Autorisations des applications Android expliquées

Chaque application Android demande des autorisations pour accéder à certaines parties de votre appareil, mais les écrans de demande expliquent rarement ce que ces autorisations permettent réellement à une application de faire. Le récapitulatif ci-dessous couvre toutes les autorisations Android majeures, souligne celles qui affectent réellement votre vie privée et vous donne quelques règles simples pour décider de ce que vous souhaitez autoriser.

Que sont les autorisations Android?

Les autorisations Android sont un mécanisme de sécurité qui contrôle ce à quoi une application peut accéder sur votre appareil. Lorsque vous installez ou exécutez une application, celle-ci peut demander l'accès à diverses fonctionnalités matérielles (caméra, microphone) ou données (contacts, localisation). Comprendre ces autorisations est crucial pour préserver votre confidentialité et votre sécurité.

Catégories d'autorisations

Android divise les autorisations en deux catégories principales :

Autorisations normales (accordées automatiquement)

Ces autorisations ne présentent pas de risque significatif pour la confidentialité des utilisateurs et sont accordées automatiquement :

• INTERNET: Accès à Internet, presque toutes les applications en ont besoin
• VIBRER: Contrôler le moteur de vibration de l'appareil
• SET_WALLPAPER : Changer le fond d'écran de l'appareil
• WAKE_LOCK : Empêcher l'appareil de se mettre en veille
• ACCESS_NETWORK_STATE : Vérifier l'état de la connectivité réseau
• BLUETOOTH : Connectez-vous aux appareils Bluetooth couplés

Autorisations dangereuses (nécessitent l'approbation de l'utilisateur)

Ces autorisations impliquent des données utilisateur ou des fonctionnalités de l'appareil qui pourraient affecter la confidentialité :

Quand être suspect

Vous devez remettre en question une demande d'autorisation lorsqu'elle ne correspond pas à la fonction de l'application :

• 🚩 Une application de lampe de poche demandant un accès Contacts ou SMS
• 🚩 Une calculatrice demandant un accès Caméra ou Microphone
• 🚩 Une application de fond d'écran demandant l'accès à Téléphone ou Journal des appels
• 🚩 Un jeu demandant les autorisations SMS
• 🚩 Toute application demandant TOUTES les autorisations à la fois

Comment vérifier les autorisations d'un APK avant l'installation

Si vous chargez un APK, vous devez vérifier ses autorisations avant de l'installer :

1. Utilisez notre Outil d'informations APK pour extraire la liste complète des autorisations
2. Examinez chaque autorisation par rapport à l'objectif déclaré de l'application
3. Comparez les autorisations avec l'application officielle sur Play Store
4. Si quelque chose semble suspect, ne l'installez pas

Autorisations spéciales : celles qui n'apparaissent pas au moment de l'installation

Au-delà des autorisations « normales » et « dangereuses », Android dispose d'un troisième niveau appelé autorisations spécial ou applications. Ce sont les fonctionnalités les plus puissantes de la plate-forme, suffisamment puissantes pour que le système d'exploitation force un voyage séparé et délibéré dans les paramètres pour activer chacune d'entre elles. Ce sont également ceux qui sont le plus souvent exploités par les logiciels malveillants. Si une application téléchargée demande l’un de ces éléments, arrêtez-vous et demandez pourquoi.

• Service d'accessibilité (BIND_ACCESSIBILITY_SERVICE : initialement conçu pour les lecteurs d'écran et l'assistance aux personnes handicapées physiques). Une application disposant de cette autorisation peut tout lire sur votre écran, voir ce que vous tapez et même appuyer sur des boutons en votre nom. Accordez-le uniquement aux applications dont la fonction est évidemment liée à l'accessibilité (TalkBack, flux de remplissage automatique des gestionnaires de mots de passe, applications de dictionnaire de lecture d'écran).
• Administrateur de l'appareil/Propriétaire de l'appareil : permet à une application de verrouiller l'appareil, d'effacer les données, de modifier le mot de passe et de désactiver la caméra. Presque aucune application grand public n’en a besoin. Les clients de gestion mobile d'entreprise (MDM) constituent une exception légitime.
• Dessinez sur d'autres applications (SYSTEM_ALERT_WINDOW : permet à une application de peindre sur tout ce qui apparaît à l'écran). Utilisé légitimement par les bulles de discussion et les traducteurs superposés ; abusé par des logiciels malveillants de tap-jacking qui cachent un bouton « oui, vider mon compte » sous une fausse superposition « réclamez votre prix ».
• Accès à tous les fichiers (MANAGE_EXTERNAL_STORAGE : contourne les protections de stockage limitées sur Android 11+ et permet à l'application de voir chaque fichier sur le stockage partagé). La plupart des applications devraient plutôt utiliser les sélecteurs de photos/documents standard.
• Écouteur de notifications : permet à une application de lire chaque notification sur l'appareil. Une fonctionnalité intéressante pour les applications du centre de productivité ; un outil parfait pour le vol d'identifiants en cas d'abus (les applications bancaires publient des codes à usage unique dans le flux de notification).
• Installer des applications inconnues : transforme l'application hôte en un chargeur latéral. Définissez cette option sur votre navigateur ou votre gestionnaire de fichiers uniquement lorsque vous devez réellement installer un APK depuis l'extérieur du Play Store, puis désactivez-le.

Combinaisons d'autorisations à surveiller

Les autorisations individuelles ne racontent qu’une partie de l’histoire. Les combinaisons sont souvent plus révélatrices qu’une simple demande :

• Accessibilité + Écouteur de notifications + SMS : il s’agit du trio classique de chevaux de Troie bancaires et bancaires Android. Le cheval de Troie lit le contenu à l'écran, intercepte la notification de mot de passe à usage unique de la banque et peut également extraire l'OTP du SMS lui-même si l'utilisateur le reçoit par SMS. Aucune application grand public légitime ne combine les trois.
• Caméra + Microphone + ALL_FILES_ACCESS + emplacement en arrière-plan: adware-style surveillance app pretending to be a flashlight, calculator, or wallpaper. Rejeter et désinstaller.
• SYSTEM_ALERT_WINDOW + BIND_DEVICE_ADMIN : comportement de classe ransomware. L'application peut afficher un écran « Votre téléphone est verrouillé, payez X » au-dessus du lanceur et empêcher l'utilisateur de le désactiver.
• Téléphone + Contacts + Journal des appels pour une application qui n'est pas un composeur, une application de contacts ou un outil d'enregistrement d'appels : extrême prudence. Cette combinaison n’a aucune utilisation légitime en dehors de l’ensemble très restreint d’applications que Google lui-même propose dans ces catégories.

Un exemple d'audit travaillé

Supposons que vous ayez trouvé un APK « torche » gratuit sur un forum et que vous l'ayez exécuté via notre Outil d'informations APK avant de l'installer. Le manifeste affiche les autorisations demandées suivantes :

android.permission.CAMERA
android.permission.FLASHLIGHT
android.permission.INTERNET
android.permission.READ_CONTACTS
android.permission.READ_SMS
android.permission.RECEIVE_SMS
android.permission.READ_PHONE_STATE
android.permission.ACCESS_FINE_LOCATION
android.permission.SYSTEM_ALERT_WINDOW

Une application torche a besoin au plus l'autorisation de la caméra (pour accéder à la LED via le sous-système de la caméra), l'autorisation de la lampe de poche et éventuellement l'autorisation Internet pour les publicités. Tout ce qui se trouve en dessous de cette limite est injustifié. READ_SMS + READ_CONTACTS + RECEIVE_SMS + location + draw-over-apps est la signature de surveillance et de vol OTP décrite ci-dessus. Décision : ne pas installer. Supprimez le fichier.

Exécutez le même type de vérification sur chaque APK que vous chargez. Cinq minutes avec un auditeur d’autorisations vous évitent des problèmes qu’aucune application antivirus ne peut résoudre après coup.

Comment les autorisations se comportent sur différentes versions d'Android

Permission UX a été remodelé presque chaque année. La même fonctionnalité sous-jacente peut être très différente sur Android 9 par rapport à Android 15 :

• Android6 (2015) : a introduit les autorisations d'exécution pour le groupe sensible. Les applications ne pouvaient plus tout exiger au moment de l'installation ; elles devaient demander l'autorisation lors de l'utilisation de la fonctionnalité.
• Autorisations de localisation à trois états Android 10 : (Autoriser tout le temps / Autoriser uniquement pendant l'utilisation / Refuser). La localisation en arrière-plan est devenue une autorisation accordée séparément.
• Autorisations uniques Android 11 : (octroi pour une seule session) et révocation automatique des autorisations pour les applications inutilisées pendant plusieurs mois.
• Android 13 : autorisation de notification distincte pour les applications nouvellement installées ; autorisations multimédias granulaires (READ_MEDIA_IMAGES, READ_MEDIA_VIDEO, READ_MEDIA_AUDIO remplaçant la couverture READ_EXTERNAL_STORAGE).
• Accès partiel aux photos/vidéos Android 14 :, afin que les applications puissent demander « uniquement ces photos » au lieu de la bibliothèque entière.
• Android 15 : contrôles plus stricts des services de premier plan ; les types de services déclarés doivent correspondre aux autorisations d'exécution réellement utilisées.

Si vous utilisez toujours une ancienne version d’Android, vous ne bénéficiez pas des protections les plus récentes. Soyez encore plus prudent sur ce que vous installez.

Questions

Si je refuse une autorisation, l’application cessera-t-elle de fonctionner?

La plupart des applications se dégradent progressivement : le bouton de l'appareil photo est grisé, la fonction de localisation est désactivée et le reste fonctionne toujours. Une petite minorité d’applications mal écrites plante ou refuse de démarrer, auquel cas demandez-vous si vous avez vraiment besoin d’une application aussi exigeante.

Pourquoi une application demande-t-elle parfois à nouveau une autorisation?

Soit vous avez précédemment sélectionné « Seulement cette fois » (une subvention unique), soit l'autorisation a été révoquée parce que vous n'avez pas utilisé l'application pendant une longue période et qu'Android l'a automatiquement révoquée. Les deux comportements sont des protections intentionnelles.

Puis-je voir toutes les autorisations déclarées par un APK avant de l’installer?

Oui. Déposez l'APK dans notre Outil d'informations APK, et il analyse le AndroidManifest.xml dans votre navigateur, décode le format XML binaire et répertorie chaque entrée uses-permission déclarée par l'application. Comparez cette liste avec ce à quoi vous vous attendez pour la catégorie de l'application avant d'appuyer sur « Installer ».

Gestion des autorisations sur votre appareil

Comment vérifier les autorisations des applications

1. Aller à Paramètres → Applications
2. Sélectionnez une application
3. Robinet Autorisations
4. Vérifiez et activez les autorisations si nécessaire

Comment afficher toutes les applications avec une autorisation spécifique

1. Aller à Paramètres → Confidentialité → Gestionnaire d'autorisations
2. Sélectionnez une catégorie d'autorisation (Caméra, Emplacement, etc.)
3. Voir toutes les applications qui ont accès à cette autorisation
4. Révoquer l'accès aux applications qui n'en ont pas besoin

Modifications des autorisations sur Android 13+

Les versions récentes d'Android ont apporté des améliorations significatives à la gestion des autorisations :

• Autorisations multimédias granulaires : Au lieu d'un accès complet au stockage, les applications doivent demander des types de médias spécifiques (photos, vidéos, audio)
• Les applications Autorisation de notification : doivent désormais demander l'autorisation d'envoyer des notifications
• Révocation automatique : Les autorisations sont automatiquement révoquées pour les applications que vous n'avez pas utilisées depuis des mois
• Localisation approximative : Vous pouvez accorder une localisation approximative plutôt que précise
• Autorisations uniques : Accorder une caméra/un microphone/un emplacement pour une seule session

Règles pratiques pour l'audit des autorisations des applications

Les autorisations sont l'endroit où une grande partie de votre vie privée est gagnée ou perdue, il est donc préférable de les lire plutôt que de les exploiter. Remettez en question tout ce qui ne correspond pas à l'utilité de l'application et exécutez un APK via notre extracteur d'informations APK avant de le charger. Une application bien conçue demande ce dont elle a besoin pour fonctionner et pas grand-chose d’autre.