Inde : 83 normes mettent le code source d’iOS sous pression

Inde : 83 normes mettent le code source d’iOS sous pression

En janvier 2026l’Inde examine un projet de 83 normes de sécurité qui inclut la revue du code source d’iOS par des laboratoires désignés. Apple y voit un accès possible à l’architecture de son jardin clostandis que le gouvernement indien invoque la recherche de vulnérabilités.

Au 11 janvier 2026, ces règles ne sont pas encore une obligation appliquée. Le texte avait été rédigé en 2023 et pourrait désormais devenir une exigence légale pour les fabricants de smartphones présents en Inde.

Apple, Google, Samsung, Xiaomi et l’organisation professionnelle MAIT ont contesté plusieurs mesures. Leur objection porte notamment sur l’absence de précédent dans les grands marchés internationaux et sur la divulgation de détails propriétaires liés à la sécurité.

83 normes, zéro bouton magique

Le projet mélange des obligations administratives et un contrôle beaucoup plus intrusif. Les fabricants devraient signaler leurs mises à jour importantes, produire des journaux d’audit de sécurité et les conserver pendant douze mois. Ils devraient aussi rappeler régulièrement aux utilisateurs de vérifier les autorisations accordées à leurs applications.

La mesure la plus sensible concerne le code source. Les fabricants devraient le tester puis le transmettre à des laboratoires désignés par l’État afin qu’ils recherchent d’éventuelles vulnérabilités. Cette procédure ne donnerait pas automatiquement accès aux messages, aux photos ou aux sauvegardes des utilisateurs, mais elle exposerait des choix d’architecture et des mécanismes de protection que les entreprises gardent habituellement confidentiels.

Le point de rupture n’est pas le formulaire à remplir, mais l’accès aux lignes de code qui font tenir la sécurité d’iOS.

Le coffre-fort compile, la boîte noire tousse

Le code source contient les instructions et les choix d’implémentation d’un système d’exploitation. Un laboratoire peut y repérer une erreur de conception ou une vulnérabilité difficile à détecter depuis l’extérieur. Mais cette même lecture peut révéler les mécanismes que des attaquants chercheraient à étudier.

Apple ne considère pas qu’un laboratoire sécurisé règle automatiquement le problème. Le code doit être copié, transmis ou consulté par plusieurs équipes avant même l’analyse. Chaque étape ajoute une question sur la circulation des informations et sur la capacité à empêcher une fuite.

Dans sa contestation, MAIT estime que la revue du code source se heurte aux exigences de confidentialité et de protection des données. L’organisation affirme aussi que les grands marchés de l’Union européenne, d’Amérique du Nord, d’Australie et d’Afrique n’imposent pas un tel ensemble de règles.

Apple a déjà publié certains composants de ses systèmes sans ouvrir pour autant leur cœur. Des éléments open source existaient autour d’OS X El Capitan en 2015, ce qui ne revient pas à transmettre les parties centrales d’iOS. Un composant visible n’est pas le coffre-fort entier.

Chiffrement : Apple ne donne pas la clé

La position actuelle prolonge un conflit plus ancien. Des gouvernements demandent depuis plusieurs années à Apple de faciliter l’accès aux données chiffrées ou d’ajouter une porte dérobée. Apple refuse d’affaiblir son chiffrement de bout en bout, car une faiblesse créée pour un contrôle officiel pourrait aussi être exploitée par un tiers.

Au Royaume-Uni, l’entreprise a préféré désactiver la protection avancée des données plutôt que de modifier son chiffrement de bout en bout. Le même raisonnement s’applique au code source : Apple peut considérer que ne pas le transmettre protège mieux ses plateformes qu’une inspection pourtant présentée comme sécurisée.

Le gouvernement indien raisonne dans l’autre sens. Pour lui, l’accès aux logiciels doit permettre de vérifier qu’une faille ne menace pas la sécurité nationale. Les deux camps parlent donc de sécurité, mais l’un vise la capacité de contrôle et l’autre la réduction du nombre de points d’accès.

Pour Apple, montrer le coffre-fort ne garantit pas que personne ne recopiera la combinaison.

Sanchar Saathi, l’application qui ne passe pas la porte

La demande sur le code source arrive après plusieurs épisodes autour des smartphones vendus en Inde. Le gouvernement a voulu faire préinstaller l’application publique Sanchar Saathi sur les nouveaux appareils pour lutter contre les cybermenaces et réduire le nombre de téléphones volés ou détournés revendus sur le marché noir.

En 2025, des demandes visant Apple et Google au sujet d’applications soutenues par l’État avaient déjà provoqué des réactions. Après la révélation de l’ordre privé, le gouvernement avait rapidement fait marche arrière. En 2023, il avait aussi envisagé de soumettre les mises à jour de sécurité à un examen préalable.

Le fil conducteur est net : l’Inde cherche davantage de visibilité et de contrôle sur les appareils présents sur son territoire. Apple veut conserver la maîtrise de son logiciel et de son calendrier de sécurité. Ça négocie sévère autour du jardin clos.

Le jardin clos ne veut pas partager ses clés

L’affaire ne concerne pas uniquement l’architecture d’iOS. L’Inde compte à la fois comme marché de vente pour Apple et comme base de production en croissance. Une règle qui impose l’accès au code peut donc toucher les équipes de sécurité, la distribution et les relations industrielles de la marque.

Les 83 normes visent plusieurs fabricants, pas Apple seule. Pourtant, son écosystème fermé rend la demande particulièrement sensible : fournir le minimum de code possible, limiter les laboratoires autorisés et contester le reste seraient des moyens de réduire son exposition si la règle entrait en vigueur.

Le choix ne se résume donc pas à accepter ou refuser un audit. Il porte sur le périmètre du code, les conditions d’accès, la conservation des copies et la possibilité de reproduire la même exigence dans d’autres pays. Le jardin clos pourrait laisser entrer un inspecteur, mais pas lui confier toutes les clés.

Le code source reste hors laboratoire

Au 11 janvier 2026le projet reste à l’étape de l’examen gouvernemental. Il faut encore déterminer si les 83 normes deviendront exécutoires et si la revue du code source sera maintenue dans sa forme actuelle.

Si l’obligation est adoptée, Apple devra choisir entre un affrontement juridique et un accès très limité à certains composants. Le scénario d’une remise complète du cœur d’iOS ne correspond pas à la ligne suivie par l’entreprise sur le chiffrement et les éléments sensibles de ses systèmes.

Pour l’instant, les laboratoires désignés attendent encore les clés. Chez Apple, elles ne sont pas posées sur la table.