En résumé : macOS vous offre Gatekeeper + Notarisation (détecte les applications signées connues comme malveillantes), App Sandbox (efficace pour les applications de l'App Store, partielle pour les autres), System Integrity Protection (empêche même root de toucher aux fichiers système), et des autorisations de confidentialité granulaires pour la caméra, le microphone, l'enregistrement d'écran, l'accès complet au disque et l'accessibilité. Le véritable angle mort que la plupart des utilisateurs ne voient pas : toute application que vous lancez peut établir des connexions réseau sortantes vers n'importe quel point de terminaison sans demander la permission, et c'est là que réside 90 % de la surface d'attaque à la vie privée des utilisateurs. Les réglages vous amènent à environ 70 % ; un filtre au niveau réseau couvre le reste.
La différence structurelle : macOS n'est pas iOS
macOS est plus permissif qu'iOS par conception — c'est un OS de bureau où les développeurs doivent livrer des logiciels de productivité. Trois faits structurels qui déterminent à quoi ressemble concrètement la confidentialité sur Mac en 2026 :
App Sandbox n'est imposé que pour les applications de l'App Store. Le bac à sable exige que les applications déclarent leurs droits (accès aux fichiers, au réseau, au matériel) et s'y limitent. Les applications de l'App Store doivent être cloisonnées. Les applications distribuées en dehors de l'App Store — la plupart des logiciels professionnels, dont Adobe Creative Cloud, Microsoft Office, Slack, Spotify, tous les outils de développement — peuvent s'affranchir entièrement du bac à sable. La notarisation (analyse anti-malware d'Apple) s'applique toujours, mais les garanties de confinement du bac à sable, non.
Les connexions réseau sortantes ne nécessitent aucune autorisation. macOS contrôle la caméra, le microphone, la localisation, les contacts, le calendrier, les rappels, les photos, l'enregistrement d'écran, l'accès complet au disque, l'accessibilité, la surveillance des entrées, le Bluetooth et bien plus — mais il ne contrôle PAS les connexions réseau. Toute application, cloisonnée ou non, peut se connecter à n'importe quel serveur sur Internet ouvert sans en demander la permission à l'utilisateur. C'est intentionnel (Apple estime que les connexions réseau sont trop fondamentales pour être gérées par application), mais c'est aussi la faille qui engloutit la plupart des préoccupations de confidentialité des utilisateurs.
Apple Silicon a changé le modèle de sécurité. Les Mac de la gamme M (M1+ depuis 2020) ont introduit Secure Enclave pour les opérations sensibles, Touch ID intégré, FileVault ancré dans le matériel et la protection du volume système signé. Les Mac Apple Silicon sont sensiblement plus difficiles à compromettre que les Mac Intel au niveau matériel. Mais la surface d'attaque réseau est identique : mêmes applications, mêmes connexions, mêmes schémas d'exfiltration. La sécurité matérielle aide contre la persistance des malwares ; elle n'aide pas avec le SDK de Spotify qui appelle son serveur.
Ce que macOS vous offre dès la sortie de la boîte
Les protections qui fonctionnent sans aucune action de l'utilisateur :
Gatekeeper + Notarisation
Gatekeeper bloque l'exécution des applications qui ne sont pas signées par un identifiant de développeur reconnu par Apple ou notarisées par Apple. La notarisation signifie qu'Apple a analysé le binaire à la recherche de signatures de malwares connus. Cela bloque la grande majorité des malwares Mac grand public avant leur exécution. Contournable par les utilisateurs qui font clic droit → Ouvrir, donc ne stoppe pas quelqu'un déterminé à exécuter du code non signé — mais pour l'utilisateur standard, c'est efficace.
App Sandbox (applications de l'App Store)
Les applications de l'App Store doivent déclarer les ressources dont elles ont besoin (quels fichiers, quel matériel, quels points de terminaison réseau) et s'y limitent. Un éditeur de texte cloisonné ne peut pas lire votre dossier Documents sans accès explicite. C'est le confinement le plus fort que macOS offre — mais il ne s'applique qu'aux applications de l'App Store, et la plupart des logiciels Mac professionnels n'y sont pas.
System Integrity Protection (SIP)
SIP empêche même les processus root de modifier les fichiers système, les binaires système ou les extensions du noyau. Apple l'utilise pour protéger l'OS de lui-même (et des malwares qui escaladent jusqu'à root). Pour désactiver SIP, il faut démarrer en mode de récupération — la plupart des utilisateurs n'y touchent jamais. SIP explique en partie pourquoi l'écosystème de malwares macOS est plus restreint que sous Windows : la surface de persistance est genuinement plus petite.
Autorisations de confidentialité granulaires
Les applications doivent demander l'autorisation de l'utilisateur avant d'accéder à la caméra, au microphone, à la localisation, à l'enregistrement d'écran, à l'accès complet au disque, à l'accessibilité, à la surveillance des entrées, aux contacts, au calendrier, aux rappels, aux photos et au Bluetooth. Ces invites sont plus strictes sur macOS que sur la plupart des autres systèmes de bureau — l'enregistrement d'écran et l'accès complet au disque en particulier. Il vaut la peine de les auditer périodiquement dans Réglages → Confidentialité & Sécurité.
iCloud Private Relay (iCloud+)
Anonymise l'IP de navigation Safari via un relais à double saut. Safari uniquement — consultez notre analyse approfondie de Private Relay pour ce qu'il couvre réellement. Les autres navigateurs (Chrome, Firefox, Brave) n'en bénéficient pas.
Mail Privacy Protection
Pour les utilisateurs d'Apple Mail (le client natif), MPP pré-charge les pixels de suivi des e-mails via les proxies d'Apple, que vous ayez ouvert l'e-mail ou non — ce qui neutralise la plupart des analyses de suivi des ouvertures. S'applique uniquement à Apple Mail, pas à Gmail / Outlook / Spark / etc.
Masquer mon adresse e-mail
Fonctionnalité iCloud+ qui génère un alias de transfert d'e-mail par service. Excellent pour les inscriptions aux newsletters et tout contexte où vous ne souhaitez pas partager votre vraie adresse e-mail.
Intelligent Tracking Prevention (Safari)
Isolation des traceurs au niveau des cookies dans Safari. Limite le suivi intersites via les cookies tiers, réduit l'efficacité des traceurs au fil du temps. Safari uniquement — les autres navigateurs ont leurs propres équivalents (Firefox Total Cookie Protection, Brave Shields).
Les réglages qui comptent vraiment (par ordre de priorité)
1. Auditer les autorisations de confidentialité
Réglages → Confidentialité & Sécurité → (chaque catégorie). Passez en revue l'enregistrement d'écran, l'accès complet au disque, l'accessibilité, la surveillance des entrées, la caméra, le microphone, la localisation. La plupart des utilisateurs ont au moins 2 à 3 applications avec des autorisations dont ils n'ont plus besoin. Constats fréquents :
- Anciennes applications d'enregistrement d'écran essayées une fois et jamais réutilisées
- Navigateurs avec autorisation d'accessibilité (permet de lire les frappes clavier — à n'accorder qu'aux gestionnaires de mots de passe de confiance)
- Applications avec accès complet au disque qui n'en ont pas besoin (certains installeurs le demandent sans le libérer)
- Services de localisation accordés à des applications qui n'ont pas vraiment besoin de la localisation
2. Activer FileVault (chiffrement complet du disque)
Réglages → Confidentialité & Sécurité → FileVault. Chiffre l'intégralité du disque avec votre mot de passe de compte. Activé par défaut pour les nouveaux Mac depuis macOS Big Sur, mais pas toujours pour les Mac mis à niveau. Sans FileVault, toute personne ayant un accès physique à votre ordinateur portable peut démarrer depuis un support externe et lire vos fichiers. Avec FileVault, elle n'obtient qu'un blob chiffré.
3. Activer le pare-feu + le mode furtif
Réglages → Réseau → Pare-feu → Activé. Cliquez ensuite sur Options et activez le « Mode furtif » (rejette silencieusement les sondes non sollicitées au lieu d'y répondre). Bloque les connexions entrantes provenant de sources aléatoires sur le WiFi d'un café. La plupart des utilisateurs le laissent désactivé par défaut sans le savoir ; le pare-feu est silencieux et minimal — laissez-le actif.
4. Désactiver les analyses et diagnostics
Réglages → Confidentialité & Sécurité → Analyse & Améliorations. Désactivez « Partager les analyses Mac » et « Améliorer Siri & Dictée ». Apple utilise ces données pour la télémétrie produit ; l'impact sur le fonctionnement de votre Mac est nul. Si vous souhaitez continuer à envoyer des rapports de plantage (ce qui peut aider Apple à corriger des bogues vous affectant), laissez « Partager les rapports de plantage » activé ; sinon, désactivez-le.
5. Désactiver les suggestions Spotlight / Siri
Réglages → Spotlight → Résultats de recherche. Décochez « Aider Apple à améliorer la recherche » et vérifiez les catégories. Les suggestions Spotlight envoient des requêtes à Apple pour fournir des résultats web, d'applications et d'actualités. Les désactiver cantonne Spotlight à la recherche sur votre Mac uniquement. Même chose pour les suggestions Siri dans Mail, Messages et Notes.
6. Auditer les éléments de connexion et les éléments en arrière-plan
Réglages → Général → Éléments de connexion. Liste les applications qui démarrent à l'ouverture de session et les assistants en arrière-plan installés par des applications. Il est fréquent que des applications désinstallées depuis des mois laissent des assistants en arrière-plan. Désactivez tout ce que vous ne reconnaissez pas ou dont vous n'avez pas besoin. Pour un nettoyage plus approfondi, la liste « Autoriser en arrière-plan » sur le même écran montre les applications d'assistance toujours actives pour des applications que vous n'utilisez peut-être même plus.
7. Auditer les extensions système et les extensions du noyau
Réglages → Général → Éléments de connexion → onglet Extensions. Affiche ce qui est installé au niveau système (extensions réseau, extensions de sécurité des points de terminaison, clients VPN). Certains produits installent des extensions système lourdes qui persistent après la désinstallation — les outils antivirus et certains anciens clients VPN sont des coupables fréquents. Si vous voyez quelque chose que vous ne reconnaissez pas, renseignez-vous avant de le désactiver (certains sont légitimement nécessaires aux logiciels que vous utilisez).
8. Choisir délibérément votre navigateur par défaut
Safari dispose de fonctionnalités de confidentialité solides (ITP, Private Relay avec iCloud+) mais elles ne protègent que Safari. Si votre navigateur par défaut est Chrome (la plupart des utilisateurs), vous perdez ces protections. Valeurs par défaut raisonnables en 2026 :
- La plupart des utilisateurs : Safari pour la navigation quotidienne, Brave pour les tâches sensibles à la vie privée
- Développeurs : Firefox ou Brave en principal, Chromium pour les tests de compatibilité
- Si vous devez utiliser Chrome, installez uBlock Origin et vérifiez les paramètres de confidentialité par site de Chrome
9. Utilisateurs avancés : installer un pare-feu sortant
Little Snitch (45 $) ou LuLu (gratuit, open-source) vous alertent la première fois qu'une application tente d'établir une connexion réseau. Vous obtenez une image concrète de ce à quoi votre Mac parle réellement. Pour 90 % des utilisateurs, c'est excessif et épuisant ; pour les utilisateurs techniques souhaitant comprendre leur machine, c'est inestimable. À utiliser en complément (et non à la place) du filtre au niveau réseau de Casper's Cloak — ils couvrent des choses différentes.
10. Désactiver Apple Intelligence (ou l'auditer)
Réglages → Apple Intelligence & Siri. Apple Intelligence (macOS Sequoia 15+) exécute des fonctionnalités de classe LLM sur l'appareil quand c'est possible, avec un repli optionnel vers « Private Cloud Compute » sur les serveurs d'Apple pour les requêtes complexes. La politique de confidentialité est genuinement la plus solide dans l'espace LLM grand public — mais la surface est nouvelle. Si vous n'utilisez pas les fonctionnalités IA, désactivez-la ; si vous les utilisez, vérifiez quelles applications ont accès au contexte personnel de l'IA.
Ce qu'Apple peut toujours voir, quels que soient vos réglages
- Métadonnées de synchronisation iCloud. Les noms de fichiers, les horodatages de synchronisation et les tailles de fichiers transitent par les serveurs d'Apple. Le contenu est chiffré de bout en bout pour les utilisateurs ayant activé la Protection avancée des données ; les métadonnées, non.
- Activité liée à l'identifiant Apple. Tout ce qui est lié à votre identifiant Apple — téléchargements App Store, iCloud Mail, routage iMessage, appels FaceTime — génère une activité au niveau du compte.
- Rapports de plantage (niveau de base). Même avec « Partager les rapports de plantage » désactivé, certaines télémétries critiques continuent de transiter pour les opérations de sécurité.
- Notifications push. Toutes les notifications push transitent par le service de notifications push d'Apple. Le contenu est chiffré ; les métadonnées de routage sont visibles.
- Réseau Localiser. Même si vous n'utilisez pas activement Localiser, votre Mac peut servir de relais pour le réseau Localiser, sauf si vous vous en désinscrivez explicitement.
Rien de tout cela n'est malveillant ; c'est ainsi que la plateforme fonctionne. Mais cela signifie que « j'ai verrouillé les Réglages » est une amélioration significative, pas une invisibilité totale.
Ce que les applications peuvent toujours voir — au-delà de ce que les autorisations OS contrôlent
Les autorisations macOS sont efficaces pour les catégories qu'elles couvrent (caméra, micro, enregistrement d'écran, fichiers). Elles ne contrôlent pas :
- Les connexions réseau. Toute application peut se connecter à n'importe quel point de terminaison sans demander la permission. C'est la plus grande faille — et le principal vecteur de télémétrie des SDK embarqués.
- Les informations système. L'identifiant matériel, le numéro de série du Mac, le modèle, la version de l'OS, les langues installées, les paramètres d'accessibilité — tout est lisible sans autorisation.
- La liste des processus. Les applications peuvent voir quelles autres applications sont en cours d'exécution.
- Le système de fichiers (applications non cloisonnées). Les applications distribuées en dehors de l'App Store peuvent lire de larges portions de votre système de fichiers sans invite explicite, y compris les fichiers téléchargés, les favoris de navigateur et certains caches.
- L'état inter-processus. Dans certains cas, les applications peuvent lire les mêmes NSUserDefaults / préférences écrites par d'autres applications.
Le vecteur d'exfiltration pratique le plus important est le premier : les SDK embarqués qui appellent leurs serveurs. Les SDK d'analyse de Spotify, la télémétrie d'Adobe Creative Cloud, les rapports de diagnostic de Microsoft Office, chaque utilitaire de la barre de menus — tous établissent des connexions réseau à leur discrétion. Les autorisations macOS ne les contrôlent pas ; il faut intervenir au niveau réseau.
C'est là que le filtrage au niveau réseau porte ses fruits — la même logique que dans l'analyse approfondie du filtrage DNS. Bloquez la destination du SDK au niveau DNS et les données ne peuvent pas quitter l'appareil. Le blocage de traceurs de Casper's Cloak couvre des dizaines de milliers de points de terminaison de traceurs, télémétrie et analyses connus — exactement la catégorie qui est invisible aux autorisations macOS.
Les risques spécifiques à Mac qu'il faut comprendre
La notarisation n'est pas un scan anti-malware au sens antivirus du terme. La notarisation d'Apple vérifie les signatures connues comme malveillantes et les violations de politique. Elle ne signifie PAS « Apple a vérifié que ce code est sûr ». Une application malveillante bien camouflée peut passer la notarisation. La notarisation élève le plancher ; ce n'est pas un plafond.
Les malwares Mac ont considérablement augmenté entre 2023 et 2026. Le Mac n'était pas immunisé ; les acteurs malveillants ont rattrapé leur retard. Les voleurs d'informations (Atomic Stealer, MacStealer, Banshee Stealer) ciblant les mots de passe, les portefeuilles crypto et les cookies de navigateur ont été la catégorie dominante. La plupart arrivent via de faux installeurs DMG provenant de sources de publicités de recherche / typosquatting. Les mesures d'atténuation : n'installez des logiciels que depuis des sources de confiance, utilisez un gestionnaire de mots de passe (pas le remplissage automatique du navigateur), activez FileVault, et utilisez un filtrage au niveau réseau qui bloque les points de terminaison d'exfiltration de données auxquels ces voleurs se connectent.
L'installation depuis l'extérieur de l'App Store est la norme pour la plupart des logiciels professionnels. C'est normal, mais cela signifie que vous ne pouvez pas vous fier à la modération de l'App Store pour la sécurité. Vérifiez les sources de téléchargement, contrôlez les signatures des développeurs, et ne contournez pas les avertissements de Gatekeeper sans y réfléchir.
Audit régulier pour les utilisateurs avancés : ouvrez l'onglet Réseau du Moniteur d'activité pour voir ce qui utilise réellement la bande passante. Des applications surprenantes apparaîtront, que vous n'avez pas visiblement en cours d'exécution — généralement des assistants en arrière-plan d'applications installées une fois.
Le modèle à deux couches sur macOS
- Les réglages au niveau OS gèrent les autorisations matérielles, le chiffrement du disque, le pare-feu, les éléments de connexion, les extensions système. Prenez 30 minutes une seule fois pour les configurer correctement.
- Le filtrage au niveau réseau (VPN avec filtrage DNS) gère la télémétrie des SDK embarqués, les connexions de traceurs, les destinations de phishing et les réseaux publicitaires. C'est la faille que les réglages macOS ne comblent pas. L'application macOS de Casper's Cloak opère ici et fonctionne aux côtés des protections natives — sans conflits.
Pour les utilisateurs techniques : ajoutez optionnellement un pare-feu sortant (Little Snitch ou LuLu) pour avoir une visibilité sur ce qui se connecte et où, ainsi qu'uBlock Origin ou Brave Shields dans la couche DOM du navigateur pour les publicités servies depuis des points de terminaison du même domaine (que le filtrage DNS ne peut pas toujours distinguer du trafic légitime). Les trois couches se complètent bien ; chacune intercepte ce que les autres manquent.
Ce qui change en 2026 et 2027
Évolution d'Apple Intelligence. Apple Intelligence a été déployé dans macOS 15 (Sequoia) avec des fonctionnalités LLM sur l'appareil et un repli optionnel vers Private Cloud Compute. La politique de confidentialité est genuinement solide, mais la surface des fonctionnalités est nouvelle et en expansion. Il vaut la peine de réauditer les paramètres d'Apple Intelligence chaque année à mesure que davantage d'applications l'intègrent.
Notarisation plus stricte et renforcement du Mac App Store. Apple a progressivement renforcé les exigences de notarisation, et les applications non signées sont de plus en plus difficiles à exécuter. D'ici 2027, attendez-vous à encore plus de friction pour les logiciels non notarisés. Impact légitime sur les outils de développement open-source et de niche ; bénéfice pour la réduction des malwares.
Framework Containers macOS. Apple a introduit un framework de conteneurisation système dans macOS 15 permettant aux applications de créer des environnements isolés. Encore orienté développeurs ; les applications grand public sont limitées. Suivez l'évolution de ce framework pour voir s'il étend le modèle de bac à sable au-delà des seules applications de l'App Store dans les prochaines versions.
Renforcement continu de la confidentialité réseau. Mail Privacy Protection, ITP et Private Relay ont tous progressivement étendu leur portée. La tendance est vers davantage de traitement de la confidentialité sur l'appareil et moins de métadonnées transitant par les serveurs d'Apple.
En conclusion
macOS en 2026 offre plus de contrôles de confidentialité que la plupart des utilisateurs ne le réalisent, avec une grande faille structurelle (aucun contrôle d'autorisation sur les connexions réseau sortantes). Les 30 minutes passées dans les Réglages à auditer les autorisations, activer FileVault, activer le pare-feu, désactiver les éléments de connexion inutiles et choisir un navigateur par défaut respectueux de la vie privée rapportent plus d'améliorations de confidentialité par minute que tout ce que vous pouvez faire au niveau de l'OS. Ensuite, le filtrage au niveau réseau est ce qui comble la faille de télémétrie des SDK embarqués qu'aucun système d'autorisation par application n'adresse.
Si vous souhaitez que la couche réseau soit gérée pour vous sur votre Mac, c'est ce que fait l'application macOS de Casper's Cloak — s'installe comme une Network Extension système standard (aucune extension de noyau requise depuis macOS 11), couvre chaque navigateur et chaque processus en arrière-plan, sans maintenance.