Une faille iCloud Private Relay peut révéler l’adresse IP réelle d’un utilisateur malgré la protection activée. Apple enquête, mais aucun correctif n’est encore annoncé.
Talal Haj Bakry et Tommy Mysk ont détaillé le 4 août 2026 trois comportements de WebKit capables de contourner les relais ou les proxys censés masquer le réseau de l’utilisateur. Le lendemain, Apple a indiqué à 404 Media qu’elle examinait leur rapport, sans annoncer de correctif ni préciser quelles versions de ses systèmes seraient mises à jour.
La faille iCloud Private Relay contourne la protection de Safari
iCloud Private Relay est une fonction comprise dans les abonnements iCloud+. Lorsqu’elle est activée, Apple fait transiter les requêtes de Safari par deux relais distincts. Le premier connaît l’adresse IP de l’utilisateur, mais pas le site demandé, tandis que le second accède au nom du site et lui attribue une adresse IP temporaire. Cette séparation doit empêcher une même entité de relier l’identité réseau de l’utilisateur à son activité de navigation.
Les travaux de Talal Haj Bakry et Tommy Mysk montrent cependant que certaines opérations ne suivent pas le circuit réseau habituel de WebKit. Elles sont exécutées directement par l’appareil ou par un service du système, en dehors du chemin protégé par Private Relay. Un site spécialement conçu peut ainsi provoquer une requête qui ne passe pas par les deux relais d’Apple.
404 Media affirme avoir vérifié la démonstration des chercheurs. Lors de son test publié le 5 août 2026, le site de preuve de concept a renvoyé l’adresse IP réelle d’un appareil dont iCloud Private Relay était pourtant actif. Il ne s’agit donc pas seulement d’une possibilité déduite du code, même si rien n’indique à ce stade une exploitation massive et malveillante de ces mécanismes.
Trois fonctions de WebKit sont concernées
La première fuite repose sur le DNS prefetching, une technique qui résout un nom de domaine à l’avance pour accélérer le chargement ultérieur d’une page. Selon Mysk, WebKit effectue alors la résolution par le chemin DNS normal de l’appareil, au lieu d’utiliser le proxy configuré ou Private Relay. Un site peut associer un sous-domaine unique à chaque visiteur et observer la requête reçue depuis son véritable réseau. Ce comportement est disponible sur iPhone depuis iOS 26.0, sorti en septembre 2025.
Le deuxième mécanisme concerne WebAuthn, le standard utilisé par les passkeys. Lorsqu’un service veut autoriser une même clé d’accès sur plusieurs domaines liés, le système vérifie un fichier placé sur le domaine concerné. D’après les chercheurs, cette requête est envoyée par le service d’identification du système et non par la pile réseau de Safari. Elle peut se déclencher sans validation ni interface visible pour l’utilisateur, puis communiquer son adresse IP réelle au serveur distant. Cette fonction est prise en charge depuis iOS 18.0, publié en septembre 2024.
La troisième fuite passe par WebTransport, une technologie de communication à faible latence fondée notamment sur HTTP/3 et QUIC. WebKit peut ouvrir cette connexion directement depuis l’appareil sans lui transmettre les paramètres du proxy de la session. Le serveur reçoit alors l’adresse IP d’origine. Les chercheurs situent l’arrivée publique de cette possibilité sur iPhone avec iOS 26.4, en mars 2026.
Ces trois comportements ne produisent pas exactement la même information. Le DNS prefetching révèle surtout le chemin DNS et le réseau réellement utilisés, tandis que WebAuthn et WebTransport peuvent transmettre directement l’adresse IP de l’appareil au serveur contrôlé par le site.
Les abonnés iCloud+ ne doivent pas confondre Private Relay et VPN
Cette découverte ne signifie pas que toute la navigation Safari devient automatiquement publique. Le chargement classique des pages continue de profiter de l’architecture à deux relais. La fuite apparaît lorsqu’un site utilise ou détourne l’une des fonctions concernées, parfois sans que l’internaute ne le remarque.
Les navigateurs fondés sur WebKit qui s’appuient sur un proxy applicatif peuvent également être touchés. Les chercheurs citent notamment les navigateurs Tor disponibles sur iOS et leur propre navigateur Psylo. Ce dernier a désactivé ou bloqué les trois fonctions par défaut dans sa version 1.3.1. Les développeurs d’Onion Browser ont été prévenus, mais n’avaient pas communiqué de date de correction au moment de la publication de l’enquête.
Un VPN qui achemine l’ensemble du trafic de l’appareil au niveau du système n’est pas concerné par ces contournements précis, selon Mysk. Ce constat rappelle qu’iCloud Private Relay n’est pas un VPN complet. Apple présente le service comme une protection de la navigation Safari, des requêtes DNS et de certaines connexions HTTP non chiffrées, sans promettre de faire transiter tout le trafic de l’iPhone, de l’iPad ou du Mac.
Que faire en attendant un correctif d’Apple ?
Apple ne propose pas encore de réglage permettant aux utilisateurs de Safari de neutraliser séparément les trois fonctions concernées. Désactiver Private Relay ne corrigerait pas le problème et supprimerait même la protection qu’il continue d’apporter au reste de la navigation. La mesure la plus raisonnable consiste donc à maintenir iOS, iPadOS et macOS à jour afin de recevoir rapidement un éventuel correctif.
Les personnes qui ont un besoin important d’anonymat ou de dissimulation de leur adresse IP ne devraient toutefois pas compter uniquement sur iCloud Private Relay tant que la faille demeure ouverte. Un VPN de confiance configuré au niveau du système offre une couverture plus large contre ces trois fuites précises, sans constituer pour autant une garantie d’anonymat absolu.
L’enjeu dépasse une simple erreur d’affichage : l’adresse IP peut aider un site à estimer une localisation, reconnaître un réseau ou rapprocher plusieurs visites. La réponse d’Apple sera donc particulièrement attendue, car cette faille touche directement la promesse de confidentialité d’un service payant intégré à iCloud+.
