MacSouverain

FREN
radar

Apple Private Relay ne te protège de rien

Une large part des abonnés iCloud+ prend Private Relay pour un tunnel. Trois fuites WebKit disent le contraire, et Apple est attaqué pour fraude.

Le fait


Le cabinet américain Clarkson Law Firm vient de déposer une action collective contre Apple. L’accusation est frontale, fraude et publicité mensongère sur iCloud Private Relay, la fonction incluse dans iCloud+ qu’Apple présente comme un bouclier pour ta navigation. Le même cabinet a arraché à Apple un règlement de 250 millions de dollars en décembre 2025 sur le dossier Siri. Ce n’est pas un plaideur du dimanche.


Le socle technique de la plainte vient d’ailleurs. Deux chercheurs, Tommy Mysk et Talal Haj Bakry, ont documenté trois mécanismes par lesquels ton adresse IP réelle ou tes serveurs DNS peuvent fuir alors même que Private Relay est actif. Proton a relayé leurs travaux le 5 août.

Les trois fuites sont toutes côté WebKit, le moteur de Safari. Un, les connexions par passkey contournent entièrement les serveurs relais. Deux, le préchargement DNS révèle tes serveurs DNS réels. Trois, le protocole WebTransport, une brique ajoutée à WebKit avec iOS 26 (la version stable en cours), expose ton adresse IP réelle dans certaines conditions.


Deux choses à garder froides. Une plainte, ce sont des allégations, pas un jugement. Et à ce stade Apple dit enquêter sans annoncer ni correctif ni calendrier, aucune exploitation dans la nature n’est documentée. Le problème n’est pas qu’on vole tes données ce matin, c’est l’écart entre ce que la fonction laisse croire et ce qu’elle tient vraiment.


Pourquoi ça compte pour toi


Private Relay n’est pas un VPN. C’est la phrase à retenir. Une large part des abonnés iCloud+ l’active en pensant allumer un tunnel qui masque tout leur trafic. Faux. Private Relay ne couvre que Safari et une fraction du trafic système, ton adresse passe par un double saut, un serveur Apple puis un partenaire, pour que personne ne voie à la fois qui tu es et où tu vas. Élégant sur le papier. Sauf que les trois fuites cassent ce contrat à l’intérieur même de son périmètre, sur la partie qu’il est censé protéger, ton IP ou ton DNS peuvent sortir en clair.


Concret. Une connexion par passkey, et le relais est court-circuité. Un préchargement DNS déclenché par une page, et tes serveurs DNS réels apparaissent. WebTransport, arrivé avec iOS 26, et ton adresse IP réelle se montre. Tu n’as rien fait de spécial, la fuite vient du moteur, pas de toi. Ces mécanismes sont nommés et testables, ce n’est pas de la théorie de comptoir.


Nuance, parce que Mac Souverain ne fait pas dans l’alarme facile. Ton compte n’est pas piraté, tes pages ne sont pas lues, il n’y a pas de fuite massive. Ce qui tombe, c’est l’anonymat de ton IP sur la navigation, précisément ce pour quoi tu croyais activer la fonction.

Techniquement, Private Relay n’a jamais promis d’être un VPN. C’est le marketing tout en douceur qui laisse le doute s’installer, et une large part des utilisateurs prend le relais pour un tunnel. C’est le même schéma que l’alias Apple qui laisse remonter à ta vraie adresse, une fonction privacy vendue comme une protection, une faille qui la vide de sa promesse.


Ce que tu fais maintenant


1. Arrête de traiter Private Relay comme un VPN. C’est un relais à double saut pour Safari, pas un tunnel système. Garde-le si tu veux, mais ne lui confie pas ce qu’il ne protège pas.


2. Pour masquer vraiment ton IP sur tout ton trafic, prends un vrai VPN sans-log en juridiction saine, Proton VPN ou Mullvad, doublé d’un DNS souverain. Là tu tiens un tunnel, pas un demi-relais.


À lire : Le DNS, talon d’Achille de ta souveraineté numérique


3. Teste toi-même. Private Relay actif, va sur dnsleaktest.com ou dnscheck.tools et regarde ce qui sort. Le meilleur antidote au marketing, c’est ta propre vérification.


4. Surveille la suite. Apple enquête sans calendrier, ne considère aucune fuite bouchée tant que ce n’est pas vérifié publiquement, pas sur la foi d’une note de version.


Sources