Comment auditer l'usage des presse-papiers en entreprise

Par · Publié le 3 novembre 2026 · Environ 9 minutes de lecture

Prenons une responsable sécurité que j'appellerai Dana (un cas composite, pas une personne réelle). Elle fait une revue de routine des Mac d'une entreprise de 200 personnes. Les disques sont chiffrés, le pare-feu est activé, le gestionnaire de mots de passe est obligatoire. Puis elle remarque que onze portables font tourner trois gestionnaires de presse-papiers différents, dont l'un synchronise son historique vers un compte cloud que personne n'a validé. Chaque mot de passe, clé d'API et e-mail client copié le mois dernier dort dans ces historiques.

Pourquoi le presse-papiers mérite-t-il un audit ?

Le presse-papiers est le seul canal de données que presque personne ne gouverne. Il transporte des mots de passe collés depuis un coffre-fort, des jetons copiés depuis une console, des fiches clients déplacées d'un onglet à l'autre, des extraits de contrats envoyés dans une messagerie. Par défaut, macOS ne garde que le dernier élément copié, ce qui explique qu'il figure rarement dans les registres de risques. Un gestionnaire de presse-papiers change la donne : il transforme un tampon éphémère en archive persistante et consultable de tout ce qui a été copié.

Ce n'est pas un plaidoyer contre ces outils. Ils font réellement gagner du temps, et vos équipes en installeront un avec ou sans votre accord. L'objectif de l'audit est de s'assurer que cette archive reste en local, qu'elle est conservée peu de temps et qu'elle ne contient aucun secret.

Que faire avant de toucher à la moindre donnée ?

Deux choses passent en premier, et elles coûtent moins cher à faire maintenant qu'après un incident.

• Impliquer le juridique et les RH. La surveillance des appareils des salariés obéit à des règles qui varient selon les pays. Dans l'UE, le RGPD et les obligations d'information-consultation du CSE (ou d'instances équivalentes) peuvent s'appliquer, et certains pays exigent une information préalable ou une consultation. Je ne suis pas juriste : voyez ceci comme une invitation à en consulter un.
• Définir le périmètre par écrit. Le périmètre recommandé est l'inventaire des outils et leur configuration. Lire le contenu du presse-papiers est une tout autre activité, aux enjeux juridiques et éthiques bien différents, et un audit en a rarement besoin. Si un outil ne peut pas être évalué sans lire le contenu, cela en dit long sur l'outil.

L'audit en cinq étapes

Étape 1 : repérer tous les outils de presse-papiers réellement installés

Partez de ce que votre gestion d'appareils sait déjà. Dans Jamf, Kandji, Intune, Mosyle ou équivalent, exportez l'inventaire des applications et recherchez les gestionnaires de presse-papiers connus. Chercher par identifiant de bundle est plus fiable que par nom d'app, car les noms changent alors que les bundle ID restent. Celui de Maccy est org.p0deje.Maccy app. [À VÉRIFIER pour la version App Store]

L'inventaire seul laissera passer trois catégories :

• Les fonctions de presse-papiers intégrées à d'autres outils. Les lanceurs et applis de productivité embarquent souvent un historique du presse-papiers. C'est le cas de Raycast et d'Alfred, par exemple, qui n'apparaîtront pas si vous cherchez seulement « clipboard ».
• Les extensions de navigateur. Certaines extensions lisent le presse-papiers. Passez en revue les extensions installées depuis la console de gestion de votre navigateur.
• Les fonctions du système. Le presse-papiers universel (Universal Clipboard, qui fait partie de Handoff) partage le presse-papiers entre les appareils Apple d'un même utilisateur. Les versions récentes de macOS ont aussi ajouté un historique du presse-papiers à Spotlight. [À VÉRIFIER : disponibilité et durée de conservation selon vos versions de macOS]

Pour les machines hors MDM, un contrôle local rapide fonctionne aussi : mdfind "kMDItemCFBundleIdentifier == 'org.p0deje.Maccy mac'" dans le Terminal renvoie l'emplacement de l'app si elle est installée.

Étape 2 : classer chaque outil selon quatre questions

Pour chaque outil trouvé, répondez aux questions ci-dessous. Tout ce que vous ne pouvez pas établir à partir de la documentation de l'éditeur ou d'une machine de test est classé « inconnu », et inconnu signifie non approuvé tant que le point n'est pas éclairci.

Un mot sur cette dernière ligne. Les gestionnaires de mots de passe bien conçus marquent ce qu'ils copient grâce à des conventions communautaires publiées sur nspasteboard.org (par exemple un type « concealed »), et les gestionnaires de presse-papiers bien conçus ignorent tout ce qui porte ce marquage. C'est une coopération, pas une garantie : cela suppose que les deux applications respectent la convention. Testez-la plutôt que de la supposer acquise.

Étape 3 : tester les outils que vous comptez autoriser

La documentation vous dit ce que l'éditeur affirme. Dix minutes de test sur un Mac de rechange vous disent ce qui est vrai.

1. Copiez un mot de passe depuis votre gestionnaire de mots de passe approuvé, puis ouvrez le gestionnaire de presse-papiers. L'entrée y figure-t-elle ?
2. Copiez une chaîne bidon, quittez l'app, relancez-la et vérifiez si l'historique a persisté.
3. Lancez un moniteur réseau (Little Snitch, LuLu ou nettop) pendant que vous copiez quelques éléments. L'app établit-elle des connexions sortantes ?
4. Repérez où se trouve le fichier d'historique sur le disque et vérifiez s'il est lisible en clair.

Ce que cela donne avec Maccy

Maccy clipboard est un gestionnaire de presse-papiers gratuit et open source pour macOS, qui conserve son historique sur la machine locale. Son code source est public sur GitHub : votre équipe sécurité peut donc lire le code plutôt que de se fier à une page marketing, ce qui est un vrai atout en audit. Les réglages les plus utiles pour une politique se trouvent dans les sections Ignore et General de la fenêtre des réglages : applications ignorées, types de presse-papiers ignorés, exclusion par expression régulière, taille de l'historique et effacement à la fermeture. [À VÉRIFIER : intitulés exacts et valeurs par défaut dans la version actuelle]

Deux limites méritent d'être énoncées honnêtement. Maccy est un outil personnel, pas un produit d'entreprise : il n'a ni console d'administration centralisée ni journal d'audit intégré, donc l'application des règles passe par votre MDM et non par l'app. Et « local » ne veut pas dire « invisible » : tout ce qui est écrit sur le disque n'est protégé que par le disque lui-même, c'est pourquoi l'état de FileVault doit figurer dans cet audit comme prérequis.

Étape 4 : rédiger une politique assez courte pour être appliquée

Les politiques trop longues sont ignorées. Une politique de presse-papiers tient sur une demi-page. Un squelette qui fonctionne :

• Outils approuvés : une liste nominative, avec les versions autorisées.
• Réglages obligatoires : synchronisation cloud désactivée, gestionnaire de mots de passe et applis de gestion de clés dans la liste d'exclusion, historique limité à un petit nombre d'éléments, effacement à la fermeture lorsque l'outil le permet.
• Interdits : les outils de presse-papiers non approuvés et les extensions de navigateur qui lisent le presse-papiers.
• Prérequis : chiffrement intégral du disque activé et vérifié.
• Dérogations : qui peut les accorder, et comment elles sont consignées.

Étape 5 : appliquer via le MDM, puis réauditer à intervalles réguliers

Les préférences des apps macOS sont stockées dans une liste de propriétés (plist) associée au bundle ID de l'application. Un profil de configuration MDM peut donc pousser des préférences gérées pour toute app qui utilise les préférences standard. En principe, cela permet de prérégler la liste d'exclusion et la limite d'historique d'un outil sur tout le parc. Reste à savoir si un réglage donné peut être imposé ainsi : cela dépend de la façon dont l'app lit ses préférences, alors vérifiez sur un appareil de test avant de déployer. [À VÉRIFIER : quelles clés de préférences de Maccy sont prises en compte comme préférences gérées]

Pour le comportement au niveau du système, vous disposez de contrôles distincts. Handoff, et avec lui le presse-papiers universel, peut être restreint via le MDM grâce à la restriction de continuité d'activité. [À VÉRIFIER : applicabilité sous macOS selon votre plateforme de gestion] Sur les parcs Windows, les réglages équivalents sont les stratégies de groupe « Allow Clipboard History » et « Allow Clipboard synchronization across devices ».

Inscrivez ensuite l'audit au calendrier. Un rythme trimestriel convient à la plupart des équipes. Le réaudit est rapide une fois que la première passe a produit un inventaire et une base de référence.

À quoi doit ressembler la checklist d'audit ?

Les erreurs courantes

• Interdire purement et simplement les gestionnaires de presse-papiers. Les gens contournent les interdictions. Un outil approuvé et configuré est plus sûr que trois outils non validés.
• Auditer le contenu plutôt que la configuration. Cela crée une exposition juridique, érode la confiance, et l'audit s'en passe très bien.
• Oublier le presse-papiers universel. Un Mac verrouillé peut quand même laisser fuiter du texte copié vers un iPhone personnel connecté au même compte Apple.
• Se fier aux listes d'exclusion sans les tester. Faites le test du gestionnaire de mots de passe de l'étape 3 pour chaque outil que vous approuvez.
• Les audits ponctuels. Des outils s'installent après votre passage. Planifiez le contrôle suivant.

Que retenir ?

Un audit du presse-papiers est avant tout un problème d'inventaire, avec un contrôle de configuration par-dessus. Trouvez les outils, posez quatre questions à chacun, testez ceux que vous autoriserez, rédigez une politique d'une demi-page et appliquez-la avec le MDM dont vous disposez déjà. Les outils open source et local-first facilitent l'étape 3, car leurs affirmations se vérifient dans le code et dans le comportement réseau. Si vous voulez voir à quoi ressemble concrètement une configuration minimale, 100 % locale, Maccy est gratuit et on peut l'essayer comme l'inspecter.

Une question à poser à votre équipe : si quelqu'un a copié le mot de passe de votre base de données de production il y a dix minutes, à combien d'endroits de son portable pourrait-il se trouver en ce moment ?