iCloud Private Relay vise à renforcer la confidentialité pendant la navigation Safari en masquant l’adresse IP réelle. Pourtant, des chercheurs en cybersécurité alertent sur un scénario préoccupant : des fuites d’IP peuvent apparaître lorsque certaines fonctionnalités du moteur WebKit contournent le chemin prévu par le relais.
Le constat ne concerne pas uniquement Safari sur iOS ou iPadOS. D’après les informations publiées, la même logique peut toucher macOS et d’autres navigateurs s’appuyant sur WebKit, ce qui élargit potentiellement l’impact du problème sur l’écosystème.
Comment iCloud Private Relay protège (et où ça peut déraper)
Introduit avec iOS 15, iCloud Private Relay s’appuie sur une architecture « double saut ». Concrètement, le trafic web est routé via deux relais, afin qu’aucun tiers (y compris Apple) ne puisse déterminer à la fois l’origine de la requête et les sites consultés.
Ce principe repose sur le fait que le navigateur suive la configuration de proxy prévue. Or, les chercheurs expliquent que certaines capacités de WebKit peuvent détourner cette route et faire passer le trafic par des chemins directs depuis l’appareil.
Les trois fonctions WebKit à l’origine des fuites d’IP
Selon les auteurs de la découverte (Talal Haj Bakry et Tommy Mysk), le problème s’enracine dans trois fonctions du moteur WebKit. Leur point commun : elles peuvent bypass la configuration de proxy et envoyer du trafic « normalement » depuis l’appareil, révélant ainsi son réseau réel.
- DNS prefetching : WebKit peut résoudre des noms d’hôtes via le parcours DNS habituel de l’appareil, au lieu d’utiliser le chemin fourni par le proxy du navigateur.
- WebAuthn Related Origin Requests : le service de gestion d’identifiants au niveau du système peut récupérer un fichier de validation directement depuis l’appareil.
- WebTransport : WebKit peut établir une connexion HTTP/3 directe, contournant également le proxy.
Au final, les chercheurs indiquent que l’adresse IP réellement utilisée par l’appareil peut sortir du trajet attendu et se retrouver observable. Ils soulignent aussi que les fuites ne sont pas forcément systématiques sur tous les navigateurs ou configurations.
Pourquoi WebAuthn (passkeys) peut jouer un rôle
WebAuthn permet aux utilisateurs de se connecter via des « passkeys » et, plus largement, via la norme du web. Les chercheurs précisent qu’un site web compatible pourrait, en théorie, exploiter la façon dont WebKit traite certaines requêtes liées aux informations d’origine.
Dans leurs explications, un site pourrait configurer l’API de manière à ce que WebKit révèle l’adresse IP réelle du navigateur, même si Private Relay est activé dans Safari. L’important ici : la divulgation nécessite un comportement volontaire de la part du site pour relier une session de navigation à l’IP qui fuit.
Autre point notable : d’après les chercheurs, cela n’exige pas d’action de l’utilisateur ni même l’usage effectif de passkeys. Le mécanisme viserait plutôt la manière dont certaines requêtes sont déclenchées et exécutées.
Un test public pour vérifier sa propre situation
Pour aider à vérifier l’impact, les chercheurs ont publié une page de démonstration (PoC) accessible à l’adresse leaks.psylo[.]app. L’idée est simple : tester si des fuites d’IP sont observables lorsque Private Relay est actif.
Dans cette interface, une section « HTTPS Traffic » indique le trafic « standard » généré lors de la connexion à un site. À l’inverse, une section « Possible IP leaks » vise à montrer comment l’IP réelle peut échapper au chemin proxy attendu.
Les auteurs insistent toutefois sur le caractère conditionnel de l’observation : la page parle de « possible » car tous les navigateurs ne seraient pas affectés de la même manière.
Tout le monde est-il concerné ? Pas nécessairement
Les chercheurs mentionnent que certains navigateurs ne présenteraient pas les mêmes fuites. Par exemple, ils indiquent qu’une version desktop de Chrome ne serait pas touchée de la même façon.
Ils notent également que le recours à un VPN peut atténuer les effets, puisqu’il modifie le chemin réseau utilisé par l’appareil et donc la visibilité de l’IP réellement observable.
En clair : l’exposition dépend de la combinaison navigateur, moteur web, système d’exploitation et configuration réseau.
Impact potentiel sur macOS et sur les navigateurs WebKit
Les conclusions ne se limitent pas à iOS et iPadOS. Les chercheurs indiquent que le problème peut aussi se produire sur macOS, car WebKit y est également présent et peut piloter certains comportements réseau.
Ils ajoutent aussi que tout navigateur basé sur WebKit, qui s’appuie sur les API de configuration de proxy fournies par WebKit, peut être dans le même cas. Cela inclut, au-delà de Safari, d’autres navigateurs disponibles sur iOS et iPadOS.
Autrement dit, si votre navigateur utilise WebKit et compte sur la configuration de proxy pour protéger votre identité réseau, il est prudent de considérer que certains scénarios peuvent contourner ce mécanisme.
Historique : d’autres vulnérabilités de confidentialité déjà signalées
Ce rapport arrive dans la continuité d’autres signalements liés à iCloud Private Relay. Peu après le lancement du service en 2021, FingerprintJS avait mis en évidence un mécanisme basé sur WebRTC pouvant révéler l’adresse IP réelle d’un client.
Le contexte plus large rappelle aussi que, selon les informations publiées, Apple avait récemment traité une faiblesse dans « Hide My Email », capable, dans certains cas, de révéler des adresses email réelles et donc d’affaiblir la promesse de confidentialité.
Pris ensemble, ces éléments montrent que la confidentialité « côté navigation » repose sur un empilement de composants, où une modification ou un détail d’implémentation peut avoir des conséquences inattendues.
Réaction d’Apple et état des investigations
Au moment de la publication, Apple n’avait pas donné de réponse immédiate à une demande de commentaire. Toutefois, l’entreprise aurait indiqué qu’elle examinait le rapport des chercheurs.
Comme toujours dans ce type de découverte, l’existence d’un test public et d’exemples techniques ne signifie pas automatiquement que toutes les configurations sont affectées, mais cela justifie une attention accrue de la part des utilisateurs soucieux de confidentialité.
Ce que vous pouvez retenir dès maintenant
Le point central du signalement tient en une idée : iCloud Private Relay peut être contourné dans certains cas, non pas parce que l’outil est « cassé » au sens simple, mais parce que WebKit peut déclencher des chemins réseau qui ne passent pas par le proxy prévu.
Si vous voulez minimiser le risque d’exposition, gardez en tête trois repères issus de la recherche : les comportements liés au DNS prefetching, les requêtes associées à WebAuthn et les connexions WebTransport. Selon la configuration, ces éléments peuvent contribuer à des fuites d’IP.
Enfin, si vous testez par vous-même avec la démonstration fournie, interprétez les résultats comme des indices conditionnels plutôt que comme une vérité universelle : tout dépend du navigateur, de la plateforme et de votre contexte réseau.
La confidentialité en navigation reste un objectif concret, mais elle demande une vigilance continue : lorsque le modèle de protection rencontre des détails d’implémentation, des écarts peuvent apparaître.
Source: https://thehackernews.com/2026/08/webkit-proxy-bypasses-can-expose-real.html
