Distribuer une app Mac : Mac App Store ou notarisation.

Sans adhésion active, aucun envoi vers App Store Connect. Les apps de domaines réglementés sont publiées par l’entité juridique qui fournit le service (5.1.1(ix)).

Vérifier : developer.apple.com → Compte : adhésion active et nom du vendeur correct.

Preuve : Capture de la page Compte.

Apple Developer Program — Enrollment ↗ · revu le 2026-10-23

Sans statut de commerçant vérifié, l’app est retirée des storefronts de l’UE et ses mises à jour y sont bloquées (Digital Services Act).

Vérifier : App Store Connect → Business → Compliance : statut déclaré et vérifié.

Preuve : Capture du statut DSA.

App Store Connect Help — EU Digital Services Act trader requirements ↗ · revu le 2026-10-23

Les apps du Mac App Store doivent être correctement sandboxées (2.4.5(i)). L’accès aux fichiers passe par les fichiers choisis par l’utilisateur et les signets à portée de sécurité ; chaque entitlement supplémentaire doit servir une fonction réelle.

Vérifier : Lancez le build Release sandboxé et refaites chaque parcours qui lit ou écrit des fichiers, ouvre le réseau ou utilise du matériel.

Preuve : Liste des entitlements avec leur justification.

Échec courant : Fonction qui marchait hors sandbox et échoue silencieusement une fois sandboxée.

Apple — Configuring the macOS App Sandbox ↗ · revu le 2026-10-23

L’app est empaquetée et soumise avec les outils d’Xcode, sans installeur tiers, en un seul bundle qui n’installe rien dans des emplacements partagés (2.4.5(ii)). Depuis le 18 février 2025, aucun fichier ne doit porter l’attribut com.apple.quarantine pour être envoyé.

Vérifier : Distribute App → App Store Connect depuis l’Organizer se termine sans erreur de validation.

Preuve : Build visible dans App Store Connect.

App Review Guidelines 2.4.5 — Mac App Store requirements ↗ · revu le 2026-10-23

Le build est signé pour la distribution App Store, entitlements alignés sur l’App ID. Il n’a pas besoin d’être notarisé : Apple indique que la soumission au Mac App Store comprend déjà des contrôles de sécurité équivalents. La notarisation concerne la distribution directe (Developer ID).

Vérifier : L’archive est distribuée via « App Store Connect », pas via « Developer ID ».

Preuve : Méthode de distribution choisie dans l’Organizer.

Apple — Notarizing macOS software before distribution ↗ · revu le 2026-10-23

Depuis le 1er mai 2024, les apps nouvelles ou mises à jour déclarent des raisons approuvées pour les API listées par Apple, y compris celles des SDK tiers.

Vérifier : Organizer → Generate Privacy Report sur l’archive.

Preuve : Rapport de confidentialité de l’archive.

Apple — Privacy manifest files ↗ · revu le 2026-10-23

Les apps du Mac App Store se mettent à jour par le Mac App Store ; tout autre mécanisme (Sparkle ou système maison) est interdit (2.4.5(vii)). Retirez-le de la cible App Store si vous partagez le code avec une version Developer ID.

Vérifier : Cherchez tout framework ou menu « Rechercher des mises à jour » dans la cible App Store.

Preuve : Liste des frameworks liés à la cible App Store.

Échec courant : Menu « Rechercher des mises à jour » laissé dans le build : refus 2.4.5.

App Review Guidelines 2.4.5 — Mac App Store requirements ↗ · revu le 2026-10-23

Pas de lancement au démarrage ni de processus qui continue après la fermeture sans consentement (2.4.5(iii)), pas de code ou d’app téléchargé pour ajouter des fonctions (2.4.5(iv)), pas d’élévation root (2.4.5(v)), pas d’écran de licence ni de clé de licence (2.4.5(vi)).

Vérifier : Quittez l’app : aucun processus ne reste actif (Moniteur d’activité). Redémarrez : rien ne se lance sans l’accord de l’utilisateur.

Preuve : Résultat du test Moniteur d’activité.

App Review Guidelines 2.4.5 — Mac App Store requirements ↗ · revu le 2026-10-23

Version finale, testée pour les plantages et bugs, sans texte provisoire ni contenu temporaire (2.1(a)). Elle tourne sur la version de macOS actuellement distribuée (2.4.5(viii)).

Vérifier : Testez le build TestFlight sur la version actuelle de macOS et sur la plus ancienne prise en charge, Apple silicon et Intel si l’app est universelle.

Preuve : Liste des Mac et versions de macOS testés.

Échec courant : Plantage au premier lancement sur la dernière version de macOS : refus 2.1.

App Review Guidelines 2.1 — App Completeness ↗ · revu le 2026-10-23

Premier lancement, ouverture et enregistrement de documents, tâche principale, achat et restauration s’il y en a : chaque parcours fonctionne dans le build sandboxé soumis.

Vérifier : Sur un compte utilisateur macOS neuf, refaites chaque parcours.

Preuve : Liste datée des parcours testés.

App Review Guidelines 2.1 — App Completeness ↗ · revu le 2026-10-23

Fenêtres redimensionnables, plein écran, plusieurs fenêtres si pertinent, barre de menus complète et raccourcis clavier standards : une app Mac qui se comporte comme une app iPhone agrandie déçoit et peut être jugée incomplète.

Vérifier : Redimensionnez chaque fenêtre aux tailles extrêmes ; utilisez l’app uniquement au clavier pendant cinq minutes.

Preuve : Captures aux tailles minimale et maximale.

Human Interface Guidelines — Windows ↗ · revu le 2026-10-23

Les apps du Mac App Store contiennent toutes leurs langues et localisations dans un seul bundle (2.4.5(ix)).

Vérifier : Changez la langue préférée de l’app dans Réglages système et relancez-la.

Preuve : Langues vérifiées.

App Review Guidelines 2.4.5 — Mac App Store requirements ↗ · revu le 2026-10-23

Toutes les apps fournissent un lien vers leur politique de confidentialité dans les métadonnées et dans l’app (5.1.1(i)).

Vérifier : Le lien est trouvable depuis le menu de l’app ou ses réglages.

Preuve : URL de la politique et capture de son emplacement.

App Review Guidelines 5.1.1 — Data Collection and Storage ↗ · revu le 2026-10-23

Obligatoires pour soumettre une app ou une mise à jour, ils couvrent aussi les SDK tiers intégrés.

Vérifier : Comparez chaque donnée déclarée avec ce que l’app et ses SDK envoient réellement.

Preuve : Inventaire des SDK et capture de la section App Privacy.

Apple — App privacy details on the App Store ↗ · revu le 2026-10-23

Caméra, micro, contacts, calendrier, dossiers protégés : chaque demande a un texte de justification clair, arrive au moment utile, et l’app reste utilisable en cas de refus (5.1.1).

Vérifier : Réinitialisez les autorisations (tccutil reset) puis refusez chaque demande.

Preuve : Textes de justification et résultat du test de refus.

App Review Guidelines 5.1.1 — Data Collection and Storage ↗ · revu le 2026-10-23

Une app qui permet de créer un compte doit permettre de lancer sa suppression dans l’app (5.1.1(v)).

Vérifier : Supprimez un compte de test depuis l’app, puis vérifiez la suppression côté serveur.

Preuve : Capture du chemin dans l’app et preuve côté serveur.

Apple — Offering account deletion in your app ↗ · revu le 2026-10-23

Si la connexion principale passe par un service tiers ou social, proposez aussi une option équivalente conforme à 4.8.

Vérifier : L’option équivalente fonctionne avec un compte neuf.

Preuve : Capture de l’écran de connexion.

App Review Guidelines 4.8 — Login Services ↗ · revu le 2026-10-23

Le déblocage de fonctions passe par l’achat intégré, sans clé de licence (3.1.1, 2.4.5(vi)). Les produits sont complets et visibles pour le testeur (2.1(b)) et une restauration est disponible.

Vérifier : Achat sandbox de chaque produit, puis restauration sur un autre compte utilisateur macOS.

Preuve : Statut des produits et résultat du test.

App Review Guidelines 3.1 — Payments ↗ · revu le 2026-10-23

Avant l’abonnement, l’app décrit ce que la personne obtient pour le prix ; période d’au moins sept jours, disponible sur tous ses appareils (3.1.2).

Vérifier : Relisez l’écran d’abonnement comme un inconnu.

Preuve : Capture de l’écran d’abonnement.

App Review Guidelines 3.1 — Payments ↗ · revu le 2026-10-23

Les captures montrent l’app en usage (2.3.3), aux dimensions Mac acceptées par App Store Connect.

Vérifier : Chaque capture correspond à un écran réel du build soumis.

Preuve : Dossier des captures.

App Store Connect Help — Screenshot specifications ↗ · revu le 2026-10-23

Les métadonnées reflètent l’expérience réelle (2.3) ; pas de marques de tiers ni de termes sans rapport (2.3.7).

Vérifier : Chaque fonction citée existe dans le build soumis.

Preuve : Texte de la fiche relu.

App Review Guidelines 2.3 — Accurate Metadata ↗ · revu le 2026-10-23

Apple utilise un nouveau système de classification (4+, 9+, 13+, 16+, 18+) ; répondez à toutes les questions mises à jour, honnêtement (2.3.6).

Vérifier : Toutes les questions ont une réponse qui correspond à l’app.

Preuve : Capture du questionnaire.

App Store Connect Help — Age ratings values and definitions ↗ · revu le 2026-10-23

TestFlight fonctionne aussi pour les apps Mac : faites installer le build par au moins une personne extérieure au développement.

Vérifier : Un testeur réalise la tâche principale sans aide.

Preuve : Numéro de build et retours des testeurs.

Apple — TestFlight ↗ · revu le 2026-10-23

Si l’app a des fonctions liées à un compte, fournissez un compte de démonstration actif (ou un mode démo approuvé), valable au moment de la revue.

Vérifier : Connexion testée la veille de l’envoi sur le build soumis.

Preuve : Date du dernier test de connexion.

App Review Help — Provide information for a complete review ↗ · revu le 2026-10-23

Les services dont l’app dépend sont en ligne et accessibles pendant toute la revue.

Vérifier : Surveillance de disponibilité active, aucune maintenance prévue.

Preuve : Historique de disponibilité.

App Review Guidelines 2.1 — App Completeness ↗ · revu le 2026-10-23

Build sélectionné, sections obligatoires complètes, notes pour App Review rédigées, aucun refus précédent en attente. Une soumission prête ne garantit pas l’acceptation.

Vérifier : App Store Connect n’affiche aucun champ manquant et l’historique App Review ne contient aucun message ouvert.

Preuve : Capture de la soumission prête.

App Store Connect Help — Submit an app ↗ · revu le 2026-10-23

La distribution hors Mac App Store se signe avec un certificat « Developer ID Application » (et « Developer ID Installer » pour un PKG), obtenu via l’Apple Developer Program. N’utilisez ni certificat « Mac Distribution », ni ad hoc, ni de développement. Sauvegardez la clé privée hors de la machine de build.

Vérifier : security find-identity -v -p codesigning liste le certificat Developer ID Application valide.

Preuve : Nom du certificat et date d’expiration.

Apple — Developer ID ↗ · revu le 2026-10-23

L’app, ses frameworks, helpers, outils en ligne de commande et plug-ins sont signés avec Developer ID et un horodatage sécurisé. L’entitlement com.apple.security.get-task-allow ne doit pas valoir true dans le build distribué.

Vérifier : codesign --verify --deep --strict --verbose=2 sur l’app ; codesign -d --entitlements - pour relire les entitlements.

Preuve : Sortie de codesign --verify sans erreur.

Échec courant : Un framework embarqué non signé fait échouer la notarisation.

Apple — Notarizing macOS software before distribution ↗ · revu le 2026-10-23

La notarisation exige le Hardened Runtime sur l’app et les outils en ligne de commande. Chaque exception (JIT, mémoire non signée, bibliothèques non validées…) affaiblit la protection : ne gardez que celles qu’une fonction exige.

Vérifier : codesign -d --verbose=2 affiche « flags=0x10000(runtime) » pour chaque exécutable.

Preuve : Liste des exceptions de runtime avec leur justification.

Apple — Hardened Runtime ↗ · revu le 2026-10-23

Un installeur PKG se signe avec le certificat « Developer ID Installer », distinct de celui de l’app.

Vérifier : pkgutil --check-signature sur le PKG affiche la chaîne Developer ID Installer.

Preuve : Sortie de pkgutil --check-signature.

Xcode — Creating distribution-signed code for macOS ↗ · revu le 2026-10-23

Le logiciel distribué avec Developer ID doit être notarisé pour s’exécuter sans blocage. Envoyez-le avec notarytool ou Xcode : depuis le 1er novembre 2023, altool et Xcode 13 ou antérieur ne sont plus acceptés. La notarisation est un contrôle automatisé de sécurité, pas une revue de l’app.

Vérifier : xcrun notarytool submit … --wait renvoie « Accepted » ; lisez le journal (notarytool log) pour les avertissements.

Preuve : Identifiant de soumission et journal de notarisation.

Échec courant : Statut « Invalid » à cause d’un exécutable sans horodatage ou sans Hardened Runtime.

Apple — Notarizing macOS software before distribution ↗ · revu le 2026-10-23

Agrafer le ticket (stapler) permet à Gatekeeper de le vérifier sans connexion. On agrafe une app, un DMG ou un PKG ; une archive ZIP ne s’agrafe pas : agrafez l’app qu’elle contient, puis recompressez.

Vérifier : xcrun stapler validate sur le livrable final répond « The validate action worked ».

Preuve : Sortie de stapler validate.

Apple — Customizing the notarization workflow ↗ · revu le 2026-10-23

Gatekeeper vérifie signature et notarisation au premier lancement d’un fichier téléchargé. Les versions récentes de macOS rendent l’ouverture d’un logiciel non notarisé nettement plus difficile pour l’utilisateur ; testez donc exactement comme un client : téléchargement via un navigateur, puis ouverture.

Vérifier : Sur un autre Mac (ou un compte neuf), téléchargez le livrable depuis votre vrai lien, ouvrez-le : aucun message « endommagé » ou « ne peut pas être ouvert » ; spctl --assess --type execute -vv accepte l’app.

Preuve : Capture du premier lancement et sortie de spctl.

Échec courant : Un fichier modifié après la notarisation (ressource ajoutée, re-signature) n’est plus reconnu par Gatekeeper.

Apple — Resolving common notarization issues ↗ · revu le 2026-10-23

DMG (glisser vers Applications), PKG (installation dans des emplacements système, scripts) ou ZIP : choisissez selon l’installation nécessaire. Apple accepte la notarisation d’apps, d’images disque, de paquets d’installation et d’archives ZIP contenant l’app.

Vérifier : Le livrable publié est celui qui a été notarisé (même somme de contrôle).

Preuve : Format choisi et somme SHA-256 du fichier publié.

Apple — Notarizing macOS software before distribution ↗ · revu le 2026-10-23

Installation sans mot de passe administrateur si elle n’en a pas besoin, app fonctionnelle depuis /Applications, aucune trace laissée en dehors des emplacements prévus, et instructions de désinstallation publiées.

Vérifier : Installez puis désinstallez sur un compte neuf en suivant uniquement vos instructions publiques.

Preuve : Lien vers les instructions d’installation et de désinstallation.

Éléments de connexion, agents et démons s’enregistrent via le framework Service Management, et les extensions système passent par l’approbation de l’utilisateur. Expliquez à la personne pourquoi elle doit les autoriser.

Vérifier : Sur un Mac neuf, l’autorisation demandée apparaît dans Réglages système et l’app guide l’utilisateur.

Preuve : Captures du parcours d’autorisation.

Apple — Service Management ↗ · revu le 2026-10-23

Le livrable se télécharge en HTTPS depuis un domaine que vous contrôlez ; publiez la version et sa somme SHA-256 pour que les utilisateurs avancés puissent la vérifier.

Vérifier : Le lien de téléchargement public commence par https:// et la somme publiée correspond au fichier.

Preuve : URL de téléchargement et somme publiée.

Hors Mac App Store, vous gérez paiement, reçus, remboursements et activation de licence. L’activation ne doit pas bloquer un client légitime hors ligne, et vos conditions de vente sont publiées.

Vérifier : Achat réel, réception de la licence, activation, puis remboursement test.

Preuve : Résultat du parcours d’achat et lien vers les conditions.

Un système de mise à jour automatique est un chemin d’exécution de code : flux de mises à jour en HTTPS, signature de chaque mise à jour vérifiée par l’app (par exemple la signature EdDSA de Sparkle), et chaque nouvelle version signée Developer ID et notarisée.

Vérifier : Installez la version précédente, déclenchez la mise à jour, puis vérifiez avec spctl que la nouvelle version est acceptée.

Preuve : URL du flux en HTTPS et résultat du test de mise à jour.

Échec courant : Flux de mise à jour en HTTP sans signature : n’importe qui sur le réseau peut livrer un binaire.

Sans mise à jour automatique, prévoyez une page de versions, une notification par email ou une vérification de version dans l’app.

Vérifier : La page de téléchargement affiche la version actuelle et ses notes.

Preuve : Lien vers la page des versions.

Gardez le livrable notarisé précédent : si une version pose problème, vous pouvez republier l’ancienne immédiatement, puis corriger.

Vérifier : L’ancienne version est archivée avec sa somme de contrôle.

Preuve : Emplacement de l’archive des versions.

Analytics, rapports de plantage, compte ou télémétrie : décrivez ce qui est collecté, pourquoi, par quels prestataires, et comment demander la suppression. Vérifiez les règles qui s’appliquent à vous (LPD suisse, RGPD).

Vérifier : Comparez la politique aux données réellement envoyées par l’app.

Preuve : URL de la politique.

Caméra, micro, contacts, dossiers protégés, accessibilité : chaque demande a un texte de justification clair et l’app explique ce qui ne fonctionnera pas en cas de refus.

Vérifier : Réinitialisez les autorisations (tccutil reset) et refusez chaque demande.

Preuve : Textes de justification et résultat du test.

Testez le fichier réellement publié (pas le build Xcode) sur la plus ancienne et la plus récente version de macOS prises en charge, Apple silicon et Intel si l’app est universelle.

Vérifier : Parcours critiques sur chaque configuration, depuis le téléchargement public.

Preuve : Liste des Mac et versions de macOS testés.