Sécurité et confidentialité sur Mac : FileVault, pare-feu, autorisations, mots de passe et Apple Intelligence

Les protections décrites ici sont intégrées à macOS. Pour un parc de Mac, elles se configurent et se contrôlent par profils de configuration depuis un outil de gestion (voir MDM : gérer ses appareils).

1. L'état des lieux en une commande par protection

fdesetup status                       # FileVault
csrutil status                        # protection de l'intégrité du système
spctl --status                        # Gatekeeper
/usr/libexec/ApplicationFirewall/socketfilterfw --getglobalstate
sw_vers                               # version de macOS

Un Mac sain affiche : FileVault On, SIP enabled, Gatekeeper assessments enabled, pare-feu enabled, et la dernière version de macOS.

2. FileVault et la clé de récupération

Sur un Mac à puce Apple, le SSD est toujours chiffré par le matériel. Mais sans FileVault, la clé est disponible dès l'allumage : quiconque démarre le Mac accède aux données. FileVault lie cette clé à votre mot de passe de session, protégé par la Secure Enclave. Le chiffrement est instantané.

Étape 1. Activez-le dans Réglages Système › Confidentialité et sécurité › FileVault, ou en Terminal :

sudo fdesetup enable

Étape 2. Choisissez comment récupérer l'accès si le mot de passe est oublié :

Si vous choisissez la clé, conservez-la dans un gestionnaire de mots de passe et sur papier en lieu sûr, jamais uniquement sur le Mac.

Étape 3. Vérifiez qu'une clé de récupération personnelle existe :

sudo fdesetup haspersonalrecoverykey

3. Gatekeeper, notarisation et quarantaine

Quand un fichier arrive d'internet (navigateur, messagerie, AirDrop), macOS lui pose un attribut de quarantaine. À la première ouverture, Gatekeeper vérifie que l'application est :

• signée par un développeur identifié auprès d'Apple ;
• notarisée : analysée automatiquement par Apple à la recherche de code malveillant connu.

Vérifier une application avant de l'ouvrir :

# Verdict de Gatekeeper
spctl -a -vv /Applications/Appli.app

# Qui a signé l'application
codesign -dv --verbose=2 /Applications/Appli.app 2>&1 |
  grep -E "Authority|TeamIdentifier"

# Le fichier est-il en quarantaine ?
xattr -l ~/Downloads/fichier.dmg

XProtect complète Gatekeeper : c'est l'antivirus intégré de macOS. Ses signatures se mettent à jour en silence, et le module XProtect Remediator analyse régulièrement le système pour supprimer les menaces connues. Vérifiez que les mises à jour automatiques des fichiers de sécurité sont actives dans Réglages Système › Général › Mise à jour de logiciels › Mises à jour automatiques.

Un antivirus tiers n'est pas nécessaire sur un Mac personnel bien tenu. En entreprise, une solution de détection et réponse (EDR) apporte la supervision centralisée que XProtect n'offre pas.

4. Les autorisations de confidentialité (TCC)

Chaque accès sensible demande votre accord, application par application. Passez en revue Réglages Système › Confidentialité et sécurité :

Un point vert (caméra) ou orange (micro) dans la barre des menus signale un accès en cours ; le Centre de contrôle indique quelle application l'utilise.

5. Le pare-feu

Le pare-feu intégré filtre les connexions entrantes. Activez-le dans Réglages Système › Réseau › Coupe-feu. Dans Options, le mode furtif fait ignorer les requêtes de découverte (ping) : utile sur les réseaux publics.

FW=/usr/libexec/ApplicationFirewall/socketfilterfw
sudo $FW --setglobalstate on
sudo $FW --setstealthmode on
sudo $FW --listapps                  # applications autorisées

Le trafic sortant n'est pas filtré par macOS. LuLu, pare-feu sortant gratuit et open-source de l'éditeur Objective-See, demande votre accord à chaque nouvelle connexion sortante : on découvre vite quelles applications « appellent la maison ». Le même éditeur propose KnockKnock (inventaire de ce qui se lance automatiquement) et BlockBlock (alerte quand un logiciel s'installe pour démarrer automatiquement).

Pour les principes généraux, voir Comprendre les pare-feu.

6. Comptes, verrouillage et Touch ID

• Utilisez un compte standard au quotidien et un compte administrateur séparé : une application malveillante ne pourra pas s'installer au niveau du système sans le mot de passe administrateur.
• Verrouillage : Réglages Système › Écran verrouillé : exiger le mot de passe immédiatement après la mise en veille ou l'économiseur d'écran. Verrouillez en partant avec Ctrl + Cmd + Q.
• Compte invité : désactivé dans Réglages Système › Utilisateurs et groupes, sauf besoin.
• Touch ID pour sudo : plutôt que de taper votre mot de passe dans le Terminal, validez avec le doigt. La configuration survit aux mises à jour de macOS :

sudo cp /etc/pam.d/sudo_local.template /etc/pam.d/sudo_local
sudo sed -i '' 's/^#auth/auth/' /etc/pam.d/sudo_local

7. Mots de passe, clés d'accès et iCloud

L'application Mots de passe (intégrée depuis macOS 15) gère les mots de passe, les codes de double authentification, les clés d'accès et les mots de passe Wi-Fi, synchronisés par le trousseau iCloud entre vos appareils Apple. Elle signale les mots de passe réutilisés, faibles ou apparus dans des fuites.

Les clés d'accès (passkeys) remplacent le mot de passe sur les sites compatibles. Elles ne peuvent pas être hameçonnées : la clé ne fonctionne que sur le vrai site. Pour un gestionnaire multiplateforme et open-source, voir Gestionnaire de mots de passe.

La protection avancée des données (Réglages Système › votre nom (Compte Apple) › iCloud › Protection avancée des données) étend le chiffrement de bout en bout à la quasi-totalité d'iCloud : sauvegardes, Photos, iCloud Drive, Notes. Apple ne peut alors plus récupérer vos données : vous devez configurer un contact de récupération ou une clé de récupération. C'est le réglage le plus important pour qui stocke des données sensibles dans iCloud.

Localiser doit rester activé : il active le verrouillage d'activation, qui rend un Mac volé inutilisable sans votre identifiant Apple.

8. Apple Intelligence et Siri : ce qui part sur les serveurs

Les réglages se trouvent dans Réglages Système › Apple Intelligence et Siri :

• désactiver complètement Apple Intelligence si vous n'en voulez pas ;
• couper l'apprentissage à partir d'une application donnée ;
• laisser désactivées les extensions vers des services tiers, ou exiger une confirmation à chaque envoi ;
• consulter le rapport Apple Intelligence (Confidentialité et sécurité) pour voir les requêtes envoyées à Private Cloud Compute.

Les fonctions avancées du nouveau Siri demandent un Mac M3 ou plus récent avec au moins 12 Go de mémoire, et sont pour l'instant limitées à l'anglais.

9. Le mode Isolement

Le mode Isolement (Réglages Système › Confidentialité et sécurité › Mode Isolement) est conçu pour les personnes visées par des attaques ciblées (journalistes, militants, dirigeants). Il bloque la plupart des pièces jointes, certaines technologies web complexes, les invitations FaceTime d'inconnus et les accessoires connectés pendant le verrouillage. Il dégrade volontairement l'expérience : il n'est pas destiné à un usage courant.

10. Check-list de sécurité