👉X vient de mettre en demeure un projet open source dont le seul tort est de laisser lire X sans compte. Le 24 août, X Corp a envoyé des lettres à Nitter exigeant la fermeture définitive des instances et la suppression du dépôt du projet. L'échéance était fixée au 25 août à 17h heure de l'Est.

nitter.net

nitter.net is offline.

est hors ligne, XCancel également, et le développeur, Zedeus, a suspendu sept ans de travail le temps de consulter un avocat. Rappel de ce que faisait Nitter : afficher des posts publics. Sans pub, sans JavaScript, sans cookies de tracking. Et toutes les requêtes passaient par son serveur, donc X ne voyait ni votre adresse IP, ni votre empreinte de navigateur, ni le fait que vous ayez lu quoi que ce soit. LLe problème n'a jamais été que ces posts soient recopiés, ils sont publics. Le problème, c'est qu'on puisse les lire sans être compté, mesuré et rattaché à un identifiant. Un contenu public dont la lecture exige de s'identifier n'est plus un contenu public. Et ça nous concerne directement. Ministères, préfectures, ARS, opérateurs publics continuent de communiquer sur X. Si la lecture devient impossible sans compte, une partie de la communication publique française n'est plus accessible qu'à ceux qui acceptent d'ouvrir un compte sur une plateforme privée américaine. X n'accuse pas seulement Nitter de collecte, la lettre évoque un accès à des comptes et à des jetons de session. Nitter aurait donc eu recours à des comptes connectés pour continuer à fonctionner. Ça ne rend pas le motif de X plus défendable, et ça n'explique pas pourquoi la demande vise aussi le code source. ↩️ En citation de @nono2357 : « "Nostr fixes this! (again)" Fermeture de Nitter : X bloque l'accès sans compte en 2026

Frandroid

Nitter suspend son développement après des accusations d'utilisation illégale de l'API de X

La page GitHub du projet open source Nitter indique avoir reçu une mise en demeure de la part de X. Le réseau social détenu par Elon Musk exige la

»

X (formerly Twitter)

Renaud Lifchitz ⠵ (@nono2357) on X

"Nostr fixes this! (again)" Fermeture de Nitter : X bloque l'accès sans compte en 2026 https://t.co/VV3iPNcKWO

"L'IA est-elle raciste ?" Oui, par conception. Pourquoi ? Parce que nous le sommes. Conclusion assez logique des biais des agents conversationnels biberonnés aux réseaux sociaux. https://www.franceinfo.fr/internet/intelligence-artificielle/elles-n-ont-pas-l-air-si-neutres-que-ca-l-ia-peut-elle-etre-raciste_8161358.html

Une plateforme pour DPO qui va devoir aviser pas mal de DPO.... ↩️ En citation de @fuitesinfos : « 🚨 FUITES INFOS | Dipeeo — ~2 757 personnes concernées Dipeeo est une société française qui assure la fonction de délégué à la protection des données pour plusieurs centaines d'organisations et leur fournit une platefor… »

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

🚨 FUITES INFOS | Dipeeo — ~2 757 personnes concernées Dipeeo est une société française qui assure la fonction de délégué à la protect...

👉 Nouvelle fuite de données pour l'Etat, cette fois c'est Docurba du Ministère de l'Ecologie. ↩️ En citation de @fuitesinfos : « 🚨 FUITES INFOS | Docurba — ~2 751 personnes concernées Docurba est la plateforme numérique gratuite de l'État français qui sert à élaborer et à suivre les documents d'urbanisme (PLU, SCoT). Portée par la Direction géné… »

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

🚨 FUITES INFOS | Docurba — ~2 751 personnes concernées Docurba est la plateforme numérique gratuite de l'État français qui sert à élabo...

🚨 Fuite de données massive pour KLARK, plateforme d'agent IA pour service client de grande enseigne [140 Go] Environ 450 000 personnes concernées Les clients des marques suivantes sont concernés : ESL FACEIT Group, @ShowroompriveFR , Vestiaire Collective, Upway, Alltricks, Cultura, Side, @backmarket, Santévet, Ultra Premium Direct, La Fourche, Ramify, BUT, Tikamoon et Click & Boat - les quinze organisations les plus représentées en volume de conversations. Cinq autres apparaissent surtout par leurs équipes de support : Mirakl, Wonderbox, @Getaround , Swan et Infogreffe. Au total, 192 organisations clientes sont concernées. Aucune de ces marques n'a été attaquée. C'est leur prestataire commun qui l'a été. Toutes leurs conversations avec le support client passées par l'IA seraient dans le dépôt, ainsi que : · les coordonnées et l'identité des clients finaux (nom, prénom, e-mail, téléphone, adresse postale) · le motif de chaque demande, sa catégorie et son historique - donc une commande, un litige, un remboursement, un incident de livraison · les comptes d'accès à la plateforme, avec mots de passe hachés et secrets de double authentification · les clés et secrets d'interface applicative de chaque organisation cliente · quelques coordonnées bancaires, présentes dans le corps même des échanges Ce qui rend ce cas différent d'une fuite ordinaire, c'est que la victime nommée n'est pas celle qui perd le plus. Klark traite la relation client écrite de ses clients : ce sont les agents de support de ces enseignes, et surtout les clients finaux de ces enseignes, qui se retrouveraient exposés. Une trentaine de salariés d'un côté, des centaines de milliers de personnes de l'autre. Le dépôt porterait des données arrêtées le jour même de sa publication.

Fuites Infos

Klark : la fuite revendiquée d'un prestataire d'IA expose les clients de près de 200 enseignes — Fuites Infos

Klark, un éditeur bordelais dont la plateforme d'intelligence artificielle rédige les réponses des services clients de près de 200 enseign...

Par @fuitesinfos

🔒 Vous croyez que votre VPN est actif en permanence ? Une interruption de quelques secondes peut suffire à exposer votre IP réelle sans que vous vous en aperceviez. #killswitch J'utilise Proton VPN 👉

Proton VPN

The best VPN for speed and security | Proton VPN

Get fast, secure VPN service in 140+ countries. Download our free VPN now — or check out Proton VPN Plus for even more premium features.

Et la fonction dont je vais parler est celle que je conseille d'activer avant toutes les autres. Elle s'appelle le kill switch, et c'est probablement le réglage le plus mal compris de tout l'écosystème VPN. ⚡ Le problème qu'il résout Un tunnel VPN, ce n'est pas un état permanent, c'est une connexion. Et comme toute connexion, elle tombe. Vous sortez de veille, vous passez du wifi à la 4G, vous changez de borne dans un train, le serveur redémarre, l'appli plante en arrière-plan sur mobile. Pendant ces quelques secondes, votre système d'exploitation ne s'arrête pas de fonctionner pour vous attendre. Si rien ne bloque le trafic hors VPN, de nouvelles connexions peuvent alors emprunter la route réseau normale, celle de votre box ou de votre opérateur. Votre client mail relève vos compte, vos applis synchronisent, votre navigateur recharge un onglet. ❌ Tout ça part en direct, avec votre vraie adresse IP. Le tunnel peut remonter quelques secondes plus tard sans que vous ayez rien remarqué. Mais quelques secondes peuvent suffire pour qu'une application envoie une requête et associe votre IP réelle à un compte auquel vous êtes connecté. 🛡️ Comment ça fonctionne réellement Un kill switch n'est pas qu'un bouton dans une application. Il repose sur des mécanismes de filtrage au niveau du système : règles de pare-feu, politiques réseau ou fonctions spécifiques de l'OS. L'objectif ? Empêcher le trafic protégé de sortir directement sur Internet lorsque le tunnel VPN n'est plus disponible. La porte est fermée. Sur Windows ça passe par le Windows Filtering Platform, sur Linux par les tables de filtrage du noyau, sur Android par le service VPN du système, sur iOS et macOS par le framework réseau d'Apple. C'est pour ça qu'un kill switch digne de ce nom protège l'ensemble de l'appareil et pas seulement le navigateur. Vous ne perdez pas la connexion, vous perdez la possibilité de sortir sans tunnel. La nuance compte. 🔁 Le mode standard et avancé, la différence Le kill switch standard ne s'active qu'à partir du moment où vous êtes connecté au VPN. Il vous protège pendant une coupure, il se désactive quand vous vous déconnectez volontairement. Suffisant au quotidien. Le kill switch avancé, lui, bloque toute connexion internet tant que vous n'êtes pas sur un serveur @ProtonVPN , sans exception, et il survit à l'extinction et au redémarrage de la machine. Donc, il couvre la fenêtre que presque personne ne regarde : les premières secondes après un démarrage, quand le système monte le réseau avant que l'application VPN ait fini de se lancer. Il est disponible sur Windows, sur l'application graphique Linux, et en bêta sur iOS et iPadOS. 📱 Sur mobile, c'est le système qui commande Sur Android, le kill switch se configure dans les réglages natifs du système, et il se comporte alors davantage comme un kill switch avancé que comme un kill switch standard. Il faut activer deux options dans les paramètres VPN d'Android : VPN permanent, et blocage des connexions sans VPN. La seconde est celle qui'il faut activer, et beaucoup de gens n'activent que la première. Sur iOS et iPadOS, Proton VPN active automatiquement son mécanisme Always-on, qui cherche à maintenir ou rétablir la connexion VPN. Attention toutefois : Always-on et Advanced Kill Switch ne sont pas exactement la même chose. L'Advanced Kill Switch, désormais disponible en bêta, bloque spécifiquement l'accès à Internet lorsque Proton VPN n'est pas connecté. ⚠️ Ce qui peut foirer Le portail captif, d'abord. Wifi d'hôtel, aéroport, gare : le réseau veut vous afficher une page d'authentification, votre kill switch bloque tout, la page ne s'ouvre pas. C'est le scénario où les gens désactivent la protection pour se connecter, et où ils oublient de la remettre. La bonne pratique est de couper explicitement, de s'authentifier, puis de réactiver avant de faire quoi que ce soit d'autre. Sur plusieurs plateformes, kill switch et split tunneling ne peuvent pas être combinés de la même manière. Mais il existe des exceptions : sur Windows, Proton VPN permet notamment d'utiliser le split tunneling avec son kill switch. Le comportement dépend donc de la plateforme et de l'implémentation. L'IPv6, enfin. Historiquement, certaines mauvaises implémentations VPN pouvaient bloquer correctement l'IPv4 tout en laissant passer de l'IPv6. C'est donc un point à tester. Proton VPN prend aujourd'hui en charge IPv6 sur plusieurs plateformes et bloque ou désactive IPv6 lorsqu'il ne peut pas le protéger correctement. Il existe aussi des limites propres aux systèmes d'exploitation. Proton documente notamment certains comportements particuliers sur les plateformes Apple : selon la situation, des services système ou certaines transitions réseau peuvent se comporter différemment du trafic applicatif classique. Aucun kill switch ne dispense donc de comprendre les limites de la plateforme sur laquelle il fonctionne. 🧪 Testez le vôtre Notez votre adresse IP publique puis connectez-vous au VPN. Testez ensuite une véritable rupture du tunnel : changement de réseau, Wi-Fi coupé puis réactivé, sortie de veille ou interruption de la connexion VPN. Pendant cette coupure, essayez d'accéder à Internet. Votre IP publique habituelle ne doit jamais réapparaître. Pour aller plus loin, testez séparément les fuites IPv4, IPv6 et DNS. Le kill switch ne rend pas votre VPN plus rapide ni plus sûr cryptographiquement. Il garantit simplement que la promesse tienne aussi pendant les trois secondes où plus personne ne regarde. Et c'est précisément là que les fuites se produisent. 👉

Proton VPN

The best VPN for speed and security | Proton VPN

Get fast, secure VPN service in 140+ countries. Download our free VPN now — or check out Proton VPN Plus for even more premium features.

👉 @SimpleXChat lève des fonds pour se développer ! Participez au développement de la messagerie chiffrée décentralisée. SimpleX est aujourd'hui l'un des rares outils privacy qui comptent vraiment. Pendant que tout le monde chiffre les messages, eux ont supprimé l'identifiant. C'est la seule réponse sérieuse à la surveillance des métadonnées, celle que Chat Control veut industrialiser. Et ils en sont là avec presque rien : 480 000 utilisateurs actifs, 20 millions de messages par jour, zéro marketing, financés par les dons de la communauté. Imaginez avec de vrais moyens. La levée sert exactement à ça. Des recrutements, la messagerie navigateur, les outils pour les créateurs, et le passage des serveurs à des opérateurs indépendants pour décentraliser le réseau pour de bon. C'est ouvert à tout le monde à partir de 100 $. Au-delà de 500 $ vous obtenez un public name sur le réseau pour votre chaîne ou votre activité. Une précision quand même : c'est du capital risque, la boîte n'a pas encore de revenus, ne misez que ce que vous pouvez perdre. Moi je l'ai fait en connaissance de cause. J'ai misé 200$ dessus car je crois qu'ils sont l'avenir de la messagerie. http://wefunder.com/simplexchat ↩️ En citation de @SimpleXChat : « SimpleX Chat crowdfunding is live! We are building the first messaging network that can't identify you – a decentralized, open-source network where only you decide who can connect to you and which servers to use, and no… »

X (formerly Twitter)

SimpleX Chat (@SimpleXChat) on X

SimpleX Chat crowdfunding is live! We are building the first messaging network that can't identify you – a decentralized, open-source network wh...

Déploiement de la task force cyber !

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

🚨 FUITES INFOS | @datagouvfr DINUM — 15 021 enregistrements du pilotage cloud de l'État 🇫🇷 La DINUM est le service du Premier ministre...

↩️ En citation de @fuitesinfos : « 🚨 FUITES INFOS | @datagouvfr DINUM — 15 021 enregistrements du pilotage cloud de l'État 🇫🇷 La DINUM est le service du Premier ministre qui pilote la transformation numérique de l'État et la doctrine « Cloud au centre… »

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

🚨 FUITES INFOS | @datagouvfr DINUM — 15 021 enregistrements du pilotage cloud de l'État 🇫🇷 La DINUM est le service du Premier ministre...

Exclusif 🔴 Lancement de la nouvelle-nouvelle stratégie cybersécurité française par le gouvernement Lecornu.

🔴 #stripe Après vérification, 57 sites/plateformes françaises sont concernées ainsi qu'environ 24 000 clients français. Les sites concernés sont avisés. Stripe n'est pas compromis, il s'agit de clés API agrégées.

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

🔴 Fuites de données revendiquées chez @stripe (Régénérés vos clés API) Le 18 août 2026, un acteur publie gratuitement sur un forum cyb...

↩️ En citation de @fuitesinfos : « 🔴 Fuites de données revendiquées chez @stripe (Régénérés vos clés API) Le 18 août 2026, un acteur publie gratuitement sur un forum cybercriminel une archive de 33 Go présentée comme une compromission de Stripe. Le titr… »

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

🔴 Fuites de données revendiquées chez @stripe (Régénérés vos clés API) Le 18 août 2026, un acteur publie gratuitement sur un forum cyb...

A lire sans modération 🧵 (et gg @ValeryMarchive 👌)

X (formerly Twitter)

jean marc manach (@manhack) on X

Le piratage du ministère de l’Intérieur : un coup de bol opportuniste (et même pas ciblé !), initié par la compromission de l'ordinateur *pe...

↩️ En citation de @manhack : « Le piratage du ministère de l’Intérieur : un coup de bol opportuniste (et même pas ciblé !), initié par la compromission de l'ordinateur *personnel* d'un fonctionnaire du ministère de... l'Agriculture, suivi du pwnage d… »

X (formerly Twitter)

jean marc manach (@manhack) on X

Le piratage du ministère de l’Intérieur : un coup de bol opportuniste (et même pas ciblé !), initié par la compromission de l'ordinateur *pe...

Alaxione va tenter de minimiser en espérant faire croire que les serveurs tests n'était pas alimentés en données de patients.

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

👉 Auprès de RTL, Alaxione confirme un piratage mais se défend en indiquant qu'il s'agit d'un serveur test sans données médicales ❌ Mais le...

↩️ En citation de @fuitesinfos : « 👉 Auprès de RTL, Alaxione confirme un piratage mais se défend en indiquant qu'il s'agit d'un serveur test sans données médicales ❌ Mais les échantillons publiés et les dernières informations postées par le hacker disen… »

X (formerly Twitter)

FUITES INFOS (@fuitesinfos) on X

👉 Auprès de RTL, Alaxione confirme un piratage mais se défend en indiquant qu'il s'agit d'un serveur test sans données médicales ❌ Mais le...

Très belle collecte massive de datas de localisation par Google 👌 Ne faîtes pas ça > Désactivez l'historique de localisation dans votre compte Google.

X (formerly Twitter)

Pierre L (@pierrelezan) on X

C'est assez sympa comme app, ça utilise l'historique de position de google maps et ça peut faire une petite vidéo pour visualiser. Ça se voit ...

↩️ En citation de @pierrelezan : « C'est assez sympa comme app, ça utilise l'historique de position de google maps et ça peut faire une petite vidéo pour visualiser. Ça se voit que j'ai du mal a rester en place 😅 https://t.co/OQgSqX1Oyd https://t.co/zPk… »

X (formerly Twitter)

Pierre L (@pierrelezan) on X

C'est assez sympa comme app, ça utilise l'historique de position de google maps et ça peut faire une petite vidéo pour visualiser. Ça se voit ...

🔴 Après les fuites de données Cegedim (15,8 M, février 2026, confirmée), Almerys (15,45 M, mai 2026, confirmée), voici Alaxione. Vos données de santé, vos données des impôts, vos réservations de voyages, vos cryptos/armes et j'en passe.. l'année 2026 est une hécatombe pour les français. Suivez @fuitesinfos pour vous tenir informé. ↩️ En citation de @Ced_haurus : « 🔴 Alaxione : 6,8 millions de patients et 10,1 millions de rendez-vous médicaux mis en vente #fuitededonnees Dans la nuit du 19 au 20 août 2026, un acteur publie sur un forum criminel la base complète d'Alaxione, éditeu… »

X (formerly Twitter)

Christophe Boutry (@Ced_haurus) on X

🔴 Alaxione : 6,8 millions de patients et 10,1 millions de rendez-vous médicaux mis en vente #fuitededonnees Dans la nuit du 19 au 20 août 202...

🔴 Alaxione : 6,8 millions de patients et 10,1 millions de rendez-vous médicaux mis en vente #fuitededonnees Dans la nuit du 19 au 20 août 2026, un acteur publie sur un forum criminel la base complète d'Alaxione, éditeur français de logiciels médicaux installé dans les Pyrénées-Orientales. Le produit équipe des cabinets d'ophtalmologie, des orthoptistes, des centres et réseaux de santé : agenda médical, prise de rendez-vous en ligne, rappels automatiques, messagerie de coordination des soins. À cette échelle, une part importante de la patientèle ophtalmologique française est dans ce fichier. L'annonce, publiée le 19 août 2026, décompte 12,8 Go de datas et environ 18 millions de lignes : 6 835 489 lignes utilisateurs — patients et professionnels ; 10 145 988 rendez-vous ; 274 039 messages de la messagerie interne (144 310 actifs + 129 729 archivés) ; 4 202 motifs de consultation rattachables aux praticiens. Ce que contiennent les données Les patients. 133 colonnes par personne : nom, prénom, date de naissance, adresse postale complète, code postal, ville, téléphone mobile, adresse e-mail, langue, identifiant du cabinet de rattachement. Les dates de naissance couvrent près d'un siècle, de 1923 à 2020 — la file active d'un service d'ophtalmologie, où les patients âgés et les enfants sont massivement représentés. Les rendez-vous. date, heure, durée, praticien, lieu, statut du rendez-vous, honoré ou non, téléphone de rappel, et le motif en clair, consultation ophtalmologique, fond d'œil, adaptation de lentilles de contact. Une partie des créneaux porte la mention Doctolib, trace de l'interconnexion avec la plateforme. La messagerie interne. C'est la partie la plus grave. Les échanges entre secrétariats et praticiens sont stockés en texte clair, le patient concerné identifié par son identifiant et son nom fréquemment inscrit dans l'objet du message. On y lit des ordonnances, des cataractes, des équipements en lentilles, des examens OCT, des glaucomes, des DMLA, des injections intravitréennes, des chirurgies programmées, des motifs d'urgence, des annulations expliquées par l'hospitalisation d'un proche. Ce ne sont pas des identifiants techniques. Ce sont des données de santé nominatives au sens de l'article 9 du RGPD, associées aux coordonnées permettant de joindre directement les personnes concernées. L'origine revendiquée L'acteur décrit une porte ouverte, pas une intrusion sophistiquée : une base « tmp » complète importée dans l'instance de préproduction, d'où il l'a récupérée. Il affirme avoir obtenu plusieurs versions antérieures depuis des instances de développement avant d'atteindre la base complète, et mentionne une interface phpMyAdmin qu'il dit avoir sollicitée jusqu'à saturation d'espace disque, sans réaction en face. Il revendique deux accès antérieurs jamais publiés : un dump SQL en novembre 2025, un fichier de 4 000 lignes en mars 2025. Il déclare enfin avoir prévenu Alaxione deux jours avant la publication et alerté un journaliste, sans obtenir de réponse : la mise en vente étant présentée comme la conséquence de ce silence. Ces éléments sont ceux de l'acteur. Ils ne sont à cette heure ni confirmés ni démentis par Alaxione. 6,8 millions de lignes ne font pas 6,8 millions de personnes : une même personne suivie dans plusieurs cabinets apparaît plusieurs fois, et la table mélange patients et professionnels de santé. L'ordre de grandeur réaliste se situe entre 5 et 6,8 millions de personnes physiques concernées.

Vous redécouvrez la Lune à chaque fois qu’on se fait salement poutrer. Arrêtez de nous faire croire qu’une « task force cyber » va changer quoi que ce soit. 5 000 fonctionnaires en charge de l’informatique à la DGFIP. 656 agents à l’ANSSI pour sécuriser les systèmes de tout l’État… avec un budget d’environ 130 millions d’euros. Et les mêmes constats, année après année. Les mêmes failles. Les mêmes excuses. Les mêmes annonces.Vous ne changerez rien. Demain vous serez encore la risée de la France et du monde, et vous redécouvrirez encore la Lune. Il faut revoir le système de la cave au grenier. ↩️ En citation de @SebLecornu : « Arrêtons de découvrir la lune à chaque cyberattaque. La menace est connue : massive, organisée, hybride. États compétiteurs, réseaux criminels et hackers isolés s’entremêlent désormais, les uns soutenant parfois les aut… »

X (formerly Twitter)

Sébastien Lecornu (@SebLecornu) on X

Arrêtons de découvrir la lune à chaque cyberattaque. La menace est connue : massive, organisée, hybride. États compétiteurs, réseaux crimine...

Site des impôts piraté : quels recours possibles si vos données ont été siphonnées ? via @le_Parisien https://leparisien.fr/high-tech/site-des-impots-pirate-quels-recours-possibles-si-vos-donnees-ont-ete-siphonnees-20-08-2026-OLP7RO35KJH2RESUB3JFGOWLPI.php?at_medium=Social%2520media%26at_campaign%3DPartage%2520Natif%2520Apps

👉 Laure Miller très mauvaise perdante estime que les sages du @Conseil_constit sont manifestement séniles et n'ont pas compris sa loi d'interdiction des réseaux sociaux.

👉 À partir du 1er septembre 2026, @OpenAI va renforcer fortement la sécurité des comptes Trusted Access for Cyber (TAC) ayant accès à Daybreak-Blue, son accès destiné aux usages avancés en cybersécurité. Pour conserver cet accès, il faudra obligatoirement utiliser une clé de sécurité FIDO physique. Une passkey logicielle ou synchronisée ne suffira pas. On atteint ici un niveau de protection 2FA assez rarement imposé au grand public : possession physique d’une clé matérielle, authentification résistante au phishing et clés de récupération à conserver hors ligne. Sans cette configuration, le compte reste utilisable, mais l’accès à Daybreak-Blue est suspendu jusqu’à sa mise en place. La raison est assez logique : plus les modèles deviennent capables en cybersécurité, plus les comptes bénéficiant d’accès moins restrictifs deviennent eux-mêmes des cibles intéressantes.

👉 [ICloud Private Relay] Un site web peut récupérer votre vraie adresse IP sur iPhone, même avec iCloud Private Relay activé. Sans clic, sans fenêtre, sans rien... Talal Haj Bakry et Tommy Mysk ont trouvé trois fonctions de WebKit qui contournent le proxy et sortent en direct depuis l'appareil : - Préchargement DNS (iOS 26.0) : expose vos vrais serveurs DNS - WebAuthn Related Origin Requests (iOS 18.0) : la requête part du service credentials du système, pas de Safari, donc jamais par les relais - WebTransport (iOS 26.4) : connexion HTTP/3 directe, hors proxy Le deuxième point est le plus grave. Il suffit qu'un site déclare supporter les passkeys pour récupérer votre IP réelle et la relier à votre session. Rien ne s'affiche à l'écran. Sur iOS, tous les navigateurs sont obligés d'utiliser WebKit. Chrome, Firefox, Brave sur iPhone ne sont que des habillages du moteur d'Apple. Une faille dans un moteur imposé, et c'est tout l'écosystème qui tombe, y compris les navigateurs Tor comme Onion Browser. macOS aussi. Private Relay n'est pas un VPN, Apple ne l'a jamais prétendu. C'est un proxy applicatif, contournable par tout ce qui sort du navigateur. Les VPN système ne sont pas affectés. La fuite WebAuthn existe depuis iOS 18. Testez votre appareil : leaks.psylo.app Source :

The Hacker News

Apple iCloud Private Relay Can Expose Real IPs Through WebKit Proxy Bypasses

Researchers say three WebKit features can bypass Apple's iCloud Private Relay and browser proxies, exposing users' real IP addresses on iOS and macOS.