L'autorisation « extension réseau » de macOS, c'est quoi ?

Tout programme qui veut créer une carte réseau virtuelle sur macOS et faire passer le trafic du système par son propre tunnel doit demander cette capacité via le framework NetworkExtension d'Apple. Apple impose ce mécanisme depuis macOS 10.15 Catalina, en remplacement des anciennes extensions de noyau (kexts), bien plus privilégiées.

Le framework comporte deux volets : l'app embarque un morceau de code destiné à tourner avec des privilèges système élevés, et le système affiche une demande de confirmation. Ce n'est qu'après votre clic sur Autoriser que ce code est réellement chargé et commence à traiter le trafic. Sautez cette étape et l'extension reste « en attente » : voilà pourquoi l'icône du client affiche « connexion en cours » indéfiniment sans jamais aboutir.

• Tout ce qui peut créer une carte virtuelle et prendre en charge le trafic peut, en théorie, voir toutes vos données réseau non chiffrées et les rediriger discrètement : exactement ce que recherche un logiciel espion. Apple est passé de « fonctionne dès l'installation » à « nécessite un clic manuel dans Réglages Système » précisément pour que rien ne puisse obtenir cette capacité à votre insu.
• Cette demande n'apparaît que **la première fois** : une fois un client autorisé, les connexions normales et les redémarrages ne la déclenchent plus. Elle revient si vous réinstallez le système, installez une nouvelle copie du client ou retirez vous-même l'autorisation dans Réglages Système.
• Chacun des trois clients doit franchir ce contrôle séparément : le système enregistre l'autorisation pour chaque programme demandeur, pas comme un interrupteur global. Ce n'est pas une redondance, c'est la granularité réelle du contrôle.

Dans Sequoia, Apple a fusionné les écrans de gestion « Ouverture » et « Extensions ». Les extensions réseau se trouvent désormais dans la vue par catégorie de ce nouvel écran, au lieu d'être listées une par une.

1. Ouvrez Réglages Système → Général → Ouverture et extensions.
2. Descendez jusqu'à la section « Extensions » en bas et, en haut à droite, passez de la vue par défaut à « Par catégorie » ; sans cela, les extensions réseau sont noyées dans une longue liste parmi des dizaines d'autres extensions système.
3. Dans la vue « Par catégorie », repérez la catégorie « Extensions réseau » et cliquez sur le ⓘ à côté pour la déplier.
4. Repérez le client que vous utilisez (Tailscale / Cisco Secure Client / Hiddify) et activez l'interrupteur à côté.
5. macOS demande votre mot de passe de session ou une confirmation par Touch ID : cette étape garantit que c'est bien la personne devant la machine qui donne l'autorisation, et non le client lui-même.
6. Une fois confirmé, l'interrupteur passe en position activée. Revenez au client et reconnectez-vous : cette fois, le tunnel devrait s'établir normalement.

Ces deux versions utilisent l'ancien point d'entrée ; l'alerte et les libellés de Réglages Système diffèrent de Sequoia. Suivez plutôt ce chemin.

1. Lancez le client normalement et cliquez une fois sur Connecter : le système n'affiche la demande qu'après une vraie tentative de connexion, pas du simple fait que l'app est installée.
2. Une notification système apparaît, intitulée à peu près « Extension système bloquée ». Vous pouvez la fermer ou l'ignorer ; l'étape suivante consiste à aller chercher le réglage vous-même.
3. Ouvrez Réglages Système → Confidentialité et sécurité et faites défiler vers le bas (pas tout en haut : c'est en général vers le milieu de la page) jusqu'à la ligne indiquant que le chargement du logiciel système du développeur « <nom du développeur du client> » a été bloqué.
4. Cliquez sur Autoriser à côté de cette ligne ; macOS demande votre mot de passe de session pour confirmer.
5. Revenez au client et reconnectez-vous : cette fois, le tunnel devrait s'établir normalement.

Sous Ventura / Sonoma, le nom entre guillemets après « développeur » diffère selon le client : vérifiez qu'il correspond à celui que vous installez réellement, et ne cliquez pas sur Autoriser si le nom n'est pas celui attendu :

• Privé (Tailscale) : s'affiche comme « Tailscale Inc. », vérifié sur un appareil réel.
• Cisco (Cisco Secure Client) : devrait s'afficher comme « Cisco Systems, Inc. », pas encore vérifié non plus.
• Hiddify : devrait s'afficher comme « Hiddify Team », pas encore vérifié non plus.

• « Je ne trouve pas la ligne censée apparaître dans Réglages Système » : vérifiez que vous avez bien lancé le client et cliqué une fois sur Connecter, comme indiqué plus haut. Le système n'affiche cette ligne qu'après avoir reçu une vraie demande de chargement de l'extension ; une app installée mais jamais ouverte ne la fera pas apparaître.
• « J'ai cliqué par erreur sur Ne pas autoriser / fermé la notification » : inutile de chercher un bouton d'annulation, revenez simplement au client et cliquez à nouveau sur Connecter. Le système réaffiche la même demande et vous pouvez suivre les étapes ci-dessus ; un refus ponctuel ne vous bloque pas définitivement.
• « Sur un Mac fourni par mon entreprise, le bouton Autoriser est grisé » : c'est généralement une politique MDM (gestion des appareils) qui verrouille le réglage ; seul un administrateur informatique peut l'autoriser depuis sa console. Demandez au service informatique d'ajouter le client à la liste des extensions système approuvées.
• « J'ai installé deux des trois clients, mais un seul a demandé l'autorisation » : l'autre n'a probablement pas encore été lancé et connecté (voir le premier point).