Glossaire
Tu croises ces termes dans les articles de Mac Souverain. Voici ce qu’ils veulent dire, et ce qu’ils changent pour toi, sans jargon inutile.
0-9 · A · B · C · D · E · F · G · H · I · J · K · L · M · N · O · P · Q · R · S · T · U · V · W · X · Z
Par thème
Chiffrement
ADP · Bridge IMAP · Chiffrement au repos · Chiffrement côté client · Chiffrement de bout en bout · Chiffrement homomorphe · Client-side scanning · DLP · DNSCrypt · Ed25519 · Forward secrecy · Harvest now, decrypt later · HTTPS · iMessage · KMS · Matrix · Métadonnées · MLS · OpenPGP · Post-quantique · Protocole Signal · RCS · S/MIME · SecretAgent · Secretive · Secure Enclave · Vault eDiscovery · XTS-AES-128 · Zero-knowledge
Messagerie
APNs · Appareil lié · Bridge IMAP · Easy Switch · Forward secrecy · IMAP · iMessage · Matrix · MLS · OpenPGP · Pixel de suivi · Protocole Signal · RCS · Rspamd · S/MIME · SMS / MMS · SMTP · vCard · Verrou d’enregistrement
DNS et réseau
ALF · Diameter · DNS · DNS-over-HTTPS · DNS-over-TLS · DNSCrypt · dnscrypt-proxy · DNSSEC · ECH · Evil Twin · FAI · Fuite DNS · Global Title leasing · HTTPS · iCloud Private Relay · Interconnexion télécom · Kill switch · Liste de blocage · Man-in-the-middle · Mesh network · NEFilterDataProvider · No-logs · Pare-feu sortant process-aware · Portail captif · Relais côté serveur · Resolver DNS · Root server · Serveur authoritative · SMS / MMS · SNI · SS7 · SSL stripping · Tailscale · TLD · Unbound · VPN · WebDAV · WireGuard
Sécurité matérielle et système Apple
ABM / Managed Apple ID · ADP · ALF · Allowlisting · APNs · ATT · BootROM · CDHash · CloudKit · Daemon · DMA · Endpoint Security · Full Disk Access · iCloud Private Relay · KIP · Lockdown · MDM · MIE · MTE · NEFilterDataProvider · Neural Engine · PAC · Pare-feu sortant process-aware · Private Cloud Compute · Profil de configuration · RAM unifiée · ROP / JOP · Santa · SDP · SecretAgent · Secretive · Secure Enclave · Sideloading · Signature de code · SigningID · SIP · SoC · Supervision iPhone · T2 · TCC · TeamID · Trusted System Agent · xattr · XPR · XProtect · XTS-AES-128
Surveillance, droit et régulation
5/9/14 Eyes · Age broker · Age verification · ANSSI · APNs · ATT · Client-side scanning · CLOUD Act · Coalition Against Stalkerware · CRA · CSAR · Cyber Solidarity Act · Data Privacy Framework · Diameter · DINUM · DMA · DORA · eIDAS 2.0 · Entraide judiciaire internationale · Fingerprinting navigateur · FISA 702 · FSB · FSTEC · Global Title leasing · Identity broker · Interconnexion télécom · IPA · IPT · ISO 27001 · Liste de blocage · MAID · Métadonnées · NIS2 · nLPD · NSL · Online Safety Act · Pisteur · Pixel de suivi · Relais côté serveur · RTB · Schrems II · SDK · SecNumCloud · Sideloading · SIMjacker · SOC 2 Type II · SS7 · Stalkerware · TCN · Télémétrie · Trilogue · Trusted System Agent · Vault eDiscovery · World ID
Malwares et attaques
Allowlisting · AMOS · Appareil lié · C2 · Cache de pages · Chaîne d’approvisionnement logicielle · ClickFix · Coalition Against Stalkerware · CTI · CVE · EDR · Electron · Escalade de privilèges et mouvement latéral · Espace de noms utilisateur · Evil Twin · Exploit navigateur · Fileless · Hameçonnage par consentement · Infostealer · Injection de template · IOC · Jeton de session · Malvertising · Man-in-the-middle · MFA · npm · OAuth · Polymorphe · Portail captif · Pull request · Ransomware · RCE · ROP / JOP · Santa · Seccomp · Signature de code · SIMjacker · SSL stripping · Stalkerware · Supervision iPhone · Supply chain attack · Verrou d’enregistrement · xattr · XPR · XProtect · Zero-day
Auto-hébergement, sauvegarde et SIEM
Agent · Bouncer · Cache de pages · CAPI · Corrélation · CrowdSec · CTI · Daemon · Déduplication · Docker · Enrôlement · EPS · Espace de noms utilisateur · Fatigue d’alerte · FIM · Forge Git · Full Disk Access · Git · Indexeur · Integrator · kDrive · Kopia · Matrix · OnlyOffice · Open source · Pull request · Ransomware · Règle 3-2-1-1 · Réponse active · Rspamd · S3 · Santa · SCA · Seccomp · SIEM · Tailscale · ufw · unattended-upgrades · Unbound · vCPU · Vendor lock-in · VirtioFS · VPS · Wazuh · Wazuh, vocabulaire · WebDAV
IA locale
Chiffrement homomorphe · GGUF · Hugging Face · Inférence · LLM local · MCP · Neural Engine · Ollama / LM Studio / MLX · Open-weight · Paramètres · Private Cloud Compute · Quantification · RAM unifiée
0-9
5/9/14 Eyes
Alliances de renseignement entre pays qui mettent en commun leurs données de surveillance.
5 Eyes : États-Unis, Royaume-Uni, Canada, Australie, Nouvelle-Zélande. 9 Eyes : les 5, plus Danemark, France, Pays-Bas, Norvège. 14 Eyes : les 9, plus Allemagne, Belgique, Italie, Suède, Espagne. Un fournisseur de VPN ou de cloud installé dans un pays membre peut être contraint de remettre tes données sur ordre gouvernemental, et ses voisins d’alliance en profitent.
Voir aussi : CLOUD Act · FISA 702 · Entraide judiciaire internationale
A
ABM (Apple Business Manager) / Managed Apple ID
Console web d’Apple qui permet à une organisation de gérer ses appareils, ses apps et les comptes Apple de ses salariés.
Elle crée des Managed Apple ID, des comptes dont l’organisation est administratrice : elle peut les suspendre, les réinitialiser ou les supprimer, et certaines fonctions y sont coupées (Apple Pay, achats sans approbation). Elle déploie aussi les appareils en MDM sans manipulation et se fédère avec un annuaire existant (Entra ID, Google Workspace, Okta). C’est l’équivalent, pour une flotte Apple, des consoles d’administration Google ou Microsoft.
Voir aussi : MDM · Profil de configuration
ADP (Protection avancée des données)
Option d’iCloud qui confie les clés de chiffrement de la quasi-totalité de tes données à tes seuls appareils.
Une fois activée (Réglages Système > ton nom > iCloud), Apple ne peut plus lire ces données, même sous injonction judiciaire. Exceptions de taille : iCloud Mail, Contacts et Calendrier restent lisibles par Apple, pour rester compatibles avec IMAP, CalDAV et CardDAV. Pour un mail chiffré de bout en bout, il faut un autre service. En février 2025, Apple l’a retirée au Royaume-Uni sous pression gouvernementale, et ne l’y avait pas rétablie en octobre 2026.
Voir aussi : Chiffrement côté client · TCN · CLOUD Act
Age broker (courtier d’âge)
Acteur, public ou privé, qui certifie ton âge pour le compte d’un service tiers et lui répond par oui ou non.
La plateforme délègue, sans voir tes papiers. En 2026, deux textes américains confiaient ce rôle aux éditeurs de systèmes (Apple, Google, Microsoft), la loi HB 5511 de l’Illinois, adoptée en 2026, et la proposition fédérale HR 8250, déposée en avril 2026. Au Royaume-Uni, l’Online Safety Act passait plutôt par des prestataires accrédités. Le risque : centralisation chez deux ou trois acteurs, croisement possible avec d’autres données, et le plus souvent aucune garantie zero-knowledge.
Voir aussi : Age verification · Identity broker · Online Safety Act
Age verification (vérification d’âge)
Obligation faite aux services en ligne de vérifier l’âge de leurs utilisateurs avant de les laisser accéder à certains contenus.
Plusieurs juridictions exigent désormais une vérification forte : pièce d’identité, biométrie, carte bancaire ou attestation du système. En 2026, les principales mises en œuvre étaient britannique, australienne, brésilienne (loi 15.211/2025, en vigueur depuis mars 2026) et européenne. Aux États-Unis, l’Illinois a adopté en 2026 la loi HB 5511, applicable en 2028, et une proposition fédérale (HR 8250) restait en commission. En mars 2026, une lettre ouverte de 371 chercheurs en sécurité, dont Ronald Rivest, a qualifié ces déploiements de « dangerous and socially unacceptable ».
Voir aussi : Age broker · Identity broker · Online Safety Act
Agent (SIEM)
Petite sonde installée sur chaque machine du parc, qui remonte journaux, événements et intégrité des fichiers au manager.
Serveur, Mac, poste Windows : sans agent, le SIEM ne voit que lui-même. Avec, il voit tout le parc. Chez Wazuh, l’agent est léger, gratuit et sans limite de nombre.
Voir aussi : Enrôlement · SIEM · Full Disk Access
ALF (Application Layer Firewall)
Pare-feu intégré à macOS depuis 2007, qui filtre les connexions entrantes application par application.
Tu autorises une app à recevoir des connexions, tu en bloques une autre. Ce qu’il ne fait pas : filtrer le trafic sortant. Pour savoir quelle app parle à quel serveur, il te faut un outil tiers (Little Snitch, LuLu). Il s’active dans Réglages Système > Réseau > Pare-feu.
Voir aussi : Pare-feu sortant process-aware · NEFilterDataProvider
Allowlisting (liste blanche d’exécution, binary authorization)
Principe qui n’autorise que les programmes approuvés, tout le reste est bloqué par défaut.
C’est l’inverse de l’antivirus qui court après les menaces connues. Sur Mac, Santa en mode Lockdown refuse au lancement tout binaire non approuvé, y compris un stealer déposé après coup. Sa limite : un code qui reste en pur script passe par un interpréteur déjà autorisé (bash, osascript), d’où la prudence au copier-coller. Et la liste s’entretient, chaque nouvel outil est une règle de plus.
Voir aussi : Santa · Lockdown · ClickFix
AMOS (Atomic macOS Stealer)
Infostealer pour Mac vendu par abonnement, l’un des plus répandus sur macOS depuis 2023.
Il rafle le Trousseau, les cookies de session, les portefeuilles crypto et des fichiers entiers, puis les envoie à un serveur C2. Il se propage par manipulation : fausses apps « crackées », faux installeurs, commandes collées dans le Terminal. Mis à jour en continu et polymorphe, il garde une longueur d’avance sur les antivirus à signatures.
Voir aussi : Infostealer · ClickFix · Polymorphe
ANSSI (Agence nationale de la sécurité des systèmes d’information)
Autorité française de cybersécurité, rattachée au Premier ministre.
Elle publie les référentiels de sécurité, coordonne la réponse aux incidents majeurs et pilote la transposition en France des directives européennes comme NIS2 : recensement des entités concernées, guides de conformité. C’est aussi elle qui délivre la qualification SecNumCloud.
Voir aussi : NIS2 · SecNumCloud
APNs (Apple Push Notification service)
Infrastructure d’Apple par laquelle transitent toutes les notifications push vers tes iPhone et tes Mac.
Quand une app t’envoie un message, la notification passe d’abord par les serveurs d’Apple. Apple voit leurs métadonnées et peut les remettre aux autorités sur mandat judiciaire. Configure Signal et iOS pour masquer le nom et le contenu des notifications : le texte du message ne figure plus dans ce qui transite.
Voir aussi : Métadonnées · Protocole Signal
Appareil lié
Ordinateur, tablette ou second téléphone rattaché à ton compte Signal ou WhatsApp, qui reçoit tes messages avec ses propres clés de chiffrement.
Chaque appareil lié est un « bout » légitime de la conversation : en ajouter un, c’est ajouter un destinataire, sans casser le chiffrement. La liaison passe par un QR code scanné avec ton téléphone, ou sur WhatsApp par un code de liaison affiché sur l’ordinateur puis saisi sur le téléphone. Un intrus lié lit tout, chiffrement intact, comme un double des clés de ta boîte aux lettres. Ne scanne un QR code et ne saisis un code que s’ils s’affichent sur ton ordinateur, et relis souvent ta liste d’appareils liés.
Voir aussi : Chiffrement de bout en bout · Verrou d’enregistrement · Stalkerware · Protocole Signal
ATT (App Tracking Transparency)
Mécanisme Apple, introduit avec iOS 14.5 en 2021, qui oblige chaque app à te demander l’autorisation avant de te suivre ailleurs.
Le suivi visé repose sur l’identifiant publicitaire de ton appareil (MAID). Limite sérieuse : ATT ne touche pas une app qui a une raison légitime d’accéder à ta position (météo, navigation). Cette position peut quand même finir dans les enchères publicitaires, via les SDK embarqués dans l’app.
B
BootROM
Code de démarrage gravé dans la puce Apple Silicon à la fabrication, impossible à modifier par logiciel.
C’est le premier maillon de la chaîne de démarrage sécurisé : il vérifie l’authenticité de chaque composant qui se lance après lui. Un logiciel malveillant ne peut pas le réécrire, puisqu’il est physiquement figé dans le silicium.
Voir aussi : Secure Enclave · SoC · T2
Bouncer (CrowdSec)
Composant de CrowdSec qui applique les décisions du moteur, par exemple en bannissant une IP au pare-feu.
Le moteur détecte et décide, mais ne touche jamais lui-même au pare-feu. Le bouncer pose la règle de blocage, en nftables ou iptables, et l’IP fautive est jetée hors de ton serveur. Tu peux en brancher plusieurs (pare-feu, reverse proxy web) qui appliquent les mêmes décisions, chacun à son niveau.
Voir aussi : CrowdSec · CAPI · CTI
Bridge IMAP
Logiciel de Proton qui te permet d’utiliser Apple Mail, Thunderbird ou Outlook avec un compte Proton Mail.
Il s’installe sur ton Mac, tourne en tâche de fond et se charge du chiffrement et du déchiffrement sans que tu t’en occupes. Il expose une boîte IMAP et un serveur SMTP locaux, sur 127.0.0.1, que ton client mail interroge comme n’importe quel serveur. Il est réservé aux plans payants ; l’app Proton Mail native, elle, n’en a pas besoin.
Voir aussi : IMAP · SMTP · OpenPGP
C
C2 (Command and Control)
Serveur de l’attaquant qui pilote à distance les machines infectées et reçoit les données volées.
Bloquer les connexions sortantes vers les domaines C2 connus, avec Little Snitch ou LuLu et les IOC publiés par les chercheurs, coupe l’opération même si le malware s’est exécuté. Ces domaines sont souvent des sites WordPress piratés ou des domaines tout neufs, abandonnés en quelques jours pour échapper aux listes de blocage.
Voir aussi : IOC · Pare-feu sortant process-aware · Infostealer
Cache de pages (page cache)
Zone de mémoire vive où le noyau garde une copie des fichiers récemment lus, pour éviter de relire le disque.
Un programme lancé plusieurs fois est servi depuis ce cache. Corrompre le cache revient donc à changer ce que le système croit exécuter, sans jamais toucher au fichier posé sur le disque. Une vérification d’intégrité qui ne regarde que le disque ne voit rien passer.
Voir aussi : Escalade de privilèges · FIM
CAPI (Central API, réseau communautaire CrowdSec)
API centrale de CrowdSec, à laquelle ton moteur est inscrit par défaut pour partager et recevoir des IP malveillantes.
Quand tu bannis une IP, tu remontes un signal minimal : l’adresse, le scénario, l’horodatage, jamais tes journaux. En échange, tu télécharges la liste communautaire agrégée et tu bloques des attaquants repérés ailleurs, avant qu’ils ne frappent chez toi. Tu peux te désinscrire et tourner en pur local.
Voir aussi : CrowdSec · Bouncer · CTI
CDHash (Code Directory Hash)
Empreinte de la partie de la signature qui recense chaque page d’un binaire : elle identifie une version exacte.
macOS l’utilise en interne pour valider un exécutable signé. Dans Santa, c’est la règle la plus précise, évaluée en premier, et la plus fragile : la moindre mise à jour produit un nouveau CDHash et la règle ne correspond plus. À réserver aux cas particuliers. Elle se distingue du SHA-256 du fichier entier, autre type de règle.
Voir aussi : Signature de code · SigningID · Santa
Chaîne d’approvisionnement logicielle (software supply chain)
Tout le trajet d’un logiciel jusqu’à ta machine : qui l’écrit, qui le compile, qui le signe, qui pousse la mise à jour.
Ce trajet ne se confond pas avec l’adresse où l’éditeur est immatriculé. Un logiciel édité par une société européenne peut être écrit ou signé ailleurs. C’est cette chaîne, autant que le registre du commerce, qui dit à qui tu fais réellement confiance.
Voir aussi : Supply chain attack · Signature de code · npm
Chiffrement au repos
Chiffrement des données stockées sur un serveur, par opposition au chiffrement pendant leur transport.
Il protège tes données si quelqu’un repart avec les disques du serveur. Il ne dit rien de qui détient les clés, et c’est toute la question. Gmail chiffre tes mails au repos, mais Google garde les clés et peut les lire. Chez Proton, chaque mail est chiffré avec ta clé dès son arrivée, et Proton n’a pas de quoi le relire.
Voir aussi : Chiffrement côté client · Zero-knowledge · E2EE
Chiffrement côté client
Tes données sont chiffrées sur ton appareil avant de partir, et le fournisseur ne reçoit que du contenu illisible.
Il ne détient pas les clés, donc il ne peut rien lire, même s’il le voulait. C’est la base du modèle zero-knowledge. Proton Drive fonctionne ainsi. iCloud Drive sans ADP et kDrive se contentent du chiffrement au repos : le fournisseur chiffre sur son serveur, mais garde les clés.
Voir aussi : Chiffrement au repos · Zero-knowledge · ADP · Client-side scanning
Chiffrement de bout en bout (E2EE)
Seuls l’expéditeur et le destinataire détiennent les clés pour lire le contenu, le service au milieu ne voit que du chiffré.
End-to-End Encryption. Le fournisseur (Proton, Signal) ne peut techniquement pas accéder à tes messages, même sous injonction judiciaire. Ce qu’il voit encore, ce sont les métadonnées : qui parle à qui, quand, combien. Et si le contenu est scanné sur ton appareil avant d’être chiffré, le tunnel reste intact mais ne protège plus rien.
Voir aussi : Métadonnées · Client-side scanning · Zero-knowledge · Forward secrecy
Chiffrement homomorphe
Technique qui permet à un serveur de calculer sur des données chiffrées sans jamais les déchiffrer.
C’est le Graal de la confidentialité dans le cloud, mais il reste trop coûteux en calcul à grande échelle. Private Cloud Compute ne l’utilise pas : il déchiffre ton texte dans une enclave durcie et attestée. Si un service d’IA cloud te promet la confidentialité, c’est la question à poser.
Voir aussi : Private Cloud Compute · Zero-knowledge
ClickFix
Arnaque qui t’affiche une fausse erreur ou une fausse vérification et te fait coller une commande dans le Terminal.
La ligne est un curl ... | bash qui télécharge et exécute le malware d’un coup : tu l’installes toi-même. Aucune faille exploitée, le vecteur c’est toi. La parade tient en une règle : ne jamais coller dans le Terminal une commande qu’une page te pousse à lancer.
Voir aussi : AMOS · Infostealer · Fileless
Client-side scanning
Analyse du contenu d’un message ou d’une photo directement sur ton appareil, avant le chiffrement et l’envoi.
Le contenu est comparé à une base de référence (par exemple de contenus pédocriminels) et signalé aux autorités en cas de correspondance. Le chiffrement de bout en bout reste intact pendant le transport, mais ton message a été lu avant d’être chiffré. C’est le mécanisme au cœur du règlement CSAR, dit Chat Control 2.0.
Voir aussi : CSAR · E2EE · Trilogue
CLOUD Act
Loi américaine de 2018 qui oblige les entreprises américaines à remettre des données, même stockées hors des États-Unis.
Clarifying Lawful Overseas Use of Data Act. Les autorités américaines n’ont pas besoin de passer par l’entraide judiciaire internationale. Ça vaut pour Gmail, OneDrive ou iCloud, quels que soient ta nationalité et l’endroit où dorment tes données. Un serveur en Europe chez un fournisseur américain ne te protège donc pas.
Voir aussi : Entraide judiciaire internationale · FISA 702 · SecNumCloud · Schrems II
CloudKit
Service de synchronisation en ligne d’Apple, utilisé par iCloud Photos, le Trousseau, iMessage et des apps tierces.
Depuis macOS 15.2 Sequoia, Apple s’en sert aussi pour distribuer les signatures XProtect. Les mises à jour arrivent sans notification, en général dans les 24 à 72 heures.
Coalition Against Stalkerware
Coalition internationale fondée en 2019 pour aider les victimes de stalkerware et coordonner sa détection.
Elle réunit l’EFF, Kaspersky, Malwarebytes, Norton, le Centre Hubertine Auclert, WESNET et une dizaine d’autres organisations. Son site, stopstalkerware.org, propose des ressources en français : kits de réponse, conseils techniques, contacts par pays. C’est la première adresse si tu soupçonnes un logiciel espion sur ton téléphone ou celui d’un proche.
Voir aussi : Stalkerware · Supervision iPhone
Corrélation (SIEM)
Le geste par lequel un SIEM relie plusieurs événements pour en tirer un sens qu’aucun ne porte seul.
Cinq refus du même programme en une minute : pris un par un, du bruit. Rapprochés dans une fenêtre de temps, une détection. Une règle de corrélation compte les événements par identifiant, par champ commun ou par machine, et lève une alerte plus haute quand le motif apparaît. C’est ce qui sépare un tableau de bord qui crépite d’un SIEM qui te dit quoi regarder.
Voir aussi : SIEM · Wazuh, vocabulaire · Fatigue d’alerte
CRA (Cyber Resilience Act)
Règlement européen (UE 2024/2847) qui impose des exigences de cybersécurité à tout produit numérique vendu en Europe.
Objets connectés, logiciels, firmware, équipements industriels : fabricants et distributeurs doivent maintenir le produit pendant sa durée de vie et signaler sous 24 heures les vulnérabilités exploitées. Entré en vigueur le 10 décembre 2024, il sera pleinement applicable le 11 décembre 2027.
Voir aussi : NIS2 · DORA · CVE
CrowdSec
Moteur de sécurité open source et auto-hébergé qui lit tes journaux, repère les attaques et bloque les IP fautives.
Il surveille SSH, le web ou le mail à l’aide de scénarios, puis s’appuie sur un bouncer pour bloquer, seul ou avec la liste communautaire. L’éditeur, une société française fondée en 2019, revendiquait plus de 40 millions de signaux quotidiens, remontés depuis plus de 190 pays. L’agent est gratuit, les listes premium sont payantes. Il s’intègre à Wazuh, nginx, Cloudflare ou fail2ban.
Voir aussi : Bouncer · CAPI · CTI
CSAR (Child Sexual Abuse Regulation)
Projet de règlement européen, surnommé Chat Control 2.0, qui vise à faire détecter par les messageries les contenus pédocriminels.
Dans sa version de 2022, la Commission voulait imposer cette détection jusque dans les conversations chiffrées de bout en bout, ce qui suppose du client-side scanning sur ton appareil. Un accès imposé et assumé, pas une porte dérobée clandestine. En novembre 2025, les États membres ont renoncé à la détection obligatoire dans leur position commune. Le texte est entré en trilogue en décembre 2025 et, fin septembre 2026, six rounds plus tard, aucun accord global n’avait été trouvé, le scan des messages privés restant le point de blocage. En juillet 2026, le régime « volontaire » de Chat Control 1.0 a été prolongé jusqu’en avril 2028.
Voir aussi : Client-side scanning · Trilogue · NIS2
CTI (Cyber Threat Intelligence)
Renseignement sur les menaces : collecter et partager ce qu’on sait des attaquants pour les voir venir.
Concrètement, des adresses IP, des scénarios, des tactiques. Dans CrowdSec, la CTI communautaire alimente la liste des IP malveillantes que tu télécharges avant même ta première attaque. Tu profites de ce que d’autres ont encaissé.
Voir aussi : CrowdSec · CAPI · IOC
CVE (Common Vulnerabilities and Exposures)
Identifiant standardisé d’une vulnérabilité, au format CVE-AAAA-NNNN, référencé par tous les correctifs sérieux.
Le catalogue est maintenu par MITRE, et le NIST le détaille dans sa base NVD. Chaque CVE porte un score de gravité CVSS de 0 à 10 (critique à partir de 9). Quand un éditeur annonce un correctif sans citer de CVE, c’est un signal. Tu consultes le détail sur nvd.nist.gov.
Cyber Solidarity Act
Règlement européen (UE 2025/38), en vigueur depuis le 4 février 2025, qui organise l’entraide cyber entre États membres.
Alertes partagées, réserve d’intervention mobilisable en cas de crise, budget commun. À ne pas confondre avec le CSAR : même famille de sigles, sujets opposés. L’un protège les infrastructures, l’autre a voulu faire lire tes messages.
D
Daemon
Programme qui tourne en arrière-plan, sans fenêtre, et démarre tout seul avec le système ou ta session.
Sur macOS, c’est launchd qui les gère. Proton Bridge en est un : il déchiffre tes mails en silence, et son icône dans la barre des menus est sa seule présence visible.
Voir aussi : Bridge IMAP · Santa
Data Privacy Framework (DPF)
Accord de transfert de données entre l’UE et les États-Unis, adopté en juillet 2023 pour remplacer le Privacy Shield.
Il autorise de nouveau l’envoi de données personnelles vers les entreprises américaines certifiées. Son prédécesseur avait été invalidé par l’arrêt Schrems II, et lui-même a vite été contesté, notamment par NOYB. Bâtir ta conformité dessus, c’est construire sur un terrain déjà contesté.
Voir aussi : Schrems II · FISA 702 · CLOUD Act
Déduplication
Technique de sauvegarde qui ne stocke qu’une fois les blocs de données identiques.
Au lieu de tout recopier à chaque passage, l’outil n’envoie que ce qui a réellement changé. Ton stockage hors site reste contenu et tes sauvegardes successives sont rapides. Kopia, restic et Borg le font nativement.
Voir aussi : Kopia · Règle 3-2-1-1 · S3
Diameter
Protocole de signalisation de la 4G, successeur de SS7, qui en reproduit le modèle de confiance implicite.
Même travail (itinérance, localisation, authentification entre opérateurs) dans une syntaxe plus moderne. Beaucoup de réseaux n’ont pas déployé le chiffrement prévu, si bien que les attaques de localisation connues sur SS7 ont leur équivalent Diameter.
Voir aussi : SS7 · Interconnexion télécom
DINUM (Direction interministérielle du numérique)
Direction française, rattachée au Premier ministre, chargée de la stratégie numérique de l’État.
En avril 2026, elle a basculé ses propres postes, environ 250, de Windows vers Linux, et lancé un plan interministériel de réduction des dépendances en sept axes, du poste de travail aux équipements réseau. Chaque ministère devait présenter sa feuille de route avant l’automne 2026, une préparation qui concerne à terme les quelque 2,5 millions d’agents publics. Première étape concrète, la visio souveraine de l’État, Visio, a vocation à les équiper tous. C’était l’un des virages souverains les plus structurés d’Europe.
Voir aussi : ANSSI · Vendor lock-in
DLP (Data Loss Prevention)
Outils qui scannent ce qui circule dans une organisation pour bloquer la fuite d’informations sensibles.
Numéros de carte, identifiants personnels, secrets internes : Google Workspace et Microsoft 365 (Purview) font ce contrôle côté serveur. Pour scanner, le fournisseur doit lire le contenu en clair. Un espace de travail entièrement chiffré de bout en bout ne peut donc pas faire de DLP sur le contenu. C’est un arbitrage, pas un défaut.
Voir aussi : Vault eDiscovery · KMS · Zero-knowledge
DMA (Digital Markets Act)
Règlement européen, en vigueur depuis mars 2024, qui encadre les pratiques des très grandes plateformes.
Pour toi, sur iPhone, il ouvre la porte au sideloading : installer des apps sans passer par l’App Store. Si une messagerie comme Signal devait quitter l’App Store européen, le DMA rendrait possible sa distribution par un autre canal.
Voir aussi : Sideloading · Trusted System Agent
DNS
L’annuaire d’internet, qui traduit un nom de domaine en adresse IP.
Domain Name System. Ton Mac demande où se trouve macsouverain.com, le DNS répond avec une adresse. Par défaut, ces requêtes partent souvent en clair, et ton FAI voit donc quels sites tu consultes, même en HTTPS.
Voir aussi : Resolver DNS · DoH · Fuite DNS · DNSSEC
DNS-over-HTTPS (DoH)
Protocole qui chiffre tes requêtes DNS dans du trafic HTTPS ordinaire, sur le port 443.
Pour ton FAI ou l’admin du réseau, tes requêtes se fondent dans le reste de ta navigation web. Impossible de les lire, et difficile de les isoler. macOS le prend en charge nativement depuis Big Sur.
Voir aussi : DoT · DNSCrypt · SNI
DNS-over-TLS (DoT)
Protocole qui chiffre tes requêtes DNS dans un tunnel TLS dédié, sur le port 853.
Même protection que DoH sur le fond : tes requêtes deviennent illisibles pour les acteurs du réseau. La différence, c’est que son port dédié le rend facile à repérer et à bloquer pour un administrateur.
Voir aussi : DoH · DNSCrypt · dnscrypt-proxy
DNSCrypt
Protocole créé en 2011 qui chiffre tes requêtes DNS et authentifie la réponse du resolver.
Il empêche un attaquant de se faire passer pour ton resolver. Contrairement à DoH (qui passe par HTTPS) et DoT (par un tunnel TLS dédié), il utilise son propre format. Beaucoup de resolvers communautaires sans journalisation le proposent. Un client comme dnscrypt-proxy parle les trois.
Voir aussi : dnscrypt-proxy · DoH · DoT · DNSSEC
dnscrypt-proxy
Service local open source qui devient le resolver DNS de ton Mac et chiffre toutes ses requêtes.
Il écoute sur 127.0.0.1:53, chiffre via DNSCrypt, DoH ou DoT, puis interroge un ou plusieurs resolvers (Quad9, Mullvad, communautaires). Il garde un cache, force toutes les requêtes système dans son tunnel et peut filtrer des domaines. Il s’installe avec brew install dnscrypt-proxy.
Voir aussi : DNSCrypt · Resolver DNS · Fuite DNS
DNSSEC
Extensions qui signent les réponses DNS, pour prouver qu’elles viennent bien du serveur légitime du domaine.
Domain Name System Security Extensions. Elles bloquent l’empoisonnement de cache et les réponses forgées. DNSSEC ne chiffre rien : il garantit l’authenticité, le chiffrement est le travail de DoH, DoT ou DNSCrypt. Il faut que le domaine soit signé et que ton resolver vérifie, ce qu’Unbound fait nativement.
Voir aussi : Unbound · Serveur authoritative · DNSCrypt
Docker
Outil qui fait tourner des applications dans des conteneurs isolés, sur un même serveur.
Chaque conteneur embarque tout ce dont l’application a besoin, code, dépendances et configuration, sans marcher sur le reste du système. Résultat : une installation et des mises à jour plus simples. Beaucoup de services auto-hébergés s’installent ainsi.
Voir aussi : VPS · OnlyOffice · Espace de noms utilisateur
DORA (Digital Operational Resilience Act)
Règlement européen (UE 2022/2554) sur la résilience numérique du secteur financier, applicable depuis le 17 janvier 2025.
Banques, assureurs, sociétés de gestion et plateformes de trading, mais aussi leurs prestataires techniques critiques, doivent gérer le risque informatique, tester leur résilience, notifier les incidents et surveiller leurs sous-traitants. Il recoupe NIS2 et l’étend aux fournisseurs.
E
Easy Switch
Outil intégré à Proton Mail qui importe tes mails, contacts et calendriers depuis Gmail, Yahoo ou Outlook.
La connexion passe par OAuth : tu ne donnes jamais ton mot de passe Gmail à Proton. L’import tourne en arrière-plan et se lance depuis les paramètres de Proton Mail sur le web.
Voir aussi : OAuth · vCard · Vendor lock-in
ECH (Encrypted Client Hello)
Extension de TLS qui chiffre le début de la connexion HTTPS, là où ton navigateur annonce encore en clair le site visé.
Sans ECH, un observateur réseau voit le site visé, même avec un DNS chiffré. Chrome, Firefox et Edge le prennent en charge. Chez Apple, c’est une option que chaque app doit activer, et elle est désactivée par défaut. Côté serveurs, l’ECH est longtemps resté l’affaire de Cloudflare. Depuis le printemps 2026, OpenSSL le gère nativement, et nginx aussi à condition d’être compilé avec cet OpenSSL. Ton site auto-hébergé peut donc l’activer, à condition de publier sa clé dans le DNS. Tant que tu ne le fais pas, le nom du site reste lisible.
Voir aussi : SNI · DoH · HTTPS
Ed25519
Algorithme de signature moderne, à courbes elliptiques, utilisé notamment pour les clés SSH.
Face aux anciennes clés RSA, une clé Ed25519 est bien plus courte, plus rapide à vérifier, et au moins aussi solide. C’est le choix recommandé pour te connecter à un serveur par clé plutôt que par mot de passe : ssh-keygen -t ed25519.
Voir aussi : Secretive · Post-quantique
EDR (Endpoint Detection and Response)
Antivirus comportemental qui surveille en temps réel ce que font les programmes, pas seulement ce qu’ils sont.
Là où l’antivirus classique compare des empreintes de fichiers connus, l’EDR repère des enchaînements suspects : création de fichier, élévation de droits, connexion sortante inhabituelle. Il résiste donc mieux aux malwares polymorphes ou sans fichier. Sur Mac, les outils gratuits d’Objective-See (KnockKnock, BlockBlock, LuLu, ReiKey) couvrent une bonne partie de ces besoins pour un particulier.
Voir aussi : Polymorphe · Fileless · XProtect · Endpoint Security
eIDAS 2.0
Règlement européen sur l’identité numérique, qui impose à chaque État de fournir un portefeuille d’identité à ses citoyens.
Ces European Digital Identity Wallets (EUDI) devaient être disponibles d’ici fin 2026, et les très grandes plateformes au sens du DSA doivent les accepter pour la connexion. Les intégrateurs (Thales, IDEMIA, Entrust) se positionnent sur le marché. Un cas d’école : la régulation crée le besoin, le marché vend la solution.
Voir aussi : Identity broker · Age verification
Electron (apps)
Technologie qui fabrique des apps de bureau à partir de code web, en embarquant un moteur Chrome dans chaque app.
Discord, Slack, Teams, Notion, VS Code ou Spotify en sont. Quand Chrome corrige une faille, l’app Electron garde l’ancienne version jusqu’à sa propre mise à jour. Une app qui se met rarement à jour devient donc une cible de choix à chaque nouvelle faille Chrome.
Voir aussi : Exploit navigateur · Zero-day
Endpoint Security (cadre d’extension système macOS)
Cadre d’Apple, introduit avec Catalina en 2019, qui permet à un outil de sécurité de suivre et bloquer l’activité du système.
Lancements de processus, ouvertures de fichiers, montages de volumes : certains événements peuvent être refusés avant d’avoir lieu. Il tourne en espace utilisateur et remplace les anciennes extensions noyau, dont un bug pouvait planter tout le Mac. Il exige une autorisation spéciale d’Apple côté développeur, puis ton accord et le Full Disk Access côté poste. Santa et la plupart des EDR sur Mac reposent dessus.
Voir aussi : Santa · EDR · Full Disk Access
Enrôlement (agent SIEM)
Étape où une machine s’inscrit auprès du manager pour être surveillée.
L’agent échange une clé avec le serveur, chez Wazuh sur le port 1515, puis envoie ses données sur le port 1514. Une fois enrôlé, il apparaît dans la console avec un état : Active, Pending, Disconnected ou Never connected.
Entraide judiciaire internationale
Procédure par laquelle un État demande à un autre de l’aider dans une enquête, par exemple pour obtenir des données.
Elle est bien plus lente et plus encadrée qu’une injonction nationale. C’est ce qui protège les données hébergées en Suisse : un gouvernement étranger ne peut pas exiger l’accès directement, il doit passer par un juge suisse. Le CLOUD Act existe précisément pour court-circuiter cette étape.
EPS (Events Per Second)
Nombre d’événements, de lignes de journal, qu’un SIEM ingère par seconde : sa mesure de capacité.
Un nœud Wazuh d’environ 16 Go de RAM et 8 vCPU encaisse de l’ordre de 5 000 EPS. Quand la file sature, le SIEM ne ralentit pas : il jette ce qu’il n’a pas le temps de traiter. Une alerte jetée est une alerte que tu ne verras jamais.
Voir aussi : Indexeur · vCPU · Wazuh, vocabulaire
Escalade de privilèges et mouvement latéral
Les deux temps qui suivent une intrusion : gagner les droits d’administrateur, puis se déplacer de machine en machine.
L’escalade exploite une faille ou une permission mal réglée. Le mouvement latéral réutilise les identifiants ramassés au passage pour avancer dans le réseau. Un attaquant entre rarement là où se trouve ce qu’il veut : il entre par le maillon faible, puis remonte. La première intrusion compte moins que ce qu’elle permet d’atteindre ensuite.
Voir aussi : RCE · Espace de noms utilisateur · Seccomp
Espace de noms utilisateur (user namespace)
Mécanisme du noyau Linux qui donne à un processus sa propre vue des identités : simple utilisateur dehors, root dedans.
C’est le socle des conteneurs sans privilèges. C’est aussi une porte d’entrée classique vers l’escalade de privilèges, puisque le processus y obtient des capacités noyau qu’il n’aurait jamais eues autrement. Les désactiver pour les processus non privilégiés est un durcissement courant sur un serveur.
Voir aussi : Seccomp · Escalade de privilèges · Docker
Evil Twin
Faux point d’accès Wi-Fi qui porte le même nom qu’un réseau légitime, celui du café ou de l’hôtel.
Ton appareil s’y connecte tout seul, en croyant retrouver un réseau connu. L’attaquant se retrouve au milieu de ton trafic et peut l’observer ou le modifier.
Voir aussi : MITM · Portail captif · VPN
Exploit navigateur
Code qui exploite une faille d’un navigateur, ou d’un moteur embarqué, pour lancer un programme sur ta machine.
Il suffit souvent d’un lien ou d’un message piégé. Pour prouver qu’un exploit marche, les chercheurs ouvrent la calculatrice de la machine cible : si la calculatrice s’ouvre sans autorisation, n’importe quel autre programme peut le faire.
Voir aussi : Electron · RCE · Zero-day
F
FAI
Fournisseur d’accès à internet : l’entreprise qui te connecte au réseau, Orange, Free, SFR, Swisscom.
Il voit passer tout ton trafic, donc ses métadonnées : à quelle heure, vers quels serveurs, en quelle quantité. C’est aussi lui qui te fournit ton resolver DNS par défaut, sauf si tu le changes.
Voir aussi : DNS · VPN · Métadonnées
Fatigue d’alerte
État d’une équipe qui reçoit tant d’alertes, souvent fausses ou en double, qu’elle finit par les ignorer.
Un vrai incident passe alors avec le reste. C’est pire que l’absence d’alerte, parce que tu crois être couvert. On la combat en calibrant les seuils (quel niveau prévient quel canal) et en dédupliquant en amont, dans les règles elles-mêmes, jamais au moment de la notification.
Voir aussi : SIEM · Corrélation · Wazuh, vocabulaire
Fileless (malware)
Malware qui s’exécute en mémoire sans jamais écrire son code complet sur le disque.
Il échappe ainsi à la plupart des antivirus à signatures et laisse très peu de traces après nettoyage. Un petit script (AppleScript ou shell sur Mac) télécharge le code et le lance directement en mémoire. Variante avancée : se servir des outils signés par Apple (osascript, curl, bash) pour passer inaperçu.
Voir aussi : EDR · ClickFix · XProtect
FIM (File Integrity Monitoring)
Surveillance d’intégrité : le SIEM garde l’empreinte des fichiers sensibles et alerte dès que l’un change.
Binaires système, fichiers de configuration : modification, création ou suppression déclenchent une alerte. Un fichier système qui change sans raison est souvent le premier signe d’une intrusion. Dans Wazuh, le module s’appelle syscheck et il est actif par défaut.
Voir aussi : SCA · Wazuh, vocabulaire · Wazuh
Fingerprinting navigateur
Empreinte unique de ton navigateur, construite à partir de signaux techniques qu’il émet sans le savoir.
Rendu graphique, GPU, polices installées, résolution, fuseau horaire : la combinaison suffit à te reconnaître d’un site à l’autre, sans cookie, même en navigation privée. Ni un VPN ni un DNS souverain n’y changent rien, ça se joue dans le navigateur. La parade est côté client : Firefox avec arkenfox, Brave, ou une extension comme CanvasBlocker.
Voir aussi : Pixel de suivi · MAID
FISA 702
Section 702 de la loi américaine sur le renseignement étranger, qui autorise la NSA à collecter sans mandat.
Elle vise des cibles étrangères hors des États-Unis, mais balaie aussi leurs correspondants. La NSA peut ensuite fouiller cette base sans mandat (« backdoor searches »), pratique dénoncée par l’EFF et le Brennan Center. En avril 2026, le Congrès a rejeté une reconduction de dix-huit mois, puis s’est contenté de rallonges courtes. Faute d’accord, notamment sur l’exigence de mandat, la section 702 a expiré le 12 juin 2026. La collecte continuait pourtant sur la base des autorisations annuelles déjà délivrées, valables jusqu’en mars 2027.
Voir aussi : Schrems II · CLOUD Act · 5/9/14 Eyes
Forge Git
Plateforme web qui héberge des dépôts Git et offre une interface pour parcourir le code et suivre les tickets.
GitHub (Microsoft), GitLab et Gitea en sont des exemples. Gitea est légère et s’auto-héberge sans peine : ton code reste sur ta machine, pas dans le cloud d’un géant.
Voir aussi : Git · Pull request · VPS
Forward secrecy (confidentialité persistante)
Propriété qui garantit qu’une clé volée demain ne permet pas de déchiffrer les échanges d’hier.
Chaque session utilise des clés éphémères. Même si un attaquant enregistre ton trafic chiffré aujourd’hui et met la main sur une clé privée plus tard, le passé reste illisible. Signal l’implémente via son double ratchet, et MLS l’apporte aux conversations de groupe. C’est une propriété distincte du chiffrement de bout en bout, et un bon indicateur de sérieux cryptographique.
Voir aussi : Protocole Signal · MLS · Harvest now, decrypt later
FSB
Service fédéral de sécurité russe, héritier du KGB, qui joue aussi le rôle d’autorité de certification logicielle.
À ce titre, il accède au code source des logiciels soumis à homologation. Un éditeur qui passe par cette voie ne garde pas ses sources privées.
Voir aussi : FSTEC · Chaîne d’approvisionnement logicielle
FSTEC
Service fédéral russe de contrôle technique et des exportations, rattaché au ministère de la Défense.
Il certifie les logiciels destinés aux administrations et aux infrastructures sensibles, et exige pour cela que le code source passe par des laboratoires accrédités. Autrement dit, l’État lit le code avant de valider.
Voir aussi : FSB · Chaîne d’approvisionnement logicielle
Fuite DNS (DNS leak)
Tes requêtes DNS contournent le tunnel VPN et partent chez le resolver de ton FAI, qui voit les domaines visités.
Un VPN peut chiffrer tout ton trafic web et laisser le DNS fuir à côté, selon sa configuration. Les VPN sérieux forcent toutes les requêtes à passer par leur propre resolver. Tu peux vérifier sur dnsleaktest.com.
Voir aussi : VPN · Kill switch · dnscrypt-proxy
Full Disk Access (FDA)
Autorisation macOS qui ouvre à une application l’ensemble des fichiers protégés, au-delà des accès accordés au cas par cas.
Un agent de sécurité livré en simple binaire, comme celui de Wazuh, reste aveugle sur les zones sensibles tant que tu ne la lui as pas accordée. Sur un parc géré, on la pousse en général par profil MDM.
Voir aussi : TCC · Endpoint Security · Agent
G
GGUF
Format de fichier de modèle d’IA quantifié, popularisé par llama.cpp et utilisé par Ollama.
Il réunit dans un seul fichier les poids du modèle et ses métadonnées, simple à distribuer et à charger. Sur Mac, à modèle et quantification égaux, une version MLX tourne en général plus vite. GGUF garde l’avantage de la portabilité : le même fichier tourne aussi sur PC et Linux.
Voir aussi : Quantification · Ollama / LM Studio / MLX · Hugging Face
Git
Système de gestion de versions décentralisé, qui garde la trace de chaque modification d’un fichier.
Chaque changement est enregistré, traçable et réversible. Indispensable pour du code, des configurations ou n’importe quel projet texte. Créé par Linus Torvalds, le père de Linux, il est utilisé à peu près partout dans le développement logiciel.
Voir aussi : Forge Git · Pull request
Global Title leasing
Location à un tiers d’une adresse légitime sur le réseau mondial de signalisation téléphonique, un « Global Title ».
Pour une société de surveillance, c’est la porte d’entrée. Via un petit opérateur complaisant ou un courtier, elle obtient un point d’accès qui lui permet d’interroger à distance le réseau d’une cible, sans l’accord de son opérateur.
Voir aussi : SS7 · Interconnexion télécom
H
Hameçonnage par consentement (OAuth consent phishing)
Arnaque qui te fait autoriser une application piégée sur un vrai écran de connexion Google ou Microsoft.
Tu cliques « Autoriser », l’app reçoit un jeton d’accès à ta boîte mail et à tes fichiers, sans jamais voler ton mot de passe. Le double facteur ne sert à rien, et changer ton mot de passe ne coupe rien. Le jeton vit tant que tu ne retires pas l’accès de l’app dans les réglages de sécurité du compte. En septembre 2026, le FBI a alerté sur cette technique.
Voir aussi : OAuth · Jeton de session · MFA
Harvest now, decrypt later
Stratégie qui consiste à stocker aujourd’hui des communications chiffrées pour les déchiffrer plus tard, avec un ordinateur quantique.
L’adversaire parie sur dix ou vingt ans. Le chiffrement classique (RSA, courbes elliptiques) tomberait face à l’algorithme de Shor sur une machine quantique suffisamment puissante. Si tes échanges doivent rester secrets longtemps, la menace commence donc dès maintenant. C’est elle que le chiffrement post-quantique cherche à neutraliser.
Voir aussi : Post-quantique · Forward secrecy
HTTPS
Version chiffrée du protocole web, qui protège ce que tu échanges avec un site.
HyperText Transfer Protocol Secure. Personne sur le réseau ne lit le contenu de la page ni ce que tu tapes dans un formulaire. Ce qui reste visible : quel site tu visites, quand et combien de fois.
Voir aussi : SNI · SSL stripping · Métadonnées
Hugging Face
Plateforme communautaire où se publient et se téléchargent la plupart des modèles d’IA ouverts.
Qwen, Mistral, Llama ou Gemma y sont publiés, souvent en plusieurs formats et niveaux de quantification. LM Studio ou Ollama vont les y chercher pour toi. Attention, être hébergé sur Hugging Face ne dit rien de la licence : vérifie au cas par cas si l’usage commercial est autorisé.
Voir aussi : Open-weight · GGUF · LLM local
I
iCloud Private Relay
Service d’iCloud+ qui fait sortir tes requêtes DNS et ton trafic Safari par deux relais successifs.
Le premier, chez Apple, voit ton IP mais pas ta destination. Le second, chez un partenaire comme Cloudflare ou Akamai, voit la destination mais pas ton IP. Il ne couvre que Safari et quelques services système : Chrome, Firefox, Mail ou les apps tierces passent à côté. Utile en complément, pas en remplacement d’un resolver de confiance.
Voir aussi : VPN · Resolver DNS · DoH
Identity broker (courtier d’identité)
Service qui vérifie ton identité pour le compte de nombreux sites et apps, en centralisant cette vérification.
World ID, GOV.UK Wallet ou les portefeuilles européens EUDI en sont des exemples. Le courtier voit au passage chacune de tes interactions avec tous les services branchés sur lui, et devient une cible de choix pour les pirates comme pour les injonctions légales. La position de Mac Souverain est simple : tout courtier d’identité non zero-knowledge est, par construction, un point de surveillance.
Voir aussi : World ID · eIDAS 2.0 · Age broker
IMAP
Protocole standard de récupération des mails, qui synchronise ta boîte entre le serveur et tous tes appareils.
Internet Message Access Protocol. Tes mails restent sur le serveur, contrairement à POP3 qui les télécharge et les efface. Tu lis sur ton Mac, c’est marqué lu sur ton iPhone. Proton Mail utilise son propre protocole, d’où le Bridge qui expose une interface IMAP locale pour Apple Mail.
Voir aussi : SMTP · Bridge IMAP · Vendor lock-in
iMessage
Messagerie d’Apple, chiffrée de bout en bout entre appareils Apple, intégrée à l’app Messages de l’iPhone, de l’iPad et du Mac.
Bulle bleue, chiffré. Le piège : quand iMessage décroche, Messages peut basculer en SMS, en MMS ou en RCS non chiffré, dans le même fil, avec une simple mention discrète. Coupe le repli en SMS (« Réessayer par message texte » ou un libellé voisin selon la version d’iOS) et le Service RCS dans Réglages > Apps > Messages. Sans la Protection avancée des données, si la sauvegarde iCloud est activée, elle contient la clé de tes messages, et Apple peut y accéder.
Voir aussi : RCS · SMS / MMS · ADP · Post-quantique
Indexeur
Composant d’un SIEM qui range les journaux dans une structure optimisée, pour les rechercher et les corréler vite.
Dans Wazuh, l’indexeur, un dérivé d’OpenSearch, est la brique la plus gourmande en mémoire vive. C’est lui qui fixe le minimum de RAM du serveur : en dessous de 8 Go, il rame ou s’arrête.
Voir aussi : Wazuh · Wazuh, vocabulaire · EPS
Inférence
L’exécution d’un modèle d’IA déjà entraîné pour produire une réponse.
Quand tu poses une question à un modèle local, c’est de l’inférence, par opposition à l’entraînement qui sert à le construire. Sur Mac, elle s’appuie sur le CPU, le GPU et le Neural Engine. En local, elle ne demande aucune connexion et ne transmet rien à l’extérieur.
Voir aussi : LLM local · Neural Engine
Infostealer
Malware spécialisé dans le vol d’identifiants, de cookies de session, de mots de passe et de portefeuilles crypto.
Les données partent vers un serveur C2 puis sont revendues sur des marchés clandestins. Sur Mac, les plus récents (MacSync, AMOS, Banshee) misent sur la manipulation plutôt que sur une faille : c’est toi qui lances le code, après des instructions piégées.
Voir aussi : AMOS · ClickFix · Jeton de session
Injection de template
Faille qui détourne un moteur de gabarit pour lui faire exécuter des instructions plutôt qu’afficher du texte.
Le moteur assemble une page ou un fichier de configuration à partir d’un modèle et de variables. Si l’application y insère une valeur fournie par l’utilisateur sans la neutraliser, l’attaquant y glisse des instructions que le serveur exécute docilement. Ça va de la fuite de variables internes à l’exécution de code à distance.
Integrator (integratord)
Démon de Wazuh qui pousse chaque alerte au-dessus d’un seuil vers un canal externe : chat, webhook ou script.
Il se configure dans ossec.conf, un bloc <integration> par canal, chacun avec son propre seuil sur l’échelle de 0 à 16. Les notifications mail, elles, sont gérées directement par le manager. C’est la brique qui transforme un SIEM qui détecte en un SIEM qui te prévient.
Voir aussi : Wazuh · Fatigue d’alerte · Réponse active
Interconnexion télécom
L’ensemble des liaisons qui permettent aux réseaux des différents opérateurs de se parler.
C’est grâce à elle que ton appel arrive chez un correspondant d’un autre opérateur, dans un autre pays. C’est aussi elle qu’exploitent les attaques SS7 ou Diameter : la faille n’est pas dans ton téléphone, mais dans la confiance que ces réseaux s’accordent entre eux.
Voir aussi : SS7 · Diameter · Global Title leasing
IOC (Indicator of Compromise)
Indice technique vérifiable qui prouve ou suggère qu’une machine a été compromise.
Domaines C2, empreintes SHA-256 de binaires malveillants, URL de téléchargement, IP de serveurs d’exfiltration. Les chercheurs les publient pour que chacun puisse bloquer ou détecter vite, par exemple dans Little Snitch. Ils vieillissent mal : les attaquants changent d’infrastructure tous les quelques jours.
Voir aussi : C2 · CTI · Polymorphe
IPA (Investigatory Powers Act)
Loi britannique de 2016 sur les pouvoirs de surveillance de l’État, surnommée « Snoopers’ Charter ».
C’est elle qui autorise les Technical Capability Notices et impose le silence autour de leur émission. Elle agit par injonction nationale secrète, pas par débat législatif public.
Voir aussi : TCN · IPT · Online Safety Act
IPT (Investigatory Powers Tribunal)
Juridiction britannique spécialisée qui juge les recours contre les pouvoirs de surveillance de l’Investigatory Powers Act.
C’est devant elle qu’Apple a contesté, en mars 2025, la TCN visant ses sauvegardes iCloud, puis, en 2026, une nouvelle TCN limitée aux utilisateurs britanniques. En septembre 2026, le recours d’Apple portait encore sur le secret de ces injonctions, pas sur le fond. Privacy International et Liberty y contestent le régime même de ces injonctions.
ISO 27001
Norme internationale qui encadre le système de gestion de la sécurité de l’information d’une organisation.
Un hébergeur certifié a fait auditer par un organisme indépendant ses procédures de gestion des risques, des accès et des incidents. Ça ne prouve pas qu’il est inviolable. Ça prouve qu’une démarche de sécurité structurée existe et qu’elle est contrôlée régulièrement.
Voir aussi : SOC 2 Type II · SecNumCloud
J
Jeton de session (bearer token)
Jeton qu’un service te remet après connexion et qui suffit, tant qu’il est valide, à agir en ton nom.
Bearer veut dire porteur : quiconque le détient est traité comme toi, sans mot de passe ni double facteur, qui ne protègent que le moment de l’émission. Un jeton volé reste accepté jusqu’à son expiration, et une simple déconnexion locale ne le révoque pas côté service. La vraie parade passe par ton compte : invalider les sessions et changer la clé concernée.
Voir aussi : OAuth · MFA · Infostealer
K
kDrive
Service de stockage en ligne d’Infomaniak, hébergeur suisse basé à Genève, avec 15 Go gratuits.
Datacenters en Suisse, juridiction suisse, montage dans le Finder via WebDAV, OnlyOffice intégré pour coéditer des documents. Attention : kDrive chiffre au repos et en transit, mais pas côté client. Infomaniak détient les clés.
Voir aussi : Chiffrement au repos · WebDAV · nLPD
Kill switch
Fonction d’un VPN qui coupe ta connexion internet si le tunnel tombe.
Sans lui, une déconnexion du VPN renvoie ton trafic en clair sur le réseau, le temps que tu t’en aperçoives. Avec, rien ne sort, même une seconde.
KIP (Kernel Integrity Protection)
Protection matérielle d’Apple Silicon qui interdit toute modification du noyau macOS en cours d’exécution, même avec les droits root.
Le processeur verrouille en écriture le code du noyau en mémoire. Toute une famille d’attaques, qui consistait à injecter du code dans le noyau d’un Mac allumé, devient impossible par construction.
KMS (Key Management Service)
Service des grands clouds pour stocker, faire tourner et auditer les clés qui chiffrent les données d’une organisation.
Deux modèles : le fournisseur garde la clé, ou l’organisation la conserve et la prête au service (CMEK, BYOK, HYOK). Google Workspace propose ainsi un chiffrement côté client avec un KMS externe : la clé reste hors de chez Google, qui ne peut pas livrer le contenu en clair. Le prix : recherche, DLP et prévisualisation ne marchent plus sur ce contenu.
Voir aussi : Chiffrement côté client · DLP · CLOUD Act
Kopia
Outil de sauvegarde open source qui chiffre tes données sur ta machine avant de les envoyer au stockage distant.
Il déduplique pour limiter le volume transféré et écrit vers un stockage compatible S3, du cloud souverain au NAS. La clé reste chez toi : l’hébergeur ne peut pas lire ce qu’il stocke. Revers assumé, perdre cette clé rend tes sauvegardes illisibles pour toi aussi.
Voir aussi : Déduplication · Règle 3-2-1-1 · S3
L
Liste de blocage (blocklist)
Liste de domaines ou d’adresses, souvent tenue à jour par une communauté, que ton outil refuse de contacter : pub, pistage, télémétrie, malwares.
Tu l’abonnes dans un pare-feu sortant, un resolver DNS filtrant ou un bloqueur de navigateur, et des milliers de destinations connues tombent d’un coup, sans règle à écrire. Sa force fait aussi sa limite : elle ne bloque que ce qu’elle connaît. Un domaine neuf, un service de mesure jugé inoffensif ou un relais côté serveur passent à travers. Préfère une version allégée pour limiter la casse, et complète par des règles ciblées.
Voir aussi : Pare-feu sortant process-aware · Pisteur · Relais côté serveur · dnscrypt-proxy
LLM local (modèle de langage local)
Grand modèle de langage qui tourne sur ta machine plutôt que sur les serveurs d’un fournisseur.
Aucune requête ne part sur le réseau, aucune donnée ne quitte ton ordinateur, et l’outil fonctionne même hors connexion ou si un fournisseur te coupe l’accès. Sur Mac, c’est la mémoire unifiée de l’Apple Silicon qui rend ça possible sur une machine grand public.
Voir aussi : Ollama / LM Studio / MLX · RAM unifiée · Quantification · Inférence
Lockdown (mode Santa)
Mode de Santa où tout binaire qui ne correspond à aucune règle d’autorisation est refusé.
C’est la cible d’un déploiement, atteinte après une période en Monitor pour recenser ce qui tourne vraiment. Il s’active par profil de configuration (ClientMode à 2), jamais par defaults write, que Santa ignore pour qu’un malware ne puisse pas se libérer. Rien à voir avec le mode Isolement d’Apple (Lockdown Mode), qui bride l’appareil face aux logiciels espions d’État. Même mot, deux mécanismes.
Voir aussi : Santa · Allowlisting · Profil de configuration
M
MAID (Mobile Advertising Identifier)
Identifiant publicitaire unique attribué à ton téléphone par son système, IDFA sur iOS, GAID sur Android.
Il permet aux annonceurs et aux courtiers en données de te suivre d’app en app pour construire ton profil. Tu peux le réinitialiser dans Réglages > Confidentialité et sécurité > Suivi : le lien avec ton historique est coupé, mais rien n’est effacé dans les bases déjà constituées.
Malvertising
Diffusion de malwares par des publicités sponsorisées achetées sur des régies légitimes.
L’attaquant enchérit sur un mot-clé populaire, souvent le nom d’un logiciel, et son annonce pointe vers une page d’installation piégée. Très efficace, parce que tu cherches justement à installer quelque chose et que tu baisses la garde.
Voir aussi : AMOS · Infostealer
Man-in-the-middle (MITM)
Attaque où un tiers s’intercale entre toi et le serveur pour lire ou modifier vos échanges.
Classique sur les Wi-Fi publics mal sécurisés. Un faux point d’accès ou une connexion rétrogradée en HTTP sont deux façons courantes de s’installer au milieu.
Voir aussi : Evil Twin · SSL stripping · Portail captif
Matrix
Protocole ouvert et décentralisé de messagerie, d’appels et de partage de fichiers, chiffré de bout en bout.
Contrairement à Slack ou WhatsApp, Matrix est fédéré : tu peux héberger ton propre serveur et discuter avec les utilisateurs des autres. Synapse est le serveur de référence, Element le client le plus courant.
Voir aussi : MLS · Protocole Signal
MCP (Model Context Protocol)
Protocole publié par Anthropic en novembre 2024 pour brancher des outils et des données à un modèle de langage.
C’est ce qui permet à Claude Desktop, Cursor ou Windsurf de lire tes fichiers, d’interroger une base ou de lancer une commande. Il repose sur deux interfaces, STDIO (process local) et HTTP. En avril 2026, OX Security a documenté l’interface STDIO, livrée sans isolation, comme vecteur d’attaque, et estimé jusqu’à 200 000 serveurs exposés. Anthropic a répondu qu’il s’agissait d’un comportement voulu.
MDM (Mobile Device Management)
Gestion à distance d’appareils Apple, conçue pour les flottes d’entreprise et les parcs scolaires.
Un profil MDM donne à l’administrateur des droits étendus : imposer un code, restreindre des apps, lire l’inventaire, parfois installer ou retirer des apps. En entreprise, c’est légitime. À la maison, c’est devenu le vecteur principal du stalkerware sur iPhone. Vérifie dans Réglages > Général > VPN et gestion des appareils.
Voir aussi : Profil de configuration · Supervision iPhone · Stalkerware · ABM
Mesh network
Réseau où chaque appareil se connecte directement aux autres, sans passer par un serveur central.
Si un nœud tombe, les autres continuent à se parler. Tailscale construit un réseau de ce type, chiffré par WireGuard, entre tous tes appareils.
Voir aussi : Tailscale · WireGuard
Métadonnées
Les données sur les données : qui, quand, où, combien, mais pas le contenu.
Pour un mail : expéditeur, destinataire, heure, adresse IP. Pour ta navigation : quels sites, à quelle heure, à quelle fréquence. Un appel régulier à un avocat spécialisé en dit souvent plus long que la conversation elle-même. Le chiffrement de bout en bout protège le contenu, pas les métadonnées.
Voir aussi : E2EE · APNs · FAI
MFA (Multi-Factor Authentication)
Authentification qui exige au moins deux preuves d’identité : mot de passe plus code, clé physique ou biométrie.
Un mot de passe volé ne suffit plus pour entrer. Elle est rendue obligatoire par NIS2 pour les entités concernées. Sa limite : elle protège le moment de la connexion, pas le jeton remis ensuite.
Voir aussi : Jeton de session · Hameçonnage par consentement · NIS2
MIE (Memory Integrity Enforcement)
Protection mémoire du noyau gravée dans les puces A19 et M5, qui bloque en matériel les corruptions mémoire.
Elle s’appuie sur MTE : chaque allocation reçoit une étiquette secrète, et le processeur refuse tout accès dont l’étiquette ne correspond pas. Elle vise les familles de bugs (use-after-free, débordement de tampon) à l’origine de la majorité des exploits du noyau sur macOS et iOS. En mai 2026, Calif a annoncé un premier contournement public sur Mac M5, une chaîne d’exploits du noyau testée sous macOS Tahoe 26.4.1. Apple a corrigé dans macOS Tahoe 26.5 une faille du noyau signalée par Calif, sans qu’on sache si ce correctif couvrait toute la chaîne.
MLS (Messaging Layer Security)
Protocole de chiffrement de bout en bout pour les conversations de groupe, standardisé par l’IETF (RFC 9420).
Il gère l’arrivée et le départ de participants sans compromettre les échanges passés ni futurs. Proton Meet l’utilisait dès son lancement, le 31 mars 2026. En mai 2026, Apple et Google ont lancé, en bêta avec iOS 26.5, le chiffrement de bout en bout des RCS entre iPhone et Android, sur une norme GSMA qui s’appuie sur MLS.
Voir aussi : Protocole Signal · Forward secrecy · Matrix
MTE (Memory Tagging Extension)
Extension matérielle de l’architecture ARM v9 qui étiquette la mémoire pour détecter les accès illégitimes.
Le processeur attribue une étiquette de 4 bits à chaque bloc de 16 octets, et la même étiquette est portée par les pointeurs qui y accèdent. Au moindre écart, exception. Les puces A19 et M5 en offrent la première mise en œuvre sérieuse grand public, socle de MIE.
N
NEFilterDataProvider (Network Extension)
Cadre Apple, introduit avec Big Sur, que les pare-feu sortants utilisent pour filtrer le réseau sans extension noyau.
Little Snitch et LuLu tournent ainsi en espace utilisateur : plus de kernel panic causé par un pilote tiers, signature Apple obligatoire, isolation stricte. Limite pratique : un seul filtre de ce type peut être actif à la fois. Little Snitch et LuLu ensemble, c’est impossible.
Voir aussi : Pare-feu sortant process-aware · ALF · Endpoint Security
Neural Engine
Coprocesseur de l’Apple Silicon dédié aux calculs d’apprentissage automatique.
Avec le GPU et le CPU, il fait tourner le modèle Apple Intelligence embarqué, environ 3 milliards de paramètres, sans qu’aucune donnée ne quitte la puce. C’est le pilier de la promesse de confidentialité d’Apple sur le périmètre local.
Voir aussi : RAM unifiée · Inférence · Private Cloud Compute
NIS2 (Network and Information Security 2)
Directive européenne de cybersécurité, entrée en vigueur en janvier 2023, qui élargit fortement le nombre d’entités soumises.
En France, environ 15 000 à 18 000 entités contre 500 sous NIS1 : au-delà de 50 salariés et 10 millions d’euros de chiffre d’affaires dans les secteurs couverts. L’article 21 impose chiffrement, MFA et communications sécurisées, l’article 20 engage la responsabilité des dirigeants. En octobre 2026, la France ne l’avait toujours pas transposée, malgré une échéance fixée à octobre 2024, et la Commission l’avait renvoyée devant la Cour de justice de l’UE en juillet. Le projet de loi « Résilience », adopté par le Sénat en mars 2025, devait arriver en séance à l’Assemblée le 7 octobre 2026, avant d’être retiré de l’ordre du jour la veille.
Voir aussi : ANSSI · DORA · CRA · CSAR
nLPD (nouvelle Loi fédérale sur la Protection des Données)
Loi suisse de protection des données personnelles, révisée et entrée en vigueur en septembre 2023.
Proche du RGPD dans ses principes (consentement, transparence, droit d’accès), mais juridiquement distincte. Proton et Infomaniak y sont soumis, et respectent aussi le RGPD, applicable hors de l’UE dès qu’il s’agit de données de résidents européens.
Voir aussi : Entraide judiciaire internationale · kDrive
No-logs
Promesse d’un fournisseur de VPN de ne garder aucun journal de tes connexions.
Sites visités, horaires, adresses IP : rien ne serait conservé. Une promesse ne coûte rien. Elle ne vaut quelque chose que si un audit indépendant l’a vérifiée.
Voir aussi : VPN · SOC 2 Type II
npm (Node Package Manager)
Registre central de l’écosystème JavaScript, d’où les développeurs téléchargent leurs paquets avec npm install.
C’est un maillon historiquement fragile de la chaîne d’approvisionnement. Un seul paquet compromis peut atteindre des millions de machines en quelques heures, puisqu’il s’installe partout où il est déclaré comme dépendance.
Voir aussi : Supply chain attack · Chaîne d’approvisionnement logicielle · Pull request
NSL (National Security Law, Hong Kong)
Loi de sécurité nationale imposée à Hong Kong par Pékin le 30 juin 2020.
Depuis une modification de ses règles d’application le 23 mars 2026, la police peut exiger d’un suspect ses mots de passe et ses clés de chiffrement, et refuser est un délit. C’est une contrainte directe de remise des clés, là où d’autres régimes obtiennent l’accès par des voies détournées.
O
OAuth
Protocole qui permet à une application d’accéder à tes données sur un autre service sans connaître ton mot de passe.
Open Authorization. Tu donnes ton accord dans une fenêtre du service d’origine (Google, Apple), qui remet à l’app un jeton à durée et périmètre limités. C’est ce qu’utilise Proton Easy Switch pour lire ta boîte Gmail : tu t’authentifies chez Google, et Proton ne voit jamais ton mot de passe. Revers de la médaille : un jeton accordé à la mauvaise app vaut un mot de passe volé.
Voir aussi : Jeton de session · Hameçonnage par consentement · Easy Switch
Ollama / LM Studio / MLX
Trois façons de faire tourner un modèle d’IA en local sur Mac.
Ollama est un outil en ligne de commande qui télécharge et lance un modèle en une commande. LM Studio est une app graphique pour découvrir et tester des modèles sans Terminal. MLX est le framework d’Apple, plus technique mais le plus performant sur Apple Silicon. Dans les trois cas, aucune donnée ne quitte ta machine.
Voir aussi : LLM local · GGUF · Hugging Face
Online Safety Act (UK)
Loi britannique de 2023, sous le contrôle de l’Ofcom, dont le volet protection des mineurs s’applique depuis le 25 juillet 2025.
Elle impose aux plateformes, sites pour adultes et certains réseaux sociaux compris, une vérification d’âge robuste. Début 2026, l’Ofcom a enchaîné les amendes, dont 1,35 M£ pour 8579 LLC en février et 520 000 £ au total pour 4chan en mars. En mars 2026, l’ICO et l’Ofcom ont précisé que l’autodéclaration seule ne suffit pas.
Voir aussi : Age verification · Age broker · IPA
OnlyOffice
Suite bureautique open source (AGPLv3) pour les textes, tableurs et présentations, avec coédition en temps réel.
Elle lit et écrit nativement les formats Microsoft et s’intègre à kDrive ou ownCloud. Elle s’auto-héberge via Docker. Elle te permet de coéditer des documents sans Google ni Microsoft, à condition d’accepter quelques fonctions en moins face aux suites propriétaires les plus poussées.
Voir aussi : kDrive · Docker · Vendor lock-in
Open source
Logiciel dont le code source est public et peut être examiné par tout le monde.
Des chercheurs indépendants peuvent y vérifier l’absence de porte dérobée ou de faille cachée, sans demander la permission à l’éditeur. Tu n’as pas à croire l’éditeur sur parole : d’autres ont pu aller voir.
Voir aussi : Open-weight · Git
Open-weight
Modèle d’IA dont les poids sont publiés et téléchargeables librement.
Tu peux le récupérer, le faire tourner chez toi, le modifier. Mais open-weight n’est pas open source : les données et le code d’entraînement restent le plus souvent fermés. C’est ce qui distingue un Mistral ou un GLM, que tu exécutes en local, d’un GPT ou d’un Claude, accessibles seulement par l’API du fournisseur.
Voir aussi : Open source · Hugging Face · Paramètres
OpenPGP
Standard ouvert de chiffrement de bout en bout pour les mails, défini par la RFC 4880 puis la RFC 9580.
Chacun a une clé privée, gardée chez lui, et une clé publique, diffusée. N’importe quel client compatible (Proton Mail, Thunderbird, GnuPG, Mailvelope) lit et écrit de l’OpenPGP, à l’opposé d’un protocole enfermé dans une seule app. En juin 2026, l’IETF a publié son extension post-quantique, la RFC 9980.
Voir aussi : S/MIME · Post-quantique · E2EE
P
PAC (Pointer Authentication Codes)
Mécanisme matériel d’Apple Silicon qui signe chaque pointeur de fonction et vérifie la signature avant de s’en servir.
Si quelqu’un a modifié un pointeur pour détourner l’exécution vers du code malveillant, la vérification échoue et rien ne se passe. Les attaques ROP et JOP, deux techniques d’exploitation très répandues, deviennent ainsi bien plus difficiles.
Voir aussi : ROP / JOP · KIP · MIE
Paramètres (poids d’un modèle)
Les valeurs numériques apprises pendant l’entraînement d’un modèle d’IA, qui encodent tout ce qu’il « sait ».
On les compte en milliards (3B, 7B, 32B, 70B). Plus il y en a, plus le modèle est capable, et plus il consomme de mémoire. Leur nombre, combiné au niveau de quantification, donne la taille du fichier à charger, donc s’il tient ou non sur ta machine.
Voir aussi : Quantification · RAM unifiée · Open-weight
Pare-feu sortant process-aware
Pare-feu qui intercepte les connexions sortantes et décide, application par application et destination par destination, de les laisser passer.
Là où un pare-feu classique voit « du trafic HTTPS sortant », lui sait que c’est Photos qui parle à apple.com. Sur Mac, deux outils dominent : Little Snitch (Objective Development, payant, code fermé, autrichien) et LuLu (Objective-See, gratuit, open source, américain). Il complète ALF, qui filtre l’entrant, et Santa, qui contrôle l’exécution : trois couches indépendantes.
Voir aussi : ALF · NEFilterDataProvider · Santa · C2
Pisteur (tracker)
Script, pixel ou service tiers intégré à un site ou une app, qui transmet à un autre acteur ce que tu y fais.
Régie publicitaire, outil de mesure d’audience, réseau social : chacun pose son morceau de code et reçoit l’adresse des pages visitées, des identifiants, parfois du contenu. Croisées avec un cookie ou un identifiant publicitaire, ces données te suivent de service en service. Recevoir une donnée ne prouve pas qu’elle est vendue, mais elle a quitté le service que tu as choisi. Refuser les cookies en coupe une partie, rarement tout, et le filtrage à la sortie en rattrape une bonne part du reste.
Voir aussi : Pixel de suivi · Relais côté serveur · Liste de blocage · Fingerprinting navigateur
Pixel de suivi (pixel espion)
Image invisible d’un pixel, glissée dans un mail, qui prévient l’expéditeur dès que tu l’ouvres.
En chargeant l’image, ton client mail envoie ton IP, l’heure et un identifiant lié à ton adresse : l’expéditeur sait que tu as ouvert, quand, d’où et combien de fois. Le 14 avril 2026, la CNIL les a assimilés à des traceurs soumis au consentement, sauf pour la mesure de délivrabilité d’un mail transactionnel. Apple Mail (« Protéger l’activité Mail ») et Proton Mail les neutralisent. Gmail passe les images par un proxy qui masque ton IP, pas le moment de l’ouverture.
Voir aussi : Métadonnées · Fingerprinting navigateur · MAID · Pisteur
Polymorphe (malware)
Malware qui se réécrit à chaque diffusion, avec une empreinte différente pour chaque victime.
Les listes de blocage fondées sur les empreintes SHA-256 deviennent inutiles, et la détection par signature peine. Les outils comportementaux, qui regardent ce que fait le code plutôt que ce qu’il est, restent efficaces.
Voir aussi : EDR · IOC · XProtect
Portail captif
Page web qui s’affiche quand tu te connectes à un Wi-Fi public, pour accepter des conditions ou t’identifier.
Hôtel, café, aéroport : c’est le passage obligé avant d’accéder à internet. Le problème, c’est qu’un attaquant peut imiter ce portail pour récupérer tes identifiants ou te faire installer un malware.
Post-quantique (chiffrement)
Algorithmes de chiffrement conçus pour résister à un futur ordinateur quantique assez puissant pour casser RSA et les courbes elliptiques.
Le NIST a standardisé en août 2024 ML-KEM (dérivé de Kyber) pour l’échange de clés et ML-DSA pour la signature. Les déploiements de 2026 étaient surtout hybrides : un algorithme classique éprouvé plus un post-quantique récent. iMessage l’a adopté en mars 2024 (PQ3), Signal en septembre 2023, Tuta en mars 2024, et Proton Mail a commencé à le déployer en mai 2026. L’objectif : désamorcer « harvest now, decrypt later ».
Voir aussi : Harvest now, decrypt later · OpenPGP · Protocole Signal
Private Cloud Compute (PCC)
Infrastructure cloud d’Apple qui traite les requêtes Apple Intelligence trop lourdes pour l’appareil.
Apple y promet cinq garanties techniques : rien n’est conservé après la requête, protections imposées par la technique et non par contrat, aucun accès privilégié, impossibilité de cibler un utilisateur, et code publié dans un journal vérifiable. C’est l’offre cloud d’IA la plus auditable du grand public. Mais ce n’est pas du chiffrement de bout en bout : ton texte est déchiffré chez Apple le temps du calcul.
Voir aussi : Chiffrement homomorphe · Neural Engine · LLM local
Profil de configuration
Fichier .mobileconfig qui applique d’un coup un ensemble de réglages à un iPhone, un iPad ou un Mac.
Wi-Fi d’entreprise, VPN, restrictions, certificats, inscription MDM : c’est légitime quand ton employeur ou ton école le déploie. Ça l’est beaucoup moins quand un proche l’installe à ton insu, avec un nom anodin (« iOS Update ») et le drapeau removalDisallowed qui t’empêche de le retirer. Vérifie régulièrement dans Réglages > Général > VPN et gestion des appareils.
Voir aussi : MDM · Supervision iPhone · Stalkerware
Protocole Signal
Protocole de chiffrement de bout en bout open source, distinct de l’application Signal qui l’utilise.
Il combine l’échange de clés X3DH et le double ratchet, qui renouvelle les clés à chaque message. Si un attaquant récupère une clé de session à un instant donné, il ne lit ni les messages passés ni les suivants. WhatsApp l’utilise aussi, mais reste une app propriétaire qui collecte des métadonnées.
Voir aussi : Forward secrecy · MLS · Métadonnées
Pull request (PR)
Proposition de modification du code d’un projet hébergé sur une forge comme GitHub, que le mainteneur relit puis accepte ou refuse.
C’est le pilier social de l’open source moderne. Mal configurée, avec un workflow pull_request_target trop permissif, une PR malveillante peut exécuter du code avec les droits du dépôt cible, un vecteur d’attaque sur la chaîne d’approvisionnement de plus en plus fréquent.
Voir aussi : Forge Git · Supply chain attack · Git
Q
Quantification
Compression d’un modèle d’IA par réduction de la précision de ses poids, par exemple de 16 à 4 bits.
Le modèle prend beaucoup moins de mémoire et tourne plus vite, pour une perte de qualité souvent imperceptible. C’est ce qui fait tenir un modèle de 24 ou 32 milliards de paramètres dans un Mac grand public (« Q4 » désigne 4 bits par poids). Variante, la QAT (Quantization-Aware Training) y prépare le modèle dès l’entraînement : Apple Intelligence descend ainsi à 2 bits par poids, environ 1 Go.
Voir aussi : Paramètres · GGUF · LLM local
R
RAM unifiée (mémoire unifiée)
Architecture de l’Apple Silicon où CPU, GPU et Neural Engine partagent une seule mémoire vive.
Pour l’IA locale, c’est décisif : un modèle peut utiliser toute la mémoire disponible sans recopie entre composants. Attention, la RAM totale n’est pas la RAM utile. macOS et tes apps en occupent souvent 8 à 10 Go en permanence, le reste sert au modèle et à son contexte.
Voir aussi : LLM local · Paramètres · SoC
Ransomware
Logiciel malveillant qui chiffre tes données, parfois tes sauvegardes, puis réclame une rançon pour la clé.
Les variantes modernes pratiquent la double extorsion : elles volent aussi les données et menacent de les publier. Tout l’écosystème post-incident (négociateurs, assureurs, cabinets) a souvent intérêt à ce que tu paies. Ta seule défense fiable se prépare avant : sauvegardes chiffrées selon la règle 3-2-1-1, réseau segmenté, procédure de réponse écrite d’avance.
Voir aussi : Règle 3-2-1-1 · Kopia · Allowlisting
RCE (Remote Code Execution)
Faille qui permet à un attaquant d’exécuter le code de son choix sur ta machine, à distance.
C’est la classe la plus grave, parce qu’elle ouvre tout : vol de fichiers, keylogger, prise de contrôle complète, rebond sur le réseau. Elle peut être « zero-click », sans aucune action de ta part, comme Pegasus sur iMessage, ou demander un geste : ouvrir une page, un fichier.
Voir aussi : Zero-day · Exploit navigateur · Escalade de privilèges
RCS (Rich Communication Services)
Successeur du SMS normalisé par la GSMA et fourni par les opérateurs : accusés de lecture, photos en bonne qualité, vrais groupes.
Apple l’a ouvert sur l’iPhone en septembre 2024, avec iOS 18. Entre iPhone et Android, il est longtemps resté sans chiffrement de bout en bout, lisible côté serveur. En mai 2026, iOS 26.5 a lancé en bêta un RCS chiffré, sur une norme GSMA qui s’appuie sur MLS, à condition que les opérateurs suivent. En octobre 2026, aucun opérateur français ne le chiffrait encore sur iPhone : chez eux, ton RCS partait sans chiffrement de bout en bout, lisible par l’opérateur.
Voir aussi : MLS · Chiffrement de bout en bout · SMS / MMS · iMessage
Règle 3-2-1-1 (sauvegardes)
Trois copies de tes données, sur deux supports différents, dont une hors site et une hors ligne.
Le dernier « 1 », la copie déconnectée, a été ajouté à la règle historique 3-2-1 pour répondre aux ransomwares qui chiffrent aussi les sauvegardes accessibles en ligne. Associée à un outil de sauvegarde chiffrée côté client (Kopia, restic, Borg) et à des restaurations testées chaque trimestre, c’est le minimum vital.
Voir aussi : Ransomware · Kopia · Déduplication
Relais côté serveur (server-side tracking)
Pistage où ton navigateur envoie ses données à un serveur intermédiaire, qui les retransmet lui-même aux régies publicitaires et outils de mesure.
Vu de ton Mac, les données de pistage ne partent plus que vers un seul domaine, souvent celui du service ou un domaine qu’il contrôle. Les envois vers les plateformes publicitaires partent ensuite de serveur à serveur, hors de portée de ton navigateur et des listes de blocage qui ne connaissent pas ce relais. Ton pare-feu sortant peut encore viser le domaine du relais s’il est distinct du site, une fois repéré au moniteur réseau. Ce qui en repart, en revanche, t’échappe complètement.
Voir aussi : Pisteur · Liste de blocage · Pare-feu sortant process-aware
Réponse active (active response)
Module de Wazuh qui lance un script en réaction à une alerte : bannir une IP, tuer un processus, couper une session.
Le SIEM passe de spectateur à acteur. Puissant et dangereux : mal réglé, il peut t’enfermer hors de ta propre infrastructure sur un simple faux positif. Branche-le seulement quand tu connais tes règles par cœur, avec une liste d’adresses jamais bloquées, ton IP d’admin en tête.
Voir aussi : Integrator · Bouncer · Wazuh
Resolver DNS (récursif)
Serveur DNS qui fait la tournée de la hiérarchie à ta place, puis te rend l’adresse finale.
Ton Mac demande proton.me : le resolver interroge un serveur racine, puis celui du .me, puis le serveur faisant autorité pour le domaine. Par défaut, c’est celui de ton FAI, qui voit donc tout ce que tu demandes. Tu peux le remplacer par un resolver public (Quad9, Mullvad), local (dnscrypt-proxy) ou le tien (Unbound sur un VPS).
Voir aussi : Root server · TLD · Serveur authoritative · Unbound
Root server
L’un des treize points d’entrée logiques de la hiérarchie DNS mondiale, nommés de A à M.
C’est le premier interlocuteur d’un resolver qui n’a pas la réponse en cache. Il ne donne jamais l’adresse d’un site, il indique seulement quel serveur de TLD interroger ensuite. Ils sont opérés par différentes organisations (IANA, Verisign, RIPE NCC) et répliqués sur des centaines de sites dans le monde.
Voir aussi : Resolver DNS · TLD
ROP / JOP (Return-Oriented Programming / Jump-Oriented Programming)
Techniques d’exploitation qui recyclent des fragments de code légitime déjà en mémoire pour en faire une séquence malveillante.
L’attaquant n’injecte rien de neuf : il enchaîne des « gadgets » existants. C’est ainsi qu’il contournait les protections qui interdisent d’exécuter des données. Sur Apple Silicon, PAC rend ces attaques beaucoup plus difficiles.
Rspamd
Filtre anti-spam et anti-hameçonnage open source, rapide, présent dans les serveurs mail auto-hébergés de référence.
Mailcow, Zimbra ou Mailu l’embarquent. Il combine filtrage bayésien, listes de réputation, vérifications DKIM, SPF et DMARC, réseaux de neurones et règles personnalisées. Devant un serveur mail de PME, il intercepte le premier vecteur d’intrusion, l’hameçonnage, et ses journaux se branchent directement sur Wazuh.
RTB (Real-Time Bidding)
Enchères publicitaires en temps réel, déclenchées à chaque affichage de pub dans une app ou sur un site.
En quelques millisecondes, des dizaines d’acheteurs reçoivent tes données (identifiant publicitaire, IP, position approximative, profil) pour enchérir. Tous les reçoivent, qu’ils gagnent l’enchère ou non. Des sociétés comme Webloc (Penlink) exploitent ces flux pour faire de la surveillance géographique sans mandat.
S
S/MIME
Standard de chiffrement et de signature des mails, fondé sur des certificats délivrés par des autorités centrales.
Secure/Multipurpose Internet Mail Extensions. Il domine historiquement en entreprise et dans l’administration (Microsoft 365, Google Workspace en option payante). Il signe et chiffre comme OpenPGP, mais repose sur une hiérarchie d’autorités de certification là où OpenPGP mise sur un réseau de confiance entre pairs. Les deux ne se parlent pas.
S3 (stockage objet)
Standard de stockage en ligne inventé par Amazon et devenu un protocole universel.
Les données sont rangées en « objets » dans des « buckets », accessibles par une API web. Beaucoup de fournisseurs sont compatibles (Infomaniak Swiss Backup, Backblaze B2, Scaleway) : tu changes d’hébergeur sans changer d’outil de sauvegarde.
Voir aussi : Kopia · Vendor lock-in
Santa
Outil open source de contrôle d’exécution pour macOS, qui décide quels programmes ont le droit de démarrer.
Trois modes : Monitor (tout passe, tout est noté), Lockdown (seul l’autorisé passe) et Standalone (l’inconnu attend ton feu vert). Ses règles vont de la plus précise à la plus large (CDHash, SHA-256, SigningID, certificat, TeamID), et la première qui correspond l’emporte. Créé chez Google en 2014, il est maintenu par North Pole Security. En Lockdown, un ransomware téléchargé par erreur ne démarre pas, faute d’être sur la liste. Son journal d’exécutions se règle par EventLogType dans le profil de configuration : file, le plus stable, en lignes clé=valeur que Wazuh lit avec un petit décodeur maison, ou json, lu directement mais marqué BETA.
Voir aussi : Allowlisting · Lockdown · Endpoint Security · Wazuh, vocabulaire
SCA (Security Configuration Assessment)
Module d’audit de configuration de Wazuh, actif par défaut, qui compare tes machines aux référentiels de durcissement CIS.
Contrôle par contrôle, il liste ce qui est conforme et ce qui ne l’est pas : un service de trop, une permission trop large, un réglage SSH oublié. Tu obtiens une note et la liste des écarts à corriger, sans rien installer de plus que l’agent.
Voir aussi : Wazuh · Agent · FIM
Schrems II
Arrêt de la Cour de justice de l’UE du 16 juillet 2020, qui a invalidé le Privacy Shield entre l’UE et les États-Unis.
La Cour a jugé la surveillance américaine (FISA 702, Executive Order 12333) incompatible avec les droits fondamentaux européens. Stocker des données de résidents européens chez une entreprise américaine sans mesures supplémentaires pose donc un problème de conformité RGPD. Le Data Privacy Framework l’a partiellement remplacé en 2023.
Voir aussi : Data Privacy Framework · FISA 702 · CLOUD Act
SDK (Software Development Kit)
Boîte à outils qu’un développeur intègre à son app pour ajouter une fonction sans la coder lui-même.
Statistiques, publicité, cartographie : beaucoup d’apps légitimes (météo, sport, rencontre) embarquent des SDK publicitaires qui peuvent collecter ta position et la revendre, quelle que soit la politique de l’app. Tu donnes la permission de localisation à l’app, pas au SDK qui vit dedans.
Voir aussi : RTB · ATT · MAID · Télémétrie
SDP (Stolen Device Protection)
Protection d’iOS qui exige Face ID ou Touch ID pour les actions sensibles quand ton iPhone est loin de chez toi.
Changer le mot de passe de ton compte Apple ou désactiver SDP elle-même : le code de l’iPhone ne suffit plus hors de tes lieux habituels. Un voleur qui t’a vu taper ton code ne peut donc pas verrouiller ton compte. Depuis iOS 26.4, Apple l’active par défaut sur les iPhone personnels, et sur les appareils d’entreprise avec iOS 26.4.1.
Voir aussi : MFA · Secure Enclave
Seccomp
Filtre du noyau Linux qui limite les appels système qu’un processus a le droit d’utiliser.
Bien réglé, il transforme une faille exploitable en cul-de-sac. Le code hostile s’exécute, mais l’appel dont il a besoin pour aller plus loin lui est refusé.
Voir aussi : Espace de noms utilisateur · Escalade de privilèges
SecNumCloud
Qualification de l’ANSSI réservée aux clouds capables d’héberger les données les plus sensibles de l’État français.
Trois piliers : sécurité technique forte, immunité face aux lois extraterritoriales comme le CLOUD Act, gouvernance européenne (capital, siège, personnel). En pratique, elle exclut AWS, Azure et GCP, même via leurs filiales européennes. Fournisseurs qualifiés : OVHcloud, Outscale, Numspot, Cloud Temple.
Voir aussi : ANSSI · CLOUD Act · ISO 27001
SecretAgent
Petit programme de fond installé par Secretive, qui répond à SSH quand il cherche une clé.
Il fait signer la Secure Enclave après ton Touch ID. Il remplace l’agent SSH habituel de macOS, d’où le chemin de socket particulier à indiquer dans ta configuration SSH.
Voir aussi : Secretive · Secure Enclave
Secretive
App Mac libre qui crée tes clés SSH dans la Secure Enclave, d’où elles ne sortent jamais.
La clé ne peut pas être copiée. À chaque connexion SSH, l’app te demande Touch ID avant de signer. Un programme malveillant qui fouille tes fichiers ne trouve aucune clé à voler. La Secure Enclave ne gère que des clés ECDSA P-256, pas Ed25519.
Voir aussi : SecretAgent · Secure Enclave · Ed25519
Secure Enclave
Coprocesseur isolé dans chaque puce Apple Silicon, qui garde tes clés et fait les calculs à leur place.
Il a sa propre mémoire, son propre micronoyau et son propre moteur AES. Il conserve les données Touch ID, les clés FileVault et les secrets Apple Pay. Il ne livre jamais une clé au système : il signe ou déchiffre à sa demande, sans l’exposer. « Utilise cette clé pour moi », jamais « donne-la-moi ».
Voir aussi : Secretive · SoC · T2
Serveur authoritative (DNS)
Serveur DNS qui détient la réponse officielle pour un domaine donné.
Pour proton.me, ce sont les serveurs administrés par Proton ou son délégataire. C’est lui qui donne l’adresse IP au resolver en bout de chaîne. Il ne voit que les requêtes qui le concernent, jamais l’ensemble de ce que tu demandes, ce qui rend la résolution récursive plus respectueuse de ta vie privée qu’un resolver centralisé.
Voir aussi : Resolver DNS · TLD · DNSSEC
Sideloading
Installation d’une app sans passer par la boutique officielle, App Store ou Play Store.
Sur Android, c’est possible depuis toujours avec un fichier APK. Sur iPhone, le DMA l’autorise en Europe depuis mars 2024, via des boutiques alternatives. Signal pourrait ainsi distribuer son app hors App Store s’il devait quitter le marché européen.
Voir aussi : DMA
SIEM (Security Information and Event Management)
Système qui centralise les journaux de toutes tes machines, repère les comportements anormaux et lève des alertes.
Serveurs, pare-feu, postes, messagerie : tout remonte au même endroit, dans un format exploitable. C’est la brique qui te permet de tenir les délais de notification du RGPD (72 heures) et de NIS2 (alerte sous 24 heures). Les leaders en SaaS (Splunk, Microsoft Sentinel, CrowdStrike) sont soumis au CLOUD Act. Côté open source et souverain : Wazuh, épaulé par CrowdSec, Rspamd et Santa.
Voir aussi : Wazuh · Corrélation · Agent · Fatigue d’alerte
Signature de code (code signing)
Signature cryptographique apposée sur un logiciel, qui garantit son origine et son intégrité.
Elle prouve que le binaire vient bien de l’éditeur annoncé et que personne ne l’a modifié en route. Elle ne prouve pas qu’il est inoffensif : un éditeur peut signer en toute règle un code qui fait exactement ce que tu ne veux pas.
Voir aussi : Chaîne d’approvisionnement logicielle · CDHash · TeamID
SigningID (identifiant de signature)
Identifiant inscrit dans la signature d’un binaire, le plus souvent l’identifiant de l’app (com.editeur.app).
Il désigne une application précise et tient d’une version à l’autre. Comme n’importe quel développeur pourrait reprendre ce nom, Santa le préfixe toujours par le TeamID de l’éditeur, ou par platform pour les binaires d’Apple. C’est le bon niveau pour autoriser une seule app d’un éditeur sans lui signer un chèque en blanc.
SIMjacker
Attaque qui envoie un SMS invisible à certaines cartes SIM pour y exécuter des commandes cachées.
Elle exploite un logiciel présent sur ces cartes, le S@T Browser. Le message n’apparaît jamais à l’écran, mais peut par exemple récupérer ta position et la renvoyer à l’attaquant. Contrairement aux attaques SS7, qui visent le réseau, elle touche directement ta carte SIM.
Voir aussi : SS7 · Global Title leasing
SIP (System Integrity Protection)
Protection de macOS qui empêche tout programme, même root, de modifier les fichiers système critiques.
Elle couvre notamment /System et /usr (sauf /usr/local). La désactiver demande un redémarrage en mode de récupération et la commande csrutil disable. Apple la réactive après chaque mise à jour majeure.
SMS / MMS
Messages texte (SMS) et multimédia (MMS) des réseaux mobiles, transportés par l’opérateur sans aucun chiffrement de bout en bout.
Short Message Service et Multimedia Messaging Service. Ton opérateur peut lire leur contenu, et quiconque accède au réseau de signalisation peut intercepter les SMS. Les codes de connexion envoyés par SMS en héritent : un échange frauduleux de carte SIM ou une attaque SS7 suffit à les détourner. Sur iPhone, Messages s’en sert en secours quand iMessage ou le RCS décroche : coupe le repli en SMS et le Service MMS si tu veux garder la main.
Voir aussi : SS7 · SIMjacker · RCS · MFA
SMTP
Protocole standard d’envoi des mails.
Simple Mail Transfer Protocol. Quand tu cliques sur « Envoyer », c’est lui qui transporte le message vers le serveur sortant. Proton Bridge expose un serveur SMTP local sur 127.0.0.1, port 1025 : Apple Mail y dépose le mail, Bridge le chiffre et le transmet à Proton.
Voir aussi : IMAP · Bridge IMAP
SNI (Server Name Indication)
Extension de TLS par laquelle ton navigateur annonce, en clair, le domaine qu’il veut joindre.
Elle est indispensable aux serveurs qui hébergent plusieurs sites sur une même adresse IP. Mais comme l’annonce part en clair dans la plupart des connexions, un observateur réseau sait où tu vas, même avec un DNS chiffré. La réponse en cours de déploiement s’appelle ECH.
Voir aussi : ECH · HTTPS · DoH
SOC 2 Type II
Audit de sécurité défini par l’AICPA, qui vérifie que les contrôles d’une organisation fonctionnent dans la durée.
Il couvre cinq critères : sécurité, disponibilité, intégrité du traitement, confidentialité, protection des données. « Type II » signifie que l’audit porte sur une période d’observation, en général 6 à 12 mois, pas sur une photo à un instant donné. Les procédures ne sont pas seulement écrites, elles tournent. Proton AG est audité SOC 2 Type II depuis 2023.
Voir aussi : ISO 27001 · No-logs
SoC (System on a Chip)
Puce qui réunit processeur, GPU, Neural Engine et Secure Enclave, avec la mémoire dans le même boîtier.
Apple Silicon (M1 et suivants) est un SoC. Côté sécurité, les composants ne se parlent plus par des bus physiques exposés, et le chiffrement du stockage passe par un moteur AES intégré.
Voir aussi : Secure Enclave · RAM unifiée · T2
SS7 (Signalling System 7)
Ensemble de protocoles qui permet aux opérateurs téléphoniques du monde entier de router appels et SMS et de gérer l’itinérance.
Conçu dans les années 1970 pour une poignée d’opérateurs qui se faisaient confiance, il n’a aucune authentification sérieuse. Un tiers qui obtient un accès au réseau de signalisation peut localiser un mobile ou intercepter ses SMS, partout dans le monde, sans toucher à l’appareil. Il sert en 2G et 3G, et Diameter, en 4G, hérite des mêmes faiblesses.
Voir aussi : Diameter · Global Title leasing · Interconnexion télécom · SIMjacker
SSL stripping
Attaque qui force ta connexion à rester en HTTP non chiffré au lieu de passer en HTTPS.
L’attaquant intercepte la requête initiale. Le site croit dialoguer en sécurité, toi aussi, et lui lit tout en clair au milieu.
Stalkerware
Logiciel espion grand public installé en douce sur le téléphone d’un proche pour lire ses messages et suivre sa position.
Il vise un conjoint, un ex, un enfant adulte. Rien à voir avec Pegasus : l’acheteur est un particulier qui paie entre trente et cent dollars par mois, et l’installation demande un accès physique au téléphone. Sur iPhone, le vecteur dominant est un profil MDM camouflé, posé via Apple Configurator, au prix d’un effacement si l’appareil doit être supervisé. Sur Android, une app cachée derrière un nom système.
Voir aussi : Coalition Against Stalkerware · MDM · Supervision iPhone · Profil de configuration
Supervision iPhone
Mode d’administration d’un iPhone, via Apple Configurator ou un MDM, qui donne des droits plus étendus qu’une inscription MDM classique.
L’administrateur peut interdire le retrait du profil, restreindre le matériel, contrôler les apps. Légitime en entreprise ou à l’école, ce mode est détourné à la maison : un proche qui a ton iPhone en main peut le superviser avec un câble et un Mac, au prix d’un effacement suivi de la restauration de ta sauvegarde. Pour vérifier, ouvre Réglages : la mention « Cet iPhone est supervisé » apparaît en haut le cas échéant.
Voir aussi : MDM · Profil de configuration · Stalkerware
Supply chain attack
Attaque qui atteint sa cible en passant par un intermédiaire de confiance, typiquement un paquet open source très utilisé.
L’attaquant compromet le maillon faible (pipeline de compilation mal configuré, mainteneur isolé, dépendance abandonnée), et le code piégé descend chez tous les utilisateurs comme légitime. Exemple, en mai 2026, l’écosystème JavaScript TanStack a vu 84 versions piégées publiées sur 42 paquets, dans le cadre de la campagne Mini Shai-Hulud, qui a touché plus de 170 paquets npm et PyPI. Ces paquets portaient une attestation de provenance valide, parce que c’est le pipeline de publication légitime qui avait été détourné.
Voir aussi : Chaîne d’approvisionnement logicielle · npm · Pull request · Signature de code
T
T2 (puce de sécurité Apple)
Puce de sécurité des Mac Intel de 2018 à 2020, qui gérait Secure Enclave, Touch ID, FileVault et le démarrage sécurisé.
Avec Apple Silicon, à partir du M1 en 2020, ces fonctions ont été intégrées directement dans la puce principale. La T2 n’existe plus comme composant séparé.
Voir aussi : Secure Enclave · SoC
Tailscale
Service qui relie tous tes appareils en un réseau privé chiffré, par-dessus WireGuard.
Tes machines se voient par des adresses privées, comme sur un même réseau local, alors qu’elles sont dispersées entre un datacenter, ton bureau et chez toi. Le reste d’internet ne voit rien. Concrètement, tu retires SSH de l’IP publique de ton serveur et tu ne l’exposes que sur ce réseau : les scans d’internet ne le trouvent plus.
Voir aussi : Mesh network · WireGuard · VPS
TCC (Transparency, Consent, and Control)
Système de permissions de macOS qui te demande ton accord avant qu’une app touche à tes données sensibles.
Photos, contacts, micro, caméra, position : sans ton « Autoriser », pas d’accès. Mais TCC ne voit pas tout. Quand tu ouvres un fichier par le sélecteur, le glisser-déposer ou un double-clic, un second mécanisme, com.apple.macl, accorde un accès durable, invisible dans Réglages Système > Confidentialité et sécurité.
Voir aussi : Full Disk Access · xattr · SIP
TCN (Technical Capability Notice)
Injonction secrète du gouvernement britannique qui oblige une entreprise à se doter d’un accès aux données, même chiffrées.
Délivrée au titre de l’Investigatory Powers Act, elle est couverte par le secret légal : ni l’entreprise ni le gouvernement n’ont le droit de confirmer publiquement qu’elle existe. C’est l’outil que Londres a utilisé pour viser les sauvegardes iCloud chiffrées d’Apple.
TeamID (identifiant d’équipe Apple Developer)
Identifiant de dix caractères qu’Apple attribue à chaque compte développeur, inscrit dans tout ce qu’il signe.
Il reste stable d’une app à l’autre et d’une mise à jour à l’autre, même si l’éditeur change de certificat. Dans Santa, une règle TeamID autorise d’un coup toutes ses apps et survit le mieux aux mises à jour. Le revers : tu fais confiance à tout son catalogue, présent et futur. Tu le lis avec codesign -dv.
Voir aussi : SigningID · CDHash · Santa
Télémétrie
Données qu’une app ou un système envoie à son éditeur sur son propre fonctionnement : plantages, performances, usage.
Une partie sert vraiment à corriger des bugs. Mais le mot couvre aussi des services tiers de mesure, de support ou de rapports de plantage, qui reçoivent au passage des identifiants, parfois ton e-mail ou l’adresse des pages consultées. Essentielle pour l’éditeur ne veut pas dire indispensable au fonctionnement de l’app. Coupe d’abord les interrupteurs dans les réglages, puis regarde au pare-feu sortant à qui l’app parle vraiment.
Voir aussi : Pisteur · Pare-feu sortant process-aware · SDK · Liste de blocage
TLD (Top-Level Domain)
Dernier niveau d’un nom de domaine, après le point final : .com, .org, .fr, .eu, .me.
Chacun est géré par une organisation (Verisign pour .com, AFNIC pour .fr, EURid pour .eu) qui maintient ses serveurs DNS. Quand un resolver demande proton.me à un serveur racine, celui-ci répond « demande au .me », qui renvoie à son tour vers les serveurs de proton.me.
Voir aussi : Root server · Resolver DNS · Serveur authoritative
Trilogue
Négociation à huis clos entre le Parlement européen, le Conseil et la Commission, où s’écrit le texte final d’un règlement.
C’est là que tout se joue, et c’est fermé au public, donc opaque et difficile à influencer pour les citoyens. Le CSAR (Chat Control 2.0) y est entré en décembre 2025 et, fin septembre 2026, six rounds plus tard, n’en était toujours pas ressorti.
Voir aussi : CSAR
Trusted System Agent
Cadre proposé par Apple aux régulateurs européens en 2026 pour concilier Siri AI et l’interopérabilité imposée par le DMA.
Les assistants concurrents seraient passés par un agent système certifié par Apple plutôt que d’accéder directement aux données de l’appareil. En juin 2026, Apple a affirmé que la Commission l’avait rejeté, et s’en est servi pour ne pas lancer Siri AI sur iPhone et iPad dans l’UE. La Commission a répondu que la décision de ne pas lancer revenait à Apple seule.
Voir aussi : DMA
U
ufw (Uncomplicated Firewall)
Interface simplifiée du pare-feu sur Debian et Ubuntu.
En quelques commandes lisibles, tu bloques toutes les connexions entrantes par défaut (default deny incoming). Ensuite, tu n’ouvres que le service voulu, idéalement sur une interface réseau privée seulement.
Voir aussi : Tailscale · unattended-upgrades · VPS
unattended-upgrades
Paquet de Debian et Ubuntu qui installe tout seul les correctifs de sécurité du système.
Pas d’intervention, pas de modification du reste de ta configuration. Les failles connues se referment d’elles-mêmes, là où personne ne se connecte tous les matins pour patcher à la main. Un serveur non patché est un serveur vulnérable.
Unbound
Serveur DNS récursif open source, léger et réputé pour la propreté de son code, maintenu par NLnet Labs.
On l’utilise pour monter son propre resolver, typiquement sur un VPS relié à un réseau privé (Tailscale, WireGuard) et qui n’écoute que là. Tu résous directement auprès de la hiérarchie DNS, sans dépendre d’un resolver public. Il valide DNSSEC nativement.
Voir aussi : Resolver DNS · DNSSEC · Root server
V
Vault eDiscovery
Module d’archivage légal de Google Workspace et Microsoft 365, qui conserve et fouille tous les contenus d’une organisation.
Il pose des gels de conservation, même sur ce que l’utilisateur a supprimé, cherche en texte intégral et exporte pour les avocats. Pour ça, le fournisseur doit lire tous les contenus en clair. Quand une organisation chiffre côté client une partie de ses données, eDiscovery ne les voit plus. Le chiffrement côté client se paie là.
Voir aussi : DLP · KMS · Zero-knowledge
vCard (.vcf)
Format standard d’échange de contacts, des cartes de visite numériques.
Un fichier .vcf contient un ou plusieurs contacts. Google Contacts exporte tout ton carnet en un seul fichier, que tu importes ensuite dans n’importe quel service compatible, Proton Mail compris.
Voir aussi : Easy Switch · Vendor lock-in
vCPU (cœur de processeur virtuel)
Unité de calcul attribuée à une machine virtuelle, qui correspond à une part d’un cœur physique de l’hôte.
Un VPS à 4 vCPU dispose de l’équivalent de quatre cœurs logiques. Pour un SIEM comme Wazuh qui surveille une cinquantaine de machines, c’est un point de départ raisonnable pour indexer et corréler sans saturer.
Vendor lock-in
Situation où tu es enfermé chez un fournisseur parce que partir coûte trop cher.
Google Workspace en est l’exemple type : mails, documents et agenda sont imbriqués. Choisir des standards ouverts (IMAP, S3, CalDAV) et des formats non propriétaires garde la porte de sortie ouverte.
Voir aussi : S3 · IMAP · vCard
Verrou d’enregistrement et vérification en deux étapes
Réglages de Signal (verrou d’enregistrement) et de WhatsApp (vérification en deux étapes) qui exigent un code secret pour réinscrire ton numéro sur un autre téléphone.
Sans eux, un code SMS intercepté ou extorqué suffit pour réinscrire ton numéro ailleurs et écrire en ton nom. Signal demande ton PIN Signal, et son verrou saute après sept jours sans activité. WhatsApp demandait un PIN à six chiffres, et a commencé fin août 2026 à proposer progressivement un vrai mot de passe en alternative. Les deux s’activent dans les réglages du compte de chaque app et protègent la réinscription du numéro, alors que la liaison d’un appareil passe par ton téléphone : surveille aussi ta liste d’appareils liés.
Voir aussi : Appareil lié · SMS / MMS · MFA
VirtioFS
Protocole de partage de fichiers entre une machine virtuelle et l’ordinateur qui l’héberge.
Il permet de monter un dossier de l’hôte à l’intérieur de la VM. Toute la sécurité dépend de ce qu’on lui donne : un dossier précis, ou la racine entière du disque, en lecture-écriture. Dans le second cas, une évasion de la VM ouvre tout l’hôte.
Voir aussi : Espace de noms utilisateur · Escalade de privilèges
VPN
Tunnel chiffré entre ton appareil et un serveur distant.
Virtual Private Network. Ton FAI ne voit plus ce que tu fais, ta connexion est protégée sur les Wi-Fi publics, et les sites voient l’IP du serveur VPN au lieu de la tienne. Il ne te rend pas anonyme pour autant : connecté à ton compte Google, Google sait qui tu es.
Voir aussi : Kill switch · No-logs · Fuite DNS · WireGuard
VPS
Serveur virtuel que tu loues chez un hébergeur, avec ton propre système et ton accès root.
Virtual Private Server. L’hébergeur découpe un gros serveur en machines virtuelles isolées. Comme un appartement dans un immeuble : il est à toi, les voisins n’entrent pas, mais vous partagez le bâtiment. Beaucoup moins cher qu’un serveur dédié, et largement suffisant pour de l’auto-hébergement sérieux.
Voir aussi : vCPU · Docker · Tailscale
W
Wazuh
Plateforme SIEM open source et auto-hébergeable, héritière d’OSSEC, sous licence GPL-2.0.
Elle cumule SIEM, détection sur les postes, gestion de configuration et conformité. Trois composants : le manager (collecte et analyse), l’indexeur (stockage) et le tableau de bord. C’est la pierre angulaire d’un SIEM souverain pour une PME.
Voir aussi : SIEM · Wazuh, vocabulaire · Agent · Indexeur
Wazuh, vocabulaire
Les termes que tu croises dans Wazuh, de ses modules aux règles que tu écris.
- rootcheck : module actif par défaut qui signale rootkits, processus cachés et binaires trafiqués, sans rien bloquer.
- syscollector : inventaire des paquets, versions, ports et matériel, que la détection de vulnérabilités croise avec les CVE.
- Filebeat : agent Elastic qui transmet les alertes du manager à l’indexeur, premier suspect quand le tableau de bord reste vide.
- Heap (JVM) : mémoire de l’indexeur Java, réglée à la moitié de la RAM,
-Xmset-Xmxidentiques. - Décodeur : découpe un log brut en champs nommés ; tu n’en écris un que pour un format maison, dans
local_decoder.xml. - prematch : sous-chaîne fixe qui dit au décodeur « ce log me concerne ».
- srcip / srcuser : noms conventionnels de l’IP source et du compte visé, que Wazuh sait corréler.
- OS_Regex : son moteur d’expressions régulières, aux conventions différentes de la regex classique.
- Règle custom : ta propre détection, identifiants réservés de 100000 à 120000.
- local_rules.xml : le seul fichier où écrire tes règles,
/var/ossec/ruleset/est écrasé à chaque mise à jour. - frequency / timeframe : combien de répétitions, dans quelle fenêtre en secondes.
- if_matched_sid / same_field : enchaîner des règles et ne compter que les événements partageant un même champ.
- wazuh-logtest : ton banc d’essai, qui rejoue un log sans toucher à la production.
Voir aussi : Wazuh · Indexeur · Corrélation · Fatigue d’alerte
WebDAV
Extension du protocole web qui permet de manipuler des fichiers sur un serveur comme sur un disque local.
Web Distributed Authoring and Versioning. Sur Mac, Cmd+K dans le Finder monte un serveur WebDAV comme un volume réseau, accessible depuis toutes tes apps. kDrive et beaucoup de NAS le proposent. Proton Drive et iCloud Drive non.
WireGuard
Protocole VPN moderne et léger, environ 4 000 lignes de code contre 100 000 pour OpenVPN.
Plus rapide, plus simple à auditer, moins de surface d’attaque. Proton VPN, NordVPN (sous le nom NordLynx) et Tailscale l’utilisent.
Voir aussi : VPN · Tailscale · Mesh network
World ID
Système privé de vérification d’identité humaine par scan d’iris, opéré par Tools for Humanity (Sam Altman).
Le scan se fait avec un appareil dédié, l’Orb. Au 17 avril 2026, l’opérateur revendiquait près de 18 millions d’utilisateurs vérifiés dans 160 pays, et annonçait des intégrations avec Tinder, Zoom et DocuSign. Le Kenya l’a suspendu en 2023, l’Espagne et Hong Kong en 2024, et la Bavière a ouvert une enquête. Le risque : une base biométrique à l’échelle planétaire, aux mains d’un acteur privé.
Voir aussi : Identity broker · Age broker
X
xattr (attributs étendus)
Commande macOS qui lit et modifie les attributs étendus, ces métadonnées invisibles attachées à chaque fichier.
Le plus important est com.apple.quarantine, posé sur tout fichier téléchargé : Gatekeeper le consulte pour bloquer ou signaler un exécutable. xattr -c efface tous les attributs d’un coup, quarantaine comprise, et Gatekeeper laisse passer sans broncher. Aucune app légitime n’a besoin que tu lances xattr -c sur quoi que ce soit.
Voir aussi : ClickFix · TCC · Infostealer
XPR (XProtect Remediator)
Scanner intégré à macOS qui inspecte régulièrement le disque à la recherche de menaces déjà installées.
Second étage de XProtect, il tourne en tâche de fond et neutralise ce qu’il trouve sans te solliciter. Il a remplacé l’ancien MRT (Malware Removal Tool) à partir de macOS 12.3 Monterey.
Voir aussi : XProtect · CloudKit
XProtect
Antivirus à signatures intégré à macOS, mis à jour automatiquement par Apple.
Il reconnaît les malwares connus, mais reste aveugle face aux variantes polymorphes et aux exécutions sans fichier. C’est un premier filet, pas une protection complète. Depuis macOS 15 Sequoia, la commande sudo xprotect version te dit quelle base de signatures est installée.
Voir aussi : XPR · CloudKit · EDR
XTS-AES-128
Algorithme de chiffrement de disque utilisé par FileVault sur Apple Silicon.
Le mode XTS est conçu spécifiquement pour chiffrer des disques. Sur Apple Silicon, le chiffrement AES est accéléré en matériel par un moteur AES placé entre le stockage et la mémoire : aucun impact sur les performances, et il est toujours actif.
Voir aussi : Secure Enclave · Chiffrement au repos
Z
Zero-day
Faille inconnue de l’éditeur, donc sans correctif au moment où elle est exploitée.
L’éditeur a eu zéro jour pour la corriger. C’est la catégorie la plus redoutée : aucune mise à jour ne te protège et aucun antivirus n’en connaît la signature. Une fois publiée et corrigée, elle devient une vulnérabilité ordinaire, dangereuse seulement pour ceux qui n’ont pas mis à jour.
Voir aussi : CVE · RCE · Exploit navigateur
Zero-knowledge
Architecture où le fournisseur est techniquement incapable de lire tes données, même s’il le voulait.
Le chiffrement se fait sur ton appareil, avec une clé que le fournisseur ne détient jamais. Une injonction judiciaire ne peut rien en tirer de lisible. Proton Mail est zero-knowledge. Gmail chiffre tes mails au repos mais garde les clés : il ne l’est pas.
Voir aussi : Chiffrement côté client · Chiffrement au repos · E2EE
Ce glossaire s’enrichit avec chaque nouvel article.