« Votre écran est en cours d’observation » sur Mac : ce que ça veut vraiment dire

Cette réponse-là, c’est la partie facile. La partie difficile, et sans doute la raison pour laquelle tu es arrivé ici après avoir déjà lu trois autres guides, c’est que les conseils habituels ne survivent pas au contact de la réalité. Tu coupes le partage d’écran, tu révoques deux ou trois autorisations, tu redémarres, et le message reste, ou revient deux jours plus tard. Cet article explique le mécanisme derrière tout ça, celui qui te permet vraiment de trouver le coupable en deux minutes.

Ce que le message signifie vraiment#

macOS affiche cet avis sur l’écran verrouillé quand quelque chose capture le contenu de ton écran. La documentation d’Apple est sans ambiguïté sur l’intention : quand un logiciel partage ou enregistre ton écran, l’écran verrouillé te le signale. Il apparaît précisément à ce moment-là parce que c’est le seul instant où tu ne vois pas ta barre de menus, là où vivent d’habitude les indicateurs de confidentialité en direct. Tu t’éloignes, le Mac se verrouille, et macOS s’assure que la dernière chose que tu vois est une note t’indiquant que quelque chose t’observe encore.

L’autorisation en question se trouve dans Réglages Système > Confidentialité et sécurité > Enregistrement de l’écran et des sons du système. Toute appli qui veut les pixels de ton écran doit apparaître dans cette liste et être activée. Il n’y a pas de contournement, pas de chemin silencieux, pas d’exception historique : depuis macOS Catalina, c’est imposé au niveau système pour toute appli, signée ou non.

La distinction que tous les autres guides oublient : détenir l’autorisation, ce n’est pas l’utiliser#

C’est là que la plupart des dépannages partent dans le mur. Une appli peut rester dans ta liste Enregistrement de l’écran et des sons du système, activée, pendant dix-huit mois, sans jamais déclencher le message sur l’écran verrouillé. L’autorisation est une habilitation permanente. Le message, lui, suit quelque chose de beaucoup plus précis : un processus qui ouvre réellement un flux de capture, là, maintenant.

La conséquence pratique compte. Quand un guide te dit de révoquer toutes les applis de cette liste, tu vois généralement le message disparaître, et tu en conclus que la dernière appli désactivée était la coupable. Ce n’est probablement pas le cas. Tu as révoqué onze autorisations d’un coup, l’une d’elles était celle qui capturait réellement, et tu te retrouves maintenant avec un outil de capture cassé, une appli de visioconférence incapable de partager une fenêtre, et aucune idée de quel changement a fait quoi.

Fais-le dans l’autre sens. Identifie ce qui capture en ce moment, puis décide si ça devrait être le cas. Ça prend deux minutes, et tout le reste de ton Mac demeure intact.

Comment trouver l’appli qui observe réellement ton écran#

Dans l’ordre, la vérification la plus simple d’abord. Arrête-toi dès qu’une étape te donne le nom de l’appli, parce que les suivantes ne servent que si les premières n’ont rien donné.

• Ouvre le Centre de contrôle et regarde le haut du panneau. Quand quelque chose capture ton écran ou l’audio système, macOS y liste l’appli responsable. Sur les versions récentes de macOS, un indicateur coloré apparaît à côté de l’icône du Centre de contrôle dans la barre de menus tant que la capture est active. C’est la réponse la plus rapide, et la plupart des guides n’en parlent jamais.
• Vérifie les services de partage. Réglages Système > Général > Partage. Partage d’écran, Gestion à distance et Connexion à distance sont les trois qui comptent. Gestion à distance en particulier est celle qu’on active une fois pour une session d’assistance, des années plus tôt, et qu’on n’a jamais désactivée.
• Vérifie AirPlay et la recopie. Réglages Système > Général > AirDrop et Handoff pour le récepteur AirPlay, plus la tuile Recopie de l’écran dans le Centre de contrôle. Recopier vers une TV ou un second Mac, c’est de l’observation au sens le plus littéral, et macOS le signale comme tel.
• Lis la liste Enregistrement de l’écran et des sons du système comme une présélection, pas une liste à vider. Tu ne révoques pas tout. Tu cherches la ou les deux entrées que tu ne peux pas expliquer, et tout ce que tu as installé la semaine où le message est apparu pour la première fois.
• Ouvre Moniteur d’activité et trie par CPU. Un processus qui capture discrètement ton écran en continu est rarement à zéro. Croise tout ce qui t’est inconnu avec la liste d’autorisations de l’étape précédente.
• Vérifie ce qui démarre tout seul. Réglages Système > Général > Ouverture et extensions couvre à la fois les éléments d’ouverture et les agents en arrière-plan qui n’affichent même plus de fenêtre. C’est là qu’un outil désinstallé il y a des mois peut encore avoir un assistant qui tourne.

"Your Screen Is Being Observed on Mac": Is Someone Really Watching?Moonlock by MacPawYouTube

Pourquoi macOS récent redemande sans cesse (et pourquoi ce n’est pas un bug)#

Si ton Mac s’est mis à te relancer régulièrement sur les autorisations d’enregistrement d’écran, c’est voulu. Depuis macOS Sequoia, Apple fait expirer les autorisations d’enregistrement d’écran : les applis qui capturent ton écran doivent redemander périodiquement, au lieu de garder l’autorisation indéfiniment. Les premières bêtas redemandaient chaque semaine, ce qui a été largement critiqué, et Apple s’est arrêté sur un rythme mensuel environ avant la sortie.

Ça vaut la peine de le comprendre, parce que ça change ce que signifie une demande récurrente. Une demande mensuelle d’une appli que tu utilises tous les jours, c’est le système qui fait son travail. Une demande d’une appli que tu ne reconnais pas, ou qui apparaît beaucoup plus souvent qu’une fois par mois, mérite les deux minutes d’enquête décrites plus haut. Les chercheurs en sécurité ont vivement critiqué la fréquence à l’époque, au motif que la lassitude face aux demandes pousse les gens à cliquer sur Autoriser sans lire, et cette critique était fondée. C’est aussi exactement pourquoi tu devrais lire le nom de l’appli sur la demande plutôt que de la balayer par réflexe.

KeepingYouAwake est-il responsable ? Non, et voici comment en être sûr#

Cette question revient sans cesse, parce que dès qu’on se met à auditer sa barre de menus, on devient suspicieux envers le moindre petit utilitaire qui y traîne. KeepingYouAwake, Amphetamine et la commande intégrée `caffeinate` sont les suspects habituels. Ils sont innocents, et la raison mérite d’être connue.

Une appli qui empêche ton Mac de s’endormir fonctionne par assertions d’alimentation : elle demande à macOS de ne pas laisser l’écran se mettre en veille. C’est une demande de gestion de l’alimentation. Elle ne touche jamais au contenu de ton écran, elle n’a pas besoin de l’autorisation Enregistrement de l’écran et des sons du système, et elle ne peut donc pas produire le message « votre écran est en cours d’observation ». Si tu veux vérifier plutôt que me croire sur parole, ouvre Confidentialité et sécurité > Enregistrement de l’écran et des sons du système et regarde : une appli anti-veille n’y figure pas du tout, parce qu’elle n’a jamais eu de raison de le demander.

La confusion se comprend. Les deux catégories sont des outils invisibles de la barre de menus qui font quelque chose à ton Mac que tu ne vois pas, et les deux ressortent lors de la même session de recherche paniquée. Mais si tu traques la source du message, une appli anti-veille est une impasse, et tu peux la rayer de la liste tout de suite. Ce que ces applis méritent en revanche qu’on surveille, c’est le problème inverse : une appli pour empêcher un MacBook de s’endormir garde volontiers ton écran allumé toute l’après-midi, ce qui est une question de batterie et de fatigue oculaire, pas de confidentialité.

Pourquoi mon MacBook dit-il que mon écran est en cours d’observation ?#

Mécaniquement, c’est identique : un MacBook est un Mac, et le message vient de la même autorisation. Mais les portables ajoutent quatre déclencheurs qu’un Mac de bureau voit rarement, et si tu cherches spécifiquement la formulation MacBook, l’un d’eux est probablement le tien.

• Écrans externes et mode clapet fermé. Connecter, déconnecter et recopier vers un moniteur ou une TV sollicitent tous le pipeline d’affichage, et la recopie en particulier est signalée comme de l’observation.
• Sidecar et Continuité. Utiliser un iPad comme second écran est une forme légitime de partage d’écran, conçue par Apple elle-même, et elle s’annonce en conséquence.
• Un ordinateur professionnel avec gestion de l’appareil. C’est le gros morceau, celui que les autres guides évitent soigneusement. Si ton MacBook t’a été fourni par un employeur, vérifie Réglages Système > Général > Gestion de l’appareil. Un profil MDM peut autoriser l’observation d’écran à distance, et le message sur l’écran verrouillé peut en être le seul signe visible. Ce n’est pas un dysfonctionnement, et ce n’est pas quelque chose que tu devrais essayer de désactiver : c’est une conversation à avoir avec ton service informatique, et dans de nombreuses juridictions, ton employeur a des obligations d’information à ce sujet.
• Les habitudes de déplacement. Un MacBook rejoint plus de réseaux et plus de réunions qu’un Mac de bureau, ce qui veut simplement dire que plus d’applis de visioconférence ont demandé des droits de capture au fil de sa vie.

Quand faut-il vraiment s’inquiéter#

Chaque article sur ce sujet finit par recommander une analyse antivirus, généralement celle que l’éditeur vend justement. Soyons francs sur les probabilités de base : l’immense majorité de ces messages remonte à une appli de visioconférence, un outil de capture, une session de recopie ou un réglage de partage oublié. Le logiciel malveillant est l’explication rare, pas celle par défaut, et le traiter comme l’explication par défaut, c’est ce qui vend des logiciels de nettoyage.

Cela dit, rare ne veut pas dire jamais. Prends ça au sérieux quand plusieurs de ces points sont vrais en même temps :

• Le message apparaît sur un Mac où tu as fait toutes les vérifications ci-dessus et où tu ne peux vraiment expliquer aucune entrée de la liste d’autorisations de capture.
• Tu trouves dans Ouverture et extensions une appli que tu n’as jamais installée et que tu ne reconnais pas.
• La Gestion à distance est activée sur un Mac personnel qui n’a jamais été enrôlé par un employeur ou un réparateur.
• Le Mac a été configuré par quelqu’un d’autre, acheté d’occasion, ou est resté hors de ton contrôle pendant un moment (une réparation, un foyer partagé, un ex avec le mot de passe).
• Ça a commencé juste après avoir installé un logiciel venu d’ailleurs que l’App Store ou du site du développeur lui-même, en particulier tout ce qui est présenté comme gratuit alors que ça coûte normalement de l’argent.

Si ça décrit ta situation, les bonnes réponses sont : révoque chaque entrée d’Enregistrement de l’écran et des sons du système et ne redonne que ce que tu utilises vraiment, désactive chaque service sous Général > Partage, change le mot de passe de ton compte Apple depuis un autre appareil, et vérifie Général > Gestion de l’appareil pour un profil que tu n’as pas installé. Si le Mac a pu être manipulé physiquement par quelqu’un ayant une raison de te surveiller, et surtout si ça concerne une situation domestique, traite ça comme une question de sécurité plutôt que technique : une réinitialisation d’usine depuis un appareil que tu contrôles, et le soutien d’une organisation spécialisée, valent mieux que n’importe quel outil de nettoyage.

« Observé » ne veut pas dire « envoyé quelque part »#

Une dernière distinction, parce que c’est celle qui provoque le plus d’alarme inutile. macOS signale que ton écran est lu. Il ne dit absolument rien sur la destination de ces pixels. Ce sont deux questions entièrement différentes, et l’indicateur système ne répond qu’à la première.

Beaucoup de logiciels parfaitement légitimes lisent ton écran sans jamais envoyer le moindre octet où que ce soit. Un outil de capture lit ton écran. Une pipette de couleur lit ton écran. Un gestionnaire de fenêtres lit ton écran. C’est aussi le cas de notre propre appli : Pausr apparaît dans cette liste d’autorisations parce qu’elle regarde ce qui s’affiche à l’écran, localement, pour déterminer si tu es en réunion, en appel ou en pleine partie, afin de pouvoir mettre ta pause en attente au lieu de balancer un overlay plein écran sur ta présentation. Cette lecture se passe sur ton Mac et s’arrête là. Pas de compte, pas d’envoi, pas de serveur qui pourrait faire fuiter quoi que ce soit.

On le mentionne non pas pour te vendre quoi que ce soit à ce stade de l’article, mais parce que c’est l’illustration la plus claire du principe : la bonne question à poser sur une appli de ta liste d’autorisations de capture n’est pas « pourquoi peut-elle voir mon écran », mais « que fait-elle de ce qu’elle voit, et est-ce que je peux le vérifier ». Une appli qui traite tout en local et une appli qui diffuse ton bureau vers un serveur ont l’air identiques du point de vue du message sur l’écran verrouillé. Elles n’ont pourtant rien à voir.

Pausr