Apple vient de colmater la faille qui exposait les vraies adresses de ses abonnés iCloud+. Treize mois après le signalement. Pendant tout ce temps, un simple message rejeté comme spam suffisait à démasquer l'utilisateur dans les logs de messagerie.
Payer 0,99 euro par mois pour masquer son adresse e-mail, c'est l'une des promesses centrales d'iCloud+. Début juillet, nous relations cette faille : la fonction « Masquer mon adresse e-mail » exposait les vraies adresses des abonnés dans les logs de messagerie, depuis le signalement initial du 13 juin 2025. Apple a déployé un correctif le 3 juillet 2026, soit treize mois plus tard, et après deux tentatives avortées en mars puis le 30 juin 2026.
Sponsorisé
Finesse, robustesse, autonomie, écran de haut niveau, pliure discrète, normes d’étanchéité IP68/IP69. Honor signe avec le Magic V6 le smartphone pliable parfait
Sponsorisé
Un spam suffit : comment l'alias exposait votre vraie adresse
Le mécanisme technique, gardé confidentiel depuis le signalement de juin 2025 pour éviter d'alimenter l'exploitation, a été publié une fois le correctif en place. Il est d'une simplicité déconcertante.
Quand un message est envoyé vers une adresse générée par « Masquer mon adresse e-mail », il est redirigé vers la vraie adresse de l'abonné. C'est le principe de base de la fonction. Là où ça déraille : si ce message est automatiquement rejeté comme spam par le serveur destinataire, la vraie adresse de l'abonné apparaît en clair dans les logs de messagerie générés au passage.
- Intégration profonde dans les terminaux Apple
- Simplicité d'utilisation
- Partage entre utilisateurs Apple
- Fonctionnalités limitées
- Intégration profonde dans les terminaux Apple
- Simplicité d'utilisation
- Partage entre utilisateurs Apple
- Fonctionnalités limitées
Résultat : un expéditeur qui connaissait un alias pouvait, en quelques minutes et avec peu de compétences techniques, obtenir la vraie adresse derrière cet alias. Chaque adresse devait être ciblée individuellement. Les chercheurs précisent que chez beaucoup de grands fournisseurs, le simple rejet automatique d'un e-mail légitime détecté comme spam suffisait à déclencher la fuite. L'abonné ne voyait rien dans sa boîte de réception.
Apple était informée depuis le 13 juin 2025. Deux tentatives de correctif ont échoué (mars 2026 et 30 juin 2026) avant que le 3 juillet ne marque un début de déploiement. Nuance à retenir : AppleInsider a reproduit la faille le 17 juillet sur certains serveurs de messagerie, deux semaines après le patch annoncé. Le déploiement semble avoir été progressif côté serveur. Apple n'a pas répondu aux questions sur ce point.
Une class action, une promesse payante et des alternatives
L'inaction d'Apple pendant treize mois est au cœur d'une class action déposée le 15 juillet devant le tribunal fédéral du district Nord de la Californie. Le recours collectif Alvarez v. Apple reproche à l'entreprise d'avoir commercialisé « Masquer mon adresse e-mail » comme une protection de confidentialité payante tout en sachant, depuis au moins juin 2025, qu'elle ne fonctionnait pas. La procédure vise aussi bien la version complète d'iCloud+ que les adresses relais gratuites générées via Sign in with Apple. La plainte est sèche sur ce point : à aucun moment Apple n'a désactivé la fonction, prévenu ses utilisateurs ou corrigé ses engagements publics en matière de vie privée.
La situation concerne aussi les abonnés iCloud+ en France pour une raison concrète. Les adresses créées avant le 7 juillet 2026 ont potentiellement vu leur vraie adresse fuitée dans des logs de messagerie, sans qu'il soit possible de le vérifier soi-même. La fonctionnalité reste active, le correctif est en place. Mais si votre alias a été ciblé pendant cette fenêtre, l'information a peut-être transité quelque part.
Si vous souhaitez une alternative moins dépendante des délais de patch propriétaires, des services comme SimpleLogin (intégré à Proton Mail) ou Firefox Relay proposent le même principe d'alias e-mail, en open source, avec des politiques de transparence plus explicites. La décision de changer d'outil dépend de votre niveau d'exposition et de confiance dans l'écosystème Apple.
Apple présente « Masquer mon adresse e-mail » comme un outil pour « garder votre adresse personnelle privée ». La formulation est calibrée : elle ne promet pas l'anonymat. Pour les abonnés qui ont payé en faisant confiance à l'esprit de la fonctionnalité plutôt qu'à sa lettre, la class action californienne est peut-être l'endroit où cette nuance sera testée.
