Comment savoir si une app Mac est sûre : 5 vérifications concrètes

Réponse courte

Aucun contrôle unique ne prouve qu'une app Mac est sûre. Téléchargez-la depuis le Mac App Store ou depuis le site officiel du créateur, vérifiez qu'elle est signée et notarisée, et remarquez les autorisations qu'elle demande. La notarisation signifie que l'analyse automatisée d'Apple n'a trouvé aucun logiciel malveillant connu, et non qu'une personne a examiné l'app. Et ne collez jamais une commande Terminal depuis une page web pour installer quoi que ce soit.

1. Vérifier d'où elle vient

Apple présente l'App Store comme la source la plus sûre, car Apple examine et signe chaque app qui y figure, et peut retirer rapidement les apps problématiques. En dehors du store, allez sur le site du créateur. Saisissez l'adresse ou suivez un lien depuis une source de confiance. Les attaquants copient de vrais sites. Une campagne 2020 a utilisé une copie du site de Homebrew.

2. Vérifier la signature et la notarisation

Faites glisser l'app dans Applications, mais ne l'ouvrez pas encore. Exécutez ensuite cette commande dans Terminal, avec le nom de votre app :

spctl -a -vv /Applications/YourApp.app

Résultat	Ce que cela signifie
`accepted` et `source=Notarized Developer ID`	Signée par un développeur enregistré et notarisée par Apple
`accepted` et `source=Developer ID`	Signée, mais non notarisée, selon l'aide Xcode d'Apple
`accepted` et `source=Apple System`	Partie de macOS
`rejected`	Gatekeeper ne l'autoriserait pas selon ses règles habituelles

La ligne origin= indique qui l'a signée. Vérifiez qu'elle correspond à l'entreprise ou à la personne attendue. Nous avons fait ce test sous macOS 26.7.1 le 30 octobre 2026, et Google Chrome affichait origin=Developer ID Application: Google LLC.

Pour voir toute la chaîne de signature, ou pour tester uniquement la notarisation :

codesign -dv --verbose=2 /Applications/YourApp.app
codesign --test-requirement="=notarized" --verify /Applications/YourApp.app

La deuxième commande n'affiche rien lorsque l'app réussit le test. Les apps intégrées d'Apple échouent à ce test car elles sont signées différemment, il n'est donc utile que pour les apps tierces.

3. Savoir ce que la notarisation ne prouve pas

Apple dit clairement que la notarisation n'est pas App Review. C'est une analyse automatisée à la recherche de contenus malveillants et de problèmes de signature de code. Elle ne dit rien de la qualité, de la vie privée ni du fait que l'app tient ses promesses. Des logiciels malveillants l'ont aussi franchie : en 2020, le chercheur Patrick Wardle a signalé un logiciel malveillant Shlayer notarisé, et Apple a révoqué les certificats qu'il avait signalés.

4. Remarquer ce que l'app demande

Le bac à sable est obligatoire dans le Mac App Store, mais de nombreux bons téléchargements directs ne l'utilisent pas, car ils ont besoin d'un accès plus large pour faire leur travail. Demandez-vous donc si chaque demande a du sens. Un gestionnaire de fenêtres qui demande l'accès à l'Accessibilité, c'est logique. Une calculatrice qui veut accéder à vos contacts, non. Vous pouvez examiner et retirer ces accès dans Réglages Système, sous Confidentialité & Sécurité.

5. Ne collez jamais de commandes d'installation depuis une page web

Une attaque courante en 2026 évite complètement l'app. Une page vous demande de coller une commande dans Terminal, ou de lancer un script qu'elle ouvre pour vous, comme « correctif » ou « vérification ». Cette voie contourne les contrôles ci-dessus. Certains outils de développement légitimes s'installent bien depuis Terminal, donc utilisez uniquement la commande indiquée sur le site officiel, et seulement si vous vouliez installer cet outil. Si vous avez déjà exécuté une commande inconnue, considérez le Mac comme potentiellement compromis et changez vos mots de passe depuis un autre appareil.

Ce que signifie une coche bleue MacPip

Une coche bleue signifie qu'une personne a vérifié cette app à la date indiquée. Chaque app avec une coche bleue affiche un rapport daté qui liste ce qui a été confirmé. La signature et la notarisation n'apparaissent que lorsque nous les avons confirmées sur une copie téléchargée. Les apps marquées Vérification en attente n'ont pas encore été vérifiées. Une coche n'est pas une garantie qu'une app est sûre, comme l'indiquent nos conditions. C'est une preuve de plus, avec une date.

Si macOS vous a déjà affiché un avertissement, lisez ce que signifie « Apple n'a pas pu vérifier ».

Apps Mac sur MacPip

Lancées récemment : Seedlore, Phosphor, Vexilo Code, MightyBench, Pixtamer. Une fiche n'est pas une recommandation, alors vérifiez chacune vous-même.

By category: Productivité.

Sources

Soumettre votre app Parcourir les apps