Trois sorties réseau échappent au relais d’Apple
Les chercheurs Talal Haj Bakry et Tommy Mysk ont publié le 4 août 2026 une analyse de trois fonctions WebKit qui peuvent établir des communications en dehors du chemin proxy normalement utilisé par Safari. Le problème touche les navigateurs qui reposent sur la configuration de proxy de WebKit, ainsi qu’iCloud Private Relay. Dans deux cas, le serveur de destination peut voir l’adresse IP publique réelle de l’appareil ; dans le troisième, un domaine contrôlé par le site peut identifier les résolveurs DNS du réseau.
Le recoupement le plus important vient de TechCrunch. Le média indique avoir ouvert la démonstration fournie par les chercheurs et constaté qu’elle révélait son adresse IP réelle malgré Private Relay. Ce test indépendant confirme l’effet observable, sans établir combien de sites exploitent déjà ces mécanismes. Mysk n’a pas signalé les problèmes à Apple avant publication, en invoquant ses expériences antérieures avec le processus de divulgation du constructeur.
Apple n’avait pas répondu à TechCrunch au moment de son article et aucune note de sécurité publique ne décrit encore un correctif. L’information doit donc être lue comme une démonstration technique confirmée par un tiers, pas comme un incident de données attribué à un site précis. Mysk développe par ailleurs Psylo, un navigateur payant qui met en avant ses propres protections : ce lien commercial ne réfute pas les résultats, mais mérite d’être explicité.
DNS prefetch, passkeys et WebTransport : trois mécanismes distincts
Le premier contournement utilise le préchargement DNS. Une page peut insérer une balise demandant de résoudre à l’avance un nom de domaine unique. Depuis iOS 26.0, WebKit effectue cette résolution par le chemin DNS normal de l’appareil, au lieu du proxy. Un serveur DNS faisant autorité pour le domaine peut alors relier la requête au résolveur réel de l’utilisateur. Cette voie ne transmet pas nécessairement l’adresse IP publique au site web, mais elle dévoile une information réseau que Private Relay est censé séparer de la navigation.
Le deuxième mécanisme concerne les requêtes d’origine associée de WebAuthn, utilisées pour partager une passkey entre plusieurs domaines d’une même organisation. Lorsqu’une page demande un identifiant lié à un autre domaine, le service d’identifiants du système récupère un fichier de validation sous « .well-known/webauthn ». Cette requête part hors de la pile réseau de Safari et peut être déclenchée sans interaction visible. Le serveur de validation reçoit alors l’IP réelle. Le comportement est disponible depuis iOS 18.0 et Safari 18.
La troisième voie est WebTransport, une API de communication à faible latence fondée notamment sur HTTP/3 et QUIC. D’après Mysk, WebKit crée directement cette connexion sans lui appliquer le proxy de la session. Un serveur WebTransport peut ainsi recevoir l’IP d’origine. L’API est publique depuis iOS 26.4, sorti en mars 2026. Ces trois chemins n’exigent pas la compromission de l’iPhone ou du Mac : une page peut les invoquer avec des fonctions web légitimes dont l’intégration au proxy est incomplète.
Ce que la fuite permet réellement d’apprendre
Une adresse IP publique peut aider un site à reconnaître un réseau, estimer une zone géographique et rapprocher une visite masquée d’autres connexions observées sans relais. Elle ne fournit pas automatiquement un nom, une adresse postale ou le contenu complet de la navigation. La fuite DNS est encore plus limitée : elle révèle généralement le résolveur du fournisseur d’accès ou du service configuré, et un nom unique demandé par la page, mais pas d’un coup l’historique DNS entier de l’appareil.
La portée dépend donc du modèle de menace. Pour un utilisateur qui veut surtout réduire le profilage publicitaire ordinaire, Private Relay conserve une utilité sur les requêtes qui suivent bien ses deux relais. Pour une personne qui compte sur l’adresse temporaire afin de séparer strictement deux identités ou de masquer son réseau à un site hostile, ces échappées sont significatives. Une ressource tierce intégrée à une page pourrait aussi déclencher le mécanisme sans être le domaine visible dans la barre d’adresse.
Private Relay n’est pas un VPN général. Apple le présente comme une protection de la navigation Safari et de certains trafics non chiffrés, avec des exclusions documentées. Mysk indique que les trois problèmes décrits ici ne touchent pas les VPN qui placent tout le trafic de l’appareil dans un tunnel au niveau système. Cette conclusion porte sur ces contournements précis ; elle ne signifie pas que tous les VPN offrent la même confidentialité, la même politique de journalisation ou une protection absolue contre le suivi.
Protections disponibles et limites encore ouvertes
Aucun interrupteur Apple ne permet actuellement de désactiver séparément DNS prefetch, WebAuthn et WebTransport dans Safari. Couper Private Relay ne corrige pas le comportement : cela expose simplement l’adresse réelle à l’ensemble des sites visités. Désactiver « Limiter le suivi de l’adresse IP » sur un réseau ne constitue donc pas une protection. Les utilisateurs ayant un besoin fort de cloisonnement doivent surtout éviter de traiter Private Relay comme une garantie d’anonymat ou comme le remplacement automatique d’un tunnel système adapté.
Mysk annonce avoir bloqué le préchargement DNS et désactivé WebTransport ainsi que WebAuthn par défaut dans Psylo 1.3.1, avec une réactivation par session. Il s’agit d’une mitigation propre à son produit, pas d’une mise à jour de Safari. Les passkeys et WebTransport ont des usages valides ; les neutraliser partout peut casser l’authentification ou certaines applications web. Onion Browser désactive déjà WebTransport dans son niveau de sécurité Silver, mais les autres voies demandent leur propre traitement.
Les questions décisives restent entre les mains d’Apple : quelles versions exactes seront corrigées, si les trois fonctions recevront le même traitement et comment les navigateurs iOS utilisant un proxy pourront vérifier que tout trafic web suit leur configuration. Aucune exploitation malveillante à grande échelle n’est documentée dans les sources consultées. La conclusion utile est plus sobre : le modèle à deux relais fonctionne sur son chemin prévu, mais WebKit dispose aujourd’hui de sorties capables de contourner ce chemin.
Commentaires
Chargement…
Préparation de votre espace lecteur…
Chargement des commentaires…