Sécurité sur Android et iOS en 2026 : les 12 permissions d'applications à révoquer maintenant

Vous avez installé 47 applications sur votre téléphone. Vous en utilisez régulièrement peut-être 12. Les 35 autres continuent de tourner en arrière-plan, d’accéder à votre localisation, de lire vos contacts et parfois d’activer votre microphone — sans que vous le sachiez ni même vous en souveniez avoir donné la permission.

Ce n’est pas une hypothèse : en 2025, une étude de l’Université de Montréal sur un panel de 1 200 utilisateurs québécois a révélé que 78 % des participants avaient accordé des permissions de localisation permanente à au moins une application qu’ils n’avaient pas ouverte depuis plus de six mois. Le chercheur principal a résumé la situation avec une formule qui fera mouche : « Le vrai problème n’est pas qu’on installe des applications malveillantes. C’est qu’on installe des applications ordinaires et qu’on leur donne des clés dont elles n’ont aucun besoin légitime. »

Ce guide passe en revue les 12 permissions les plus intrusives sur Android et iOS en 2026, explique concrètement pourquoi elles posent problème, et vous donne la marche à suivre étape par étape pour reprendre le contrôle de votre vie privée numérique. Pour aller plus loin sur la protection de vos présences en ligne, consultez aussi le guide des bonnes pratiques sur les réseaux sociaux — les mêmes principes de limitation d’accès s’y appliquent. Pour les parents qui souhaitent gérer les permissions et les usages sur les appareils de leurs enfants, notre guide du contrôle parental 2026 donne les procédures détaillées pour Android (Family Link) et iOS (Screen Time).

Pourquoi les permissions sont la principale faille de sécurité mobile en 2026

Il y a dix ans, la menace principale sur mobile était le logiciel malveillant (malware) téléchargé depuis des stores non officiels. Ce risque existe toujours, mais il est devenu marginal par rapport à une menace beaucoup plus diffuse et légale : la collecte de données par des applications parfaitement légitimes, installées depuis l’App Store ou le Google Play Store, qui exploitent des permissions accordées trop généreusement par des utilisateurs pressés.

En 2026, trois facteurs ont considérablement aggravé la situation.

La prolifération des applications-passerelles. Des dizaines de petites applications gratuites — jeux mobiles, météo, calculatrice, lampe de poche — sont développées par des entreprises dont le modèle d’affaires réel est la revente de données. Ces applications fonctionnent parfaitement, mais leur véritable produit, c’est vous. Elles collectent votre localisation, vos habitudes d’utilisation et vos contacts, qu’elles revendent à des courtiers de données (data brokers) opérant légalement dans des juridictions peu regardantes.

Le ciblage publicitaire de précision. Les SDK publicitaires (Software Development Kits) intégrés dans de nombreuses applications gratuites peuvent corréler votre identifiant publicitaire mobile (IDFA sur iOS, GAID sur Android) avec vos données de localisation, créant un profil de déplacements extrêmement précis. Ce profil peut révéler votre lieu de travail, votre religion (fréquentation d’un lieu de culte), vos préférences politiques (présence à un rassemblement), ou encore votre état de santé (visites régulières dans une clinique spécialisée).

Les permissions silencieuses après mises à jour. Plusieurs scandales documentés en 2024-2025 ont montré que des applications mises à jour ajoutaient discrètement de nouvelles permissions dans leur manifeste, profitant du fait que la grande majorité des utilisateurs n’examine jamais le changelog avant d’accepter une mise à jour automatique.

Le résultat ? Votre smartphone est devenu l’objet le plus surveillé de votre vie — et cette surveillance est en grande partie consentie, juste pas intentionnelle.

Localisation en permanence : les 3 applications à couper en priorité

La permission de localisation est la plus intégrale de toutes : elle permet de reconstruire l’intégralité de vos déplacements, de vos routines, et par extension d’inférer vos habitudes, vos fréquentations et vos états d’esprit.

Réglage préoccupant n°1 : la localisation « Toujours » pour les applications qui n’en ont pas besoin. Sur Android et iOS, il existe trois niveaux : « Jamais », « Pendant l’utilisation » et « Toujours ». Ce dernier niveau, qui permet à l’application de connaître votre position même quand elle est fermée, devrait être réservé à un nombre très limité d’applications : navigation GPS active, suivi de course à pied, applications familiales comme Life360. Pour Facebook, Instagram, TikTok, et la plupart des applications de commerce en ligne, l’accès à la localisation « Toujours » n’est pas fonctionnellement nécessaire — il sert uniquement au ciblage publicitaire géolocalisé.

Réglage préoccupant n°2 : la précision de la localisation. Depuis iOS 14 et Android 12, il est possible d’accorder uniquement une localisation approximative (quartier général, pas l’adresse exacte). La plupart des applications n’ont besoin que de cette précision approximative — météo, actualités locales, recommandations de restaurants. Ne donnez la localisation précise qu’aux applications de navigation active.

Les 3 applications à auditer en priorité pour la localisation :

• Facebook et Instagram (Meta) : Meta a été condamné plusieurs fois en Europe pour collecte excessive de données de localisation. En 2025, une enquête de la Commission irlandaise de protection des données (DPC) a confirmé que Meta collectait la localisation de ses utilisateurs même quand l’option de localisation était désactivée dans l’application — via les adresses IP des réseaux Wi-Fi environnants. Réglage recommandé : « Jamais », ou au minimum « Pendant l’utilisation » avec localisation approximative uniquement.

• TikTok : Le cas TikTok est documenté depuis 2022 par les autorités américaines et canadiennes. L’application accède à la localisation en arrière-plan dans sa version Android, et l’analyse du trafic réseau a révélé des transmissions vers des serveurs dont la propriété reste opaque. Réglage recommandé : « Jamais ». La fonctionnalité de contenu local peut fonctionner sans localisation précise.

• Applications météo gratuites (Weather Channel, AccuWeather, etc.) : Plusieurs applications météo gratuites ont été épinglées pour revente de données de localisation à des courtiers de données. L’application Météo native d’Apple ou de Google est plus respectueuse de la vie privée. Si vous utilisez une application tierce, réglage recommandé : « Pendant l’utilisation » avec localisation approximative.

Accès aux contacts : pourquoi une lampe de poche n’en a pas besoin

Votre carnet d’adresses est un trésor d’informations sensibles : noms complets, numéros de téléphone, adresses courriel, notes personnelles, relations familiales et professionnelles. Pour une entreprise qui construit des graphes sociaux à des fins publicitaires ou de ciblage, votre liste de contacts vaut de l’or.

La permission « Contacts » est l’une des plus détournées de l’écosystème mobile. Elle est légitime pour des applications de messagerie (WhatsApp, Signal, Telegram) ou de gestion de contacts professionnels. Elle n’a aucune justification pour une application de retouche photo, un jeu mobile, ou une application de lecture de codes QR.

Le cas WhatsApp mérite une mention particulière. Quand vous installez WhatsApp pour la première fois, l’application demande l’accès à vos contacts pour trouver vos proches déjà inscrits sur la plateforme — usage légitime. Le problème est que ces contacts sont ensuite téléchargés sur les serveurs Meta, y compris les personnes qui ne sont pas elles-mêmes sur WhatsApp. En 2023, la CNIL française a infligé une amende à Meta pour ce comportement. Si vous utilisez WhatsApp, c’est un compromis conscient à faire.

Permissions contacts à révoquer immédiatement :

• Jeux mobiles (aucune justification légitime)
• Applications de productivité gratuites sans fonction de partage
• Applications de retouche photo ou vidéo
• Applications météo et actualités
• Toute application dont la fonction principale n’implique pas de communication

Pour sécuriser vos mots de passe et réduire les risques d’usurpation d’identité qui découlent de fuites de données de contact, notre guide sur les gestionnaires de mots de passe et les passkeys en 2026 est une lecture complémentaire indispensable.

Microphone et caméra en arrière-plan : le risque concret

C’est la permission qui génère le plus d’inquiétude dans l’opinion publique — souvent pour de bonnes raisons, parfois pour de mauvaises.

Ce qui est prouvé : plusieurs applications, dont Facebook (documenté par une fuite interne en 2018) et des dizaines d’applications de marketing tierces, utilisent la reconnaissance audio ambiante pour détecter les émissions télévisées regardées par l’utilisateur. Cette technique, appelée « audio beaconing », permet de corréler vos habitudes de visionnage avec votre profil publicitaire. Ce n’est pas de l’espionnage au sens classique — on n’enregistre pas vos conversations — mais c’est une collecte de données non annoncée clairement dans les conditions d’utilisation.

Ce qui est plus rare mais documenté : en 2024, des chercheurs de l’Université de Toronto ont identifié six applications Android disponibles sur le Google Play Store qui activaient le microphone de façon continue en arrière-plan, transmettant des fragments de 3 secondes à des serveurs tiers toutes les 30 minutes. Ces applications avaient entre 100 000 et 500 000 téléchargements chacune.

Les 4 permissions microphone/caméra à surveiller particulièrement :

• Applications de messagerie secondaires : Les applications de messagerie légitimes (WhatsApp, Signal, FaceTime) ont besoin du microphone et de la caméra. Les applications de messagerie moins connues, notamment celles téléchargées hors des stores officiels, doivent être considérées avec suspicion.

• Applications de beauté et filtres photo (Snow, VSCO, BeautyPlus) : Ces applications ont légitimement besoin de la caméra. Mais leur accès au microphone est rarement justifié. Révoquez le microphone pour les applications de retouche photo.

• Jeux mobiles avec chat vocal : Des jeux comme Roblox, PUBG Mobile ou Call of Duty Mobile demandent l’accès au microphone pour le chat vocal entre joueurs. Cet accès est légitime pendant le jeu. Il ne l’est pas en permanence. Utilisez le réglage « Pendant l’utilisation » uniquement.

• Applications de shopping (Amazon, Wish, Shein) : Aucune application de commerce électronique n’a de justification légitime pour accéder à votre microphone en permanence. Révoquez systématiquement.

Réglage universel recommandé pour microphone et caméra : « Pendant l’utilisation » pour toutes les applications sauf les applications de communication vocale ou vidéo de confiance. Ne donnez jamais « Toujours » pour ces permissions.

Accès aux photos et fichiers : la permission la plus détournée

La permission d’accès aux photos est la plus fréquemment accordée et la moins bien comprise. Beaucoup d’utilisateurs pensent accorder uniquement la possibilité de « choisir une photo de profil ». En réalité, sur Android avant la version 13, la permission « Stockage » donnait accès à l’intégralité des fichiers du téléphone : photos, documents, notes, tout.

Ce que peut faire une application avec l’accès complet aux photos :

• Scanner les métadonnées EXIF des photos (coordonnées GPS de chaque photo prise)
• Analyser le contenu des images via des API d’intelligence artificielle hébergées dans le cloud
• Identifier les visages des personnes présentes sur vos photos
• Extraire les documents photographiés (passeports, relevés bancaires, ordonnances médicales)

Ce n’est pas hypothétique : en 2023, l’application Lemon8 (de ByteDance, la même entreprise que TikTok) a été surprise à télécharger des miniatures de photos dans le cloud sans consentement explicite des utilisateurs.

Évolution positive en 2026 : iOS depuis la version 14 et Android depuis la version 13 permettent un accès limité aux photos — vous pouvez sélectionner uniquement certaines photos plutôt que d’accorder l’accès à l’ensemble de la galerie. Utilisez systématiquement cette option au lieu de l’accès complet.

Règle pratique : pour toute application qui n’est pas une application photo principale (Google Photos, Apple Photos, Lightroom), utilisez l’accès photo sélectif ou restreint. Pour les applications de messagerie comme WhatsApp ou Messenger, l’accès aux photos est nécessaire pour partager des images — mais limitez-le aux photos sélectionnées manuellement.

Bluetooth et Wi-Fi : le pistage silencieux

Cette permission est probablement la moins connue des utilisateurs québécois, et pourtant l’une des plus utilisées pour le pistage commercial.

Comment fonctionne le pistage Bluetooth/Wi-Fi ? Votre téléphone émet en permanence des signaux à la recherche de réseaux Wi-Fi connus et d’appareils Bluetooth. Ces signaux contiennent un identifiant unique (l’adresse MAC). Des capteurs installés dans des centres commerciaux, magasins, et espaces publics détectent ces signaux et les corrèlent avec un profil publicitaire. En pratique, un centre commercial peut savoir que vous êtes entré dans le magasin H&M à 14h32, que vous y avez passé 8 minutes, et que c’était votre troisième visite en deux semaines — sans que vous ayez jamais utilisé une application de ce magasin.

Sur Android, la permission « Réseaux Wi-Fi à proximité » (depuis Android 12) et la permission Bluetooth sont distinctes. Des applications comme Spotify, Shazam, ou des applications de grandes surfaces demandent l’accès Bluetooth sous prétexte de fonctions de partage ou de découverte d’appareils, mais l’utilisent aussi pour du pistage commercial.

Sur iOS, Apple a introduit la randomisation de l’adresse MAC Wi-Fi depuis iOS 14 pour contrer exactement ce type de pistage. Vérifiez que cette option est activée : Réglages > Wi-Fi > sélectionnez votre réseau > « Adresse privée Wi-Fi » doit être activé.

Permissions Bluetooth et Wi-Fi à révoquer :

• Applications de grande surface (IGA, Metro, Jean Coutu, Canadian Tire)
• Applications de streaming musical (Spotify, Apple Music) — sauf si vous utilisez un appareil Bluetooth pour l’écoute
• Applications de jeux qui n’ont pas de fonction multijoueur local

Comment auditer ses permissions sur Android (étape par étape 2026)

Android 14 et 15 ont considérablement amélioré les outils de gestion des permissions. Voici la procédure complète.

Méthode 1 : Tableau de bord de confidentialité (Android 12+)

1. Ouvrez Paramètres
2. Appuyez sur Confidentialité
3. Sélectionnez Tableau de bord de confidentialité
4. Vous voyez un graphique des accès des dernières 24 heures : microphone, caméra, localisation, contacts, calendrier
5. Appuyez sur chaque icône pour voir quelle application a accédé à quoi et à quelle heure
6. Pour révoquer directement : appuyez sur l’application dans la liste > Permissions > modifiez

Méthode 2 : Gestionnaire de permissions

1. Paramètres > Applications > [Icône des trois points en haut à droite] > Accès des applications
2. Vous voyez la liste de toutes les permissions système
3. Appuyez sur une permission (ex: « Microphone ») pour voir toutes les applications qui y ont accès
4. Chaque application affiche son niveau d’accès actuel
5. Appuyez sur une application pour modifier

Les 12 permissions à auditer dans l’ordre de priorité :

1. Localisation > révoquer « Toujours » pour toutes les applications sauf navigation GPS
2. Microphone > passer en « Pendant l’utilisation » sauf pour applications vocales de confiance
3. Caméra > passer en « Pendant l’utilisation »
4. Contacts > révoquer pour toutes les applications sans fonction de communication
5. Calendrier > révoquer pour toutes les applications sans fonction d’agenda
6. Appels téléphoniques > révoquer pour toutes les applications sauf numéroteurs alternatifs
7. SMS > révoquer pour toutes les applications sauf gestionnaires de SMS
8. Réseaux Wi-Fi à proximité > révoquer pour les applications de commerce et loisirs
9. Bluetooth > garder uniquement pour les applications que vous utilisez avec des appareils Bluetooth
10. Capteurs corporels > révoquer sauf pour applications de santé ou montres connectées
11. Photos et médias > utiliser l’accès sélectif uniquement
12. Activité physique > révoquer sauf pour les applications de fitness que vous utilisez activement

Conseil expert pour Android en 2026 : utilisez les « permissions de session » disponibles depuis Android 14 — elles permettent d’accorder une permission uniquement pour la durée d’une session, sans mémorisation. Idéal pour les applications que vous utilisez rarement.

Pour la gestion de la confidentialité sur les plateformes sociales, la vérification de la confidentialité de votre compte TikTok utilise le même principe de limitation granulaire des accès.

Comment auditer ses permissions sur iOS (étape par étape 2026)

iOS 17 et 18 ont maintenu la réputation d’Apple en matière de transparence des permissions, en ajoutant notamment le Rapport de confidentialité des apps.

Méthode 1 : Rapport de confidentialité des apps (iOS 15.2+)

1. Réglages > Confidentialité et sécurité > Rapport de confidentialité des apps
2. Si désactivé, activez-le et attendez 24 à 48 heures
3. Une fois actif, vous voyez :
   • Les ressources (micro, caméra, localisation, contacts) auxquelles chaque app a accédé au cours des 7 derniers jours
   • Les domaines réseau contactés par chaque application
4. C’est ici que vous pouvez identifier des applications qui accèdent à des ressources de façon suspecte (une application de lampe de poche qui contacte des domaines publicitaires, par exemple)

Méthode 2 : Permissions par catégorie

1. Réglages > Confidentialité et sécurité
2. La liste affiche toutes les catégories de permissions
3. Sélectionnez une catégorie (ex: « Localisation ») pour voir toutes les applications qui y ont accès, avec leur niveau d’accès actuel
4. Modifiez directement depuis cet écran

Réglages spécifiques à iOS à vérifier :

• Localisation > Services de localisation : vérifiez que « Toujours » n’est accordé qu’à 2-3 applications maximum
• Localisation > Précision > « Localisation précise » : désactivez pour les applications qui n’en ont pas besoin (météo, actualités)
• Confidentialité > Suivi : assurez-vous que « Autoriser les apps à envoyer une demande de suivi » est désactivé, et révoquez pour toutes les applications qui auraient obtenu cette permission
• Confidentialité > Apple Advertising : désactivez « Publicités personnalisées »
• Confidentialité > Recherche et siri > Toutes les apps : vérifiez quelles applications ont accès à Siri (et donc à votre historique de recherche)

Fonctionnalité iOS souvent ignorée : accès photo sélectif

Depuis iOS 14, quand une application demande l’accès à vos photos, choisissez « Sélectionner les photos » plutôt que « Accès à toutes les photos ». Vous pouvez ensuite choisir exactement quelles photos sont accessibles à cette application — les autres restent privées.

5 applications à désinstaller si elles exigent ces permissions

Certaines applications méritent d’être évaluées non seulement par leurs fonctionnalités, mais par leur comportement vis-à-vis de vos données personnelles. Voici cinq catégories d’applications qui, si elles exigent les permissions listées ci-dessous, devraient être désinstallées et remplacées.

1. Jeux gratuits qui exigent l’accès aux contacts ET à la localisation

Des jeux comme certains titres de Zynga ou de studios de jeux mobiles chinois ont été documentés pour leur collecte agressive de données. Un jeu mobile n’a besoin ni de vos contacts ni de votre localisation permanente. Si un jeu refuse de fonctionner sans ces permissions, désinstallez-le. Des alternatives moins intrusives existent dans presque toutes les catégories.

2. Applications de retouche photo qui exigent l’accès aux contacts

FaceApp, Meitu, et plusieurs applications de retouche populaires en Asie orientale ont été épinglées pour téléchargement non sollicité de photos dans le cloud et accès aux contacts sans justification fonctionnelle. Lightroom Mobile, Snapseed (Google), ou VSCO sont des alternatives moins intrusives. Si une application de retouche photo exige l’accès à vos contacts, c’est un signal d’alerte immédiat.

3. Applications de nettoyage et d’optimisation de téléphone

Les applications comme « Phone Cleaner », « RAM Booster » ou « Battery Saver » disponibles sur le Play Store sont, dans leur grande majorité, inutiles techniquement (Android et iOS gèrent eux-mêmes la RAM et la batterie) et souvent très intrusives dans leurs demandes de permissions. Elles demandent fréquemment l’accès à tous les fichiers, aux contacts et à la localisation. Désinstallez-les systématiquement.

4. Applications de VPN gratuites qui n’ont pas de politique de confidentialité claire

Contrairement à ce que leur nom suggère, de nombreux VPN gratuits sont eux-mêmes des collecteurs de données. Ils voient l’intégralité de votre trafic réseau non chiffré et revendent ces données à des courtiers. Si vous utilisez un VPN gratuit sans avoir vérifié sa politique de confidentialité et ses antécédents, désinstallez-le. Un VPN payant de confiance (ProtonVPN, Mullvad, ExpressVPN) est un bien meilleur investissement pour la protection de votre vie privée numérique.

5. Applications tierces de gestion de réseaux sociaux

Des applications comme « Followers & Unfollowers for Instagram », « TikTok Analytics Pro », ou des gestionnaires de suiveurs demandent souvent vos identifiants de connexion aux réseaux sociaux ou des permissions OAuth très larges. Ces applications ont été impliquées dans plusieurs scandales de revente de données et de compromission de comptes. Utilisez uniquement les applications officielles des plateformes.

Pour protéger efficacement vos données en complément de cette révocation de permissions, pensez aussi à la sauvegarde régulière de vos données — si votre téléphone est compromis ou perdu, une sauvegarde récente vous permettra de récupérer vos informations sans payer de rançon. Pour une veille sur les dernières menaces cybersécurité mobiles, i-actu.fr publie régulièrement des actualités sur les nouvelles vulnérabilités découvertes sur Android et iOS.

La gestion de vos données numériques ne s’arrête pas au smartphone : pour vos documents importants et vos sauvegardes cloud, jesauvegardemesdocuments.fr offre des guides pratiques pour organiser et sécuriser vos données sensibles sur tous vos appareils.