Une autorisation ne donne pas accès à une donnée : elle ouvre une porte, souvent large et durable. Ce que chacune ouvre réellement, les autorisations cachées d’Android, et la revue en dix minutes.
Une permission n’autorise pas la collecte d’une donnée précise : elle ouvre un accès, large et durable, à un capteur ou à un répertoire entier. Accorder la photothèque, c’est donner la date et les coordonnées GPS de chaque cliché, pas seulement l’image que vous vouliez envoyer. La localisation en arrière-plan est la plus révélatrice de toutes. Les autorisations les plus dangereuses d’Android ne figurent d’ailleurs pas dans la liste habituelle : services d’accessibilité, affichage par-dessus les autres applications, installation depuis une source inconnue. Une revue menée dans l’ordre du risque prend dix minutes et ne casse presque rien.
Vous installez une application pour scanner un justificatif. Au premier lancement, trois fenêtres se succèdent : la caméra, ce qui se comprend, les notifications, ce qui se discute, puis les contacts. Vous appuyez sur Autoriser trois fois, parce que la fenêtre bloque l’écran et que vous êtes pressé.
Cette troisième autorisation vient d’ouvrir votre carnet d’adresses entier : noms, numéros, adresses postales, adresses électroniques, notes personnelles, y compris celles de personnes qui n’ont jamais entendu parler de cette application. Elle restera ouverte tant que vous ne la refermerez pas, c’est-à-dire, dans la plupart des cas, jamais.
Le système d’autorisations est un bon système. Il échoue pour une raison unique : il pose la question au pire moment, quand vous voulez utiliser l’application, et il la pose en termes de capteurs alors que l’enjeu porte sur des données.
Chaque application vit dans un bac à sable : un espace de fichiers qui lui appartient, sans visibilité sur celui des autres. Tout ce qui sort de cet espace passe par une interface fournie par le système, et c’est cette interface que la permission déverrouille. La nuance change tout. Vous n’autorisez pas « votre position » mais l’appel à la fonction de localisation, autant de fois que l’application le souhaite, tant que l’autorisation tient.
Trois conséquences en découlent. D’abord, une permission est durable : accordée en 2023 pour une raison précise, elle reste active en 2026 pour n’importe quelle raison. Ensuite, elle est indifférente à la finalité : le système vérifie qui appelle, pas pourquoi. Enfin, elle ne dit rien de la destination des données. Une application autorisée à lire vos contacts peut les traiter localement ou les envoyer à une régie tierce intégrée dans son code ; l’écran des permissions affichera la même ligne dans les deux cas.
C’est pourquoi le droit ne s’arrête pas à ce bouton. L’article 82 de la loi Informatique et Libertés soumet à consentement la lecture ou l’écriture d’informations dans votre terminal, en dehors de ce qui est strictement nécessaire au service demandé. La CNIL a publié en 2024 une recommandation consacrée aux applications mobiles, qui rappelle qu’une permission technique ne vaut pas consentement éclairé et que le refus doit être aussi simple que l’acceptation, avec des contrôles annoncés à partir de 2025.
Le tableau suivant traduit les intitulés du système en accès concrets. La dernière colonne donne le réglage qui convient à la majorité des usages, à ajuster selon les vôtres.
| Autorisation | Ce qu’elle ouvre réellement | Réglage raisonnable |
|---|---|---|
| Localisation précise | Position à quelques mètres, en continu si l’accès est permanent | Pendant l’utilisation, précision réservée à la navigation |
| Photos | Selon le choix, toute la photothèque avec dates et coordonnées GPS de chaque cliché | Sélection manuelle des images concernées |
| Caméra | Flux vidéo en direct dès que l’application est au premier plan | Pendant l’utilisation |
| Micro | Flux audio quand l’application est active, y compris pendant une saisie | Pendant l’utilisation, ou une seule fois |
| Contacts | Le carnet entier : identités, numéros, adresses, notes, groupes | Refus par défaut |
| Agenda | Titres, horaires, lieux et participants de tous vos rendez-vous | Refus par défaut |
| Fichiers et médias | Le stockage partagé, parfois l’ensemble des documents de l’appareil | Accès limité aux fichiers sélectionnés |
| Appareils à proximité | Inventaire des objets Bluetooth alentour, donc un indice de lieu et de voisinage | Refus en l’absence d’accessoire |
| Activité physique et capteurs | Nombre de pas, mouvements, parfois fréquence cardiaque | Refus hors application de sport ou de santé |
| Téléphone et SMS sur Android | Numéros appelés, contenu des messages, identifiants de la ligne | Réservé à l’application d’appel ou de messages par défaut |
| Notifications | Droit d’interrompre, pas d’accès à une donnée | Au cas par cas, refus par défaut |
Une ligne mérite d’être relue : l’accès aux fichiers. Sur Android, l’autorisation dite de gestion de tous les fichiers donne à une application la vue complète du stockage partagé, y compris les documents téléchargés et les médias des autres applications. Elle est justifiée pour un gestionnaire de fichiers, jamais pour un jeu. Ce que contient concrètement ce stockage est décrit dans notre article sur les postes qui remplissent un téléphone.
Une trace de localisation n’est pas une information parmi d’autres. Elle contient votre domicile, votre lieu de travail, vos horaires, votre médecin, votre lieu de culte éventuel, la maison où vous dormez le week-end. Des travaux publiés en 2013 dans la revue Scientific Reports l’ont chiffré : dans une base de mobilité dépourvue de noms, quatre points espace-temps suffisent à isoler 95 % des individus. Autrement dit, l’anonymat d’un historique de déplacement est une illusion statistique.
Deux réglages changent l’exposition sans rien coûter en confort. Le premier est la précision : Android propose de fournir une position approximative, à l’échelle de quelques kilomètres, et iOS un interrupteur de position exacte à désactiver application par application. La météo, le trafic, l’actualité locale et la recherche de commerces s’en contentent parfaitement ; seule la navigation pas à pas a besoin du mètre.
Le second réglage est le moment. « Toujours » autorise l’application à demander votre position quand vous ne l’utilisez pas, la nuit comprise. Presque aucun service grand public n’en a besoin, à l’exception des applications de suivi d’activité en extérieur et de certaines alertes de proximité. Ce réglage a un coût visible en énergie : les réveils répétés du module de géolocalisation figurent parmi les premières causes d’une autonomie qui chute, sujet traité dans notre article sur le diagnostic de l’autonomie.
La photothèque est la plus sous-estimée. Chaque cliché transporte des métadonnées : date, heure, modèle d’appareil et, si la géolocalisation photo est active, les coordonnées du lieu de prise de vue. Une application qui obtient l’accès complet peut donc reconstituer un journal de vos déplacements sur plusieurs années sans jamais demander la localisation. Android et iOS proposent désormais de ne partager qu’une sélection : c’est le réglage à préférer, y compris pour les applications de confiance, parce qu’il transforme un accès permanent en autorisation ponctuelle.
Les contacts posent un problème de nature différente. Vous y consentez pour des données qui ne sont pas les vôtres. Le numéro de téléphone de votre médecin, l’adresse de votre sœur et le nom de famille d’un collègue partent chez un éditeur qu’ils n’ont pas choisi, ce qui explique la sévérité des autorités européennes sur les fonctions dites de mise en relation. Le refus est ici la position par défaut raisonnable.
Le micro, lui, nourrit une inquiétude persistante. Depuis iOS 14 et Android 12, un point de couleur apparaît en haut de l’écran dès qu’une application utilise le micro ou la caméra : orange ou vert selon le système, sans exception possible pour une application ordinaire. Le journal des accès, appelé tableau de bord de confidentialité sur Android et rapport de confidentialité des applications sur iPhone, permet ensuite de savoir qui a utilisé quoi, et quand. Une écoute permanente resterait par ailleurs coûteuse à transmettre. Le vrai risque associé à la voix n’est pas la publicité mais la réutilisation d’un enregistrement, comme dans les scénarios décrits par notre article sur le clonage vocal.
C’est le point que la plupart des revues d’autorisations manquent. À côté des permissions ordinaires, Android définit des autorisations spéciales, plus puissantes, rangées dans des écrans distincts d’Accès spécial des applications. Ce sont exactement celles que recherchent les logiciels malveillants.
iOS n’a pas d’équivalent grand public de ces autorisations, ce qui explique une part de l’écart entre les deux plateformes en matière de fraude sur mobile. En contrepartie, la vérification passe entièrement par le magasin d’applications. Les précautions à prendre au moment du téléchargement, quelle que soit la plateforme, sont détaillées dans notre article sur l’installation sans piège.
Sur iPhone, la fenêtre « Autoriser l’app à vous suivre » ne concerne aucun capteur. Elle gouverne l’accès à un identifiant unique de l’appareil, qui permet de relier votre activité dans une application à votre activité dans une autre, et chez des tiers. Refuser rend cet identifiant inexploitable pour l’application concernée. Un réglage global permet de refuser d’avance pour toutes.
Sur Android, l’équivalent est l’identifiant publicitaire, réglable dans les paramètres Google du téléphone, où il peut être réinitialisé ou supprimé. Sa suppression n’arrête pas la publicité : elle la rend non personnalisée et casse une partie du recoupement entre applications. Là encore, la protection est partielle, car d’autres signaux prennent le relais, mécanisme décrit dans notre article sur la lecture d’un bandeau de consentement.
| Fonction | Android | iOS |
|---|---|---|
| Localisation approximative | Choix explicite précis ou approximatif | Interrupteur de position exacte par application |
| Partage partiel des photos | Sélection d’images, réévaluable à chaque accès | Sélection d’images, modifiable dans les réglages |
| Retrait automatique des permissions | Oui, après plusieurs mois sans ouverture | Non, mais rappels périodiques pour la localisation en arrière-plan |
| Journal des accès aux capteurs | Tableau de bord de confidentialité, vingt-quatre heures | Rapport de confidentialité des apps, sept jours |
| Autorisations spéciales à haut privilège | Oui, dans des écrans séparés | Sans équivalent grand public |
| Fiche de collecte sur le magasin | Section Sécurité des données, déclarative | Section Confidentialité de l’app, déclarative |
Une précision s’impose sur la dernière ligne : ces fiches sont remplies par l’éditeur lui-même. Elles engagent sa responsabilité, elles ne résultent pas d’un audit. Elles restent utiles comme signal de cohérence : une application de lampe torche qui déclare collecter l’historique d’achats se disqualifie seule.
La bonne méthode consiste à partir de la permission et à regarder qui la détient, plutôt que de parcourir la liste des applications une par une. Sur Android : Paramètres, Confidentialité, Gestionnaire d’autorisations. Sur iPhone : Réglages, Confidentialité et sécurité. Les deux écrans classent par capteur.
Cette revue a un effet secondaire agréable. Moins d’autorisations d’arrière-plan, ce sont moins de réveils du processeur et de requêtes réseau, donc un appareil plus vif et une batterie qui dure, ce qui rejoint plusieurs causes examinées dans notre article sur le téléphone qui rame.
Un refus bien placé ne dégrade presque rien, parce que les systèmes imposent aux applications de prévoir le cas. La météo demandera une ville, l’application de transport une adresse de départ, le réseau social ouvrira le sélecteur de fichiers du système au lieu de parcourir votre galerie. Ce dernier point est le plus rassurant : le sélecteur appartient au système, et il transmet uniquement le fichier désigné, sans aucune permission.
Trois limites doivent être connues. Retirer une permission n’efface pas ce qui a déjà été transmis, et n’interrompt pas les traitements côté serveur : cela relève de vos droits d’effacement et, si le compte n’a plus d’usage, de la suppression définitive du compte. Ensuite, une mise à jour d’application peut introduire de nouvelles demandes, ce qui justifie de refaire la revue une à deux fois par an, de préférence après les mises à jour majeures du système, qui ajoutent souvent des réglages. Enfin, aucune permission ne protège d’une application déjà malveillante disposant de privilèges élevés : dans ce cas, la marche à suivre est celle de notre article sur les signes d’infection et le nettoyage.
Devant une fenêtre d’autorisation, ne vous demandez pas si l’application est sérieuse. Demandez-vous quelle fonction visible, à cet instant précis, cesserait de marcher en cas de refus. Si vous ne trouvez pas de réponse en trois secondes, refusez : l’application redemandera au moment où elle en aura vraiment besoin, et ce moment-là vous renseignera mieux que n’importe quelle politique de confidentialité.
Rarement, et le comportement est prévisible. Depuis Android 6 et iOS 6, une application doit savoir fonctionner sans l’accès qu’elle demande : refuser la localisation à une application de météo l’oblige à vous faire saisir une ville, pas à s’arrêter. Seules les fonctions directement construites sur le capteur disparaissent : pas de caméra, pas de scan de code. Si une application refuse purement et simplement de démarrer sans une autorisation sans rapport avec son objet, c’est un signal en soi.
Techniquement, un micro actif allume l’indicateur de couleur en haut de l’écran, et une écoute permanente se verrait dans la consommation de batterie et de données. L’explication réelle est moins spectaculaire et plus efficace : le recoupement d’un historique de navigation, d’une localisation, d’un carnet d’adresses et des achats d’un foyer suffit à deviner une intention sans jamais entendre un mot. Le mécanisme est détaillé dans notre article sur la chaîne du ciblage publicitaire.
Il accorde l’accès pour la session en cours uniquement. Dès que vous quittez l’application ou que le téléphone se verrouille, l’autorisation retombe et la question sera reposée au prochain lancement. C’est le bon réglage pour tout ce dont vous avez besoin ponctuellement : la position pour une course, la caméra pour un scan unique, le micro pour une dictée. Le coût est une fenêtre supplémentaire à valider de temps en temps.
Non. Le retrait coupe l’accès pour l’avenir et ne touche pas à ce qui a été transmis aux serveurs de l’éditeur ni à ses partenaires. Pour obtenir l’effacement, il faut exercer votre droit auprès du responsable de traitement, puis saisir la CNIL en cas de silence. Les huit demandes possibles sont listées dans notre article sur vos droits RGPD.
Pour les permissions visibles, oui : elles apparaissent dans la même liste et se révoquent de la même façon. Deux différences existent. Certaines sont indésinstallables et se contentent d’être désactivées, ce qui les fige sans les supprimer. D’autres disposent de privilèges accordés à la fabrication, invisibles dans l’écran des autorisations. Une revue vaut donc surtout pour ce qu’elle retire aux applications ordinaires, qui constituent l’essentiel du risque.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Téléphone, ordinateur, batterie, stockage, mises à jour : pourquoi ça rame et quoi faire.