Trois ans après un retrait forcé du Google Play Store sur fond de scandale retentissant, Sunbird Messaging a rouvert ses portes ce mercredi 5 août 2026, et propose aux utilisateurs Android de renouer avec l’expérience iMessage dans toute sa splendeur, bulles bleues comprises, réactions tapotées du bout du pouce, vidéos en haute définition, le tout enveloppé dans un abonnement mensuel de 2,99 dollars après quatorze jours d’essai gratuit.
L’affaire avait pourtant très mal tourné fin 2023. Sunbird, lancée initialement sur le Play Store à la fin de l’année 2022, avait été prise la main dans le sac lorsque des chercheurs en sécurité avaient découvert que l’application acheminait les identifiants Apple ID des utilisateurs via un serveur ni chiffré ni protégé. Les employés de la société pouvaient accéder à ces informations sensibles, ainsi qu’à l’intégralité des contenus échangés. Le partenariat avec Nothing (sous la marque « Nothing Chats ») avait aggravé le désastre, puisque plus de 630 000 fichiers étaient alors devenus accessibles à travers la faille. La fermeture avait été immédiate, la confiance pulvérisée.
Danny Mizrahi, CEO de Sunbird, affirme aujourd’hui que la nouvelle mouture a été entièrement repensée sur le plan de la sécurité, et qu’une société d’audit indépendante a passé l’application au crible sans relever « aucune vulnérabilité critique ». Le fonctionnement du mot de passe Apple ID, nerf de la guerre pour ce type de pont entre Android et l’écosystème Apple, repose désormais sur un principe d’usage unique. « Le mot de passe est utilisé une seule fois pour établir la session puis détruit. Nous ne le stockons pas et ne conservons aucun jeton d’authentification », assure Mizrahi. Les messages, eux, sont chiffrés localement sur l’appareil avant d’être envoyés (AES-256), protégés en transit et au repos, puis couverts par le chiffrement de bout en bout d’Apple sur le dernier segment vers un iPhone.
Le mécanisme reste fondamentalement le même qu’en 2023, et c’est là que le sourcil se lève. Sunbird agit toujours comme intermédiaire entre l’utilisateur Android et les serveurs d’Apple, en se connectant à iMessage via l’Apple ID fourni. La promesse de ne rien stocker se heurte pourtant à un détail troublant glissé dans les conditions du service, puisque les médias envoyés ou reçus sont « automatiquement supprimés des systèmes de Sunbird, généralement sous 48 heures et jamais au-delà de 72 ». Autant dire que pendant deux à trois jours, vos photos et vidéos transitent bien quelque part sur l’infrastructure de l’entreprise… Et qui peut garantir, du moins à ce stade, que l’architecture résistera aux assauts que la version précédente n’avait pas su repousser ?
L’application ambitionne bien davantage qu’un pont vers iMessage et regroupe déjà sous un même toit les conversations RCS (via Google Messages) et les bons vieux SMS/MMS, avec une nouvelle boîte de réception à deux onglets, « Primary » pour les contacts et groupes favoris, « Secondary » pour les numéros inconnus et les codes de vérification. Le support de WhatsApp et Facebook Messenger est annoncé pour la fin de l’année 2026, accompagné d’un assistant dopé à l’intelligence artificielle capable de résumer des fils de discussion et de rédiger des réponses à votre place.
A lire également
Danny Mizrahi cadre la proposition de valeur avec une franchise désarmante. « Le vrai problème, c’est qu’un seul utilisateur Android dans un groupe iMessage casse tout. Les réactions, les réponses, les vidéos haute qualité et la gestion de groupe ne fonctionnent souvent pas. Sunbird corrige ça », explique le dirigeant. L’argument porte, car quiconque a déjà vu une vidéo compressée en bouillie de pixels dans un fil mixte Android/iPhone sait exactement de quoi il parle.
Disponible uniquement aux États-Unis pour l’instant et facturée 2,99 dollars par mois (ou 25 dollars par an), cette version « open beta » devra convaincre un public échaudé que la sécurité n’est plus un vœu pieux mais une réalité auditée, testée, éprouvée. Car Sunbird joue ici sa dernière cartouche sur un terrain où Apple n’a jamais donné sa bénédiction, et où la moindre fuite de données pourrait cette fois s’avérer fatale.
