Glossaire
Drapeau d’approbation utilisateur (0x0040)
Le bit 0x0040 des drapeaux com.apple.quarantine, positionné quand l’utilisateur approuve ou contourne une décision de Gatekeeper.
0x0040 est le bit des drapeaux de quarantaine nommé QTN_FLAG_USER_APPROVED dans le fichier QuarantineSPI.h de WebKit. Le code open source Security d’Apple (policyengine.cpp) positionne le bit qu’il appelle QTN_FLAG_ASSESSMENT_OK lorsque l’utilisateur approuve ou contourne une décision de Gatekeeper, et la valeur 0x0040 concorde entre ces sources. Apple ne documente pas ces drapeaux publiquement.
Le passage de 0083 à 00c3 sur un même fichier signifie que l’utilisateur l’a approuvé via Gatekeeper. L’inférence inverse ne tient pas : l’absence de 0x0040 ne prouve pas qu’un document n’a jamais été ouvert, car seuls les exécutables, installeurs et applications passent par cette approbation. Voir .LastGKReject et les traces de Gatekeeper.