sur des données chiffrées sans jamais les déchiffrer. Le Graal de la confidentialité cloud. Private Cloud Compute n’utilise PAS cette techno (trop coûteuse en calcul à grande échelle) : il repose sur une enclave durcie, signée et attestée où le texte est bien déchiffré le temps du traitement. La distinction est cruciale pour qui évalue le vrai niveau de garantie d’un service IA cloud.

Neural Engine

Coprocesseur dédié à l’accélération des calculs d’apprentissage automatique, intégré à l’Apple Silicon. C’est lui qui exécute, avec le GPU et le CPU, le modèle Apple Intelligence on-device (environ 3 milliards de paramètres) sans qu’aucune donnée ne quitte la puce. Pilier de la promesse « privacy-first » d’Apple sur le périmètre local.

Quantization-Aware Training (QAT)

Méthode d’entraînement qui prépare un modèle d’IA à fonctionner avec des poids très compressés (2 bits par poids dans le cas d’Apple Intelligence) tout en limitant la perte de qualité. Permet de faire tenir un modèle de plusieurs milliards de paramètres dans environ 1 Go de mémoire, condition nécessaire pour le faire tourner localement sur un Mac ou un iPhone plutôt que dans le cloud.

SIEM (Security Information and Event Management)

Système qui collecte les journaux de tous les équipements informatiques d’une organisation (serveurs, pare-feu, postes de travail, boîtes mail), les centralise dans un format exploitable, détecte les comportements anormaux par corrélation, et lève des alertes en temps réel. Brique technique indispensable pour répondre aux obligations RGPD (notification CNIL sous 72 h, article 33) et NIS2 (alerte précoce sous 24 h, article 21). Marché dominé côté SaaS par Splunk, Microsoft Sentinel et CrowdStrike, tous soumis au CLOUD Act. Alternatives souveraines open source : Wazuh (plateforme centrale), CrowdSec (défense réseau), Rspamd (filtrage mail), Santa (contrôle d’exécution Mac).

DORA (Digital Operational Resilience Act)

Règlement européen sur la résilience opérationnelle numérique du secteur financier (UE 2022/2554), applicable depuis le 17 janvier 2025. Impose aux banques, assureurs, sociétés de gestion, plateformes de trading, ainsi qu’à leurs prestataires tech critiques (cloud, data analytics, software), des obligations strictes de gestion du risque informatique, de tests de résilience, de notification d’incident et de surveillance de la chaîne d’approvisionnement. Sa logique recoupe NIS2 sur le périmètre cyber en l’élargissant aux sous-traitants tech.

CRA (Cyber Resilience Act)

Règlement européen (UE 2024/2847) entré en vigueur le 10 décembre 2024, pleinement applicable au 11 décembre 2027. Impose des exigences de cybersécurité à tout produit comportant un composant numérique vendu sur le marché européen : objets connectés, logiciels, firmware, équipements industriels. Responsabilité étendue aux fabricants et distributeurs, obligation de maintenir le produit pendant sa durée de vie, notification de vulnérabilités exploitées sous 24 h. Élargit l’emprise cyber UE bien au-delà des entités NIS2.

Wazuh

Plateforme SIEM open source mature, fork de l’historique OSSEC, déployable en auto-hébergement sous GPL-2.0. Cumule SIEM, EDR, gestion de configuration, conformité (PCI-DSS, HIPAA, NIST). Architecture en trois composants : manager (collecte et analyse), indexer (stockage Elasticsearch fork), dashboard (visualisation Kibana fork). Utilisée par des entreprises du Fortune 100. Pierre angulaire d’un SIEM souverain pour PME.

CrowdSec

Société française fondée en 2019, éditeur d’un agent open source de défense réseau communautaire. Chaque agent déployé partage anonymement les adresses IP attaquantes qu’il détecte, alimentant une blocklist mutualisée mise à jour en temps réel. Au-delà de 10 millions de signaux quotidiens partagés par plus de 70 000 utilisateurs dans 190 pays. Modèle freemium : agent gratuit, blocklists premium payantes. Intégration native avec Wazuh, nginx, Cloudflare, fail2ban.

Rspamd

Filtre anti-spam et anti-phishing open source haute performance, écrit en C, équipe les solutions mail self-hosted de référence (Mailcow, Zimbra, Mailu). Moteur de scoring qui combine analyse Bayesienne, listes RBL, vérifications DKIM/SPF/DMARC, réseaux de neurones et règles personnalisables. Indispensable devant un serveur mail PME pour intercepter le vecteur d’intrusion numéro un, l’hameçonnage. Journalisation directement exploitable par Wazuh.

Santa

Système de contrôle d’exécution pour macOS, fonctionne en liste blanche ou liste noire : décide quelles applications peuvent démarrer sur un poste selon des règles signature/hash. Développé à l’origine chez Google en 2014, le projet a été transféré en 2024 à North Pole Security, société dédiée fondée par les anciens mainteneurs Google. Tourne en production chez Figma et de nombreuses entreprises soucieuses de durcir leur flotte Mac. Bloque un ransomware téléchargé par erreur, parce qu’il n’est pas dans la liste blanche d’éditeurs approuvés.

SCA (Security Configuration Assessment)

Module d’audit de configuration intégré à Wazuh, actif par défaut. Il compare la configuration d’une machine à des référentiels de durcissement reconnus (les benchmarks CIS) et liste, contrôle par contrôle, ce qui est conforme et ce qui ne l’est pas : un service de trop, une permission trop large, un réglage SSH oublié. Donne une note de durcissement et les écarts à corriger, sans rien installer de plus que l’agent.

FIM (File Integrity Monitoring)

Surveillance d’intégrité des fichiers. Le SIEM garde l’empreinte cryptographique de fichiers sensibles (binaires système, fichiers de configuration) et lève une alerte dès que l’un d’eux est modifié, créé ou supprimé. Un fichier système qui change sans raison est souvent le premier signe d’une intrusion. Actif par défaut dans Wazuh sous le nom syscheck.

EPS (Events Per Second)

Le nombre d’événements, les lignes de journal, qu’un SIEM ingère par seconde. C’est la métrique de capacité d’un serveur de supervision : un nœud Wazuh bien dimensionné (de l’ordre de 16 Go de RAM et 8 vCPU) encaisse environ 5 000 EPS. Quand la file d’ingestion sature, le SIEM ne ralentit pas, il jette les événements qu’il n’a pas le temps de traiter, et une alerte jetée est une alerte que tu ne verras jamais.

Heap (JVM)

Zone de mémoire vive qu’une application Java réserve à son démarrage pour travailler (le « tas »). L’indexeur de Wazuh tourne sur la machine virtuelle Java, son heap est le réglage de performance numéro un. Règle officielle : le fixer à la moitié de la RAM de la machine, borne basse et borne haute identiques (-Xms et -Xmx), pour éviter que la JVM passe son temps à le redimensionner. Trop petit, l’indexeur étouffe ; trop grand, il asphyxie le reste du serveur.

Filebeat

Petit agent expéditeur de logs de la suite Elastic, utilisé par Wazuh pour pousser les alertes du manager vers l’indexeur. Discret et sans réglage au quotidien, c’est souvent lui qu’on regarde en premier quand les données n’arrivent plus jusqu’au tableau de bord.

Agent (SIEM)

Petite sonde installée sur chaque machine du parc, serveur, Mac, poste Windows, qui collecte ses journaux, ses événements de sécurité et l’intégrité de ses fichiers, puis les remonte au manager central. Sans agent, le SIEM ne voit que lui-même. Avec, il voit tout le parc. Chez Wazuh, l’agent est léger, gratuit et sans limite de nombre.

Enrôlement (agent SIEM)

Étape où une machine s’inscrit auprès du manager pour être surveillée. L’agent échange une clé avec le serveur, chez Wazuh sur le port 1515, puis remonte ses données sur le port 1514. Une fois enrôlé, l’agent apparaît dans la console avec un état : Active, Pending, Disconnected ou Never connected.

Full Disk Access (FDA)

Autorisation macOS qui donne à une application l’accès à l’ensemble des fichiers protégés, au-delà de ce que TCC accorde au cas par cas. Un agent de sécurité empaqueté en binaire, pas en .app, comme l’agent Wazuh, reste aveugle sur les zones sensibles tant qu’on ne lui a pas accordé le Full Disk Access, en général via un profil MDM sur un parc géré. Voir TCC.

LLM local (modèle de langage local)

Un grand modèle de langage (Large Language Model) qui s’exécute directement sur ta machine, plutôt que sur les serveurs distants d’un fournisseur. Tout se passe chez toi : aucune requête ne part sur le réseau, aucune donnée ne quitte ton ordinateur, et l’outil continue de fonctionner même sans connexion ou si le fournisseur d’un modèle distant te coupe l’accès. Sur Mac, c’est la mémoire unifiée de l’Apple Silicon qui rend l’exécution possible sur une machine grand public. Outils courants pour le faire tourner : Ollama, LM Studio, MLX.

RAM unifiée (mémoire unifiée)

Architecture mémoire propre à l’Apple Silicon où le processeur (CPU), la carte graphique (GPU) et le Neural Engine partagent une seule et même mémoire vive, au lieu d’avoir chacun la sienne. Avantage décisif pour l’IA locale : un modèle peut utiliser toute la mémoire disponible sans recopie coûteuse entre composants. Attention, la RAM totale n’est pas la RAM utile : macOS et les applications en consomment une partie en permanence (souvent 8 à 10 Go), le reste sert à faire tenir le modèle et son contexte.

Quantification

Technique qui compresse un modèle d’IA en réduisant la précision de ses poids (par exemple de 16 bits à 4 bits par poids). Résultat : le modèle occupe beaucoup moins de mémoire et tourne plus vite, au prix d’une légère perte de qualité, le plus souvent imperceptible sur les usages courants. C’est ce qui permet de faire tenir un modèle de 24 ou 32 milliards de paramètres dans la mémoire d’un Mac grand public. La notation « Q4 » désigne une quantification sur 4 bits.

Paramètres (poids d’un modèle)

Les valeurs numériques apprises pendant l’entraînement d’un modèle d’IA, qui encodent tout ce qu’il « sait ». Leur nombre, exprimé en milliards (3B, 7B, 24B, 32B, 70B…), donne une idée grossière de la capacité du modèle : plus il y en a, plus le modèle est puissant, mais plus il consomme de mémoire. Le nombre de paramètres combiné au niveau de quantification détermine la taille du fichier à charger en RAM, donc s’il tient ou non sur ta machine.

Inférence

L’exécution d’un modèle d’IA déjà entraîné pour produire une réponse, par opposition à l’entraînement qui sert à le construire. Quand tu poses une question à un modèle local, c’est de l’inférence. Sur un Mac, elle s’appuie sur le CPU, le GPU et le Neural Engine de l’Apple Silicon. L’inférence locale ne demande aucune connexion réseau et ne transmet rien à l’extérieur.

Ollama / LM Studio / MLX

Trois façons de faire tourner un modèle d’IA en local sur Mac. Ollama est un outil en ligne de commande simple qui télécharge et lance un modèle en une commande. LM Studio est une application avec interface graphique, pratique pour découvrir, télécharger et tester des modèles sans toucher au terminal. MLX est le framework d’apprentissage automatique d’Apple, conçu pour exploiter au mieux l’Apple Silicon et la mémoire unifiée, plus technique mais plus performant. Les trois permettent une IA 100 % locale, sans qu’aucune donnée ne quitte la machine.

SS7 (Signalling System 7)

Ensemble de protocoles qui permet aux opérateurs téléphoniques du monde entier de dialoguer entre eux : router tes appels et SMS, te localiser quand tu changes d’antenne, gérer l’itinérance à l’étranger. Conçu dans les années 1970 pour une poignée d’opérateurs nationaux qui se faisaient confiance, il n’a aucune authentification sérieuse. Résultat : un tiers qui obtient un accès au réseau de signalisation peut localiser un mobile ou intercepter ses SMS partout dans le monde, sans toucher à l’appareil. Utilisé en 2G et 3G, prolongé par Diameter en 4G qui hérite des mêmes faiblesses.

Diameter

Le protocole de signalisation de la 4G, successeur de SS7. Il fait le même travail (itinérance, localisation, authentification entre opérateurs) avec une syntaxe plus moderne, mais reproduit le même modèle de confiance implicite. En pratique, beaucoup de réseaux n’ont pas déployé le chiffrement prévu (TLS/IPsec), si bien que les attaques de localisation connues sur SS7 ont leur équivalent Diameter.

SIMjacker

Attaque qui exploite un logiciel présent sur certaines cartes SIM (le S@T Browser) via un SMS binaire silencieux : le message n’apparaît jamais à l’écran mais exécute des commandes cachées sur la carte, par exemple récupérer ta localisation et la renvoyer à l’attaquant. À la différence des attaques SS7 pures qui visent le réseau, SIMjacker touche directement la carte SIM de l’appareil ciblé.

Global Title leasing

Pratique commerciale par laquelle un intermédiaire loue à un tiers une adresse d’interconnexion légitime sur le réseau de signalisation mondial (un « Global Title »). Pour une société de surveillance, c’est la porte d’entrée : en passant par un petit opérateur complice ou un courtier, elle obtient un point d’accès qui lui permet d’interroger à distance le réseau d’une cible, sans le consentement de son opérateur.

Interconnexion télécom

L’ensemble des liaisons techniques qui permettent aux réseaux des différents opérateurs de se parler, pour que ton appel ou ton SMS arrive même si ton correspondant est chez un autre opérateur, dans un autre pays. C’est cette couche invisible pour l’utilisateur qu’exploitent les attaques de type SS7 ou Diameter : la vulnérabilité n’est pas dans ton téléphone, mais dans la confiance que ces réseaux s’accordent entre eux.

Open-weight

Se dit d’un modèle d’IA dont les poids, les milliards de paramètres numériques qui constituent le modèle entraîné, sont publiés et téléchargeables librement. Tu peux le récupérer, le faire tourner chez toi, le modifier. Attention au raccourci courant : open-weight n’est pas open source. Les poids sont ouverts, mais les données d’entraînement, le code d’entraînement et la recette complète restent le plus souvent fermés. C’est ce qui distingue un Mistral ou un GLM, que tu peux exécuter en local, d’un GPT ou d’un Claude, accessibles uniquement par l’API du fournisseur.

Injection de template

Faille qui exploite un moteur de gabarit, ce composant qui assemble une page ou un fichier de configuration à partir d’un modèle et de variables. Si l’application insère dans le gabarit une valeur fournie par l’utilisateur sans la neutraliser, l’attaquant y glisse non pas du texte mais des instructions, que le moteur exécute docilement côté serveur. Le résultat va de la fuite de variables internes à l’exécution de code à distance. C’est l’un des deux vecteurs utilisés contre Hugging Face en juillet 2026.

Zero-day

Faille inconnue de l’éditeur du logiciel, donc sans correctif disponible au moment où elle est exploitée. Le nom vient du décompte : l’éditeur a eu zéro jour pour la corriger. C’est la catégorie la plus redoutée, parce qu’aucune mise à jour ne te protège et qu’aucun antivirus ne connaît la signature. Une fois la faille rendue publique et corrigée, elle cesse d’être un zero-day et devient une vulnérabilité ordinaire, dangereuse seulement pour ceux qui n’ont pas mis à jour.

Escalade de privilèges et mouvement latéral

Les deux temps qui suivent une intrusion réussie. L’escalade de privilèges, c’est passer d’un accès banal à un accès administrateur, en exploitant une faille ou une permission mal réglée. Le mouvement latéral, c’est se déplacer ensuite de machine en machine à l’intérieur du réseau, en réutilisant les identifiants ramassés au passage. Un attaquant entre rarement là où se trouve ce qu’il veut : il entre par le maillon faible, puis remonte. C’est pourquoi la première intrusion compte moins que ce qu’elle permet d’atteindre après.

Ce glossaire s’enrichit avec chaque nouvel article.