Apple colmate la faille « Masquer mon adresse e-mail » : la fonction iCloud+ exposait vos vraies adresses

Résultat : un expéditeur qui connaissait un alias pouvait, en quelques minutes et avec peu de compétences techniques, obtenir la vraie adresse derrière cet alias. Chaque adresse devait être ciblée individuellement. Les chercheurs précisent que chez beaucoup de grands fournisseurs, le simple rejet automatique d'un e-mail légitime détecté comme spam suffisait à déclencher la fuite. L'abonné ne voyait rien dans sa boîte de réception.

Apple était informée depuis le 13 juin 2025. Deux tentatives de correctif ont échoué (mars 2026 et 30 juin 2026) avant que le 3 juillet ne marque un début de déploiement. Nuance à retenir : AppleInsider a reproduit la faille le 17 juillet sur certains serveurs de messagerie, deux semaines après le patch annoncé. Le déploiement semble avoir été progressif côté serveur. Apple n'a pas répondu aux questions sur ce point.

Une class action, une promesse payante et des alternatives

L'inaction d'Apple pendant treize mois est au cœur d'une class action déposée le 15 juillet devant le tribunal fédéral du district Nord de la Californie. Le recours collectif Alvarez v. Apple reproche à l'entreprise d'avoir commercialisé « Masquer mon adresse e-mail » comme une protection de confidentialité payante tout en sachant, depuis au moins juin 2025, qu'elle ne fonctionnait pas. La procédure vise aussi bien la version complète d'iCloud+ que les adresses relais gratuites générées via Sign in with Apple. La plainte est sèche sur ce point : à aucun moment Apple n'a désactivé la fonction, prévenu ses utilisateurs ou corrigé ses engagements publics en matière de vie privée.

La situation concerne aussi les abonnés iCloud+ en France pour une raison concrète. Les adresses créées avant le 7 juillet 2026 ont potentiellement vu leur vraie adresse fuitée dans des logs de messagerie, sans qu'il soit possible de le vérifier soi-même. La fonctionnalité reste active, le correctif est en place. Mais si votre alias a été ciblé pendant cette fenêtre, l'information a peut-être transité quelque part.

Si vous souhaitez une alternative moins dépendante des délais de patch propriétaires, des services comme SimpleLogin (intégré à Proton Mail) ou Firefox Relay proposent le même principe d'alias e-mail, en open source, avec des politiques de transparence plus explicites. La décision de changer d'outil dépend de votre niveau d'exposition et de confiance dans l'écosystème Apple.

Apple présente « Masquer mon adresse e-mail » comme un outil pour « garder votre adresse personnelle privée ». La formulation est calibrée : elle ne promet pas l'anonymat. Pour les abonnés qui ont payé en faisant confiance à l'esprit de la fonctionnalité plutôt qu'à sa lettre, la class action californienne est peut-être l'endroit où cette nuance sera testée.