macOS sous le capot : puce Apple, démarrage sécurisé, APFS, launchd et protections

Ce guide explique ce qui se passe réellement dans un Mac à puce Apple. Le comprendre permet de lire correctement le Moniteur d'activité, de savoir pourquoi certaines manipulations sont impossibles et de dépanner avec méthode.

1. Les couches de macOS

La mémoire unifiée. Sur un PC, le processeur et la carte graphique ont chacun leur mémoire. Sur un Mac à puce Apple, ils partagent la même : pas de copie entre les deux, d'où des performances élevées en vidéo ou en IA locale. Contrepartie : la mémoire est intégrée à la puce et ne s'ajoute jamais après l'achat. Elle se choisit une fois pour toutes.

2. Le démarrage sécurisé

1. Boot ROM. Code gravé dans la puce à la fabrication, impossible à modifier. Il contient la clé publique d'Apple et vérifie l'étape suivante.
2. iBoot. Le chargeur de démarrage vérifie le sceau du volume système, puis charge le noyau, en appliquant la politique de sécurité choisie pour ce système.
3. Noyau XNU. Il initialise le matériel et le système de fichiers, puis démarre launchd.
4. launchd (processus n° 1) lance tous les services, puis la fenêtre de connexion.

Les deux niveaux de sécurité du démarrage, réglables dans l'Utilitaire Sécurité au démarrage (depuis le mode de récupération) :

Chaque système installé sur le Mac a sa propre politique : un second macOS de test peut être en sécurité réduite sans affaiblir le principal.

Le mode de récupération. Sur un Mac à puce Apple, maintenez le bouton d'alimentation au démarrage jusqu'à « Chargement des options de démarrage ». On y trouve la réinstallation de macOS, l'Utilitaire de disque, le Terminal, la restauration Time Machine et l'Utilitaire Sécurité au démarrage. Une copie de secours (« recovery de secours ») est conservée à part, et le Mac peut aussi démarrer sur une récupération téléchargée par internet.

3. Le disque : APFS et le volume système scellé

Le SSD d'un Mac contient un conteneur APFS qui regroupe plusieurs volumes. L'espace libre est partagé : aucun volume n'a de taille fixe.

Le volume système signé (SSV). Le système est un instantané APFS scellé : chaque fichier a une empreinte, et l'ensemble est signé par Apple. Au démarrage, le chargeur vérifie ce sceau. Un seul fichier modifié, et le démarrage s'arrête : macOS propose alors de se réinstaller. Un logiciel malveillant ne peut donc pas s'installer durablement dans le système, et une mise à jour remplace l'instantané d'un bloc.

Les firmlinks relient les deux volumes de façon transparente : /Applications ou /Users sont physiquement sur le volume Données, mais le Finder n'affiche qu'un seul disque.

diskutil apfs list          # conteneurs et volumes APFS
diskutil info /             # volume de démarrage, scellé ou non
df -h /System/Volumes/Data  # espace réellement utilisé par vos données

Les instantanés locaux. Time Machine crée des instantanés APFS sur le disque interne, même sans disque de sauvegarde branché. Ils apparaissent comme de l'espace « purgeable » et sont libérés automatiquement quand la place manque.

tmutil listlocalsnapshots /

4. launchd et les processus à connaître

launchd est à la fois le premier processus et le gestionnaire de tous les services. Il lit des fichiers de configuration (.plist) rangés dans quatre emplacements :

Un démon tourne sans session ouverte ; un agent tourne dans la session de l'utilisateur. C'est dans les dossiers tiers que se cachent les programmes de mise à jour, les assistants de logiciels… et parfois des indésirables. Réglages Système › Général › Éléments de connexion et extensions en dresse la liste et permet de les couper.

launchctl list | head -20                 # services de votre session
ls /Library/LaunchDaemons ~/Library/LaunchAgents

Les processus qu'on croise dans le Moniteur d'activité :

Une forte activité de mds_stores ou photoanalysisd après une mise à jour est normale et s'arrête d'elle-même. La fiche Accélérer un Mac lent détaille les causes de lenteur réelles.

5. Les protections intégrées

Ouvrir une application bloquée par Gatekeeper. Depuis macOS 15, le clic droit › Ouvrir ne suffit plus pour une application non notarisée : il faut tenter de l'ouvrir, puis aller dans Réglages Système › Confidentialité et sécurité et cliquer sur Ouvrir quand même. Ce détour volontaire limite les installations piégées.

Réinitialiser une autorisation quand une application n'arrive plus à accéder à la caméra ou à un dossier :

tccutil reset Camera                 # toutes les applis, pour la caméra
tccutil reset All com.exemple.appli  # une appli, toutes les autorisations

Ne désactivez jamais SIP sur un Mac de tous les jours. Le guide sécurité de cette série reviendra sur FileVault, le pare-feu et la confidentialité.

6. La mémoire, la compression et le swap

macOS utilise toute la mémoire disponible : une mémoire « pleine » n'est pas un problème en soi. L'indicateur à surveiller est la pression de la mémoire dans le Moniteur d'activité (onglet Mémoire) :

Avant d'écrire sur le disque, macOS compresse la mémoire inutilisée, ce qui est bien plus rapide. Le fichier d'échange se trouve sur le volume VM.

memory_pressure | tail -1      # niveau de mémoire libre
sysctl vm.swapusage            # utilisation du swap

7. Les préférences et l'arborescence

Les réglages des applications sont des fichiers plist (listes de propriétés). Le démon cfprefsd les garde en cache : modifiez-les avec la commande defaults, jamais en éditant le fichier pendant que l'application tourne.

defaults read com.apple.finder        # réglages du Finder
defaults domains | tr ',' '\n' | head # liste des domaines

Les dossiers à connaître :

Le journal unifié. Tous les messages du système passent par logd. L'application Console les affiche ; en Terminal :

log show --last 10m --predicate 'eventMessage CONTAINS[c] "error"' | tail -20
log stream --predicate 'process == "softwareupdated"'

8. Le rythme des mises à jour et la fin des Mac Intel

En pratique, Apple corrige les failles de sécurité sur la version actuelle et les deux précédentes, mais seule la version actuelle reçoit tous les correctifs. Un Mac bloqué sur une ancienne version reste donc moins protégé.

macOS 27 met fin aux Mac Intel. Il ne s'installe que sur les Mac à puce Apple. C'est aussi la dernière version à faire tourner les applications Intel par Rosetta de façon générale : vérifiez vos logiciels, car une application encore Intel devra être mise à jour par son éditeur ou remplacée.

sw_vers                                  # version de macOS
system_profiler SPHardwareDataType       # modèle, puce, mémoire

Pour repérer les applications encore Intel : Informations système › Logiciel › Applications, colonne « Type » (Apple Silicon, Universel ou Intel).

9. Les outils pour observer son Mac

Les autres guides de cette série s'appuient sur ces bases : maîtriser et optimiser macOS, sécurité et confidentialité, maintenance et dépannage, puis la boîte à outils avancée. En attendant, la fiche Sauvegarder son Mac avec Time Machine reste le premier réflexe à mettre en place.