Gestionnaire de presse-papiers : pourquoi il ne doit jamais « téléphoner à la maison »

Un gestionnaire de presse-papiers doit garder votre historique sur votre Mac et n’établir aucune connexion réseau transportant vos données ou vos habitudes d’usage. Le presse-papiers est le point de passage des mots de passe, des jetons d’API, des messages privés et des documents clients : toute application qui envoie des statistiques ou synchronise via ses propres serveurs crée un risque dont on pourrait très bien se passer.

En bref

• Votre presse-papiers est le flux de texte sensible le moins filtré de votre ordinateur.
• Une « télémétrie anonyme » dans un gestionnaire de presse-papiers reste un problème de confiance, puisque l’application voit tout ce que vous copiez.
• Une vérification de mise à jour n’est pas de la télémétrie. Faites la différence et privilégiez les applications qui permettent de désactiver les deux.
• Inutile de croire quiconque sur parole : cinq minutes avec un pare-feu suffisent pour voir ce que fait réellement une application.

Repensez à votre dernière heure de travail. Vous avez probablement copié un identifiant, un code à usage unique, un extrait d’e-mail client, peut-être une chaîne de connexion à une base de données. Rien de tout cela n’était destiné à quitter votre machine. Or un gestionnaire de presse-papiers est justement l’application conçue pour tout enregistrer, dans l’ordre, avec horodatage. Elle n’a rien d’un widget météo ou d’une application de notes, et c’est pourquoi son comportement réseau mérite plus d’attention que presque tout ce que vous installez.

Que contient réellement votre presse-papiers ?

On l’imagine volontiers contenant une phrase ou une image. En pratique, sur une semaine de travail normale, il voit passer des données bien plus sensibles.

Ce qui transite	Exemple typique	En cas de fuite
Identifiants	Mots de passe copiés depuis un gestionnaire de mots de passe, codes de récupération	Prise de contrôle de compte
Secrets de développeur	Clés d’API, jetons d’accès, lignes de .env, extraits SSH	Accès à l’infrastructure, facturation frauduleuse
Communications privées	Messages de chat, brouillons d’e-mails, réponses au support	Atteinte à la vie privée, risque juridique
Données financières et d’identité	IBAN, numéros de carte, adresses, numéros fiscaux	Fraude, usurpation d’identité
Travail en cours	Textes non publiés, clauses de contrat, code source	Violation d’un NDA, perte de confiance d’un client

Tout cela peut se retrouver dans une base d’historique. Si cette base reste sur le disque, le risque est local : il faut que quelqu’un accède à votre Mac déverrouillé. Si l’application envoie en plus des données à un serveur, on change de catégorie, car vous dépendez désormais de la sécurité, de la politique de conservation et du modèle économique d’un tiers.

Que veut dire concrètement « téléphoner à la maison » ?

L’expression recouvre plusieurs comportements faciles à confondre, qui n’appellent pas le même degré de méfiance.

Comportement	Ce qui est envoyé	Acceptable ?
Vérification des mises à jour	Version actuelle, plus ce que révèle toute requête HTTPS (adresse IP, user-agent)	Oui, si elle peut être désactivée et repose sur un mécanisme reconnu
Rapports de plantage	Traces de pile, éventuellement des informations sur l’appareil	Seulement sur option explicite, et à condition que le contenu du presse-papiers ne puisse jamais y être joint
Statistiques d’usage	Utilisation des fonctions, nombre de sessions, profil de l’appareil	Difficile à justifier dans une application qui voit vos secrets
Synchronisation cloud	Les éléments du presse-papiers eux-mêmes	Uniquement avec un chiffrement de bout en bout vérifiable, et idéalement facultative
Fonctions basées sur le contenu	Texte du presse-papiers envoyé à un serveur pour de l’IA, de la traduction ou un traitement « intelligent »	Uniquement si vous le déclenchez vous-même, élément par élément

La première ligne est celle qui prête le plus à confusion. Une application qui cherche des mises à jour ne vous espionne pas. Mais si elle fait aussi de l’analytique, la vérification de mise à jour n’est qu’une connexion sortante de plus à passer au crible. La bonne question n’est donc pas « se connecte-t-elle à Internet ? » mais « qu’envoie-t-elle, et puis-je l’en empêcher ? »

Pourquoi une télémétrie « anonyme » reste-t-elle un problème ici ?

La plupart des arguments en faveur de la télémétrie reposent sur le mot anonyme. Pour un gestionnaire de presse-papiers, cet argument est plus fragile qu’il n’y paraît, pour trois raisons.

1. Le collecteur est assis à côté des secrets. Le code d’analytique s’exécute dans le même processus que celui qui lit votre pasteboard. Vous faites confiance non seulement au code actuel, mais à chaque version future, à chaque SDK ajouté et à chaque changement de propriétaire.
2. Les SDK tiers élargissent le cercle. Les bibliothèques d’analytique et de rapports de plantage apportent leurs propres points d’accès et leur propre comportement. Lire le code de l’application ne suffit plus : il faut aussi lire le leur.
3. Les métadonnées ne sont pas anodines. Même sans le contenu, la fréquence de vos copies, les applications d’où elles proviennent et les heures auxquelles elles se produisent décrivent votre quotidien professionnel.

Rien de tout cela ne suppose de mauvaises intentions. La plupart des développeurs qui ajoutent de l’analytique veulent simplement savoir quelles fonctions sont utilisées. Reste qu’un outil placé dans cette position devrait être conçu de sorte que la confiance ne soit pas nécessaire.

Comment vérifier ce que fait votre gestionnaire de presse-papiers sur le réseau ?

Cet audit est à votre portée sur macOS, sans compétence particulière. Voici une méthode courte qui fonctionne avec n’importe quelle application, pas seulement les gestionnaires de presse-papiers.

1. Surveillez-le avec un pare-feu sortant

Installez un pare-feu applicatif qui vous alerte à chaque nouvelle connexion sortante, comme Little Snitch (payant) ou LuLu d’Objective-See (gratuit et open source). Lancez le gestionnaire de presse-papiers, copiez du texte, utilisez ses fonctions pendant une journée et notez chaque alerte. Un outil purement local n’en déclenche presque aucune.

2. Observez les connexions en direct

Ouvrez le Moniteur d’activité et passez à l’onglet Réseau, ou exécutez cette commande dans le Terminal pendant que l’application tourne :

nettop -p "$(pgrep -x Maccy)" -m tcp

Remplacez le nom du processus par celui de l’application que vous testez. Une sortie silencieuse pendant que vous copiez et collez est bon signe. Attention : cela montre les connexions, pas ce qu’elles transportent ; seuls un pare-feu et le code source répondent à cette question.

3. Vérifiez les entitlements du sandbox

Les applications Mac sandboxées déclarent si elles ont le droit d’ouvrir des connexions réseau sortantes. Vous pouvez lire cette déclaration directement :

codesign -d --entitlements - /Applications/Maccy.app

Cherchez com.apple.security.network.client. S’il est absent dans une version sandboxée, l’application ne peut tout simplement pas se connecter vers l’extérieur. S’il est présent, elle le peut, et l’étape 1 vous dit si elle le fait. Les entitlements déclarés par chaque version de Maccy sont à confirmer sur la version que vous avez installée. [À VÉRIFIER]

4. Privilégiez les logiciels que vous pouvez lire

L’open source ne garantit pas l’innocuité, mais il permet à vous, ou à quelqu’un de confiance, de chercher les appels réseau dans le code. Maccy app est open source et son code est sur Maccy mac“>GitHub. Chercher dans un dépôt les sessions URL, les SDK d’analytique et les dépendances tierces prend quelques minutes et donne une réponse plus fiable que n’importe quelle page de confidentialité.

5. Lisez ce que dit l’éditeur, puis comparez

Si une politique de confidentialité indique « nous pouvons collecter des données d’usage pour améliorer le produit », demandez ce que cela recouvre et s’il existe un réglage pour le désactiver. Si la réponse est vague, comptez que c’est oui.

À quoi ressemble un gestionnaire de presse-papiers respectueux de la vie privée ?

Vous pouvez juger n’importe quelle application à l’aune d’une courte liste de critères. Voici les propriétés qui comptent le plus, à peu près par ordre d’importance.

• Stockage local par défaut. L’historique vit sur votre Mac, et vous pouvez le retrouver et le supprimer.
• Aucun SDK d’analytique ou de publicité. Si des rapports de plantage existent, ils sont facultatifs et n’incluent jamais le contenu du pasteboard.
• Respect des éléments masqués. Les gestionnaires de mots de passe signalent les copies sensibles grâce à des conventions communautaires comme org.nspasteboard.ConcealedType, documentées sur nspasteboard.org. Un bon gestionnaire de presse-papiers ignore ces éléments au lieu de les stocker.
• Règles d’exclusion par application. Vous pouvez exclure les applications qui manipulent des secrets, pour que leurs copies n’entrent jamais dans l’historique.
• Une limite que vous maîtrisez. Vous décidez combien d’éléments sont conservés, et vider l’historique se fait en une seule action.
• Des fonctions réseau facultatives et inspectables. Les mises à jour et tout ce qui touche à Internet peuvent être observés et désactivés.
• Un code lisible. Vous pouvez vérifier les points ci-dessus au lieu de vous fier à des promesses.

Comment Maccy gère-t-il tout cela ?

Maccy clipboard est un gestionnaire de presse-papiers gratuit et open source pour macOS, conçu pour garder l’historique en local. Il est stocké sur votre Mac, sans compte ni synchronisation cloud. Plusieurs réglages existent spécifiquement pour tenir les copies sensibles hors de l’historique :

• Applications ignorées. Dans Maccy → Réglages → Ignorer , vous pouvez lister les applications dont Maccy ne doit jamais enregistrer les copies, comme un gestionnaire de mots de passe ou une application bancaire.
• Types de pasteboard ignorés. La même zone permet d’exclure des types de pasteboard précis. Les valeurs par défaut de Maccy couvrent déjà les types masqués et transitoires décrits plus haut. [À VÉRIFIER : liste exacte des types par défaut et noms des onglets dans la version actuelle]
• Taille de l’historique. Un historique plus court, c’est moins de données sensibles sur le disque. Descendre sous la valeur par défaut est une bonne habitude si vous copiez souvent des secrets.
• Effacement. Vous pouvez vider l’historique depuis le menu ou avec un raccourci clavier dès que vous avez terminé un travail sensible.

Une réserve, par honnêteté. Les versions distribuées hors du Mac App Store incluent généralement une vérification automatique des mises à jour, c’est-à-dire une requête réseau pour chercher de nouvelles versions. C’est un mécanisme de mise à jour, pas de l’analytique, et il peut être désactivé dans les réglages. Son comportement dans la version exacte que vous avez téléchargée se confirme avec la méthode du pare-feu décrite plus haut. [À VÉRIFIER : implémentation de la vérification des mises à jour et emplacement du réglage dans la version actuelle]

Le 100 % local a ses limites. À quoi renoncez-vous ?

Il serait malhonnête de prétendre que cela ne coûte rien. Un gestionnaire de presse-papiers qui ne parle jamais à un serveur ne permet pas de :

• Synchroniser l’historique entre appareils. Le Presse-papiers universel d’Apple gère le cas « copier sur l’iPhone, coller sur le Mac » pour l’élément courant, mais un historique complet et consultable d’une machine à l’autre n’est pas ce qu’offre un outil purement local.
• Sauvegarder l’historique dans le cloud. Si vous effacez votre Mac, l’historique part avec, sauf si ses données figurent dans vos propres sauvegardes.
• Proposer des fonctions « intelligentes » côté serveur. Tout ce qui requiert un service distant, comme des transformations par IA dans le cloud, est exclu par conception.

Pour beaucoup de gens, ces renoncements sont acceptables. Pour d’autres, non, et c’est un choix légitime. L’essentiel est que le compromis soit fait en connaissance de cause, avec un flux de données visible, et non enfoui dans un écran de réglages ou une politique de confidentialité.

Quelles habitudes comptent plus que l’application choisie ?

Même le gestionnaire de presse-papiers le plus respectueux ne peut pas protéger des secrets que vous laissez traîner. Quelques habitudes aident, quel que soit l’outil :

1. Ajoutez votre gestionnaire de mots de passe à la liste d’exclusion de l’application.
2. Gardez un historique court et videz-le après les sessions sensibles.
3. Activez FileVault pour que la base d’historique soit chiffrée au repos.
4. Verrouillez votre écran dès que vous vous éloignez.
5. Faites tourner un pare-feu sortant au moins une semaine sur tout nouvel utilitaire qui touche à vos données.

macOS évolue aussi vers plus de visibilité pour l’utilisateur sur les applications qui lisent le pasteboard. Les détails varient selon la version du système ; regardez ce que propose votre version dans Réglages Système → Confidentialité et sécurité. [À VÉRIFIER : comportement actuel dans la dernière version de macOS]

Questions fréquentes

Les gestionnaires de presse-papiers envoient-ils mes données dans le cloud ?

Certains le font, généralement pour la synchronisation entre appareils ou pour des statistiques d’usage. D’autres gardent tout sur votre Mac. Une page marketing ne permet pas de trancher : vérifiez les connexions réseau de l’application avec un pare-feu comme Little Snitch ou LuLu, ou examinez ses entitlements et son code source.

Est-il sûr de copier des mots de passe avec un gestionnaire de presse-papiers ?

Cela peut l’être si le gestionnaire fonctionne uniquement en local et respecte la convention utilisée par les gestionnaires de mots de passe pour marquer les éléments sensibles comme masqués. Même dans ce cas, limitez la taille de l’historique et ajoutez à la liste d’exclusion les applications qui manipulent des secrets.

Comment vérifier si une application Mac envoie des données ?

Utilisez un pare-feu sortant comme Little Snitch ou LuLu et surveillez les alertes. L’onglet Réseau du Moniteur d’activité et la commande nettop affichent le trafic par processus. Pour une vérification plus poussée, inspectez les entitlements du sandbox avec codesign.

Quelle différence entre télémétrie et vérification des mises à jour ?

Une vérification de mise à jour demande à un serveur si une nouvelle version existe et n’envoie guère plus que n’importe quelle requête web. La télémétrie, elle, renvoie au développeur ce que vous faites ou à quoi ressemble votre machine. Une application digne de confiance vous permet de voir et de désactiver les deux.

L’essentiel à retenir

Un gestionnaire de presse-papiers voit plus de votre journée que presque n’importe quelle autre application ; il devrait donc demander moins de confiance que presque n’importe quelle autre. Stockage local, zéro analytique, respect des éléments masqués et code lisible : c’est le socle, pas une option premium. Inutile de nous croire sur parole, ni Maccy ni personne d’autre : installez un pare-feu, observez pendant une journée et jugez par vous-même.

Si vous voulez essayer une solution local-first, Maccy est gratuit sur GitHub et son code est ouvert à l’inspection. Et une question à poser à chaque outil de votre Mac : si vous le fassiez tourner derrière un pare-feu pendant une semaine, seriez-vous surpris par ce que vous verriez ?

Si vous voulez l’essayer, maccy.at est un gestionnaire de presse-papiers pour macOS gratuit et open source.