Sécurité · macOS 26

Vérifier soi-même qu'une app de fond d'écran animé est sûre

Certaines le sont, d'autres non — et vous n'avez à croire personne pour le savoir. Trois commandes livrées avec macOS et un panneau des Réglages Système vous disent qui a signé l'app, si Apple l'a scannée et ce qu'elle est capable de lire. La règle qui tranche tout : un fond d'écran dessine des pixels, il n'a jamais besoin de les lire. Depuis mars 2026, la catégorie est activement contrefaite par un voleur d'identifiants, et plus de la moitié des binaires malveillants macOS analysés cette année étaient signés. D'où une checklist exécutable sur n'importe quelle app, plutôt qu'une promesse.

Par Adrien PennetierDéveloppeur macOS, créateur de Mac+

Mis à jour le 2026-09-10 · 9 min de lecture · Testé sur macOS 26.6.2 (build 25G83)

Bureau macOS avec la scène Brume de Mac+ et le panneau Confidentialité et sécurité ouvert pour vérifier les autorisations d'une app de fond d'écran animé — Un fond d'écran dessine des pixels. Savoir si une app les lit aussi est écrit dans ses autorisations — et cela se lit avant même de la lancer.

La règle qui trie toute la catégorie : dessiner des pixels, ce n'est pas les lire

Ouvrez Réglages Système > Confidentialité et sécurité sur macOS 26 et comptez : vingt-quatre catégories. Vos données (localisation, contacts, photos, fichiers et dossiers, accès complet au disque), vos capteurs (caméra, micro, enregistrement de l'écran), le contrôle de la machine (accessibilité, surveillance de la saisie, automatisation, bureau à distance), votre environnement (Bluetooth, réseau local, HomeKit). Cherchez maintenant celle qui régit le fait d'afficher quelque chose. Il n'y en a pas. Toutes régissent la lecture de vos données ou le contrôle du Mac.

C'est tout le critère de tri. Un moteur de rendu de fond d'écran dessine des pixels sur le bureau ; il ne lit aucune de vos données pour le faire, il n'a donc structurellement besoin d'aucune des vingt-quatre. Chaque autorisation qu'une app de fond d'écran réclame doit se justifier par une fonction que vous utilisez réellement — un widget météo qui veut le Réseau local, une fonction d'icônes qui veut Fichiers et dossiers — jamais par le fond d'écran lui-même.

L'autorisation qui fait le plus mal est l'Enregistrement de l'écran et des sons du système : Apple écrit qu'elle permet à une app d'accéder à l'écran et au son de votre Mac et de les enregistrer. L'excuse habituelle — « on en a besoin pour mettre le fond en pause quand une fenêtre le recouvre » — ne résiste pas à la documentation. Sans cette autorisation, CGWindowListCopyWindowInfo omet exactement une chose, la clé kCGWindowName : l'app voit toujours qu'une fenêtre existe et où elle se trouve, elle ne peut simplement pas lire son titre ni son contenu. La pause n'a besoin de rien de plus. L'exception honnête : une app qui affiche un aperçu de votre bureau, ou dont l'effet réagit à ce qui est affiché, en a vraiment besoin — et doit alors dire pourquoi avant de demander. La consommation est une autre question, mesurée dans les fonds animés vident-ils la batterie du MacBook ? ; cette page ne mesure rien.

Avant même de la lancer : lire ce que l'app a le droit de vous demander

Voici le geste que personne n'écrit. L'app est dans /Applications, téléchargée, pas encore ouverte. Chaque dialogue d'autorisation que macOS peut afficher en son nom est déjà inscrit dans le bundle, sous forme de « purpose string » dans son Info.plist. Une ligne les lit toutes :

plutil -p "/Applications/Mon App.app/Contents/Info.plist" | grep -i usage

Ce qui revient, c'est la liste de ce que l'app est capable de demander. Une app sans NSScreenCaptureUsageDescription ne peut pas afficher le dialogue d'Enregistrement de l'écran ; une app qui en porte une, dans une catégorie qui dessine des pixels, vous doit une explication. Lisez ensuite ce que la signature autorise réellement :

codesign -d --entitlements :- "/Applications/Mon App.app"

La commande imprime les entitlements — les capacités scellées dans la signature, comme le bac à sable (com.apple.security.app-sandbox, normal pour une app de l'App Store, absent de la plupart des téléchargements directs) ou l'automatisation par Apple Events. Une limite, vérifiée pour ne pas surinterpréter : beaucoup d'apps ne déclarent aucune chaîne du tout — Google Chrome, relevé le 29/08/2026, n'en déclare aucune. Une chaîne présente est un signal. Une chaîne absente ne prouve rien.

Les deux commandes qui disent qui a signé l'app et si Apple l'a scannée

Demandez maintenant son verdict à macOS. Si le chemin contient une espace, gardez les guillemets :

spctl -a -vv "/Applications/Mon App.app"

Ignorez les articles périmés qui annoncent que « spctl est mort » : ce que macOS 15 a retiré, d'après sa propre page de manuel, ce sont uniquement les opérations qui modifient la base de règles de Gatekeeper. L'évaluation, -a, fonctionne toujours sur macOS 26.6.2. Elle répond par un verdict et une ligne source=, en cinq combinaisons seulement, toutes relevées le 29/08/2026 :

Les cinq verdicts de spctl sur macOS 26, et ce qu'il faut en faire
Ce que renvoie spctl	Ce que ça veut dire	Verdict
accepted · source=Apple System	Logiciel Apple livré avec macOS	Rien à vérifier
accepted · source=Mac App Store	Passée par la revue Apple, sandboxée	Bon signal, pas une garantie
accepted · source=Notarized Developer ID	Signée par un compte développeur identifié et scannée par Apple	Le minimum exigible hors App Store
rejected · source=Unnotarized Developer ID	Signée, mais jamais soumise au scan d'Apple	À écarter pour une app de fond d'écran
rejected · source=no usable signature	Personne n'en assume la paternité	À supprimer

La seconde commande lit l'identité derrière la signature :

codesign -dv --verbose=4 "/Applications/Mon App.app"

Quatre lignes comptent. Authority= est le nom inscrit sur le certificat, suivi de la chaîne Apple (Developer ID Certification Authority, Apple Root CA). TeamIdentifier= est le Team ID à dix caractères. Notarization Ticket=stapled signifie que le ticket voyage avec l'app et que la vérification marche hors ligne — sur une app signée mais non notarisée, la ligne est tout simplement absente. Et le mot runtime dans flags= indique que le Hardened Runtime est activé.

Comparez le Team ID à celui que l'éditeur publie sur son site ; s'il ne le publie nulle part, c'est déjà une réponse. Pour une image disque, stapler validate "Mon App.dmg" vérifie le ticket sur le DMG lui-même — il faut une connexion internet, et cela ne fonctionne que sur les images UDIF, les paquets d'installation « flat » et les bundles .app. Dix minutes suffisent pour une présélection entière ; notre comparatif des apps de fond d'écran animé pour Mac est un bon point de départ.

Les quatre panneaux de Confidentialité où une app de fond d'écran ne doit jamais figurer

Lancez-la maintenant, utilisez-la une session, puis ouvrez Réglages Système > Confidentialité et sécurité. Vous vérifiez que l'app est absente de quatre panneaux.

Enregistrement de l'écran et des sons du système — vos pixels, les titres de vos fenêtres et votre son. Inutile pour dessiner un fond d'écran, inutile pour le mettre en pause.
Accessibilité — l'autorisation sert à une app qui veut accéder à votre Mac et le contrôler ; Apple précise qu'une app ainsi autorisée peut aussi atteindre vos contacts, vos calendriers et d'autres informations privées, et recommande de ne l'accorder qu'aux apps que vous connaissez et auxquelles vous faites confiance.
Accès complet au disque — la dérogation globale. Elle écrase toutes les autorisations fines : une seule case, et l'app lit toutes les zones protégées sans plus aucun dialogue. C'est exactement la case que la campagne de mars 2026 faisait cocher à ses victimes.
Surveillance de la saisie — vos frappes clavier, dans toutes les apps.

D'autres panneaux peuvent être légitimes, à une condition : chaque entrée doit correspondre à une fonction que vous utilisez. Fichiers et dossiers et Automatisation ont un sens si l'app modifie les icônes de dossiers du Finder ; Réseau local en a un pour un widget météo. Une entrée que vous ne pouvez rattacher à rien de ce que vous avez demandé, c'est la règle de sortie.

Ce qu'elle laisse derrière elle, et ce qu'elle envoie

La persistance d'abord. Ouvrez Réglages Système > Général > Ouverture et extensions et regardez ce que l'app y a inscrit. Puis interrogez launchd directement, avec l'identifiant de bundle lu dans la sortie de codesign :

launchctl list | grep com.exemple.app

Et regardez dans les trois dossiers où vivent les agents tiers : ~/Library/LaunchAgents, /Library/LaunchAgents et /Library/LaunchDaemons. Le test utile est celui de la désinstallation : jetez l'app à la corbeille, puis regardez à nouveau. Ce qui survit n'avait rien à faire là.

Le réseau ensuite, sans rien installer. nettop est livré avec macOS :

nettop -P -t external -p "Mon App"

-P donne un résumé par processus, -t external ne garde que les interfaces réelles, -p sélectionne le processus. Laissez tourner pendant une session normale. Pour bloquer plutôt que regarder, LuLu (Objective-See Foundation, gratuit, GPL-3.0) est un pare-feu sortant qui vous demande votre avis avant chaque nouvelle connexion ; KnockKnock, du même éditeur, énumère tout ce qui est installé de façon persistante. Ce qu'on attend d'un fond d'écran rendu localement : un trafic quasi nul en usage normal, au plus une vérification de licence ou de mise à jour — jamais un flux continu.

Ce que la checklist ne prouve pas (et le piège de 2026)

Une signature n'est pas une vertu. Le rapport macOS de mi-2026 de Moonlock Lab (16/07/2026) est sans détour : bien plus de la moitié des binaires Mach-O malveillants analysés étaient signés numériquement, et environ un cinquième portaient un certificat développeur Apple valide ou récemment révoqué. La notarisation n'est pas un audit non plus. Dans le bilan 2025 d'Objective-See, MacSync Stealer a été livré « code signed and notarized », dans une image disque, et ChillyHell a été notarisé avant qu'Apple ne révoque son ticket et son certificat. OSX.Shlayer avait déjà été trouvé notarisé en août 2020. Apple lui-même n'écrit que « free of known malicious content » : la notarisation prouve une identité réelle et l'absence de logiciel malveillant connu au moment du scan, rien sur ce que l'app fait de vos données une fois lancée.

Puis le piège de 2026. Depuis ses premières détections le 30 mars 2026, un voleur d'identifiants documenté par Moonlock Lab circule sous la forme d'une copie contrefaite d'une vraie app de fond d'écran animé pour Mac, hébergée sur des domaines sosies et promue par un canal social détourné. Deux chaînes d'infection : une page « ClickFix » qui affiche une commande Terminal encodée en base64 présentée comme un correctif, et un DMG contenant un Install.sh. Dans les deux cas, la victime est ensuite guidée pas à pas pour accorder l'Accès complet au disque. Le conseil de Moonlock, mot pour mot : « Never paste Terminal commands sourced from a browser or document. »

Deux règles en découlent. Ne collez jamais dans le Terminal une commande opaque fournie par un site — celles de cette page sont en lecture seule, assez courtes pour être tapées et documentées dans leur page de manuel. Et ne suivez jamais d'instructions pour contourner Gatekeeper : quand macOS bloque une app, le dialogue dit « Apple ne peut pas vérifier que l'app “Example App” ne contient pas de logiciel malveillant », le passage en force se fait dans Réglages Système > Confidentialité et sécurité > Ouvrir quand même, avec une reconfirmation, et le contournement par clic droit > Ouvrir a disparu avec macOS 15. Frigid Stealer expliquait exactement cela à ses victimes. Un éditeur légitime n'a jamais besoin de le faire. Si un téléchargement de fond d'écran animé gratuit vient avec sa méthode de contournement, la vérification est terminée.

Mac+ passé à sa propre checklist

Une page qui vous demande de vérifier chaque app doit s'y soumettre. Mac+ est distribué hors Mac App Store, signé avec un certificat Developer ID et notarisé — le téléchargement de ce site portait un ticket de notarisation valide sous stapler validate le 29/08/2026. Les valeurs à comparer avec votre Terminal : identifiant de bundle com.macosengine.app, Team ID H59XG3G3QT. Avant de lancer codesign : le certificat est au nom de la personne physique qui édite Mac+ sous la marque PENRA — Developer ID Application: Adrien Pennetier (H59XG3G3QT) — pas d'une société. Le Hardened Runtime est activé ; le seul entitlement de la signature est l'automatisation par Apple Events.

Les autorisations déclarées dans Info.plist : les Apple Events vers le Finder (rafraîchir l'icône d'un dossier que vous avez personnalisé) et l'accès aux dossiers Bureau, Documents, Téléchargements et aux volumes amovibles (appliquer les motifs d'icônes aux dossiers que vous choisissez). Les deux servent la fonction icônes de dossiers, pas le fond d'écran. Aucune chaîne d'Enregistrement de l'écran, aucune d'Accessibilité, aucune raison de figurer dans Accès complet au disque. Mac+ n'est pas « sans autorisation » : il en demande deux, et aucune ne sert le fond d'écran.

Dernière honnêteté : l'app n'est pas hors ligne. Le rendu, les scènes, les palettes, les widgets et les icônes restent sur la machine, mais le compte optionnel et l'achat passent par le réseau dès que vous vous connectez ou achetez — LuLu vous le montrera. Passez-lui la checklist comme à n'importe quelle autre app. macOS 13 ou supérieur, Apple Silicon et Intel, palier gratuit sans compte ; le prix sans abonnement est de 1,99 €/mois ou 9,99 € une fois, et les scènes sont sur la page fond d'écran animé pour Mac.

La checklist en sept gestes

Téléchargez l'app depuis le site de l'éditeur uniquement — jamais depuis un lien de vidéo, de forum ou de document partagé. Ne la lancez pas encore.
Lisez ce qu'elle peut demander : plutil -p "/Applications/Mon App.app/Contents/Info.plist" | grep -i usage. Une chaîne d'Enregistrement de l'écran dans une app de fond d'écran exige une explication de l'éditeur.
Demandez son verdict à macOS : spctl -a -vv "/Applications/Mon App.app". Attendez accepted avec source=Notarized Developer ID ou source=Mac App Store ; tout autre résultat, arrêtez-vous là.
Lisez l'identité du signataire : codesign -dv --verbose=4 "/Applications/Mon App.app". Notez TeamIdentifier=, vérifiez la présence de Notarization Ticket=stapled et du mot runtime dans les flags. Comparez ensuite ce Team ID à celui que l'éditeur publie — s'il ne le publie nulle part, considérez que c'est une réponse.
Ouvrez Réglages Système > Confidentialité et sécurité et vérifiez que l'app n'apparaît pas dans Enregistrement de l'écran et des sons du système, Accessibilité, Accès complet au disque ni Surveillance de la saisie.
Regardez ce qu'elle installe : Réglages Système > Général > Ouverture et extensions, puis launchctl list | grep com.exemple.app et les dossiers LaunchAgents de ~/Library et /Library.
Surveillez le trafic sortant pendant une session normale : nettop -P -t external -p "Mon App", ou installez LuLu si vous voulez pouvoir bloquer.

↓ Télécharger Mac+ gratuit Accueil Mac+

macOS 13 ou supérieur. Apple Silicon et Intel. Version gratuite sans compte ; 1,99 €/mois ou 9,99 € une fois. Passez-lui la checklist d'abord.

Questions fréquentes

Les apps de fond d'écran animé sont-elles sûres sur Mac ?

Certaines oui, d'autres non, et le tri se fait soi-même en quelques minutes : spctl dit si l'app est signée et notarisée, codesign dit qui l'a signée, et le panneau Confidentialité et sécurité dit ce qu'on lui a accordé. Le critère décisif est le jeu d'autorisations demandé. Un fond d'écran dessine des pixels ; il n'a structurellement besoin ni de l'Enregistrement de l'écran, ni de l'Accessibilité, ni de l'Accès complet au disque, ni de la Surveillance de la saisie.

Une app de fond d'écran a-t-elle besoin de l'enregistrement de l'écran ?

Pas pour dessiner un fond d'écran, et pas non plus pour le mettre en pause quand une fenêtre le recouvre : sans cette autorisation, une app voit toujours que des fenêtres existent et où elles sont, elle perd seulement leurs titres et leur contenu. L'Enregistrement de l'écran sert à lire l'écran. La seule exception légitime est une app qui affiche un aperçu de votre bureau ou dont l'effet réagit à ce qui est affiché — et elle doit le dire avant de demander.

Comment savoir si une app Mac est notarisée ?

Lancez spctl -a -vv sur le chemin de l'app (entre guillemets s'il contient une espace). Un téléchargement notarisé répond accepted avec source=Notarized Developer ID. Lancez ensuite codesign -dv --verbose=4 sur le même chemin et cherchez la ligne Notarization Ticket=stapled : elle est présente sur une app notarisée et simplement absente sur une app signée mais jamais soumise au scan d'Apple.

Une app Mac notarisée peut-elle quand même être malveillante ?

Oui. Le bilan 2025 d'Objective-See documente MacSync Stealer, livré signé et notarisé dans une image disque, et ChillyHell, notarisé avant qu'Apple ne révoque son ticket et son certificat ; en 2020, OSX.Shlayer avait déjà été notarisé. Apple ne certifie que l'absence de logiciel malveillant connu au moment du scan. La notarisation prouve une identité et un scan propre, pas un bon comportement avec vos données.

Les apps de fond d'écran Mac collectent-elles des données ?

Ce n'est pas une question d'opinion : les autorisations que vous accordez bornent ce qui est techniquement possible, et le trafic montre ce qui part réellement. Vérifiez les entrées de l'app dans Confidentialité et sécurité, puis observez-la avec nettop -P -t external -p suivi du nom du processus, ou avec un pare-feu sortant comme LuLu. Un fond d'écran rendu localement doit produire un trafic quasi nul, au plus une vérification de licence ou de mise à jour.

Sources

← Tous les guides