FlowConsent
Comment ça marcheTarifsComparatifsBlogDocumentationConnexionEssayer FlowConsent
Essayer FlowConsent
Sécurité

Apple Sign-in

EssentielSite officiel

Sign in with Apple est le fournisseur d'identité d'Apple. Il permet aux visiteurs de se connecter aux sites et aux applications avec leur Apple ID via OAuth 2.0 et OpenID Connect, avec une option de relais email.

Bloquer Apple Sign-in jusqu'au consentementScanner mon site
Présentation

Que fait Apple Sign-in ?

Sign in with Apple est le fournisseur d'identité d'Apple, disponible depuis 2019. Il implémente OAuth 2.0 et OpenID Connect et est obligatoire pour les apps iOS qui proposent un social login. Sur le web, il se déploie via le SDK JS officiel ou par redirection OAuth directe vers appleid.apple.com. Apple le positionne comme une alternative privacy first aux logins Google et Facebook.

À quoi sert Apple Sign-in

Le site affiche un bouton Sign in with Apple. Sur clic, l'utilisateur est redirigé vers appleid.apple.com, s'authentifie avec son Apple ID (mot de passe plus biométrie ou 2FA) et autorise les scopes (nom, email). Apple renvoie un code d'autorisation OAuth que le site échange contre un ID token et un refresh token signés. Le flux est identique à OpenID Connect standard.

Cookies et données collectées

Le SDK JS Sign in with Apple peut déposer un petit cookie propriétaire sur le domaine marchand pour mémoriser l'état de connexion. L'essentiel des cookies est sur appleid.apple.com (s_pers, dssid2, dssf, geo). Le marchand reçoit un identifiant Apple stable (sub), l'email réel ou un alias privaterelay.appleid.com et le nom lors de la première autorisation.

Conséquences RGPD et ePrivacy

Le flux OAuth est déclenché par l'utilisateur et relève de l'exécution contractuelle (article 6(1)(b) RGPD). Les cookies strictement nécessaires à la finalisation de la connexion bénéficient de l'exemption de l'article 82. Les cookies analytiques posés par le SDK sur la page du bouton ne sont pas strictement nécessaires et requièrent un consentement. Apple agit comme responsable indépendant pour la gestion de son compte et comme sous-traitant pour l'assertion reçue.

Transferts de données vers les États-Unis

Apple opère appleid.apple.com globalement avec une infrastructure UE et US. Les tokens OAuth peuvent être validés via des datacentres US. Apple est certifié au Data Privacy Framework UE-États-Unis et propose des CCT. Documentez le transfert dans votre registre.

Comment le déployer de façon conforme

Implémentez Sign in with Apple via le SDK officiel, demandez uniquement les scopes nécessaires (nom, email) et traitez l'alias privaterelay.appleid.com comme un email réel pour les communications transactionnelles. Mentionnez Apple dans la politique de confidentialité comme sous-traitant d'authentification avec mécanisme de transfert US. Proposez au moins une méthode d'authentification alternative.

Conformité

Apple Sign-in et le RGPD

Apple Sign-in est classé dans la catégorie « Essentiel ». Sur un site qui vise des visiteurs européens, il ne doit se charger qu'après le consentement du visiteur, et doit figurer dans votre politique de cookies.

Base légale
Contract performance (Art. 6(1)(b) GDPR) for the sign in initiated by the user, consent (Art. 6(1)(a)) for any non strictly necessary cookies on the button page
Niveau de risque
low
Textes applicables
GDPR, ePrivacy Directive, EU-US Data Privacy Framework, App Store and Apple Developer Program License Agreement

Analyse d'impact (AIPD)

Une AIPD n'est généralement pas nécessaire pour une intégration OAuth standard. Elle peut être utile si Apple Sign-in est l'unique option d'authentification (accessibilité, dépendance) ou s'il est combiné à un profilage important. Documentez les scopes demandés, le traitement de l'email (réel ou relais) et le mécanisme de transfert US.

Exemple de texte pour votre bannière

Sign in with Apple est un service d'authentification opéré par Apple. Nous l'utilisons pour la création de compte ou la connexion avec votre Apple ID. Apple dépose des cookies sur le domaine Apple ID et traite vos jetons d'identité en UE et aux États-Unis. Cette opération est nécessaire au flux d'authentification que vous initiez et ne requiert pas de consentement supplémentaire.
Cookies et traceurs

Ce que Apple Sign-in dépose et contacte

Méthode de suivi
OAuth 2.0 and OpenID Connect flow with Apple ID, JavaScript SDK for the Sign in with Apple JS button, server side token validation
Localisation des serveurs
Apple infrastructure operated globally with EU and US presence; OAuth token validation against appleid.apple.com
Transfert de données hors UE
Sign in with Apple is operated by Apple Inc (US). OAuth tokens and identity assertions flow through Apple servers in the EU and the US. Transfers rely on the EU-US Data Privacy Framework (Apple is certified) and on Standard Contractual Clauses combined with a Transfer Impact Assessment.

Cookies déposés (5)

NomTypeDuréeFinalité
aasphttp_cookieSessionState cookie set by the Sign in with Apple SDK on the merchant domain to bind the OAuth callback to the originating session.
s_pershttp_cookie2 yearsApple analytics cookie set on appleid.apple.com to recognise returning Apple ID sessions.
dssid2http_cookieSessionApple session identifier used during the Apple ID authentication.
dssfhttp_cookieSessionApple fraud prevention cookie used during the Apple ID authentication flow.
geohttp_cookieSessionStores the region detected by Apple for the current Apple ID session.

Domaines tiers contactés (4)

  • appleid.apple.com
  • appleid.cdn-apple.com
  • idmsa.apple.com
  • privaterelay.appleid.com
Questions

Questions fréquentes sur Apple Sign-in

Une question qui n'est pas dans la liste ? Écrivez-nous, on répond vite.

Quels cookies Apple Sign-in dépose-t-il ?

Le SDK JS Sign in with Apple peut déposer un petit cookie propriétaire sur le domaine marchand pour mémoriser l'état. Les cookies principaux sont sur appleid.apple.com (s_pers, dssid2, dssf, geo) et sont nécessaires à la finalisation du flux OAuth.

Apple Sign-in nécessite-t-il un consentement RGPD ?

Les cookies strictement nécessaires à la finalisation de l'authentification bénéficient de l'exemption de l'article 82. Le traitement du flux OAuth repose sur l'exécution contractuelle dès que l'utilisateur clique. Les éventuels cookies analytiques ou marketing posés par le SDK au-delà du strict nécessaire requièrent un consentement.

Quelle est la base légale du traitement ?

Exécution contractuelle au sens de l'article 6(1)(b) du RGPD dès le clic sur Sign in with Apple. Consentement au sens de l'article 6(1)(a) pour les éventuels cookies non strictement nécessaires sur la page du bouton.

Les données sont-elles transférées hors UE ?

Oui. Apple Inc est une société américaine et exploite appleid.apple.com mondialement avec des datacentres en UE et aux États-Unis. Les tokens OAuth peuvent être validés aux États-Unis. Apple est certifié au Data Privacy Framework UE-États-Unis et propose des CCT.

Une AIPD est-elle nécessaire ?

Une AIPD n'est généralement pas requise pour une intégration OAuth standard. Elle devient utile si Apple Sign-in est l'unique option d'authentification (accessibilité et dépendance) ou s'il est combiné à un profilage important.

Comment déployer Apple Sign-in de façon conforme ?

Utilisez le SDK officiel, demandez seulement les scopes nécessaires (nom, email), respectez l'alias privaterelay.appleid.com comme email réel pour les communications transactionnelles, mentionnez Apple dans la politique de confidentialité et proposez au moins une méthode d'authentification alternative.

Existe-t-il des alternatives à Apple Sign-in ?

Alternatives : email/mot de passe avec magic links, Google Sign-in, compte Microsoft, passkeys (WebAuthn), GitHub OAuth, et fournisseurs d'identité comme Auth0, Clerk, Stytch, Okta ou Keycloak. Choisissez selon l'audience et les contraintes réglementaires.

Comment mettre à jour ma politique cookies pour Apple Sign-in ?

Listez le petit cookie propriétaire du SDK comme strictement nécessaire et référencez les cookies appleid.apple.com comme cookies d'authentification tiers. Mentionnez Apple comme fournisseur d'authentification, le mécanisme de transfert US et renvoyez vers la politique de confidentialité d'Apple.

Dans la même catégorie

Autres services : Sécurité

Voir toute la catégorie

IBM DataPower

Sécurité

BuySafe

Essentiel

Sardine

Essentiel

Akismet

Essentiel

SimpleSAMLphp

Essentiel

ipify

Essentiel

Mettez votre site en conformité aujourd'hui.

Gratuit jusqu'à 25 000 sessions par mois. Sans carte bancaire, sans engagement.

Créer ma bannièreScanner mon site