Bluesky glisse son logo dans vos captures d’écran avec une astuce d’appli bancaire

Flash

Vous capturez un message Bluesky sur votre iPhone et le logo du réseau apparaît sur l’image, alors qu’il n’était pas à l’écran une seconde plus tôt.

Concrètement, rien n’est ajouté après coup à votre photo. L’application profite d’une fonction d’iOS prévue pour tout autre chose. Le code public de l’application contient un composant au nom sans ambiguïté, GrowthHack.tsx. Il n’agit que sur iOS et seulement quand l’application est au premier plan : le fichier porte la condition if (!IS_IOS || appState !== 'active') return children. Ce composant enveloppe le bouton « Suivre » dans un élément dit PrivacySensitive et pose le logo Bluesky par-dessus. À l’écran, vous voyez le bouton. Sur la capture, le bouton s’efface et le logo reste.

Une fonction faite pour les mots de passe

Le composant s’appuie sur une bibliothèque publique dont le mode d’emploi décrit la manœuvre sans détour : sur iOS, elle crée un champ de texte sécurisé, et ce champ génère une vue interne (_UITextLayoutCanvasView) « qu’iOS exclut automatiquement des captures d’écran et des enregistrements d’écran ». Autrement dit, on range un élément d’interface dans le tiroir réservé aux secrets, et le système le retire de l’image sans rien demander.

Ce tiroir existe depuis longtemps. La documentation d’Apple décrit la propriété concernée comme une valeur booléenne qui empêche la copie du texte et, dans certains cas, son enregistrement ou sa diffusion. C’est elle qui fait qu’un mot de passe ne s’imprime pas sur une capture, et qu’une application soucieuse de ne pas laisser fuiter un solde ou un message peut sortir une zone entière de l’image. Le rectangle vide ou noir que vous avez déjà vu sur la capture d’une application sensible vient de cette famille de protections. Bluesky s’en sert pour faire l’inverse : ajouter quelque chose plutôt que le soustraire.

Pourquoi ça compte : une capture d’écran passe pour une photo fidèle de ce qu’on avait sous les yeux, alors qu’elle est une image recomposée au moment du déclenchement. Ici l’enjeu est cosmétique, un logo de plus sur une image partagée. Le principe, lui, vaut pour tout le reste : ce que montre une capture dépend aussi de ce que l’application a décidé d’y mettre. Le billet qui a lancé le sujet situe la mise en place en janvier 2026 et renvoie à la modification de code correspondante. Sur un téléphone Android, le même composant s’affiche normalement, sans logo surprise : la protection n’existe pas sur cette plateforme. Une raison de plus de regarder de près ce que le système d’exploitation décide à votre place, comme sur les failles de fingerprinting d’iOS.

Article créé en collaboration avec l’IA.