Il y a décidément quelque chose qui cloche avec iCloud+. Le bouquet de services payants d’Apple promet de renforcer la confidentialité des internautes, notamment grâce au Relais privé. Mais des chercheurs en sécurité montrent que cette fonction peut faire fuiter l’adresse IP réelle des utilisateurs dans certains cas.

La fonction Relais privé iCloud est censée masquer l’adresse IP de l’internaute. Les requêtes sont redirigées via deux relais distincts : le premier connait l’adresse IP mais pas le site web consulté, le second connait le site web consulté mais pas l’adresse IP. Aucun ne possède toutes les informations permettant d’identifier l’utilisateur et de connaitre les sites visités.

Relais privé, réservé aux abonnés payants iCloud+, n’est pas un VPN au sens classique du terme. La fonction protège la navigation web dans Safari en masquant l’adresse IP et en chiffrant les requêtes DNS. Les VPN redirigent tout le trafic de l’appareil au niveau du système d’exploitation, pour toutes les applications. Les fuites dont il est question aujourd’hui « n’affectent pas les VPN », confirme le chercheur en sécurité Tommy Mysk.

Nouvelle déconvenue pour iCloud+

Avec un autre chercheur, Talal Haj Bakry, ils tirent justement la sonnette d’alarme : certaines requêtes générées par WebKit, le moteur de Safari, échappent au mécanisme de protection de Relais privé et des fonctions de proxy pour partir directement de l’appareil. Un site ou un serveur distant est donc en mesure de voir l’adresse IP réelle de l’utilisateur, malgré l’activation du relais.

Trois fonctions de WebKit sont concernées. D’abord, des vérifications liées aux clés d’accès (passkeys) passent par le service système WebAuthn d’Apple (depuis iOS 18.0), et non par le chemin réseau proxy du navigateur. Ensuite, WebKit ouvrirait directement les connexions HTTP/3/QUIC utilisées par WebTransport (depuis iOS 26.4) sans appliquer le proxy. Le serveur WebTransport peut dès lors « voir » la véritable adresse IP.

Enfin, le dernier souci ne concerne pas l’adresse IP, mais le DNS. La résolution d’un nom de domaine à l’avance (DNS prefetching, depuis iOS 26.0) est réalisée directement depuis l’appareil au lieu de passer par le proxy. Cela laisse fuiter les serveurs DNS réellement utilisés par le terminal.

Pour prouver leur découverte, les deux chercheurs ont mis en ligne un site web capable d’identifier ces fuites et de révéler l’adresse IP réelle d’un internaute, y compris lors de l’utilisation du Relais privé iCloud. « Puisque la requête est émise par le service d’identification du système d’exploitation plutôt que par Safari, elle n’emprunte jamais le chemin proxy de Relais privé », expliquent-ils. « Dans tous les cas, le serveur de destination voit l’adresse IP réelle de l’appareil ».

Signalons que la fuite d’informations est également effective sur macOS avec Safari, et tous les navigateurs tiers reprenant ce moteur.

Apple enquête, un correctif évoqué pour l’automne 2026

Cette découverte remet sérieusement en cause l’efficacité de la fonction iCloud+, et pose aussi problème aux navigateurs basés sur WebKit. Le moteur est obligatoire sous le capot des navigateurs alternatifs distribués dans l’App Store ; même si en Europe, le DMA permet en théorie à un éditeur d’utiliser un autre moteur, dans les faits aucun ne l’a encore fait.

Les chercheurs ont ainsi constaté que ces failles touchaient non seulement Safari, mais également au moins un navigateur Tor sur iOS, Onion Browser. Or, Tor est précisément conçu pour anonymiser le trafic en le faisant circuler dans une succession de relais situés dans différents pays. Ces nouvelles fuites peuvent donc, dans certains cas, exposer l’adresse IP réelle de l’utilisateur.

Mysk explique ne pas avoir contacté Apple en amont de la publication (contrairement à Tor et Onion Browser informés) : « Dans un monde idéal, nous aurions signalé les problèmes à Apple, ils les valideraient et publieraient un correctif rapidement. Malheureusement, sur la base de notre expérience passée avec Apple, signaler ce problème impliquerait des mois de retard, des communications incohérentes et, dans certains cas, un déni total de l’impact du problème ».

Selon un message sur X de Psylo – le navigateur axé sur la vie privée développé par ce même Tommy Mysk –, Apple aurait reproduit ces failles et « prévoit de traiter le problème », avec une correction prévue pour l’automne 2026. Cela fait suite à l’envoi d’un rapport à Apple après la publication du billet de blog. Apple confirme à 404 Media enquêter sur le sujet, mais sans plus de détails.

Espérons que ce soit plus rapide que pour boucher la vulnérabilité de « Masquer mon adresse email », là aussi une fonction iCloud+, qui permettait de retrouver l’adresse email originale. Apple a mis plus d’un an à la corriger.