Introduction

MAJ juillet 2026. La faille Hide My Email désanonymise les alias Apple (divulgation publique le 1er juillet, toujours pas corrigée). Un argument de plus pour les alias souverains : voir la mise à jour du comparatif email.

MAJ mai 2026. Nouveau cran sur l’évolution mainstream du chiffrement email : Proton Mail propose désormais une option de chiffrement post-quantum, sur OpenPGP standardisé, gratuit inclus. Premier mail à le faire sur un standard ouvert. Détails dans le radar.

Le débat sur la sécurité email tourne en boucle autour d’un seul axe : “Gmail lit tes emails pour faire de la pub.” C’est vrai, c’est problématique, et c’est couvert un peu partout, y compris dans le comparatif Apple Mail vs Gmail vs Proton Mail.

Mais même si tu migres chez Proton, pour avoir des mails chiffrés demain matin, ta boîte mail reste un vecteur d’attaque important. Un email n’est pas un fichier texte inerte. C’est un document HTML interprété par un moteur de rendu de plusieurs millions de lignes de code (WebKit pour Apple Mail), qui charge des ressources distantes, exécute du CSS, et embarque des pièces jointes que tu ouvriras dans d’autres logiciels tout aussi complexes.

Ce tutoriel couvre les six vecteurs d’attaque réels et te donne les réglages exacts pour chacun. Il te faut un Mac avec Apple Mail, 15 minutes, et éventuellement un compte Proton Mail si tu veux la protection maximale. À la fin, ta surface d’attaque email sera réduite de façon drastique.

Avant de commencer

Ce qu’il te faut :

• Un Mac sous macOS Tahoe (26.x), Sequoia (15.x) ou Sonoma (14.x)
• Apple Mail configuré (avec ou sans Proton Bridge)
• 15 minutes

Ce que ça va changer :

• Les pixels espions ne te traquent plus
• Le HTML/CSS des emails ne peut plus te fingerprinter
• Les pièces jointes ne s’ouvrent plus automatiquement
• Tu sais vérifier si un email est authentique (SPF/DKIM/DMARC)

Ce que ça ne changera PAS :

• Qui lit tes emails côté serveur (ça, c’est le choix du fournisseur, voir le comparatif email)
• Le phishing bien ciblé qui exploite la confiance humaine

Étapes

Étape 1 : Bloquer les pixels espions

Un pixel de tracking, c’est une image de 1x1 pixel, transparente, hébergée sur un serveur distant, intégrée dans le corps HTML de l’email. Quand ton client mail charge l’email, il charge l’image, ce qui envoie une requête HTTP au serveur. Cette requête révèle ton IP, ton client mail, l’horodatage et un identifiant unique lié à ton adresse email.

En une image invisible, l’expéditeur sait que tu as ouvert son email, depuis quelle ville, sur quel OS, à quelle heure, combien de fois. Tout le monde l’utilise : newsletters, sales B2B (Mailchimp, HubSpot, Outreach), services e-commerce. C’est légal, quasi invisible, et très répandu.

Jusqu’au 14 avril 2026, du moins. La CNIL a adopté ce jour-là sa recommandation sur les pixels de suivi dans les emails. On y revient un peu plus bas, dans un chapitre dédié. Tu peux déjà garder en tête que ta case “Bloquer tout le contenu distant” est désormais alignée avec la doctrine du régulateur.

Chemin : Mail > Réglages > Confidentialité

Deux niveaux de protection, du plus souple au plus strict :

Niveau 1, “Protéger l’activité Mail” : Apple charge les images distantes à ta place via ses propres serveurs (proxy). L’expéditeur voit l’IP d’Apple, pas la tienne. Les pixels espions sont neutralisés, mais les images se chargent quand même. C’est le minimum.

Niveau 2, “Bloquer tout le contenu distant” : aucune ressource distante ne se charge, point. Pas d’images hébergées sur un serveur, pas de pixels, pas de CSS externe. L’email s’affiche en texte et images embarquées dans le message (CID) uniquement, sans aucun appel réseau. Un bouton “Charger le contenu distant” apparaît en haut de chaque email si tu veux charger au cas par cas.

Le niveau 2 rend le niveau 1 redondant (si rien ne se charge, rien à proxifier). Mais active les deux : si tu cliques “Charger le contenu distant” sur un email, c’est le niveau 1 qui prend le relais et proxifie les images via Apple au lieu de les charger directement. Ceinture et bretelles.

Ce que tu dois voir : les deux options cochées.

Sur Proton Mail : actif par défaut, rien à faire. Sur Proton Mail + Bridge + Apple Mail : la protection opère côté serveur Proton avant même d’arriver dans Apple Mail. Active quand même le réglage Apple Mail ci-dessus, la redondance est une bonne pratique.

Étape 2 : Réduire la surface HTML/CSS

Un email HTML, c’est une page web. Et une page web, ça s’exécute dans un moteur de rendu. Ce moteur a des caractéristiques mesurables qui permettent de t’identifier sans cookie et sans JavaScript, uniquement via CSS et HTML.

Des media queries peuvent charger différentes ressources selon ton mode sombre, ta taille d’écran, ta résolution. Des techniques avancées permettent d’extraire du contenu via CSS seul. Des homoglyphes Unicode rendent des URLs de phishing visuellement identiques à l’original.

Apple Mail ne propose plus de bascule globale “texte brut” sur macOS Ventura+. La protection passe par deux approches :

Option 1, bloquer le contenu distant (déjà fait à l’étape 1) : avec “Bloquer tout le contenu distant” activé, le rendu CSS devient inerte. Aucune ressource externe ne se charge.

Option 2, basculer en texte brut sur un email précis :

1. Ouvre l’email en question
2. Menu Présentation > Message > Texte brut alternatif
3. L’email repasse en texte pur, aucun CSS ne s’exécute

Ce que tu dois voir : emails affichés sans mise en forme riche quand le contenu distant est bloqué. Option texte brut disponible au cas par cas.

Avec Proton Mail (web ou app desktop), tu peux activer le texte brut par défaut pour tous les emails (Paramètres > Apparence > Composer en texte brut). Le blocage des images distantes et le blocage de l’ouverture automatique des pièces jointes sont actifs par défaut. Ce que tu configures manuellement sur Apple Mail est déjà réglé d’office sur Proton.

Étape 3 : Pièces jointes, les réflexes qui comptent

Les pièces jointes sont le vecteur de malware le plus documenté de la dernière décennie. Macros Office VBA, PDF avec JavaScript embarqué (Adobe Reader l’exécute par défaut), fichiers TNEF (winmail.dat) d’Outlook.

Sur les anciennes versions de macOS, Apple Mail proposait une option “Ouvrir les pièces jointes sécurisées automatiquement” dans Mail > Réglages > Général. Apple l’a supprimée à partir de macOS Sequoia : les pièces jointes ne s’ouvrent plus automatiquement. Le fait qu’Apple ait retiré le choix à l’utilisateur en dit long sur le niveau de risque que ça représentait.

Le réglage est réglé. Ce qui reste, c’est tes réflexes :

• Avant d’ouvrir une pièce jointe : appuie sur Espace (Quick Look) directement depuis l’email. Le fichier s’affiche en lecture seule sans s’exécuter.
• Pour les PDF : utilise Aperçu (Preview) plutôt qu’Adobe Reader, surface d’attaque bien plus réduite.
• Pour les .docx / .xlsx venant de sources inconnues : Quick Look d’abord, pas Office. Jamais activer les macros dans un document reçu par email, même d’une source connue (un compte compromis envoie des macros crédibles).
• Un fichier .app, .dmg, .pkg ou .command reçu par email ? Suppression immédiate. Aucun expéditeur légitime n’envoie un exécutable par mail.

Étape 4 : Mettre à jour le client mail sans délai

Les zero-days sur les clients mail existent. CVE-2023-23397 sur Outlook (CVSS 9.8) : un email malveillant déclenchait une authentification NTLM vers un serveur attaquant, sans aucune interaction de l’utilisateur. Juste recevoir l’email suffisait. Exploité activement par APT28 avant le patch.

Apple Mail a un historique plus modeste qu’Outlook, mais pas inexistant. CVE-2020-9922 : Apple Mail pouvait envoyer des emails en clair même avec S/MIME activé dans certaines conditions.

Chemin : Réglages Système > Général > Mise à jour de logiciels > Mises à jour automatiques

Tout activer, y compris “Installer les mises à jour de sécurité et fichiers système”. Ne jamais repousser une mise à jour macOS qui inclut un patch Mail.

Ce que tu dois voir : toutes les options de mise à jour automatique cochées.

Si tu utilises Proton Bridge : ouvre Bridge > icône barre de menus > Vérifier les mises à jour. Bridge a son propre cycle de mise à jour indépendant de macOS.

Étape 5 : Apprendre à vérifier un email suspect (SPF/DKIM/DMARC)

L’email a été conçu dans les années 70 sans aucun mécanisme d’authentification. N’importe qui peut envoyer un email avec le champ From: qu’il veut. Trois mécanismes de contrôle ont été ajoutés :

• SPF, Sender Policy Framework, vérifie que le serveur d’envoi est autorisé pour ce domaine
• DKIM, DomainKeys Identified Mail, signe cryptographiquement l’email pour vérifier qu’il n’a pas été modifié en transit
• DMARC, Domain-based Message Authentication, Reporting & Conformance, lie SPF et DKIM et définit quoi faire en cas d’échec

Sur Apple Mail :

1. Ouvre l’email suspect
2. Menu Affichage > Message > En-têtes longs (ou Cmd+Shift+H)
3. Cherche la ligne Authentication-Results:
4. Lis les trois valeurs : spf=pass / dkim=pass / dmarc=pass. Un fail ou none sur DMARC est un signal d’alerte

Ce que tu dois voir : les en-têtes complets avec les résultats d’authentification.

spf=pass dkim=pass dmarc=pass : email authentifié, expéditeur légitime. Tout va bien.

dmarc=fail : l’expéditeur ne correspond pas au domaine déclaré. Phishing probable. Alerte élevée.

dkim=fail : l’email a été modifié en transit ou vient d’un serveur non autorisé. Alerte élevée.

spf=fail seul : moins concluant, les configs SPF sont parfois imparfaites. Alerte moyenne.

Tous à none : le domaine n’a configuré aucune authentification. Méfiance maximale.

Alternative simple : copie les en-têtes complets et colle-les sur mxtoolbox.com/EmailHeaders.aspx, le résultat est lisible en 10 secondes.

Important : Apple Mail ne peut pas rejeter automatiquement un email qui échoue. Il affiche les résultats d’authentification dans les en-têtes, mais le tri se fait côté serveur, par ton fournisseur email. C’est là que le choix du fournisseur fait la différence :

• iCloud Mail : applique DMARC, mais Apple est peu transparent sur le niveau d’application stricte. Pas de filtres avancés côté serveur.
• Gmail : applique DMARC, mais peut livrer en spam au lieu de rejeter. Filtres puissants, mais Google lit tout au passage.
• Proton Mail : applique la politique DMARC du domaine expéditeur côté serveur. Un dmarc=fail avec politique reject, l’email n’arrive jamais dans ta boîte. En plus, Proton propose des filtres Sieve : un langage de règles côté serveur qui te permet de trier, déplacer, rejeter ou étiqueter automatiquement tes emails selon l’expéditeur, le sujet, les en-têtes, etc. C’est bien plus puissant que les règles d’Apple Mail.

À lire bientôt : Configurer Proton Bridge avec Apple Mail sur Mac

Réflexe à retenir : demande urgente + dmarc=fail = appel téléphonique avant toute action, sans exception.

Étape 6 : Configurer la combinaison optimale (Proton Mail + Bridge + Apple Mail)

Si tu veux la protection maximale sur Mac, la combinaison Proton Mail + Bridge + Apple Mail empile trois couches indépendantes :

• Proton Mail : ne peut pas lire tes emails (chiffrement E2EE, clés sur ton appareil), filtre les pixels espions et ressources distantes côté serveur avant même de te les transmettre
• Proton Bridge : déchiffre localement sur ton Mac, ne transmet rien sur le réseau
• Apple Mail : n’exécute pas de JavaScript, bloque le contenu distant (si configuré comme ci-dessus)

Aucune de ces trois couches n’exécute de code actif contenu dans un email. C’est structurellement meilleur que n’importe quel webmail.

Bridge est disponible à partir du plan Proton Mail Plus (à partir de 3,99 euros/mois en abonnement annuel). Le plan gratuit Proton Mail ne donne pas accès à Bridge.

Essayer Proton Mail

À lire bientôt : Configurer Proton Bridge avec Apple Mail sur Mac

Pixels de suivi : ce que change la recommandation CNIL du 14 avril 2026

Le 14 avril 2026, la CNIL a adopté sa recommandation sur les pixels de suivi dans les emails, version finale après la consultation publique de juin 2025. Ce n’est ni une loi, ni un règlement, simplement une recommandation. Mais c’est la doctrine sur laquelle la CNIL s’appuie pour te contrôler, et pour contrôler ceux qui t’écrivent. Et quand le régulateur publie sa grille de lecture, les audits qui arrivent derrière s’en servent.

Un pixel espion, en trois lignes

Un pixel espion, c’est une image d’un pixel sur un pixel, transparente, hébergée sur un serveur à l’autre bout d’internet. L’expéditeur la glisse dans le corps HTML de son email, au milieu du texte, invisible à l’œil. Quand ton client mail affiche le message, il télécharge cette image. Ce simple téléchargement envoie une requête HTTP au serveur, qui enregistre au passage ton IP, ton client mail, l’heure, et un identifiant unique collé à ton adresse email.

Résultat : l’expéditeur sait que tu as ouvert, quand, depuis quelle ville approximative, sur quel OS, combien de fois. Tu n’as rien fait de particulier, tu as juste lu. Multiplié par toutes les newsletters, tous les emails B2B, toutes les notifications commerciales que tu reçois, ça dessine un profil détaillé de ton attention.

Ce que la CNIL encadre désormais

La base juridique, c’est l’article 82 de la Loi Informatique et Libertés, celui qui régit les cookies et traceurs. Et les lignes directrices du Comité européen de la protection des données, 2/2023, qui rangent explicitement les pixels d’emails dans la catégorie des traceurs. La recommandation du 14 avril 2026 applique cette grille au cas précis des pixels dans les emails.

Principe retenu par la CNIL : un pixel de suivi est un traceur. Il lit et écrit de l’information sur ton terminal (ton client mail, ton téléphone, ton Mac). Donc par défaut, il relève du consentement préalable, au même titre qu’un cookie publicitaire.

Une seule exemption au consentement : la mesure de délivrabilité individuelle liée à un service que tu as demandé. En clair, pour les emails transactionnels, confirmation d’achat, alerte de sécurité, reset de mot de passe, activation de compte, l’expéditeur peut vérifier si l’email t’est bien parvenu, sans te demander ton accord. C’est vu comme un composant technique du service que tu as sollicité.

Tout le reste exige un consentement explicite. Personnalisation du contenu selon ton comportement, mesure d’audience marketing, ciblage publicitaire, segmentation commerciale, analytics fines. Si ton expéditeur utilise le pixel pour autre chose que vérifier que l’email est arrivé, il doit te demander. Explicitement, au niveau du consentement RGPD standard, pas un bandeau enterré en bas d’une page.

Le délai, et ce qui arrive après

La CNIL laisse trois mois pour se mettre en conformité. Concrètement : mi-juillet 2026. Après, les audits commencent. La recommandation n’est pas contraignante au sens strict, mais elle est opposable en contrôle. Un acteur audité ne peut plus plaider l’ignorance de la doctrine : elle est publique, datée, détaillée.

Et la CNIL a annoncé des contrôles. Les premiers viseront probablement les gros émetteurs B2C, newsletters commerciales, e-commerce, médias avec tracking massif. Mais la grille vaut pour tous : freelances, PME, associations. Si tu envoies une newsletter avec un pixel Mailchimp qui mesure tes ouvertures à des fins marketing, sans consentement collecté, tu es hors clous.

Ce que ça change pour toi qui lis tes emails sur Mac

Ici, rien à faire de plus. Les réglages de l’étape 1, “Protéger l’activité Mail” et “Bloquer tout le contenu distant” dans Apple Mail, étaient déjà la meilleure défense possible avant la recommandation. Ils le restent. La différence : ce qui était présenté comme “bonne pratique privacy” par les geeks est maintenant la position du régulateur. Tu n’es plus parano, tu es aligné avec la CNIL.

Proton Mail de son côté filtre les pixels espions par défaut, côté serveur, avant même que l’email arrive dans ta boîte. Cette option n’est pas un gadget : c’est exactement ce que la recommandation CNIL impose comme standard minimum en matière de respect du lecteur. Là aussi, l’outil était en avance sur la norme, la norme a rattrapé l’outil.

Le seul vrai changement, côté utilisateur : tu peux considérer que tout email commercial qui te piste sans t’avoir demandé ton consentement est désormais en infraction. Ça ne te rend pas grand-chose directement, mais ça donne un levier aux associations de défense, à la CNIL elle-même, et aux concurrents européens des géants du marketing automation. Le rapport de force a bougé.

Et si tu es du côté émetteur

Si tu envoies des emails dans un cadre pro, association, PME, freelance, indépendant avec une newsletter, la recommandation te concerne directement. Trois réflexes :

• Tes emails transactionnels (confirmation, alerte, reset) peuvent garder un pixel de délivrabilité sans consentement, à condition qu’il serve vraiment à ça et rien d’autre.
• Tes emails marketing, newsletters, campagnes doivent passer par un consentement explicite au traçage, distinct du simple opt-in à la newsletter. Lire ta lettre et accepter d’être mesuré, ce sont deux actes différents.
• Tes outils d’emailing (Mailchimp, Brevo, Sendinblue, Substack) doivent te permettre de désactiver le pixel par défaut ou de le conditionner au consentement. Si ton outil ne le propose pas, tu vas devoir en changer avant mi-juillet.

Ce n’est pas la fin du mailing. C’est la fin du mailing aveugle, la fin de “j’ouvre, donc on me mesure”. Pour un site comme MacSouverain qui recommande depuis le début les outils qui respectent le lecteur, c’est une victoire silencieuse.

Si ça ne marche pas

Problème : les emails sont illisibles après avoir bloqué le contenu distant

Cause probable : l’email ne contient pas de version texte, uniquement du HTML avec images.
Solution : clique “Charger le contenu distant” en haut de l’email pour ce message spécifique. Le réglage global reste actif pour tous les autres.

Problème : les en-têtes longs n’apparaissent pas dans le menu

Cause probable : variante macOS. Sur certaines versions de Sequoia/Tahoe, le chemin peut différer.
Solution : essaie Affichage > En-têtes de message > Personnalisé, puis coche les champs souhaités.

Problème : un collègue m’envoie des winmail.dat

Cause probable : il utilise Outlook en mode TNEF.
Solution : demande-lui d’envoyer en HTML ou texte brut. Si c’est récurrent, ne pas ouvrir avec des outils tiers non maintenus. Quick Look peut souvent afficher le contenu.

Pour les pressés

Cet article sécurise ton client mail contre les six principaux vecteurs d’attaque : pixels espions, fingerprinting CSS, pièces jointes piégées, zero-days client, spoofing email, et code actif dans les emails. Nouveauté 14 avril 2026 : la recommandation CNIL sur les pixels de suivi rend le blocage des pixels opposable en contrôle à partir de mi-juillet 2026. Tes réglages Apple Mail et Proton Mail ci-dessous étaient déjà conformes, ils le restent.

Concrètement, les réglages :

Confidentialité Mail

• Mail > Réglages > Confidentialité > Protéger l’activité Mail = Activé
• … > Bloquer tout le contenu distant = Activé

Pièces jointes & mises à jour

• Mail > Réglages > Général > Ouvrir les pièces jointes sécurisées automatiquement = Désactivé
• Réglages Système > Général > Mise à jour de logiciels > Mises à jour automatiques = Tout activé

Vérifier un email suspect

• Affichage > Message > En-têtes longs (Cmd+Shift+H) → chercher Authentication-Results

Protection maximale

• Proton Mail + Bridge + Apple Mail (3 couches indépendantes, zéro exécution de code actif)

Des termes techniques ? Consulte le glossaire.