Windows, macOS et Android embarquent une protection dont les taux de détection tiennent la comparaison avec les produits payants. Voici comment elle marche, ce qu’elle ne couvre pas, et les cas où un logiciel tiers change vraiment quelque chose.
Sur un ordinateur personnel à jour, la protection livrée avec le système fait l’essentiel du travail : signatures, analyse comportementale, réputation des fichiers téléchargés. Les écarts de détection avec les meilleures suites payantes se comptent en fractions de point, et installer un second antivirus temps réel désactive le premier au lieu de s’y ajouter. Un produit tiers se justifie dans quatre cas : un parc à administrer, un besoin de journalisation, une contrainte contractuelle, un environnement mêlant plusieurs systèmes. Sur iPhone, aucun antivirus ne peut analyser les autres applications.
Le message revient chaque année, quelques jours avant l’échéance : votre licence expire, votre ordinateur va rester sans protection, renouvelez maintenant. Le montant prélevé n’est pas celui de la première année, c’est le tarif plein. Entre-temps, la machine n’a rien attrapé, et il est impossible de savoir si c’est grâce au logiciel ou malgré lui.
La question posée est mal posée. Ce n’est pas « faut-il un antivirus », puisque tout système grand public récent en embarque un, actif par défaut. C’est « qu’est-ce qu’un produit supplémentaire ajoute à ce qui tourne déjà », et la réponse dépend beaucoup moins du produit que de l’usage de la machine.
Le mot est resté, la technique a changé. Un moteur de détection contemporain combine cinq couches, dans cet ordre de coût croissant.
Les signatures. Une empreinte calculée sur un fichier connu comme malveillant. Rapide, sans faux positif, mais inutile dès que l’attaquant modifie un octet. C’est aujourd’hui la couche la moins productive.
L’analyse statique. Le fichier est décortiqué sans être exécuté : structure interne, sections chiffrées, appels système déclarés, présence d’un empaqueteur. On y cherche des motifs, pas une empreinte exacte, ce qui permet d’attraper des variantes d’une même famille.
L’émulation en bac à sable. Le fichier est exécuté quelques secondes dans un environnement isolé pour observer son comportement réel. Les codes malveillants savent le détecter et attendent, ce qui limite l’intérêt de cette couche.
La surveillance comportementale. C’est la plus efficace contre l’inconnu. Le moteur ne juge pas un fichier, il juge une séquence d’actions : un processus qui ouvre des milliers de documents et les réécrit, qui supprime les clichés instantanés du système, qui injecte du code dans un autre processus. C’est cette couche qui arrête un rançongiciel dont personne n’a encore la signature.
La réputation calculée à distance. Le système interroge un service en ligne : ce fichier a-t-il déjà été vu, sur combien de machines, depuis quand, signé par qui. Un exécutable vu pour la première fois au monde il y a deux minutes est traité avec méfiance, même s’il est propre. Ce mécanisme explique les blocages agaçants sur les petits utilitaires peu diffusés.
| Système | Protection intégrée | Ce qu’elle couvre bien | Sa limite principale |
|---|---|---|---|
| Windows | Antivirus intégré au centre de sécurité, filtre de réputation dans le navigateur maison, contrôle d’accès aux dossiers protégés | Familles connues, comportements de chiffrement en masse, exécutables téléchargés jamais vus | Se met en veille dès qu’un produit tiers s’enregistre |
| macOS | Gatekeeper (vérification de signature et de validation par l’éditeur du système), base de signatures mise à jour en tâche de fond, outil de suppression des familles connues | Logiciels publicitaires, faux nettoyeurs, applications non signées | Peu visible : aucune interface ne dit ce qui a été bloqué |
| Android | Analyse des applications installées, y compris hors boutique officielle, restrictions sur les permissions sensibles pour les applications installées manuellement | Applications malveillantes connues, installations manuelles suspectes | Ne peut rien contre une permission accordée par l’utilisateur |
| iOS | Cloisonnement strict des applications, validation avant publication, signature obligatoire du code | Presque tout, par construction | Interdit aussi à un antivirus tiers de fonctionner réellement |
Ce tableau contient une asymétrie intéressante. Sur Windows, la protection intégrée est une couche qui s’efface devant un produit tiers. Sur les trois autres systèmes, elle est une propriété de l’architecture, qu’aucun logiciel installé ne peut remplacer ni renforcer beaucoup.
Une application iOS s’exécute dans un espace cloisonné. Elle ne lit pas les fichiers des autres applications, n’énumère pas la liste des processus, ne surveille pas les écritures sur le disque. Ces interdictions sont la raison pour laquelle la plateforme est difficile à infecter, et elles s’appliquent aussi aux applications de sécurité.
Que font alors les produits vendus sous ce nom dans la boutique française ? Ils filtrent les adresses visitées par un réseau privé virtuel local, ils vérifient si une adresse e-mail figure dans une fuite connue, ils bloquent des appels indésirables, ils proposent une sauvegarde de contacts. Ce sont des fonctions utiles, mais aucune n’est une analyse antivirale. Le filtrage d’adresses, en particulier, est souvent facturé sous une étiquette de protection alors qu’il relève de ce que fait déjà un réseau privé virtuel, avec les mêmes limites.
La menace réelle sur mobile n’est presque jamais un virus. C’est une application légitime en apparence à laquelle on accorde trop, ou un logiciel espion commercial installé par un proche ayant accès physique à l’appareil.
Sur Windows, un produit tiers s’enregistre auprès du centre de sécurité du système. Dès cet enregistrement, la protection intégrée bascule en veille : elle cesse l’analyse en temps réel pour éviter que deux moteurs n’interceptent les mêmes opérations de fichiers. Vous n’avez donc pas deux boucliers, vous en avez échangé un contre un autre.
Installer deux produits tiers temps réel est franchement contre-productif. Chacun voit l’autre manipuler des fichiers suspects, les mises en quarantaine se croisent, les ralentissements s’additionnent, et le diagnostic d’une machine devenue lente s’en trouve brouillé. Si une machine rame depuis l’installation d’une suite de sécurité, commencez par ce fil avant de suivre le diagnostic ordinaire d’un ordinateur lent.
L’exception est l’analyseur à la demande, sans module temps réel, utilisé ponctuellement comme second avis. Il ne s’enregistre pas comme protection principale, ne se met pas en travers du moteur actif, et sert à confirmer ou infirmer un doute. C’est l’outil approprié quand vous suspectez une infection, et la démarche complète figure dans les signes d’un appareil infecté et la méthode de nettoyage.
Un antivirus veut voir ce qui entre. Or la quasi-totalité du trafic est chiffrée de bout en bout entre le navigateur et le site. Pour l’inspecter, certaines suites installent dans le magasin de certificats du système leur propre autorité de certification, puis se placent en intermédiaire : elles déchiffrent, analysent, rechiffrent avec leur propre certificat. Le navigateur affiche un cadenas, mais la connexion n’est plus directe.
Il ne s’agit pas de dire que ces logiciels ne servent à rien. Il s’agit d’identifier ce qu’ils apportent en plus, et cela tient en quatre cas.
Aucun de ces quatre cas ne concerne l’ordinateur familial d’un foyer, ce qui répond à la question de départ pour la majorité des lecteurs.
Le modèle économique de ce marché repose sur une première année à prix cassé, puis une reconduction automatique au tarif public. L’écart courant va du simple au triple. Le droit français encadre ce mécanisme, et peu d’utilisateurs s’en servent.
Le code de la consommation impose au professionnel d’informer le consommateur, par écrit et dans une fenêtre située entre trois mois et un mois avant la date limite de refus, de sa possibilité de ne pas reconduire le contrat. Faute de cette information, le consommateur peut mettre fin au contrat à tout moment après la reconduction, et les sommes prélevées après la date de résiliation lui sont dues. Pour les contrats souscrits en ligne, une seconde règle impose depuis 2023 que la résiliation soit possible par voie électronique, avec une fonctionnalité accessible en permanence et un parcours au moins aussi simple que celui de la souscription.
Le gestionnaire de mots de passe fourni dans une suite mérite une attention particulière : il vous lie à l’éditeur et complique la sortie. Les critères de choix et la migration sont traités dans le fonctionnement d’un gestionnaire de mots de passe.
Trois habitudes pèsent davantage que le choix du moteur de détection. Installer les mises à jour de sécurité sans attendre, parce qu’elles ferment des failles déjà exploitées. Télécharger les logiciels depuis le site de l’éditeur ou la boutique du système, et jamais depuis le premier résultat sponsorisé d’un moteur de recherche : la méthode est détaillée dans comment installer un logiciel sans se faire avoir. Utiliser au quotidien un compte sans droits d’administration, ce qui limite mécaniquement ce qu’un programme lancé par erreur peut modifier.
S’ajoute un réflexe de lecture. La plupart des fausses alertes de sécurité s’affichent dans le navigateur, avec un logo imité et un numéro à appeler. Aucune page web ne peut analyser votre disque. Vous pouvez tester votre œil sur ce type de leurre avec notre quiz de reconnaissance d’une arnaque.
Avant de payer une licence, posez la question autrement : qu’est-ce que ce produit va me montrer ou me permettre de faire que mon système ne fait pas déjà tout seul ? S’il s’agit d’une console pour surveiller plusieurs machines, d’un historique exploitable après incident ou d’une exigence écrite dans un contrat, la dépense a un objet. S’il s’agit d’un meilleur taux de détection sur un ordinateur unique tenu à jour, vous achetez quelques dixièmes de point, au prix d’un abonnement qui se renouvellera tout seul.
Sur la détection des menaces répandues, oui. Les laboratoires de test indépendants européens publient des mesures régulières : les produits du haut de tableau, protection intégrée comprise, se tiennent en quelques dixièmes de point. Les différences se font ailleurs : ergonomie, fonctions annexes, administration centralisée, qualité du support. Pour un particulier qui garde son système à jour et télécharge ses logiciels aux bonnes sources, la protection intégrée est un choix défendable, à condition de ne pas l’avoir désactivée un jour pour installer un utilitaire douteux.
macOS combine trois mécanismes : Gatekeeper, qui vérifie que l’application a été signée et validée par Apple, XProtect, qui compare les fichiers à une base de signatures mise à jour en arrière-plan, et un outil de suppression des familles connues. Cela couvre les logiciels publicitaires et les faux utilitaires de nettoyage, qui constituent l’essentiel de la menace sur ce système. Un produit tiers apporte surtout de la visibilité et une analyse à la demande, pas une protection radicalement différente.
Play Protect analyse les applications installées, y compris celles venues d’ailleurs que la boutique officielle, et bloque les familles connues. La faiblesse n’est pas la détection, c’est l’autorisation : un logiciel malveillant demande l’accès aux services d’accessibilité ou à la lecture des notifications, et l’utilisateur accorde. Faire régulièrement la revue des permissions protège davantage qu’un antivirus mobile supplémentaire.
Moins qu’avant, mais l’effet reste mesurable sur les machines modestes et sur les disques mécaniques. L’analyse en temps réel intercepte chaque ouverture de fichier, ce qui pèse sur la compilation, la copie de gros volumes et le démarrage. Deux produits temps réel installés en même temps s’analysent mutuellement et le ralentissement devient franc. Si une machine est devenue lente après une installation de suite de sécurité, la cause est à chercher là avant tout le reste.
Non. Une page web ne peut pas analyser votre disque : elle n’a accès ni aux fichiers ni aux processus. Toute page qui affiche un nombre d’infections, un compte à rebours ou un numéro d’assistance à appeler relève de l’arnaque au faux support technique. Fermez l’onglet, ne rappelez jamais le numéro et ne laissez personne prendre la main à distance. Le signalement se fait sur Cybermalveillance.gouv.fr.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.