iCloud Private Relay vs VPN : quelle différence ?

Si vous payez pour iCloud+, Private Relay est déjà activé quelque part dans les Réglages. Beaucoup d’utilisateurs d’iPhone supposent que cela les protège — que c’est le VPN intégré et discret d’Apple et qu’il n’y a rien de plus à se demander.

Ce n’est pas si simple. La réponse honnête à iCloud Private Relay vs VPN, c’est que ce sont des outils différents, conçus pour des tâches différentes. Private Relay est bien conçu, et pour certaines personnes il suffit. Pour beaucoup d’autres, il laisse de grandes lacunes dont elles n’ont pas conscience. Cet article décrit ce que Private Relay fait réellement, ce qu’il ne fait pas, et comment savoir de quel côté de cette ligne vous vous situez.

Ce qu’est réellement Private Relay

Private Relay est une fonctionnalité d’iCloud+, pas un produit autonome. Vous l’obtenez en complément de tout forfait payant de stockage iCloud.

Ce qu’il fait, en une phrase : il fait transiter votre navigation Safari et une partie du trafic d’arrière-plan lié à iCloud par deux serveurs, de sorte qu’aucune partie ne voie à la fois qui vous êtes et ce que vous chargez. C’est tout. Il n’est pas présenté comme un VPN, et Apple veille à ne jamais l’appeler ainsi, même si la plupart des gens emploient les deux mots de façon interchangeable.

Tout le reste sur votre téléphone (Instagram, Chrome, TikTok, l’appli de votre banque, votre client de messagerie, n’importe quel jeu, n’importe quel navigateur tiers) utilise votre connexion normale. Private Relay n’y touche pas.

Comment fonctionne Private Relay (en clair)

La partie intéressante de Private Relay, c’est son architecture à deux sauts. C’est une conception réellement réfléchie, qui mérite donc d’être comprise même si vous finissez par utiliser un VPN à la place.

Deux sauts, deux parties

Quand Safari charge une page avec Private Relay activé, votre requête passe par deux relais successifs :

• Le relais d’entrée est géré par Apple. Il voit votre adresse IP réelle (parce que votre téléphone s’y connecte directement), mais il ne peut pas voir quel site web vous essayez d’atteindre. Cette partie est chiffrée avec une clé distincte que le serveur d’entrée ne détient pas.
• Le relais de sortie est géré par un partenaire tiers (Cloudflare, Fastly, Akamai, selon la région). Il peut déchiffrer la destination mais pas votre IP réelle. Tout ce qu’il voit du côté entrant, c’est l’adresse du relais d’entrée.

L’astuce clé, c’est que l’URL de destination et votre IP sont chiffrées avec deux clés distinctes, chacune détenue par une partie différente. Apple détient la clé qui révèle qui vous êtes ; le partenaire détient la clé qui révèle où vous allez. Aucun des deux ne voit jamais les deux moitiés du tableau, de sorte qu’aucun, à lui seul, ne peut établir un profil de votre navigation.

C’est un véritable gain pour la confidentialité, et c’est une conception plus rigoureuse qu’un VPN standard à un seul saut, où un seul fournisseur voit tout. En supposant qu’Apple et le partenaire de sortie ne partagent pas de données, Private Relay relève réellement le niveau pour le trafic Safari.

Alors, où est le piège ?

Le piège, c’est la portée. Private Relay ne couvre que :

• La navigation Safari
• Une poignée de services iCloud et Apple au niveau du système
• Un ensemble restreint de trafic non sécurisé (HTTP) provenant d’applis qui utilisent les API réseau du système

Tout le reste (et sur un iPhone typique, « tout le reste » représente l’essentiel de ce que fait votre téléphone) transite par votre connexion habituelle. L’architecture à deux sauts ne s’y applique pas.

Un exemple concret : ouvrez Instagram et faites défiler. Les récupérations d’images de l’appli, ses appels analytiques, le SDK publicitaire qui renvoie vos habitudes de défilement à ses serveurs, rien de tout cela ne passe par Private Relay. Votre FAI peut voir quels serveurs votre téléphone contacte et à peu près quand. Les points d’extrémité peuvent journaliser l’IP d’origine. Passer de Safari à presque n’importe quelle appli tierce désactive de fait Private Relay pour cette session, sans aucun signal visible indiquant que quelque chose a changé.

Ce que Private Relay ne fait PAS

C’est la partie que la plupart des utilisateurs manquent. La liste ci-dessous n’est pas une attaque contre Private Relay ; c’est juste une description exacte de là où il s’arrête.

• Il ne fait pas transiter le trafic des applis hors Safari. Ouvrez Chrome, Firefox, une appli sociale, une messagerie, un jeu, une appli bancaire, et votre IP plus le trafic de cette appli sont visibles pour votre FAI et pour tout ce qui se trouve entre les deux.
• Il ne vous laisse pas choisir un pays ou une région. Vous pouvez choisir entre « conserver l’emplacement général » ou « utiliser le pays et le fuseau horaire », mais vous ne pouvez pas passer, par exemple, par les États-Unis depuis l’Allemagne. Il n’y a pas de sélecteur de serveur car Private Relay ne cherche pas à en être un.
• Il ne fonctionne pas dans de nombreux pays. Private Relay est indisponible ou bloqué dans plusieurs régions, dont la Chine, la Russie, l’Arabie saoudite, la Biélorussie et l’Égypte, entre autres, cette liste évoluant avec le temps. Si vous partez vers une destination proche de cette frontière, il vaut la peine de consulter la page de disponibilité actuelle d’Apple avant de décoller. Si vous voyagez dans l’un de ces endroits, la fonctionnalité s’éteint tout simplement et vous n’en serez pas nécessairement averti.
• Il ne vous cache pas des traqueurs des applis. Un SDK de suivi intégré dans une appli tierce voit votre IP réelle, car cette appli ne passe de toute façon pas par Private Relay.
• Il ne protège pas le trafic hors Safari sur un Wi-Fi hostile. Connectez-vous au réseau douteux d’un hôtel ou d’un aéroport et vos applis hors Safari sont exposées exactement comme elles le seraient sans Private Relay.

Rien de tout cela n’est un défaut de Private Relay. Il fait ce pour quoi il a été conçu. L’erreur, c’est de croire qu’il fait davantage.

Private Relay est-il alors un VPN ?

À proprement parler : non. Un VPN établit un tunnel chiffré qui capte tout le trafic quittant votre appareil et l’achemine via un serveur de votre choix. Private Relay est un proxy à portée limitée, au design fixe et bien arrêté. Il ne vous donne volontairement pas de sélecteur de serveur, et il ne fait volontairement pas transiter tout le trafic.

Si un ami vous demande « Private Relay est-il un VPN ? », la réponse courte est : « C’est une fonctionnalité de confidentialité avec quelques propriétés proches d’un VPN pour Safari, mais ce n’est pas un remplacement d’un VPN. »

Quand Private Relay suffit

Pour certaines personnes, Private Relay suffit réellement. Vous faites probablement partie de ce groupe si :

• Vous faites presque toute votre navigation dans Safari et utilisez rarement des navigateurs tiers.
• Vous n’avez pas besoin de paraître vous trouver dans un pays précis (pour le streaming, pour des tests, pour des raisons de voyage, ou pour accéder à du contenu de votre pays depuis l’étranger).
• Vous ne voyagez pas régulièrement, et ne vivez pas, dans un pays où Private Relay est indisponible.
• Vous êtes à l’aise avec le fait que toute appli que vous ouvrez — y compris celles avec des SDK publicitaires intégrés — voie votre IP réelle.

Si ces quatre points sont vrais, Private Relay associé à Safari est une base raisonnable et vous n’aurez peut-être pas besoin d’un VPN distinct. C’est un bon point de départ pour une liste de vérification de la confidentialité sur iPhone.

Quand vous avez vraiment besoin d’un VPN

Vous voulez probablement un vrai VPN (pas seulement Private Relay) si l’un de ces points s’applique :

• Vous voulez faire transiter tout le trafic, pas seulement Safari. Chaque appli de votre téléphone, chaque navigateur, chaque service en arrière-plan acheminé par la même connexion chiffrée. Private Relay ne peut pas le faire.
• Vous voulez choisir un pays. Vous connecter depuis une région précise pour un voyage, pour du contenu disponible uniquement à certains endroits, ou simplement pour avoir l’air d’être ailleurs, nécessite un vrai VPN doté d’un sélecteur de serveur.
• Vous utilisez régulièrement le Wi-Fi public. Cafés, hôtels, aéroports, espaces de coworking. Un VPN protège tout ce qui se trouve sur votre appareil sur ces réseaux, pas seulement l’onglet Safari ouvert. Si vous voulez un développement plus complet sur l’importance du sans-journaux dans ce scénario, voyez ce que signifie vraiment un VPN sans journaux.
• Vous voyagez dans des endroits où Private Relay ne fonctionne pas. Chine, Russie, certaines parties du Moyen-Orient et d’Asie centrale. Dans ces régions, Private Relay est soit bloqué, soit indisponible, et c’est précisément le moment où vous voudriez des outils de confidentialité. Un VPN vous offre quelque chose que Private Relay ne peut pas.
• Vous voulez une défense en profondeur. Private Relay est un mécanisme. Un VPN en est un autre. Les deux protègent contre des menaces qui se recoupent mais restent différentes, et certains lecteurs voudront avoir les deux à disposition.

Si vous découvrez la catégorie et voulez d’abord les bases, notre introduction à ce qu’est un VPN couvre le terrain.

Peut-on utiliser Private Relay et un VPN en même temps ?

Oui. Ils coexistent sous iOS sans conflit.

Ce qui se passe en pratique : quand un VPN est actif et fait transiter tout le trafic, vos requêtes Safari passent par le VPN comme tout le reste. Le chemin à deux sauts de Private Relay devient redondant. Votre trafic est déjà acheminé par votre fournisseur de VPN, donc ajouter le relais d’Apple devant n’y change pas grand-chose, si ce n’est ajouter de la latence.

Pour cette raison, la plupart des gens qui utilisent un VPN complet finissent par désactiver Private Relay, ou du moins ne remarquent pas qu’iOS le contourne discrètement. Vous ne perdez rien en agissant ainsi ; vous consolidez deux couches de confidentialité qui se recoupent en une seule qui couvre une plus grande partie de votre téléphone.

La recommandation pratique : si vous avez décidé de vouloir un VPN, utilisez le VPN par défaut, et considérez Private Relay comme un repli pour les périodes où le VPN est éteint (entre deux connexions, quand vous changez de serveur, quand une appli refuse de fonctionner à travers votre tunnel). Sous iOS, vous n’avez pas à choisir au niveau des réglages. Les deux peuvent rester activés, et celui qui est actif à l’instant T se chargera de Safari. Le seul coût de laisser les deux activés, ce sont des chargements Safari légèrement plus lents quand le VPN est éteint et que Private Relay prend le relais.

En résumé

iCloud Private Relay est une fonctionnalité bien conçue, à la tâche bien circonscrite : empêcher qu’une seule partie n’observe votre navigation Safari et une infime portion du trafic système. Il accomplit cette tâche correctement, et l’architecture à deux sauts est plus réfléchie que la plupart des conceptions de VPN.

Mais ce n’est pas un VPN, et il ne prétend pas l’être. Il ne couvre pas les applis hors Safari, il ne vous laisse pas choisir une région, il ne fonctionne pas dans plusieurs pays, et il n’aide pas sur un Wi-Fi hostile en dehors de Safari. Si ces lacunes comptent pour vous, et pour beaucoup d’utilisateurs d’iPhone c’est le cas, vous avez besoin d’un vrai VPN en complément, ou à la place, de Private Relay.

La bonne question n’est pas « iCloud Private Relay vs VPN, qui l’emporte ? ». C’est « qu’est-ce que je cherche réellement à protéger, et quel outil le couvre ? » Pour les utilisateurs uniquement sur Safari dans des régions prises en charge, Private Relay seul est raisonnable. Pour tous les autres, un VPN fait le travail pour lequel Private Relay n’a jamais été conçu.

Si vous avez passé tout cela en revue et décidé que vous vouliez un VPN qui couvre tout ce que fait votre téléphone, pas seulement un navigateur, Snap VPN est conçu pour ça. Pas d’inscription par e-mail. Aucun journal de trafic. Aucun compte lié à votre nom. Votre abonnement repose sur votre Apple ID, disponible dans les principales régions, avec WireGuard sous le capot. macOS arrive bientôt.