Ce qu'AdHole fait de vos données

Version 2.10 · en vigueur au 2026-10-05

Réponse courte : rien de votre navigation ne sort de votre ordinateur, ni de votre appareil Android, vers l'éditeur. Seule une statistique anonyme lui parvient — pour compter les installations et pour afficher sur le site le total des requêtes bloquées —, et elle se coupe dans les réglages. Sur iPhone et iPad, c'est différent : les noms des sites que demande l'appareil passent, chiffrés, par un serveur de l'éditeur, qui les filtre sans les écrire.

Ce document décrit d'abord le programme pour ordinateur. La section « Sur Android » dit ce qui change, et ce qui ne change pas, dans l'application pour téléphone et boîtier Android. La section « Sur iPhone et iPad » renvoie à l'annexe livrée avec cette application, qui prévaut, pour elle, sur ce document.

Ce qui est traité, et où

AdHole voit forcément beaucoup de choses : c'est le prix d'un filtrage qui fonctionne. Il voit les noms de domaine que votre machine demande, et le contenu des pages web que votre navigateur charge, sauf pour les sites volontairement non déchiffrés. Tout ce traitement a lieu sur votre machine, dans la mémoire du programme, le temps de la requête.

Il voit aussi les noms de domaine demandés par les autres appareils que vous faites pointer sur ce PC : télévision, console, téléphones. Leur adresse IP locale apparaît dans le tableau de bord.

Ce qui est conservé

Tout ce qui est écrit sur le disque l'est dans le dossier de données d'AdHole : C:\ProgramData\adhole sous Windows, /var/lib/adhole sous Linux.

Donnée	Où, dans le dossier de données	Combien de temps
Les 1 000 dernières requêtes affichées au tableau de bord, avec l'adresse IP de l'appareil qui les a émises	nulle part : mémoire vive uniquement	jusqu'à l'arrêt du service
Les compteurs détaillés du tableau de bord : cache, latence, classements des domaines et des appareils	nulle part : mémoire vive uniquement	jusqu'à l'arrêt du service
Journal technique	`logs`	pivote au-delà de 10 Mo ; la version précédente est conservée à côté
Listes de filtrage téléchargées	`lists`	remplacées à chaque rafraîchissement
Certificat racine et sa clé privée	`ca`	jusqu'à la désinstallation, et au-delà si vous ne supprimez pas le dossier de données
Attributions d'adresses du réseau, avec l'adresse matérielle et le nom de chaque appareil — uniquement si vous avez activé la distribution d'adresses	`baux-dhcp.json`	jusqu'à suppression du fichier
Vos règles personnelles et réglages	à la racine du dossier	jusqu'à suppression
Les totaux de requêtes — vues, bloquées, part du filtre réseau, part du proxy — et la date à laquelle le comptage a commencé : des nombres seulement, aucun nom de domaine, aucune adresse, aucune heure de requête	`compteurs.json`	jusqu'à suppression du fichier ou du dossier de données
Le numéro de la statistique anonyme et le repère de son dernier envoi — uniquement si la statistique anonyme est active	`mesure.json`	jusqu'à la coupure de la statistique, qui efface le fichier

Aucun historique de navigation n'est écrit sur le disque. Redémarrer le service efface les dernières requêtes, les classements, le cache et la latence. Seuls les totaux survivent, dans compteurs.json : des nombres, sans rien de ce qui a été demandé. Le journal technique ne contient pas les pages visitées ; il peut contenir des noms de domaine en cas d'erreur, et davantage si vous lancez le programme avec l'option -debug.

Ce qui n'est pas fait

Le programme pour ordinateur et l'application Android n'envoient à l'éditeur aucune donnée de votre navigation. Seuls les résolveurs DNS voient les noms des sites demandés — et votre box, en clair, quand plus aucun résolveur chiffré ne répond (voir « Les seules connexions sortantes du programme »).
Aucun compte, aucun mouchard et, sur ordinateur et sur Android, aucun identifiant durable : la seule mesure y est la statistique anonyme décrite ci-dessous.
Aucune revente, aucun partage : il n'y a rien à vendre, et rien de votre navigation sur ordinateur ou sur Android ne parvient à l'éditeur.
Sur iPhone et iPad, les trois points qui précèdent ne valent pas tels quels : voir « Sur iPhone et iPad ».
Le tableau de bord ne charge aucune ressource distante : tout est servi depuis votre machine.

La statistique anonyme

Ce qui part. Peu après chaque démarrage du service, puis une fois par jour, avec la vérification de version (point 4 ci-dessous) : un numéro tiré au hasard sur votre ordinateur et renouvelé chaque mois (fichier mesure.json du dossier de données), le numéro de version d'AdHole, le système avec son type de processeur (par exemple windows-amd64), et le nombre de requêtes bloquées depuis l'envoi précédent. Rien d'autre : ni nom, ni adresse matérielle, ni site visité.

Ce nombre de requêtes bloquées, précisément. C'est un simple nombre — par exemple 4128 —, et il ne part qu'avec le numéro : aucun nom de domaine, aucune adresse, aucune date de navigation ne l'accompagne, et il ne dit rien de ce qui a été bloqué. C'est un écart depuis le dernier envoi accepté, jamais un cumul : le repère de cet envoi est gardé dans le même fichier mesure.json, si bien que le changement mensuel de numéro ne fait pas recompter la même installation. Les totaux du tableau de bord, eux, survivent au redémarrage du service : ils sont gardés sur votre disque, dans compteurs.json, et ne contiennent que des nombres. Ce qui part reste l'écart depuis le dernier envoi accepté, jamais ce total.

Pourquoi. Savoir combien d'installations sont actives chaque jour, chaque semaine et chaque mois, sur quels systèmes et dans quelles versions. Le nombre de requêtes bloquées sert, lui, à une seule chose : afficher sur le site d'AdHole le total des requêtes de publicité et de pistage bloquées par l'ensemble des installations. Le serveur compte aussi les téléchargements de chaque fichier publié, sans rien garder de la personne qui télécharge.

Ce que le serveur garde. Des totaux, par jour et par mois, et un seul grand total pour les requêtes bloquées, additionné sans lien avec l'installation qui l'a envoyé et sans conserver l'envoi lui-même ; un envoi qui annoncerait plus de dix millions de requêtes est écarté. Pour ne pas compter deux fois la même installation, il garde une empreinte du numéro, calculée avec une clé secrète qui ne quitte jamais le serveur et ne permet pas de retrouver le numéro : sept jours pour le décompte de la semaine, jusqu'à la fin du mois pour celui du mois, puis elle est effacée. Aucune adresse IP n'est enregistrée : le serveur ne tient aucun journal de ces connexions et n'écrit aucune adresse sur son disque. Pour écarter les numéros inventés en rafale, il garde seulement en mémoire vive une empreinte de l'adresse, calculée avec la même clé secrète, et le nombre de nouveaux numéros qu'elle a présentés dans la journée (50 au plus). Cette empreinte est oubliée au premier contact du jour suivant (heure UTC), ou au redémarrage du serveur.

Qui en répond. L'éditeur est responsable de ce traitement, fondé sur son intérêt légitime à connaître l'usage de son logiciel (article 6, paragraphe 1, point f du règlement (UE) 2016/679). Il le limite aux conditions que la CNIL admet pour une mesure d'audience dispensée de consentement : finalité réduite au décompte, résultats agrégés, numéro renouvelé chaque mois, aucune transmission à un tiers, et possibilité de s'y opposer à tout moment. Le serveur est chez l'hébergeur indiqué dans MENTIONS-LEGALES.txt.

Comment la couper. Interrupteur « Statistiques anonymes » dans les réglages du tableau de bord (ou mesure_audience: false dans config.yaml) : le numéro est aussitôt effacé de votre disque — avec le repère du dernier envoi, qui est dans le même fichier —, le nombre de requêtes bloquées cesse de partir, et la vérification de version part seule. Le fichier compteurs.json n'est pas effacé : les totaux du tableau de bord continuent d'être comptés et gardés sur votre disque, simplement plus rien n'en part vers l'éditeur. Vider l'adresse de mise à jour coupe, en plus, toute connexion au serveur de l'éditeur.

Les seules connexions sortantes du programme

Les résolveurs DNS, chiffrés par défaut : DNS-over-HTTPS chez Cloudflare, puis DNS-over-TLS chez Quad9 si Cloudflare n'a pas répondu dans la seconde ; la première réponse reçue est utilisée. Tant qu'ils répondent, votre fournisseur d'accès ne voit pas les noms que vous consultez ; le résolveur qui répond, lui, les voit. Quand plus aucun ne répond, c'est la box qui prend le relais et votre fournisseur d'accès les revoit : c'est le point suivant. La liste par défaut se termine par un résolveur de dernier recours non chiffré, 1.1.1.1 (Cloudflare), interrogé seulement quand les résolveurs chiffrés n'ont toujours pas répondu, trois secondes après la première demande : ces requêtes-là circulent en clair. Vous pouvez changer de résolveur, ou retirer celui-ci, dans les réglages.
La box de votre réseau, uniquement quand tous les résolveurs ci-dessus ont échoué trois fois de suite. AdHole lui pose alors vos questions, en clair : votre fournisseur d'accès les voit de nouveau, comme avant l'installation. C'est un pis-aller, et nous le disons comme tel — il contourne le chiffrement que vous avez choisi, parce qu'un nom résolu en clair vaut mieux qu'un ordinateur sans internet. Il ne dure que le temps de la panne : toutes les dix secondes, AdHole réessaie les résolveurs chiffrés et y revient dès que l'un répond. Le filtrage ne change pas pendant ce temps — un domaine publicitaire est bloqué avant que la question ne parte, donc il reste bloqué. La box est détectée automatiquement ; à défaut, c'est le résolveur que vous avez réglé pour les noms locaux qui sert. AdHole ne se replie jamais sur lui-même, ni sur un résolveur déjà présent dans votre liste. Le journal du service note le début et la fin de chaque repli, avec sa durée.
Les listes de filtrage, téléchargées une fois par jour chez leurs auteurs (AdGuard, hagezi) ou chez GitHub, qui en héberge une partie. Ces serveurs voient votre adresse IP, comme pour n'importe quel téléchargement. Chaque liste peut être désactivée.
La vérification de version, peu après chaque démarrage du service puis une fois par jour : un petit fichier indiquant la dernière version publiée, sur le serveur de l'éditeur (adresse apercu.217-160-175-216.sslip.io, le même serveur que le site adhole.fr), accompagné de la statistique anonyme si elle est active. Ce serveur voit votre adresse IP et ne l'enregistre pas (voir « La statistique anonyme »).
Le téléchargement de l'installateur, quand une mise à jour existe et que l'installation automatique est active, depuis l'adresse que ce fichier indique.

Les points 4 et 5 se désactivent en vidant l'adresse de mise à jour dans le fichier config.yaml du dossier de données.

Sous Windows, quand AdHole ne répond pas à temps, l'ordinateur interroge directement le résolveur de secours inscrit à l'installation — votre box, ou 1.1.1.1 si elle n'a pas été trouvée —, en clair et sans filtrage.

Les résolveurs, les auteurs des listes et GitHub sont des tiers : chacun est responsable, de son côté, de ce qu'il fait des adresses IP qu'il voit, et l'éditeur d'AdHole n'y a aucun accès.

Sur Android

L'application Android filtre sur l'appareil. Elle se déclare auprès d'Android comme réseau privé virtuel local — un VPN local — et, depuis la version 1.5.0, tout le trafic du téléphone passe par elle, sur le téléphone. Ce tunnel ne mène nulle part hors de l'appareil : ce qui y entre est traité sur place, puis repart du téléphone vers sa destination réelle. AdHole ne fait passer votre trafic par aucun serveur, ne masque pas votre adresse IP et ne fait transiter aucune de vos données par l'éditeur.

Ce qu'elle voit. Deux choses, et pas une de plus :

les noms de domaine que l'appareil demande, pour toutes les applications ;
le contenu des pages que vous ouvrez dans vos navigateurs, si vous avez installé son certificat racine (conditions d'utilisation, art. 5.6). Elle les ouvre pour y masquer les emplacements de publicité, refuser les bandeaux de cookies et retirer les publicités des vidéos YouTube. Cela ne vaut que pour les navigateurs que vous laissez cochés dans les réglages, et jamais pour les sites laissés chiffrés.

Ce qu'elle ne voit pas. Le contenu du trafic des applications autres que les navigateurs : Android ne permet pas à une application de lire le trafic chiffré d'une autre, et AdHole ne le tente pas — ces connexions sont relayées telles quelles, octet pour octet. Ni le contenu des sites laissés chiffrés, dans un navigateur comme ailleurs. Et tant que le certificat n'est pas installé, ou si vous coupez le réglage « Retirer les pubs et les bandeaux de cookies dans les navigateurs », aucune page n'est ouverte : l'application ne voit alors que des noms de domaine.

Tout ce traitement a lieu sur l'appareil, en mémoire, le temps de la requête ou de la page.

Ce qui est écrit sur l'appareil. Dans le dossier de données privé de l'application, qu'Android isole des autres applications, et nulle part ailleurs :

Donnée	Où	Combien de temps
Les dernières requêtes affichées dans l'application, et les compteurs de la session en cours : classement des domaines bloqués, cache, latence	nulle part : mémoire vive uniquement	jusqu'à l'arrêt du filtrage
Vos règles personnelles et vos réglages (résolveurs choisis, navigateurs filtrés, sites laissés chiffrés, statistique anonyme)	à la racine du dossier	jusqu'à suppression
La liste de vos listes de filtrage, et les listes téléchargées	dans le dossier	remplacées à chaque rafraîchissement
Le certificat racine et sa clé privée — créés au premier appel du bouton « Installer le certificat »	`ca`	jusqu'à la désinstallation de l'application
Les totaux de requêtes — vues et bloquées — et la date à laquelle le comptage a commencé : des nombres seulement, aucun nom de domaine, aucune adresse, aucune heure de requête	`compteurs.json`	jusqu'à suppression du fichier ou du dossier de données, ou remise à zéro des compteurs
Le numéro de la statistique anonyme et le repère de son dernier envoi — uniquement si la statistique anonyme est active	`mesure.json`	jusqu'à la coupure de la statistique, qui efface le fichier

Aucun historique de navigation n'est écrit sur l'appareil, et le contenu des pages ouvertes n'est jamais conservé : il est traité en mémoire, le temps de la page. Les dernières requêtes affichées dans l'application, le classement des domaines bloqués, le cache et la latence vivent en mémoire et disparaissent quand le filtrage s'arrête. Seuls les totaux survivent, dans compteurs.json : des nombres, sans rien de ce qui a été demandé. C'est ce cumul que l'écran d'accueil affiche, parce que sur un téléphone le filtrage s'arrête plusieurs fois par jour et que les compteurs repartaient alors de zéro. Le bouton de remise à zéro des compteurs efface aussi ce fichier.

La clé privée du certificat ne quitte jamais l'appareil. Elle est fabriquée sur le téléphone, l'éditeur n'en a aucune copie et ne peut pas en obtenir une. Ne copiez le dossier de données de l'application nulle part : qui mettrait la main sur cette clé pourrait se faire passer pour n'importe quel site, sur ce téléphone.

Les connexions sortantes sont les mêmes que sur ordinateur (voir la section précédente) : les résolveurs DNS chiffrés, le repli en clair quand ils sont tous tombés, le téléchargement des listes de filtrage, et la vérification de version accompagnée de la statistique anonyme. La cinquième fait exception : l'application ne télécharge jamais une mise à jour d'elle-même, c'est vous qui la déclenchez et Android qui l'installe.

Le repli existe sur Android, et sur un téléphone ce n'est pas toujours « la box ». Quand vos résolveurs chiffrés ont tous échoué trois fois de suite, l'application pose vos questions au résolveur du réseau auquel le téléphone est relié, en clair, le temps de la panne : la box en Wi-Fi, le relais de votre opérateur en données mobiles, celui de l'exploitant sur un Wi-Fi public. C'est donc lui qui voit ces noms-là — sur un réseau mobile, votre opérateur ; sur un Wi-Fi public, celui qui le tient. Ce repli contourne le chiffrement que vous avez choisi : c'est un pis-aller, pour ne pas vous laisser sans résolution de noms. L'application revient au chiffré dès qu'un résolveur répond, et le filtrage ne s'arrête pas pendant ce temps. Elle suit le réseau : quand le téléphone passe du Wi-Fi aux données mobiles, c'est le résolveur du nouveau réseau qui prend la place.

La statistique anonyme est identique — un numéro tiré au hasard et renouvelé chaque mois, la version, le système, ici android (ou android-tv sur un boîtier), et le nombre de requêtes bloquées depuis l'envoi précédent, qui alimente le total affiché sur le site. Elle est active par défaut et se coupe dans les réglages de l'application : le numéro est alors effacé de l'appareil, et ce nombre cesse de partir.

Vous pouvez couper le filtrage à tout moment, depuis l'écran d'accueil de l'application ou en retirant son autorisation dans les réglages d'Android. Le trafic de l'appareil reprend aussitôt son cours normal. Vous pouvez aussi ne couper que le nettoyage des pages, par son interrupteur dans les réglages : le filtrage par nom de domaine continue, et plus aucune page n'est ouverte.

Désinstaller l'application emporte son dossier de données, donc la clé privée. Le certificat racine que vous avez installé, lui, reste dans le magasin d'Android : Android ne permet pas à une application de l'en retirer. Retirez-le dans Réglages → Sécurité → Identifiants utilisateur, puis adhole Root CA.

Sur iPhone et iPad

L'application iPhone et iPad ne filtre pas sur l'appareil. Elle inscrit dans les réglages DNS chiffrés d'iOS un filtre que l'éditeur fait fonctionner sur son serveur, et c'est vous qui l'activez dans les Réglages d'iOS. Les noms des sites que demande l'appareil passent alors, chiffrés, par ce serveur, avec l'adresse IP de votre connexion. Le serveur n'écrit ni ces noms ni votre adresse IP ; il ne conserve, sous un identifiant tiré au hasard sur l'appareil, que le nombre de demandes bloquées et deux dates, jusqu'à la remise à zéro du compteur ou 90 jours après la dernière demande comptée. La statistique anonyme et la vérification de version ne partent pas de cette application.

Le détail — chaque traitement avec sa base légale et sa durée, les destinataires, vos droits — est dans l'annexe de confidentialité livrée avec l'application, à la suite de ce document. Pour l'application iPhone et iPad, cette annexe prévaut sur ce document quand ils se contredisent.

Qui est responsable de quoi

Sur ordinateur et sur Android, l'éditeur n'est responsable d'aucun traitement relatif à votre navigation, au sens du règlement (UE) 2016/679 : aucune donnée de navigation ne lui parvient, et il n'a aucun moyen technique d'en obtenir. Il y est responsable d'un seul traitement : la statistique anonyme décrite plus haut. Sur iPhone et iPad, il est en outre responsable des traitements que fait le serveur du filtre : la résolution des noms demandés, un compteur par identifiant tiré au hasard et la limite de débit (voir « Sur iPhone et iPad »).

Sur ordinateur et sur Android, vous restez maître des données qui transitent par votre machine. Tant que l'usage reste strictement personnel ou domestique, il échappe au règlement européen par son article 2, paragraphe 2, point c. Dès que le filtre sert ailleurs — un commerce, une association, un poste professionnel, le réseau d'un tiers —, c'est vous qui devenez responsable du traitement des requêtes des appareils concernés, et à vous d'informer les personnes qui les utilisent.

Les sites laissés chiffrés

Certains sites ne sont jamais déchiffrés : AdHole ouvre un simple tunnel et ne voit rien de leur contenu. Une liste par défaut est livrée avec le programme ; elle couvre notamment les mises à jour du système, les magasins de jeux, les services de stockage, les messageries chiffrées, les services de paiement et les flux vidéo.

Cette liste ne peut pas être exhaustive, et l'éditeur ne prétend pas qu'elle le soit : aucun éditeur ne peut recenser toutes les banques, mutuelles ou administrations du monde. La liste réellement appliquée sur votre machine est consultable et modifiable dans les réglages du tableau de bord, rubrique des sites laissés chiffrés (no_decrypt dans le fichier de configuration) ; sur Android, dans les réglages de l'application, rubrique « Sites laissés chiffrés ». La liste de départ y est la même que sur ordinateur, et elle s'applique de la même façon : ces sites ne sont jamais ouverts, même dans un navigateur.

Il vous revient d'y ajouter les sites que vous ne voulez pas voir déchiffrés — banque, santé, impôts, employeur. Prenez cette minute avant votre prochaine connexion sensible.

Tout effacer

Sur ordinateur, désinstaller retire le service, le certificat et le proxy. Sous Windows, l'installateur propose ensuite de supprimer le dossier de données ; si vous refusez, la clé privée du certificat y reste. Sous Linux, il n'y a pas d'installateur : la remise en état se fait à la main, et le dossier de données reste tant que vous ne l'effacez pas.

Sur Android, désinstaller l'application emporte son dossier de données, clé privée comprise. Il reste un geste à faire : retirer le certificat racine du magasin d'Android, dans Réglages → Sécurité → Identifiants utilisateur.

adhole teardown          (Windows, invite de commande administrateur)
sudo adhole teardown     (Linux)

puis supprimez le dossier de données.

Sur iPhone et iPad : désactivez AdHole dans Réglages → Général → VPN et gestion de l'appareil → DNS, remettez le compteur à zéro dans l'application, puis supprimez-la. Le détail est dans l'annexe.

Contact

Pour toute question relative aux données personnelles : contact@antoinemoury.fr. Identité complète de l'éditeur : MENTIONS-LEGALES.txt.

ANNEXE — CONFIDENTIALITÉ DE L'APPLICATION ADHOLE POUR IPHONE ET IPAD

Version 2 — 3 octobre 2026. Elle remplace la version de septembre 2026, qui décrivait un réseau privé virtuel local que l'application n'emploie plus.

PRIMAUTÉ. Pour l'application iPhone et iPad, la présente annexe prévaut sur les passages du document ci-dessus, et des conditions générales, qui la contredisent. Ce document décrit d'abord le programme pour ordinateur et l'application Android, qui filtrent sur l'appareil. Sur iPhone et iPad, le filtrage se fait sur un serveur de l'éditeur : ne valent donc pas pour cette application les passages qui décrivent l'ordinateur et Android, notamment ceux selon lesquels rien de votre navigation ne sort vers l'éditeur, l'éditeur n'est responsable d'aucun traitement relatif à votre navigation, et la statistique anonyme est le seul traitement dont il répond. Ce qui suit les remplace.

RÉPONSE COURTE

Quand vous activez AdHole dans les Réglages d'iOS, et tant que vous ne le mettez pas en pause, les noms des sites que demandent les applications de l'appareil partent, chiffrés, vers le serveur de l'éditeur. Il bloque ceux des serveurs de pubs et de pisteurs et fait résoudre les autres par des résolveurs publics, sans leur transmettre votre adresse IP. Il n'écrit nulle part ni ces noms ni votre adresse IP : il ne les tient qu'en mémoire, le temps de répondre et, pour l'adresse IP, de limiter le débit (point 3). Il conserve seulement, sous un identifiant tiré au hasard sur l'appareil, le nombre de demandes bloquées et deux dates. La statistique anonyme et la vérification de version des autres systèmes ne partent pas de cette application.

LE RESPONSABLE

Antoine MOURY, entrepreneur individuel, SIREN 913 844 619, 26 rue Charles de Mouchy, 06210 Mandelieu-la-Napoule, France — contact@antoinemoury.fr — est responsable des traitements 1 à 4 ci-dessous, faits sur son serveur.

1. LES NOMS DEMANDÉS — LE FILTRAGE

Ce qui part. Pour chaque nom de domaine qu'une application de l'appareil demande à iOS : le nom, le type de la question et, dans l'adresse de la demande, l'identifiant du compteur (point 2), le mode (standard ou strict) et la liste de vos sites autorisés. Le serveur voit aussi l'adresse IP de votre connexion ; en données mobiles, elle est souvent partagée par de nombreux abonnés de votre opérateur. Le tout voyage chiffré (DNS sur HTTPS, avec le chiffrement d'iOS).

En pause. L'interrupteur de l'accueil met AdHole en pause sans le retirer des Réglages d'iOS : le réglage n'y garde qu'une règle, celle de ne pas s'appliquer. Dès qu'iOS l'a prise en compte, plus aucun nom ne part vers le serveur : c'est le résolveur de votre réseau (box, opérateur, exploitant d'un Wi-Fi public) qui voit les noms demandés, comme sans AdHole. Tant que le filtre répond encore à sa vérification, l'accueil dit que la pause n'est pas encore appliquée.

Ce qui en est fait. Un nom sans point (« imprimante », « box ») reçoit « nom inconnu » sans quitter le serveur. Un nom sous verif.dns.antoinemoury.fr reçoit la réponse de vérification (point 4). Un de vos sites autorisés, ou l'un de ses sous-domaines, n'est pas comparé aux listes. Les autres noms le sont : un serveur de pubs ou de pisteurs reçoit une adresse nulle (0.0.0.0, ou :: en IPv6). Ce qui n'est pas bloqué est résolu par les résolveurs amont (point 5), dont la réponse vous est rendue telle quelle ; au-delà de 4 secondes, la réponse est un échec.

Ce qui est gardé : rien. Le serveur ne tient aucun cache de réponses. Le nom n'existe qu'en mémoire, le temps de répondre — quelques secondes, une quinzaine au plus quand un résolveur amont tarde. Les sites autorisés ne sont lus que dans la demande qui les porte. Aucun nom n'est écrit, ni sur le disque ni dans un journal (point 6).

Base légale. L'exécution du contrat que vous concluez en acceptant les conditions d'utilisation (article 6, paragraphe 1, point b, du règlement (UE) 2016/679, « RGPD ») : sans ces noms, le filtre ne peut pas répondre. Un nom de site peut toutefois révéler une information sensible — santé, convictions, vie intime. Dans la mesure où l'article 9 du RGPD s'applique à ces noms, leur traitement repose aussi sur votre consentement explicite (article 9, paragraphe 2, point a), que vous donnez en activant vous-même AdHole dans les Réglages d'iOS. L'application vous le dit à sa première ouverture, puis sur la carte qui mène à l'activation, juste avant le bouton « Ajouter AdHole » puis sous le chemin des Réglages : « En activant AdHole dans les Réglages d'iOS, vous acceptez que les noms des sites que demande cet appareil passent par le filtre de l'éditeur, y compris ceux qui peuvent révéler des informations sensibles (santé, opinions, vie intime). Ils ne sont ni gardés ni journalisés. » Vous le retirez à tout moment en désactivant AdHole dans les Réglages d'iOS ; le retrait vaut pour l'avenir. La pause arrête l'envoi des noms sans retirer ce consentement : remis en marche depuis l'accueil, AdHole les fait de nouveau passer par le filtre, sans repasser par les Réglages, sauf si iOS désactive AdHole en enregistrant ce changement : l'application le signale alors, et il faut le réactiver dans les Réglages.

Si vous ne voulez pas que ces noms partent vers le serveur, n'activez pas AdHole dans les Réglages d'iOS : les composants Safari fonctionnent sans lui.

2. LE COMPTEUR

Ce qui est gardé. À sa première ouverture, l'application tire au hasard sur l'appareil un identifiant de 128 bits (32 caractères hexadécimaux), qui figure dans l'adresse de chaque demande et que l'écran Compteur affiche. Pour cet identifiant, le serveur compte les demandes bloquées — seulement celles de type A, pour ne pas compter trois fois un même nom — et garde trois choses : ce nombre, le premier et le dernier jour où une demande a été comptée (en temps universel). Aucun nom de site, aucune adresse IP. Un site autorisé, la vérification et la recherche d'un site ne comptent jamais, et rien n'est compté pendant la pause.

Où. En mémoire et dans un fichier du serveur, réécrit toutes les 5 minutes, 10 secondes après un effacement et à l'arrêt du programme. Deux copies du programme tournent sur le serveur et comptent chacune une part ; l'application lit leur somme, avec l'identifiant, en marche comme en pause : quand elle s'ouvre, revient au premier plan ou retrouve la connexion, à chaque vérification du filtre et après chaque changement de réglage, et sur l'écran Compteur.

Combien de temps. Jusqu'à 90 jours après le dernier jour compté : l'entrée est encore là le 90e jour, plus le 91e. Un fichier que le programme n'a pas pu relire est mis de côté, puis supprimé 91 jours après sa dernière modification.

L'effacement. « Remettre à zéro », sur l'écran Compteur, note d'abord l'ancien identifiant sur l'appareil, puis donne un nouvel identifiant à l'appareil et l'inscrit dans iOS ; si iOS refuse le nouveau réglage, rien ne change et la note est retirée. L'application demande ensuite au serveur d'effacer l'ancien identifiant ; tant que le serveur n'a pas confirmé l'effacement par ses deux copies, elle le redemande à chaque ouverture. L'identifiant effacé reste seul en mémoire du serveur de 10 à 15 minutes, pour qu'une demande encore en route ne recrée pas l'entrée.

Base légale. L'exécution du contrat (article 6, paragraphe 1, point b, du RGPD) : le compteur est une fonction de l'application, affichée à l'accueil. L'identifiant fait partie de l'adresse du filtre ; aucun réglage ne permet de l'en retirer. Pour arrêter le comptage, mettez AdHole en pause ou désactivez-le dans les Réglages d'iOS ; pour effacer ce qui a été compté, remettez le compteur à zéro.

3. VOTRE ADRESSE IP — LA LIMITE DE DÉBIT

Le serveur se sert de l'adresse IP de chaque demande pour limiter le débit (1 000 demandes par seconde et par adresse, 5 000 en pointe) et pour qu'une même adresse ne prenne pas toutes les résolutions en cours (250 au plus). Elle reste en mémoire seulement, jamais écrite : retirée des résolutions en cours dès que la réponse est là, et de la table de débit au nettoyage horaire qui suit 10 minutes sans demande de sa part — au plus tard 70 minutes après votre dernière demande —, ou au redémarrage du programme.

Base légale. L'intérêt légitime de l'éditeur à garder le service disponible pour tous face à un déluge de demandes (article 6, paragraphe 1, point f, du RGPD). Vous pouvez vous y opposer (point 12).

4. CE QUE L'APPLICATION ENVOIE ELLE-MÊME

Une fois les conditions acceptées, et avec le chiffrement d'iOS, l'application s'adresse au serveur de quatre façons, en marche comme en pause :

« Chercher un site » envoie le nom que vous tapez, votre mode et vos sites autorisés, SANS l'identifiant : la recherche n'est pas comptée. Elle s'adresse au filtre directement, et marche donc aussi en pause. Elle est traitée comme au point 1 et n'est pas gardée ;
le compteur est lu avec l'identifiant (point 2) ;
l'effacement d'un ancien identifiant est demandé avec cet identifiant (point 2) ;
pour vérifier que le filtre répond vraiment, l'application demande à iOS un nom neuf, tiré au hasard, sous verif.dns.antoinemoury.fr. Quand le filtre est actif, la question lui arrive comme toute autre et il répond par une adresse réservée à la documentation, sans rien compter. Quand il ne l'est pas, ou qu'il est en pause, elle part au résolveur de votre réseau, qui interroge les serveurs de noms du domaine antoinemoury.fr, chez OVH : elle ne porte qu'une valeur aléatoire.

Base légale : l'exécution du contrat (article 6, paragraphe 1, point b).

5. LES DESTINATAIRES

L'hébergeur : IONOS SARL, 7 place de la Gare, BP 70109, 57201 Sarreguemines Cedex, France, chez qui l'éditeur loue le serveur. Le serveur est situé en Allemagne.
Les résolveurs amont, qui reçoivent les noms que le filtre ne bloque pas, depuis l'adresse du serveur : ni votre adresse IP, ni votre identifiant, ni vos sites autorisés ne leur sont transmis. Dans l'ordre : Cloudflare (DNS sur HTTPS, 1.1.1.1) ; si Cloudflare n'a pas répondu dans la seconde, ou a échoué, Quad9 (DNS sur HTTPS, 9.9.9.9) ; une seconde plus tard, Cloudflare encore (DNS sur TLS, 1.0.0.1). La première réponse reçue sert. Cloudflare, Inc. (San Francisco, États-Unis) déclare adhérer au cadre de protection des données UE–États-Unis (« Data Privacy Framework »), objet de la décision d'adéquation de la Commission européenne du 10 juillet 2023. Quad9 est une fondation de droit suisse (Zurich) ; la Commission reconnaît à la Suisse un niveau de protection adéquat. Chacun répond, pour son compte, de ce qu'il fait des questions qu'il reçoit.
Personne d'autre : rien n'est vendu, rien n'est partagé, rien ne sert à la publicité ni à un profil.

6. CE QUI N'EST ÉCRIT NULLE PART

Le serveur web qui reçoit les demandes n'a ni journal d'accès ni journal d'erreurs pour ce service. Le journal du programme ne reçoit que ses événements (démarrage, listes chargées, résolveurs amont injoignables ou de nouveau joignables, arrêt) et un bilan par heure : nombre de demandes, de blocages, d'échecs et d'identifiants suivis. Pas un nom demandé, pas une adresse IP, pas un identifiant.

7. CE QUI EST ÉCRIT SUR L'APPAREIL

Dans les réglages de l'application : votre accord aux conditions, l'identifiant du compteur, le mode, la marche ou la pause, vos sites autorisés et les anciens identifiants dont l'effacement n'est pas encore confirmé. Dans l'espace partagé avec ses extensions Safari : les règles converties, le rapport de la dernière conversion, les listes téléchargées et les réglages de l'extension web (retrait des fenêtres sans refus gratuit, sites autorisés), et la date du dernier passage de l'extension web dans une page, sans le site. iOS garde de son côté, dans ses réglages réseau, l'adresse du filtre, identifiant, mode et sites autorisés compris, et les règles qui disent quand l'appliquer (vérification du filtre, pause).

Aucun historique de navigation, aucun journal, aucun compteur n'est écrit sur l'appareil : le compteur est sur le serveur. L'application n'exclut pas ces données des sauvegardes de l'appareil : une sauvegarde iCloud ou sur ordinateur les emporte, comme celles de toute application.

8. LES COMPOSANTS SAFARI

Les deux bloqueurs de contenu et l'extension web ne fonctionnent que si vous les activez dans les Réglages d'iOS. Les bloqueurs ne voient aucune page : ils remettent à Safari un fichier de règles, et c'est Safari seul qui les applique. L'extension web exécute ses scripts dans les pages que vous ouvrez dans Safari : ils lisent et modifient la page en mémoire, sur l'appareil. L'un d'eux transmet à l'application, sur l'appareil, le nom du site ouvert, pour savoir s'il fait partie de vos sites autorisés et si vous avez activé le retrait des fenêtres sans refus gratuit ; sans réponse, ces fenêtres restent en place. Rien de cela ne quitte l'appareil : les scripts n'ouvrent aucune connexion, n'écrivent aucun fichier, ne retiennent pas les sites visités et n'envoient rien, ni à l'éditeur ni à personne. Seule la partie de l'extension qui répond aux scripts note la date de son dernier passage, sans le site : l'application s'en sert pour vous dire si l'extension fonctionne. Le bouton de l'extension, dans le menu de Safari, affiche ce qu'elle a fait sur la page ouverte : il la lit sur l'appareil, au moment où vous le touchez, et ne garde rien.

9. LES LISTES DES BLOQUEURS SAFARI

Seulement quand vous appuyez sur « Mettre à jour » dans l'écran Safari d'AdHole, l'appareil télécharge les listes des bloqueurs directement chez leurs auteurs : easylist.to, secure.fanboy.co.nz et filters.adtidy.org (AdGuard). Ces serveurs voient l'adresse IP de votre connexion et l'en-tête qu'iOS joint à toute requête d'une application (nom et numéro de construction de l'application, versions des composants réseau d'iOS) ; rien d'autre vous concernant n'y est joint. Ils en répondent pour leur compte. Rien ne passe par l'éditeur.

10. CE QUI NE S'APPLIQUE PAS À CETTE APPLICATION

La statistique anonyme et la vérification de version : aucun numéro n'est tiré pour elles, aucun fichier « mesure.json » n'est créé, et le nombre de requêtes bloquées qui alimente, depuis les autres systèmes, le total affiché sur le site ne part pas d'ici. Les mises à jour arrivent par l'App Store.
Le téléchargement quotidien des listes : sur iPhone, seul le geste du point 9 télécharge.
Le repli de l'application sur la box. Mais quand iOS repasse par le DNS du réseau — en pause, filtre injoignable lors de sa vérification, ou repli d'iOS 26 (conditions d'utilisation, annexe) —, c'est le résolveur de votre réseau (box, opérateur, exploitant d'un Wi-Fi public) qui voit les noms demandés, comme sans AdHole.
Le déchiffrement HTTPS, le certificat racine, les sites laissés chiffrés, les autres appareils du réseau, la distribution d'adresses et le fichier « compteurs.json ».

11. CE QU'APPLE FAIT DE SON CÔTÉ

Apple traite pour son propre compte, selon sa propre politique, les données liées à l'App Store et à l'installation. Si vous avez accepté, dans les réglages d'iOS, de partager des analyses avec les développeurs d'apps, Apple peut transmettre à l'éditeur des rapports de plantage et des statistiques d'utilisation agrégées. L'application n'y ajoute rien.

12. VOS DROITS

Vous disposez des droits d'accès, de rectification, d'effacement, de limitation, d'opposition (point 3) et de portabilité que prévoient les articles 15 à 21 du RGPD, et vous pouvez retirer à tout moment votre consentement (point 1). Aucune décision automatisée produisant des effets juridiques à votre égard, aucun profilage. Dans l'application :

l'écran Compteur affiche le nombre de demandes bloquées, le premier jour compté et l'identifiant de cet appareil, que vous pouvez copier. En le donnant à l'éditeur (contact@antoinemoury.fr), vous lui permettez de retrouver l'entrée qui vous concerne, dernier jour compté compris, ou de l'effacer ;
« Remettre à zéro » efface l'entrée du serveur (point 2) ;
la pause, sur l'accueil, arrête l'envoi des noms et le comptage, sans retirer AdHole des Réglages d'iOS ni votre consentement ;
désactiver AdHole dans Réglages › Général › VPN et gestion de l'appareil › DNS arrête l'envoi des noms et retire votre consentement.

Sans cet identifiant, l'éditeur ne peut pas retrouver l'entrée qui vous concerne : il ne la relie à rien d'autre (article 11 du RGPD). Pour toute autre demande : contact@antoinemoury.fr ; le RGPD lui laisse un mois pour répondre. Vous pouvez aussi saisir la Commission nationale de l'informatique et des libertés (CNIL), 3 place de Fontenoy, TSA 80715, 75334 Paris Cedex 07, www.cnil.fr, ou l'autorité de protection des données de votre pays de résidence.

13. TOUT EFFACER

Désactivez AdHole dans Réglages › Général › VPN et gestion de l'appareil › DNS : les noms ne partent plus vers le serveur.
Appareil connecté à internet, remettez le compteur à zéro : l'entrée du serveur est effacée dès qu'il le confirme ; faute de réponse, l'application redemande l'effacement à chaque ouverture.
Supprimez l'application : iOS efface les données qu'elle a écrites sur l'appareil. Un effacement encore en attente n'est alors plus redemandé.

Sans l'étape 2, le serveur oublie l'entrée 90 jours après le dernier jour compté.

Fichier source · CONFIDENTIALITE.md · SHA-256 680ad47a2f6b71bf3edcfce45a8786f0be56cb748b44c197985b6cb0b4c9c495

Fichier source · annexe-ios-confidentialite-fr.txt · SHA-256 47a834d8adf0a5e5081454c14367d456408ee93cb51a9e38f92e5c5d408cb5bf