Un appel WhatsApp peut suffire à révéler votre ville

En novembre 2023, les ingénieurs de WhatsApp ont expliqué un compromis auquel la plupart des gens ne pensent jamais en décrochant. Pour offrir le meilleur son et la meilleure image, les applis d'appel connectent généralement les deux téléphones directement, ce qui signifie, ont-ils écrit, que « les adresses IP sont visibles pour les deux interlocuteurs lors d'un appel 1:1 ». Or une adresse IP peut révéler « une localisation géographique approximative ou le fournisseur d'accès à internet ».

Leur réponse a été un réglage baptisé Protéger l'adresse IP dans les appels (« Protect IP address in calls » dans l'application en anglais), que Meta présente comme facultatif : rien ne change tant que vous ne l'activez pas. Quelques semaines plus tôt, TechCrunch avait montré pourquoi c'est important. Un chercheur en sécurité a appelé un compte Telegram tout juste créé, qui l'avait enregistré comme contact, et a envoyé peu après à TechCrunch l'adresse IP de l'ordinateur sur lequel ce compte tournait.

Sans le réglage, WhatsApp choisit la route à votre place. L'entreprise a déclaré à TechCrunch en 2023 qu'elle alterne automatiquement entre appels directs et appels relayés, selon la latence et ce qui donne la meilleure qualité. Les appels de groupe passent déjà par ses serveurs, d'après le centre d'aide de WhatsApp cité par BleepingComputer. L'exposition se situe dans les appels en tête-à-tête, y compris ceux de personnes que vous connaissez à peine.

Le relais cache votre adresse à l'autre personne, pas à WhatsApp, dont les serveurs transportent alors tout l'appel. Cooper Quintin, chercheur en sécurité à l'Electronic Frontier Foundation, a dit à TechCrunch qu'il n'existe pas de conception parfaite : soit les interlocuteurs se révèlent mutuellement leurs adresses IP, soit les serveurs relais d'une appli finissent par détenir la liste de qui appelle qui.

MaxMind, une entreprise qui vend des données de localisation d'adresses IP, ajoute deux réserves. Les réseaux mobiles peuvent répartir une même adresse sur une grande zone, si bien qu'une recherche peut s'arrêter à la région. Et derrière un VPN, la recherche trouve le serveur VPN, pas la personne qui l'utilise.

Un appel ne mènera donc personne jusqu'à votre porte, mais cela peut quand même compter. Runa Sandvik, experte en sécurité numérique qui travaille avec des personnes à risque, affirme qu'une adresse IP exposée peut rester un risque, surtout pour les victimes de violences, a rapporté TechCrunch. Pour quelqu'un qui se cache d'un ex, « quelque part dans ce pays » et « cette ville » sont des réponses très différentes.

1. Step 1Ouvrez les réglages de confidentialité avancésDans WhatsApp, allez dans Paramètres > Confidentialité > Avancé. Sur iPhone, « Paramètres » peut apparaître sous Vous, a noté Tech Advisor en février 2026.
2. Step 2Activez « Protéger l'adresse IP dans les appels »Dès lors, vos appels sont relayés par les serveurs de WhatsApp, et l'autre personne voit une adresse de serveur à la place de la vôtre. Trusted Reviews note que la qualité d'appel peut baisser en conséquence.
3. Step 3Activez « Désactiver les aperçus de liens »Il se trouve dans le même menu. Quand vous envoyez un lien, WhatsApp récupère un aperçu depuis votre téléphone, ce qui montre votre adresse IP au site web. Avec les aperçus désactivés, le site ne vous voit que si vous touchez le lien.
4. Step 4Ou utilisez « Paramètres de compte stricts »Lancé en janvier 2026 pour les personnes plus exposées, il active plusieurs protections d'un coup. TechCrunch a rapporté qu'il désactive les aperçus de liens, met en sourdine les appels de numéros inconnus et limite la photo de profil, l'Info et la dernière connexion aux contacts.

Les menus bougent et les réglages changent de nom : prenez ces chemins comme un repère et cherchez les mots relais, peer-to-peer ou adresse IP. Le compromis est le même partout. Le porte-parole de Telegram a dit à TechCrunch que les appels directs entre contacts offrent une meilleure qualité et une latence plus faible, et que l'inconvénient est que chaque partie doit connaître l'adresse IP de l'autre.

La voie du document piège les gens. Une image envoyée de la façon normale est compressée et perd ses métadonnées, alors que le même fichier joint comme document arrive intact. Les applications qui suppriment les exif explique pourquoi, et supprimer soi-même la localisation prend une minute.

La position en direct est la seule fuite que vous choisissez. WhatsApp la partage avec une seule discussion, pour la durée que vous choisissez, et vous pouvez arrêter à tout moment, affirme l'entreprise. La carte de Snapchat va plus loin : elle montre à vos amis votre niveau de batterie et le moment où vous rentrez chez vous, comme l'explique qui peut voir votre position sur Snapchat.

Les photos de profil sont plus publiques que la plupart des gens ne le pensent. Quand des chercheurs de l'université de Vienne ont examiné 3,5 milliards de comptes WhatsApp en 2025, ils ont pu voir une photo de profil publique pour environ 57 % d'entre eux et un texte d'Info pour au moins 29 %. WhatsApp a depuis ajouté des limites de débit et des règles de visibilité plus strictes pour les informations de profil, selon SBA Research. Ce que montre la photo est une autre affaire : un seul selfie peut révéler où vous habitez par un numéro de maison ou une vue depuis une fenêtre.

L'étude, intitulée Careless Whisper, est venue de l'université de Vienne et de SBA Research et a reçu le prix du meilleur article à la conférence de sécurité RAID 2025. L'astuce est une réaction à un message qui n'existe pas. Le téléphone de la cible renvoie un accusé de réception mais n'affiche rien, et le rythme d'un flux régulier de tels accusés dessine la journée de la personne.

Lors d'un test, un volontaire a éteint son ordinateur personnel à 19 h 28 et est parti pour le bureau. Les accusés ont montré le téléphone passant du Wi-Fi aux données mobiles, puis revenant au Wi-Fi à 19 h 45, quand le volontaire est arrivé au travail et qu'un ordinateur portable professionnel s'est connecté. La conclusion de l'article est sans détour : un attaquant n'a besoin que du numéro de téléphone de la cible.

L'équipe a signalé la faille à Meta et à Signal en septembre 2024. En décembre 2025, CyberInsider a rapporté qu'aucun des deux ne l'avait corrigée au niveau du protocole et qu'un outil public fondé sur la méthode était apparu sur GitHub. Les limites de débit plus strictes de Signal réduisent la consommation de batterie et de données ; WhatsApp n'avait pas de telles limites. La meilleure défense suggérée par CyberInsider est Bloquer les messages de comptes inconnus, sous Paramètres > Confidentialité > Avancé, qui bloque les volumes élevés de messages de comptes inconnus, même si un sondage plus lent peut passer.

Testez une copie dont les données de localisation ont été retirées (une capture d'écran convient) pour que l'estimation repose sur ce que l'appareil a vu. Sur geospys.com, l'analyse de photos est incluse dans GeoSpy Premium, un abonnement à 7,99 dollars américains par semaine ou 29,99 dollars américains par an, illimité dans le cadre d'un usage raisonnable, que vous pouvez résilier à tout moment. Il estime une ville et un pays, jamais une adresse, et les photos envoyées ne sont pas conservées. L'app GeoSpy pour iPhone propose un essai gratuit.

1. Vérifiez les appareils liés. Le guide de sécurité WhatsApp de Refuge suggère de passer en revue la liste des appareils qui peuvent accéder à votre compte et de déconnecter ceux que vous ne reconnaissez pas.
2. Contrôlez qui voit quoi. Refuge suggère de limiter Vu en dernier, Photo de profil et Info à Mes contacts ou à Personne, d'ajuster qui voit votre statut, et de régler la position en direct sur Aucune.
3. Masquez votre adresse IP. Activez « Protéger l'adresse IP dans les appels » et « Désactiver les aperçus de liens », ou « Paramètres de compte stricts » pour activer un ensemble de protections d'un coup.
4. Pensez d'abord à votre sécurité. Refuge prévient que certaines démarches peuvent être dangereuses si vous vivez avec la personne qui vous fait du mal. Au Royaume-Uni, la National Domestic Abuse Helpline est gratuite au 0808 2000 247 ; aux États-Unis, la National Domestic Violence Hotline est au 1-800-799-7233.