Dans des tests limités, 100 % des adresses générées par Apple via Hide My Email auraient permis de retrouver l’adresse réelle associée au compte, selon le chercheur Tyler Murphy. Signalée il y a plus d’un an puis vérifiée par 404 Media, la faille n’aurait toujours pas été corrigée.
Le bug casse la promesse centrale de Hide My Email
Apple vend Hide My Email comme une couche simple de protection : vous générez une adresse aléatoire, le service relaie les messages vers votre vraie boîte, et le site tiers ne voit jamais votre adresse personnelle. Sur le papier, le principe est clair. Selon la documentation officielle d’Apple, ces adresses servent à remplir un formulaire web, créer un compte, utiliser Apple Pay ou même rédiger un message depuis Mail, tout en gardant l’adresse réelle hors de portée du service en face. Selon Apple, les messages reçus sur ces alias sont ensuite transférés vers votre adresse personnelle associée au compte Apple.
Le problème, ici, est brutal : un chercheur en sécurité affirme qu’un attaquant peut retrouver l’adresse réelle liée au compte. Et pas de façon marginale. Les tests évoqués dans la source parlent d’un taux de réussite de 100 % sur les adresses générées. Si ce chiffre se confirme à grande échelle, Hide My Email ne se contente plus de fuir sur quelques cas limites : il échoue précisément sur sa fonction principale, à savoir masquer l’identité de contact de l’utilisateur.
Autre point gênant : la faille n’aurait pas été corrigée malgré un signalement ancien. D’après le calendrier rapporté, Tyler Murphy, cofondateur d’EasyOptOuts, a alerté Apple en juin 2025. L’entreprise aurait indiqué en mars 2026 que le problème était corrigé, avant qu’une nouvelle vérification ne montre le contraire. La publication publique intervient donc après plus d’un an d’attente et après une nouvelle promesse de correction annoncée pour juin 2026, sans effet visible à date du 2 juillet 2026.
Ce que fait réellement Hide My Email, selon Apple
Avant de mesurer la gravité du bug, il faut rappeler le fonctionnement normal du service. Selon la documentation d’Apple, Hide My Email permet de créer “autant d’adresses que nécessaire”. Ces alias peuvent être étiquetés, désactivés ou supprimés. Ils peuvent être générés dans Safari, dans Mail sur iPhone, iPad, Mac et sur iCloud.com, dans Apple Pay, dans les réglages système et dans certaines apps tierces compatibles. C’est donc un outil très large, pas une option de niche cachée dans iCloud.
Selon Apple, Hide My Email nécessite iOS 15, iPadOS 15, macOS 12 ou une version ultérieure. Ce point compte, car il confirme que la base d’utilisateurs potentiellement exposés couvre plusieurs générations d’appareils encore largement en circulation. L’exposition n’est donc pas limitée à une bêta ou à une fonctionnalité réservée aux développeurs.
Le service est inclus dans iCloud+. En France, selon la page officielle d’Apple, l’abonnement démarre à 0,99 € par mois pour 50 Go, passe à 2,99 € pour 200 Go, 9,99 € pour 2 To, 29,99 € pour 6 To et 59,99 € pour 12 To. Hide My Email n’est donc pas un bonus expérimental : c’est une fonctionnalité rattachée à une offre payante grand public, commercialisée comme une brique de confidentialité.
Pourquoi la faille est plus grave qu’un simple bug d’email
Je le dis clairement : ce bug touche un identifiant pivot. Une adresse email ne sert pas seulement à recevoir des newsletters. Elle relie des comptes, des achats, des profils sociaux, des espaces clients, des historiques de connexion et parfois des informations publiques issues de courtiers en données.
TechCrunch rappelait déjà en mars 2026 qu’Apple peut associer des adresses Hide My Email à un compte donné dans le cadre de réquisitions légales. Le média citait un cas où des documents de procédure mentionnaient 134 comptes email anonymisés créés via Hide My Email pour un même client. Cela ne prouve pas la faille actuelle, mais cela confirme une chose essentielle : ces alias ont une vraie valeur d’identification et de corrélation dès lors qu’un lien avec le compte d’origine existe quelque part dans la chaîne technique.
Le risque concret est facile à comprendre. Une personne utilise un alias pour s’inscrire sur une boutique, une appli de rencontre, un service de santé, un site militant ou un outil professionnel. Si l’alias permet de remonter à l’adresse réelle, la séparation voulue disparaît. Et avec elle, la barrière entre vie publique, vie privée et comptes sensibles.
Le dossier révèle aussi un problème de délai chez Apple
Le fond technique compte. Le délai compte tout autant. Quand un éditeur est alerté en juin 2025, annonce une correction en mars 2026, puis laisse la faille exploitable jusqu’en juillet 2026, le sujet dépasse le simple incident. Il devient un problème de traitement de vulnérabilité.
La position de 404 Media, qui dit avoir vérifié l’existence du problème sans publier la méthode d’exploitation, montre d’ailleurs que la rédaction a jugé le risque encore actif. C’est un signal fort. Dans la pratique, cela signifie que des utilisateurs paient pour un service de masquage dont la promesse de base est contestée, alors même qu’aucune note de sécurité publique d’Apple ne documente encore de correctif final identifié.
À ce stade, l’absence de détails techniques protège les utilisateurs contre un tutoriel prêt à l’emploi. Mais elle laisse aussi les abonnés dans une zone grise : on sait qu’un risque existe, on ne sait pas exactement quels scénarios l’activent, ni quels comportements l’évitent à coup sûr.
Le changement de domaine vers private.icloud.com n’efface pas le problème
Un autre élément nouveau mérite d’être isolé. Le 15 juin 2026, Apple a annoncé sur son portail développeurs l’unification des domaines utilisés par Sign in with Apple et iCloud+ Hide My Email sous un domaine commun : private.icloud.com. Les nouvelles adresses générées “plus tard cet été” doivent utiliser ce domaine, tandis que les anciennes adresses sur privaterelay.appleid.com et icloud.com continueront de fonctionner sans interruption.
Mon avis est simple : ce changement de domaine est structurant pour l’écosystème, mais il ne répond pas au cœur de l’alerte actuelle. Modifier le suffixe visible d’un alias ne corrige pas automatiquement une faiblesse qui permettrait de relier cet alias à l’adresse source. En clair, un nouvel habillage DNS ne vaut pas patch de sécurité.
Ce basculement ajoute même une contrainte opérationnelle pour les sites et fournisseurs email. Selon Apple, les développeurs et les opérateurs doivent mettre à jour leurs règles de validation, leurs listes d’autorisation et leurs filtres pour accepter private.icloud.com en plus des anciens domaines. C’est utile pour la délivrabilité, mais ce n’est pas une réponse à la vulnérabilité signalée.
Ce que la source d’origine ne disait pas, et que les recherches ajoutent
1. Hide My Email est disponible dans bien plus de contextes que l’article initial ne le laissait entendre
Selon Apple, le service fonctionne dans le web, l’email, le paiement et certaines apps tierces. Cela élargit fortement la surface d’usage. Plus un alias circule dans des contextes variés, plus son exposition potentielle devient critique.
2. Le service permet de créer un nombre non communiqué d’alias, présenté comme “autant d’adresses que nécessaire”
Cette formulation officielle compte. Elle suggère un usage massif possible par un même abonné. Si un utilisateur génère des dizaines d’alias, l’impact ne se limite plus à une fuite ponctuelle : il peut toucher toute sa stratégie de cloisonnement email.
3. Apple prépare une bascule de domaine à l’échelle de son écosystème
Le passage vers private.icloud.com, annoncé le 15 juin 2026, est un élément absent de nombreux résumés rapides. Il montre que l’architecture évolue en parallèle de la polémique. Mais encore une fois, cette évolution n’apporte pas en soi de garantie de correction.
4. La concurrence n’offre pas le même modèle fonctionnel
Selon DuckDuckGo, son service Email Protection est gratuit et permet de créer un nombre illimité d’adresses privées, tout en supprimant plusieurs types de traceurs cachés dans les emails. Selon Proton, l’offre gratuite de Proton Pass inclut 10 alias hide-my-email, tandis que les offres payantes passent à un volume illimité. Cette comparaison est utile, car elle montre qu’Apple ne domine pas seul ce créneau, et que les utilisateurs ont déjà des alternatives avec des philosophies différentes : intégration système chez Apple, suppression de trackers chez DuckDuckGo, gestionnaire d’identifiants et alias chez Proton.
5. Hide My Email relève d’une fonction payante, pas d’un bonus gratuit universel
Selon la grille iCloud+ d’Apple, l’accès démarre à 0,99 € par mois. Cela change la lecture du dossier. Quand une fonction de confidentialité est monétisée, la tolérance au défaut chute. Le client ne teste pas une option bêta : il achète une promesse.
Deux métriques dérivées pour mesurer l’offre Apple
Première métrique : le coût mensuel par téraoctet chez Apple diminue fortement à mesure que l’on monte en gamme. Selon la grille officielle, 2 To à 9,99 € reviennent à environ 5,00 € par To et par mois. L’offre 6 To à 29,99 € reste aussi à environ 5,00 € par To. En revanche, 12 To à 59,99 € montent à environ 5,00 € également, quasi au même niveau. L’optimisation tarifaire est donc plate à partir de 2 To : on paie surtout l’échelle, pas un meilleur rendement unitaire.
Deuxième métrique : le passage de 50 Go à 200 Go multiplie la capacité par 4, alors que le prix n’est multiplié que par 3,02, de 0,99 € à 2,99 €. Le coût par Go baisse donc d’environ 24 %. C’est utile pour rappeler que Hide My Email est souvent acheté dans un bundle où le stockage sert de produit d’appel, la confidentialité venant renforcer la valeur perçue.
Le vrai cas d’usage à risque n’est pas la newsletter, mais l’agrégation d’identité
L’usage marketing “éviter le spam” est le plus visible. Ce n’est pas le plus sensible. Le cas d’usage critique, c’est l’utilisateur qui cloisonne ses identités : un alias pour les achats, un autre pour les échanges ponctuels, un autre pour les inscriptions temporaires, un autre pour les comptes personnels sensibles.
Si un attaquant peut faire correspondre l’alias et l’adresse réelle, il peut ensuite rapprocher cette adresse de bases de données publiques ou commerciales. TechCrunch rapportait justement l’argument de Tyler Murphy : des sites publics de recherche de personnes permettent déjà de relier facilement une adresse email à d’autres données personnelles. Dit autrement, l’email n’est pas qu’un contact. C’est une clé de rapprochement.
Dans ce contexte, la promesse de Hide My Email n’est pas seulement de masquer une chaîne de caractères. Elle consiste à casser la corrélation. Si cette corrélation redevient possible, même sans détail public sur l’exploit, la valeur défensive du produit chute fortement.
Face à la concurrence, Apple a un avantage d’intégration, mais il ne suffit plus
Apple garde un avantage clair : l’intégration native. L’utilisateur n’a pas besoin d’extension, de changement d’habitude majeur ni d’application dédiée pour générer un alias dans plusieurs flux du quotidien. C’est pratique. Et c’est probablement pour cela que le service a trouvé sa place dans iCloud+.
Mais la concurrence a aussi ses arguments. Selon DuckDuckGo, Email Protection est gratuit, crée des adresses illimitées et retire des traceurs cachés dans les emails. Selon Proton, l’offre gratuite propose déjà 10 alias, et les offres payantes ajoutent l’illimité, l’envoi depuis l’alias et d’autres briques de sécurité. Autrement dit, si la fiabilité du masquage devient discutable chez Apple, l’avantage de confort peut vite paraître insuffisant face à des solutions spécialisées.
Ce que les utilisateurs d’iCloud+ peuvent retenir maintenant
À ce stade, le point dur est simple : Hide My Email reste officiellement présenté par Apple comme un outil capable de masquer votre adresse personnelle, mais un chercheur et 404 Media affirment qu’une faille permet encore de retrouver cette adresse au 1er juillet 2026, après un premier signalement remontant à juin 2025. Le 2 juillet 2026, aucune communication publique d’Apple trouvée lors de cette recherche ne confirme un correctif final déployé.
En clair, l’outil reste pratique, mais son niveau de confiance vient de prendre un coup sérieux. Pour les usages peu sensibles, il conserve un intérêt de filtrage et d’organisation. Pour les usages à fort enjeu de dissociation d’identité, la prudence s’impose tant qu’Apple n’a pas documenté une correction précise et vérifiable.
Source de référence
Documentation officielle d’Apple sur Hide My Email et l’évolution vers private.icloud.com : https://developer.apple.com/news/?id=sus6t6ab
Mon avis :
Le point fort, c’est la transparence du signalement public après plus d’un an sans correctif annoncé; le point faible, bien plus grave, est produit: si des tests indépendants confirment qu’une adresse masquée révèle l’adresse réelle, Hide My Email perd sa promesse centrale de confidentialité et la confiance avec.
