Votre Mac et votre PC Windows tiennent un journal de tout ce que vous faites : comment le lire et comment l'éteindre

Votre ordinateur tient un journal sur vous, et ce n'est pas l'historique du navigateur. macOS note quelle application était devant vous et pendant combien de temps, à la seconde près, quand l'écran s'est allumé et éteint, quels sites Safari a ouverts et quelles notifications vous avez reçues ; sous macOS 26, il le fait à deux endroits, une base appelée knowledgeC et 118 flux « Biome » qui couvrent le presse-papiers, le Wi-Fi, la localisation et les requêtes Siri. Windows enregistre chaque programme lancé depuis le menu Démarrer avec un compteur et un horodatage, les huit derniers lancements de chaque exécutable, un mois de trafic réseau par application et, sur les PC Copilot+, des captures d'écran toutes les quelques secondes. Rien de tout cela ne quitte la machine par défaut, ce qui rassure autant que cela inquiète, car qui obtient la machine obtient le journal. Voici ce qui est stocké, un script par système pour lire votre propre copie, et ce qui peut être désactivé.

Ce qu'un Mac retient, et comment le lire

La communauté forensique Apple documente knowledgeC.db depuis 2018, quand la chercheuse Sarah Edwards l'a décrite comme la meilleure source de « pattern of life » sur un Mac. C'est le stockage derrière Temps d'écran et les suggestions Siri. Chaque ligne de sa table ZOBJECT est un événement avec un nom de flux, un début et une fin : /app/usage est l'application au premier plan et pendant combien de temps, /display/isBacklit l'écran qui s'allume ou s'éteint, /app/webUsage et /safari/history la navigation, /notification/usage ce qui vous a notifié. Sur notre Mac de test sous macOS 26.6, la base contenait 757 événements remontant à quatre semaines pour l'usage des applications et à cinq mois pour certains flux. Elle indiquait 113 heures dans Chrome, 5,7 dans le Terminal, 2,4 dans Telegram et une chronologie complète de l'écran allumé, jusqu'à une session de trois minutes à 21 h 25 un vendredi. Depuis macOS Catalina, Apple déplace l'essentiel vers Biome, un framework que Howard Oakley a décrit en 2022 comme la machinerie des suggestions : ~/Library/Biome/streams contient un dossier par flux, et les noms des flux sont la liste de ce qui est observé : App.InFocus, App.WebUsage, Pasteboard.Change, Device.Wireless.WiFi, Location.MicroLocationVisit, Notification.Usage, Media.NowPlaying, Siri.Query, ProactiveHarvesting.Safari.PageView, ProactiveHarvesting.Mail, ProactiveHarvesting.Messages, ProactiveHarvesting.Notes, ScreenTime.AppUsage, TextUnderstanding.Deletions.Document. Les fichiers Biome utilisent un format binaire appelé SEGB ; les outils forensiques le lisent, pas l'utilisateur ordinaire, mais leur présence et leur taille se vérifient facilement.

Le script ci-dessous copie la base dans un dossier temporaire (macOS verrouille le fichier actif) et affiche le résumé. Accordez d'abord au Terminal l'accès complet au disque (Réglages Système, Confidentialité et sécurité, Accès complet au disque), et retirez-le ensuite si vous n'en avez pas besoin : c'est cette autorisation qui permet à n'importe quelle application de lire le journal.

#!/bin/bash
# What this Mac remembers about you. Read-only.
T=$(mktemp -d)
cp ~/Library/Application\ Support/Knowledge/knowledgeC.db* "$T"/ 2>/dev/null || { echo "No access: give Terminal Full Disk Access first"; exit 1; }
DB="$T/knowledgeC.db"
echo "== Time in focus per app, last 7 days (hours)"
sqlite3 -column "$DB" "SELECT ROUND(SUM(ZENDDATE-ZSTARTDATE)/3600.0,1) AS hours, ZVALUESTRING AS app FROM ZOBJECT WHERE ZSTREAMNAME='/app/usage' AND ZSTARTDATE > strftime('%s','now','-7 days')-978307200 GROUP BY app ORDER BY hours DESC LIMIT 15;"
echo "== Screen on/off, last 15 events (local time)"
sqlite3 -column "$DB" "SELECT datetime(ZSTARTDATE+978307200,'unixepoch','localtime') AS at, CASE ZVALUEINTEGER WHEN 1 THEN 'on' ELSE 'off' END AS screen, ROUND((ZENDDATE-ZSTARTDATE)/60.0) AS minutes FROM ZOBJECT WHERE ZSTREAMNAME='/display/isBacklit' ORDER BY ZSTARTDATE DESC LIMIT 15;"
echo "== Every stream in the database: records and oldest entry"
sqlite3 -column "$DB" "SELECT ZSTREAMNAME AS stream, COUNT(*) AS records, datetime(MIN(ZSTARTDATE)+978307200,'unixepoch') AS oldest FROM ZOBJECT GROUP BY 1 ORDER BY 2 DESC;"
echo "== Biome streams that hold data"
for d in ~/Library/Biome/streams/restricted/*/local; do n=$(ls "$d" 2>/dev/null | grep -c '^[0-9]'); [ "$n" -gt 0 ] && echo "$(basename "$(dirname "$d")"): $n file(s), $(du -sh "$d" | cut -f1)"; done
rm -rf "$T"

Réduire sur un Mac

Apple ne propose aucun interrupteur intitulé « arrêter d'enregistrer ». Ce qui existe, ce sont les fonctions que ces journaux alimentent, et chacune peut être désactivée. Temps d'écran est la plus évidente : Réglages Système, Temps d'écran, désactivez-le si vous ne l'utilisez pas, et il cesse de construire sa propre base d'usage. Les suggestions Siri sont la source la plus importante : Réglages Système, Apple Intelligence et Siri, « Suggestions Siri et confidentialité », et là, pour chaque application, désactivez « Apprendre de cette application » et « Afficher les suggestions Siri dans l'application » ; c'est le réglage que le texte d'Apple décrit comme « autoriser Siri à apprendre de la façon dont vous utilisez cette application ». Les stockages knowledgeC et Biome continuent d'exister pour les besoins du système, donc la deuxième étape consiste à les supprimer quand vous voulez repartir proprement : dans le Terminal, exécutez rm ~/Library/Application\ Support/Knowledge/knowledgeC.db* et rm -r ~/Library/Biome/streams/*, puis redémarrez ; macOS recrée des stockages vides. La troisième étape compte plus que les deux premières. Ouvrez Réglages Système, Confidentialité et sécurité, Accès complet au disque, et lisez la liste : chaque application qui s'y trouve peut lire le journal et tout le reste de votre dossier personnel. Gardez FileVault activé, faites verrouiller l'écran après quelques minutes et donnez aux invités leur propre compte ; les journaux sont par utilisateur, et un Mac verrouillé et chiffré ne les livre à personne.

Ce que Windows retient, et comment le lire

Windows répartit le journal en plusieurs endroits, chacun documenté par les examinateurs forensiques parce que chacun survit à ce que l'utilisateur croit être une suppression. UserAssist, une clé de registre sous HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist, enregistre chaque programme lancé via le menu Démarrer ou l'Explorateur avec un compteur de lancements, un compteur de focus et l'heure du dernier lancement ; les noms sont stockés en ROT13, un décalage de lettres qui ne cache rien à qui le connaît. Prefetch, dans C:\Windows\Prefetch, garde un fichier par exécutable avec ses huit derniers lancements, jusqu'à 1 024 programmes. SRUM, le System Resource Usage Monitor dans C:\Windows\System32\sru\SRUDB.dat, est le journal derrière l'« Historique des applications » du Gestionnaire des tâches : environ un mois d'octets envoyés et reçus et d'énergie consommée, par application, que vous regardiez ou non. L'historique des activités, dans ActivitiesCache.db sous votre profil local, stocke les applications, fichiers et sites ouverts ; Microsoft a supprimé l'option d'envoi en janvier 2024, mais la copie locale demeure. Et sur les PC Copilot+, Recall prend « une capture de votre écran actif toutes les quelques secondes et quand le contenu de la fenêtre active change », indexe le texte et les images et les stocke localement derrière Windows Hello. Il est optionnel et retiré par défaut sur les appareils gérés, il peut être filtré par application et par site ; il reste un film consultable de tout ce que vous avez regardé.

# What this PC remembers about you. Read-only. Run PowerShell as administrator for Prefetch and Recall.
function Rot13([string]$s){ -join ($s.ToCharArray() | ForEach-Object { $c=[int]$_; if($c -ge 65 -and $c -le 90){[char]((($c-65+13)%26)+65)} elseif($c -ge 97 -and $c -le 122){[char]((($c-97+13)%26)+97)} else {[char]$c} }) }
Write-Host "== UserAssist: programs started from Start or Explorer (runs, last run)"
Get-ChildItem 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist' | ForEach-Object {
  $count = Join-Path $_.PSPath 'Count'
  if (Test-Path $count) {
    (Get-ItemProperty $count).PSObject.Properties | Where-Object { $_.Name -notlike 'PS*' -and $_.Value -is [byte[]] -and $_.Value.Length -ge 68 } | ForEach-Object {
      $b = $_.Value; $runs = [BitConverter]::ToInt32($b, 4); $ft = [BitConverter]::ToInt64($b, 60)
      if ($runs -gt 0 -and $ft -gt 0) { [pscustomobject]@{ Runs=$runs; LastRun=[DateTime]::FromFileTime($ft); Program=(Rot13 $_.Name) } }
    }
  }
} | Sort-Object LastRun -Descending | Select-Object -First 25 | Format-Table -AutoSize
Write-Host "== Prefetch: last 20 programs Windows saw start"
Get-ChildItem C:\Windows\Prefetch -Filter *.pf -ErrorAction SilentlyContinue | Sort-Object LastWriteTime -Descending | Select-Object -First 20 Name, LastWriteTime | Format-Table -AutoSize
Write-Host "== Activity history and SRUM databases"
Get-ChildItem "$env:LOCALAPPDATA\ConnectedDevicesPlatform" -Recurse -Filter ActivitiesCache.db -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Get-Item C:\Windows\System32\sru\SRUDB.dat -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Write-Host "== Recall (Copilot+ PCs only)"
Get-WindowsOptionalFeature -Online -FeatureName Recall -ErrorAction SilentlyContinue | Select-Object FeatureName, State

Réduire sous Windows, et la partie qui n'est pas technique

Quatre réglages couvrent l'essentiel. Paramètres, Confidentialité et sécurité, Général : désactivez « Autoriser Windows à améliorer les résultats de Démarrer et de la recherche en suivant les lancements d'applications » ; cela arrête les nouvelles entrées UserAssist, et les anciennes restent jusqu'à ce que vous supprimiez les clés Count sous UserAssist dans l'Éditeur du Registre. Paramètres, Confidentialité et sécurité, Historique des activités : désactivez « Stocker mon historique des activités sur cet appareil » et appuyez sur « Effacer l'historique ». Sur un PC Copilot+, Paramètres, Confidentialité et sécurité, Recall et captures : désactivez l'enregistrement des captures et supprimez-les, ou retirez entièrement la fonction dans « Activer ou désactiver des fonctionnalités Windows », ce qui, selon Microsoft, supprime toutes les captures enregistrées. Prefetch et SRUM n'ont pas d'interrupteur : Prefetch peut être désactivé dans le registre au prix de démarrages plus lents, et SRUM est reconstruit par le service Stratégie de diagnostic dès que son fichier est supprimé. Comme sur Mac, la défense qui tient est BitLocker ou le chiffrement de l'appareil avec une connexion forte et un écran qui se verrouille, plus un compte standard séparé pour toute autre personne qui utilise la machine.

Deux choses en découlent pour qui tient à sa vie privée. La première : « local uniquement » est une promesse au sujet du nuage, pas à votre sujet. Apple et Microsoft ont raison de dire que ces stockages ne quittent pas l'appareil, et ils restent l'enregistrement le plus complet de votre journée qui existe où que ce soit. La seconde : la même autorisation qui vous permet de les lire permet à n'importe quel outil de les lire, et c'est pourquoi donner à un assistant IA l'accès complet au disque ou les droits administrateur pour « analyser vos habitudes », comme le suggèrent les invites virales, revient à envoyer quatre semaines de votre vie au modèle qui répond. Lisez le journal vous-même ; les scripts ci-dessus suffisent.