VPN, relais privé iCloud et DNS chiffré : j’ai arrêté de les empiler et regardé lequel protégeait vraiment ma session

Mon iPhone avait trois protections activées. C’était justement le problème.

J’étais dans un espace de coworking avec un PDF signé à renvoyer. Le lien d’authentification s’ouvrait dans Safari, le document partait depuis une application de stockage cloud et la confirmation devait arriver dans Mail.

Sur le téléphone, j’avais le relais privé iCloud. J’avais aussi installé un profil DNS chiffré. Et, après avoir lu les nouvelles du mois d’août sur des fuites d’adresse IP liées à Private Relay, j’avais réactivé un VPN.

Dans ma tête, l’équation était rassurante :

VPN + relais privé + DNS chiffré = trois couches.

Puis le Wi-Fi du coworking a commencé à faiblir. L’envoi s’est arrêté. Le téléphone a brièvement basculé sur le réseau mobile. L’icône du VPN était toujours là. Le profil DNS figurait toujours dans les réglages. Private Relay était toujours activé.

Et je me suis rendu compte que je ne pouvais répondre à une question pourtant élémentaire :

lequel de ces trois mécanismes protégeait réellement le trafic que j’essayais d’envoyer ?

La nouvelle qui m’avait poussé à tout empiler avait déjà changé

Mon excès de prudence ne sortait pas de nulle part.

Le 4 août 2026, les chercheurs Talal Haj Bakry et Tommy Mysk ont décrit trois comportements de WebKit capables de faire sortir certaines requêtes du chemin prévu par un proxy. Dans leurs tests, cela pouvait révéler le DNS réel ou l’adresse IP réelle malgré iCloud Private Relay. Un VPN correctement configuré au niveau de l’appareil n’était pas touché par ces mécanismes précis, parce qu’il captait le trafic à un niveau différent.

C’est exactement le genre de nouvelle qui m’avait fait penser : très bien, je vais garder Private Relay et ajouter autre chose par-dessus. Sauf que le contexte avait déjà évolué.

Le 17 août, Apple a apporté des changements dans iOS et iPadOS 26.6.1 ainsi que macOS Tahoe 26.6.2. Quand les chercheurs ont refait leurs tests, ils ne parvenaient plus à reproduire les fuites affectant Private Relay sur ces versions mises à jour.

J’avais donc fait quelque chose de très humain : une faille m’avait inquiété, j’avais ajouté des protections, puis j’avais continué à les empiler après avoir mis le téléphone à jour.

À ce stade, mon problème n’était plus seulement la confidentialité.

Je ne savais plus exactement quelle couche faisait quoi.

Private Relay protégeait déjà mon Safari, pas toute ma matinée

J’avais longtemps pensé à Private Relay comme à un petit VPN Apple. Cette comparaison est pratique, mais elle m’avait induit en erreur.

Apple le présente avant tout comme une protection de la navigation Safari. La connexion protégée passe par deux relais : le premier connaît l’adresse IP de départ sans connaître le site demandé ; le second connaît la destination sans recevoir l’adresse IP d’origine. Les enregistrements DNS concernés sont eux aussi chiffrés.

Pour moi, la manière la plus simple de le comprendre est devenue celle-ci :

Private Relay protège très bien une certaine porte. Il ne transforme pas automatiquement tout l’immeuble en tunnel.

Or mon PDF n’était pas envoyé par Safari. Ma messagerie n’était pas Safari. Une partie importante de ce que j’essayais de terminer se passait dans d’autres applications.

Je n’avais donc plus besoin de demander :

« Private Relay est-il suffisamment privé ? »

La question utile était :

« son périmètre correspond-il à ce que je veux protéger maintenant ? »

Ce matin-là, non.

Mon DNS chiffré répondait encore à une autre question

Restait mon profil DNS. Là encore, j’avais fini par lui attribuer plus de pouvoirs qu’il n’en avait réellement.

iOS et macOS peuvent utiliser nativement DNS over HTTPS ou DNS over TLS. Autrement dit, la demande qui revient à demander « où se trouve ce domaine ? » peut elle-même être chiffrée entre l’appareil et le résolveur choisi.

L’image qui m’a finalement aidé est celle d’un annuaire. Le DNS me donne l’adresse. Le DNS chiffré empêche quelqu’un sur le chemin de lire aussi facilement la page de l’annuaire que je consulte. Mais il ne prend pas ensuite ma voiture, ne ferme pas les fenêtres et ne conduit pas tout mon trafic jusqu’à destination.

Le RFC consacré à DNS over HTTPS rappelle d’ailleurs que chiffrer les requêtes DNS ne supprime pas les autres informations réseau susceptibles de permettre une corrélation, notamment l’adresse IP. Un VPN répond à une partie plus large du problème.Je venais donc de comprendre pourquoi mon équation initiale sonnait mieux qu’elle ne fonctionnait.

VPN, Private Relay et DNS chiffré n’étaient pas trois cadenas placés sur la même porte.

C’étaient trois outils qui ne protégeaient ni exactement la même chose, ni exactement au même endroit.

Je n’étais manifestement pas le seul à m’y perdre. Le 24 août, un utilisateur d’iPhone décrivait publiquement presque le même casse-tête : il voulait empêcher son fournisseur d’accès de construire trop facilement un historique de navigation, tout en conservant le filtrage système de publicités, de trackers et de domaines malveillants fourni par un DNS personnalisé.

C’était très proche de mon propre raisonnement. J’avais plusieurs objectifs. J’avais fini par croire qu’il me fallait donc plusieurs couches actives simultanément.

J’ai arrêté de tester les interrupteurs et repris mon PDF

J’ai remis le téléphone dans une configuration volontairement simple. Pas de profil DNS personnalisé pendant le test. Pas de Private Relay superposé. Une seule connexion VPN au niveau de l’appareil.

C’est à ce moment-là que j’ai ouvert OnlydogVPN^↗.

Je ne cherchais plus à obtenir un quatrième symbole de protection dans mes réglages. Je voulais qu’une même connexion accompagne Safari, l’application cloud et Mail, puis survive au passage du Wi-Fi aux données mobiles sans me renvoyer dans les menus.

J’ai lancé le mode prévu pour ce type de réseau. Puis je suis retourné à mon document. Le portail d’authentification s’est chargé. Validation.

Retour dans l’application cloud. L’envoi est reparti. Cette fois, je n’ai plus regardé l’application VPN. Soixante pour cent.

Soixante-dix. J’ai commencé à ranger mes affaires et quitté la partie du coworking où le Wi-Fi était le plus fort. Le téléphone a basculé vers les données mobiles. La barre a hésité un instant.

Puis elle a continué. Quatre-vingt-dix. Cent pour cent. J’ai ouvert Mail.

Le message de confirmation était arrivé.

Voilà le résultat que j’essayais d’obtenir depuis le début.

Pas trois protections théoriquement actives. Le document envoyé.

Dans cette configuration, le service utilisait un transport basé sur HTTP/3. Ce qui m’intéressait n’était pas d’ajouter le nom d’un protocole à ma pile, mais son effet concret : la connexion avait continué quand le chemin réseau avait changé. Des tests publiés précédemment sur iPhone avaient montré le même intérêt lors de transitions entre Wi-Fi et données mobiles.

Je n’avais plus besoin de suivre trois chemins possibles dans ma tête. Une application. Une connexion. Et mes trois applications continuaient à fonctionner derrière.

C’est seulement après l’envoi que mon ancien DNS m’a manqué

Le document était parti. J’ai ouvert deux pages en attendant une réponse. C’est là que j’ai remarqué le compteur de requêtes bloquées. Il montait.

Certaines demandes liées à la publicité ou au suivi étaient arrêtées pendant que la page continuait à charger normalement. Le même comportement est visible dans les tests publiés du service : le filtrage n’est pas ce qui établit le tunnel, mais il réduit une partie des requêtes de fond une fois la connexion active.

Et là, mon ancien profil DNS m’est revenu à l’esprit.

Je l’avais installé pour deux raisons que j’avais fini par confondre :

chiffrer mes requêtes DNS ;

bloquer une partie des domaines publicitaires et de suivi.

Pour mon usage quotidien, le second besoin pouvait donc déjà être couvert sans remettre immédiatement une autre configuration réseau sur le téléphone. C’était un petit détail après le succès principal, mais un détail assez important pour que je garde l’application. Je voyais aussi sa limite.

Le service possède moins de régions et beaucoup moins d’historique public que certains grands VPN installés depuis des années. Si mon besoin principal était de choisir précisément entre une longue liste de pays ou de m’appuyer sur des années d’audits et de commentaires indépendants, cette différence compterait.

Mais rien de cela n’avait envoyé mon PDF. Ce matin-là, la valeur venait précisément du contraire : j’avais enfin arrêté d’administrer ma pile de confidentialité pendant que j’essayais simplement de travailler.

Depuis, je ne les empile plus par principe

Je ne commencerais plus par répondre oui. Private Relay a un vrai rôle. Un DNS chiffré aussi. Mais je ne les empilerais plus simplement parce que chacun contient le mot « confidentialité » quelque part dans sa description.

Si je protège surtout ma navigation Safari, Private Relay couvre déjà un besoin important avec son architecture à deux relais et son DNS protégé. Si je veux choisir précisément mon résolveur ou appliquer des règles DNS personnalisées, un profil DoH ou DoT possède sa propre utilité.

Mais lorsque mon activité passe d’une application à l’autre et que je veux qu’une seule protection suive l’ensemble de la session, je préfère partir d’un VPN au niveau de l’appareil et n’ajouter une autre couche que lorsqu’elle résout un problème que je peux réellement nommer.

Même Apple prévoit que Private Relay puisse être désactivé sur un réseau particulier lorsqu’un VPN, un logiciel de filtrage ou la configuration du réseau crée une incompatibilité.

Après cette matinée, ce détail me paraît beaucoup moins anodin. J’avais commencé avec trois interrupteurs activés parce que trois protections me semblaient forcément préférables à une.

J’ai terminé avec un critère beaucoup plus simple : pour ce PDF qui devait passer de Safari au cloud puis à Mail pendant que mon iPhone quittait le Wi-Fi, une seule connexion capable de suivre toute la tâche valait davantage que trois couches dont je devais encore deviner les frontières.