Blog  ·  · Skander Bahri

Audit confidentialité iPhone : la méthode complète 2026

Comment auditer la vie privée de votre iPhone en 2026 : 5 vecteurs de fuite, 6 étapes manuelles, et l'automatisation par Privacy Score.

Un iPhone neuf, sorti de sa boîte, est en 2026 plus respectueux de la vie privée qu’un téléphone Android grand public. C’est la position de départ. Mais en quelques semaines d’usage, le tableau se dégrade : 60 applications installées, des dizaines d’autorisations accordées en réflexe, des SDK publicitaires qui ouvrent des connexions à chaque ouverture d’app. Le résultat est que la CNIL documente depuis plusieurs années : la quasi-totalité des applications mobiles, gratuites comme payantes, transmet des identifiants techniques à des tiers sans nécessité fonctionnelle. Le marché des courtiers en données, mis en lumière fin 2024 par l’enquête 404 Media / Wired sur les Services secrets américains, vit de cette matière première. Auditer son iPhone n’est donc plus une coquetterie de geek : c’est une hygiène. Ce guide décrit la méthode, manuelle puis automatisée.

Les 5 vecteurs de fuite d’un iPhone

Avant l’audit, il faut connaître les surfaces. Cinq vecteurs concentrent l’essentiel de la perte de vie privée sur iOS.

1. Les applications tierces

C’est le poste numéro un, et de loin. Chaque application installée embarque en moyenne 6 à 10 SDK tiers : analytics, attribution publicitaire, planification de notifications, crash reporting. Chacun de ces SDK ouvre ses propres connexions réseau et envoie ses propres identifiants. Une application de météo gratuite peut contacter 30 à 50 domaines distincts à chaque ouverture.

2. L’identifiant publicitaire IDFA

Apple l’a profondément encadré depuis iOS 14.5 (avril 2021) avec l’App Tracking Transparency. Mais beaucoup d’utilisateurs ont, par habitude, autorisé le suivi pour quelques applications phares au moment de l’invite. Tant que l’autorisation reste accordée, l’IDFA reste exploitable par ces applications et leurs partenaires.

3. Le DNS non chiffré

Par défaut, vos requêtes DNS (la traduction privacyscore.fr → adresse IP) passent en clair vers le résolveur de votre opérateur. Votre fournisseur d’accès peut donc voir, en clair, chaque nom de site que vous visitez. Sur Wi-Fi public, c’est l’opérateur du réseau qui le voit. Le DNS chiffré (DoH ou DoT) ferme cette fuite.

4. Les services iCloud et les sauvegardes

Sauvegarde iCloud, Photos iCloud, Trousseau, Mail iCloud : chacun de ces services peut être chiffré de bout en bout (E2EE) ou non, selon que vous avez activé la Protection avancée des données introduite en 2022. Sans cette option, Apple détient les clés de chiffrement de la majorité de vos données iCloud et peut, sur demande judiciaire, les remettre aux autorités.

5. Les services système connectés

Game Center, Plans, Siri, Maps, Localiser, App Store : chacun envoie des télémétries qui, individuellement, semblent inoffensives mais qui, agrégées, dressent un portrait précis de votre rythme de vie. La fonctionnalité Apple Intelligence, introduite avec iOS 18.1 en octobre 2024, ajoute une nouvelle catégorie de télémétrie liée aux requêtes envoyées au modèle de langage : certaines sont traitées localement, d’autres sont envoyées au service Private Cloud Compute d’Apple. Le périmètre exact de ce qui quitte l’appareil est documenté par Apple, mais reste à vérifier au cas par cas selon les paramètres activés.

L’audit en 6 étapes manuelles

Voici la séquence à dérouler une fois, idéalement après une mise à jour iOS majeure ou tous les trois mois.

Étape 1 : activer le Rapport de confidentialité des apps

Réglages → Confidentialité & sécurité → Rapport sur l’App Privacy → Activer. Attendez 48 heures, puis lisez-le. C’est le seul outil natif qui vous montre ce que vos apps font réellement. La méthode de lecture détaillée est documentée dans notre guide du Rapport de confidentialité iPhone.

Étape 2 : passer en revue les autorisations sensibles

Réglages → Confidentialité & sécurité → passez successivement Localisation, Contacts, Photos, Micro, Appareil photo, Calendrier, Bluetooth. Pour chaque catégorie, regardez la liste des applications autorisées. Pour la localisation, préférez « Lorsque j’utilise l’app » à « Toujours » partout où c’est possible. Pour les photos, préférez « Photos sélectionnées » à « Toutes les photos ».

Étape 3 : réinitialiser l’identifiant publicitaire

Réglages → Confidentialité & sécurité → Apple Advertising → désactivez « Annonces personnalisées ». Puis Réglages → Confidentialité & sécurité → Suivi → désactivez « Autoriser les apps à demander à effectuer un suivi » pour bloquer toute future invite. Si vous souhaitez réinitialiser l’IDFA déjà partagé, désactivez puis réactivez « Suivi » : iOS génère alors un nouvel identifiant.

Étape 4 : activer un DNS chiffré

Réglages → Général → VPN et gestion d’appareil → DNS → ajouter un profil DNS chiffré. Quelques résolveurs réputés et gratuits : Quad9 (Suisse, à but non lucratif), Cloudflare 1.1.1.1, Mullvad DNS. La CNIL recommande explicitement le DNS chiffré comme protection contre l’analyse passive de votre trafic.

Étape 5 : activer la Protection avancée des données iCloud

Réglages → identifiant Apple → iCloud → Protection avancée des données. Cette option active le chiffrement de bout en bout sur la quasi-totalité des données iCloud (Photos, Notes, Sauvegarde, Trousseau). Apple ne peut plus, techniquement, lire vos données. La contrepartie : si vous perdez votre code et vos contacts de récupération, la perte est définitive. C’est l’arbitrage à comprendre avant d’activer.

Étape 6 : passer en revue les apps installées

Pour chaque application installée depuis plus de six mois, posez deux questions. L’ai-je utilisée le mois dernier ? A-t-elle un équivalent open-source ou plus respectueux ? Si la réponse à la première est non, désinstallez. Si la réponse à la seconde est oui, migrez. C’est l’étape la plus chronophage, et la plus efficace.

Le DNS chiffré et le VPN : utiles ou marketing ?

Soyons précis, parce que le marketing brouille volontairement les deux notions.

Le DNS chiffré masque, auprès de votre fournisseur d’accès et de l’opérateur du Wi-Fi, la liste des domaines que vous visitez. Il ne masque pas les adresses IP de destination, ni le contenu de votre trafic (déjà chiffré par TLS pour HTTPS). C’est une protection ciblée, utile, et qui coûte zéro à activer.

Le VPN masque, en plus, votre adresse IP réelle auprès des sites visités, et l’identité des sites visités auprès de votre fournisseur d’accès. Il déplace votre confiance vers l’opérateur du VPN, qui devient le seul à voir l’ensemble de votre trafic. Le choix d’un VPN se fait donc moins sur le marketing que sur la juridiction du fournisseur, sa politique de logs (idéalement audités par un tiers indépendant) et sa structure de propriété.

En pratique, pour un usage domestique en France, le DNS chiffré suffit dans 95 % des cas. Le VPN devient utile en mobilité (Wi-Fi d’aéroport, café, hôtel) ou en déplacement dans un pays où la surveillance est forte. Toute autre promesse marketing (« protégez-vous des hackers », « rendez-vous anonyme ») relève de l’hyperbole.

Un mot sur les VPN gratuits, parce que la tentation existe. Le modèle économique d’un VPN consiste à payer des serveurs et de la bande passante en permanence. Quand un service ne demande aucune contrepartie, c’est qu’une autre source de revenus existe : revente d’historiques de navigation, injection publicitaire dans le trafic non chiffré, partage de bande passante (votre iPhone devient un relais pour d’autres clients). Le rapport Top10VPN sur la propriété des VPN gratuits documente le phénomène depuis plusieurs années. Si un VPN est nécessaire, il vaut mieux le payer quelques euros par mois à un fournisseur audité indépendamment que d’en utiliser un gratuit.

Pourquoi un audit régulier

Trois raisons mécaniques rendent l’audit ponctuel insuffisant.

Premièrement, chaque mise à jour iOS réintroduit des réglages par défaut. iOS 17 a réinitialisé certains paramètres de notifications, iOS 18 a réintroduit la collecte d’analytics pour la fonctionnalité Apple Intelligence : à chaque cycle, l’utilisateur doit re-vérifier.

Deuxièmement, chaque nouvelle application installée ajoute son propre lot de SDK. Une seule application bavarde, ajoutée le mois dernier, peut décupler vos connexions sortantes sans que rien de visible ne le signale.

Troisièmement, les pratiques des éditeurs évoluent. Une application sobre en 2024 peut, après un rachat ou un changement de stratégie monétaire, ajouter trois SDK publicitaires dans sa mise à jour de 2026. Le rapport de confidentialité est le seul moyen de s’en apercevoir sans lire le journal des changements.

C’est cette entropie permanente qui rend nécessaire un audit mensuel, ou au minimum trimestriel.

Comment Privacy Score remplace l’audit manuel

Faire les six étapes ci-dessus à la main demande, en moyenne, 45 minutes la première fois et 15 minutes ensuite. C’est trop pour la plupart des utilisateurs, et c’est précisément ce qui explique pourquoi presque personne ne le fait.

Privacy Score reprend ce travail et l’exécute en 30 secondes sur votre iPhone :

Découvrir Privacy Score sur la page d’accueil ou lire la politique de confidentialité pour vérifier les engagements techniques avant d’installer.

Checklist récapitulative

Conclusion

L’audit de confidentialité d’un iPhone n’est ni un acte militant, ni une expertise réservée à une élite technique. C’est un entretien régulier, comparable à la révision d’une voiture, qui prend une demi-heure si on s’en occupe à la main et trente secondes si on l’automatise. La méthode manuelle reste utile pour comprendre ce qu’on fait. L’automatisation devient utile dès qu’on veut le refaire chaque mois. Dans les deux cas, le point de départ est le Rapport de confidentialité d’Apple, et la décision finale reste la vôtre. Privacy Score est conçu pour vous l’épargner sans jamais voir votre rapport.