macOS 27 Golden Gate est sorti : ce qui change pour les développeurs

macOS 27 Golden Gate est sorti le 14 septembre 2026 sous le build 26A428, le même jour qu’iOS 27.0 et Xcode 27, et il ne s’installe que sur Apple Silicon : la liste de compatibilité d’Apple va du MacBook Air M1 de 2020 au Mac mini M6 et comprend une seule machine à puce de série A, le MacBook Neo 13 pouces doté de l’A18 Pro.¹² Pour les développeurs, cette version est la dernière année où Rosetta reste un outil généraliste. L’article d’assistance d’Apple publié le même jour dit que Rosetta « is available for any Mac with Apple silicon using macOS 27 or earlier » (est disponible sur tout Mac Apple Silicon sous macOS 27 ou antérieur) et que macOS 28 ne le conserve « only for certain older, unmaintained games that rely on Intel-based frameworks » (que pour certains jeux anciens, non maintenus, qui reposent sur des frameworks Intel).³ Les notes de version de la GA comportent quatre entrées Rosetta : les apps qu’un utilisateur avait réglées sur « Open using Rosetta » se lancent en natif, Rosetta n’est pas restauré après la mise à niveau, les paquets d’installation qui ne nomment aucune architecture hôte passent en arm64 par défaut, et les plug-ins Intel peuvent ne pas apparaître dans la liste des Réglages ni déclencher de notification.⁴ Quand j’ai écrit ce billet le 16 septembre, je n’avais pas de Mac sous macOS 27, donc les affirmations ci-dessous sont le texte d’Apple, plus ce que j’ai pu vérifier sur macOS 26.6.2 : ce qu’un paquet d’installation standard déclare, ce que le manuel de productbuild dit du traitement que le programme d’installation appliquait à une distribution qui ne nomme aucune architecture, et lesquels des nouveaux verbes en ligne de commande manquent aux outils de 26.6. Des mises à jour des 1er et 2 octobre ajoutent cinq vérifications de première main sur le même Mac, une fois passé à 27.0, et l’échéance du 1er février 2027 fixée par Apple pour signer à nouveau les paquets d’installation.^51314151819

L’essentiel

• Dates et builds. Le flux Releases d’Apple, consulté le 16 septembre, listait macOS 27.0 (26A428) au lundi 14 septembre, à côté de Xcode 27 (27A266a) et d’iOS 27.0 (24A437) ; au 1er octobre, le flux portait des entrées 27.0.1 à la place de celles de macOS et d’iOS 27.0.¹¹⁷ La page de compatibilité, publiée le même jour, compte 35 entrées de modèles, toutes Apple Silicon, et la page de mise à niveau énonce la règle en une phrase : « macOS 27 is compatible with any Mac with Apple silicon, which includes any Mac with an M-series chip or A-series chip. » (macOS 27 est compatible avec tout Mac Apple Silicon, ce qui inclut tout Mac doté d’une puce de série M ou de série A.)²
• Apple a couché le calendrier de Rosetta par écrit. L’article d’assistance et les notes de version s’accordent : macOS 28 ne conserve qu’un sous-ensemble réservé aux jeux, et les notes pour les entreprises décrivent Rosetta comme « a general-purpose compatibility tool through macOS 27 » (un outil de compatibilité généraliste jusqu’à macOS 27 inclus).³⁴¹⁰ Lors de la mise à niveau elle-même, Rosetta « is not automatically restored » (n’est pas restauré automatiquement), et les apps qu’un utilisateur avait épinglées sur « Open using Rosetta » se lancent en natif.⁴
• Les paquets d’installation changent d’architecture par défaut. Apple : « Installer packages which specify no hostArchitecture will now default to arm64. » (Les paquets d’installation qui ne précisent aucun hostArchitecture passent désormais en arm64 par défaut.)⁴ Sur macOS 26.6.2, un paquet de composant construit avec pkgbuild ne contient aucun fichier de distribution, donc il ne nomme aucune architecture, tandis que productbuild --synthesize a écrit hostArchitectures="x86_64,arm64" dans la distribution qu’il a générée pour mon paquet ; la référence archivée du Distribution XML d’Apple ne liste toujours que i386, x86_64 et ppc comme codes valides.⁵⁶
• Les apps Intel reçoivent une étiquette avant de s’arrêter. Apple dit que Lire les informations (Get Info) affiche désormais « a treatment » (un marquage) sur les « Intel-based applications that will no longer run in macOS 28.0 » (applications Intel qui ne fonctionneront plus sous macOS 28.0), et que Réglages > Général les liste, avec un game-test-tool réservé aux bêtas qui désactive Rosetta purement et simplement et fait tourner les jeux anciens à travers ce qu’Apple appelle « the new underlying system behavior » (le nouveau comportement système sous-jacent).⁸ (2 octobre : sur ce Mac, Get Info affiche un avertissement sur les trois apps uniquement Intel que j’ai lues, cité dans la mise à jour plus bas. La liste des Réglages ne figure pas parmi les quatorze lignes de Général, et je n’ai pas ouvert les sous-panneaux qui se trouvent derrière.¹⁹)
• Cinq changements système sans la moindre trace de Rosetta. macOS refuse sans rien demander la lecture des conteneurs d’autres équipes, les apps perdent l’accès direct à la base de données TCC, spctl gagne une commande de purge, les connexions liées à la gestion exigent TLS 1.2 avec des suites de chiffrement de niveau ATS, et App Attest arrive sur le Mac.⁹¹⁰¹¹
• Une échéance le 1er février 2027 pour les paquets d’installation. L’avis d’Apple du 1er octobre : la Developer ID Certification Authority d’origine expire ce jour-là, et « .pkg files signed with an affected certificate will no longer install » (les fichiers .pkg signés avec un certificat concerné ne s’installeront plus). Les quatre paquets d’installation signés Developer ID de mon dossier Téléchargements remontent tous à cette autorité ; le billet sur Developer ID donne les commandes qui indiquent laquelle utilise le vôtre.¹⁵¹⁶
• Testé et pas encore testé. Le lancement natif forcé et l’arm64 par défaut pour un paquet de composant nu sont des affirmations d’Apple, non testées sur ce Mac, qui tourne sous 27.0 depuis le 23 septembre. Son historique d’installation montre que la mise à niveau n’a pas ramené Rosetta, Get Info affiche l’avertissement sur macOS 28 pour les trois apps uniquement Intel que j’ai lues, et les quatorze lignes de Réglages > Général ne comportent aucune entrée pour les apps Intel ; je n’ai pas ouvert les sous-panneaux qui se trouvent derrière. La section vers la fin les reprend un par un.

Qu’est-ce qui est sorti le 14 septembre ?

Le nom vient de la section Overview des notes de version elles-mêmes : « The macOS 27 SDK provides support to develop apps for Mac computers running macOS 27 Golden Gate. » (Le SDK macOS 27 permet de développer des apps pour les Mac sous macOS 27 Golden Gate.)⁴ L’entrée de série A est le détail qui mérite un second regard : la formulation de la page de mise à niveau, « M-series chip or A-series chip », décrit la plateforme plutôt qu’une seule famille de puces, et le MacBook Neo est la seule machine de la liste qui corresponde à la seconde moitié de cette phrase.²

macOS 27.0.1 (26A434) a suivi le lundi 28 septembre. La page de mise à jour d’Apple dit seulement « This update provides bug fixes for your Mac » (cette mise à jour apporte des corrections de bugs à votre Mac) et ne mentionne aucun changement aux entrées Rosetta ou aux entrées sur les paquets d’installation présentées plus bas.¹⁷

Que fait macOS 27 de Rosetta ?

Deux articles d’assistance publiés le 14 septembre et les notes de version de la GA décrivent la même frontière sous trois angles, et ils s’accordent sur l’endroit où elle passe.

L’article d’assistance sur les apps Intel : « Rosetta is available for any Mac with Apple silicon using macOS 27 or earlier. Starting with macOS 28, the next major macOS release, Rosetta functionality will be available only for certain older, unmaintained games that rely on Intel-based frameworks. » (Rosetta est disponible sur tout Mac Apple Silicon sous macOS 27 ou antérieur ; à partir de macOS 28, la prochaine version majeure de macOS, la fonctionnalité Rosetta ne sera disponible que pour certains jeux anciens, non maintenus, qui reposent sur des frameworks Intel.)³

Les notes pour les entreprises : « If Rosetta was previously installed, it will not be automatically restored upon upgrading to macOS 27. Rosetta will continue as a general-purpose compatibility tool through macOS 27. » (Si Rosetta était installé auparavant, il ne sera pas restauré automatiquement lors de la mise à niveau vers macOS 27 ; Rosetta reste un outil de compatibilité généraliste jusqu’à macOS 27 inclus.)¹⁰

Les notes de version, section Rosetta, qui comptent une entrée New Features et trois Deprecations :⁴

• « On launch, Applications previously set to ‘Open using Rosetta’ by a user will have the application launch natively. Any compatibility issues requiring Rosetta from the past should be re-assessed on macOS 27. » (Au lancement, les applications qu’un utilisateur avait réglées sur « Ouvrir avec Rosetta » se lancent en natif ; tout problème de compatibilité qui exigeait Rosetta par le passé doit être réévalué sous macOS 27.)
• « If Rosetta was previously installed, it is not automatically restored after upgrading to macOS 27.0. » (Si Rosetta était installé auparavant, il n’est pas restauré automatiquement après la mise à niveau vers macOS 27.0.)
• « Installer packages which specify no hostArchitecture will now default to arm64. Ensure any pre and post install scripts behave as intended under arm64. Additionally, audit any remaining installer plugins to ensure compatibility on Apple silicon. » (Les paquets d’installation qui ne précisent aucun hostArchitecture passent désormais en arm64 par défaut ; vérifiez que vos scripts de pré- et post-installation se comportent comme prévu sous arm64, et auditez les plug-ins d’installation restants pour vous assurer de leur compatibilité sur Apple Silicon.)
• « Intel-based plugins and loaders may not appear in Settings or trigger notifications of their incompatibility. All Intel-based software will no longer be compatible with macOS 28.0, excluding legacy games. » (Les plug-ins et chargeurs Intel peuvent ne pas apparaître dans les Réglages ni déclencher de notification d’incompatibilité ; plus aucun logiciel Intel ne sera compatible avec macOS 28.0, à l’exception des jeux anciens.) La même entrée nomme les dossiers à vérifier, ~/Library/Audio/Plug-Ins/*, ~/Library/Printers/ et ~/Library/ColorPickers/, pour les « VSTs, HAL, ARA, PDEs, Color Pickers, Quicklook & Spotlight plugins/extensions/components ».

Le premier point et l’article d’assistance paraissent contradictoires jusqu’à ce qu’on lise le mot « previously » (auparavant). L’article d’assistance dit que la case « Open using Rosetta » d’une app Universal fonctionne toujours : « you can use it in macOS 27 or earlier to force the app to open as an Intel-based app, which allows it to use Intel-only plug-ins, extensions, and other add-ons. » (vous pouvez l’utiliser sous macOS 27 ou antérieur pour forcer l’app à s’ouvrir en tant qu’app Intel, ce qui lui permet d’utiliser des plug-ins, extensions et autres compléments réservés à Intel.)³ La note de version dit que les apps « previously set » (réglées auparavant) sur ce mode se lancent en natif. Ma lecture, que je n’ai pas testée, est que la mise à niveau efface le réglage une fois et que l’utilisateur peut le rétablir ; l’instruction d’Apple de « re-assess » (réévaluer) l’ancien problème de compatibilité va dans le même sens. Si cette lecture est juste, un utilisateur qui comptait sur cette case pour un plug-in Intel voit l’app s’ouvrir en natif, plug-in non chargé, au premier lancement après la mise à niveau.

Le second changement mord plus tôt que le premier. Apple dit qu’un Mac qui avait Rosetta passe à 27.0 sans lui, si bien que, d’après ses instructions d’installation, ouvrir n’importe quelle app Intel est la façon de le récupérer.³⁴¹⁰ Le texte d’Apple ne dit pas ce que fait un script qui exécute un binaire Intel sur un Mac sans Rosetta ; prévoyez qu’il échoue tant que Rosetta n’est pas installé, par cette invite ou par softwareupdate --install-rosetta.³ La documentation Rosetta d’Apple ajoute le seul cas qui n’exige aucune installation : « macOS 27 directly integrates support for Intel binary translation, without needing to install Rosetta » (macOS 27 intègre directement la traduction de binaires Intel, sans qu’il faille installer Rosetta), pour les binaires Linux Intel dans les machines virtuelles et les conteneurs ; le billet Intel sur Xcode 27 décortique cette phrase et le reste du calendrier de Rosetta tel que la documentation d’Apple l’énonçait en juillet.⁷

L’exception pour les jeux a une forme réservée aux bêtas. La section Gaming décrit sudo game-test-tool enable, qui active « support for legacy Intel-based games » (la prise en charge des jeux Intel anciens) et, dans le même souffle, prévient que « enabling legacy game support disables Rosetta, non-game processes might crash or behave unexpectedly, and this feature is intended only for playing legacy Intel-based games and is not available outside of macOS beta releases. » (activer la prise en charge des jeux anciens désactive Rosetta, les processus qui ne sont pas des jeux peuvent planter ou se comporter de façon inattendue, et cette fonctionnalité n’est destinée qu’à jouer à des jeux Intel anciens et n’est pas disponible en dehors des bêtas de macOS.)⁸ L’outil est donc un interrupteur réservé aux bêtas pour ce qu’Apple appelle « the new underlying system behavior » (le nouveau comportement système sous-jacent) ; la note ne dit rien de la façon dont macOS 28 l’exposera.

Quels paquets d’installation passent en arm64 par défaut ?

La phrase d’Apple nomme une clé, hostArchitecture, au singulier ; l’attribut qui lui correspond est hostArchitectures, sur l’élément <options> d’un Distribution XML, le fichier à l’intérieur d’une archive produit, que la référence d’Apple décrit comme « a comma-separated list of supported architecture codes » (une liste de codes d’architecture pris en charge, séparés par des virgules).⁶ Les « packages which specify no hostArchitecture » d’Apple sont, selon ma lecture, ceux dont la distribution n’a pas cet attribut, ou qui n’ont pas de distribution du tout.

Sur macOS 26.6.2, j’ai construit le plus petit paquet possible des deux façons.⁵ Un paquet de composant issu de pkgbuild se décompose en trois entrées, Bom, PackageInfo et Payload, et aucun fichier Distribution ; il n’y a nulle part où y déclarer une architecture, si bien qu’un paquet de composant nu installé directement est le cas le plus net d’un paquet qui n’en précise aucune. Une archive produit est différente : productbuild --synthesize sur le même composant a écrit cette ligne d’options dans la distribution qu’il a générée, et l’archive construite à partir d’elle porte la même ligne après pkgutil --expand :

<options customize="never" require-scripts="false" hostArchitectures="x86_64,arm64"/>

Un paquet produit par une exécution standard de productbuild sur 26.6 déclare donc déjà les deux architectures et, selon la formulation d’Apple, le nouveau défaut ne s’applique pas à lui. Les paquets qui changent sont ceux construits à partir d’une distribution écrite à la main qui omet l’attribut, ceux assemblés par des outils tiers qui ne l’émettent jamais, et les paquets de composant nus. La référence archivée du Distribution XML rend l’écart visible : sa liste de codes valides est « i386, x86_64, and ppc », sans arm64, si bien qu’une distribution écrite d’après cette référence n’avait aucun code arm64 à nommer.⁶

Le manuel de productbuild sur 26.6.2 fournit l’« avant » que la note d’Apple passe sous silence. « On Apple Silicon, the macOS Installer will evaluate the product’s distribution under Rosetta 2 unless the arch key includes the arm64 architecture specifier » (sur Apple Silicon, le programme d’installation macOS évalue la distribution du produit sous Rosetta 2, sauf si la clé arch inclut le spécificateur d’architecture arm64), et « If the distribution is evaluated under Rosetta 2, any package scripts inside of product will be executed with Rosetta 2 at install time. » (si la distribution est évaluée sous Rosetta 2, tous les scripts de paquet du produit sont exécutés avec Rosetta 2 au moment de l’installation.) La même page décrit la clé de prérequis derrière l’attribut que j’ai vu, arch, que productbuild écrit, selon ma lecture, sous la forme hostArchitectures : « Starting on macOS Big Sur (11.0), productbuild will automatically specify support for both arm64 and x86_64 unless a custom value for arch is provided. » (À partir de macOS Big Sur (11.0), productbuild déclare automatiquement la prise en charge d’arm64 et de x86_64, sauf si une valeur personnalisée est fournie pour arch.)¹⁴ Le défaut qu’Apple dit changer était donc l’évaluation sous Rosetta 2, scripts compris ; sur 27, d’après la note d’Apple, une distribution qui ne nomme aucune architecture passe plutôt en arm64.

Pour vérifier un paquet que vous livrez ou installez :

pkgutil --expand YourProduct.pkg /tmp/expanded
grep -o 'hostArchitectures="[^"]*"' /tmp/expanded/Distribution

Pas de fichier Distribution, ou pas de correspondance, signifie, selon la formulation d’Apple, que le paquet hérite du nouveau défaut arm64 sur 27, et que les scripts qu’il contient s’exécutent sous arm64. C’est la partie de la note d’Apple qui change un comportement plutôt que des métadonnées : un script preinstall ou postinstall qui branche sur uname -m prendrait la branche arm64, et un script qui lance un assistant compilé pour x86_64 a besoin de Rosetta sur une machine qui ne l’a peut-être plus du tout.⁴ La note d’Apple se termine par l’audit qu’elle réclame : « audit any remaining installer plugins to ensure compatibility on Apple silicon » (auditez les plug-ins d’installation restants pour vous assurer de leur compatibilité sur Apple Silicon), parce que la documentation Rosetta d’Apple exclut le cas mixte : « The system prevents you from mixing arm64 code and x86_64 code in the same process. » (Le système vous empêche de mélanger du code arm64 et du code x86_64 dans un même processus.)⁷

Mise à jour du 1er octobre : une échéance de signature des paquets d’installation le 1er février 2027

Les actualités développeurs d’Apple du 1er octobre ajoutent une échéance à l’histoire des paquets d’installation racontée plus haut, et elle n’a rien à voir avec l’architecture : « The original Developer ID Certification Authority (Sub-CA) expires on February 1, 2027. Certificates issued by this authority will stop working on that date. » (La Developer ID Certification Authority (Sub-CA) d’origine expire le 1er février 2027 ; les certificats émis par cette autorité cesseront de fonctionner à cette date.) Les deux volets de la distribution Developer ID ne sont pas logés à la même enseigne. Pour les paquets : « Starting February 1, 2027, .pkg files signed with an affected certificate will no longer install. Re-sign all packages with your new certificate before this date. » (À partir du 1er février 2027, les fichiers .pkg signés avec un certificat concerné ne s’installeront plus ; signez à nouveau tous vos paquets avec votre nouveau certificat avant cette date.) Pour les apps : « Previously signed and notarized Mac software (with a secure timestamp) will keep working » (les logiciels Mac déjà signés et notariés, avec un horodatage sécurisé, continueront de fonctionner), et aucune action n’est requise.¹⁵

pkgutil --check-signature YourProduct.pkg affiche la chaîne avec laquelle un paquet a été signé, et l’entrée de l’autorité d’origine y indique Expires: 2027-02-01 22:12:15 +0000. Les quatre paquets d’installation signés Developer ID de mon dossier Téléchargements, issus de deux éditeurs, affichent cette ligne.¹⁶ L’avis ne nomme aucune version de macOS : l’échéance n’est donc pas un changement propre à Golden Gate, et elle a son propre billet. La Developer ID Certification Authority expire le 1er février 2027 explique comment savoir quelle autorité a émis votre certificat, ce que montrent les apps et les paquets d’installation d’un Mac, et dans quel ordre signer à nouveau.

Qu’est-ce qui a changé d’autre pour les développeurs ?

Le reste des notes de la GA qui touchent au code que vous livrez, avec la formulation d’Apple là où la formulation est le sujet :⁹

• Conteneurs d’autres équipes. « Accessing files in other developer teams’ app data containers and app group containers no longer prompts the user for authorization ; such accesses are denied by default and can be managed by the user in Privacy & Security settings. » (L’accès aux fichiers des conteneurs de données d’app et des conteneurs de groupes d’apps d’autres équipes de développement ne demande plus d’autorisation à l’utilisateur ; ces accès sont refusés par défaut et l’utilisateur peut les gérer dans les réglages Confidentialité et sécurité.) Mon billet d’août couvre le mode de défaillance : l’API renvoie toujours une URL, et le refus tombe au moment de la lecture. Une seconde entrée ajoute que « XProtect may now restrict access to app data that is commonly targeted by malicious software. » (XProtect peut désormais restreindre l’accès aux données d’app couramment ciblées par les logiciels malveillants.) Un Known Issue sous Privacy & Security Settings couvre le cas de la ligne de commande : « In the Files & Folders pane, a process without a bundle ID cannot be granted access to specific app data containers or app group containers owned by other developer teams » (dans le volet Fichiers et dossiers, un processus sans identifiant de bundle ne peut pas recevoir l’accès à des conteneurs de données d’app ou de groupes d’apps précis appartenant à d’autres équipes de développement), et le contournement d’Apple est l’Accès complet au disque « for the duration of the requirement » (pour la durée du besoin).
• TCC. « Apps can no longer access the local TCC database directly. » (Les apps ne peuvent plus accéder directement à la base de données TCC locale.) Les notes pour les entreprises associent cette suppression à un nouveau chemin d’interrogation pour les administrateurs : « The new tccutil list command can report current privacy authorizations for specified services or apps on managed devices. » (La nouvelle commande tccutil list peut rapporter les autorisations de confidentialité en vigueur pour des services ou des apps donnés sur les appareils gérés.)¹⁰ Sur 26.6.2, tccutil accepte exactement un verbe, reset.¹³ (Sur un Mac non géré sous 27.0, le binaire contient list mais répond toujours par la ligne d’usage de reset ; voir la mise à jour du 1er octobre.)
• launchd, classé comme corrigé. Sous Launch Daemons and Agents, Resolved Issues, Apple écrit : « Fixed : launchd no longer supports loading launchd property list files with the quarantine extended attribute. » (Corrigé : launchd ne prend plus en charge le chargement de fichiers property list launchd portant l’attribut étendu de quarantaine.) Apple emploie le préfixe « Fixed : » de deux manières dans le même document : pour le problème qu’il a résolu (Accessory Access, 176815987 : « Fixed : Accessory Access does not work inside App Sandbox. ») et pour le comportement résolu lui-même (Foundation, 161588649 : « Fixed : +[NSURL URLWithString:] no longer double-encodes the % of valid percent-escape sequences when encoding other invalid characters. »). Lue de la première manière, la ligne launchd est une restriction de bêta levée à la GA ; lue de la seconde, la restriction est ce qui a été livré. La note laisse le comportement livré ambigu, et je ne l’ai pas testé. (1er octobre : ce Mac tourne désormais sous 27.0 ; ce test reste à faire.)
• Gatekeeper. spctl gagne une commande de purge « which will clean up Gatekeeper database entries for apps and executables which are no longer mounted » (qui nettoie les entrées de la base de données Gatekeeper pour les apps et exécutables qui ne sont plus montés). L’entrée d’Apple écrit le drapeau avec un seul tiret, alors consultez l’aide de l’outil lui-même sur 27 avant de le taper ; le texte d’usage de l’outil de 26.6.2 ne liste aucune commande de purge.¹³ (Sur 27.0, l’outil liste spctl --purge ; voir la mise à jour du 1er octobre.)
• Sécurité réseau pour les Mac gérés. « Starting in 27.0 operating systems, select system processes now enforce stricter network security (TLS) requirements. » (À partir des systèmes 27.0, certains processus système appliquent des exigences de sécurité réseau (TLS) plus strictes.) Les opérations concernées sont le MDM, la gestion déclarative, l’Automated Device Enrollment, l’installation de profils, l’installation d’apps et les mises à jour logicielles, et la barre est « TLS 1.2 at minimum, using cipher suites and certificates that meet App Transport Security (ATS) requirements » (TLS 1.2 au minimum, avec des suites de chiffrement et des certificats conformes aux exigences d’App Transport Security (ATS)). L’article d’assistance d’Apple pour les administrateurs ajoute que les connexions SCEP et de mise en cache de contenu sont exemptées.¹¹
• App Attest sur le Mac. « App Attest is now available to verify the authenticity of Mac apps. » (App Attest est désormais disponible pour vérifier l’authenticité des apps Mac.)¹⁰
• Paquets gérés et gestion héritée des mises à jour. La gestion des appareils « can configure the desired behavior when a managed package is removed » (peut configurer le comportement souhaité quand un paquet géré est retiré), et « Legacy software update management no longer functions in all 27.0 operating systems » (la gestion héritée des mises à jour logicielles ne fonctionne plus dans aucun système 27.0), ce qui retire les anciennes commandes, requêtes et restrictions de report des mises à jour au profit de la gestion déclarative.¹⁰
• System. La bibliothèque System « now provides Swift APIs for the C stat, lstat, fstat, and fstatat system calls » (fournit désormais des API Swift pour les appels système C stat, lstat, fstat et fstatat), et un Resolved Issue consigne une rupture de build survenue en bêta : des appels stat() non qualifiés dans vos propres extensions de FilePath ou FileDescriptor « might conflict with the new Swift stat() instance methods » (peuvent entrer en conflit avec les nouvelles méthodes d’instance Swift stat()), ce qu’Apple liste comme corrigé à la GA.
• Images disque. « The new DiskImageKit framework provides Swift APIs for creating and managing standalone and stacked disk images in the Apple Sparse Image Format (ASIF) and raw disk image formats » (le nouveau framework DiskImageKit fournit des API Swift pour créer et gérer des images disque autonomes et empilées aux formats Apple Sparse Image Format (ASIF) et image disque brute), pour un usage avec le framework Virtualization.
• Mac Catalyst. Les apps Catalyst « now behave like AppKit apps when you switch to them with no open windows » (se comportent désormais comme des apps AppKit quand vous basculez vers elles sans fenêtre ouverte), si bien que basculer vers l’une d’elles ne crée plus de fenêtre, sauf si l’activation vient du Dock ou de Spotlight.
• Disque de démarrage. Un Known Issue pour quiconque garde un vieux volume sous la main : « When a Mac is running macOS 11.0, you might not be able to select the boot volume of macOS 27.0 or later as the startup disk in System Settings. » (Quand un Mac tourne sous macOS 11.0, vous pourriez ne pas pouvoir sélectionner le volume de démarrage de macOS 27.0 ou ultérieur comme disque de démarrage dans Réglages Système.) Le contournement d’Apple est l’écran des options de démarrage, via le bouton d’alimentation.

Le versant Xcode de la même sortie est déjà traité à deux endroits. Le billet sur la sortie de Xcode 27 reproduit le changement d’ARCHS_STANDARD sur 27A266a, où une cible de déploiement macOS de 27.0 se résout en arm64 seul, et le billet Intel retrace les trois phrases de la section Intel Deprecation ; la formulation d’Apple à la GA pour ces entrées correspond au texte de la bêta 4, y compris la ligne qui garde la voie Intel ouverte une année de plus : « Intel development is still possible with macOS versions that support Rosetta like macOS 27. » (Le développement Intel reste possible sur les versions de macOS qui prennent en charge Rosetta, comme macOS 27.)¹²

Mise à jour du 1er octobre : trois vérifications sur un Mac sous macOS 27.0

Le Mac sur lequel ce billet a été écrit est passé à macOS 27.0 (26A428) le 23 septembre, si bien que trois des affirmations ci-dessus peuvent être confrontées à lui. Deux donnent une réponse nette ; la troisième ne permet pas de conclure sur un Mac non géré.¹⁸

La mise à niveau n’a pas restauré Rosetta. Le fichier /Library/Receipts/InstallHistory.plist de ce Mac consigne chaque mise à jour de macOS depuis 2023, et de juin 2023 jusqu’à 26.6.2, chacune est accompagnée, à quelques secondes près, d’une entrée RosettaUpdateAuto écrite par bootinstalld : le système mettait Rosetta à jour en même temps que chaque mise à jour. L’entrée macOS 27.0 du 23 septembre est la première depuis lors à n’avoir aucun pendant. Rosetta est revenu une semaine plus tard, le soir du 30 septembre, heure du Pacifique, dans une entrée écrite par CoreServicesUIAgent, le même processus qui avait consigné la première installation de Rosetta sur ce Mac en 2023, 87 secondes avant que s’exécute le premier des paquets d’installation d’un fabricant d’imprimantes. Cela concorde avec la phrase d’Apple : « If Rosetta was previously installed, it is not automatically restored after upgrading to macOS 27.0. » (Si Rosetta était installé auparavant, il n’est pas restauré automatiquement après la mise à niveau vers macOS 27.0.)⁴ L’historique indique quel processus a installé Rosetta, pas ce qui s’affichait à l’écran ; voir dans l’entrée d’octobre l’invite d’installation relève donc de ma propre déduction.

spctl a bien la commande de purge, avec deux tirets. Sur 27.0, spctl sans argument liste spctl --purge # purge unmounted policy scan cache entries, et la page de manuel dit qu’elle purge « old policy scan cache entries. Currently those which were on volumes which are no longer mounted. Requires root access. » (les anciennes entrées du cache d’analyse de stratégie, à l’heure actuelle celles qui se trouvaient sur des volumes qui ne sont plus montés ; nécessite un accès root.) La note de version imprimait le drapeau avec un seul tiret ; l’usage et le manuel de l’outil l’écrivent avec deux. Je ne l’ai pas exécutée.

tccutil list figure dans le binaire mais refuse de fonctionner sur ce Mac. Le binaire tccutil de 27.0 contient le verbe et son texte d’usage, tccutil list (-s SERVICE | -b BUNDLE_ID | -s SERVICE -b BUNDLE_ID). Lancé ici en tant qu’utilisateur ordinaire, sans argument ou avec -s, -b ou les deux, il affiche la même ligne unique que sur 26.6.2, tccutil: Usage: tccutil reset SERVICE [BUNDLE_ID], et la page de manuel ne mentionne pas le verbe. Ce Mac n’est inscrit à aucune gestion des appareils, et les notes pour les entreprises d’Apple disent que la commande rapporte les autorisations « for specified services or apps on managed devices » (pour des services ou des apps donnés sur les appareils gérés),¹⁰ si bien que le résultat est compatible avec une commande conditionnée à l’inscription. Le binaire ne dit pas quelle est cette condition, je ne l’ai pas lancé en root, et je ne peux pas tester ici le cas d’un appareil géré.

Mise à jour du 2 octobre : l’avertissement de Get Info, et un premier coup d’œil pour la liste des Réglages

Deux autres des cinq affirmations d’Apple énumérées plus bas sous « Ce que je n’ai pas pu exécuter », lues sur le même Mac (macOS 27.0, 26A428) au moyen de l’API d’accessibilité.¹⁹

Get Info affiche l’avertissement. Sur trois apps uniquement Intel, la fenêtre Get Info du Finder indique comme type « Application (Intel) » (application (Intel)) et, en dessous, une icône d’avertissement et deux phrases : « Intel-based apps requiring Rosetta will not open in macOS 28, the next major release. Check with the developer for an Apple silicon version. » (les apps Intel qui nécessitent Rosetta ne s’ouvriront pas sous macOS 28, la prochaine version majeure. Renseignez-vous auprès du développeur pour obtenir une version Apple Silicon.) Un lien « Learn more… » (en savoir plus) les suit. Deux apps Universal affichent « Application (Universal) » (application (universelle)), aucun avertissement, et une case « Open using Rosetta » (ouvrir avec Rosetta), décochée sur les deux. Une app compilée uniquement pour Apple Silicon affiche « Application (Apple silicon) » (application (Apple Silicon)), sans l’un ni l’autre. Dans les six fenêtres que j’ai lues, le marquage dont parle la note d’Apple est donc une icône d’avertissement accompagnée de texte sur les apps sans tranche arm64, et la case décrite par l’article d’assistance est toujours présente pour les apps Universal sous 27.0.³⁸ Sur les 116 apps de mon dossier Applications dont j’ai pu lire l’exécutable principal, 21 n’ont pas de tranche arm64.

La liste des Réglages ne figure pas au premier niveau de Général. La note d’Apple dit : « Settings > General now lists Intel-based apps that will be incompatible with macOS 28.0. » (Réglages > Général liste désormais les apps Intel qui seront incompatibles avec macOS 28.0.)⁸ Sur ce Mac, le panneau Général compte quatorze lignes, lues par leurs identifiants d’accessibilité, et aucune n’est une entrée pour les apps Intel. Je n’ai pas ouvert les sous-panneaux qui se trouvent derrière ces lignes, où la liste se trouve peut-être : il s’agit donc d’une recherche sur un seul écran restée vide, pas d’une preuve que la liste est absente.

Ce que je n’ai pas pu exécuter

Quand j’ai écrit ces lignes le 16 septembre, je n’avais aucun Mac sous macOS 27, donc chaque comportement de 27 dans le billet d’origine était une affirmation d’Apple. Les cinq sur lesquels le billet s’appuie le plus : que les apps épinglées sur « Open using Rosetta » se lancent en natif après la mise à niveau ; que Rosetta est absent après la mise à niveau d’un Mac qui l’avait ; que Get Info affiche un marquage sur les apps qui ne tourneront pas sous 28 ; que Réglages > Général les liste ; qu’un paquet de composant nu exécute ses scripts sous arm64 sur 27. L’expérience sur les paquets ci-dessus établit ce que les paquets déclarent sur 26.6.2, pas la façon dont 27 les traite.

1er et 2 octobre : le même Mac tourne sous macOS 27.0 depuis le 23 septembre, et les mises à jour ci-dessus traitent trois de ces cinq affirmations. L’absence de Rosetta apparaît dans l’historique d’installation. Le marquage dans Get Info est bien là. La liste des Réglages ne figure pas parmi les quatorze lignes de Général ; les sous-panneaux qui se trouvent derrière n’ont pas encore été lus. Les deux autres n’ont pas été testés : le comportement des apps épinglées exige une app épinglée sur Rosetta avant la mise à niveau, et la vérification du paquet de composant exige l’installation d’un paquet de test. Chacun recevra ici une section datée si je le teste, de la même manière que le billet ld64 a reçu ses sections GA.

Ce que je ferais cette semaine

1. Décompressez chaque paquet que vous livrez et chaque paquet que vos machines de build installent, et cherchez hostArchitectures dans la distribution avec grep ; traitez un fichier manquant ou un attribut manquant comme « arm64 sur 27 » et relisez les scripts de pré- et post-installation avec cette idée en tête.⁴⁵
2. Si une étape de CI ou de provisionnement exécute un binaire Intel, installez Rosetta explicitement dans le script de préparation plutôt que de compter sur sa survie à la mise à niveau ; Apple dit qu’il n’y survit pas.⁴¹⁰
3. Listez les plug-ins Intel comme Apple le fait, par dossier : ~/Library/Audio/Plug-Ins/*, ~/Library/Printers/, ~/Library/ColorPickers/, et partout où vivent vos extensions Quick Look et Spotlight, qu’Apple nomme par catégorie plutôt que par chemin. Les Réglages peuvent ne pas les lister, et macOS 28 ne les chargera pas.⁴
4. Si vous installez un agent launchd en copiant une plist, testez-le une fois sur une machine sous 27 avec l’attribut de quarantaine encore présent ; Apple classe sa note sur ce cas sous Resolved Issues, et elle se lit dans les deux sens.⁹
5. Si vous gérez des appareils, testez dès maintenant vos serveurs MDM, d’inscription et de mise à jour face aux exigences TLS 1.2 et de suites de chiffrement ATS ; Apple dit que ses systèmes « might refuse connections » (peuvent refuser les connexions) aux serveurs non conformes, l’entrée de la même page pour la version 27 ou ultérieure dit « Non-compliant connections are blocked and the log messages appear as errors instead of warnings » (les connexions non conformes sont bloquées et les messages de journal apparaissent comme des erreurs plutôt que des avertissements), et SCEP et la mise en cache de contenu sont les seules exemptions qu’elle liste.⁹¹¹
6. Si vous aviez contourné la collision de stat() sur une bêta, retirez le contournement et recompilez ; Apple la liste comme corrigée à la GA.⁹
7. Ajouté le 1er octobre : lancez pkgutil --check-signature sur chaque paquet que vous livrez. Si l’entrée de l’autorité indique Expires: 2027-02-01 22:12:15 +0000, signez à nouveau le paquet avant le 1er février 2027 ; le billet sur Developer ID donne l’ordre à suivre.¹⁵¹⁶

Questions fréquentes

Quand macOS 27 est-il sorti ?

Le lundi 14 septembre 2026, sous le build 26A428, le même jour qu’iOS 27.0 (24A437) et Xcode 27 (27A266a). Le flux Releases d’Apple les listait tous à cette date quand je l’ai consulté le 16 septembre.¹

Quels Mac peuvent faire tourner macOS 27 Golden Gate ?

Tout Mac Apple Silicon. La page de compatibilité d’Apple liste 35 entrées de modèles, du MacBook Air, du MacBook Pro et du Mac mini M1 de 2020 jusqu’aux machines M5 et M6, plus le MacBook Neo (13 pouces, A18 Pro). Aucun Mac Intel ne figure sur la liste.²

Rosetta fonctionne-t-il encore sous macOS 27 ?

Oui. L’article d’assistance d’Apple dit que Rosetta « is available for any Mac with Apple silicon using macOS 27 or earlier » (est disponible sur tout Mac Apple Silicon sous macOS 27 ou antérieur), et les notes pour les entreprises le décrivent comme « a general-purpose compatibility tool through macOS 27 » (un outil de compatibilité généraliste jusqu’à macOS 27 inclus). Apple dit que la mise à niveau ne le restaure pas, si bien qu’un Mac qui l’avait peut devoir le réinstaller.³⁴¹⁰

Rosetta fonctionnera-t-il sous macOS 28 ?

Seulement pour les jeux. « Starting with macOS 28, the next major macOS release, Rosetta functionality will be available only for certain older, unmaintained games that rely on Intel-based frameworks » (à partir de macOS 28, la prochaine version majeure de macOS, la fonctionnalité Rosetta ne sera disponible que pour certains jeux anciens, non maintenus, qui reposent sur des frameworks Intel), et les notes de version disent « All Intel-based software will no longer be compatible with macOS 28.0, excluding legacy games. » (Plus aucun logiciel Intel ne sera compatible avec macOS 28.0, à l’exception des jeux anciens.)³⁴

Quels paquets d’installation le défaut arm64 concerne-t-il ?

Les paquets dont le fichier de distribution n’a pas d’attribut hostArchitectures, et les paquets de composant nus, qui n’ont pas de fichier de distribution du tout. Une archive produit générée par productbuild sur macOS 26.6.2 déclare hostArchitectures="x86_64,arm64" et sort du champ de la phrase d’Apple. Vérifiez avec pkgutil --expand et un grep du fichier Distribution.⁴⁵⁶

Dois-je signer à nouveau mes paquets d’installation avant février 2027 ?

S’ils ont été signés avec un certificat Developer ID Installer émis par l’autorité d’origine, oui. L’avis d’Apple du 1er octobre dit qu’à partir du 1er février 2027, « .pkg files signed with an affected certificate will no longer install » (les fichiers .pkg signés avec un certificat concerné ne s’installeront plus), tandis que les apps notariées signées avec un horodatage sécurisé continuent de fonctionner. pkgutil --check-signature sur le paquet montre à quelle autorité il remonte : celle d’origine expire le 2027-02-01. Le billet sur Developer ID détaille la vérification complète.¹⁵¹⁶

Qu’affiche Get Info pour une app Intel sous macOS 27 ?

Sous macOS 27.0 (26A428), la fenêtre Get Info du Finder affiche, pour chacune des trois apps uniquement Intel que j’ai vérifiées, le type « Application (Intel) » avec un avertissement : « Intel-based apps requiring Rosetta will not open in macOS 28, the next major release. Check with the developer for an Apple silicon version. » (les apps Intel qui nécessitent Rosetta ne s’ouvriront pas sous macOS 28, la prochaine version majeure. Renseignez-vous auprès du développeur pour obtenir une version Apple Silicon.) Les deux apps Universal que j’ai vérifiées n’affichaient aucun avertissement et conservaient la case « Open using Rosetta », décochée.¹⁹

Dois-je réinstaller Rosetta après la mise à niveau ?

Apple dit que si le Mac avait Rosetta avant la mise à niveau, macOS 27 ne le ramène pas de lui-même. D’après les instructions d’installation d’Apple, ouvrir n’importe quelle app Intel fait revenir l’invite, ou vous pouvez l’installer depuis le Terminal avec softwareupdate --install-rosetta, la commande que donne l’article d’assistance d’Apple.³⁴

Sources