Path télécharge votre carnet d'adresses sur ses serveurs

Le développeur Arun Thampi voulait observer le fonctionnement de Path afin de réaliser une application Mac pour ce réseau social, il a découvert au passage que l'application iOS téléchargeait l'intégralité du carnet d'adresses de l'utilisateur sur les serveurs de la société. Il a observé ce phénomène en utilisant mitmproxy pour étudier les communications de Path avec ses serveurs — on peut aussi utiliser Charles pour le faire, et constater que le carnet d'adresses part sous la forme d'un fichier plist. Le développeur a publié un pas-à-pas permettant d'étudier ce comportement. Path est loin d'être la seule application n'ayant pas forcément besoin du carnet d'adresses à manipuler ses données sans avertir l'utilisateur — toutes violent la section 17.1 des règles de l'App Store. Path pose cependant des problèmes supplémentaires : les données sont envoyées sur des serveurs sous une forme lisible, alors que la plupart des applications extraient certaines données en local, les chiffrent, et ensuite les envoient. Il faut néanmoins veiller à ne pas trop vite faire de procès à Path : son CEO et co-fondateur Dave Morin, qui est passé notamment par Apple et Facebook, a immédiatemment réagi. Répondant à la fois à l'article d'Arun Thampi et aux commentaires du développeur Matt Gemmell, Morin a expliqué que le téléchargement du carnet d'adresses était destiné à « aider l'utilisateur à trouver sa famille et ses amis et à s'y connecter rapidement et efficacement, ainsi que pour les notifier de l'inscription d'un ami ou d'un membre de la famille à Path. Rien de plus. » Il a indiqué que la version 2.0.6 de Path, en attente de validation chez Apple, permettra à l'utilisateur de clairement spécifier s'il veut ou non que Path utilise son carnet d'adresses pour cette opération — ce que l'application Android fait déjà. Il est ouvert à un changement de fonctionnement de Path, qui pourrait dans le futur se contenter d'extraire les seules adresses de courriel, qui seraient chiffrées — puisque seule l'adresse e-mail est utile pour l'opération de notification d'une nouvelle inscription. Enfin, il enjoint les utilisateurs désireux de supprimer leurs données de serveurs de Path à en faire la demande à l'adresse service@path.com.