MAJ juillet 2026. dns0.eu, le résolveur DNS chiffré européen que Little Snitch proposait en preset, a fermé fin mai 2026 (ressources insuffisantes). Little Snitch l’a basculé sur DNS4EU, et l’article suit, on te renvoie désormais vers DNS4EU ou Quad9.

Mise à jour, 2 juillet 2026. Little Snitch est passé en 6.4.1 (juin 2026) : déverrouillage des réglages verrouillés par Touch ID, copie de règles entre profils au glisser-déposer, mises à jour horaires des listes de blocage. La 6.4.1 corrige un rejet d’anciennes licences. Le verdict du comparatif ne bouge pas, les versions de référence ci-dessous sont à jour.

Introduction

Pendant que tu lis cet article, ton Mac parle. À quarante-sept serveurs, sans te demander ton avis. Apple iCloud, Adobe, Microsoft Telemetry, l’app météo qui réveille un CDN à Singapour, le mini-jeu Solitaire qui poste tes scores chez un éditeur que tu ne connais pas.

Personne, ou presque, ne regarde la sortie réseau de ses données.

C’est là que le pare-feu sortant sur Mac entre en scène. Pas l’ALF intégré (Application Firewall, qui ne filtre que l’entrée), pas pf (puissant mais aveugle au process). Un vrai pare-feu sortant process-aware, qui te dit “tel binaire essaie de joindre tel domaine, tu autorises ?”. Sur macOS, deux outils dominent : Little Snitch (payant, closed-source, viennois) et LuLu (gratuit, open source, américain, signé Patrick Wardle).

À lire : Les réglages privacy macOS à changer en 15 minutes

Pourquoi un pare-feu sortant process-aware

Pare-feu sortant en deux phrases. Un logiciel qui intercepte les connexions sortantes de tes apps avant qu’elles partent vers Internet et te demande “j’autorise ou je bloque ?”. Le pare-feu entrant fait l’inverse, il filtre ce qui rentre depuis le réseau. Little Snitch et LuLu jouent côté sortant uniquement, c’est leur job.

macOS livre nativement deux couches de sécurité. ALF (Application Layer Firewall) filtre les connexions entrantes. XProtect et MRT scannent les binaires connus comme malveillants. C’est ce que tu as out-of-the-box.

Si tu veux du sérieux, tu en empiles d’autres par dessus, à ta charge : Santa (NorthPoleSec, OSS) pour bloquer les exécutables non whitelistés, Wazuh pour remonter les événements vers un SIEM, et précisément ce dont parle cet article, un pare-feu sortant process-aware. Toutes ces couches, natives ou ajoutées, font ce qu’elles doivent faire, en se complétant.

Une app peut être signée, validée par Apple, exécutée par un user légitime, et envoyer ton carnet d’adresses à un serveur tiers. ALF ne voit rien (c’est de la sortie). Santa ne voit rien (le binaire est autorisé à s’exécuter). XProtect ne voit rien (le binaire n’est pas dans la base malware). C’est exactement le rôle d’un pare-feu sortant process-aware : combler ce trou. Filtrer non par adresse IP, mais par process et par destination, avec un verdict allow/drop par connexion.

Sur macOS, depuis Big Sur, ces outils utilisent tous le framework Apple NEFilterDataProvider (Network Extension). Plus de kernel extension à charger, plus de risque de kernel panic lié à un kext tiers. C’est Apple qui maintient le chemin réseau, l’outil tiers ne fait que rendre un verdict.

Les protagonistes

Little Snitch 6.4.1

Édité par Objective Development Software GmbH, à Vienne, Autriche, depuis 2003. Vingt-deux ans d’âge, équipe stable, zéro rachat, zéro pivot. Licence perpétuelle, closed-source propriétaire. Un seul incident de sécurité connu (faille de code-signing en 2018, fix livré avant la disclosure publique de Patrick Wardle). Depuis la v5 (2020), plus de kernel extension, uniquement Network Extension Apple. Version actuelle : 6.4.1, sortie le 22 juin 2026, supporte macOS Sonoma, Sequoia et Tahoe. UI en anglais et allemand. Pas de français.

LuLu 4.3.2

Développé par Patrick Wardle, fondateur d’Objective-See (États-Unis), depuis 2017. Wardle est une référence mondiale sécurité Mac : ex-NSA, créateur du Mac Malware Project, intervenant régulier à Black Hat, DEFCON et Objective by the Sea. Open source, GPL-3.0, sources publiques sur GitHub, binaire compilable maison. Modèle 100 % gratuit, financé par dons via Patreon (pas de freemium, pas de tier payant). Version actuelle : 4.3.2, sortie le 3 mai 2026. Supporte macOS 10.15+, Tahoe inclus depuis la 4.0. UI principalement en anglais.

Ce qu’ils font, ce qu’ils ne font pas

Prompts Little Snitch (gauche) et LuLu (droite). Captures officielles obdev.at et objective-see.org. © Objective Development et © Objective-See, GPL-3.0.

Cœur produit partagé. Les deux sont des pare-feu sortants process-aware bâtis sur le même framework Apple NEFilterDataProvider, donc le chemin réseau est dicté par macOS, pas par l’éditeur. Ni l’un ni l’autre ne fait de filtrage entrant, ils laissent ça à ALF natif. Versions de référence ici : Little Snitch 6.4.1 (sortie le 22 juin 2026, premier macOS Tahoe 26 supporté côté LS depuis la 6.3) et LuLu 4.3.2 (sortie le 3 mai 2026, GPL-3.0). Apple Silicon natif des deux côtés.

Granularité des règles. Little Snitch te laisse cibler par process, domaine, port, protocole, interface réseau, horaire et profil. LuLu te laisse cibler par process, domaine ou IP, scope (process spécifique ou global), et durée. La différence n’est pas cosmétique : un horaire (autorise Spotify entre 8h et 22h, par exemple), un port précis, ou encore un profil dédié au train, c’est sur LS uniquement.

Profils réseau. LS bascule automatiquement sur le SSID Wi-Fi ou l’interface (réseau de confiance vs réseau public, profil VPN adapté au contexte). C’est l’argument MacBook nomade qui n’a pas d’équivalent. LuLu a des profils depuis la 4.0, mais le switch est manuel. Tu choisis avant de te connecter, ou tu as oublié.

DNS chiffré intégré. LS livre du DoH, DoT, DoQ vers Quad9, Cloudflare, DNS4EU, Google (tu auras compris que ce n’est pas le choix MS), en option directe dans la conf de l’app. Tu n’as plus besoin d’un profil système séparé pour le DNS chiffré. LuLu a un toggle “Allow DNS Traffic” basique sur UDP:53, le DNS chiffré n’est pas son problème, à toi de gérer en amont (dnscrypt-proxy, AdGuard, etc.). Et attention au conflit Network Extension décrit plus bas.

Wildcard DNS et le piège Chrome. LS gère les re-routages CDN type Akamai ou iCloud sans casser les règles, parce qu’il fait de la résolution wildcard côté domaine. LuLu n’a pas le wildcard côté hostname (issue GitHub #379, demandée depuis longtemps, pas implémentée). Conséquence sérieuse côté Chrome : Chrome n’utilise pas Network.framework Apple pour ses résolutions DNS, donc avec LuLu, le blocage par hostname est inopérant sur Chrome, fallback IP-only seulement (issue #410). Si tu vis dans Chrome, c’est une limite produit majeure, peu connue.

Network Monitor live et Research Assistant. LS a une map réseau temps réel, un graphe de trafic 5 min, un inspector connexion par connexion, et un Research Assistant qui te dit ce que la communauté a déjà jugé pour ce process (réduit la fatigue whitelist). LuLu a Netiquette comme outil annexe, à lancer séparément, pas intégré au prompt. Pas de base communautaire de réputation.

Petits trucs qui s’additionnent. LS a un mode silencieux (auto-allow ou auto-deny pendant un meeting, une présentation), des blocklists intégrées (trackers, pubs, malwares, MAJ quotidienne), des notifications acoustiques configurables par règle, des règles bidirectionnelles depuis LS 6, l’identification du process par signature de code (résiste au remplacement par un faux binaire au même chemin), et des statistiques d’usage par règle.

LuLu n’a pas le mode silencieux automatisé (issue #540), pas de blocklist native, pas de sons, pas de bidir (sortant uniquement par design), identifie le process par chemin (plus fragile), et ne stocke pas de stats.

CLI et automatisation. LS livre une CLI mature littlesnitch avec export-model, restore-model, diagnostics, switch-profile, write-rules. Tu peux backup ton modèle de règles, le versionner, et le restaurer sur un autre Mac (avec mapping users si différents et mot de passe Keychain si export chiffré). Format JSON natif côté backup, format .lsrules JSON côté subscription rule sets, les deux Git-friendly.

LuLu n’a pas de CLI officielle, le format des règles est un plist binaire fragile, l’export user rules existe depuis 4.2.1 mais reste moins normalisé. Pour une fleet de plusieurs Macs gérée en infra-as-code, l’écart est direct.

Logs et SIEM. LS écrit dans un subsystem at.obdev.littlesnitch (unified log macOS), plus une DB SQLite locale exploitable, plus un decoder Wazuh propre à écrire en quelques lignes. LuLu écrit dans os_log sans subsystem documenté, donc le tail Wazuh côté manager demande plus de regex et moins de structure. Si tu remontes tes événements vers un SIEM (Wazuh, Splunk, Elastic), LS te donne de la matière propre, LuLu te donne du best effort.

Limite macOS commune. Un seul provider de filtrage actif à la fois sur le système. Activer LS, ou LuLu, ou un profil DNS chiffré tiers (NextDNS par exemple), pas les trois. C’est une contrainte Apple, pas un défaut produit. LS contourne en intégrant son DNS chiffré, LuLu non.

Cycles de release. LS, régulier, 6.3.1, 6.3.2, 6.3.3 sur septembre-novembre 2025 puis 6.4 et 6.4.1 en juin 2026, équipe stable depuis 22 ans. LuLu, plus erratique, 4.2.0 en octobre 2023, 4.3.0 en mars 2026, 4.3.2 en mai 2026, projet maintenu sur le temps disponible de Wardle et de la fondation Objective-See. Aucun des deux n’est en français côté UI.

Score brut : Little Snitch couvre environ 22 fonctionnalités natives complètes sur 24 vérifiées. LuLu en couvre environ 10 complètes, 5 partielles, 9 absentes.

L’écart est franc. Et il ne disparaîtra pas avec la prochaine release de LuLu : certaines absences (CLI, DNS chiffré, Network Monitor intégré) sont des choix architecturaux, pas des oublis.

Souveraineté : LuLu gagne

C’est le point le plus mal compris du débat francophone, donc on va être direct.

LuLu est plus souverain que Little Snitch. Point.

Pourquoi ? Trois raisons qui s’empilent.

1. LuLu est open source GPL-3.0. Le code intégral est sur GitHub. Tu peux le lire, l’auditer, le compiler toi-même, le forker. Aucune backdoor n’est insérable sans laisser de trace publique. Aucun kill-switch éditeur n’est possible sans qu’un chercheur le repère. Aucune télémétrie cachée ne tient face à un grep sur les sources. C’est le modèle de confiance vérifiable, pas le modèle de confiance déléguée.

2. Little Snitch est closed-source propriétaire. L’éditeur viennois peut être impeccable (et il l’est, depuis 22 ans), tu n’as aucun moyen de le vérifier autrement qu’en lui faisant confiance. La signature Apple garantit que le binaire vient bien d’Objective Development. Elle ne garantit rien sur ce que ce binaire fait. Aucun audit indépendant formel n’a été publié sur Little Snitch (ni sur LuLu d’ailleurs). À ce jeu, l’OSS auditable l’emporte sur le closed-source non audité.

3. L’argument “Wardle est américain donc juridiction US” ne tient pas. Un argument circule depuis la sortie de la version Linux gratuite de Little Snitch en 2025, surtout côté marketing obdev : LuLu serait américain, donc moins souverain que LS qui est viennois. C’est faux, ou au mieux trompeur. Pour une raison simple : le code de LuLu est public, GPL-3.0, compilable maison. Aucune injonction américaine ne peut forcer Wardle à insérer une backdoor sans que la communauté la repère au prochain commit. Le binaire que tu compiles depuis tes sources locales n’a plus aucun lien juridictionnel avec Wardle. C’est précisément ce que l’OSS auditable rend impossible : la prise juridictionnelle non détectable. Pendant ce temps, Little Snitch reste closed-source côté UE, donc l’argument souveraineté s’inverse littéralement quand on regarde l’auditabilité plutôt que le siège social.

Et Wardle n’est pas n’importe qui. Ex-NSA, fondateur d’Objective-See, créateur du Mac Malware Project, conférencier régulier Black Hat et DEFCON, organisateur d’Objective by the Sea. Sa recherche publique a documenté plusieurs bypass des firewalls macOS (BlackHat 2018), ce qui nourrit directement la défense de son propre produit. Sur la couche pare-feu sortant Mac, c’est une autorité.

Verdict souveraineté : LuLu, sans débat. Si la souveraineté est ton critère absolu, l’arbitrage est trivial. Si quelqu’un te vend Little Snitch comme “plus souverain car éditeur UE”, il confond souveraineté juridictionnelle (vraie sur d’autres couches : Proton, DNS4EU) et auditabilité (la vraie question sur du code qui inspecte ton trafic).

LuLu fenêtre des règles, capture officielle objective-see.org. © Objective-See, GPL-3.0.

Fonctionnalités : Little Snitch gagne

Sur l’autre axe, l’écart est tout aussi franc, mais dans l’autre sens.

Cinq fonctionnalités font basculer le choix dès qu’on dépasse l’usage “je veux juste qu’une app arrête de phoner home”.

1. Profils réseau auto-switch sur SSID. Tu es chez toi sur ton Wi-Fi domestique : règles permissives. Tu pousses ton MacBook sur le Wi-Fi d’un café : règles strictes (blocklist trackers activée, DNS chiffré forcé, apps bureautiques restreintes). Tu rentres au bureau : profil pro qui autorise les outils internes. Little Snitch bascule automatiquement sur le SSID. LuLu a des profils, mais le switch reste manuel. Pour un MacBook nomade, c’est un point à considérer.

2. DNS chiffré intégré. DoH, DoT, DoQ, choix du provider (Quad9 en Suisse, DNS4EU en UE, Cloudflare ou Google côté US). LuLu n’en a pas, et c’est plus pénible que ça en a l’air : tu peux toujours installer un profil DNS chiffré tiers (Quad9, DNS4EU), sauf que macOS interdit deux Network Extensions actives simultanément. Donc tu as LuLu, ou ton profil DNS chiffré, pas les deux. Little Snitch contourne en intégrant le DNS chiffré directement dans son extension.

3. Wildcard hostname mature. iCloud, Akamai, Adobe et la plupart des CDN modernes ré-routent constamment leurs IPs. Une règle “autorise *.icloud.com” tient la route. Une règle “autorise 17.X.X.X” se casse à la première rotation. Little Snitch gère les wildcards proprement. LuLu non (issue #379, pas implémenté). Et sur Chrome, qui n’utilise pas le framework réseau Apple natif, LuLu retombe en filtrage IP-only, ce qui veut dire que ton blocage par hostname ne marche plus du tout sur Chrome (issue #410). Limite produit majeure peu connue.

Little Snitch Network Monitor, capture officielle obdev.at. © Objective Development.

4. Network Monitor temps réel. Pendant la phase whitelist, ou pendant un audit, tu veux voir le trafic vivant : qui parle à quoi, quel volume, quelle destination géographique. Little Snitch a une map live et un graphe 5 minutes intégrés à l’app. LuLu propose Netiquette, un outil annexe d’Objective-See, qu’il faut lancer séparément. C’est OSS et ça fait le job, mais c’est moins fluide.

5. CLI scriptable pour la fleet. C’est le point qui fait basculer dès qu’on a plus de deux Macs à gérer. Little Snitch expose un binaire littlesnitch qui sait faire export-model (backup JSON du modèle de règles), restore-model (restauration depuis fichier JSON, avec map des UID utilisateurs et mot de passe Keychain si l’export est chiffré), diagnostics, switch-profile, write-rules. Le workflow réel sur une fleet ressemble à ça : ssh mac-source littlesnitch export-model > rules.json côté Mac de référence, tu commites rules.json dans un repo Git, et sur chaque Mac cible tu fais scp rules.json mac-cible: puis littlesnitch restore-model -m oldUID>newUID rules.json. Pas un one-liner magique en pipe stdin, mais versionné, diff propre, code review possible. LuLu n’a pas de CLI officielle. Pour pousser des règles, tu copies un plist binaire fragile, qui change de format entre les versions, sans garantie de reproductibilité.

Verdict fonctionnalités : Little Snitch, sans débat. Si tu veux la granularité maximale, les profils nomades, la scriptabilité fleet et l’intégration SIEM propre, l’arbitrage est vite fait.

Limites communes (qu’on ne te dit pas ailleurs)

Avant de trancher, quatre limites qui s’appliquent aux deux outils. Honnêteté radicale, on ne fait pas semblant.

1. Apple apps qui bypass les Network Extensions. Depuis Big Sur, Apple a une whitelist d’apps système exemptées de tout filtrage NEFilterDataProvider tiers. Apple Mail, App Store, certains services iCloud passent à travers Little Snitch comme à travers LuLu. Ni l’un ni l’autre ne voit 100 % du trafic Apple natif. Ce n’est pas un bug des outils, c’est une décision d’Apple, et c’est documenté (Michael Tsai 2020).

2. Conflit Network Extensions. macOS n’autorise qu’un seul provider de filtrage réseau actif à la fois. Tu actives Little Snitch, ou LuLu, ou un profil DNS chiffré tiers (NextDNS, DNS4EU), pas les trois. C’est une contrainte plateforme, pas un défaut produit.

3. Pas d’audit indépendant formel. Ni Little Snitch ni LuLu n’ont eu d’audit tiers publié type Cure53, Trail of Bits ou ANSSI/CSPN. C’est une limite à connaître. Côté LuLu, l’OSS GPL-3.0 compense (audit communautaire continu). Côté Little Snitch, le track record 22 ans sans incident majeur compense partiellement (un seul vuln code-signing 2018, fix avant disclosure). Mais sur la rigueur formelle, les deux outils sont au même niveau : zéro audit publié.

4. La phase whitelist est un coût caché. Pendant les premiers jours d’usage, tu vas être prompted toutes les deux minutes. Ton OS, tes apps, ton anti-virus, ta sauvegarde, ton client mail, chacun veut joindre quelque chose. Compte une à deux semaines de friction sérieuse avant que ton modèle de règles soit stable. C’est vrai avec les deux outils. Si tu n’as pas la patience, désactive plutôt que de tout autoriser sans regarder (auto-allow par défaut casse l’intérêt même de l’outil).

Combien ça coûte vraiment

LuLu, c’est zéro euro. Pas de freemium, pas de tier payant, dons libres via Patreon. Si tu veux soutenir Wardle et la fondation Objective-See, fais-le. Ce n’est pas obligatoire pour utiliser le produit.

Little Snitch, c’est plus subtil. La grille publique obdev.at, capture vérifiée le 5 mai 2026, propose cinq formules. La Single License à 59 € pour un Mac. La Family License à 115 €, sur laquelle obdev ne précise pas combien de Macs sont couverts sur la page order, donc à clarifier auprès du support avant achat. La Multi License explicite, 5 Macs à 239 € (environ 48 € par Mac) ou 10 Macs à 419 € (environ 42 € par Mac). Et le Snitch Bundle (Little Snitch + Micro Snitch, le contrôle micro/caméra du même éditeur) à 63,49 € pour un Mac.

Licence perpétuelle, pas d’abonnement. Maj majeure (5 → 6 par exemple) = upgrade payant à tarif réduit. Sur la durée, tu payes une fois, tu uses jusqu’à la prochaine bascule majeure.

Pour une fleet 5 Macs en Multi License, le coût réel est de environ 48 € par Mac, en licence perpétuelle. Pour 10 Macs, environ 42 € par Mac. C’est un calcul que personne ne fait, mais qui change l’équation comparée au “59 € le Single Mac” cité partout.

Verdict à deux axes

Pas de gagnant unique. Deux axes, deux gagnants, un choix qui dépend de ton critère prioritaire.

Si la souveraineté est ton critère absolu : LuLu. Open source GPL-3.0, sources auditables, binaire compilable maison, auteur de référence sécurité Mac. Aucune prise juridictionnelle non détectable. Gratuit. Tu acceptes en échange une granularité plus faible, pas de profils auto, pas de DNS chiffré intégré, pas de CLI fleet. Pour un Mac unique, usage personnel, blocage process basique, c’est largement suffisant.

Si la richesse fonctionnelle est ton critère absolu : Little Snitch. Profils auto-switch SSID, DNS chiffré intégré, wildcard hostname, Network Monitor live, CLI scriptable, intégration Wazuh propre. Tu acceptes en échange le closed-source (avec un éditeur viennois stable depuis 22 ans, mais non auditable), un coût licence (de 42 à 59 € par Mac selon le pack), pas de version française. Pour une fleet familiale ou TPE, un usage nomade MacBook, ou une intégration SIEM sérieuse, c’est l’outil.

Aucun des deux n’est “meilleur dans l’absolu”. Ils répondent à deux questions différentes.

Et si tu hésites encore : commence par LuLu. Gratuit, OSS, deux clics à installer. Si après deux mois tu sens que la granularité te manque, le wildcard te frustre, ou que la fleet à scripter devient une corvée, passe à Little Snitch en connaissance de cause. Le contraire (commencer par LS payant et redescendre vers LuLu) coûte 59 € de plus pour rien.

Aucune affiliation Objective Development, aucun lien commercial avec Objective-See. Cet article ne touche pas un centime sur les achats Little Snitch.

Voir aussi

• Les réglages privacy macOS à changer en 15 minutes
• Apple Silicon et Secure Enclave : ce que ton Mac protège vraiment
• Souveraineté digitale en pratique
• Sécurité email et client mail sur Mac

Sources

Les éditeurs eux-mêmes

• Objective Development (obdev.at), l’entreprise autrichienne qui développe Little Snitch depuis 2003 : page produit, notes de version, communiqués
• Objective-See (objective-see.org), la fondation de Patrick Wardle, ex-NSA devenu chercheur en sécurité Mac, qui publie LuLu gratuitement

Le code et la doc technique

• Le code source de LuLu sur GitHub, librement consultable, avec les discussions publiques entre l’auteur et les utilisateurs (bugs, limitations : #280, #379, #410)
• La documentation Apple de NEFilterDataProvider, l’interface système que les deux logiciels utilisent depuis qu’Apple a fermé l’ancienne méthode en 2019

Les analyses indépendantes

• MacGeneration, site français de référence sur l’écosystème Apple, pour la revue de Little Snitch 6
• Howard Oakley (The Eclectic Light Company), ingénieur britannique qui décortique les entrailles de macOS, pour comprendre comment ces pare-feu s’intègrent au système
• Patrick Wardle lui-même, pour l’annonce LuLu v4 sur son Patreon (2025) où il documente la refonte complète du pare-feu