Le 4 août 2026, les chercheurs Talal Haj Bakry et Tommy Mysk, à l'origine du navigateur orienté vie privée Psylo, ont publié une analyse qui a fait l'effet d'une petite bombe dans l'écosystème Apple : trois fonctions de WebKit, le moteur de rendu d'Apple, contournent la configuration du proxy et peuvent exposer l'adresse IP réelle et les requêtes DNS des utilisateurs iOS et macOS. Y compris ceux qui paient pour le relais privé d'iCloud.
La bonne nouvelle : il existe un test simple pour vérifier si vous êtes concerné, et des parades immédiates. La mauvaise : Apple n'a pas encore annoncé de date de correctif.
Trois fonctions WebKit contournent le proxy du relais privé
Le problème ne vient pas d'une faille unique, mais de trois fonctions de WebKit qui, chacune à sa manière, ignorent la configuration du proxy imposée par le relais privé.
Le préchargement DNS (dns-prefetch) est le premier vecteur. Cette fonction, utilisée par certains sites pour accélérer le chargement, demande au navigateur de résoudre les noms de domaine via le chemin DNS normal de l'appareil, en ignorant le proxy. Résultat : les requêtes DNS partent directement vers les serveurs DNS du site, sans passer par le relais, exposant à la fois l'adresse IP réelle et les domaines consultés.
WebTransport est le deuxième. Cette API relativement récente, conçue pour des communications bidirectionnelles à faible latence, établit des connexions qui ne respectent pas la configuration du proxy. Elle permet à un serveur de découvrir l'adresse IP réelle de l'utilisateur.
WebAuthn enfin, l'API d'authentification biométrique (Touch ID, Face ID, clés de sécurité), peut également contourner le proxy dans certaines conditions, exposant l'adresse IP lors des échanges d'authentification.
Ces trois contournements touchent tous les navigateurs fondés sur WebKit, ce qui en pratique signifie tous les navigateurs iOS — l'App Store impose WebKit comme moteur — et Safari sur macOS. Dans l'Union européenne, le DMA a assoupli cette règle, mais aucun moteur tiers n'est réellement utilisé à ce stade.
Relais privé : un filet de sécurité limité à Safari, pas un VPN
Pour comprendre pourquoi cette fuite est possible, il faut rappeler ce que fait — et ne fait pas — le relais privé d'Apple.
Son architecture repose sur deux relais successifs :
- Le premier, géré par Apple, voit votre adresse IP mais pas le site que vous consultez ;
- Le second, fourni par un tiers (un CDN), voit le site mais pas votre adresse IP.
Le DNS est chiffré afin qu'aucune des deux parties ne connaisse à la fois votre identité et les sites visités. C'est le principe de la séparation des connaissances : Apple ne sait pas où vous allez, le tiers ne sait pas qui vous êtes.
Mais cette architecture ne protège que Safari. Apple le précise explicitement dans sa documentation : le relais privé n'est pas un VPN système et ne couvre pas le trafic des autres applications. Si vous utilisez Chrome, Firefox ou tout autre navigateur WebKit sur iOS, le relais privé ne s'applique tout simplement pas. Et même dans Safari, les trois fonctions WebKit identifiées par Mysk peuvent court-circuiter le proxy.
Le relais privé n'est par ailleurs pas disponible dans tous les pays ni toutes les régions.
Comment vérifier en 30 secondes si votre adresse IP fuit
Les chercheurs ont mis en ligne un site de test, leaks.psylo.app, qui permet à tout utilisateur iOS ou macOS de vérifier si sa configuration expose son adresse IP réelle ou ses requêtes DNS, quel que soit l'outil de protection utilisé.
La procédure est simple : ouvrez Safari (ou votre navigateur) sur votre iPhone, iPad ou Mac, avec le relais privé activé, puis visitez le site. Il vous indique en quelques secondes si votre adresse IP réelle ou vos requêtes DNS sont visibles.
TechCrunch a vérifié le 5 août 2026 que le site révélait bien l'adresse IP réelle avec le relais privé activé. Un test indépendant publié par BetaNews est arrivé à la même conclusion le 4 août : une adresse IP réelle remontait malgré le relais privé allumé.
Si le test révèle une fuite, sachez que le problème est connu et que des solutions existent déjà, comme nous le verrons plus bas.
Qui est concerné, et où en est le correctif d'Apple ?
Tous les navigateurs fondés sur WebKit sur iOS et Safari sur macOS sont concernés. Cela inclut donc Chrome, Firefox, Edge et tous les autres navigateurs iOS, même si le relais privé ne s'applique de toute façon qu'à Safari.
Les navigateurs proxy et Tor sur iOS sont également touchés, notamment Onion Browser, qui permet d'utiliser Tor sur iPhone. Dans sa configuration par défaut, il est affecté par les trois contournements. Son niveau de sécurité « Silver » active cependant le Lockdown Mode de WebKit, qui désactive les fonctions problématiques.
Parades immédiates pour les navigateurs concernés
En attendant le correctif d'Apple, des protections existent déjà.
Le navigateur Psylo, créé par les chercheurs à l'origine de la découverte, intègre dans sa version 1.3.1 des mesures correctives : blocage des indications dns-prefetch, désactivation de WebTransport et de WebAuthn par défaut, avec des réglages par site pour les utilisateurs qui souhaitent les réactiver.
Pour Onion Browser, passer au niveau de sécurité « Silver » (Lockdown Mode de WebKit) désactive les fonctions problématiques. C'est une parade efficace, mais elle implique de naviguer avec des protections renforcées qui peuvent limiter certaines fonctionnalités des sites.
La réponse d'Apple
Le calendrier de signalement mérite d'être précisé. Mysk a indiqué ne pas avoir signalé le problème à Apple avant la publication, invoquant une expérience passée faite de « mois de délais, de communications incohérentes et parfois de déni de l'impact ». Les chercheurs ont en revanche contacté le Tor Project et les développeurs d'Onion Browser en amont.
Après la publication, un rapport a été déposé via le portail de sécurité d'Apple. La réponse d'Apple est laconique : l'entreprise « prévoit de corriger le problème », sans date précise. En attendant, le relais privé continue de fonctionner avec ses limites connues.
Relais privé ou VPN : que vaut-il mieux payer pour protéger sa connexion ?
La faille relance une question pratique : à quoi sert de payer pour le relais privé si l'adresse IP peut fuiter, et vaut-il mieux basculer sur un VPN ?
Tarifs iCloud+ en France
Le relais privé est inclus dans chaque formule iCloud+. En France, les tarifs sont les suivants :
| Formule | Prix mensuel |
|---|---|
| 5 Go (gratuit) | 0 € |
| 50 Go | 0,99 € |
| 200 Go | 2,99 € |
| 2 To | 9,99 € |
| 6 To | 29,99 € |
| 12 To | 59,99 € |
Le ticket d'entrée pour le relais privé est donc le forfait à 0,99 €/mois. C'est peu, mais il faut garder en tête le périmètre réel : le relais privé ne protège que Safari, et la faille WebKit actuelle peut le contourner. Apple ne propose pas de tarif étudiant dédié sur iCloud+.
Alternatives VPN et offres étudiantes
Face à cette limite, un VPN système couvre toute la connexion, pas seulement le navigateur. Proton VPN propose une alternative documentée avec un plan gratuit, sans publicité ni journaux de connexion, et des offres dédiées aux étudiants. Les tarifs promotionnels des VPN fluctuent régulièrement, il est conseillé de vérifier les prix avant de s'engager.
Pour comparer en euros, voici les tarifs actuels de Proton VPN (page tarifaire officielle, susceptibles d'évoluer) :
| Formule | Prix mensuel |
|---|---|
| Gratuit | 0 € |
| VPN Plus (1 mois) | 9,99 € |
| VPN Plus (12 mois) | 4,99 € |
| VPN Plus (24 mois) | 3,59 € |
Les étudiants bénéficient d'une réduction supplémentaire sur ces formules via le programme dédié de Proton VPN. Le plan gratuit couvre déjà toute la connexion avec un accès limité aux serveurs, tandis que les formules payantes débloquent l'ensemble du réseau.
Le choix se résume donc à un arbitrage simple : 0,99 €/mois pour un relais privé limité à Safari et actuellement contournable, ou un VPN dont le périmètre de protection couvre toute la connexion, souvent avec une offre étudiante. Pour une protection complète en attendant le correctif d'Apple, le VPN a clairement l'avantage — et même son plan gratuit offre une couverture système. Pour un usage léger et un budget minimal, le relais privé reste une option — en connaissance de cause.
Une chose est sûre : si vous utilisez le relais privé, faites le test sur leaks.psylo.app. Vous saurez en 30 secondes si votre adresse IP fuit réellement.
