Hide My Email : la faille Apple qui peut révéler votre vraie adresse. Comment vérifier vos alias ?

Vous utilisez Masquer mon adresse e-mail pour vous inscrire sur un site sans donner votre vraie adresse. L’idée est excellente : une adresse jetable en @icloud.com, et votre boîte reste tranquille. Sauf qu’un chercheur en sécurité affirme avoir trouvé le moyen de remonter jusqu’à votre véritable adresse. Et dans ses tests, 100 % des adresses masquées essayées se sont révélées exploitables.

Le plus gênant, ce n’est même pas la faille. C’est qu’Apple la connaît depuis plus d’un an et qu’elle est, à ce jour, toujours ouverte. Je vais vous expliquer ce qui se passe vraiment, si vous devez vous inquiéter, et surtout comment aller vérifier vos alias en deux minutes pour reprendre la main.

C’est quoi, Masquer mon adresse e-mail ?

C’est une fonction réservée aux abonnés iCloud+ (donc à tout compte iCloud payant, même le premier palier de stockage). Le principe : à chaque inscription, Apple vous fabrique une adresse e-mail unique et aléatoire qui redirige vers votre vraie boîte. Le site marchand voit une adresse en @icloud.com, jamais la vôtre. Si cette adresse se met un jour à crouler sous le spam, vous la désactivez, et le robinet se coupe. Votre adresse principale, elle, n’a jamais fuité.

C’est un des meilleurs réflexes de vie privée qu’un utilisateur Apple puisse prendre. J’en génère une par service sensible depuis des années. Le problème, c’est que tout ce dispositif repose sur une promesse : cette adresse jetable ne doit jamais pouvoir être reliée à vous.

La faille : l’adresse jetable n’est plus si jetable

La vulnérabilité a été signalée à Apple le 11 juin 2025 par Tyler Murphy, cofondateur d’un service de nettoyage de données personnelles. Selon lui, il est possible de relier une adresse Masquer mon adresse e-mail à l’adresse réelle qui se cache derrière. Concrètement, l’écran de fumée tombe : votre adresse jetable redevient traçable jusqu’à vous.

Le détail technique n’a pas été publié, et c’est volontaire. Les chercheurs et le média qui a révélé l’affaire ont gardé le mode opératoire secret pour une raison simple : la faille est toujours active. La rendre publique reviendrait à donner l’outil à n’importe qui. Ce qu’on sait en revanche, c’est le résultat : sur un panel de volontaires, toutes les adresses masquées testées ont pu être démasquées.

Le vrai scandale est dans la chronologie. Apple a d’abord dit avoir corrigé le souci en mars 2026. Le chercheur a constaté que non. La firme a reconnu que la faille tenait toujours, puis promis un correctif « dans les semaines à venir » fin mai. Nous sommes mi-juillet, et rien n’a bougé. Une plainte a même été déposée le 15 juillet 2026 devant un tribunal fédéral californien, accusant Apple d’avoir survendu une protection qui ne tient pas ses promesses.

Faut-il paniquer ? Ce que ça change vraiment

Prenons deux secondes de recul. Si vous utilisez Masquer mon adresse e-mail juste pour éviter le spam d’une boutique en ligne, le risque reste faible. Au pire, on relie cette inscription à votre adresse iCloud, ce qui n’est pas la fin du monde.

Là où ça pique, c’est quand vous comptiez sur cette fonction pour rester vraiment anonyme. Un forum sensible, un site que vous ne voulez relier à aucune identité, une inscription que vous préférez cloisonner : dans ces cas, une adresse démasquée ouvre la porte. Une simple adresse e-mail suffit aujourd’hui à faire tourner les sites d’agrégation de données personnelles, ces annuaires qui recoupent adresse, nom, téléphone et parfois domicile. Retrouver l’adresse réelle, c’est souvent le premier fil qu’on tire pour dérouler le reste. Voilà le vrai danger : pas le spam, mais la levée de l’anonymat que vous pensiez acquis.

Comment vérifier et faire le ménage dans vos alias

Bonne nouvelle : vous gardez la main sur toutes vos adresses masquées, et le ménage prend deux minutes. Voici où aller sur iPhone ou iPad.

1. Ouvrez Réglages, touchez votre nom tout en haut, puis iCloud.
2. Descendez jusqu’à Masquer mon adresse courriel. Vous tombez sur la liste complète des adresses générées, avec le site pour lequel chacune a été créée.

3. Passez la liste en revue. Pour chaque adresse liée à un service que vous n’utilisez plus, touchez-la puis choisissez Désactiver l’adresse e-mail. Elle cesse aussitôt de rediriger.

4. Vérifiez la ligne Transférer à : c’est la boîte réelle vers laquelle tout arrive. Assurez-vous que c’est bien l’adresse voulue, et pas une vieille adresse oubliée.

Remarque : les captures d’écran ont été prises depuis un navigateur web, depuis la page Mon Compte d’iCloud.

Un mot sur la désactivation : une adresse coupée peut être réactivée plus tard, mais Apple ne vous en redonnera pas de nouvelle pour le même besoin à l’infini. Ne désactivez donc que ce qui est vraiment mort. Petit conseil : profitez-en pour repérer les alias liés à des comptes sensibles (banque, messagerie, administratif). Ce sont ceux à surveiller en priorité.

Et si vous avez vraiment besoin d’anonymat ?

Pour une inscription que vous voulez couper de toute identité, ne misez plus sur un seul alias Apple. Le plus simple : créez une adresse dédiée sur un service d’e-mail jetable indépendant, sans aucun lien avec votre compte iCloud. Vous pouvez aussi coupler l’adresse masquée avec un VPN et, quand le service l’accepte, un moyen de paiement anonyme. L’idée reste la même : ne jamais faire reposer votre anonymat sur une seule brique, surtout une brique dont on sait aujourd’hui qu’elle fuit.

Mes réflexes en attendant le correctif

Soyons clairs : je ne désactive pas Masquer mon adresse e-mail pour autant. Contre le spam et le partage d’adresse à tout-va, la fonction reste utile, et je continue de m’en servir pour mes inscriptions courantes. Ce que je change, c’est mon niveau de confiance.

Concrètement, j’arrête de la considérer comme une garantie d’anonymat. Pour tout ce qui doit vraiment rester cloisonné, je ne me repose plus sur elle seule. Et je garde un œil sur les correctifs iOS à venir : le jour où Apple bouchera enfin le trou, ce sera dans une mise à jour système, donc raison de plus pour installer vos mises à jour sans traîner.

Trois choses à faire en sortant de cet article. Ouvrez la liste de vos adresses masquées et désactivez celles qui ne servent plus. Vérifiez vers quelle boîte réelle elles redirigent. Et arrêtez de traiter cette fonction comme un manteau d’invisibilité : c’est un très bon pare-spam, ce n’est plus une garantie d’anonymat tant que la faille n’est pas fermée.

Cela pourrait aussi vous intéresser

Comment créer une adresse email masquée avec Apple (Hide my e-mail) ? Comment créer une adresse email Apple @icloud.com ? KB5094126 brique votre PC : comment vérifier si vous êtes à risque (et vous en sortir) ClickFix : comment une fausse erreur Windows peut vider vos comptes (et comment s’en protéger)