Illustration technique sombre d'un iPhone avec une icône iCloud et un cadenas divisé pour montrer deux états de gestion des clés différents

Les photos iCloud sont-elles chiffrées de bout en bout ?

Par défaut, les photos iCloud ne sont pas chiffrées de bout en bout. Apple les stocke avec des clés de chiffrement qu'il contrôle et peut les déchiffrer lorsque la loi l'exige. L'activation de la protection avancée des données change cela : vos appareils de confiance détiennent les clés, pas Apple. ADP est optionnel, désactivé par défaut et nécessite la configuration d'une récupération avant de pouvoir l'activer.

Les photos iCloud sont chiffrées, mais avec la protection des données standard, Apple détient les clés de chiffrement et peut accéder à vos photos en réponse à une ordonnance judiciaire ou pour la récupération de compte. Avec la protection avancée des données activée, les photos iCloud deviennent véritablement chiffrées de bout en bout : vos appareils détiennent les clés, Apple ne détient rien. ADP doit être activé manuellement. Ce n'est pas la valeur par défaut et il a été supprimé pour les utilisateurs britanniques en février 2025 suite à une exigence gouvernementale qu'Apple ne pouvait pas refuser légalement.

Ce que signifie 'chiffré' quand Apple détient les clés

iCloud chiffre vos photos. Cette affirmation est vraie et aussi trompeuse si vous vous arrêtez là.

Avec la protection des données standard, la valeur par défaut pour chaque compte Apple, vos photos sont chiffrées en transit et stockées dans un format chiffré sur les serveurs d'Apple. Le chiffrement est réel. Ce que les petits caractères indiquent, c'est qu'Apple détient les clés de chiffrement dans des modules de sécurité matérielle dans ses propres centres de données. La documentation d'assistance d'Apple l'indique clairement : les serveurs Apple peuvent accéder aux clés, et Apple peut vous aider à récupérer vos données si vous perdez l'accès à votre compte.

Cette architecture a un nom : chiffrement côté serveur. Le fournisseur chiffre les données et le fournisseur détient la clé. Cela protège vos photos contre quelqu'un qui violerait la couche de stockage sans identifiants. Cela ne les protège pas contre Apple lui-même, contre une ordonnance judiciaire signifiée à Apple, ou contre une violation des systèmes de gestion des clés. Quand les journalistes et les chercheurs décrivent iCloud comme une cible pour les demandes des forces de l'ordre, c'est ce mécanisme qu'ils décrivent. Les données sont récupérables parce qu'Apple peut les récupérer.

Ce n'est pas un défaut caché. Apple le publie dans son aperçu de la sécurité des données iCloud. C'est le compromis délibéré pour la récupération de compte : vous pouvez récupérer vos photos après avoir perdu votre appareil précisément parce qu'Apple peut les déchiffrer en votre nom.

Quinze catégories de données iCloud sont chiffrées de bout en bout avec la protection standard, y compris Mots de passe et Trousseau, données de Santé, et quelques autres. Photos iCloud, la sauvegarde iCloud, Notes et la plupart des autres ne le sont pas.

La protection avancée des données : quand les photos iCloud deviennent véritablement chiffrées de bout en bout

La protection avancée des données pour iCloud, qu'Apple a annoncé le 7 décembre 2022, change le modèle de gestion des clés pour la plupart de vos données iCloud. Lorsque ADP est activé, vos appareils de confiance détiennent les clés de chiffrement, pas Apple. Le nombre de catégories de données protégées par le chiffrement de bout en bout passe de 15 à 25, et les photos iCloud font partie des ajouts.

Une note sur ce décompte de catégories : l'annonce originale d'Apple en décembre 2022 indiquait que la couverture s'étendait de 14 à 23 catégories. Les pages d'assistance Apple actuelles indiquent 25. Apple a élargi la couverture ADP depuis son lancement. Cet article utilise 25 comme chiffre actuel tiré de la documentation d'assistance Apple en direct, et note l'écart par souci d'exactitude.

Ivan Krstić, responsable de l'ingénierie et de l'architecture de sécurité d'Apple, l'a décrit au lancement : La protection avancée des données est le niveau de sécurité des données cloud le plus élevé d'Apple, donnant aux utilisateurs le choix de protéger la grande majorité de leurs données iCloud les plus sensibles avec un chiffrement de bout en bout afin qu'elles ne puissent être déchiffrées que sur leurs appareils de confiance.

Cette description est exacte. Avec ADP activé, Apple ne détient pas les clés nécessaires pour déchiffrer les photos de votre bibliothèque personnelle. Apple peut toujours être en mesure de fournir des données chiffrées et des métadonnées de compte ou de service associées en réponse à une demande légale valide ; l’essentiel est qu’il ne peut pas remettre en clair le texte chiffré d’une photo protégée. Les albums partagés et autres catégories exclues utilisent un modèle de protection différent.

ADP est une réelle amélioration de la confidentialité. Avec ADP activé, iCloud devient un véritable stockage de photos chiffrées de bout en bout. Si vous utilisez iCloud pour des photos que vous souhaitez garder privées et que vous n'êtes pas au Royaume-Uni, activer ADP vaut l'effort de configuration.

Ce qu'ADP ne protège toujours pas

La couverture est large mais pas totale. Trois catégories restent en dehors du chiffrement de bout en bout même avec ADP activé.

Mail, Contacts et Calendrier. La justification d'Apple est l'interopérabilité : ces services échangent des données avec des systèmes externes, serveurs de messagerie, fournisseurs CalDAV, services CardDAV, et le chiffrement standard est nécessaire pour que cet échange fonctionne. Apple chiffre ces données mais détient les clés.

Albums partagés dans Photos. Un album partagé avec d'autres personnes ou publié avec une URL 'toute personne disposant du lien' est accessible sur le Web. Cet accès exige qu'Apple soit capable de servir le contenu, ce qui nécessite des clés côté serveur. Les photos de votre bibliothèque personnelle sont chiffrées de bout en bout avec ADP activé ; les mêmes photos dans un album partagé ne le sont pas.

Collaboration iWork. L'édition en temps réel de documents Keynote, Numbers et Pages partagés passe par les serveurs d'Apple pour la médiation. Cette coordination nécessite un accès serveur au contenu.

Ce ne sont pas des négligences d'Apple. Ce sont les coûts architecturaux des fonctionnalités qui nécessitent un serveur au milieu. Si vous voulez des photos chiffrées de bout en bout, gardez-les hors des Albums partagés.

Comment vérifier si ADP est activé et comment l'activer

ADP n'est pas activé par défaut. Pour vérifier : ouvrez Réglages sur votre iPhone, appuyez sur votre nom en haut, appuyez sur iCloud, faites défiler jusqu'en bas et appuyez sur Protection avancée des données. Si vous voyez 'la protection avancée des données est activée', il est activé. Si vous voyez une invite pour l'activer, il ne l'est pas.

L'activation nécessite deux choses qu'Apple demandera avant que le commutateur fasse quoi que ce soit : l'authentification à deux facteurs sur votre compte Apple et au moins une méthode de récupération, soit un contact de récupération (une autre personne disposant d'un appareil Apple), soit une clé de récupération (une chaîne de 28 caractères que vous conservez dans un endroit sûr). C'est obligatoire, pas optionnel. Apple ne peut pas vous aider à récupérer des données chiffrées de bout en bout si vous perdez l'accès, vous devez donc fournir votre propre chemin de récupération avant qu'ADP s'active.

L'activation d'ADP sur un appareil l'active pour l'ensemble de votre compte Apple sur tous les appareils compatibles. C'est à l'échelle du compte. Les appareils doivent être sous iOS 16.2, iPadOS 16.2, macOS 13.1 ou ultérieur.

La question de la durabilité : ce qui s'est passé au Royaume-Uni

En février 2025, Apple a retiré la protection avancée des données des utilisateurs britanniques. La cause immédiate était un Technical Capability Notice émis par le ministère de l'Intérieur britannique en vertu de l'Investigatory Powers Act, exigeant qu'Apple fournisse un accès aux données utilisateur chiffrées stockées dans iCloud.

Plutôt que de construire une porte dérobée, Apple a retiré ADP pour le Royaume-Uni. Les utilisateurs britanniques qui avaient déjà activé ADP ont reçu des alertes le 21 février 2025 leur demandant de le désactiver ou de risquer de perdre l'accès à leurs comptes iCloud. Les nouveaux utilisateurs britanniques ne peuvent pas activer ADP du tout. Les 15 catégories chiffrées par défaut restent protégées ; tout le reste, Photos, Backup, Notes et le reste des 25 catégories ADP, est revenu au chiffrement standard (Apple détient les clés) pour les comptes britanniques.

L'avis original demandait apparemment l'accès aux données iCloud de tous les utilisateurs mondiaux. Après une pression importante de la part de législateurs américains et, selon des rapports d'août 2025, une déclaration du Directeur national du renseignement américain selon laquelle le Royaume-Uni avait retiré la demande plus large, le ministère de l'Intérieur a modifié l'ordonnance pour ne couvrir que les utilisateurs britanniques. Apple a ensuite abandonné son recours judiciaire contre l'avis révisé. L'Investigatory Powers Tribunal a rejeté l'appel le 14 octobre 2025, citant un 'changement de circonstances'.

La déclaration d'Apple à ce moment : 'Nous sommes profondément déçus que les protections offertes par ADP ne soient pas disponibles pour nos clients au Royaume-Uni, étant donné la hausse continue des violations de données et d'autres menaces pour la confidentialité des clients.'

En juin 2026, ADP reste indisponible pour les utilisateurs britanniques selon la propre page d'assistance d'Apple sur support.apple.com/en-gb/122234. Privacy International et Liberty ont des recours juridiques actifs contre les ordonnances de surveillance du ministère de l'Intérieur prévus jusqu'en 2026, mais ces affaires visent à contester les ordonnances, pas à restaurer ADP comme résultat à court terme. La question de savoir si ADP reviendra au Royaume-Uni est ouverte sans réponse confirmée au moment de la rédaction de cet article.

Le cas britannique est pertinent pour les utilisateurs du monde entier pour une raison : c'est une preuve de concept documentée. Un gouvernement peut forcer la désactivation d'un commutateur au niveau de la plateforme pour tous les utilisateurs d'un pays entier sans que ces utilisateurs soient individuellement ciblés ou notifiés. Le mécanisme, un avis secret sous une loi de sécurité nationale, n'est pas unique au Royaume-Uni. L'Investigatory Powers Act a des équivalents dans d'autres juridictions. Il ne s'agit pas d'alarmer ; il s'agit du fait que 'la plateforme promet un chiffrement de bout en bout' est différent de 'la capacité de la plateforme à fournir un chiffrement de bout en bout est juridiquement durable'. Ce sont deux affirmations distinctes.

La place de Vaultaire : une architecture différente

Vaultaire est une architecture différente, pas un remplacement de tout ce qu'ADP fait.

ADP est au niveau de la plateforme, lié au compte et couplé au cloud. Les données vivent toujours dans iCloud ; l'innovation est qu'Apple ne détient plus la clé. Vous obtenez la synchronisation d'iCloud, l'accès multi-appareils et la sauvegarde, avec la gestion des clés transférée vers vos appareils. C'est un bon compromis pour la plupart des gens.

Vaultaire privilégie le stockage local. Vos fichiers de coffre ne sont pas envoyés vers un serveur par défaut. Un motif dessiné sur la grille 5x5 et un sel propre à l'appareil passent par PBKDF2-HMAC-SHA512 pour dériver la clé du coffre local. Cette clé authentifie l'index chiffré et désencapsule une clé principale aléatoire distincte utilisée pour le chiffrement AES-256-GCM des fichiers. Les champs de récupération sont conservés dans une base de données Keychain chiffrée en AES-GCM ; ils ne sont pas absents du stockage de l'appareil.

Pour la sauvegarde iCloud chiffrée, activée par défaut, Vaultaire dérive une clé de sauvegarde distincte, indépendante de l'appareil, à partir du motif et chiffre le contenu des enregistrements CloudKit sur l’appareil. Apple reçoit le texte chiffré, les métadonnées d'enregistrement et de transfert, ainsi qu'un manifeste de récupération chiffré, et non une clé de sauvegarde en clair. La phrase de récupération personnalisée de 9 mots distincts dérive une autre clé qui peut ouvrir ce manifeste lorsque les enregistrements chiffrés correspondants restent disponibles.

Les limites du fournisseur sont spécifiques : Vaultaire n'exploite aucun service qui détiendrait un coffre lisible ou une clé de sauvegarde en clair. Une violation du fournisseur peut toujours exposer le texte chiffré et les métadonnées du service, tandis que le client, iOS, Keychain, les identifiants de récupération et un appareil déverrouillé restent dans le modèle de confiance.

La différence avec ADP tient à qui garde le contrôle. Avec ADP et Photos iCloud, votre bibliothèque est synchronisée sur tous les appareils et récupérable via le modèle de récupération configuré par Apple. Vaultaire envoie des données du coffre vers CloudKit pour la sauvegarde (activée par défaut, désactivable dans les Réglages), et pour la synchronisation ou le partage seulement si vous les configurez ; sa restauration CloudKit dépend de la phrase de récupération personnalisée ainsi que des enregistrements chiffrés correspondants. Les sauvegardes iOS ou sur ordinateur, distinctes, sont contrôlées au niveau du système d’exploitation. Vaultaire n'a pas de clé de secours détenue par Wraxle.

Aucun des deux modèles n’est strictement supérieur. ADP ajoute une protection de bout en bout aux catégories iCloud prises en charge tout en conservant la synchronisation et la récupération iCloud. Vaultaire n'a pas besoin de compte d'identité, et sa sauvegarde CloudKit chiffrée côté client est activée par défaut, car un seul appareil est trop fragile ; vous pouvez la désactiver dans Réglages. Aucun des deux choix ne retire du modèle de menace le terminal, le chemin de récupération, les métadonnées, les réglages de sauvegarde du système d'exploitation ou l'implémentation du client.

Vous pouvez utiliser les deux. La plupart des personnes qui utilisent Vaultaire continuent à utiliser Photos iCloud pour leur bibliothèque quotidienne, avec ADP activé.

Sources

Questions fréquentes

Les photos iCloud sont-elles chiffrées de bout en bout par défaut ?

Non. Avec la protection des données standard, Apple stocke les photos iCloud en utilisant des clés de chiffrement qu'il contrôle dans ses propres centres de données. Apple peut déchiffrer vos photos lorsque cela est nécessaire : pour la récupération de compte et en réponse à des ordonnances judiciaires valides. Seules 15 catégories de données iCloud sont chiffrées de bout en bout par défaut ; Photos n'en fait pas partie.

Que fait vraiment la protection avancée des données pour mes photos ?

Avec ADP activé, les photos iCloud rejoignent les 25 catégories de données iCloud qui utilisent le chiffrement de bout en bout. Vos appareils de confiance détiennent les clés, pas Apple. Apple ne peut pas lire vos photos, ne peut pas les transmettre en réponse à une ordonnance judiciaire pour des données iCloud, et ne peut pas les récupérer si vous perdez votre compte. La récupération est de votre responsabilité, c'est pourquoi ADP exige la configuration d'un contact de récupération ou d'une clé de récupération avant de s'activer.

Apple peut-il voir mes photos iCloud ?

Avec la protection des données standard : oui, Apple peut accéder aux photos iCloud et les déchiffrer lorsque cela est nécessaire. Avec la protection avancée des données : non, Apple ne détient aucune clé pour vos données chiffrées de bout en bout. Les 15 catégories par défaut, y compris les mots de passe de Santé et du Trousseau, sont toujours inaccessibles à Apple quel que soit l'état d'ADP.

Comment activer la protection avancée des données ?

Ouvrez Réglages, appuyez sur votre nom, appuyez sur iCloud, faites défiler jusqu'en bas et appuyez sur Protection avancée des données. Vous aurez besoin d'une authentification à deux facteurs activée et d'au moins une méthode de récupération configurée au préalable, soit un contact de récupération, soit une clé de récupération. Les appareils doivent être sous iOS 16.2 ou ultérieur. L'activation sur un appareil l'active pour l'ensemble de votre compte Apple.

Quelles données ne sont pas couvertes par la protection avancée des données ?

Mail, Contacts et Calendrier ne sont pas chiffrés de bout en bout même avec ADP activé, car ils doivent échanger des données avec des serveurs externes. Les Albums partagés dans Photos ne sont pas non plus chiffrés de bout en bout : ils sont accessibles sur le Web. Les documents de collaboration en temps réel iWork ne sont pas couverts non plus. Tout ce qui est partagé 'avec toute personne disposant du lien' est en dehors de la protection ADP.

Le gouvernement peut-il accéder à mes photos iCloud via Apple ?

Avec la protection des données standard, oui : une ordonnance judiciaire valide signifiée à Apple peut entraîner la remise de vos photos. Avec ADP activé, Apple ne détient aucune clé à transmettre. Le cas britannique de février 2025 a montré qu'un gouvernement peut également forcer une plateforme à désactiver ADP pour tout un pays, faisant passer les utilisateurs d'une protection de bout en bout à une protection standard sans leur consentement individuel.

Qu'est-ce qu'un coffre-fort de photos iCloud ?

L'expression décrit l'utilisation de Photos iCloud comme endroit pour stocker des photos sensibles. Avec ADP activé, Photos iCloud fonctionne comme un véritable stockage de photos cloud chiffré de bout en bout. La limite pratique est que cela reste lié au compte : l'accès nécessite votre compte Apple, et la durabilité du chiffrement dépend de la capacité d'Apple à le maintenir sous pression judiciaire dans votre juridiction.

Existe-t-il un moyen de stocker des photos auxquelles Apple ne peut pas accéder ?

Oui, de deux manières. D'abord, la protection avancée des données garde les clés de déchiffrement des photos iCloud protégées hors de portée d'Apple. Ensuite, un coffre local peut conserver les fichiers hors du stockage cloud ou les chiffrer sur l'appareil avant un envoi (la sauvegarde de Vaultaire est activée par défaut et désactivable). Apple peut toujours détenir du texte chiffré et des métadonnées de compte et de service, mais pas de clé de contenu en clair pour ces fichiers protégés.

Télécharger Vaultaire gratuitement