Ce que couvre réellement iCloud Private Relay d'Apple — et ce qu'il ne couvre pas

En bref : iCloud Private Relay est un proxy chiffré à double saut, réservé à Safari, disponible pour les abonnés iCloud+. Il masque votre adresse IP aux sites que vous visitez dans Safari et à votre fournisseur d'accès à Internet. Il ne couvre pas Chrome, Firefox, Brave, Edge ni aucun autre navigateur. Il ne couvre aucune application non-navigateur — Instagram, TikTok, l'application YouTube, les applications d'actualités, les applications pour téléviseurs connectés, les jeux, votre client de messagerie. Il ne bloque pas les publicités ni les traceurs, ne détecte pas le phishing et ne vous protège pas sur un réseau WiFi public hostile contre les attaques TLS par interception. C'est une protection significative dans son périmètre étroit — et ce périmètre est bien plus restreint que son nom ne le suggère.

Comment fonctionne vraiment Private Relay

Le mécanisme est la partie la plus ingénieuse — et il vaut la peine d'être compris, car il explique à la fois les forces et les limites.

Lorsque vous visitez un site dans Safari avec Private Relay activé, la requête transite par deux relais distincts :

1. Le premier relais (exploité par Apple) voit votre adresse IP et la destination chiffrée. Il sait qui vous êtes (grâce à l'IP) mais pas où vous allez (la destination est chiffrée avec la clé du second relais).
2. Le second relais (exploité par un tiers — Cloudflare, Fastly ou Akamai sous contrat avec Apple) voit la destination et la déchiffre, mais sait seulement que la connexion provient d'« un utilisateur d'Apple Private Relay » — pas de quel utilisateur précis.
3. Le site de destination voit une adresse IP générique issue d'un pool régional (correspondant approximativement à votre emplacement réel pour la personnalisation du contenu, mais pas à votre adresse domicile précise).

Cette architecture à connaissance partagée est véritablement élégante — aucun relais seul ne peut relier votre identité à vos destinations. C'est une amélioration significative par rapport à un VPN traditionnel, où le fournisseur VPN voit les deux extrémités et doit être supposé ne pas enregistrer les données.

Mais l'ensemble de cette architecture est rattaché à la pile réseau de Safari. Les autres applications ne l'utilisent pas.

Ce que Private Relay couvre réellement

Plus précisément :

• La navigation web dans Safari. Chaque site que vous chargez dans Safari, sur tout appareil iCloud+ (iPhone, iPad, Mac), transite par le relais.
• iCloud Mail dans l'application Mail. Les requêtes de traceurs d'e-mails déclenchées par les e-mails promotionnels transitent par le relais (en plus de Mail Privacy Protection, qui est une fonctionnalité Apple distincte).
• Le trafic non chiffré (HTTP, pas HTTPS) provenant d'autres applications. La plupart des applications modernes utilisent HTTPS, donc cette catégorie est réduite en pratique. Mais si une application effectue une requête HTTP, ce trafic transite bien par le relais.
• Les requêtes DNS de Safari. Les résolutions de noms de domaine transitent par le relais, afin que votre FAI ne puisse pas voir les sites que vous visitez.

C'est la liste complète. Tout ce qui suit n'est pas couvert.

Ce que Private Relay ne couvre PAS

Les autres navigateurs

Chrome, Firefox, Brave, Edge, Arc, Vivaldi, DuckDuckGo Browser, Opera — chaque navigateur autre que Safari passe par votre connexion réseau normale, visible par votre FAI et exposant votre IP. L'architecture de Private Relay est intégrée à la couche réseau WebKit de Safari et n'est pas accessible aux autres applications. Si votre navigateur par défaut est Chrome (le cas pour la plupart des utilisateurs non-Safari), vous ne bénéficiez pas de la protection de Private Relay.

Les applications non-navigateur (le point crucial)

C'est la lacune que la plupart des utilisateurs ne réalisent pas. Chaque application sur votre téléphone en dehors de Safari passe par votre connexion réseau normale. Instagram, TikTok, Twitter/X, l'application YouTube, les applications d'actualités, les widgets météo, les jeux, votre client de messagerie, les applications bancaires, les applications compagnon pour téléviseurs connectés, Slack, Discord, Signal — aucune d'entre elles ne bénéficie de la protection de Private Relay.

Pourquoi cela importe : la plupart des menaces à la vie privée des consommateurs ne proviennent pas du navigateur aujourd'hui. Ce sont des SDK intégrés dans des applications non-navigateur (Facebook SDK, Mixpanel, Amplitude, Segment, AppsFlyer) qui envoient des données de télémétrie comportementale. Des applications qui lisent les empreintes d'appareils. Des applications qui communiquent avec des réseaux publicitaires. Private Relay ne couvre rien de tout cela, car rien de cela ne se passe dans Safari. Notre analyse approfondie de ce qu'iOS App Tracking Transparency ne bloque pas couvre spécifiquement la couche de tracking par SDK.

La protection contre les menaces

Private Relay ne bloque pas les publicités, où que ce soit. Safari dispose d'extensions de blocage de contenu distinctes (1Blocker, AdGuard pour Safari, et d'autres) qui bloquent les publicités dans Safari. Le rôle de Private Relay est d'anonymiser votre IP et vos DNS — pas de filtrer le contenu. Même dans Safari, les publicités se chargent toujours (simplement depuis un point d'observation anonymisé).

Le blocage des traceurs

Même réponse. Private Relay ne refuse pas de résoudre les noms d'hôtes de traceurs ni de bloquer les connexions de traceurs — il les achemine simplement de manière anonyme via le relais. Le traceur peut toujours se déclencher et collecter des données ; il ne peut simplement pas relier ces données à votre adresse IP spécifique. L'Intelligent Tracking Prevention (ITP) intégré à Safari effectue un certain blocage des traceurs au niveau des cookies, mais il est distinct de Private Relay, et ne s'applique pas non plus en dehors de Safari.

La détection du phishing

Private Relay ne détermine pas si les destinations présentent des risques de phishing ou de malware. Safari dispose d'un « Avertissement de site frauduleux » séparé (basé sur Google Safe Browsing), mais uniquement dans Safari et uniquement pour les sites connus comme malveillants — les domaines de phishing zero-day passent à travers. Les liens de phishing ouverts depuis Messages, Mail, des applications de messagerie tierces, ou toute application de messagerie qui s'ouvre dans une vue web peuvent ou non bénéficier de vérifications Safe Browsing, et ne bénéficient certainement d'aucune protection liée à Private Relay. Notre analyse des campagnes de phishing couvre la réalité du phishing par SMS.

La protection contre les réseaux WiFi publics hostiles (en partie)

Sur un réseau WiFi hostile dans un café ou un hôtel, Private Relay chiffre bien le trafic Safari contre l'opérateur du réseau local — il ne peut pas voir quels sites vous visitez dans Safari. Mais :

• Les autres applications sur votre téléphone (utilisant toujours le WiFi local sans le relais) sont entièrement exposées.
• L'opérateur du réseau local peut toujours voir que vous utilisez Private Relay (il voit le trafic allant vers les points d'extrémité du relais d'Apple, simplement pas les destinations derrière).
• Les flux de portail captif exposent toujours votre véritable IP avant l'activation de Private Relay.
• Certains réseaux hostiles bloquent les points d'extrémité de Private Relay et forcent le trafic via leurs propres proxys d'enregistrement — Private Relay se dégrade alors en mode non chiffré si l'utilisateur ne le remarque pas.

Le changement géographique d'IP pour le streaming

Private Relay vous attribue une IP issue d'un pool régional correspondant approximativement à votre emplacement réel — par conception, pour préserver la compatibilité du contenu régional. Ce n'est pas un outil de contournement pour le streaming. Si vous voulez regarder Netflix UK depuis les États-Unis, Private Relay n'est pas le bon produit ; NordVPN, ExpressVPN ou similaire est le bon choix. La conception de Private Relay évite explicitement la course aux armements du contournement de streaming.

Quand Private Relay est utile et vaut la peine d'être activé

Rien de ce qui précède n'est une critique — c'est simplement une clarification du périmètre. Private Relay fait ce qu'il dit faire, et dans ce périmètre il est assez bon. Cas où c'est la bonne protection :

• Votre navigation Safari doit être inobservable par votre FAI. Private Relay y parvient élégamment.
• Vous ne voulez pas que les sites web identifient votre IP domicile spécifique. L'IP du pool régional est bien plus difficile à utiliser pour relier des sessions que celle d'une adresse résidentielle statique.
• Vous souhaitez améliorer votre confidentialité sans choisir un fournisseur VPN à qui faire confiance. L'architecture à double relais signifie même qu'Apple ne peut pas voir les deux extrémités de votre navigation. C'est une vraie amélioration de confiance par rapport au choix d'un VPN.
• Vous voulez que ça « fonctionne tout seul » sans configuration. Private Relay est activé par défaut pour les abonnés iCloud+ ; vous n'avez pas à penser à l'activer ni à y faire attention.

Pour ces cas, laissez-le activé. Il n'y a aucun inconvénient à l'utiliser.

Ce dont vous avez besoin au-delà de Private Relay

Pour le reste de la surface des menaces à la vie privée des consommateurs — applications non-Safari, blocage des publicités, blocage des traceurs, détection du phishing, protection complète de l'appareil sur les réseaux hostiles — vous avez besoin de quelque chose au niveau de la couche réseau plutôt qu'au niveau de la couche navigateur. L'approche propre est un VPN avec filtrage DNS qui couvre chaque application sur l'appareil, en complément de Private Relay pour Safari.

Fait important, les deux coexistent parfaitement sur iOS. iOS autorise un profil VPN actif à la fois (Casper ou un autre) et Private Relay simultanément — Private Relay continue de gérer le trafic de Safari via les relais d'Apple tandis que le profil VPN gère tout le reste. C'est le même schéma qui a fonctionné pendant des années avec les VPN d'entreprise : Safari-sur-Private-Relay coexiste proprement avec les-autres-applications-sur-VPN.

Ce que cela signifie concrètement : Private Relay couvre Safari, et notre protection contre les menaces, notre blocage des traceurs et notre protection IA contre les menaces couvrent chaque application en dehors de Safari. La combinaison couvre environ 95 % de la surface des menaces pour les consommateurs ; l'un ou l'autre seul laisse des lacunes significatives. Notre page de la plateforme iOS détaille ce que chaque couche attrape que l'autre ne fait pas.

Note sur la pile de confidentialité étendue d'Apple

Apple a déployé plusieurs fonctionnalités de confidentialité distinctes qui sont souvent confondues :

• iCloud Private Relay — anonymisation de l'IP et des DNS réservée à Safari (le sujet de cet article)
• App Tracking Transparency (ATT) — la demande « Demander à l'app de ne pas pister », qui bloque un identifiant spécifique (IDFA) mais laisse ouvert le fingerprinting et le tracking au niveau des SDK. Analyse détaillée ici.
• Mail Privacy Protection (MPP) — récupère les pixels de tracking des e-mails via les proxys d'Apple, que vous ayez ouvert l'e-mail ou non, contrecarrant ainsi la plupart du tracking du taux d'ouverture. S'applique uniquement à Apple Mail, pas à Gmail/Outlook/Spark.
• Masquer mon adresse e-mail — génère des alias d'e-mail par service. Disponible pour les abonnés iCloud+.
• Étiquettes de confidentialité des apps — déclaratives sur l'App Store, utiles comme signal mais non vérifiées.
• Intelligent Tracking Prevention (ITP) — blocage des traceurs au niveau des cookies dans Safari. Distinct de Private Relay.
• Sandbox des apps — les applications ne peuvent pas lire les données des autres sans permission. Il s'agit d'une architecture de plateforme, pas d'une fonctionnalité.

Chacune fait quelque chose de spécifique et de portée étroite. Aucune n'est un filtre réseau qui couvre chaque application sur l'appareil. C'est la lacune que Casper comble.

Comment vérifier si Private Relay est bien activé

De nombreux utilisateurs ont iCloud+ mais n'ont jamais activé Private Relay. Pour vérifier :

• iOS / iPadOS : Réglages → [Votre nom] → iCloud → Private Relay. Activez si ce n'est pas déjà le cas.
• macOS : Réglages Système → [Votre nom] → iCloud → Private Relay.
• Si vous n'êtes pas abonné à iCloud+, l'option n'est pas visible. iCloud+ commence au même prix que le niveau de stockage iCloud 50 Go.

Un point subtil à noter : certains réseaux opérateurs et d'entreprise demandent à Apple de désactiver Private Relay pour les utilisateurs sur leurs réseaux. iOS vous en informe via une bannière dans les Réglages. Si vous voyez cette bannière, votre opérateur ou votre employeur vous a exclu — Private Relay est effectivement désactivé sur ces réseaux.

Conclusion

iCloud Private Relay est une fonctionnalité de confidentialité bien conçue et à portée étroite — anonymisation de l'IP et des DNS réservée à Safari avec une architecture à connaissance partagée ingénieuse. Il vaut la peine d'être activé. Mais il est aussi bien plus étroit que son nom ne le suggère : il ne couvre pas les autres navigateurs, ne couvre aucune application non-navigateur, ne bloque pas les publicités ni les traceurs, ne détecte pas le phishing et ne protège pas pleinement contre les réseaux WiFi hostiles. L'écart entre « ce que couvre Private Relay » et « ce que la confidentialité des consommateurs en 2026 requiert réellement » est précisément l'écart que notre filtre réseau est conçu pour combler.

Si vous souhaitez à la fois le bénéfice spécifique à Safari de Private Relay et une couverture complète de l'appareil pour chaque autre application sur votre iPhone ou Mac, utilisez-les ensemble — ils coexistent parfaitement sur iOS et macOS.