L’iPhone demande d’autoriser une configuration VPN : vérifiez avant de toucher

Vous avez touché quelque chose dans une app VPN, et iOS a répondu par une fenêtre que vous n’attendiez pas : l’app souhaite ajouter des configurations VPN, avec « Ne pas autoriser » et « Autoriser » en dessous. Cette fenêtre est l’autorisation de routage du système, et elle apparaît une fois par configuration que l’app tente d’installer. Autorisez-la quand vous avez ouvert l’app et comptiez vous connecter ; touchez « Ne pas autoriser » quand la demande est arrivée pendant que vous faisiez autre chose, puis cherchez ce qui l’a fait apparaître à l’écran. Rien dans le libellé ne vous dit si le fournisseur mérite confiance — il enregistre seulement qu’iOS s’apprête à confier une partie de la pile réseau à cette app.

Ce qu’iOS vous demande d’approuver

Une app ordinaire ne peut pas toucher au chemin des paquets. Un client VPN doit être construit sur le cadre NetworkExtension d’Apple et signé avec le droit Personal VPN ; quand il veut un tunnel, il crée un objet de configuration et demande au système de l’enregistrer, et c’est cet appel d’enregistrement qui fait apparaître la fenêtre. La formulation change selon les versions — les récentes disent ajouter des configurations VPN, les anciennes ajouter une configuration VPN — mais le sens est fixe : une app que vous avez installée veut une entrée permanente dans Réglages > Général > VPN et gestion de l’appareil.

L’entrée est permanente par conception. Elle survit aux plantages et aux redémarrages de l’app, elle peut se reconnecter pendant que l’app est fermée et elle peut porter des règles à la demande qui montent le tunnel quand vous rejoignez un réseau. C’est exactement pourquoi iOS demande au lieu de le faire simplement, et pourquoi la réponse est stockée plutôt que redemandée à chaque connexion.

Lisez la fenêtre avant de toucher « Autoriser »

Traitez la fenêtre comme une affirmation que vous pouvez vérifier en quelques secondes. Arrêtez-vous au premier point qui échoue.

• Le nom dans la fenêtre correspond à une app que vous avez installée. Une fenêtre attribuée à quelque chose que vous ne reconnaissez pas est une raison de toucher « Ne pas autoriser » et de continuer à chercher, pas une chose à tester.
• Vous étiez dans cette app quand elle est apparue. La configuration initiale et les boutons de connexion sont les déclencheurs habituels.
• L’app n’a pas été mise à jour ou réinstallée à l’instant sans vous. Une nouvelle version peut ajouter une configuration et redemander.
• Personne ne vous demande votre Apple ID, un numéro de carte ou un code reçu par message. La fenêtre VPN ne veut jamais cela, donc une fenêtre qui le demande est une autre fenêtre.

Quand les quatre conditions tiennent, « Autoriser » est une réponse raisonnable pour un fournisseur que vous avez choisi exprès. Si vous n’êtes pas sûr, touchez « Ne pas autoriser » ; l’app redemandera la prochaine fois qu’elle enregistrera, et vous ne perdez rien à attendre une heure.

Vérifiez la configuration après avoir autorisé

L’approbation lance la vérification, elle ne la termine pas. Ouvrez Réglages > Général > VPN et gestion de l’appareil et regardez le bloc VPN. Vous devriez voir une ligne nommée d’après l’app ou le profil qu’elle a installé, avec une ligne d’état et un bouton d’informations. Touchez ce bouton pour lire l’adresse du serveur, le nom du compte s’il y en a un, et si « Connexion à la demande » est activée.

Décidez ensuite à qui appartient cette ligne. Un VPN personnel que vous avez créé depuis une app est à vous pour le modifier et le supprimer ; une ligne qui dit qu’une organisation le gère ne l’est pas, et sa suppression passe par celui qui a inscrit l’appareil. Voir les deux signifie que deux autorités différentes partagent l’appareil, et vous devriez savoir laquelle porte votre trafic en ce moment.

Dernière étape : connectez-vous une fois et confirmez que le trafic suit vraiment le tunnel. Chargez une page qui affiche votre adresse publique et vérifiez que l’adresse appartient au fournisseur, pas à votre connexion domicile. Si la ligne dit « Connecté » et que l’adresse n’a pas changé, la configuration est installée mais ne route pas, et le correctif se trouve dans les réglages de cet écran d’informations, pas dans l’app.

Ce que l’approbation couvre et ne couvre pas

Autoriser donne à l’app la capacité de router le trafic sous sa configuration. C’est une permission large dans un sens et étroite dans l’autre. L’app peut envoyer vos paquets via ses serveurs et voir les métadonnées qui y sont attachées : quelles adresses vous avez contactées, quand et combien a circulé. Elle ne peut pas lire l’intérieur d’une session HTTPS et n’obtient pas vos photos, messages, microphone ou votre Apple ID.

La couverture est aussi plus étroite que « tout ». Une configuration peut router tout le trafic ou seulement certaines destinations, et le tunnel par app — où seules les apps nommées utilisent le tunnel — est organisé par un gestionnaire d’appareils, pas en touchant « Autoriser ». iOS ne garde qu’une seule connexion VPN personnelle active à la fois même lorsque plusieurs configurations sont listées, donc une seconde app ne peut pas prendre silencieusement le relais de la première tant qu’elle est connectée.

Révoquez-la correctement lorsque vous cessez d’utiliser le service

Supprimer l’app n’est pas un moyen fiable de retirer la configuration. Vérifiez vous-même la liste VPN et supprimez la ligne depuis son écran d’informations si elle y est encore. Sur un appareil que vous mettez au rebut, faites aussi le côté compte : déconnectez-vous dans le tableau de bord du fournisseur ou révoquez l’appareil là-bas, car une ligne locale supprimée ne fait rien à une session que le serveur considère encore comme valide.

Les appareils gérés sont l’exception. Quand la ligne dit qu’une organisation l’a installée, une suppression locale échoue ou est annulée au prochain pointage, et seul le processus de retrait de l’organisation tiendra.

Quand la fenêtre revient sans cesse

Une fenêtre répétée signifie généralement que la configuration est recréée, pas que la première approbation a échoué. Les causes courantes : l’app écrit une nouvelle configuration à chaque lancement et iOS la traite comme nouvelle, une règle à la demande a abandonné l’ancienne entrée, un profil a été réinstallé par un gestionnaire d’appareils, ou plusieurs configurations existent et l’app demande celle que vous n’avez jamais remarquée.

Comptez d’abord les lignes. Si la liste grandit à chaque fois que vous ouvrez l’app, l’app ne réutilise pas sa configuration et le correctif revient au développeur ou à une réinstallation propre. Si la liste reste à une et que la fenêtre revient, cherchez un profil de gestion qui la réinstalle — c’est une question de politique, pas un bug que vous pouvez faire disparaître en touchant.

Avant de continuer, confirmez trois choses : la ligne dans Réglages est celle que vous avez approuvée, l’adresse que vous voyez connecté appartient au fournisseur, et le côté compte est révoqué si vous avez fini avec le service. Ces trois couvrent ce que la fenêtre a accordé, ce qu’elle fait maintenant et ce qu’elle continuera de faire après que l’appareil quitte vos mains.