Apple fait l’objet d’une action collective déposée par le cabinet Clarkson Law Firm autour d’iCloud Private Relay, une fonction comprise dans les offres iCloud+. La procédure reproche au groupe des pratiques publicitaires trompeuses, de fausses déclarations et de la fraude concernant les promesses de confidentialité associées au service.
Au cœur du dossier se trouve un scénario dans lequel l’adresse IP réelle d’un utilisateur pourrait être transmise à un site web. Cette donnée peut notamment servir au suivi, au profilage et au ciblage en ligne. La plainte conteste donc l’écart allégué entre la protection présentée par Apple et le comportement observé dans certaines interactions web.
Une protection de Safari contournée par les passkeys
Private Relay n’est pas un VPN. Apple le présente comme un mécanisme destiné à limiter le suivi de la navigation dans Safari en masquant l’adresse IP : le fournisseur d’accès voit la connexion vers un serveur Apple, tandis que le site visité reçoit une adresse IP générée par ce serveur.
Des chercheurs en sécurité ont toutefois établi qu’un site compatible avec les passkeys pouvait obtenir l’adresse IP réelle de l’utilisateur. D’après le mécanisme décrit, l’appareil effectue une requête hors du navigateur, qui ne passe donc pas par Private Relay, alors même que la consultation du site semble classique pour l’utilisateur.
Le cas ne concernerait pas uniquement les sites utilisant effectivement les passkeys. Selon ces chercheurs, un site se présentant comme compatible avec ce mode d’authentification pourrait aussi récupérer l’adresse IP réelle.
Clarkson accuse Apple d’avoir trompé les abonnés
Dans sa plainte, Clarkson Law Firm estime qu’Apple « savait, ou aurait dû savoir » que les déclarations contestées étaient fausses, trompeuses, mensongères et illégales au moment de la commercialisation des abonnements iCloud+. Tim Giordano, associé du cabinet, décrit l’affaire comme une atteinte grave à la confiance des consommateurs dans les engagements de confidentialité d’Apple.
Clarkson Law Firm avait déjà obtenu un accord de 250 millions de dollars dans une affaire liée au lancement retardé de Siri AI.
Ce que ça change
Pour les abonnés iCloud+, cette action met en lumière une limite potentielle de Private Relay face à des interactions liées aux passkeys. Le dossier pourrait surtout soumettre les messages d’Apple sur la confidentialité à un examen juridique précis, en distinguant la promesse de protection dans Safari des flux réseau réellement utilisés par l’appareil.
Pour les utilisateurs, l’enjeu est de comprendre que Private Relay réduit certaines possibilités de suivi, sans se substituer à toutes les protections qu’apporterait un VPN dans l’ensemble des communications réseau.
À lire aussi
- Cloudfare explique comment fonctionne iCloud Private Relay d’Apple
- Protéger son identité numérique quand on utilise un appareil Apple
- Les opérateurs européens s’opposent à iCloud Private Relay
Source : Clarkson Law Firm — plainte en recours collectif contre Apple
