radar

Apple corrige des CVE iOS et macOS : patche, puis règle les profils Safari

iOS 26.5 corrige 98 CVE dont 21 sur WebKit, macOS Tahoe 26.5 98 dont 22. Plutôt qu'activer Lockdown Mode partout, segmente avec un profil Safari dédié.

Apple a publié le 11 mai iOS 26.5 et macOS Tahoe 26.5, qui corrigent 98 CVE côté iOS (dont 21 sur WebKit, le moteur de Safari) et 98 côté macOS (dont 22 WebKit). Tu installes le patch. Et après ? Plutôt qu’activer Lockdown Mode partout et casser la moitié des sites que tu visites, il existe une option plus fine, dispo depuis iOS 17 et que presque personne n’utilise : les profils Safari.

Le fait

Lundi 11 mai, Apple a publié iOS 26.5 et macOS Tahoe 26.5 en stables. 98 correctifs de sécurité côté iOS (dont 21 sur WebKit), 98 côté macOS (dont 22 WebKit). Plusieurs vulnérabilités permettaient à un site malveillant d’exécuter du code ou de contourner les protections sandbox. C’est le profil normal d’une release Apple : WebKit prend toujours le plus gros lot, parce que c’est la plus large surface d’attaque d’un iPhone ou d’un Mac.

Patche maintenant. Ça, c’est l’évidence. La vraie question, c’est ce que tu fais entre deux patchs, sur les liens reçus par mail, les recherches sensibles, les sessions banque.

Pourquoi Lockdown Mode tout le temps, c’est trop

Lockdown Mode est solide. MacSouverain en a fait l’éloge dans l’article 29. Pour un journaliste, un dissident, un avocat sur dossier sensible, c’est exactement ce qu’il faut.

Pour un freelance ou une PME qui veut juste lire son mail Proton, faire sa compta en ligne et regarder une recette le soir, c’est trop. JIT JavaScript désactivé, extensions Safari coupées, formats média restreints, pièces jointes Messages filtrées. Trop de friction, trop de sites qui rendent mal. Résultat classique : tu actives trois jours, tu trouves ça pénible, tu désactives, tu te retrouves avec rien.

Ce que sont les profils Safari

Depuis iOS 17 et macOS Sonoma (septembre 2023), Safari supporte plusieurs profils dans la même app. Resté discret, jamais mis en avant en keynote. La plupart des gens à qui tu en parles ne savent pas que ça existe.

Chaque profil a son propre historique, ses propres cookies, ses propres extensions activées, son propre moteur de recherche, ses propres favoris et groupes d’onglets. Aucun mélange : le cookie de session Google de ton profil “Perso” n’est pas vu par ton profil “Sensible”. Les extensions privacy actives sur “Sensible” ne ralentissent pas la navigation “Perso”. Bascule en deux taps (bouton onglets sur iPhone, menu Safari sur Mac), synchro iCloud entre Mac et iPhone.

C’est la segmentation d’usage qu’on conseille en sécurité depuis des années, mais sans installer un second navigateur.

Ce que tu fais maintenant

1. Installe iOS 26.5 et macOS Tahoe 26.5. Réglages, Général, Mise à jour logicielle. Vingt minutes, redémarrage compris.

2. Crée un profil Safari “Sensible”. Sur Mac : Safari, menu Safari, Créer un profil. Sur iPhone : Réglages, Apps, Safari, Profils, Nouveau profil. Nom, icône, couleur.

3. Configure le profil “Sensible” : moteur de recherche DuckDuckGo ou Qwant (réglage par profil), favoris vides, et ajoute deux ou trois extensions privacy activées uniquement sur ce profil : AdGuard pour Safari (gratuit App Store, filtrage réseau et cosmétique), Vinegar si tu veux un YouTube propre (achat one-shot), StopTheMadness Pro si tu as déjà sa licence. Ton profil par défaut reste intact, pas de ralentissement quand tu surfes normalement.

4. Ce que le profil n’isole pas : les réglages avancés Safari (bloquer tous les cookies, désactiver JavaScript, blocage du tracking) sont globaux, ils s’appliquent à tous les profils. Si tu veux durcir ces toggles, fais-le globalement dans Réglages, Apps, Safari, en sachant que ça affectera aussi ton profil par défaut.

Quand basculer sur le profil “Sensible”

Lien reçu par mail d’un expéditeur inconnu. Recherche médicale ou juridique. Connexion banque ou broker. Mail Proton sur le web depuis un appareil moins utilisé. Tout site dont tu n’es pas sûr et que tu n’as aucune envie de cookier ton profil principal avec. Deux taps, tu bascules, tu fais ce que tu as à faire, tu reviens.

Segmentation d’usage, pas durcissement global. Tu gardes ton confort sur ton profil par défaut, tu as un mode “navigation propre” à disposition.

Ce que ça ne remplace pas

Les profils Safari ne sont pas Lockdown Mode. Le JIT JavaScript reste actif sur tous les profils. Si tu es journaliste source-sensible, avocat sur dossier étatique, dissident, ou si tu as déjà reçu une notification Apple de menace, Lockdown Mode global reste le bon réglage. Les profils Safari sont un outil pour le quotidien standard, pas une protection contre des acteurs étatiques.

Et l’hygiène de base ne change pas : tu patches (iOS 26.5 maintenant), tu n’ouvres pas les pièces jointes que tu n’attends pas, tu vérifies l’URL avant de taper un mot de passe.

MacSouverain