Floodtide vérifie gratuitement chaque app de votre Mac à la recherche de problèmes de sécurité
Mis à jour le
Depuis la version 1.5, chaque analyse se termine par un contrôle de sécurité de toutes les apps trouvées. Ce contrôle cherche cinq sortes d’indices, et l’app dit toujours quelle sorte elle a trouvée et d’où elle vient, pour qu’un signal faible ne se lise jamais comme une faille confirmée. Voir les résultats est gratuit sur chaque copie. Cette page explique ce que regarde chaque vérification, ce qu’elle affiche et ce qu’elle n’affirme jamais.
Ce que veut dire « chaque app »
Chaque app que Floodtide trouve est vérifiée, couverte ou non, y compris celles qu’aucune source de mises à jour ne sait lire. Ce qui change d’une app à l’autre, c’est la quantité d’indices. Un correctif publié avec un numéro de version est un indice fort ; une app que personne n’a mise à jour depuis deux ans est une raison d’y regarder, pas la preuve d’un problème. Les constats sont donc de cinq sortes, la plus forte d’abord, et chacun indique sa sorte et sa source.
Les résultats sont rangés en groupes. Les mises à jour de sécurité sont les deux signaux les plus forts : un correctif publié pour une version plus récente que la vôtre, et une mise à jour que le développeur marque comme critique. « Mérite un coup d’œil » regroupe les plus faibles. « Confiance » concerne la copie présente sur votre Mac et qui l’a signée. Les apps sans constat sont listées aussi, repliées, avec leur nombre.
Un constat n’est jamais une note. Floodtide n’affiche aucun score CVE ni aucun niveau de gravité, et n’additionne jamais les constats en un nombre de failles. Quand l’indice est faible, il emploie la formulation la plus prudente, ou n’affiche rien, parce qu’une fausse alerte de sécurité est pire qu’une alerte manquante.
Les cinq vérifications, la plus forte d’abord
Pour chaque vérification ci-dessous : les indices qu’elle utilise, les mots qu’elle affiche, et ce qu’elle n’affirme jamais.
1. Un correctif de sécurité publié
La version installée est plus ancienne qu’une version qui corrige un problème de sécurité, et une source qui le sait l’a dit avec un numéro de version.
- Indices. L’une de trois sources indique une version corrigée plus récente que celle installée : une fiche du catalogue signé de Floodtide, rédigée à la main d’après l’avis de sécurité du développeur ; le flux communautaire SOFA des mises à jour de sécurité d’Apple, pour macOS et Safari ; ou un avis de sécurité publié sur GitHub pour le dépôt de l’app elle-même, pour les apps que Floodtide met à jour depuis GitHub.
- À l’écran. « Mise à jour de sécurité », la version qui apporte le correctif, et un lien vers l’avis. Ces lignes ouvrent la liste des mises à jour, dans une section à part.
- N’affirme jamais qu’une app est touchée à cause de son nom. Chaque source est liée à l’app elle-même, par sa propre fiche, son dépôt GitHub ou les publications d’Apple, et n’est jamais rapprochée par le nom d’une liste générale de failles.
2. Le développeur le dit
Le développeur marque la mise à jour proposée comme critique, ou ses notes de version mentionnent un correctif de sécurité.
- Indices. Pour une mise à jour critique, la marque qu’un flux de mise à jour Sparkle porte précisément pour cela. Pour les notes de version, les notes de la mise à jour proposée, où sont cherchées des expressions comme « security fix », « vulnerability », « CVE- » et « exploit », en anglais et en allemand, en mots entiers.
- À l’écran. « Mise à jour critique (marquée par le développeur) », qui compte comme une mise à jour de sécurité. Une expression trouvée dans les notes donne « Les notes de version mentionnent un correctif de sécurité », avec la ligne citée, et se range sous « Mérite un coup d’œil » sans compter comme une mise à jour de sécurité.
- N’affirme jamais ce que corrige une mise à jour au-delà des mots du développeur. Une expression dans les notes est montrée comme une expression, pas comme une faille confirmée.
3. Un framework obsolète
L’app installée repose sur un framework qui ne reçoit plus de correctifs de sécurité, ou sur une version de celui-ci aux failles connues.
- Indices. La version d’Electron ou de Sparkle présente dans le bundle de l’app lui-même. Electron maintient ses trois versions majeures les plus récentes, si bien qu’une branche plus ancienne ne reçoit plus de correctifs ; Floodtide lit lesquelles sont à jour dans la liste des versions d’Electron. Pour Sparkle, l’outil de mise à jour intégré à beaucoup d’apps Mac, les versions aux failles de sécurité publiées.
- À l’écran. Par exemple « Repose sur Electron 28, qui ne reçoit plus de correctifs de sécurité », ou le fait que l’outil de mise à jour intégré de l’app, un Sparkle ancien, a des failles de sécurité connues. Se range sous « Mérite un coup d’œil » ; quand une mise à jour attend, la ligne dit qu’elle peut corriger le problème.
- N’affirme jamais que l’app elle-même peut être attaquée. Un développeur peut contourner une faille d’un ancien framework, c’est donc une raison d’y regarder, jamais à lui seul une mise à jour de sécurité.
4. Plus mise à jour
Le développeur de l’app a arrêté, ou personne n’a publié de nouvelle version depuis longtemps.
- Indices. Le catalogue de Floodtide indique que l’app est abandonnée par son développeur, ou la version la plus récente que connaît l’une de ses sources a plus de deux ans.
- À l’écran. « Abandonnée par son développeur », ou « Aucune mise à jour depuis » avec le mois et l’année de cette version. Se range sous « Mérite un coup d’œil ».
- N’affirme jamais qu’une app ancienne est dangereuse. Beaucoup de petits outils sont terminés plutôt qu’abandonnés ; la ligne est là pour que vous décidiez.
5. La confiance dans votre copie
Si macOS peut se porter garant de qui a produit la copie présente sur votre Mac, et si la mise à jour proposée vient du même développeur.
- Indices. Les vérifications de signature de macOS sur la copie installée : pas de signature, une signature ad hoc ou une signature qui ne correspond plus à l’app. Une notarisation impossible à déterminer hors ligne ne produit aucun constat. Pour la mise à jour proposée, l’équipe de développeurs inscrite dans sa signature, comparée à celle de la copie installée.
- À l’écran. « Non signée », « Signature endommagée », ou « Nouveau développeur : » avec le nom de la nouvelle équipe et celui de l’ancienne. Ces constats se rangent sous « Confiance ». Une mise à jour d’un nouveau développeur ne s’installe jamais automatiquement, quel que soit le réglage : Floodtide s’arrête et vous demande.
- N’affirme jamais qu’une app est malveillante. Beaucoup d’apps open source honnêtes ne sont pas notarisées ; cela veut dire qu’Apple n’a pas vérifié ce build, pas qu’il a un défaut.
Où apparaissent les constats
- Sécurité, dans la barre latérale. Une page à part sous Bibliothèque, avec le nombre d’apps qui ont une mise à jour de sécurité. Elle commence par une ligne qui dit combien d’apps Floodtide a vérifiées et ce qu’il a trouvé, puis liste les mises à jour de sécurité, les apps qui méritent un coup d’œil, les constats de confiance et les apps sans constat.
- La liste des mises à jour. Les lignes qui ont une mise à jour de sécurité viennent en premier, dans une section à part, chacune marquée « Mise à jour de sécurité ». La case de la section les sélectionne toutes pour « Mettre à jour la sélection ».
- Les détails de chaque app. Un groupe « Sécurité » liste les constats de l’app avec leurs liens, ou dit qu’elle a été vérifiée sans rien trouver.
- L’en-tête et la barre des menus. Quand une app a une mise à jour de sécurité, les deux disent combien.
- Une notification le jour même. Un réglage, activé par défaut, signale les mises à jour de sécurité le jour même. Il respecte vos heures de silence et n’annonce chaque mise à jour qu’une fois.
- Exporter la liste des apps. Une colonne « Sécurité » liste les constats de chaque app.
Calculé sur votre Mac
Le rapprochement se fait sur votre Mac, et le contrôle de sécurité n’envoie ni liste d’apps, ni constats, ni identifiant. Si vous avez activé le partage anonyme facultatif des données d’utilisation, son envoi quotidien des noms et versions d’apps reste inchangé. Vous pouvez le désactiver dans Réglages, Confidentialité.
Pour savoir ce qui est à jour, Floodtide lit quelques listes publiques : le flux SOFA des mises à jour de sécurité d’Apple, la liste des versions d’Electron, les avis publics de sécurité de Sparkle et, pour les apps qu’il met déjà à jour depuis GitHub, les avis de sécurité de ce dépôt. Ce sont de simples téléchargements, comme une recherche de mises à jour, gardés un jour sur le Mac et limités en taille. Si l’une d’elles ne peut pas être lue, la vérification qui en dépend n’affiche rien plutôt que de deviner. La politique de confidentialité (en anglais) liste chaque requête de l’app.
Gratuit à voir, une licence pour installer
Voir les constats est gratuit sur chaque copie : pendant l’essai, après, avec ou sans licence. Rien de tout cela ne fait partie de la Tide.
Installer une mise à jour reste ce que paie la licence, comme toujours : £10.9912,99 €$14.99 une fois pour 3 Mac, après 14 jours d’essai où tout est débloqué.
Mises à jour de sécurité uniquement
L’installation automatique gagne un nouveau choix, « Mises à jour de sécurité uniquement ». Avec lui, une exécution planifiée n’installe que les mises à jour qui corrigent un problème de sécurité publié ou que le développeur marque comme critiques, et laisse tout le reste dans la liste pour vous. Comme toute installation automatique, il faut une licence, et les mêmes vérifications s’appliquent qu’à une mise à jour que vous lancez vous-même.
Une mise à jour signée par une autre équipe de développeurs que votre copie ne s’installe jamais automatiquement, quel que soit le réglage ; elle attend votre réponse. Comment Floodtide vérifie une mise à jour.
Ce que le contrôle n’est pas
- Un antivirus. Floodtide ne cherche pas de code malveillant dans les apps. Il lit ce que les développeurs et Apple ont publié, et ce que macOS dit de la signature.
- Une note. Aucun score CVE, aucun niveau de gravité, aucun nombre de failles. Un constat dit de quelle sorte d’indice il s’agit et renvoie à sa source quand un lien est disponible.
- Une garantie. Une app sans constat est une app où aucune des cinq vérifications n’a trouvé d’indice. Ce n’est pas la promesse que l’app n’a aucun défaut.
Questions fréquentes
Le contrôle de sécurité est-il gratuit ?
Oui. Chaque copie voit chaque constat, pendant l’essai et après, avec ou sans licence. La licence sert à installer les mises à jour, comme avant, et rien dans le contrôle ne fait partie de la Tide.
Floodtide envoie-t-il ma liste d’apps pour la vérifier ?
Non. Le rapprochement se fait sur votre Mac et le contrôle n’envoie rien de nouveau. Il lit des listes publiques : les mises à jour de sécurité d’Apple via le flux SOFA, la liste des versions d’Electron, les avis publics de sécurité de Sparkle et les avis de sécurité GitHub des apps que Floodtide met déjà à jour depuis GitHub.
Floodtide affiche-t-il des scores CVE ?
Non. Il montre quelle sorte d’indice il a trouvé et d’où il vient, avec un lien vers la source quand il est disponible, et jamais un score, un niveau de gravité ou un nombre de failles.
Que veut dire « Mérite un coup d’œil » ?
Un signal plus faible : des notes de version qui mentionnent un correctif de sécurité, un framework qui ne reçoit plus de correctifs de sécurité, ou une app sans mise à jour depuis plus de deux ans. Aucun ne compte à lui seul comme une mise à jour de sécurité.
Floodtide peut-il installer automatiquement les seules mises à jour de sécurité ?
Oui, avec une licence. Choisissez « Mises à jour de sécurité uniquement » pour l’installation automatique, et une exécution planifiée n’installe que les mises à jour qui corrigent un problème de sécurité publié ou que le développeur marque comme critiques. Une mise à jour d’un autre développeur ne s’installe jamais automatiquement.
Voyez ce qu’il trouve sur votre Mac
L’analyse et le contrôle de sécurité sont gratuits et sans compte. 14 jours de l’app complète, puis les deux restent gratuits ; une licence coûte £10.9912,99 €$14.99 une fois pour 3 Mac.