WinDev et ses déclinaisons WebDev et WinDev Mobile sont des ateliers de développement d’applications. Les programmes y sont écrits en WLangage, le langage de programmation maison de PC Soft : comme le souligne Next, il est propriétaire et n’existe nulle part ailleurs. Fondée en 1984, PC Soft emploie 61 salariés et réalisait 12,4 millions d’euros de chiffre d’affaires en 2024, selon Next.

En novembre 2024, PC Soft a changé de mains. Selon Next, l’éditeur est passé sous le contrôle d’une entité nommée Two Squared France II, dont le président, John Isak, est directeur des investissements de Volaris Group, filiale du groupe canadien Constellation Software. Next relève que PC Soft n’a confirmé l’opération qu’en mai 2025, six mois plus tard, et rappelle que Constellation impose à ses sociétés acquises des hausses tarifaires annuelles. ChannelNews ajoute que Volaris a déjà appliqué une stratégie comparable de monétisation de la base installée chez un autre éditeur, 4D.

De la licence à l’abonnement

Premier changement : les dongles, ces clés USB qui matérialisaient depuis des décennies la propriété du logiciel, ont cédé la place à un abonnement annuel obligatoire, avec un accès conditionné à la continuité du paiement, d’après Next. Selon le calcul de l’association d’utilisateurs Wx Alliance rapporté par le même site, l’abonnement annuel au tarif catalogue atteint 1 068 euros, contre 749 euros pour la mise à jour du dongle en janvier 2025, soit une hausse d’environ 43 %. Une licence achetée restait utilisable ; un abonnement interrompu coupe l’accès à l’outil de travail.

Le second changement inquiète bien davantage. Selon des échanges vus sur le site Programmez! et rapportés par Next, PC Soft envisage une redevance sur chaque poste qui exécute une application développée avec ses outils, y compris chez les clients finaux des développeurs. Wx Alliance a lancé une pétition publique pour alerter sur ce projet, rapporte Next. Dans sa propre communication, l’éditeur parle d’un système de Sessions, dont il dispense certains clients, comme nous le verrons plus bas.

Combien, au juste ? Aucun tarif officiel de cette redevance n’a été communiqué, souligne ChannelNews : les forums parlent de 250 à 300 € par an et par poste. Next a retenu l’hypothèse d’environ 250 euros par poste : pour une association de 500 utilisateurs, la facture annuelle s’élèverait alors à 125 000 euros. Faute de grille officielle, les multiplicateurs qui circulent, comme celui du titre de ZDNet, restent des estimations que l’éditeur n’a pas confirmées : tout dépend du nombre de postes concernés.

Faute d’outil de conversion, quitter WinDev ne se fait pas d’un clic : chaque application doit être réécrite.

Des clients qui ne peuvent pas partir

Pourquoi ne pas simplement changer d’outil ? Parce qu’une application WinDev ne se transpose pas. Selon Next, il n’existe aucun outil de migration automatique vers une autre plateforme, et ChannelNews fait le même constat. Les développeurs qui ont bâti des logiciels pour leurs propres clients restent donc liés à PC Soft, et ces clients avec eux, puisque la redevance envisagée viserait les postes où tournent leurs applications. Le langage et l’outil de développement appartiennent au même éditeur. C’est la définition même d’une clientèle captive, et c’est ce qui donne à l’éditeur un tel pouvoir sur les prix.

La contestation a gagné le terrain judiciaire. Selon La Lettre, citée par ChannelNews, le cabinet d’avocats d’affaires international Linklaters s’apprête à engager une action collective pour le compte d’un groupe de TPE et PME. Une première réunion, organisée le mardi 1er septembre 2026, a rassemblé quelque 200 entreprises. Les avocats envisagent notamment de saisir l’Autorité de la concurrence et le tribunal des activités économiques de Marseille, pour abus de position dominante et dépendance économique. Ces griefs restent ceux des plaignants : il appartiendra aux juridictions saisies de les apprécier.

Ce que répond PC Soft

PC Soft a choisi l’apaisement, au moins pour les plus petites structures. Dans un communiqué commun avec Wx Alliance, daté du 21 septembre 2026, l’éditeur lance un plan de continuité spécifiquement conçu pour les professionnels de moins de 10 salariés, fondé sur WinDev Suite 2025 Update U5. « Nous avons entendu les inquiétudes exprimées par une partie de notre communauté », déclare Bruno Richet, directeur général de PC Soft. Le communiqué précise que ce plan garantit la non-application du système de Sessions aux clients éligibles, et que son tarif ajusté inclut notamment des mises à jour de sécurité.

Sur la page qu’il consacre au plan, l’éditeur affirme l’avoir co-construit avec des associations d’utilisateurs, dont Wx Alliance. Pour 2 290 € par an, sur deux ans, il permet de continuer à utiliser WinDev Suite 2025 jusqu’au 31 décembre 2028, à condition de commander avant le 31 décembre 2026. C’est un répit réel pour les très petites entreprises, mais il reste limité : il ne concerne que les structures de moins de 10 salariés, il fige les utilisateurs sur la version 2025, et il ne dit rien de la suite. Les structures plus grandes, elles, ne sont pas couvertes par ce plan.

Sortir de la dépendance

Pour qui envisage de partir, il n’existe pas de remède miracle : une application WinDev doit être réécrite, ce qui a un coût humain réel. Le logiciel libre propose en revanche des outils de développement sans abonnement à renouveler. Le plus proche dans l’esprit est Lazarus, un environnement de développement rapide d’applications fondé sur Free Pascal, compatible avec Delphi, multiplateforme et publié sous licences GPL et LGPL. Selon le wiki du projet Free Pascal, la GPL ne couvre pas les programmes créés avec Lazarus, dont les bibliothèques relèvent d’une LGPL modifiée : aucune redevance ne pèse sur les postes qui exécutent ces applications.

Pour une TPE, une PME ou une association, l’affaire PC Soft rappelle une règle simple : quand un logiciel métier dépend d’un langage et d’outils détenus par un seul éditeur, celui-ci garde la main sur les prix. Avant de commander ou de renouveler un logiciel sur mesure, il vaut la peine de demander dans quel langage il est écrit, qui détient le code source et ce qu’il coûterait de le faire évoluer ailleurs. Si vous vous posez ces questions pour votre structure, nous pouvons vous aider à y voir clair, dans le cadre de notre accompagnement bénévole et gratuit et dans la mesure de nos disponibilités.

Sources

• LinuxFr.org — Lien : Prix multipliés par 30, clients captifs : la fronde s’organise contre l’éditeur PC Soft (ZDNet, 16 octobre 2026)
• Next — Les développeurs WinDev s’alarment d’une possible redevance par installation client (juin 2026)
• ChannelNews — PC Soft : la fronde des utilisateurs contre la nouvelle politique de licences vire à l’action collective (7 septembre 2026)
• PC Soft — WDNews, communiqué de presse PCSoft - Wx Alliance (21 septembre 2026)
• PC Soft — WDNews, plan de continuité (1er octobre 2026)
• Lazarus — Site officiel de l’environnement de développement libre
• Free Pascal Wiki — Licensing

Il faut d’abord comprendre ce que plMail est, et ce qu’il n’est pas. C’est un client de messagerie, pas un serveur de courrier : il ne reçoit aucun message depuis Internet et n’héberge pas votre nom de domaine. Il se connecte à vos comptes existants par IMAP, le protocole standard qui permet de lire des messages restés chez leur fournisseur, ainsi qu’à Gmail et Outlook. Il copie ensuite le courrier dans une base de données PostgreSQL installée sur votre serveur. Vos fournisseurs actuels continuent d’acheminer les messages : rien ne change pour vos correspondants.

Côté interface, le projet aligne les fonctions qu’on attend d’une messagerie moderne : une boîte de réception unifiée, des conversations regroupées en fils, des onglets de catégories, des dossiers et des libellés. La recherche accepte des opérateurs comme from:, subject:, label: ou has:, complétés au fil de la frappe. Les filtres se construisent sous forme d’arbre, et le logiciel indique combien de messages existants ils concernent avant l’enregistrement. Les nouveaux courriers arrivent en temps réel grâce à IMAP IDLE, un mécanisme par lequel le serveur prévient le client dès qu’un message arrive, ainsi qu’aux notifications de Gmail et d’Outlook. L’interface existe en anglais, en allemand, en français et même en « pirate ».

plMail ne s’arrête pas au courrier. Un agenda se place à côté de la boîte de réception et se synchronise avec Google, Microsoft et CalDAV, le standard ouvert utilisé par de nombreux serveurs d’agenda libres. Deux applications mobiles, l’une pour Android, l’autre pour iOS, se connectent à votre propre serveur plMail. Selon noted.lol, le mainteneur juge l’application Android utilisable au quotidien, mais reconnaît que celle pour iOS demande encore du travail. Mieux vaut donc ne pas compter sur l’iPhone comme principal outil de lecture pour l’instant.

Une IA facultative, éteinte par défaut

Comme beaucoup de projets récents, plMail propose des fonctions d’intelligence artificielle : une recherche par le sens, la rédaction de brouillons de réponse, le résumé d’une conversation et le tri automatique du courrier dans les onglets. Bon point : ces quatre fonctions sont désactivées par défaut, et chacune s’active séparément. Selon la documentation du projet, le courrier n’est transmis qu’à l’hôte du modèle que vous désignez, et avec un modèle installé sur votre propre machine, par exemple avec Ollama, rien ne quitte votre réseau. Si vous branchez un service d’IA distant, vos messages partiront en revanche chez lui. Ce choix vous appartient, et il mérite réflexion avant d’activer quoi que ce soit.

Installation : Docker ou TrueNAS

L’installation officielle passe par Docker Compose, un outil qui lance en une commande plusieurs logiciels dans des conteneurs isolés. Le projet publie des images pour les processeurs AMD64 et ARM64, ce qui couvre les serveurs classiques comme de nombreux nano-ordinateurs. Une fois la configuration récupérée, la commande docker compose up -d démarre l’ensemble. Au premier démarrage, l’installation génère les secrets de l’application et demande l’adresse publique à laquelle vous voulez accéder au service. Les possesseurs d’un NAS sous TrueNAS trouvent aussi plMail dans le catalogue communautaire du système, dont l’assistance et la maintenance relèvent de la communauté TrueNAS, et non de l’éditeur de TrueNAS lui-même.

Ajouter une boîte IMAP classique se fait depuis la page des réglages. Gmail et Outlook demandent davantage de travail : il faut d’abord créer des identifiants OAuth chez Google ou chez Microsoft. OAuth est une procédure d’autorisation qui évite de confier son mot de passe à l’application, mais qui impose de passer par les consoles de développement de ces deux entreprises. La documentation signale un piège : Google fait expirer les jetons d’une application restée au statut « Testing », ce qui provoque une déconnexion du compte Gmail chaque semaine. Autre limite relevée par noted.lol : la prise en charge de Proton Mail Bridge reste limitée par des détails de gestion des certificats qui doivent encore être testés.

Sauvegarde et maintenance : prudence

La sauvegarde est le point le plus délicat. Le projet demande de sauvegarder séparément deux éléments : les données PostgreSQL et le fichier var/secrets/generated.env. La base contient le courrier ; la clé rangée dans ce fichier déverrouille les identifiants de vos boîtes, qui sont chiffrés avant d’être enregistrés. Selon la documentation, perdre cette clé signifie perdre les mots de passe enregistrés. noted.lol prévient qu’en restaurant l’un sans l’autre, on peut se retrouver avec une archive de messages, sans pouvoir déverrouiller les identifiants des boîtes enregistrées. Une sauvegarde de la seule base de données ne suffit donc pas.

plMail repose sur une seule personne : sa politique de sécurité précise que le logiciel est maintenu sur le temps libre de son unique mainteneur.

Il faut aussi regarder qui fait vivre le logiciel. La politique de sécurité de plMail promet une réponse sous quelques jours à qui signale une faille, mais les correctifs ne vont que dans la branche principale et dans la version suivante : les anciennes versions ne sont pas corrigées, il faut donc mettre à jour. Le rythme est soutenu, avec les versions 0.3.4 et 0.3.5 publiées le 13 octobre 2026, puis la 0.3.6 le 16 octobre 2026, qui corrige notamment l’import de plusieurs comptes Gmail. noted.lol rappelle enfin que la maintenance repose sur une seule personne et qu’un correctif peut donc prendre du temps.

Parce que plMail synchronise votre courrier dans sa propre base, il en crée une copie de plus, et sensible : la sécurité du serveur devient votre affaire. noted.lol recommande un accès en HTTPS avec un certificat reconnu, la double authentification pour le compte administrateur, et déconseille d’exposer à la légère une installation expérimentale sur Internet. Le site suggère aussi de tester d’abord le logiciel avec une adresse secondaire avant de lui confier tout son courrier. Sa conclusion est mesurée : plMail n’est pas un remplaçant achevé de toutes les fonctions de Gmail.

Pour un particulier ou une petite structure qui gère plusieurs adresses, plMail offre une idée séduisante : réunir ses boîtes sans déménager son courrier, dans un logiciel libre dont on garde la maîtrise et dont l’IA reste éteinte tant qu’on ne l’a pas voulu. Il suppose en revanche un serveur à entretenir, des mises à jour suivies de près et une double sauvegarde vérifiée. Pour une TPE dont la messagerie est vitale, mieux vaut attendre que le projet mûrisse et l’essayer d’abord sur une boîte de test. Si vous souhaitez évaluer cet outil ou une autre solution libre pour votre courrier, nous pouvons vous aider à y voir clair, dans le cadre de notre accompagnement bénévole et gratuit et dans la mesure de nos disponibilités.

Sources

• noted.lol — plMail Brings a Gmail-Style Inbox to Your Own Server (15 octobre 2026)
• GitHub — dépôt karatektus/pl_mail (README)
• GitHub — plMail, journal des versions, v0.3.6 (16 octobre 2026)
• GitHub — plMail, politique de sécurité (SECURITY.md)
• GitHub — plMail, fichier de licence (GNU AGPL version 3)
• API GitHub — fiche du dépôt karatektus/pl_mail
• TrueNAS — catalogue d’applications, plMail (Community, mise à jour du 13 octobre 2026)

La mise à jour 11.0.9.565 a été publiée le 13 octobre, selon le site brésilien Hardware.com.br. D’après tbreak, qui en a rendu compte le 16 octobre 2026, le site VideoCardz a trouvé l’option déjà allumée après l’installation. Le 17 octobre 2026, Windows Mode rapportait à son tour que des utilisateurs l’avaient trouvée activée après la mise à jour, sans qu’on le leur ait demandé. Next l’a confirmé le 19 octobre : le réglage se trouve dans la section « Connecter les agents et les applications » des paramètres.

Ce que fait ce serveur

Ce serveur repose sur MCP, pour Model Context Protocol. Il s’agit d’un standard open source qui sert à relier des applications d’intelligence artificielle à des systèmes extérieurs : fichiers, bases de données, outils ou logiciels. Ses promoteurs le comparent à un port USB-C pour les applications d’IA, c’est-à-dire une prise standard sur laquelle n’importe quel assistant compatible peut se brancher. Dans ce contexte, un agent est un assistant d’IA capable non seulement de répondre, mais aussi d’agir au nom de l’utilisateur : lancer un programme, modifier un réglage, déclencher une capture.

Dans le cas de NVIDIA App, l’option ouvre un serveur MCP sur le port 13508 de l’adresse 127.0.0.1, d’après la documentation de NVIDIA citée par Next. Cette adresse désigne l’ordinateur lui-même : seuls les programmes qui tournent sur la machine sont censés pouvoir s’y adresser. Un agent connecté peut alors consulter les jeux installés, en lancer un, appliquer les réglages NVIDIA optimaux pour un jeu donné, enregistrer une partie ou réaliser des captures d’écran, vérifier la version du pilote et, sur les ordinateurs portables, gérer les performances via la fonction Battery Boost et le mode Whisper. NVIDIA cite Hermes, OpenClaw et Perplexity parmi les assistants compatibles.

Côté éditeur, les notes de version confirment l’arrivée de la prise en charge de MCP, relève tbreak. D’après Windows Mode, cette version inclut un serveur MCP local qui permet à un agent compatible de contrôler NVIDIA App par des requêtes en langage naturel. En revanche, la société n’a pas expliqué pourquoi la fonction est activée par défaut, souligne Hardware.com.br. Sur GitHub, NVIDIA publie aussi des consignes destinées aux agents eux-mêmes : une demande explicite de l’utilisateur vaut autorisation, chaque opération de capture doit être traitée comme touchant à la vie privée, et une règle est posée sans ambiguïté : « Never initiate capture the user did not ask for. » Autrement dit, ne jamais lancer une capture que l’utilisateur n’a pas demandée. Ces règles s’adressent aux agents qui suivent cette documentation.

Un risque limité, mais réel

Plusieurs éléments limitent le risque. Comme le rappelle Windows Mode, un agent doit encore être installé et connecté avant de pouvoir utiliser le serveur, et celui-ci n’écoute que localement. Ce choix suit d’ailleurs la spécification de MCP, qui recommande aux serveurs fonctionnant sur la machine de n’écouter que sur 127.0.0.1 plutôt que sur toutes les interfaces réseau (0.0.0.0). Un autre ordinateur du réseau local ou d’Internet ne peut donc pas, en principe, s’y connecter directement. Pour un utilisateur qui n’a installé aucun agent, la fonction reste dormante.

La spécification de MCP prévient que, sans protections, des attaquants pourraient se servir du DNS rebinding pour interagir avec des serveurs MCP locaux depuis des sites web distants.

Local ne veut pas dire inaccessible pour autant. Le même texte impose aux serveurs MCP qui passent par HTTP de vérifier l’origine de chaque connexion, pour contrer le DNS rebinding : une technique qui permet à un site web malveillant, ouvert dans le navigateur, de s’adresser à des services qui tournent sur la machine de l’internaute. Il recommande aussi une authentification pour toutes les connexions. Les pages que nous avons consultées ne précisent pas comment le serveur de NVIDIA applique ces protections. Nous n’affirmons donc pas qu’il est vulnérable : nous constatons seulement qu’un service de plus écoute désormais sur les PC mis à jour, sans que leurs propriétaires l’aient choisi.

Deux autres réserves méritent d’être notées. D’abord, VideoCardz souligne, selon tbreak, qu’un agent qui s’appuie sur un service en ligne pourrait envoyer à ce service les informations qu’il récupère, selon la façon dont il fonctionne : des informations comme la liste des jeux installés ou la version du pilote pourraient alors, par exemple, quitter la machine. Ensuite, des joueurs craignent, rapporte Windows Mode, qu’un bogue ou un agent incontrôlé modifie les réglages du pilote et des jeux à leur insu. Une fonction qui donne la main à une IA devrait être proposée, pas imposée. C’est à l’utilisateur de décider d’ouvrir cette porte, pas à une mise à jour.

Comment le couper

La manipulation est simple. Dans NVIDIA App, ouvrez les paramètres, puis la rubrique des fonctionnalités, et descendez jusqu’à la section « Connecter les agents et les applications » (« AI Agents and App Connections » dans les notes de version en anglais). Désactivez alors l’interrupteur « Allow AI agents to control NVIDIA App », ou son équivalent dans l’interface française. D’après Next, le serveur MCP cesse alors tout simplement de fonctionner. Windows Mode conseille de revenir dans les paramètres après la mise à jour suivante pour vérifier que l’option est toujours coupée. Rien n’empêche de la réactiver plus tard si vous décidez d’utiliser un agent.

Pour ceux qui souhaitent au contraire utiliser un agent, quelques précautions s’imposent. Mieux vaut savoir où tourne l’assistant : sur la machine elle-même, ou dans un service en ligne qui recevra une partie des informations. Les consignes publiées par NVIDIA rappellent par ailleurs que l’activation d’Instant Replay ou de Highlights laisse une capture tourner en arrière-plan jusqu’à ce qu’elle soit désactivée, et que les enregistrements et captures d’écran restent dans la galerie de l’incrustation en jeu tant que l’utilisateur ne les supprime pas. Un coup d’œil régulier à cette galerie n’est donc pas superflu.

Pour une TPE, une PME ou un foyer, la leçon dépasse NVIDIA. Les mises à jour automatiques ajoutent parfois des fonctions d’intelligence artificielle que personne n’a demandées, et certaines ouvrent de nouveaux points d’entrée sur les postes. Après chaque mise à jour importante d’un logiciel livré avec le matériel, prenez quelques minutes pour parcourir ses paramètres et couper ce qui ne sert pas : c’est la règle de base pour réduire la surface d’attaque d’un ordinateur. Si vous voulez un coup de main pour faire ce tour d’horizon sur vos machines, notre accompagnement bénévole et gratuit peut vous y aider, dans la mesure de nos disponibilités.

Sources

• Next — L’App NVIDIA laisse les agents IA prendre les commandes par défaut (19 octobre 2026)
• tbreak — NVIDIA App AI server: how to disable it (16 octobre 2026)
• Windows Mode — NVIDIA App update quietly lets AI agents control your PC (17 octobre 2026)
• Hardware.com.br — Atualizou o NVIDIA App? Novo recurso de IA pode estar ativado no seu PC (16 octobre 2026)
• NVIDIA (GitHub) — Skill « nvidia-app » : consignes pour les agents utilisant le serveur MCP de NVIDIA App
• Model Context Protocol — What is the Model Context Protocol (MCP)?
• Model Context Protocol — Spécification, Transports (version du 25 novembre 2025)

Pourquoi un tel outil ? Le dépôt du projet le rappelle d’emblée : les clés USB restent une porte d’entrée courante vers des systèmes d’information par ailleurs bien protégés, parce qu’elles passent d’une organisation à l’autre, se branchent sur des ordinateurs non gérés et franchissent les réseaux isolés. Le conseil classique, que relayait déjà Que Choisir en juin 2019 à propos d’une alerte sur des clés piégées déposées dans des boîtes aux lettres (une arnaque très relayée dans les médias, mais que le magazine jugeait non attestée), tient en une phrase : « Le premier bon réflexe consiste à ne pas brancher une clé USB inconnue. » Mais un cabinet, une entreprise ou une mairie reçoit aussi des clés attendues, venues d’un fournisseur ou d’un partenaire. C’est pour ces cas que PandoraBox se présente comme une alternative libre, auditable et durcie aux bornes commerciales.

Comment la borne analyse une clé

Le fonctionnement se veut simple. L’utilisateur insère sa clé, la borne analyse chaque fichier avec plusieurs moteurs de détection, puis affiche sur son écran tactile ceux qu’elle juge dangereux. Elle ne les efface que lorsque l’utilisateur touche l’écran pour confirmer : la dépêche le résume d’une formule, « Rien n’est supprimé sans l’utilisateur ». Chaque passage laisse une trace, puisque chaque analyse donne un rapport au format JSON, un format texte structuré que d’autres logiciels savent relire. Une organisation peut ainsi conserver l’historique des clés contrôlées, ce qui compte dès qu’il faut rendre compte de ses pratiques de sécurité.

Pour repérer les menaces, PandoraBox combine des approches complémentaires. La première compare l’empreinte de chaque fichier, une sorte de signature calculée à partir de son contenu, à des listes de référence : MalwareBazaar fournit des empreintes SHA-256 de logiciels malveillants déjà connus. Le service Hashlookup du CIRCL joue le rôle inverse et aide à repérer les fichiers connus, grâce à un filtre de Bloom, une structure de données compacte qui permet de tester très vite si un élément figure dans une très grande liste. La combinaison des deux permet de trier rapidement ce qui est déjà répertorié, dans un sens comme dans l’autre.

Viennent ensuite l’antivirus libre ClamAV, qui examine aussi le contenu des archives, et YARA-X, un moteur de recherche de motifs, utilisé avec les règles du recueil YARA Forge. S’y ajoutent des heuristiques, c’est-à-dire des règles de bon sens automatisées : elles signalent les programmes déguisés en documents (double extension, type réel différent de l’extension affichée) et les PDF qui contiennent du JavaScript ou des actions de lancement. Surtout, la borne applique un principe de prudence que le projet appelle « fail closed » : un fichier qui n’a pas pu être analysé entièrement n’est jamais déclaré sain, qu’il s’agisse d’une archive chiffrée, d’une limite dépassée ou d’une erreur d’un moteur. De même, une partition illisible, chiffrée ou dont le système de fichiers est inconnu, rend la clé entière non vérifiée.

Un système verrouillé de bout en bout

La borne elle-même est conçue pour résister à une clé malveillante. Son système est une image construite avec l’outil mkosi à partir des paquets de Debian 13, réduite à ce qui sert à l’analyse. Le système de fichiers principal est en lecture seule et protégé par dm-verity, un mécanisme qui vérifie que rien n’a été modifié sur le disque. Le démarrage sécurisé (Secure Boot) utilise la clé de l’image, enrôlée à la place de celles de Microsoft. USBGuard n’autorise que le stockage de masse : selon le projet, une clé qui se fait passer pour un clavier afin de taper des commandes à l’insu de l’utilisateur, attaque connue sous le nom de BadUSB, est ainsi bloquée. Chaque moteur tourne dans son propre processus, isolé avec bubblewrap sous un utilisateur dédié sans privilèges. Selon la dépêche, l’outil d’audit Lynis attribue à l’ensemble un indice de durcissement de 73, sans avertissement.

Côté entretien, la borne fonctionne hors ligne par défaut. Ses jeux de signatures, c’est-à-dire les listes de menaces dont se servent les moteurs, sont signés : le logiciel vérifie à chaque démarrage un jeu de signatures signé Ed25519. Les mises à jour, des signatures comme du système, s’installent depuis une clé USB sur une borne isolée, ou passent par un canal dédié. Le système suit un schéma A/B, avec deux versions installées côte à côte : après 3 démarrages ratés, systemd-boot revient à la version précédente. Une borne reliée au réseau peut aussi envoyer ses journaux à un SIEM, l’outil qui centralise les alertes de sécurité d’une organisation, comme Wazuh, Elastic, Graylog ou Splunk.

Pas besoin d’un boîtier commercial : l’image de PandoraBox tourne sur tout PC x86_64 UEFI doté d’au moins 2 Go de mémoire.

Le matériel ne demande pas d’investissement lourd. La borne de référence est un Lenovo ThinkCentre M720q Tiny reconditionné, équipé d’un Core i5-9400T, associé à un écran tactile Waveshare de 7 pouces (1024x600) et à un boîtier imprimé en 3D. D’après la dépêche, l’image fonctionne sur tout ordinateur x86_64 UEFI, c’est-à-dire un PC à processeur Intel ou AMD 64 bits qui démarre en mode UEFI. Pour une petite structure, c’est l’occasion de donner une seconde vie à un mini-PC sorti du parc plutôt que d’acheter un boîtier fermé.

Ce qui manque encore

Le projet ne cache pas qu’il est encore en développement actif. Point le plus important : selon la dépêche, l’image et les jeux de signatures ne sont signés pour l’instant qu’avec des clés de développement. La feuille de route précise que la clé de signature officielle du projet, son stockage sur un support matériel et le calendrier de publication restent à définir. Or toute la chaîne de confiance des mises à jour repose sur ces clés. Tant qu’elles ne sont pas fixées, PandoraBox relève à nos yeux davantage du banc d’essai que de l’équipement à installer à l’accueil d’un hôpital ou d’une mairie.

La feuille de route liste aussi ce qui manque encore à l’analyse. Les documents Office doivent à terme être examinés avec oletools, et les exécutables avec capa, une option désactivable pour préserver les performances. Le projet prévoit également un « désarmement et reconstruction de contenu » avec Dangerzone, c’est-à-dire reconstruire le document plutôt que de se contenter d’y chercher une menace. Un serveur central facultatif, pour suivre un parc de bornes, est aussi annoncé. Enfin, un audit de sécurité externe et une correspondance avec les exigences de la directive NIS2 et de la norme ISO 27001 figurent parmi les étapes à venir.

D’autres pistes libres

PandoraBox n’est pas la seule piste libre. Dans les commentaires de la dépêche, un lecteur cite usbsas, développé par l’équipe de sécurité du CEA : le projet se présente comme un outil et un cadre logiciel libre, sous licence GPLv3, pour lire de façon sécurisée des supports de stockage USB non fiables. À une question sur l’ajout d’antivirus commerciaux, l’auteur de la dépêche, qui répond au nom du projet, explique que les moteurs fonctionnent comme des greffons : il faut écrire un connecteur, ce qui est faisable dès que l’éditeur fournit sous Linux un scanner à la demande et que sa licence le permet. Une organisation qui dispose déjà d’un antivirus sous contrat pourrait donc, à terme, l’y brancher.

Pour une TPE, une association, un cabinet médical ou une petite collectivité, une station blanche répond à un besoin concret : contrôler les clés qui arrivent de l’extérieur sans les brancher directement sur un poste de travail. PandoraBox montre qu’on peut le faire avec du logiciel libre et un mini-PC reconditionné, et sa conception prudente mérite d’être saluée. Tant que ses clés de signature définitives ne sont pas en place, nous le voyons plutôt comme un projet à suivre et à tester que comme une solution clés en main. En attendant, les bons réflexes restent les mêmes : ne pas brancher une clé inconnue, garder ses systèmes à jour et sauvegarder ses données. Si vous voulez évaluer l’intérêt d’une telle borne pour votre structure, nous pouvons vous aider à y voir clair dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• LinuxFr.org — PandoraBox : la borne de décontamination USB (15 octobre 2026)
• GitHub — sourcentis/pandora-box, fichier README du projet
• GitHub — sourcentis/pandora-box, feuille de route (ROADMAP.md)
• GitHub — cea-sec/usbsas, outil libre de lecture sécurisée de supports USB
• Que Choisir — Arnaque à la clé USB, une variante de l’escroquerie à la pièce jointe (3 juin 2019)

Son nom complet, Bolt 74B-A9B, résume son architecture : en notation anglaise, où « B » désigne le milliard, il compte 74B paramètres au total, ces réglages internes appris pendant l’entraînement, mais n’en active que 9B à la fois. C’est le principe du « mélange d’experts » : le réseau est découpé en sous-ensembles spécialisés, et seuls quelques-uns travaillent sur chaque mot produit, ce qui allège les calculs. NVIDIA destine le modèle aux « agents » locaux, ces programmes qui enchaînent seuls plusieurs actions pour mener une tâche à bien, sans envoyer ce travail vers le cloud. La fiche publiée sur Hugging Face annonce une fenêtre de contexte, c’est-à-dire la quantité de texte que le modèle peut prendre en compte d’un coup, allant jusqu’à 256K jetons.

Le tour de force tient dans la compression. Pour faire entrer le modèle dans 24 Go de mémoire, NVIDIA a réduit à 2 bits la précision de ses experts, une technique appelée quantification, et a entraîné le modèle en tenant compte de cette compression pour limiter la perte de qualité. Selon l’éditeur, Bolt peut être utilisé dès sa sortie avec des outils que connaissent déjà les adeptes de l’IA locale : llama.cpp, vLLM, Ollama, Unsloth et LM Studio. La fiche du modèle précise que l’anglais et les langages de programmation sont ses langues principales, le français figurant parmi les langues également prises en charge.

Ouvert, mais jusqu’où ?

Côté licence, la nouvelle est plutôt bonne. Bolt est distribué sous l’OpenMDW License Agreement, version 1.1, un texte dont la Linux Foundation est la gardienne. Il permet d’utiliser le modèle gratuitement et « without restriction », à condition de conserver la licence et les mentions d’origine en cas de redistribution, et il n’impose aucune contrainte sur les contenus produits avec le modèle. La fiche Hugging Face le déclare d’ailleurs prêt pour un usage commercial ou non commercial. Pour une petite structure, cela signifie qu’elle peut l’installer sur ses propres machines et l’intégrer à ses outils sans payer ni demander d’autorisation.

La licence OpenMDW autorise l’usage commercial et la redistribution, mais l’organisme qui certifie l’open source ne l’a pas encore approuvée.

Libre au sens strict, en revanche, rien ne le garantit encore. Le 13 août 2026, Mike Dolan, au nom de la Linux Foundation, a soumis OpenMDW 1.1 à l’Open Source Initiative (OSI), l’organisme qui certifie les licences open source. Selon lui, la seule modification de fond par rapport à la version 1.0 étend la clause de résiliation : quiconque poursuit en justice en affirmant que le modèle viole un brevet ou un droit d’auteur perd les droits que lui accorde la licence. C’est précisément ce point qui fait débat. Le 21 août 2026, LWN relevait les objections de plusieurs spécialistes, dont Eric Schultz, qui y voit « an amnesty for, depending on how courts rule, large scale copyright infringement by model creators », et concluait : « It would seem that the OSI is not prepared to bless this license in its current form ».

Au 15 octobre 2026, nous n’avons pas trouvé OpenMDW dans la liste des licences approuvées publiée par l’OSI. Bolt est donc un modèle à poids ouverts sous licence très permissive, pas encore un modèle libre certifié. La nuance vaut aussi pour les données. NVIDIA écrit que Bolt est « fully open source », données d’entraînement comprises, et annonce la publication de jeux de données sur Hugging Face. Mais la fiche du modèle comporte aussi une rubrique intitulée « Private Non-publicly Accessible Datasets by NVIDIA » : une partie de ce qui a servi à l’entraînement reste privée, et un tiers ne dispose donc pas de tout le nécessaire pour refaire cet entraînement à l’identique. Point rassurant, la même fiche affirme qu’aucune donnée issue des utilisateurs, ni requête ni conversation avec le modèle, n’a servi à l’entraîner.

Des promesses à vérifier

Reste la question des performances. NVIDIA présente Bolt comme le meilleur modèle ouvert de sa catégorie sur le test PinchBench. La fiche Hugging Face publie bien des tableaux de résultats, mais ce sont des mesures réalisées par NVIDIA elle-même, qui signale d’ailleurs avoir obtenu pour un modèle concurrent un score inférieur à celui que revendique son éditeur. Le seul juge fiable reste un essai sur ses propres documents et ses propres tâches, en français de préférence, puisque ce n’est pas la langue principale du modèle.

Il faut aussi regarder le matériel visé. Selon NVIDIA, Bolt a été conçu pour les ordinateurs portables RTX Spark attendus le 16 octobre 2026, et fonctionne aussi sur les PC équipés de cartes GeForce RTX, sur la DGX Spark et sur la DGX Station. Cette liste ne mentionne que du matériel NVIDIA, et la fiche du modèle décrit des déploiements sur les architectures maison du fabricant. Pour les machines plus modestes, NVIDIA annonce Bolt E4B, une variante qui tient en 4 Go de mémoire, destinée aux agents conversationnels et attendue le 23 octobre 2026.

PAIR : répartir les requêtes, pas la mémoire

Le 13 octobre 2026, NVIDIA a donc aussi fait sortir de bêta PAIR (Personal AI Router), un logiciel gratuit et open source publié sous licence Apache 2.0, une licence libre reconnue. Installé sur plusieurs ordinateurs d’un même réseau local, sous Windows, Linux ou macOS, il les découvre automatiquement, y installe modèles et moteurs d’inférence (les logiciels qui font tourner un modèle), puis répartit les requêtes entre eux. Il s’appuie sur Ollama, LM Studio ou llama.cpp, et l’appairage de deux machines se fait au moyen d’un code PIN à six chiffres affiché sur l’ordinateur qui envoie l’invitation.

Attention toutefois à ne pas surinterpréter l’annonce, qui parle de distribuer les tâches d’IA entre les systèmes disponibles. La documentation du projet est plus précise : PAIR envoie chaque requête indépendante à un seul ordinateur, sans additionner la mémoire des cartes graphiques ni découper un modèle entre plusieurs machines. Autrement dit, il permet de traiter plusieurs demandes en parallèle sur un parc de machines, pas de faire tourner un modèle trop gros pour chacune d’elles. Côté confidentialité, le dépôt indique que les requêtes et les réponses sont censées rester sur le réseau local, à condition que chaque élément de la chaîne, du client au modèle, soit lui-même local.

Pour une TPE, une association ou un particulier, Bolt et PAIR confirment une tendance de fond : des modèles capables tournent désormais sur un seul poste, sans envoyer documents ni conversations à un service en ligne. Avant de s’y fier, trois réflexes s’imposent : lire la licence plutôt que l’étiquette « open source », tester le modèle sur ses propres tâches et vérifier que sa machine dispose de la mémoire nécessaire. Si vous souhaitez faire ce premier essai chez vous, nous pouvons vous y aider dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• NVIDIA — Open From Data Center to Desktop: NVIDIA Expands Nemotron Family With Highest Efficiency Super VL and Bolt Models (15 octobre 2026)
• NVIDIA — Annonce de Nemotron 3.5 Bolt et de PAIR pour l’IA locale sur RTX (13 octobre 2026)
• Hugging Face — Fiche du modèle nvidia/NVIDIA-Nemotron-3.5-Bolt-74B-A9B-24GB (15 octobre 2026)
• GitHub — NVIDIA/Personal-AI-Router, dépôt officiel de PAIR
• OpenMDW — Texte de l’OpenMDW License Agreement, version 1.1
• Open Source Initiative — Liste license-review : For Approval: OpenMDW License Agreement, versions 1.1 (13 août 2026)
• Open Source Initiative — OSI Approved Licenses (liste consultée le 15 octobre 2026)
• LWN.net — Considering the OpenMDW license (21 août 2026)

L’idée est née d’une difficulté très concrète. Selon le site spécialisé It’s FOSS, qui a consacré un article au projet le 15 octobre 2026, l’épouse de Gaël Duval, enseignante, se heurtait à un problème que rencontrent beaucoup d’utilisateurs des suites bureautiques libres : des éditeurs qui ne lui étaient pas familiers. Le profil de l’auteur donne du poids à la démarche. Outre Mandrake Linux, devenue ensuite Mandriva, Gaël Duval dirige aujourd’hui Murena, l’entreprise qui vend des téléphones fonctionnant sous le système /e/OS.

Sur son dépôt GitHub, ElixirOffice se présente comme « An open source office suite for people used to Microsoft Office », autrement dit une suite libre pour les habitués de Microsoft Office. Elle modifie les documents Word, Excel et PowerPoint ainsi que leurs équivalents au format ouvert OpenDocument, avec les rubans, menus, boîtes de dialogue et raccourcis de Microsoft Office. L’interface existe en 45 langues, avec 49 dictionnaires orthographiques. Le logiciel est publié sous licence AGPLv3, une licence libre qui impose de partager le code source des versions modifiées, y compris lorsqu’elles sont proposées en ligne.

Le projet existe sous deux formes. L’application de bureau, pour Windows, macOS et Linux, fonctionne entièrement en local : selon le dépôt, elle ne demande ni serveur ni compte, et les documents ne quittent pas l’ordinateur. L’autre version s’utilise dans le navigateur, sur son propre serveur ; d’après It’s FOSS et le dépôt, elle permet aussi de connecter des comptes Murena Workspace et Nextcloud. Le dépôt affiche enfin un engagement net, « No telemetry, nothing sent to the publisher » : aucune donnée d’usage n’est envoyée à l’éditeur.

Une bêta écrite avec l’aide de l’IA

Le projet assume un mode de fabrication inhabituel. Selon le dépôt, il a été lancé et supervisé par Gaël Duval, puis développé avec plusieurs grands modèles de langage, ces intelligences artificielles capables de produire du texte et du code, qui travaillent comme agents de programmation sous sa direction. It’s FOSS précise que des tests et des revues sont exécutés à chaque modification. Dans le logiciel lui-même, l’IA est facultative : elle demeure désactivée tant que l’utilisateur n’a pas branché le modèle de son choix, et elle accepte tout service compatible avec l’interface d’OpenAI, y compris Ollama, un outil libre qui fait tourner un modèle directement sur son ordinateur.

Reste à mesurer la maturité réelle du logiciel. La version 0.2.0 de l’application de bureau permet désormais d’ouvrir, de modifier et d’enregistrer des fichiers Word, Excel, PowerPoint et OpenDocument protégés par mot de passe, ainsi que d’ajouter des commentaires et des annotations aux PDF. It’s FOSS relevait pour sa part l’absence de prise en charge des comptes, du publipostage, de la coédition, de l’historique des versions et des fichiers protégés : selon les notes de version, ce dernier manque est désormais comblé. Ces mêmes notes précisent toutefois que le publipostage, la comparaison de documents, l’historique des versions et la modification du texte d’origine d’un PDF restent indisponibles hors ligne.

Les notes de version d’ElixirOffice le disent elles-mêmes : il faut garder des sauvegardes des fichiers importants et vérifier les documents enregistrés avant de les partager.

Les notes de version reconnaissent aussi que Windows et Linux ont été vérifiés par des tests automatisés, mais pas encore sous forme de paquets définitifs installés sur de vraies machines. Les installateurs ne sont pas encore signés : sous Windows, le filtre SmartScreen affiche donc un avertissement, et macOS peut bloquer l’application tant qu’on ne l’a pas autorisée dans les réglages de confidentialité et de sécurité. C’est courant pour un projet aussi jeune, mais cela impose de ne télécharger les fichiers que depuis la page officielle des versions du dépôt GitHub. Côté serveur, la page de démarrage, désactivée par défaut, n’a pas de comptes utilisateurs propres : le dépôt recommande de ne l’activer que sur un réseau de confiance, derrière un VPN (réseau privé virtuel) ou derrière sa propre authentification.

Un héritage juridique disputé

ElixirOffice ne part pas de zéro. Il est construit sur Euro-Office, lui-même dérivé d’ONLYOFFICE Docs, l’éditeur développé par la société Ascensio System SIA. Euro-Office est un éditeur que des entreprises européennes, emmenées par Nextcloud et IONOS, développent ensemble : selon It’s FOSS, il a été lancé le 27 mars 2026 et sa première version stable est sortie le 9 juin. Le dépôt d’ElixirOffice indique que les mentions de copyright, fichiers de licence et attributions d’origine sont conservés dans le code source, et précise que le projet n’est affilié ni à Microsoft, ni à Ascensio System SIA, ni à Euro-Office.

Or cette filiation est contestée. Le 30 mars 2026, ONLYOFFICE a accusé Euro-Office d’utiliser « une technologie dérivée des éditeurs ONLYOFFICE en violation de nos conditions de licence ». L’éditeur estime que l’AGPLv3 l’autorise à imposer des conditions supplémentaires, et réclame notamment la préservation de sa marque dans les œuvres dérivées. Le média allemand heise a rapporté ces accusations, et It’s FOSS rappelle qu’ONLYOFFICE a suspendu son partenariat avec Nextcloud. Le sujet n’est pas étranger à Gaël Duval : toujours selon It’s FOSS, ONLYOFFICE affirmait en 2022 que Murena Cloud utilisait ses éditeurs.

Nextcloud conteste cette lecture. Dans un billet du 17 avril 2026, l’entreprise rappelle que la section 7 de l’AGPLv3 permet au destinataire d’un code de retirer toute « further restriction », c’est-à-dire une restriction supplémentaire que la licence n’admet pas, et se dit sûre qu’Euro-Office respecte pleinement l’AGPLv3. Nextcloud affirme que la Free Software Foundation partage cette analyse, ce que rapporte aussi heise, qui précise qu’IONOS soutient cette position. Les sources consultées ne font état d’aucune décision de justice. Pour un utilisateur, le risque immédiat paraît faible, mais une suite qui hérite d’un code disputé hérite aussi de son incertitude, surtout si elle vise un jour les entreprises.

Faut-il l’essayer ?

Pour un particulier curieux ou une petite structure qui veut tester une alternative familière à Microsoft Office, ElixirOffice mérite un essai, de préférence sur des copies de documents. Pour un usage quotidien, la prudence s’impose tant que le projet reste en bêta et que ses paquets de bureau n’ont pas été validés sur de vraies machines. LibreOffice, ou les éditeurs ONLYOFFICE et Collabora intégrés à Nextcloud, que nous avons déjà comparés sur ce blog, restent aujourd’hui des choix plus éprouvés pour travailler sur des fichiers importants.

Pour les TPE, les PME et les particuliers, le principal frein au passage au libre tient souvent moins à la technique qu’à l’habitude de l’interface de Microsoft Office. ElixirOffice s’attaque précisément à ce frein, et il est encourageant qu’un acteur aussi expérimenté du logiciel libre s’y consacre. Ses prochaines versions diront s’il tient sa promesse sans mettre les documents en danger. En attendant, si vous souhaitez quitter Microsoft Office sans perdre vos repères, l’accompagnement bénévole et gratuit d’Azure Informatique peut vous aider, dans la mesure de nos disponibilités, à choisir une suite libre adaptée à vos fichiers et à l’installer.

Sources

• It’s FOSS — Mandrake Linux’s Creator Has Built an Office Suite Using AI (15 octobre 2026)
• GitHub — dépôt officiel leag1234/elixiroffice (README, licence AGPLv3)
• GitHub — notes de version d’ElixirOffice, dont la 0.2.0 de l’application de bureau
• ONLYOFFICE — ONLYOFFICE signale des violations de licence dans le projet « Euro-Office » de Nextcloud et IONOS (30 mars 2026)
• heise online — ‘Euro-Office’: OnlyOffice accuses of license violations (31 mars 2026)
• Nextcloud — Euro-Office: License compliance and what open source means (17 avril 2026)

Tailscale, sans le serveur des autres

Pour comprendre l’intérêt de l’outil, il faut partir de Tailscale. Le dépôt de Headscale le résume en une phrase : « Tailscale is a modern VPN built on top of Wireguard. » Il s’agit donc d’un réseau privé virtuel (VPN), qui relie des appareils dispersés comme s’ils partageaient le même réseau local, en s’appuyant sur WireGuard, un protocole de chiffrement moderne et léger. Au centre du dispositif se trouve un serveur de coordination : d’après le dépôt de Headscale, il sert de point d’échange pour les clés publiques WireGuard des appareils, leur attribue leurs adresses IP et trace les frontières entre utilisateurs. Headscale se présente comme « An open source, self-hosted implementation of the Tailscale control server » : ce serveur central, on peut l’installer chez soi.

Le périmètre de Headscale est volontairement restreint : selon son dépôt, il convient à un usage personnel ou à une petite organisation open source. Le projet précise qu’il n’est pas associé à l’entreprise Tailscale Inc., tout en signalant que l’un de ses mainteneurs actifs est employé par elle. Il rappelle aussi que les applications graphiques de Tailscale destinées aux systèmes propriétaires (Windows, macOS et iOS) ne sont pas libres. Dernier point, que le dépôt de Headplane souligne sans détour : Headscale n’est livré avec aucune interface web par défaut.

Une interface inspirée de Tailscale

C’est ce manque que comblent plusieurs projets tiers. La documentation officielle de Headscale en dresse la liste, avec un avertissement clair : ces projets ne sont pas maintenus par les auteurs de Headscale. Headplane y figure, décrit comme une interface avancée inspirée de Tailscale. Son propre dépôt affiche l’ambition de reproduire les fonctionnalités du produit et du tableau de bord officiels de Tailscale. Le code est publié sous licence MIT, une licence libre très permissive qui autorise la réutilisation, la modification et la redistribution du logiciel.

Concrètement, selfh.st décrit un tableau de bord qui permet de gérer les sous-réseaux, les machines, les utilisateurs, les listes de contrôle d’accès (les règles qui décident quel appareil peut joindre quel autre), le DNS et les réglages de Headscale. S’y ajoutent une connexion SSH ouverte directement depuis le navigateur vers les machines configurées, l’authentification unique via OpenID Connect (un standard qui permet de se connecter avec un compte déjà géré ailleurs, par exemple un annuaire d’entreprise) et des informations détaillées sur le réseau. Pour qui gère une dizaine d’appareils, c’est la différence entre taper des commandes et cliquer sur une liste.

Ce qu’apporte la version 0.8.0

La version 0.8.0 se concentre sur les règles d’accès. Selon les notes de version, elle ajoute à la page de contrôle d’accès un éditeur structuré qui permet de modifier ces règles par des formulaires, sans toucher directement au fichier de politique (au format HuJSON) ; l’éditeur de fichier reste disponible pour tout le reste, et rien n’est appliqué avant l’enregistrement. Une précaution s’impose toutefois : passer par l’éditeur structuré supprime les commentaires du fichier, ce dont Headplane avertit au préalable. La page des utilisateurs affiche désormais les groupes de règles auxquels chacun appartient, et la fenêtre d’étiquetage des machines signale les étiquettes qui ne sont attribuées à aucun propriétaire dans la politique d’accès.

Parmi les corrections, les espaces parasites en début et en fin de nom ou de valeur des enregistrements DNS ajoutés depuis l’interface sont désormais supprimés. Cette version met aussi à jour les bibliothèques utilisées par le projet (dépendances NPM et Go) pour corriger des vulnérabilités, ce qui suffit à justifier la mise à jour. Les personnes qui compilent elles-mêmes le logiciel devront disposer de Go 1.27.1 ou d’une version plus récente. Côté installation, la documentation recommande Docker pour la plupart des utilisateurs, propose une installation native pour ceux qui préfèrent s’en passer, et un mode limité réservé aux tests : ce dernier n’est pas destiné à la production et se prive de la gestion du réseau comme du SSH dans le navigateur. Dans tous les cas, Headplane a besoin d’un fichier de configuration pour fonctionner.

Le SSH dans le navigateur mérite qu’on s’y arrête, car son fonctionnement est ingénieux. D’après la documentation, Headplane démarre un nœud Tailscale éphémère qui rejoint le réseau le temps de la session SSH, puis disparaît. Cette fonction a ses conditions : l’utilisateur doit être connecté via OpenID Connect, les connexions par simple clé d’API ne pouvant pas l’utiliser, et le navigateur doit pouvoir joindre directement Headplane et Headscale. Ce n’est donc pas une option qui s’active d’un clic sur une installation minimale.

Les points de vigilance

Headplane a d’ailleurs déjà dû corriger une faille sérieuse. Un avis de sécurité publié le 14 mai 2026 sur GitHub, référencé CVE-2026-46484 et classé de gravité élevée, décrit une faille de traversée de chemin, une technique qui détourne une adresse vers une autre ressource que celle prévue, permettant de contourner les contrôles d’autorisation lors du renommage de machines et d’utilisateurs. Seuls des utilisateurs déjà authentifiés pouvaient l’exploiter, mais ils pouvaient ainsi agir sur des ressources du réseau qu’ils n’étaient pas autorisés à gérer. Les versions 0.6.2 et antérieures étaient concernées, ainsi que les préversions 0.7.0-beta.1 et 0.7.0-beta.2 ; la correction est arrivée avec les versions 0.6.3 et 0.7.0-beta.3.

Une interface d’administration de réseau privé est une cible de choix : une installation de Headplane oubliée depuis plusieurs mois n’est pas un détail.

Il faut aussi garder en tête la maturité du projet. Le numéro de version, qui commence encore par zéro, signale un logiciel qui évolue vite, et Headplane reste un projet communautaire distinct de Headscale : si son développement ralentissait, il faudrait se tourner vers une autre interface. La documentation de Headscale en recense plusieurs, comme headscale-ui ou headscale-admin, ce qui limite le risque d’impasse. Enfin, ce type d’interface n’a pas vocation à être exposé sur Internet sans protection : la réserver au réseau privé lui-même, ou la placer derrière une authentification solide, réduit nettement la surface d’attaque.

Pour une TPE, une association ou un particulier qui veut accéder à son NAS, à ses caméras ou à son serveur domestique sans confier la coordination de son réseau à une entreprise tierce, le duo Headscale et Headplane est une piste sérieuse, libre côté serveur comme côté interface. Il demande en échange un minimum de rigueur : un serveur pour héberger la coordination, des mises à jour suivies et des règles d’accès réfléchies. Si vous hésitez à franchir le pas, nous pouvons vous aider à évaluer votre besoin dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• selfh.st — Self-Host Weekly (9 octobre 2026)
• GitHub — Headplane v0.8.0, notes de version (13 octobre 2026)
• GitHub — dépôt tale/headplane (README)
• GitHub — licence de Headplane (fichier LICENSE)
• GitHub — dépôt juanfont/headscale (README)
• Headscale — documentation, interfaces web communautaires
• Headplane — documentation, installation
• Headplane — documentation, SSH dans le navigateur
• GitHub — avis de sécurité GHSA-vgj6-hcf2-fqf6 / CVE-2026-46484 (14 mai 2026)

La rétro-ingénierie consiste à comprendre comment fonctionne un logiciel sans disposer de son code source, en examinant le programme tel qu’il est livré. Les professionnels utilisent pour cela des décompilateurs, qui retraduisent le code machine en une forme proche d’un code lisible, parmi lesquels Ghidra, IDA ou Hopper. REA ne remplace pas ces outils : il les met à la disposition d’un agent d’IA. Techniquement, c’est un serveur MCP (Model Context Protocol), un protocole qui permet à un assistant comme Claude Code, Codex, Cursor ou Gemini CLI d’appeler des programmes extérieurs. Selon son dépôt, REA relie l’agent à des outils capables d’inspecter des programmes compilés, des applications JavaScript et Electron, des assemblages .NET et des sites web.

L’installation passe par le gestionnaire de paquets npm, avec la commande npx rea-agents setup : l’utilisateur choisit ses agents, examine les modifications proposées puis les approuve, et le programme sauvegarde la configuration existante avant d’y ajouter le serveur MCP. Le projet évolue très vite : la version 4.1.0, sortie le 6 octobre d’après AICoder, a ajouté l’analyse des applications Android (APK) avec JADX et celle des micrologiciels, le logiciel interne des appareils, avec Binwalk et Unblob. Le registre npm affiche désormais la version 6.5.0. Le dépôt insiste sur un point : l’analyse tourne localement, et chaque conclusion est accompagnée des éléments qui la fondent et de ses limites.

Il faut aussi comprendre ce que REA n’est pas. Il n’embarque pas son propre décompilateur : Hopper, Ghidra ou IDA Pro jouent ce rôle, et l’utilisateur doit se les procurer lui-même. Le dépôt précise que REA n’accorde aucune licence, clé ni activation pour ces outils, que les logiciels commerciaux comme IDA Pro doivent être obtenus légalement, et que les versions d’essai et de démonstration restent soumises aux conditions de leurs éditeurs, y compris pour l’automatisation et le partage des résultats. Brancher un agent sur une version de démonstration peut donc se heurter à ces conditions. À noter : l’inspection statique du JavaScript et du .NET se contente de lire les fichiers fournis, sans lancer l’application.

À l’essai, du bon et des angles morts

Le 14 octobre, le site HackerNoon a publié l’un des premiers essais détaillés, mené sur la version 6.4.0, sortie le 11 octobre, sur un poste Debian 13. L’auteur a fait analyser par REA une véritable application Electron, PI-Desktop. Résultat : 52 secondes pour un paquet de 100 Mo, un délai qu’il juge correct, et un verdict net sur l’analyse statique du JavaScript, « genuinely good and fast », autrement dit vraiment bonne et rapide. Il salue aussi l’honnêteté de l’outil, qui liste ses limites et précise lui-même, quand une recherche ne donne rien, que ce n’est pas la preuve que la fonctionnalité cherchée est absente.

Le même essai montre les angles morts. L’application testée contient deux fichiers de préchargement, les scripts qui font le lien entre l’interface et le reste du programme ; REA n’a pas établi ce lien et a donc conclu qu’aucun élément n’était exposé. Le rapport signalait 744 limitations, et pour 365 fichiers l’outil a abandonné des relations faute de budget de résultats, si bien que le traçage d’un échange réel n’a rien donné. Autre coût caché : REA expose 170 outils MCP, dont la seule liste pèse environ 1,95 Mo de JSON (un format de données) avant même que l’agent ne fasse quoi que ce soit. Enfin, l’auteur n’a testé ni Hopper, ni Ghidra, ni IDA, ni les APK, ni les micrologiciels : l’essentiel de la promesse reste à évaluer.

Le projet reconnaît lui-même que la décompilation, la reconstruction, les heuristiques et l’analyse assistée par IA peuvent être incomplètes ou erronées. Deux précautions s’imposent donc. D’abord, si l’analyse tourne sur la machine, l’agent reçoit les résultats, et ce sont les règles du fournisseur du modèle d’IA en matière de données qui s’appliquent à ces résultats : une entreprise qui examine un logiciel interne peut ainsi en transmettre des morceaux à un service tiers. Ensuite, la capture à l’exécution lance le programme ciblé ou interagit avec lui avec les droits de l’utilisateur. Le projet recommande d’ailleurs un environnement adapté aux cibles non fiables : un programme douteux s’examine dans une machine virtuelle, pas sur son poste de travail.

Ce que dit le droit

REA se présente comme un outil d’analyse licite : recherche en sécurité, analyse de logiciels malveillants et d’incidents, interopérabilité, préservation des logiciels, ou examen de programmes que l’on possède ou que l’on est autorisé à étudier. Son avertissement exclut le contournement des DRM (les verrous numériques), des contrôles de licence et des systèmes anti-triche, ainsi que la copie de logiciels propriétaires ou de leur code. Le dépôt ajoute que les copies piratées, les clés volées ou partagées sans autorisation et le contournement des restrictions de licence ne sont pas autorisés. Il rappelle enfin que la rétro-ingénierie peut être restreinte selon le pays, ou par la licence du logiciel analysé.

En France, c’est l’article L. 122-6-1 du Code de la propriété intellectuelle qui fixe le cadre. La personne qui a le droit d’utiliser un logiciel peut, sans autorisation de l’auteur, en observer, étudier ou tester le fonctionnement ou la sécurité afin d’en déterminer les idées et principes. La décompilation proprement dite, c’est-à-dire la reproduction ou la traduction du code, n’est permise que lorsqu’elle est indispensable pour obtenir les informations nécessaires à l’interopérabilité d’un logiciel créé de façon indépendante, et à des conditions strictes : être en droit d’utiliser le logiciel, que ces informations n’aient pas déjà été rendues facilement et rapidement accessibles, et s’en tenir aux parties nécessaires. Les informations obtenues ne peuvent servir à aucune autre fin que cette interopérabilité, ni à produire ou commercialiser un logiciel substantiellement similaire.

Obtenir un résultat qui ressemble à du code source, ou un rapport d’analyse, ne confère aucun droit sur le programme d’origine : c’est l’avertissement de REA lui-même.

Cette frontière compte d’autant plus que REA met ces analyses à la portée de n’importe quel utilisateur d’un agent d’IA. Comprendre comment un logiciel échange ses données pour le rendre compatible avec un autre, ou tester la sécurité d’un programme que l’on a le droit d’utiliser, reste légitime. Reconstruire une application commerciale pour en diffuser un clone, ou faire sauter une protection, ne le devient pas parce qu’une IA a fait le travail. Les conditions d’utilisation des logiciels analysés comptent aussi : certaines licences restreignent la rétro-ingénierie, et le dépôt de REA renvoie explicitement l’utilisateur à cette responsabilité.

Gare aux faux dépôts

Le succès a son revers. Le dépôt officiel indique qu’on obtient REA depuis morluto/rea, le site rea.tools ou le paquet npm rea-agents, et prévient que un nom de dépôt ressemblant ou un fichier de présentation recopié ne prouvent pas qu’un téléchargement est officiel. La mise en garde n’a rien de théorique. Un dépôt GitHub nommé rea-githu/REA propose une archive ZIP pour Windows présentée comme la version 6.3.0 du 10 octobre 2026, avec une description truffée de mots-clés (« rea github, github rea, reverse engineer anything ») et la mention « Official free download ».

Nous n’avons pas analysé cette archive, et rien ne permet d’affirmer ici qu’elle est malveillante. Mais rien ne la rattache non plus aux trois canaux officiels, et le dépôt du projet documente une installation par la commande npx rea-agents setup, pas une archive à télécharger puis à décompresser sur son poste. Quand un outil devient viral, ceux qui cherchent à le télécharger peuvent tomber sur ce genre de copie, dont la description truffée de mots-clés semble viser les moteurs de recherche. Pour un logiciel qui manipule des programmes et s’exécute avec les droits de l’utilisateur, l’erreur peut coûter cher. La règle reste simple : partir du dépôt officiel, jamais d’un lien trouvé au hasard.

Pour une TPE, une PME ou un particulier, REA n’est pas un outil du quotidien. Il intéresse d’abord les équipes de sécurité, les développeurs qui doivent faire dialoguer deux logiciels, ou les curieux qui veulent savoir ce que fait réellement une application. Si vous l’essayez, faites-le dans une machine virtuelle, sur des logiciels que vous avez le droit d’examiner, en sachant que les résultats partent chez le fournisseur de votre agent d’IA et qu’ils peuvent être faux. Et si l’on vous propose une version Windows à télécharger en dehors des canaux officiels, abstenez-vous. Dans la mesure de nos disponibilités, nous pouvons aider bénévolement et gratuitement à vérifier la provenance d’un outil avant de l’installer.

Sources

• GitHub — morluto/rea, dépôt officiel et README du projet REA (consulté le 15 octobre 2026)
• GitHub — morluto/rea, avertissement DISCLAIMER.md (consulté le 15 octobre 2026)
• npm — registre du paquet rea-agents, dernière version (consulté le 15 octobre 2026)
• AICoder — REA goes viral: one MCP server lets Claude Code, Codex and Cursor reverse-engineer binaries (8 octobre 2026)
• Developers Digest — Reverse Engineer Anything (REA): What the MCP Server Does and Where the Line Is (14 octobre 2026)
• HackerNoon — I Tested REA, GitHub’s Viral Reverse Engineering Tool, on a Real Electron App (14 octobre 2026)
• Baumann Avocats — texte de l’article L. 122-6-1 du Code de la propriété intellectuelle (consulté le 15 octobre 2026)

Une exécution de code à distance est la catégorie de faille la plus redoutée : elle permet à un attaquant de faire exécuter ses propres instructions par le serveur qui héberge le site. Ici, le point faible se trouve dans Field UI, le module du cœur qui fournit l’interface de gestion des champs. C’est l’écran où l’on définit les informations que contient chaque type de contenu : un titre, une date, une image, un document joint. L’avis de sécurité classe la faille dans la catégorie « Critical », c’est-à-dire critique.

Au moins un chemin d’exploitation connu de la faille de Field UI ne demande aucune authentification.

La gravité réelle dépend toutefois de la configuration de chaque site. Selon l’avis, la faille n’est pas exploitable directement avec le cœur seul, mais plusieurs chemins d’exploitation sérieux existent dès que certains modules complémentaires, développés par la communauté, sont installés. L’un d’eux ne demande même pas de se connecter au site. Le code développé sur mesure peut lui aussi exposer la fonctionnalité vulnérable : un site réalisé par une agence, avec ses propres développements, n’est donc pas forcément à l’abri parce qu’il n’utilise que peu de modules. À sa publication, l’avis ne faisait en revanche état d’aucune exploitation confirmée.

Quelles versions mettre à jour

Les correctifs existent pour les trois branches encore maintenues : Drupal 11.4.10, 11.3.19 et 10.6.19, selon la branche utilisée. Un site à jour de sa branche n’a donc qu’une mise à jour mineure à installer, sans devoir passer d’abord à Drupal 11.4. Comme toujours, elle doit être précédée d’une sauvegarde complète des fichiers et de la base de données, puis suivie d’une vérification rapide des pages principales du site, en particulier des formulaires et de l’espace d’administration.

Le vrai problème concerne les sites restés sur une branche ancienne. Drupal 11.2.x et les versions antérieures de Drupal 11 sont en fin de vie et ne bénéficient plus d’aucune couverture de sécurité, tout comme Drupal 10.5.x et les versions antérieures de Drupal 10, sans parler de Drupal 8 et 9. Un site Drupal en fin de vie ne recevra aucun correctif officiel pour cette faille critique. Le blog spécialisé kgaut.net signale qu’un développeur a publié un correctif non officiel pour Drupal 9.5.11. L’auteur du blog précise ne pas l’avoir testé, et ce correctif n’est ni validé ni maintenu par l’équipe de sécurité de Drupal. Il ne couvre que la faille de Field UI et ne dispense pas d’une montée vers une version supportée.

Les administrateurs avaient été prévenus : l’équipe de sécurité de Drupal avait annoncé dès le 12 octobre, par un message public, la sortie d’une mise à jour critique du cœur. Cette pratique laisse aux responsables de sites le temps de s’organiser ; elle suppose en retour que quelqu’un surveille ces annonces.

Un contournement à manier avec prudence

En attendant de pouvoir mettre à jour, l’avis indique que désinstaller le module Field UI protège le site. Le blog kgaut.net, qui détaille la procédure, met en garde : la désactivation du module peut entraîner en cascade des suppressions de configuration. Sur un site dont la configuration est versionnée, il faut aussi veiller à ne pas exporter cette désinstallation par erreur. Les sites qui utilisent Drupal Steward ne sont, eux, protégés qu’en partie. Ce contournement ne protège pas non plus contre les deux autres failles du cœur publiées le même jour, qui ne sont corrigées que par la mise à jour.

Ces deux failles sont des « cross-site scripting » (XSS) : elles permettent d’injecter du code malveillant dans les pages affichées aux visiteurs ou aux administrateurs. La première touche le module Link, qui gère les liens, et la seconde le module Navigation, la nouvelle barre d’administration ; elles sont notées respectivement 13 et 12 sur 25. Deux projets complémentaires sont également corrigés. Le thème d’administration Gin, que kgaut.net décrit comme très répandu, doit passer en 4.1.4 ou 5.0.16. Entity List, qui embarque une copie du tableau de Field UI, souffre lui aussi d’une exécution de code à distance notée 19/25 et doit passer au moins en version 3.0.10.

Vérifier qu’on n’a pas déjà été visé

Mettre à jour ne suffit pas si le site a déjà été attaqué. Le blog kgaut.net conseille de surveiller dans les journaux du serveur des requêtes POST anonymes inhabituelles, c’est-à-dire des envois de formulaire par des visiteurs non connectés. Il recommande aussi de rechercher sur le disque des fichiers PHP récemment créés ou modifiés dans le dossier des fichiers publics du site ou à sa racine. Au moindre indice de compromission, il faut analyser la situation et restaurer le site depuis une sauvegarde saine : d’où l’intérêt de sauvegardes régulières, conservées hors du serveur et testées.

Pour une association, une collectivité ou une PME, ce type d’alerte rappelle qu’un site libre n’est pas un site sans entretien. Le logiciel est gratuit et son équipe de sécurité publie ses avis en toute transparence, mais encore faut-il qu’une personne identifiée suive ces annonces et applique les mises à jour sans tarder. Si votre site a été réalisé il y a quelques années par un prestataire, la première question à lui poser est simple : sur quelle branche de Drupal tourne-t-il, et est-elle encore maintenue ? Pour faire ce point, l’accompagnement bénévole et gratuit d’Azure Informatique peut vous aider, dans la mesure de nos disponibilités.

Sources

• Drupal.org — SA-CORE-2026-014 : Drupal core, critique, exécution de code à distance (14 octobre 2026)
• Drupal.org — PSA-2026-10-12 : annonce d’une mise à jour critique du cœur pour le 14 octobre 2026 (12 octobre 2026)
• Drupal.org — SA-CORE-2026-015 : Drupal core, cross-site scripting dans le module Link (14 octobre 2026)
• Drupal.org — SA-CORE-2026-016 : Drupal core, cross-site scripting dans le module Navigation (14 octobre 2026)
• Drupal.org — SA-CONTRIB-2026-218 : Entity List, critique, exécution de code à distance (14 octobre 2026)
• Drupal.org — SA-CONTRIB-2026-219 : Gin Admin Theme, cross-site scripting (14 octobre 2026)
• kgaut.net — Drupal : SA-CORE-2026-014, faille critique d’exécution de code à distance dans Field UI (14 octobre 2026)
• AdevWeb — PSA Drupal SA-CORE-2026-014 : exécution de code critique dans Field UI (14 octobre 2026)
• Dynamosys — Drupal 11.4.10 : correctif de sécurité critique, ce que les propriétaires de sites doivent faire (14 octobre 2026)

Sur sa page d’assistance, Microsoft résume le nouveau modèle sans détour : Microsoft 365 Famille et Premium incluent 2 To de stockage partagé, et Microsoft 365 Professionnel en inclut 5 To. Chaque membre conserve l’accès exclusif à ses propres documents : « Alors que les quotas de stockage sont partagés, les fichiers restent privés. » Seule la capacité est mise en commun. Concrètement, un membre qui accumule des centaines de gigaoctets de photos réduit d’autant la place laissée aux autres. Les formules prévues pour une seule personne ne bougent pas : Microsoft 365 Personnel conserve 1 To, et Microsoft 365 Basic ses 100 Go.

Le calendrier mérite d’être lu attentivement. Les abonnements nouveaux ou mis à niveau incluent le stockage partagé depuis le 8 octobre 2026. Pour les abonnés existants à Famille ou Premium, le passage se fait au premier renouvellement à compter du 2 mai 2027, sauf changement de formule éligible avant cette date, et Microsoft annonce l’envoi d’une notification préalable. D’après le site spécialisé IT-Connect, passer de Famille à Premium fait basculer immédiatement dans le nouveau modèle, sans attendre 2027. Les abonnés existants à Microsoft 365 Professionnel, eux, passeront à 5 To partagés le 1er novembre 2027.

Trois fois moins d’espace, même prix

Pour un foyer qui utilise toutes les places de l’abonnement, le calcul est vite fait : comme le souligne Next, la quantité totale de stockage allouée est divisée par 3. IT-Connect ramène ce chiffre à l’échelle de chaque personne : pour six utilisateurs, 2 To représentent en moyenne environ 333 Go chacun, contre 1 To jusqu’ici. Pour rester juste, il faut aussi mentionner l’autre face du changement : un abonné seul passe de 1 To à 2 To pour le même prix. La mesure pénalise donc précisément ceux qui utilisent l’abonnement familial pour ce qu’il promet, c’est-à-dire le partager.

Un foyer qui remplit toutes les places de l’abonnement Famille voit son espace OneDrive inclus passer de 6 To à 2 To, sans que le prix baisse.

Ce resserrement arrive alors que le prix a déjà augmenté. Selon Next, l’offre Famille a longtemps été vendue 99 euros par an, avant de passer à 129 euros en janvier 2025 pour justifier l’arrivée de Copilot, l’assistant d’intelligence artificielle de Microsoft. IT-Connect relève que Microsoft affiche toujours Microsoft 365 Famille à 129 euros par an, désormais présenté avec la mention « Up to 2 TB of secure shared cloud storage », et Microsoft 365 Premium à 219 euros par an. Résultat : un foyer complet paie plus cher qu’avant l’arrivée de Copilot pour un espace en ligne trois fois plus petit.

Que se passe-t-il si un foyer dépasse 2 To ? Microsoft indique envoyer des notifications à l’approche de la limite, puis laisser l’accès aux fichiers pendant un an au maximum, le temps de faire le tri. Next précise que les données passent alors en lecture seule jusqu’à ce que de la place soit libérée. L’autre issue est payante : il est possible d’acheter de l’espace supplémentaire, jusqu’à un total de 10 To par abonnement. Microsoft évoque enfin un stockage bonus temporaire pour certains abonnés existants « dans les marchés pris en charge », mais IT-Connect n’a trouvé ni capacité, ni durée, ni liste de pays : rien n’indique que la France en fera partie.

Faire les comptes avant mai 2027

Pour les foyers concernés, le premier réflexe consiste à mesurer. IT-Connect conseille, avant le renouvellement, d’additionner l’espace occupé par chaque membre, visible dans le tableau de bord de stockage de son compte Microsoft. Si le total reste sous les 2 To, rien ne change en pratique. S’il les dépasse, mieux vaut le découvrir maintenant qu’à l’échéance : cela laisse plusieurs mois pour supprimer les doublons, déplacer les vidéos les plus lourdes ou décider ensemble de ce qui doit vraiment rester en ligne. Les photos et vidéos envoyées automatiquement depuis les téléphones sont un bon endroit où commencer à chercher.

Au-delà des chiffres, l’épisode rappelle une règle que nous répétons souvent : quand vos fichiers vivent chez un fournisseur, c’est lui qui fixe les conditions, et il peut les modifier en cours de route. Ici, Microsoft laisse du temps pour s’adapter. Mais le fond reste le même : l’espace inclus dans un abonnement peut fondre à prix constant, sans que l’abonné ait son mot à dire. Ne pas confier la seule copie de ses documents et de ses souvenirs à un service unique reste la meilleure protection contre ce genre de décision.

Des solutions libres pour garder la main

Pour réduire cette dépendance, il existe des solutions libres. Nextcloud, dont le code est publié sous licence AGPLv3, se télécharge pour être hébergé sur son propre serveur. Un petit ordinateur ou un serveur de stockage en réseau (un NAS, c’est-à-dire un boîtier équipé de disques durs et branché sur le réseau de la maison) peut alors faire office d’espace de stockage familial, sans autre limite que la capacité des disques. Cela demande un minimum d’installation et d’entretien, et le matériel a un coût. Ceux qui ne veulent pas gérer de serveur peuvent se tourner vers CHATONS, le Collectif des Hébergeurs Alternatifs, Transparents, Ouverts, Neutres et Solidaires.

Quelle que soit la solution retenue, un espace en ligne synchronisé ne remplace pas une véritable sauvegarde. Le site gouvernemental Cybermalveillance.gouv.fr recommande d’avoir le réflexe de sauvegarder régulièrement ses données, de protéger ces sauvegardes au même titre que les originaux, par exemple en en réalisant plusieurs, et de déconnecter le support de sauvegarde de l’ordinateur ou du réseau, ou de le mettre hors ligne, lorsqu’on ne s’en sert pas. Un disque dur externe mis à jour à intervalles réguliers et rangé dans un tiroir complète utilement n’importe quel service en ligne, qu’il s’appelle OneDrive ou Nextcloud.

Pour les particuliers comme pour les petites structures qui s’appuient sur un abonnement familial pour leurs documents, ce changement est l’occasion de faire le point : quels fichiers sont réellement en ligne, qui en a besoin, et existe-t-il au moins une copie ailleurs ? Rien n’oblige à quitter Microsoft du jour au lendemain, mais il vaut mieux décider avant mai 2027 que subir l’échéance. Pour mesurer l’espace réellement utilisé, mettre en place une sauvegarde locale ou essayer une solution libre comme Nextcloud, l’accompagnement bénévole et gratuit d’Azure Informatique peut vous aider à y voir clair, dans la mesure de nos disponibilités.

Sources

• Microsoft — Modifications apportées au stockage Microsoft 365
• Next — Microsoft 365 : les offres grand public partageables vont perdre en espace de stockage (9 octobre 2026)
• IT-Connect — Microsoft 365 Family and Premium: OneDrive shifts from 1 TB per person to 2 TB shared (12 octobre 2026)
• Nextcloud — Télécharger et installer Nextcloud
• GitHub — Dépôt nextcloud/server
• CHATONS — Collectif des Hébergeurs Alternatifs, Transparents, Ouverts, Neutres et Solidaires
• Cybermalveillance.gouv.fr — Les sauvegardes : bonnes pratiques

Le point de départ remonte à mai 2025. Microsoft annonce alors la fin de son offre gratuite qui permettait aux organismes sans but lucratif d’utiliser Microsoft 365 Business Premium et Office 365 E1, à partir du 1er juillet 2025. Aucune bascule automatique n’est prévue : Microsoft ne rétrograde personne d’office, et chaque association doit modifier elle-même ses licences depuis sa console d’administration. À défaut, prévient alors Tech Impact, elle s’expose à une interruption de service et à une perte de données. Selon IT-Connect, plus de 400 000 organisations auraient pu bénéficier de cette offre.

Microsoft n’abandonnait pas tout à fait les associations : l’éditeur continuait d’offrir jusqu’à 300 licences de Microsoft 365 Business Basic, et proposait des remises pouvant atteindre 75 % sur ses formules Business Premium et E1. Mais la transition a laissé des organisations sur le carreau. Next relève que des données ont même été supprimées alors que l’abonnement avait bien été renouvelé. Le responsable d’une autre organisation, cité par IT-Connect, affirme avoir renouvelé sa licence en octobre 2025 et reçu un courriel de confirmation ; le 11 juin 2026, il constate que toutes les données stockées chez Microsoft ont disparu. Le support lui indique d’abord qu’elles sont récupérables, avant d’affirmer le contraire.

Une erreur reconnue, des données perdues

Dans un article publié le 28 septembre 2026, le site The Register rapporte que Microsoft a fini par admettre qu’une fois les délais de préavis écoulés et les abonnements résiliés, une erreur avait entraîné la suppression des données restantes avant la fin de la période de conservation. L’éditeur se dit incapable, pour l’instant, de fournir la liste des données qui ont pu être supprimées, ni même de dire si des données l’ont été. Il n’a précisé ni le nombre d’associations touchées, ni l’avance prise par la suppression, ni la cause de l’erreur.

Après avoir étudié les options de récupération, Microsoft le reconnaît : les données effacées par erreur ne peuvent pas être restaurées.

Pour toute réponse, l’éditeur dit regretter l’impact de cette erreur et propose aux organisations touchées un service d’accompagnement gratuit, comprenant un rendez-vous avec un spécialiste Microsoft pour les aider à configurer un nouvel environnement Microsoft 365. Autrement dit, la solution proposée consiste à tout reconstruire chez le même fournisseur. Microsoft avance aussi que les contenus effacés étaient liés à un abonnement Business Premium expiré, alors que Watertrek affirme que sa licence courait jusqu’en 2029. Quant au chiffre d’environ 171 000 associations qui auraient perdu leurs données OneDrive, relayé par IT-Connect, Microsoft ne l’a pas communiqué officiellement à ce jour.

Ce que prévoit Microsoft sur le papier

Sur le papier, pourtant, le parcours est balisé. Selon la documentation officielle de Microsoft, qui s’applique à tous les abonnements Microsoft 365 pour les entreprises, un abonnement qui se termine passe par plusieurs états avant d’être supprimé : actif, expiré, désactivé, puis supprimé. Pendant la phase de désactivation, les utilisateurs ne peuvent plus accéder aux services, mais les administrateurs peuvent encore consulter les données et les sauvegarder. Pour un abonnement annulé, les données peuvent être supprimées après 90 jours, et le sont au plus tard 180 jours après l’annulation. Une fois l’abonnement supprimé, en souscrire un nouveau du même type ne restaure pas les données.

C’est précisément ce filet de sécurité qui a manqué. Encore faut-il être prévenu à temps : selon cette même documentation, l’administrateur reçoit une série de notifications par courriel et dans le centre d’administration à l’approche de la date de fin. IT-Connect rappelle que Microsoft avertit les comptes administrateurs des tenants (l’espace propre à chaque organisation), et que certains ne consultent jamais la boîte aux lettres rattachée à ce compte. Si personne ne surveille cette adresse, l’alerte passe inaperçue, et l’association découvre le problème le jour où ses fichiers ont disparu.

Gratuit ne veut pas dire garanti

Cette affaire illustre une dépendance que bien des structures sous-estiment. Une offre gratuite reste une décision commerciale, que son fournisseur peut modifier ou retirer quand il le juge utile ; d’après Next, Microsoft avait justifié la fin de celle-ci par la volonté de rationaliser ses aides. Lorsque fichiers, messagerie et documents partagés ne vivent que dans un seul service, l’organisation n’en garde la maîtrise qu’aussi longtemps que le fournisseur le permet. Microsoft le rappelle d’ailleurs dans sa documentation : il recommande, à qui quitte Microsoft 365, de sauvegarder ses données avant leur suppression. Encore faut-il disposer d’une copie ailleurs que chez le fournisseur qui peut l’effacer.

IT-Connect en tire une leçon sans détour : OneDrive n’est pas une sauvegarde. Dans une analyse publiée le 10 octobre 2026, le site Rack2Cloud arrive à la même conclusion : la période de conservation d’un fournisseur n’est pas un moyen de restauration, et la copie de secours doit appartenir à l’organisation elle-même. Un service de stockage en ligne n’est qu’un endroit où l’on range ses fichiers ; si l’accès est coupé ou si le contenu est effacé, il ne reste rien sans copie ailleurs. Une véritable sauvegarde suppose au moins une copie complète des données hors du service principal, sur un support que l’organisation contrôle (disque externe, serveur ou hébergeur distinct), et des restaurations testées de temps en temps. Il est tout aussi utile de désigner plusieurs administrateurs et de surveiller l’adresse qui reçoit les avis d’échéance.

Des outils libres pour les associations

Les associations qui veulent sortir de cette dépendance disposent d’alternatives libres. Le service Framaspace, par exemple, propose un espace de travail collaboratif réservé pour le moment aux associations et aux collectifs militants. Il est gratuit, sans publicité, et repose sur Nextcloud, un logiciel libre : sa licence permet d’en étudier le code et de l’installer sur son propre serveur. Les limites sont claires : chaque espace accueille au plus 50 comptes et 50 Go partagés entre tous les membres. Comme Nextcloud peut être installé ailleurs, une association n’est pas prisonnière d’un seul fournisseur ; mais là encore, une copie de sauvegarde indépendante reste indispensable.

Pour une TPE, une PME ou un particulier, la leçon vaut au-delà du cas Microsoft : tout service en ligne, gratuit ou payant, peut changer ses conditions, couper un accès ou perdre des données. Les bonnes questions sont simples : où se trouvent réellement nos fichiers, qui peut les supprimer, et en possédons-nous une copie que nous contrôlons ? C’est le genre de vérification que nous menons avec les personnes accompagnées, dans le cadre de notre accompagnement bénévole et gratuit et dans la mesure de nos disponibilités : faire l’inventaire des données confiées à un fournisseur, mettre en place une sauvegarde indépendante et, quand c’est pertinent, préparer le passage à des outils libres.

Sources

• Next — Arrêt d’une offre gratuite MS 365 pour associations : Watertrek a perdu 600 Go de données (13 octobre 2026)
• Rack2Cloud — The Vendor Retention Window Wasn’t a Recovery Control (10 octobre 2026)
• The Register — Microsoft tells nonprofits their deleted M365 data isn’t coming back (28 septembre 2026)
• IT-Connect — Microsoft 365 et associations : perte de données OneDrive après l’arrêt d’une offre gratuite (20 août 2026)
• Tech Impact — Changes to Microsoft’s Business Premium Grant Announced (15 mai 2025)
• Microsoft Learn — Qu’arrive-t-il à mes données et à mon accès à la fin de mon abonnement Microsoft 365 Business ?
• Framasoft — Framaspace, l’espace de travail collaboratif pour les associations et collectifs

LineageOS est un système d’exploitation libre dérivé d’Android, que l’on installe à la place du système d’origine fourni par le fabricant. Issu de Cyanogen, dont il a repris le code, le projet a été officiellement lancé le 24 décembre 2016 ; l’équipe rappelle d’ailleurs dans son annonce qu’elle fêtera ses 10 ans le 24 décembre 2026. Sa particularité tient en une phrase : pour des raisons juridiques, les applications de Google n’y sont pas incluses par défaut. À l’installation, ni Play Store ni services Google qui tournent en arrière-plan : c’est l’un des moyens les plus directs de réduire la dépendance d’un téléphone Android à Google.

Ce qui change avec la 24.0

Cette version reprend l’ensemble des modifications et fonctionnalités du projet sur la base d’Android 17. Côté applications, la nouveauté la plus visible s’appelle Canvas : un éditeur d’images intégré, pensé pour les retouches courantes comme le recadrage. Plusieurs applications maison adoptent le style graphique Material Design 3 Expressive de Google, et le lecteur de musique Twelve charge désormais plus vite les grosses bibliothèques musicales. Surtout, l’outil de mise à jour installe maintenant les nouvelles versions en flux continu par défaut, ce qui réduit nettement le temps d’installation d’une mise à jour.

Le point le plus utile pour la durée de vie des appareils se trouve du côté de la sécurité. Selon l’annonce officielle, les correctifs de sécurité publiés d’août 2025 à octobre 2026 ont été intégrés aux branches de LineageOS allant de la 18.1 à la 24.0. Autrement dit, les correctifs ne sont pas réservés à la toute dernière version de LineageOS : ils profitent aussi aux branches plus anciennes, sur lesquelles restent des appareils qui ne peuvent pas passer à la 24.0. Pour un téléphone dont le fabricant a cessé le suivi, c’est un argument concret pour le garder en service plutôt que de le remplacer, à condition qu’une version à jour soit effectivement publiée pour son modèle. Le projet indique aussi avoir mené un audit complet de l’accessibilité de son processus d’installation et de ses applications.

Installer depuis le navigateur

Autre nouveauté, pensée pour abaisser la barrière d’entrée : une collection d’outils d’installation qui fonctionnent dans le navigateur, à l’adresse flash.lineageos.org. Grâce à WebUSB, une technologie qui permet à une page web de dialoguer avec un appareil branché en USB, ces outils communiquent avec le téléphone directement depuis un navigateur compatible. Ils prennent en charge ADB et Fastboot, les deux outils classiques pour intervenir sur un appareil Android, ainsi que les protocoles Amlogic Burn et Odin de Samsung. Le projet précise toutefois que ces outils ne remplacent pas ses guides d’installation existants : il faut toujours suivre la procédure propre à son modèle.

La liste des appareils pris en charge couvre de nombreux Google Pixel, des anciennes générations jusqu’à la famille Pixel 10, ainsi que des modèles de OnePlus, Motorola, Fairphone, Nothing ou ASUS, entre autres. Avant d’envisager quoi que ce soit, il faut donc vérifier que son modèle exact figure dans la liste officielle du projet. Plus expérimental, LineageOS indique avoir réussi à démarrer son système sur des PC x86-64 classiques et sur des Mac équipés de puces Apple Silicon. Il s’agit de premiers travaux, pas d’une alternative prête à l’emploi pour un ordinateur de bureau.

Les limites à connaître

Cette version s’accompagne aussi d’une restriction. Le projet n’acceptera plus de nouvelles versions 24.0 pour les appareils qui reposent sur les noyaux Linux 4.4 et 4.9, plus anciens : pour eux, seules des versions LineageOS 22.2 seront acceptées. Ces appareils continueront de recevoir chaque mois des versions intégrant les correctifs de sécurité, mais seulement tant que Google publiera des bulletins de sécurité officiels pour la version d’Android sur laquelle repose cette branche. Une date de fin existe donc pour ces modèles, même si elle ne dépend pas du projet lui-même.

Pour les personnes qui utilisent déjà LineageOS, la mise à jour est simple sur le papier : depuis une version officielle, il n’est en général pas nécessaire d’effacer l’appareil, même si des exceptions existent pour certains modèles. En revanche, depuis une version non officielle, il faut repartir du guide d’installation complet. Pour une première installation, enfin, mieux vaut garder en tête qu’il s’agit de remplacer le système d’origine du téléphone : une sauvegarde préalable des données s’impose, et la procédure doit être suivie à la lettre.

Google verrouille, LineageOS s’abstient

Cette sortie intervient dans un contexte particulier. Google déploie sa vérification des développeurs : les applications devront être enregistrées au nom d’un développeur dont l’identité a été vérifiée pour pouvoir s’installer sur un appareil Android certifié, c’est-à-dire livré avec Google Play et les services Google, et ce quelle que soit leur provenance (Play Store, magasin tiers ou installation directe). Selon la page officielle de Google, les protections sont entrées en vigueur le 30 septembre 2026 au Brésil, en Indonésie, à Singapour et en Thaïlande, pour les applications installées depuis les magasins participants ; l’extension au reste du monde est prévue en 2027. Une procédure avancée permet aux utilisateurs expérimentés d’installer des applications non vérifiées, après avoir reconnu le risque et attendu une journée entière.

LineageOS affirme n’avoir jamais livré les services mobiles de Google et ne pas avoir l’intention de le faire.

LineageOS a détaillé sa position dans un billet consacré à la question. Le mécanisme de vérification prend la forme d’une application Google distincte, raccordée au système par deux réglages internes. Or, faute d’embarquer les services Google, LineageOS n’est pas soumis à la certification que Google impose à ses propres applications : rien ne l’oblige à installer ce vérificateur, et le système n’est donc pas concerné. Si Google déplaçait un jour cette fonction dans ses services Play, le projet prévoit de la désactiver globalement, comme il le fait déjà pour certains mécanismes de mise à jour fournis par ces services. Seule réserve : un paquet d’applications Google ajouté par l’utilisateur pourrait embarquer le vérificateur, et il suffirait alors de changer de paquet. Le projet a par ailleurs signé la pétition « Keep Android Open », aux côtés d’autres fondations et organisations du logiciel libre.

Pour un particulier comme pour une petite structure, LineageOS n’est pas une solution à installer à la légère : la procédure reste technique et tous les modèles ne sont pas pris en charge. Mais sur un appareil compatible, c’est un moyen concret de prolonger la vie d’un téléphone avec des correctifs de sécurité à jour, et de reprendre la main sur ce qui s’y installe, au moment où Google resserre son contrôle sur l’installation des applications. Si vous envisagez de franchir le pas, nous pouvons vous aider à vérifier la compatibilité de votre appareil et à préparer la sauvegarde de vos données, dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• LineageOS — Changelog 32 : annonce officielle de LineageOS 24.0, dépôt GitHub du site (11 octobre 2026)
• LineageOS — Developer Verification, dépôt GitHub du site (4 juillet 2026)
• Linuxiac — LineageOS 24.0 Open-Source Mobile OS Released with Android 17 (11 octobre 2026)
• Android Developers (Google) — Android developer verification
• Wikipédia (anglais) — LineageOS

Un fichier piégé au nom rassurant

Pour comprendre l’attaque, il faut savoir ce qu’est GitHub Actions : un service d’automatisation intégré à GitHub, qui exécute des tâches comme la compilation, les tests ou le déploiement d’un logiciel. Ces tâches sont décrites dans des workflows, de petits fichiers de configuration rangés dans le dépôt lui-même. Pour publier un paquet ou se connecter à un hébergeur, ils ont souvent besoin de secrets, c’est-à-dire de clés d’accès à des services extérieurs. Les attaquants ont simplement déposé leur propre workflow dans les projets, accompagné d’un message anodin, « Add security audit workflow ». Ces modifications apparaissent sous l’identité réelle des victimes, ce qui les rend difficiles à repérer au premier coup d’œil.

Le premier compte touché est celui de Takashi Kitao, auteur du moteur de jeu pyxel : 27 dépôts ont reçu le fichier piégé. Huit heures plus tard, celui de Henry Wu, auteur à l’origine du projet athenadriver d’Uber, a servi à déposer le même workflow dans 318 dépôts en 16 minutes. La société de sécurité Socket, qui a mené sa propre analyse, compte 346 dépôts touchés : 318 sous le compte de Henry Wu, dont 39 dépôts d’origine et 279 copies (appelées forks), 27 chez Takashi Kitao, et le dépôt uber/athenadriver, qui appartient à Uber et auquel Henry Wu a gardé un accès en écriture.

Tout l’historique passé au crible

La variante la plus ancienne du fichier se contente d’envoyer les secrets déclarés dans le projet. La plus récente récupère en plus l’historique complet du dépôt, c’est-à-dire toutes les versions successives de chaque fichier, sur toutes les branches, et y cherche des identifiants : clés d’accès AWS, le service d’hébergement d’Amazon, jetons GitHub et GitLab, clés Google et Firebase, ainsi que les clés d’API d’OpenAI, d’Anthropic et d’OpenRouter, qui ouvrent l’accès à des services d’intelligence artificielle. Les données partent en clair, par une simple requête HTTP, vers une adresse IP inscrite en dur dans le fichier.

Selon StepSecurity, une clé publiée une seule fois en 2019 et effacée dès le lendemain est récoltée exactement comme les autres.

C’est le point le plus inquiétant de cette nouvelle vague. Un mot de passe ajouté par erreur dans le code, puis supprimé, ne disparaît pas : il reste lisible dans l’historique du projet, et le fichier piégé sait l’y retrouver. StepSecurity, qui a analysé l’attaque en détail, en tire une conclusion sans appel : renouveler les secrets actuellement configurés ne suffit plus à se protéger. Il faut aussi remplacer tout identifiant ayant un jour figuré dans le dépôt, quelle que soit sa branche ou son ancienneté.

Une campagne qui s’étend

L’attaque ne s’est pas arrêtée aux deux comptes du 8 octobre. Selon les mises à jour des chercheurs relayées par GBHackers, la campagne s’est étendue à plus de 500 comptes GitHub compromis et a injecté des workflows malveillants dans des dizaines de milliers de dépôts depuis le 7 octobre 2026. Socket considère le projet pyxel comme le cas le plus net d’identifiants de publication visés par une exécution réussie du fichier piégé : ce sont précisément les clés qui permettent de diffuser une nouvelle version d’un logiciel auprès de ses utilisateurs.

L’attaque a toutefois une limite. Le jeton fourni automatiquement par GitHub au workflow n’avait que des droits de lecture : le fichier piégé ne pouvait donc ni modifier le code, ni publier lui-même une nouvelle version. Au moment de l’analyse de StepSecurity, aucune version malveillante d’un logiciel n’avait été publiée. Mais les identifiants volés, notamment ceux qui servent à publier, restent exploitables tant qu’ils n’ont pas été remplacés : le danger ne s’arrête pas avec la suppression du fichier.

GhostAction n’est pas une nouveauté. En septembre 2025, GitGuardian avait déjà décrit une première campagne du même nom, qui touchait 327 utilisateurs GitHub et 817 dépôts, et dérobait notamment des jetons pour PyPI, npm et DockerHub, trois grands catalogues de logiciels utilisés par les développeurs. Reste une inconnue de taille : la manière dont les attaquants obtiennent les identifiants des comptes détournés. Socket indique ne pas l’avoir observée.

Que faire si vous publiez sur GitHub

Pour les développeurs, les associations ou les petites entreprises qui hébergent du code sur GitHub, la première étape consiste à vérifier si un workflow nommé « Security Audit » ou « Github Actions Security » est apparu dans leurs projets. Socket recommande de supprimer le fichier et d’annuler la modification sur chaque dépôt concerné, y compris ceux qui appartiennent à une organisation. StepSecurity conseille ensuite d’examiner toutes les exécutions de workflows depuis le 31 août 2026, pour savoir si le fichier a eu le temps de s’exécuter.

Il faut ensuite remplacer tous les identifiants que le balayage de l’historique a pu atteindre, et pas seulement ceux qui sont configurés aujourd’hui. Cybersecurity News rappelle que supprimer le fichier ne suffit pas : les équipes touchées doivent révoquer les sessions GitHub, les jetons d’accès personnels, les autorisations OAuth accordées à des applications et les clés SSH. Pour l’avenir, GitHub propose une protection à l’envoi, intégrée à son analyse des secrets, conçue pour empêcher qu’un identifiant écrit en dur dans le code n’arrive dans le dépôt.

Cette affaire rappelle deux règles simples, valables bien au-delà de GitHub. D’abord, un identifiant écrit un jour dans du code partagé doit être considéré comme exposé, même s’il a été effacé depuis : la seule réponse fiable est de le remplacer. Ensuite, un nom rassurant ne garantit rien. Le fichier malveillant se présentait comme un audit de sécurité, et son message de modification semblait parfaitement banal. Activer la double authentification sur ses comptes et limiter les droits de chaque jeton d’accès au strict nécessaire réduisent les dégâts possibles.

Pour une TPE, une association ou un particulier qui publie un site ou un petit outil sur GitHub, l’enjeu est concret : une clé d’hébergement ou d’API dérobée peut ouvrir l’accès à des serveurs, à des données ou à des services payants liés au compte. Si vous ne savez pas où sont rangés les secrets de vos projets, ni comment les renouveler, nous pouvons vous aider à faire le point dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• StepSecurity — GhostAction Returns: Malicious “Security Audit” Workflows Now Mine Credentials from Entire Git Histories (9 octobre 2026)
• Socket — New GhostAction Wave Hits Hundreds of Repos, Expanding Beyond CI/CD Secrets to Cloud Credentials (9 octobre 2026)
• Cybersecurity News — New GhostAction Attack Compromises Hundreds of GitHub Repos to Steal Secrets (9 octobre 2026)
• GBHackers — GhostAction Hackers Compromise 500+ GitHub Accounts to Steal Cloud and AI API Credentials (10 octobre 2026)
• GitGuardian — GhostAction campaign: 3,325 secrets stolen (5 septembre 2025)
• GitHub Docs — Understanding GitHub Actions
• GitHub Docs — About push protection

Un certificat TLS est le fichier qui permet à un navigateur de vérifier l’identité d’un site et de chiffrer la connexion : c’est lui qui se cache derrière le cadenas de la barre d’adresse. Let’s Encrypt est une autorité de certification gratuite, automatisée et ouverte, gérée par l’organisation à but non lucratif Internet Security Research Group (ISRG). Ses certificats s’obtiennent et se renouvellent sans intervention humaine grâce à un client ACME : un petit logiciel installé sur le serveur, comme Certbot, ou une fonction intégrée directement au serveur web, comme dans Caddy.

Ce qui change, et quand

Concrètement, tout certificat émis ou renouvelé à partir du 10 février 2027 aura une durée de validité de 64 jours. Le changement concerne le profil par défaut, baptisé « classic » ; les durées plus courtes déjà proposées sur demande, 45 jours ou 6 jours, restent disponibles pour ceux qui les choisissent. Let’s Encrypt précise qu’il ne révoquera aucun certificat valide pendant la transition : les certificats de 90 jours déjà en circulation iront simplement à leur terme. Les points d’accès ACME et les chaînes de certification restent identiques, et les limites d’émission ne sont pas modifiées.

Le dernier certificat de 90 jours délivré par Let’s Encrypt devrait expirer le 11 mai 2027.

Pour permettre les essais, l’environnement de test de Let’s Encrypt, dit « staging », passera aux certificats de 64 jours dès le 14 octobre 2026, et l’autorité recommande d’y tester sa configuration avant que le changement ne s’applique en production. Un second réglage, moins visible, évolue en même temps. Pour obtenir un certificat, il faut prouver que l’on contrôle le nom de domaine ; cette validation pouvait jusqu’ici être réutilisée pendant 30 jours. Ce délai tombera à 10 jours, puis à sept heures en 2028. Sauf client ACME conçu précisément pour s’appuyer sur cette réutilisation, aucune modification n’est nécessaire, assure Let’s Encrypt.

Ces 64 jours ne sont d’ailleurs qu’une étape. Dès le 2 décembre 2025, Let’s Encrypt avait annoncé que la durée de ses certificats serait divisée par deux d’ici 2028 : après l’étape des 64 jours, le profil par défaut doit passer à 45 jours, avec une réutilisation des validations limitée à sept heures. L’autorité ne fait pas cavalier seul : elle applique les exigences de base du CA/Browser Forum, l’instance qui fixe les règles des certificats utilisés sur le web. Le scrutin SC-081 de ce forum prévoit de ramener la durée maximale des certificats de 398 jours à 47 jours, par paliers étalés de mars 2026 à mars 2029.

Pourquoi raccourcir ? Let’s Encrypt avance un argument de sécurité : une durée plus courte réduit le risque lié à la compromission d’une clé privée et aux certificats émis par erreur. Plus la durée de validité est brève, moins longtemps un certificat compromis ou mal délivré reste exploitable. Le corollaire est assumé : le renouvellement manuel, que Let’s Encrypt déconseille déjà, devient intenable. Sur un serveur domestique ou dans une petite structure, renouveler un certificat à la main toutes les quelques semaines finira tôt ou tard par être oublié : avec des certificats de 64 jours, l’automatisation n’est plus un confort mais une condition de fonctionnement.

Ce qu’il faut vérifier sur son serveur

La bonne nouvelle, c’est que les clients ACME récents savent déjà s’adapter. Ils s’appuient sur ARI (ACME Renewal Information), un mécanisme par lequel l’autorité indique elle-même au client à quel moment renouveler : avec un client compatible, la transition ne demande en principe aucune intervention. Certbot prend en charge ARI depuis sa version 4.1.0 ; depuis la version 4.0.0, il renouvelle déjà un certificat lorsqu’il ne reste plus qu’un tiers de sa durée de vie, au lieu du seuil fixe de 30 jours avant expiration utilisé jusque-là. Caddy, serveur web qui obtient lui-même ses certificats, gère ARI depuis sa version 2.8.0. Encore faut-il savoir quelle version tourne réellement sur son serveur.

Le risque se loge surtout autour du client : dans les tâches planifiées (cron, sous Linux), les scripts maison et les procédures écrites à l’époque des 90 jours. Let’s Encrypt conseille de renouveler aux deux tiers environ de la durée de vie du certificat plutôt qu’à intervalle fixe, et propose une méthode simple : rechercher les valeurs codées en dur les plus courantes, 83, 80 ou 60, dans les tâches cron, les scripts qui enveloppent le client et les procédures d’exploitation. Une tâche qui ne relancerait le renouvellement que tous les 80 jours laisserait mécaniquement expirer un certificat valable 64 jours. L’environnement de test permet de vérifier tout cela sans attendre février.

Surveiller plutôt que subir

Reste à être prévenu quand un renouvellement échoue, et sur ce point Let’s Encrypt n’aide plus directement. L’autorité a cessé le 4 juin 2025 d’envoyer ses courriels d’alerte avant expiration, en expliquant que de plus en plus de ses utilisateurs avaient mis en place une automatisation fiable du renouvellement. Elle oriente désormais vers des services tiers, comme Red Sift Certificates Lite, gratuit jusqu’à 250 certificats, et recommande de se doter d’une surveillance capable d’alerter en temps utile. Pour un serveur auto-hébergé, un outil de supervision installé chez soi peut jouer ce rôle, à condition de vérifier qu’il contrôle bien la date d’expiration des certificats.

Sur le fond, nous jugeons la décision cohérente : elle s’inscrit dans un mouvement de tout le secteur, elle est annoncée plusieurs mois à l’avance, et Let’s Encrypt fournit à la fois un environnement de test et une méthode de vérification claire. Le revers est réel pour les petites installations : la marge d’erreur se réduit. Un serveur oublié dans un coin, une machine restaurée depuis une vieille sauvegarde avec son ancien script, un équipement incapable de renouveler seul ses certificats : chacun de ces cas se révélera plus vite qu’avant, et souvent au plus mauvais moment. Ce n’est pas une raison de renoncer à Let’s Encrypt, mais c’en est une de ne plus laisser ce rouage sans surveillance.

Pour une TPE, une association ou un particulier qui héberge ses propres services, la vérification tient en peu de temps : identifier le client ACME utilisé et sa version, chercher les intervalles codés en dur dans les tâches planifiées, puis mettre en place une alerte d’expiration. Mieux vaut le faire maintenant, au calme, que découvrir en février un site devenu inaccessible. Si vous ne savez pas par où commencer, l’accompagnement bénévole et gratuit d’Azure Informatique peut vous aider à faire ce tour d’horizon, dans la mesure de nos disponibilités.

Sources

• Let’s Encrypt — 64-Day Certificate Lifetimes Coming Feb 2027 (7 octobre 2026)
• Let’s Encrypt — Decreasing Certificate Lifetimes to 45 Days (2 décembre 2025)
• Let’s Encrypt — Ending Support for Expiration Notification Emails (22 janvier 2025)
• Let’s Encrypt — About Let’s Encrypt
• Linuxiac — Let’s Encrypt to Cut SSL Certificate Lifetimes to 64 Days in February 2027 (10 octobre 2026)
• Certbot — journal des modifications (CHANGELOG)
• Certbot — documentation, User Guide
• Caddy — notes de version v2.8.0 (GitHub)
• CA/Browser Forum — Ballot SC081v3: Introduce Schedule of Reducing Validity and Data Reuse Periods (11 avril 2025)

Que dit exactement cet article 16 ? Il demande aux administrations de veiller « à préserver la maîtrise, la pérennité et l’indépendance de leurs systèmes d’information ». Puis il précise : « Elles encouragent l’utilisation des logiciels libres et des formats ouverts », lors du développement, de l’achat ou de l’utilisation de ces systèmes. Un logiciel libre est un programme dont le code source peut être lu, modifié et redistribué par tous. Dès la promulgation, l’association April, qui promeut le logiciel libre, jugeait que cette disposition souffrait d’un manque flagrant de portée politique, et réclamait une réelle priorité au logiciel libre dans le secteur public.

La facture des éditeurs extra-européens

Le CNLL chiffre à 1,5 Md€ par an les achats de logiciels des administrations auprès de fournisseurs extra-européens. Il reconnaît lui-même la fragilité de cette estimation : elle repose sur des recensements que la commission d’enquête de l’Assemblée nationale, dont les conclusions ont été publiées en juillet, juge non exhaustifs. Selon les chiffres de cette commission repris par Next, les dépenses publiques qui pourraient être remplacées par des solutions libres atteignent au moins 185 millions d’euros pour l’État, et 1 milliard d’euros pour l’ensemble des administrations.

Le détail est parlant. Selon le CNLL, les achats de produits Microsoft passés par l’UGAP, la centrale d’achat public, ont grimpé de 233 M€ à 293 M€ entre 2024 et 2025. Or l’UGAP permet à l’administration qui commande de se dispenser de ses propres procédures de publicité et de mise en concurrence, et selon les ministères, la majorité de leurs achats de logiciels américains passent par cette voie. Le CNLL relève aussi des hausses allant de +7 % à +46 % des facturations de Microsoft, Oracle, VMware et Red Hat à l’État en 2025, et cite 152 M€ pour Microsoft à l’Éducation nationale la même année.

Pourquoi l’encouragement a échoué

Le dernier grand succès est antérieur au texte. Aucune migration de postes de travail vers un système libre n’a abouti depuis celle de la Gendarmerie, achevée en 2014, deux ans avant la loi : elle repose sur GendBuntu, une version d’Ubuntu adaptée par et pour la Gendarmerie nationale. Côté moyens, trois personnes au plus ont composé la Mission logiciels libres de l’État. Quant au premier texte d’application de l’article 16, il n’est arrivé qu’en mars 2026 : ce décret, publié le 18 mars, prévoit une validation préalable de la direction interministérielle du numérique (DINUM), mais seulement pour les grands projets informatiques.

Le CNLL donne des exemples où des règles plus fermes n’ont pas été appliquées. Le ministère de la Défense s’était donné en 2006 une directive selon laquelle, à coût global, risques et efficacité opérationnelle comparables, le logiciel libre devait être privilégié ; il a pourtant signé en 2009, sans appel d’offres, le contrat « open bar » avec Microsoft. L’Italie impose depuis 2012 une évaluation comparative qui place en premier la réutilisation et le logiciel libre, mais sa Cour des comptes constatait en 2020 que 16,7 % seulement des solutions en usage dans les collectivités relevaient de ces modalités prioritaires. Et en 2025, il a fallu une procédure engagée par le CNLL pour que l’École polytechnique suspende sa migration vers Microsoft 365.

Stéfane Fermigier, coprésident du CNLL : « Dix ans plus tard, l’encouragement n’a rien changé aux achats de l’État ».

De l’encouragement à la règle

La première proposition du CNLL change la logique : le logiciel libre serait retenu par défaut, sauf justification écrite soumise avant la décision au contrôle de la future autorité numérique de l’État. Cette autorité, ARIANE, doit succéder à la DINUM le 1er janvier 2027 et publierait chaque année la synthèse des dérogations accordées. Stéfane Fermigier, coprésident du CNLL, juge d’ailleurs « profondément troublant » que les annonces de création d’ARIANE « ne mentionnent ni l’article 16 ni le logiciel libre », et demande que cet oubli soit corrigé avant son lancement effectif.

Les autres mesures visent l’argent et la transparence. Le CNLL propose de découper les contrats de support afin qu’une part de la dépense revienne à ceux qui produisent le logiciel et financent son évolution. Il demande que, dès le budget 2027, chaque ministère publie chaque année ses dépendances logicielles, et rappelle que le Référentiel général d’interopérabilité (RGI), qui définit les formats ouverts de l’administration, n’a pas changé depuis 2015. Il souhaite enfin un fonds public pour entretenir les logiciels libres critiques, comme le fait l’Allemagne depuis 2022 avec sa Sovereign Tech Agency.

Le dernier volet se joue à Bruxelles. L’article 41 de la proposition de règlement européen sur le cloud et l’intelligence artificielle (Cloud and AI Development Act), rendue publique le 3 juin, reprend la même logique que la loi française : l’Union et les États membres y prennent les mesures nécessaires « pour encourager » les organismes du secteur public à utiliser des normes et composants ouverts. Le CNLL demande que la France plaide, au Conseil de l’Union européenne, pour que ce texte remplace « encourager » par « exiger, sauf justification écrite ».

Une objection juridique levée

Reste l’argument souvent opposé à toute priorité au libre : le droit de la commande publique l’interdirait. Le CNLL rappelle que la Thuringe applique depuis 2020 une priorité légale, conditionnée à la faisabilité technique et à l’efficacité économique. Les services de recherche du Bundestag ont conclu, dans un avis juridique du 5 mars 2026, qu’une restriction à l’open source est licite si elle est justifiée, proportionnée et écrite, en s’appuyant notamment sur l’arrêt de la Cour de justice de l’Union du 9 janvier 2025 (affaire C-578/23). La commission d’enquête de l’Assemblée propose elle-même « de renforcer l’article 16 de la loi pour une République numérique ».

Il faut garder la mesure. Le CNLL n’est pas un observateur neutre : il représente les entreprises du logiciel libre, réclamait déjà une priorité au logiciel libre en 2016, et plusieurs de ses chiffres reposent sur des recensements incomplets. Le décret de mars 2026 va d’ailleurs, selon Next, dans le sens de ce que réclame l’association, même si sa portée reste limitée. Mais son constat rejoint celui du Sénat (juillet 2025), de la Cour des comptes (octobre 2025) et de l’Assemblée nationale (juillet 2026). Ce qui manque n’est plus un diagnostic, c’est une décision politique et une autorité pour la faire respecter.

Pour une TPE, une PME ou un particulier, la leçon est la même qu’à l’échelle de l’État : une bonne intention ne suffit pas à sortir d’une dépendance. Tant que l’outil propriétaire reste le choix par défaut, il s’impose sans examen, et sa facture augmente sans que personne ne la compare à une solution libre. Se poser la question à chaque renouvellement d’abonnement ou de licence, c’est déjà appliquer à son échelle la règle que le CNLL réclame pour l’administration. C’est précisément ce que nous aidons à faire, dans le cadre de l’accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• CNLL — Dix ans de la loi République numérique : le CNLL demande de passer de l’encouragement à la priorité pour le logiciel libre (2 octobre 2026)
• Next — Dix ans après la loi République numérique, « encourager » le logiciel libre n’a pas suffi (7 octobre 2026)
• Légifrance — Article 16 de la loi n° 2016-1321 du 7 octobre 2016 pour une République numérique
• April — Promulgation de la loi « pour une République numérique » : logiciels libres, mobilisation de l’April
• Wikipédia — GendBuntu

Tanguy est aujourd’hui consultant en marketing opérationnel. Diplômé d’un DUT MMI (Métiers du multimédia et de l’Internet), puis de deux licences professionnelles, en webdesign et en communication, il fait partie de ces profils compétents et dynamiques qui restent curieux de tout et attentifs aux tendances du numérique. Smecla est un projet personnel, mené en parallèle d’un emploi salarié, d’une activité indépendante et d’une vie de famille. Après une première vidéo consacrée à la stratégie de Spotify autour de l’IA, mise en ligne le 10 septembre 2026, celle-ci est sa deuxième, et il vise désormais une sortie toutes les trois semaines.

Une enquête plutôt qu’un avis

Le point de départ est un adage que tout le monde connaît : « Quand c’est gratuit, c’est toi le produit. » Tanguy pose à ChatGPT une question banale, de celles que chacun pourrait taper un jour, et une publicité apparaît sous la réponse. Rien d’une mise en scène : OpenAI a annoncé ses publicités en janvier 2026, les a lancées aux États-Unis le 9 février, puis les a étendues le 24 août 2026 à 31 marchés européens, dont la France, pour les utilisateurs de la version gratuite et de la formule Go, la moins chère des offres payantes.

La facilité aurait été de conclure qu’OpenAI revend ce que nous lui écrivons. Tanguy fait l’inverse : il vérifie. L’entreprise affirme que les annonceurs n’ont accès ni aux conversations, ni à l’historique, ni à la mémoire, et qu’ils ne reçoivent que des statistiques globales ; elle assure aussi qu’aucun annonceur ne peut payer pour influencer les réponses. Tanguy explique avoir cherché à prendre ces promesses en défaut, sans y parvenir. Si personne n’achète nos conversations, la vraie question devient : qu’est-ce qui est vendu, exactement ? C’est tout le fil de la vidéo, et nous nous garderons bien d’en dévoiler la réponse.

Neuf minutes, un vrai récit

La vidéo, découpée en neuf chapitres, se déroule comme un récit. Elle part d’une déclaration de Sam Altman, le patron d’OpenAI, qui qualifiait en mai 2024, à Harvard, la publicité de « dernier recours » et disait trouver le mélange de la publicité et de l’IA particulièrement troublant. Elle passe ensuite par le problème d’argent qui pèse sur l’entreprise, puis par une première piste de financement, l’achat sans quitter la conversation : lancé fin septembre 2025, ce paiement intégré a été revu dès mars 2026, faute d’avoir convaincu. Elle détaille enfin la façon dont une publicité est choisie, et c’est là que l’enquête devient vraiment instructive.

Ce qui frappe, c’est la rigueur. Les 21 sources de la vidéo sont listées et datées dans sa description, des documents d’OpenAI aux articles de Reuters, de CNBC ou de franceinfo. Tanguy distingue ce qu’il sait de ce qu’il suppose, et il écarte lui-même un raccourci tentant : la publicité n’est pas née de l’échec de l’achat intégré, elle était préparée avant. Il ne cède pas non plus au réflexe de tout condamner : il reconnaît que la publicité finance l’accès de ceux qui ne pourraient pas payer un abonnement, qu’elle est séparée de la réponse et clairement signalée. C’est cette honnêteté qui rend la suite crédible.

Smecla résume sa démarche en une phrase : « Je passe des semaines sur des détails, pour que toi, tu n’en rates aucun. »

Côté forme, la narration est posée, les phrases courtes et le montage soigné, avec une bonne part de motion design réalisée à la main. Les habitués de YouTube reconnaîtront une petite inspiration : sans en faire trop, on pense à Léo Duff, vidéaste connu pour son regard critique sur la tech et son sens du récit. La comparaison s’arrête là, car Smecla a déjà sa propre identité, faite d’analogies du quotidien qui rendent concret un mécanisme abstrait. Pour une deuxième vidéo, le résultat est remarquable.

Ce que nous en retenons

Le sujet rejoint ce que nous défendons depuis le début : savoir où vont ses données et ce que l’on confie à un service. La vidéo montre que la question n’est plus seulement de savoir si quelqu’un revend nos mots, mais ce qu’un assistant comprend de nous pour nous répondre, et ce qu’il en garde. Tanguy élargit d’ailleurs le propos aux concurrents : Claude, chez Anthropic, et Gemini, chez Google, n’affichent pas de publicité aujourd’hui, et Anthropic s’est même engagée publiquement, en février 2026, à ce que Claude reste sans publicité. Mais, rappelle-t-il, un engagement public peut toujours être revu.

Pour celles et ceux qui préfèrent garder leurs échanges chez eux, il existe des solutions libres qui font tourner un modèle d’IA sur son propre matériel ; nous les avons présentées dans notre article Faire tourner son IA chez soi. Ce n’est pas une réponse à tout, mais c’est une façon de reprendre la main sur ce que l’on confie à une machine.

Et qui sait : une ou deux vidéos consacrées aux logiciels libres, réalisées avec Tanguy, feraient une belle suite à cette histoire commencée dans un service informatique universitaire. En attendant, regardez la vidéo jusqu’au bout et abonnez-vous à Smecla si elle vous plaît : une jeune chaîne vit de ses premiers abonnés. Vous trouverez ci-dessous les réponses de Tanguy à nos trois questions sur l’IA, son métier et la création de contenu.

Sources

• Smecla (Tanguy Smykla) — « Ce que ChatGPT gratuit vous coûte vraiment », YouTube (8 octobre 2026)
• Smecla — « La stratégie de Spotify pour vous vendre de l’IA », YouTube (10 septembre 2026)
• OpenAI — Our approach to advertising and expanding access (16 janvier 2026)
• MacRumors — ChatGPT Now Has Ads for Free and Go Tier Users (9 février 2026)
• franceinfo — La pub arrive sur ChatGPT : trois questions pour comprendre ce qui change (24 août 2026)
• Digiday — From hatred to hiring: OpenAI’s advertising change of heart (propos de Sam Altman à Harvard, mai 2024)
• Stripe — Paiement instantané dans ChatGPT et protocole de commerce agentique (29 septembre 2025)
• CNBC — OpenAI revamps shopping experience in ChatGPT after Instant Checkout (24 mars 2026)
• MacRumors — Anthropic Promises Claude Will Remain Ad-Free (4 février 2026)
• Blog du Modérateur — 10 chaînes YouTube à suivre pour les pros du digital (Léo Duff)

Ce deuxième rapport est signé par deux spécialistes reconnus des interfaces trompeuses (les « dark patterns » en anglais), Harry Brignull et Cennydd Bowles. Une interface trompeuse, c’est un écran conçu pour orienter l’utilisateur vers le choix qui arrange l’éditeur : formulation ambiguë, option précochée, relances insistantes. Les chercheurs ont comparé l’expérience de Windows dans quatre régions : les États-Unis, le Royaume-Uni, l’Inde et l’Allemagne, retenue comme pays représentatif de l’Espace économique européen (EEE).

Leur conclusion générale ne laisse guère de place au doute : selon eux, Microsoft ne permet toujours pas de télécharger et d’installer un autre navigateur, de le définir par défaut ou de continuer à l’utiliser comme tel sans interférence nuisible, et ces pratiques interviennent à presque chaque étape du parcours. Le rapport le résume d’une phrase : « These conclusions hold across every region tested. » Autrement dit, ces conclusions valent dans toutes les régions étudiées. L’enjeu est considérable : avec la fin du support de Windows 10 en octobre 2025, plus d’un milliard de personnes utilisent désormais un PC sous Windows 11, selon le rapport.

Hors d’Europe, la panoplie complète

Mozilla détaille ce que vivent encore aujourd’hui les utilisateurs hors de l’EEE. Sous Windows 10, le message « Vous avez presque terminé la configuration de votre PC » joue sur une formulation trompeuse pour les détourner du navigateur qu’ils avaient choisi par défaut. Windows Search, la recherche intégrée au système, et les Widgets ouvrent les liens dans Edge plutôt que dans le navigateur par défaut. Et même après le choix d’un autre navigateur, Windows continue d’ouvrir certains formats de fichiers courants, comme les PDF et les images SVG, avec Edge.

Le moteur de recherche Bing ajoute sa propre pression. D’après le site britannique The Register, qui a analysé le rapport, un bandeau « All you need is right here », qui invite en substance à tout trouver sur place, s’affiche dans Bing lorsqu’on cherche à télécharger un autre navigateur, au Royaume-Uni, aux États-Unis et en Inde, mais pas dans l’EEE. Le rapport précise que les utilisateurs des États-Unis et de l’Inde, et dans une moindre mesure ceux du Royaume-Uni, restent exposés à l’éventail le plus large de ces tactiques. Sa formule est cinglante : « Where compliance ends at the border, so does respect for user choice. »

Selon Mozilla, « Microsoft ne respecte le choix de ses utilisatrices et utilisateurs que lorsqu’elle y est contrainte. »

En Europe, une protection incomplète

Dans l’EEE, la situation est nettement meilleure, et ce n’est pas un hasard. Selon Mozilla, une meilleure version de Windows existe déjà, mais seulement là « où le règlement sur les marchés numériques (DMA) a contraint Microsoft à changer ses pratiques ». D’après The Register, le bandeau de Bing n’y apparaît pas, et Windows Search n’y utilise plus automatiquement Edge à la place du navigateur par défaut. Le site britannique note aussi qu’aucun bandeau vantant Edge n’y est injecté sur la page de téléchargement de Chrome.

L’Europe n’est pourtant pas épargnée. Edge y reste épinglé par défaut à la barre des tâches, ce qui semble aller directement, selon Mozilla, à l’encontre des « principes en matière d’épinglage et d’applications par défaut » publiés par Microsoft elle-même. En 2023, l’éditeur s’engageait en effet sur son blog officiel : « We will ensure people who use Windows are in control of changes to their pins and their defaults. » Le même texte promettait que les applications de Microsoft utiliseraient les mêmes méthodes que celles des autres éditeurs pour s’épingler ou devenir l’application par défaut.

Plus préoccupant encore, l’intelligence artificielle offre un nouveau moyen de contourner ce choix. Copilot, l’assistant d’IA de Microsoft, ouvre les liens web dans un panneau latéral plutôt que dans le navigateur choisi, y compris en Europe. Le rapport le constate sans détour : l’assistant passe outre le navigateur par défaut de l’utilisateur et affiche les liens dans Edge. Aux États-Unis et en Inde, les réglages de partage de données de Copilot sont en outre activés par défaut, selon The Register. Autrement dit, chaque nouvelle fonction ajoutée à Windows peut rouvrir une porte que la réglementation avait fermée.

Le dernier piège concerne la migration. Windows Backup, l’outil que Microsoft met en avant pour accompagner le passage à Windows 11, tente de définir Edge comme navigateur par défaut lors de la restauration d’un PC, sans en avertir l’utilisateur, tandis que le navigateur choisi auparavant n’est pas correctement restauré. Les chercheurs l’ont constaté en restaurant sur un nouvel appareil sous Windows 11 la sauvegarde d’un PC sous Windows 10 : Edge y est devenu, sans bruit, le navigateur par défaut. Mozilla range ce problème parmi ceux qui touchent aussi les utilisateurs européens.

Un rapport juge et partie

Faut-il prendre ce rapport pour argent comptant ? Mozilla, qui édite Firefox, est évidemment juge et partie. Elle souligne toutefois que les chercheurs ont rendu publics les éléments sur lesquels s’appuie le rapport, afin que chacun puisse les analyser. Mozilla indique aussi s’être entretenue avec Microsoft à propos des problèmes soulevés. De son côté, Microsoft n’a pas répondu aux sollicitations de The Register, et les pratiques décrites hors de l’EEE sont, selon Mozilla, toujours en place cent jours plus tard.

Demandes de Mozilla et bons réflexes

Mozilla réclame trois changements : mettre fin aux pratiques qui entravent encore la liberté de choix dans l’EEE et appliquer partout dans le monde le même niveau d’exigence ; respecter le choix du navigateur dans Windows Search, les Widgets, Copilot et lors d’une restauration avec Windows Backup ; enfin, appliquer à Edge les principes d’épinglage définis par Microsoft en 2023. L’éditeur présente ses conclusions aux autorités de régulation et aux responsables politiques, et dit espérer que celles des États-Unis, du Royaume-Uni, de l’Inde et du Brésil en prendront bonne note. Le site Clubic, qui a relayé ce bilan, le résume ainsi : la fondation « porte désormais ses conclusions devant les régulateurs ».

En attendant, le réflexe à adopter sous Windows est simple : après une installation, une grosse mise à jour ou une migration avec Windows Backup, vérifiez dans les paramètres des applications par défaut que votre navigateur est toujours celui que vous avez choisi. La documentation de Microsoft le rappelle : « Les utilisateurs peuvent affecter des applications par type de fichier, protocole ou application ». Pensez aussi aux formats de fichiers : la même page invite à sélectionner une application « pour voir quels types de fichiers ou types de liens elle peut ouvrir », ce qui permet de confier les PDF à la visionneuse de votre choix.

Pour une TPE, une association ou un particulier, ces détours ne sont pas anodins : le navigateur est la porte d’entrée de la messagerie, des logiciels en ligne et des mots de passe enregistrés, et le choisir doit rester une décision consciente. Ce rapport rappelle aussi que la protection dont nous bénéficions en Europe tient à une règle, pas à la bonne volonté d’un éditeur. Si vous voulez reprendre la main sur vos réglages Windows, ou étudier une bascule vers Linux pour ne plus dépendre de ces arbitrages, nous pouvons vous aider dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• Mozilla — Over The Edge 2.0 : 100 jours plus tard (7 octobre 2026)
• Clubic — Face aux pratiques de Microsoft, Mozilla se tourne maintenant vers les régulateurs (8 octobre 2026)
• Mozilla Research — Over the Edge 2.0 : rapport de Harry Brignull et Cennydd Bowles
• The Register — Dark patterns in Windows are steering users to Edge: Mozilla-commissioned report (15 juillet 2026)
• Microsoft, Windows Experience Blog — A principled approach to app pinning and app defaults in Windows (17 mars 2023)
• Microsoft Support — Modifier les applications par défaut dans Windows

SPIP sert à publier et à faire vivre un site Internet. Son site officiel le présente sans détour : « C’est un logiciel libre, distribué sous la licence GNU/GPL. » Il revendique un usage très large, puisqu’il peut servir pour tout site, « qu’il soit associatif ou institutionnel, personnel ou marchand », et précise qu’il est « actuellement utilisé sur des dizaines de milliers de sites très divers ». Cette diffusion a un revers : chaque faille touche potentiellement un grand nombre de sites, dont certains sont tenus par des bénévoles qui n’ont ni le temps ni les compétences pour suivre l’actualité de la sécurité au jour le jour.

Un été sous tension

Le premier coup de semonce date du 17 août 2026. Ce jour-là, la version 4.4.20 corrigeait une faille signalée anonymement via l’ANSSI, l’agence nationale chargée de la cybersécurité. Le blog officiel la décrivait comme une « vulnérabilité universelle (sans conditions) pré-authentification RCE ». Traduit en langage courant : une faille d’exécution de code à distance (en anglais RCE), qui permet à un attaquant de faire exécuter ses propres instructions par le serveur, sans avoir besoin du moindre compte sur le site et sans condition particulière de configuration.

Des tentatives d’exploitation de la faille avaient déjà été constatées dans la nature, prévenait l’équipe de SPIP le 17 août 2026.

Le 20 août 2026, la version 4.4.21 corrigeait une nouvelle faille du même type, qui touchait cette fois la version 4.4.20 elle-même et avait elle aussi été signalée anonymement via l’ANSSI. Le CERT-FR, le centre gouvernemental de veille et d’alerte sur les menaces informatiques, a repris cette alerte dans un avis dont le résumé ne laisse aucune place au doute : « Elle permet à un attaquant de provoquer une exécution de code arbitraire à distance. » Le même avis précise que l’éditeur la signale comme activement exploitée. Autrement dit, il ne s’agissait plus d’un risque théorique : des sites restés sur une version ancienne pouvaient être visés par des attaques réelles, alors même que le correctif était disponible.

Le répit a été de courte durée. Le 1er septembre 2026, la version 4.4.22 corrigeait « deux RCE préauthentification et une faille mineure favorisant les tentatives de phishing » : deux nouvelles failles d’exécution de code à distance, plus une troisième qui facilitait l’hameçonnage, c’est-à-dire les faux messages destinés à piéger les visiteurs. Dès le lendemain, le 2 septembre 2026, la version 4.4.23 bouchait une « faille de type élévation de privilèges permettant d’accéder à une RCE » : un utilisateur doté de droits limités pouvait s’en attribuer davantage, jusqu’à faire exécuter du code sur le serveur. Pour cette dernière, le blog remercie l’ANSSI et un contributeur, 0xkidz.

Octobre : le cœur et deux greffons

La version 4.4.27, publiée le 6 octobre 2026, est d’une autre ampleur. Selon l’annonce officielle, elle « corrige de nombreuses failles de type pré-authentification RCE, élévation de privilèges, XSS, injection SQLite ». Le XSS consiste à glisser un script malveillant dans les pages consultées par les visiteurs ; une injection SQLite permet de manipuler la base de données du site. Et, comme lors des alertes de l’été, l’équipe prévient : « Ces failles ne sont pas prises en charge par l’écran de sécurité. » Le dispositif baptisé écran de sécurité ne suffit donc pas : seule la mise à jour corrige le problème.

Le même jour, deux greffons, ces extensions que l’on ajoute à SPIP pour lui donner de nouvelles fonctions, recevaient leurs propres correctifs. Crayons, qui sert à modifier les contenus directement depuis les pages publiques du site, passe en version 3.5.0 pour corriger « plusieurs failles de sécurité critiques ». Simple logs, aussi appelé Simplog, passe en version 2.3.0 pour corriger « une faille de sécurité critique ». L’équipe de maintenance est catégorique : « Il est impératif de les mettre à jour immédiatement, en complément de la mise à jour de SPIP en version 4.4.27 ».

Le CERT-FR a publié son propre avis dans la foulée. Son résumé est explicite : « De multiples vulnérabilités ont été découvertes dans SPIP. » Il ajoute : « Certaines d’entre elles permettent à un attaquant de provoquer une exécution de code arbitraire à distance ». Parmi les systèmes affectés, l’avis range, en plus du cœur de SPIP, les greffons Crayons et Simple logs dans leurs versions antérieures aux correctifs. Pour un administrateur de site, la leçon est double : mettre à jour SPIP ne suffit pas, il faut aussi passer en revue chacun des greffons installés.

Ce qui rassure, ce qui inquiète

Il faut le dire nettement : cette série d’alertes montre aussi un projet qui réagit. L’équipe de maintenance publie des annonces claires, nomme les types de failles corrigées et remercie ceux qui les signalent, ANSSI comprise. Les versions correctives se succèdent parfois d’un jour sur l’autre, et l’outil de mise à jour spip_loader suit le mouvement : l’annonce de la 4.4.27 indique que l’on peut « mettre à jour au moyen de la dernière version de spip_loader (version 8.0.5) ». Un logiciel libre dont les failles sont trouvées, publiées et corrigées rapidement reste préférable à un logiciel dont on ne sait rien.

Le revers, c’est le rythme imposé aux personnes qui gèrent ces sites. Entre le 17 août et le 6 octobre 2026, il fallait avoir appliqué plusieurs mises à jour critiques successives, sans pouvoir compter sur l’écran de sécurité pour les failles concernées. Un site associatif mis à jour une fois par an, ou installé par un prestataire qui n’intervient plus depuis longtemps, risque fort d’être resté sur une version vulnérable. Et l’avertissement de l’été rappelle que des tentatives d’exploitation ont bien eu lieu : un site oublié n’est pas seulement en retard, il peut devenir une cible.

Que faire dès maintenant

Concrètement, si votre site tourne sous SPIP, commencez par vérifier la version installée : tout ce qui est antérieur à la 4.4.27 doit être mis à jour. Faites une sauvegarde complète des fichiers et de la base de données avant toute intervention, puis appliquez la mise à jour, par exemple avec spip_loader. Passez ensuite en revue la liste des greffons : Crayons doit être au moins en version 3.5.0 et Simple logs en version 2.3.0. Enfin, si le site est resté longtemps sans mise à jour, examinez les comptes d’administration et les fichiers récemment modifiés : une faille corrigée aujourd’hui ne répare pas une intrusion passée. L’annonce de la version 4.4.22 indique d’ailleurs que, si l’hébergeur signale du code malveillant dans le dossier de cache, on peut vider le cache du site.

Si votre association, votre entreprise ou votre commune dispose d’un site sous SPIP, ces alertes vous concernent directement. Le choix du logiciel libre reste le bon : le code est ouvert, les failles sont documentées et les correctifs gratuits. Mais il n’exonère pas d’un entretien régulier, surtout pour un site installé il y a des années et rarement revu depuis. Si vous ne savez pas sur quelle version tourne votre site, ni quels greffons y sont installés, nous pouvons vous aider à faire le point dans le cadre de l’accompagnement bénévole et gratuit d’Azure Informatique, dans la mesure de nos disponibilités.

Sources

• SPIP — Mise à jour critique de sécurité : sortie de SPIP 4.4.27 (6 octobre 2026)
• SPIP — Mises à jour de sécurité critique : plugins Crayons et Simplog (6 octobre 2026)
• SPIP — Mise à jour critique de sécurité : sortie de SPIP 4.4.20 (17 août 2026)
• SPIP — Mise à jour critique de sécurité : sortie de SPIP 4.4.21 (20 août 2026)
• SPIP — Mise à jour critique de sécurité : sortie de SPIP 4.4.22 (1er septembre 2026)
• SPIP — Mise à jour critique de sécurité : sortie de SPIP 4.4.23 (2 septembre 2026)
• CERT-FR — Multiples vulnérabilités dans SPIP, CERTFR-2026-AVI-1279 (7 octobre 2026)
• CERT-FR — Vulnérabilité dans SPIP, CERTFR-2026-AVI-1063 (21 août 2026)
• SPIP — Présentation officielle du logiciel
• SPIP Plugins — Fiche du greffon Crayons

Le défaut se loge dans le traitement des notifications SNMP. SNMP est un protocole de supervision : il permet à un serveur de signaler son état à un outil de surveillance. Selon Microsoft, il s’agit d’une injection de commandes système exploitable sans authentification : une requête SMTP (le protocole d’envoi du courrier électronique) truffée de caractères spéciaux parvient jusqu’au traitement des notifications SNMP de Zimbra, qui finit par l’exécuter. Tous les serveurs ne sont toutefois pas exposés : l’exploitation suppose que le paquet optionnel zimbra-snmp soit installé et que les notifications SNMP soient activées. Citant Microsoft, Next la qualifie de critique, avec un score CVSS (l’échelle de gravité de référence) de 8,9.

Zimbra a publié la version 10.1.20 le 20 juillet 2026. Ses notes de version mentionnent sobrement la correction d’une injection de commandes dans le composant de supervision SNMP, quand les notifications sont activées. Selon The Hacker News, cette mise à jour corrige neuf vulnérabilités au total, et l’éditeur s’est refusé à en dire plus, au motif que « in line with industry best practices, information disclosure is limited for security vulnerability fixes ». Or Microsoft a observé, entre le 28 juillet et le 7 août, deux outils de balayage distincts qui sondaient précisément le point d’injection vulnérable : après la sortie du correctif, mais avant la divulgation publique de la faille, le 13 août.

274 serveurs compromis

Le 17 août 2026, le CERT polonais a signalé l’exploitation de la faille et publié une liste d’entrées de journaux et de fichiers créés trahissant une compromission. Shadowserver, une fondation à but non lucratif qui balaie chaque jour l’essentiel de l’espace d’adresses IPv4 d’Internet, a ensuite compté les dégâts : 155 instances compromises le 20 août 2026, puis 274 instances compromises 48 heures plus tard, selon IT-Connect. Sa carte faisait aussi apparaître 21 serveurs de messagerie Zimbra compromis en France. Aux États-Unis, l’agence de cybersécurité CISA a ajouté la faille à son catalogue des vulnérabilités connues pour être exploitées.

En France, le CERT-FR avait publié dès le 19 août 2026 un avis consacré aux vulnérabilités corrigées par cette version, qui vise les versions de Zimbra Collaboration antérieures à 10.1.20. Il y liste notamment des risques d’exécution de code arbitraire à distance, de contournement de la politique de sécurité et de falsification de requêtes côté serveur. Sa recommandation tient en une ligne : se référer au bulletin de sécurité de l’éditeur pour obtenir les correctifs. Le message était donc clair depuis le mois d’août. Ce que l’analyse publiée par Microsoft fin septembre apporte de nouveau, c’est la profondeur à laquelle les attaquants s’installent une fois entrés.

Ce que cherchent les intrus

Une fois le serveur atteint, les attaquants y déposent des webshells JSP, c’est-à-dire de petites pages web piégées, placées dans des répertoires accessibles publiquement, qui leur permettent de reprendre la main à distance. Microsoft décrit ensuite une élévation de privilèges : en détournant des outils d’assistance légitimes de Zimbra, autorisés à utiliser sudo, ils obtiennent pour le compte zimbra un accès sudo sans mot de passe, c’est-à-dire les pleins pouvoirs sur la machine. Ils interrogent enfin l’annuaire LDAP du serveur pour en extraire des attributs sensibles, dont zimbraPreAuthKey et zimbraAuthTokenKey. Cette dernière clé sert à signer les jetons de session : selon Microsoft, y accéder permet de générer une session pour n’importe quel compte, sans en connaître les identifiants.

La mise à jour seule ne suffit donc pas. Microsoft recommande d’abord d’installer la version 10.1.20 ou ultérieure sur toutes les instances, puis de renouveler toutes les valeurs zimbraPreAuthKey des domaines et d’examiner les unités systemd, c’est-à-dire les services lancés automatiquement par le système, à la recherche de changements inattendus de propriétaire, d’activation ou de date. Next détaille les autres vérifications à mener : renouveler aussi les clés zimbraAuthTokenKey, inspecter les dossiers /etc/sudoers.d/ et /etc/pam.d/, et rechercher des fichiers JSP inattendus sur la totalité des nœuds, c’est-à-dire sur chacune des machines de l’installation. Un correctif appliqué en septembre ne referme pas une porte ouverte en août.

Une édition libre sans paquets officiels

Cette affaire met aussi en lumière la situation particulière de l’édition libre de Zimbra, édité aujourd’hui par Synacor. Le code source de l’édition dite « FOSS » reste publié, mais, comme le résume Wikipédia, si la plupart des composants restent libres pour les versions récentes, l’éditeur ne publie plus de paquets binaires officiels gratuits, prêts à installer. Concrètement, celui qui veut utiliser l’édition libre doit compiler lui-même le logiciel à partir des sources, ou s’en remettre à un tiers qui le fait pour lui. Or c’est justement à ce moment qu’une faille exploitée rend chaque jour de retard coûteux.

C’est ce que propose par exemple le site techfiles.online, dont l’auteur publie des paquets de l’édition libre produits par son propre script de compilation. Le site est honnête sur ses limites : les paquets sont fournis en l’état, sans responsabilité de l’auteur, et sont normalement mis à jour une fois par trimestre. Surtout, la compilation dépend de ce que Zimbra publie dans ses dépôts : si un correctif n’y figure pas, il ne figurera pas non plus dans ces paquets. Face à une faille exploitée en quelques semaines, l’utilisateur de l’édition libre dépend donc du rythme d’un tiers pour recevoir un correctif de sécurité, sans aucun engagement de délai.

Il serait injuste d’en conclure que Zimbra est à fuir. La faille ne touche que les serveurs où le paquet optionnel de supervision SNMP est installé et ses notifications activées, et l’éditeur a publié son correctif avant toute divulgation publique. Pour qui ne peut pas mettre à jour immédiatement, Microsoft propose une parade : désinstaller le paquet zimbra-snmp, désactiver les notifications SNMP et restreindre les accès SNMP et SMTP aux seuls hôtes de confiance.

Un serveur de messagerie exposé sur Internet est une cible permanente, et le délai entre la sortie d’un correctif et son installation est précisément la fenêtre que guettent les attaquants.

Pour une TPE, une PME, une association ou un particulier qui héberge sa propre messagerie, le réflexe est simple : vérifier la version installée, appliquer les mises à jour de sécurité dès leur sortie et suivre les avis du CERT-FR. Si la messagerie est confiée à un hébergeur, il est légitime de lui demander s’il utilise Zimbra, et dans quelle version. Enfin, choisir un logiciel libre impose de regarder au-delà du code source : qui publie les paquets, à quel rythme, et qui corrige en cas d’urgence. Ce sont précisément les questions que nous aidons à se poser dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• Microsoft Threat Intelligence — Unauthenticated command injection on internet-facing mail servers: tracking CVE-2026-73570 (30 septembre 2026)
• Zimbra — Notes de version de Zimbra 10.1.20 (20 juillet 2026)
• CERT-FR — Avis CERTFR-2026-AVI-1041 : Multiples vulnérabilités dans Synacor Zimbra Collaboration (19 août 2026)
• Help Net Security — Unpatched Zimbra servers are falling to CVE-2026-73570 attacks (25 août 2026)
• IT-Connect — Zimbra CVE-2026-73570 : des serveurs compromis
• Next — Les serveurs e-mail Zimbra visés par l’exploitation très active d’une faille critique (1er octobre 2026)
• The Hacker News — Zimbra patches critical SNMP command injection flaw
• Wikipédia (en) — Zimbra
• techfiles.online — Zimbra OSE/FOSS Builds

Le scénario ne repose sur aucune fonction exotique. Un tableur Calc peut relier une plage de cellules à une source de données extérieure, et ce lien est enregistré dans le document. Or ce lien peut désigner un pilote de base de données Java, c’est-à-dire un petit programme chargé de dialoguer avec une base de données, à télécharger depuis un emplacement distant. Résultat, selon l’avis de sécurité de LibreOffice : ouvrir le document peut suffire à exécuter du code Java venu de cet emplacement. Chacune de ces fonctions est normale ; c’est leur enchaînement qui aboutit à l’exécution de code sans jamais demander à l’utilisateur s’il fait confiance au document, comme le logiciel le fait avant de lancer une macro.

Il y a toutefois une condition : l’attaque ne fonctionne que si la prise en charge de Java est activée dans le logiciel. Selon The Hacker News, la faille n’a pour l’instant été démontrée que sous forme de preuve de concept, c’est-à-dire une démonstration technique destinée à prouver qu’elle est exploitable, et aucune utilisation dans de véritables attaques n’a été signalée. Ce n’est pas une raison pour attendre : le mécanisme est désormais décrit publiquement, et une feuille de calcul jointe à un courriel n’éveille guère la méfiance.

LibreOffice a déjà corrigé

Côté LibreOffice, la faille porte la référence CVE-2026-63277 (une CVE est un identifiant public attribué à une vulnérabilité connue). L’avis de sécurité du projet indique qu’elle est corrigée dans les versions 26.2.5 et 26.8.0 ; les versions antérieures sont touchées. Le principe de la correction est simple : dans les versions corrigées, chaque entrée du chemin de classes Java, la liste des emplacements où le logiciel va chercher du code Java, doit obligatoirement être une adresse de type « file ». Le correctif a été écrit par Caolán McNamara, de la société Collabora Productivity.

La faille a été découverte de façon indépendante par deux équipes : Rick de Jager, de l’équipe de sécurité V12, d’une part, Thomas Rinsma et Edoardo Geraci, de Codean Labs, d’autre part. Les deux projets les remercient dans leurs avis respectifs, ce qui n’a rien d’étonnant : Apache OpenOffice a pris la suite d’OpenOffice.org, dont LibreOffice est lui-même issu. Pour les utilisateurs de LibreOffice, la consigne est donc claire : vérifier le numéro de la version installée et, s’il est inférieur à 26.2.5, mettre à jour sans attendre.

OpenOffice : un simple contournement

Pour Apache OpenOffice, la même faille porte une autre référence, CVE-2026-59265, et le bulletin du projet est sans détour : toutes les versions 4.1.16 et antérieures sont touchées. La page de sécurité du projet résume le risque en une ligne, « Opening a malicious document can lead to system takeover », autrement dit, ouvrir un document malveillant peut mener à la prise de contrôle du système. L’avis du CERT-FR renvoie au bulletin de l’éditeur « pour l’obtention des correctifs » ; dans les faits, ce bulletin n’en propose pas encore. Le correctif est attendu dans la version 4.1.17, toujours en phase de test.

Une même feuille de calcul piégée, deux suites bureautiques : LibreOffice est corrigé, Apache OpenOffice attend toujours sa version 4.1.17.

En attendant, le projet recommande de désactiver l’intégration de Java : dans le menu Tools, puis Options, rubrique OpenOffice puis Java, il faut décocher la case « Use a Java runtime environment » (son intitulé dans la version anglaise). Selon le bulletin, cette manipulation empêche l’attaque. Si elle n’est pas possible, ou par précaution supplémentaire, le projet conseille de ne pas ouvrir du tout de fichiers dont on n’est pas sûr. La parade est efficace, mais elle repose sur l’utilisateur : encore faut-il qu’il ait entendu parler de la faille et qu’il pense à modifier ce réglage sur chaque ordinateur.

Un projet au ralenti

Ce décalage n’est pas un accident isolé. En septembre 2010, la majorité des développeurs extérieurs d’OpenOffice.org ont quitté le projet pour fonder The Document Foundation, qui a publié LibreOffice en janvier 2011. Apache OpenOffice, lui, vit depuis sur une même branche : la version 4.1 est sortie le 29 avril 2014, et la plus récente, la 4.1.16, date du 10 novembre 2025. Dès septembre 2016, le président du comité de gestion du projet, Dennis Hamilton, avait ouvert une discussion sur un possible arrêt du projet.

Il serait injuste de dire qu’OpenOffice ne fait rien : son équipe de sécurité a publié un bulletin, remercié les chercheurs et indiqué une parade efficace. Mais le contraste est parlant. Face à la même faille, signalée par les mêmes chercheurs, les utilisateurs de LibreOffice disposent d’une version corrigée, ceux d’OpenOffice d’une case à décocher. Pour qui utilise encore OpenOffice par habitude, parfois parce qu’il est installé sur l’ordinateur depuis des années, cette faille est une bonne occasion de passer à LibreOffice, une suite bureautique libre et gratuite elle aussi.

Pour une TPE, une PME ou un particulier, trois gestes s’imposent : vérifier la version de la suite bureautique sur chaque poste, y compris le vieil ordinateur partagé où traîne une ancienne installation d’OpenOffice ; désactiver Java si l’on n’en a pas l’usage ; se méfier des feuilles de calcul reçues sans les avoir demandées. Si vous hésitez à franchir le pas vers LibreOffice ou si vous voulez faire le point sur les logiciels installés dans votre structure, nous pouvons vous aider dans le cadre de notre accompagnement bénévole et gratuit, dans la mesure de nos disponibilités.

Sources

• CERT-FR — Avis CERTFR-2026-AVI-1260 : Multiples vulnérabilités dans OpenOffice (5 octobre 2026)
• Apache OpenOffice — Bulletin CVE-2026-59265 (3 octobre 2026)
• Apache OpenOffice — Security Bulletin
• LibreOffice — Avis de sécurité CVE-2026-63277 (5 octobre 2026)
• The Hacker News — LibreOffice and OpenOffice Flaws Let Malicious Spreadsheets Run Code Without Macro Warnings (6 octobre 2026)
• SecurityOnline — Unpatched Apache OpenOffice Vulnerability Leads New Apache Advisories (3 octobre 2026)
• Wikipedia — Apache OpenOffice
• Linuxiac — LibreOffice 26.8 Released with New Paragraph Composer, Variable Font Support (26 août 2026)

Concrètement, Cloudflare a déposé sa candidature auprès des programmes de racines de Chrome, d’Apple, de Microsoft et de Mozilla. Ce sont eux qui décident quelles autorités les navigateurs et les systèmes reconnaissent d’office. En parallèle, l’entreprise a signé un accord définitif pour racheter à GlobalSign une racine déjà largement reconnue, présente depuis 2012 dans les navigateurs, les systèmes d’exploitation et les appareils. Ce rachat doit lui permettre d’atteindre les terminaux anciens, qu’une racine toute neuve n’atteindra jamais. Mais rien n’est encore en service : « We are not issuing certificates yet, and it will be a little while before we do », prévient Cloudflare.

L’argument avancé tient en un nom : Let’s Encrypt. Cette autorité gratuite, automatisée et ouverte est gérée par une association à but non lucratif, l’Internet Security Research Group (ISRG). Selon Cloudflare, elle délivre de l’ordre de dix millions de certificats par jour et sert plus de 500 millions de sites. L’entreprise y voit « one of the best things to happen to the Internet in twenty years », mais pointe un risque systémique : si l’autorité gratuite dominante traversait une mauvaise semaine, une grande partie du Web ne disposerait d’aucune solution gratuite et automatisée comparable pour prendre le relais. Une deuxième source importante de certificats gratuits servirait donc de solution de secours à l’échelle d’Internet.

Gratuit, mais à quelles conditions ?

Pour séduire, Cloudflare mise sur ACME (Automated Certificate Management Environment), le protocole ouvert qui permet à un serveur de demander puis de renouveler seul ses certificats, sans intervention humaine. C’est déjà celui de Let’s Encrypt : selon l’annonce, il suffira de changer l’adresse du répertoire ACME dans son client pour passer de l’un à l’autre, sans nouvel outil. La gratuité est mise en avant, mais les détails manquent encore : comme le relève le site spécialisé PPC Land, aucune condition tarifaire, aucune limite de débit, aucune règle d’éligibilité ni aucun niveau de validation n’ont été publiés avec l’annonce.

La vraie nouveauté est ailleurs. Cloudflare ne délivrera de certificats qu’aux clients compatibles avec ARI (ACME Renewal Information), une extension normalisée dans la RFC 9773. Le principe est simple : le client interroge régulièrement l’autorité, qui lui indique la période où il doit renouveler chaque certificat. L’entreprise justifie cette exigence par l’expérience : elle dit avoir vu des autorités prises en étau entre l’obligation de révoquer rapidement des certificats et le risque de mettre hors ligne les sites incapables de les remplacer à temps. Avec ARI, elle pourra avancer le renouvellement des certificats concernés et étaler les remplacements sur le temps disponible.

Sur le papier, l’idée est saine. En pratique, elle écarte une partie des installations existantes. Prenons Certbot : ce client ACME n’a ajouté la prise en charge d’ARI qu’avec sa version 4.1.0. Or, dans Debian « trixie », le paquet certbot en est resté à la version 4.0.0-2+deb13u1. Sauf correctif rétroporté, un administrateur qui s’en tient aux paquets officiels de sa distribution ne remplirait donc pas la condition posée par Cloudflare. PPC Land note d’ailleurs que l’annonce ne précise pas quels clients ACME la satisfont. Il faudra attendre la documentation officielle pour savoir qui pourra réellement en profiter.

Des certificats pour l’après-quantique

L’autre volet de l’annonce regarde plus loin. Les signatures dites post-quantiques, conçues pour résister à un futur ordinateur quantique capable de casser la cryptographie actuelle, sont environ 40 fois plus volumineuses que les signatures classiques, selon Cloudflare. Pour éviter d’alourdir chaque connexion, l’entreprise mise sur les Merkle Tree Certificates (MTC). L’autorité regroupe les certificats dans un arbre de Merkle, une structure de données qui lui permet de ne signer que la racine de l’arbre, et le navigateur vérifie qu’un certificat en fait partie grâce à une courte preuve composée de condensats cryptographiques. Cloudflare vise une émission en production au premier trimestre 2027, avec une inclusion dans le nouveau magasin de racines résistant au quantique de Chrome.

Une concentration de plus ?

C’est ici que l’argument de Cloudflare se retourne contre lui. L’entreprise plaide contre la dépendance à une seule autorité gratuite, mais un site qui passe déjà par son réseau et adopterait ensuite ses certificats verrait la même société relayer son trafic et garantir son identité. Le relais reçoit et déchiffre les connexions des visiteurs ; l’autorité atteste que le site est bien celui qu’il prétend être. PPC Land fait le parallèle avec Google, qui gère à la fois le programme de racines de Chrome et sa propre autorité, Google Trust Services. Rien d’illégal, mais une concentration qui va à rebours de la diversité que Cloudflare dit vouloir défendre.

La fragilité d’une telle position n’est pas théorique. Le 18 novembre 2025 à 11 h 20 (UTC), le réseau de Cloudflare a commencé à ne plus acheminer correctement le trafic : les internautes qui visitaient les sites de ses clients tombaient sur une page d’erreur. La cause n’était pas une attaque, mais un changement de permissions dans l’une de ses bases de données. Une autorité de certification ne fonctionne pas comme un réseau de diffusion de contenu, et une panne de l’un n’entraîne pas forcément celle de l’autre. L’épisode montre toutefois ce que coûte une erreur de configuration chez un acteur par lequel transitent autant de sites.

Cloudflare a lui-même qualifié l’incident du 18 novembre 2025 de pire panne depuis 2019 : un acteur unique, aussi compétent soit-il, peut tomber.

Il faut aussi reconnaître ce que Cloudflare apporte. Lors de sa « Birthday Week » de 2014, son offre Universal SSL avait presque doublé du jour au lendemain le nombre de sites chiffrés, en offrant gratuitement le TLS à tous les sites passant par son réseau, y compris ceux qui ne lui avaient jamais rien payé. L’entreprise dit travailler avec 16 autorités partenaires et livrer chaque certificat Universal SSL avec un certificat de secours, émis par une autre autorité. Pour sa future autorité, elle promet des compilations reproductibles du logiciel de signature (chacun pourra vérifier que le programme en service correspond au code publié), des attestations des modules matériels qui protègent ses clés et un tableau de bord public des incidents. Ces engagements sont précis ; il faudra vérifier dans la durée qu’ils sont tenus.

Pour un particulier, une TPE ou une PME, il n’y a rien à faire aujourd’hui : Cloudflare ne délivre encore aucun certificat, et un enregistrement CAA (la ligne DNS qui liste les autorités autorisées à certifier votre domaine) n’a pas à être modifié tant que cette situation dure. Let’s Encrypt, géré par une association, reste à nos yeux le choix par défaut. L’annonce est en revanche un bon prétexte pour vérifier que vos outils de renouvellement sont à jour et compatibles avec ARI, puisqu’au moins une autorité en fera une condition d’émission. Enfin, une deuxième autorité gratuite est une bonne chose pour Internet, mais mieux vaut éviter de confier à un seul prestataire à la fois le trafic de son site, sa protection et son identité.

Sources

• Cloudflare — Building a certificate authority for the whole Internet (29 septembre 2026)
• Cloudflare — Building a post-quantum certificate authority with Merkle Tree Certificates (29 septembre 2026)
• PPC Land — Cloudflare targets Q1 2027 for its first quantum-safe web certificates (29 septembre 2026)
• CaptainDNS — Cloudflare veut devenir autorité de certification : ACME, ARI et CAA (30 septembre 2026)
• Cloudflare — Cloudflare outage on November 18, 2025 (18 novembre 2025)
• Let’s Encrypt — About Let’s Encrypt
• Certbot — Journal des modifications (version 4.1.0 du 10 juin 2025)
• Debian — Paquet certbot dans trixie

Une forge est un logiciel qui réunit au même endroit l’hébergement du code source, la revue de code, la collaboration en équipe et l’intégration continue, c’est-à-dire l’exécution automatique de tests ou de compilations à chaque modification. Gitea se présente comme un service de développement « all-in-one » auto-hébergé, qui comprend aussi un registre de paquets. Il est publié sous licence MIT, et son fichier de licence crédite à la fois ses propres auteurs depuis 2016 et ceux de Gogs depuis 2015. Pour une petite structure, c’est une façon de garder son code chez soi plutôt que de le confier à une grande plateforme américaine.

Premier changement, le plus visible : la numérotation. Gitea abandonne le préfixe historique « 1. », si bien que cette version s’appelle 28.0.0 et non 1.28.0, comme l’indique l’annonce officielle. Le site selfh.st, qui suit l’actualité de l’auto-hébergement, rapproche ce choix de celui de Java et note que le projet est passé directement de la 1.27.3 à la 28.0.0. Il s’agit d’abord d’une convention de nommage, mais les scripts maison qui comparent des numéros de version, ou qui attendent un « 1. » en tête, méritent d’être vérifiés avant la mise à jour.

Un journal d’audit pour tous

Gitea peut désormais enregistrer les événements liés à la sécurité et les afficher dans les paramètres d’administration, d’organisation, de dépôt et d’utilisateur. Ces événements se filtrent par auteur, par action et par origine, et les administrateurs peuvent les exporter au format JSONL, un fichier texte structuré. Attention : la fonction est désactivée par défaut. Il faut l’activer explicitement dans la configuration, et les événements ne sont conservés que 30 jours, une durée que l’on peut modifier. Pour une entreprise soumise à des exigences de traçabilité, c’est le premier réglage à revoir après la mise à jour.

La portée de cette nouveauté dépasse la technique. La documentation de Gitea Enterprise, l’édition commerciale bâtie sur le projet libre, présente le journal d’audit comme une fonction introduite dans cette offre. Son arrivée dans la version libre compte d’autant plus que ce modèle « open-core », un cœur libre complété de fonctions vendues à part, a déjà provoqué une scission. Forgejo est né en décembre 2022 d’un fork de Gitea, après le transfert des marques et des opérations du projet à une société à but lucratif dirigée par son mainteneur principal. Forgejo est ensuite passé, en août 2024, de la licence MIT à la GPL.

Robots, jetons et emprunt d’identité

Deux autres ajouts concernent l’automatisation. Les comptes de robots sont pensés pour les tâches automatiques : ils s’authentifient avec des jetons d’accès, ne peuvent pas ouvrir de session interactive et ne reçoivent ni notifications ni courriels. Les jetons de déploiement, eux, sont l’équivalent en HTTPS des clés de déploiement SSH : chacun est limité à un seul dépôt, en lecture seule ou en lecture-écriture. Pour une PME, c’est une façon plus propre de relier un serveur de production ou un outil externe à un dépôt, sans emprunter le compte personnel d’un salarié qui pourrait un jour quitter l’entreprise.

Plus délicate, la fonction d’emprunt d’identité permet désormais à un administrateur de voir Gitea comme le voit un utilisateur donné, ce qui aide à reproduire un problème d’accès sans lui demander son mot de passe. Un bandeau signale la session et renvoie vers le compte de l’administrateur. L’outil rendra service à ceux qui assurent le support, mais il donne à l’administrateur une vue complète de ce que voit chaque membre de l’équipe. Dans une organisation, mieux vaut encadrer son usage par une règle écrite et en informer clairement les utilisateurs avant de s’en servir.

Une mise à jour à préparer

Le changement qui risque de surprendre le plus d’administrateurs concerne les inscriptions : elles sont désormais fermées par défaut tant que l’option DISABLE_REGISTRATION n’est pas explicitement réglée sur false. Gitea ne lit plus non plus le paramètre DOMAIN : le domaine de l’instance, y compris le domaine SSH par défaut, découle maintenant de ROOT_URL. Le choix est plus prudent pour une forge d’entreprise, réservée à des comptes créés par l’administrateur. En revanche, une instance associative ou communautaire qui comptait sur les inscriptions libres devra rétablir ce réglage à la main.

D’autres modifications touchent l’infrastructure. Les migrations, les miroirs et les autres opérations réseau de Git passent maintenant par un mandataire interne (un proxy) qui applique les règles de trafic sortant. Gitea refuse aussi de démarrer si la version de Git installée est antérieure à la 2.25.0. Enfin, les notifications en direct passent par une connexion WebSocket : le serveur mandataire inverse placé devant Gitea (le reverse proxy) doit transmettre les en-têtes correspondants. Sinon, les compteurs de notifications reviennent à des interrogations périodiques du serveur.

Pour conserver tout l’historique de Gitea Actions, il faut régler RUN_RETENTION_DAYS sur 0 avant de lancer la mise à jour, et pas après.

Côté intégration continue, les exécutions terminées de Gitea Actions sont désormais supprimées au bout de 400 jours par défaut, avec leurs tâches, leurs journaux et leurs artefacts. Les binaires officiels ne sont plus fournis pour le x86 32 bits, et le paquet Snap n’est plus construit pour l’architecture armhf. L’annonce rappelle la marche à suivre : sauvegarder ses données, remplacer le binaire ou le conteneur Docker, puis redémarrer.

La version contient enfin des correctifs de sécurité. Pour laisser à chacun le temps de mettre à jour, leur détail ne sera ajouté à l’annonce que dans une semaine environ. Le choix se défend, puisqu’il évite de fournir un mode d’emploi aux attaquants avant que les instances soient corrigées. Il impose en revanche aux administrateurs une décision à l’aveugle : sur une forge exposée à Internet, mieux vaut appliquer la mise à jour sans attendre d’en connaître les détails, après l’avoir testée sur une copie.

Pour les TPE, les PME et les particuliers qui hébergent leur code chez eux, Gitea 28.0.0 est une version intéressante : elle fait entrer dans l’édition libre un outil de traçabilité jusque-là mis en avant par l’offre commerciale. C’est aussi une mise à jour majeure au sens propre. Avant de l’appliquer, nous conseillons de sauvegarder l’instance, de la tester sur une copie et de relire les réglages d’inscription, de proxy et de conservation des données. Enfin, ceux qui se méfient du modèle « open-core » peuvent étudier Forgejo, le fork communautaire de Gitea, désormais sous GPL.

Sources

• Gitea — Gitea 28.0.0 is released (30 septembre 2026)
• Gitea — Fichier LICENSE du dépôt go-gitea/gitea
• GitHub — Fiche du dépôt go-gitea/gitea (API)
• Gitea — Documentation Gitea Enterprise : Audit Log
• Gitea — Documentation Gitea Enterprise : présentation
• Gitea — Pricing
• selfh.st — Self-Host Weekly (2 octobre 2026)
• Wikipédia (en) — Forgejo

Pour ceux qui ne le connaissent pas, Stirling PDF est une boîte à outils pour documents PDF que l’on peut utiliser comme application de bureau ou dans le navigateur, ou bien installer sur ses propres serveurs. C’est ce qu’on appelle l’auto-hébergement : le logiciel tourne sur une machine que vous contrôlez, pas chez un prestataire. Son dépôt revendique plus de 50 outils : fusion, découpage, signature, caviardage (masquage définitif d’informations), conversion, reconnaissance de texte (OCR) ou compression. Son interface est disponible dans plus de 40 langues. Sa promesse tient en une phrase : modifier, signer, caviarder, convertir et automatiser des PDF sans envoyer les documents à des services externes. Une seule commande Docker suffit à lancer un serveur.

Ce qu’apporte la version 3.0

La grande nouveauté s’appelle le « PDF Processor ». Il reprend les outils existants et permet de les appliquer à un grand nombre de fichiers provenant de plusieurs sources : dossiers, serveurs FTP et stockage objet S3, ainsi que SFTP et partages réseau SMB selon heise. L’exemple donné par l’équipe parle de lui-même : passer 10 000 fichiers à la reconnaissance de texte, compresser un dossier entier ou convertir toute une bibliothèque de documents, puis laisser l’outil guetter l’arrivée de nouveaux fichiers pour les traiter à leur tour. Une intelligence artificielle peut s’y greffer pour comprendre, classer ou extraire des informations des documents ; elle est entièrement facultative, désactivée par défaut, et peut s’appuyer sur des modèles hébergés localement.

Côté édition, le nouvel éditeur de texte sort de sa phase alpha, c’est-à-dire de ses premiers essais publics. L’équipe promet une interface et des performances nettement meilleures. Un smartphone peut désormais servir de surface de signature manuscrite grâce à un QR code, ce qui évite d’imprimer un document pour le signer puis de le numériser à nouveau. La version apporte aussi des correctifs de sécurité : heise relève notamment, parmi les changements listés sur GitHub, une limite appliquée lors de la décompression d’archives non fiables.

Autre changement, moins spectaculaire mais précieux pour une petite structure : l’authentification unique OAuth devient gratuite. L’authentification unique, ou SSO, permet de se connecter avec un compte qui existe déjà ailleurs plutôt que de créer un mot de passe de plus. Les notes de version l’annoncent sans détour : « we are also making OAuth SSO free for all users ». La page des offres de la documentation range désormais dans le plan gratuit la connexion via Google, GitHub, Keycloak ou tout fournisseur compatible OpenID Connect (OIDC). Le SAML, l’autre grand protocole d’authentification unique, utilisé notamment avec Okta ou Azure AD, reste en revanche réservé à l’offre Enterprise.

Le revers : un compteur sur votre serveur

La contrepartie figure dans la même annonce. Le traitement automatisé, qu’il passe par le Processor, par l’API (l’interface qui permet à d’autres logiciels de piloter Stirling PDF) ou par les fonctions d’IA, est inclus gratuitement à hauteur de 1 000 PDF par mois. Relier son serveur au site stirling.com ajoute 500 PDF mensuels et donne accès à l’IA hébergée par l’éditeur. La documentation précise la règle : l’automatisation, les outils d’IA et le traitement par l’API consomment cette allocation, tandis que les outils manuels et interactifs sans IA n’en consomment pas. L’édition d’un PDF à la main reste donc gratuite et illimitée, comme le souligne l’équipe.

C’est là que le bât blesse. La documentation l’écrit noir sur blanc : une installation web auto-hébergée utilise la licence et l’allocation de traitement du serveur. Or, lorsque les fichiers sont traités par votre propre processeur, sur votre propre machine, c’est vous qui fournissez la puissance de calcul : à nos yeux, la limite est un choix commercial, pas une contrainte technique. La page tarifaire de l’éditeur affiche d’ailleurs un prix d’un cent de dollar par crédit de traitement. Quant à la liaison avec stirling.com pour obtenir 500 PDF de plus, elle crée une dépendance à un service tiers, et recourir à l’IA hébergée revient à faire traiter ses documents hors de chez soi, ce qui mérite réflexion avant d’y faire passer des pièces sensibles.

Open source ou open core ?

Reste la question de la licence. GitHub ne parvient pas à l’identifier automatiquement. Le fichier LICENSE commence bien par la licence MIT, très permissive, mais précise aussitôt que plusieurs répertoires y échappent, dont app/proprietary/, app/saas/, engine/ ou frontend/editor/src/proprietary/ : leur contenu relève de la licence définie dans leur propre fichier. Le README illustre l’ambiguïté : il décrit d’abord une plateforme d’édition PDF « open-source », puis conclut que Stirling PDF « is open-core ». Ce modèle, dit open core, consiste à publier un cœur libre tout en réservant certaines briques à une licence propriétaire.

Une partie du code de Stirling PDF relève d’une licence propriétaire qui n’autorise l’usage en production qu’avec une licence utilisateur valide.

La licence propriétaire en question, baptisée « Stirling PDF User License », mérite d’être lue. Elle conditionne l’usage en production du logiciel à la détention d’une licence. Sans abonnement payant, elle ne permet qu’un essai interne, une évaluation ou un usage minimal, et précise que cet usage reste limité aux capacités et restrictions définies par le logiciel lui-même. Les modifications ne sont autorisées que pour le développement ou les tests internes. Pour cette partie du code, les libertés qui définissent un logiciel libre, à savoir utiliser, étudier, modifier et redistribuer, ne sont donc pas garanties. Le reste du dépôt, sous licence MIT, demeure librement réutilisable.

La grille tarifaire éclaire le reste du modèle. Le plan gratuit, limité à 5 utilisateurs, est présenté comme destiné à un usage personnel, aux petites équipes ou à l’évaluation. Le plan Team coûte 99 dollars par mois ou 999 dollars par an, avec 100 utilisateurs inclus et des blocs de 100 supplémentaires. L’offre Enterprise ajoute notamment le SAML et un déploiement hors ligne, activé par un fichier de certificat plutôt que par une vérification de clé en ligne : une précision qui laisse entendre que les autres formules contrôlent leur clé par Internet.

Ce que nous en retenons

Faut-il pour autant bouder Stirling PDF ? Non. Pour fusionner, découper, signer ou convertir des documents à la main, l’outil reste gratuit, sans limite de volume, et traite les fichiers sans les envoyer à un service externe, ce qui compte quand on manipule des contrats ou des fiches de paie. La gratuité de l’authentification OAuth est une vraie avancée pour une petite structure qui centralise déjà ses comptes. L’équipe annonce des versions quasi hebdomadaires dans les semaines à venir et une plus grande attention aux contributions de la communauté. Mais la trajectoire est nette : les fonctions qui intéressent les entreprises, à savoir l’automatisation, l’API et les grands volumes, sont désormais comptées, et une partie du code n’est pas libre.

Pour un particulier ou une petite équipe de 5 personnes au plus qui manipule quelques PDF par semaine, Stirling PDF 3.0 reste une excellente boîte à outils à installer chez soi. Pour une PME qui envisage d’automatiser le traitement de son courrier ou de ses factures, il faut en revanche estimer ses volumes mensuels et son nombre d’utilisateurs avant de bâtir une chaîne de traitement sur l’API, et lire la licence avant de modifier ou de redistribuer le logiciel. C’est la leçon plus générale de cette version : la mention « open-source » dans une présentation ne dispense jamais d’ouvrir le fichier LICENSE.

Sources

• GitHub — Stirling PDF, notes de version 3.0.0 (24 septembre 2026)
• heise online — 10,000 PDFs? Stirling PDF makes it one job (25 septembre 2026)
• GitHub — Stirling PDF, fiche du dépôt (licence, description)
• GitHub — Stirling PDF, fichier LICENSE
• GitHub — Stirling PDF, licence propriétaire app/proprietary/LICENSE
• GitHub — Stirling PDF, README
• Documentation Stirling PDF — Paid Offerings
• Documentation Stirling PDF — Modes and Licensing
• Stirling PDF — Pricing

HACS, pour Home Assistant Community Store, se présente sur son site officiel comme une intégration personnalisée qui fournit une interface pour gérer des éléments personnalisés dans Home Assistant. Concrètement, la communauté s’en sert pour trouver et télécharger des intégrations (les modules qui font dialoguer Home Assistant avec un appareil ou un service), des cartes de tableau de bord, des thèmes et des modèles, publiés sur GitHub, la plateforme d’hébergement de code. Le projet est distribué sous licence MIT, et son fichier de licence mentionne Joakim Sørensen comme titulaire des droits depuis 2019. Un défaut de taille freinait toutefois les débutants : comme le rappelle iGeneration, il fallait jusqu’ici un compte GitHub pour l’activer.

Le changement est porté par Frenck, qu’iGeneration présente comme le responsable du développement de Home Assistant. Sa demande de fusion (la proposition de modification soumise aux mainteneurs d’un projet) résume l’objectif : faire entrer HACS dans Home Assistant avec le moins d’efforts possible et, autant que faire se peut, tel quel, pour qu’il suive désormais le cycle de développement habituel du projet. Selon Matter Alpha, l’intégration et son interface ont été fusionnées dans les branches de développement de Home Assistant. Le code existe donc bel et bien, même s’il n’est pas encore entre les mains des utilisateurs.

Ce qui change au quotidien

Le Marketplace devient une intégration système, configurée par défaut : l’utilisateur n’a rien à ajouter, et son panneau se trouve dans les Paramètres. Surtout, parcourir le catalogue, installer et mettre à jour une extension ne demandent plus de compte GitHub : une version issue du catalogue s’installe directement depuis son archive, sans passer par l’interface de programmation de GitHub. Les dépôts personnalisés, c’est-à-dire les extensions ajoutées à la main en dehors du catalogue, exigent en revanche toujours une connexion à GitHub, établie depuis le panneau.

Autre amélioration bienvenue : chaque élément téléchargé reçoit une entité de mise à jour, si bien que ses nouvelles versions apparaissent à côté de celles du reste de Home Assistant, au lieu de rester cachées dans un module à part. Pour ceux qui utilisent déjà HACS, la bascule est automatique : au premier démarrage, l’installation existante est reprise, sa configuration est convertie sur place, et les données, entités, appareils, ressources de tableau de bord et dépôts personnalisés sont conservés. L’intégration HACS et ses fichiers sont ensuite supprimés, et Home Assistant bloque désormais son chargement en désignant le Marketplace comme remplaçant.

Tout n’est pas repris pour autant. Les applications AppDaemon et les scripts Python ne sont plus gérés par le Marketplace, et Home Assistant affiche une alerte de réparation pour indiquer aux utilisateurs quels éléments sont concernés. D’après iGeneration, ces scripts et applications continueront de fonctionner, mais ceux qui en dépendent devront trouver une autre solution : le Marketplace ne s’en chargera plus, il faudra donc les suivre à la main ou leur chercher un remplaçant. Mieux vaut lire attentivement cette alerte après la mise à jour plutôt que de laisser ces éléments vieillir sans correctifs.

Une confiance déléguée

Côté sécurité, la demande de fusion prévoit, au premier lancement, un avertissement présenté à chaque utilisateur sur les risques liés au contenu communautaire. Rien ne s’installe ni ne se met à jour tant qu’il n’a pas été accepté, mais le catalogue reste consultable avant. Cette acceptation reste valable jusqu’à ce que l’avertissement lui-même change. Le texte de la demande est explicite sur la portée de ce clic : en acceptant l’avertissement, l’administrateur décide de faire confiance au code de la communauté.

Ce code ne tourne pas à l’écart du reste. Les intégrations installées s’exécutent à l’intérieur de Home Assistant, et les cartes de tableau de bord dans le navigateur de chaque utilisateur, exactement comme n’importe quelle extension personnalisée aujourd’hui. Matter Alpha le souligne : Home Assistant ne teste pas, n’audite pas et n’assure pas le support du contenu distribué par le Marketplace. Une extension mal écrite ou malveillante s’exécute donc au cœur du système qui commande, selon les installations, l’éclairage, le chauffage ou les serrures.

Le Marketplace n’ajoute ni signature ni somme de contrôle : le code communautaire s’installe sur la seule foi du catalogue et de GitHub.

Le point le plus sensible tient en une phrase de la demande de fusion : « There are no signatures or checksums on what is installed. » Autrement dit, aucune signature numérique (qui prouve qu’un fichier vient bien de son auteur) ni aucune somme de contrôle (une empreinte qui permet de vérifier qu’il n’a pas été modifié) ne protège ce qui est installé. C’est le catalogue, hébergé sur data-v2.hacs.xyz et identique à celui de HACS, qui décide des dépôts et des versions proposés, ainsi que de ceux qui sont retirés ou signalés comme critiques ; GitHub sert ensuite les fichiers en HTTPS. La confiance repose entièrement sur le catalogue et sur GitHub, pas sur une vérification technique du code.

Le Marketplace ne part pas pour autant sans garde-fous. Toutes les commandes sont réservées aux administrateurs, les écritures et suppressions restent confinées dans leurs propres dossiers, et les téléchargements comme les archives sont soumis à des limites de taille et de nombre de fichiers. Les thèmes sont lus sans les balises YAML (le format des fichiers de configuration de Home Assistant), les fiches de présentation passent par un filtre de nettoyage, et le jeton GitHub n’apparaît ni dans les adresses de téléchargement ni dans les diagnostics. Enfin, une extension qui remplace une intégration officielle exige une confirmation explicite.

Calendrier et suite

Reste la question du calendrier. Selon iGeneration, la nouveauté semble arriver trop tard pour la version attendue le mercredi 7 octobre 2026. D’après Matter Alpha, la documentation du Marketplace évoque Home Assistant 2026.11 comme version visée. La demande de fusion précise aussi que de nombreuses idées existent pour faire du Marketplace quelque chose de plus grand, mais qu’elles sortent de son périmètre et viendront plus tard. Autrement dit, ce qui arrivera d’abord chez les utilisateurs, c’est HACS sous un nouveau nom, avec ses forces et ses limites actuelles.

Pour les particuliers comme pour les petites structures qui confient à Home Assistant le chauffage, l’éclairage ou la surveillance de leurs locaux, cette intégration est une bonne nouvelle : moins de manipulations, des mises à jour visibles au même endroit, plus besoin de compte GitHub. Elle ne dispense pas de prudence. Nous recommandons de n’installer que les extensions réellement utiles, de privilégier celles qui sont activement maintenues, de jeter un œil à leur dépôt avant chaque mise à jour importante et de garder une sauvegarde récente de Home Assistant. Un catalogue intégré facilite l’accès au code communautaire ; il ne le rend pas plus fiable pour autant.

Sources

• Home Assistant (GitHub) — Add Marketplace integration, demande de fusion n° 183502
• iGeneration — HACS va intégrer Home Assistant pour faciliter l’accès aux extensions communautaires (29 septembre 2026)
• Matter Alpha — Home Assistant is bringing HACS into Core — and Marketplace could make custom integrations much easier
• HACS — site officiel du Home Assistant Community Store
• HACS (GitHub) — fichier LICENSE du dépôt hacs/integration
• GitHub — fiche du dépôt home-assistant/core (API)

Sur ces cartes, la mémoire vive n’est pas une barrette que l’on enfiche : c’est une puce soudée. La remplacer suppose de la dessouder et d’en souder une autre, un travail de précision qui demande un matériel de soudure spécialisé et comporte des risques évidents. Des utilisateurs de Raspberry Pi 4 et 5 avaient pourtant montré que l’opération était possible, et qu’un modèle d’entrée de gamme pouvait ainsi devenir un modèle plus généreux. Comme le résume TechSpot, ces cartes servent depuis longtemps dans les home labs, les produits embarqués et le matériel sur mesure : autant de contextes où ce genre de modification pouvait se justifier. Selon Hackaday, le firmware bloque désormais à la fois la taille de la mémoire et le modèle de puce acceptés.

Ce que dit Raspberry Pi

L’affaire est partie d’un message sur le forum officiel de Raspberry Pi. Un utilisateur y racontait avoir remplacé la mémoire d’un Compute Module 5 (CM5), sans parvenir à faire reconnaître par la carte sa nouvelle puce de 4 Go. PhilE, ingénieur chez Raspberry Pi et modérateur du forum, lui a répondu que l’entreprise verrouillait chaque appareil sur sa taille de mémoire d’origine. Son conseil aux amateurs tentés par la manipulation est sans appel : inutile d’essayer, cela ne fonctionnera pas.

L’ingénieur a ensuite détaillé le raisonnement. Si la main-d’œuvre est assez bon marché, acheter une carte de 2 Go, y souder une puce de 8 Go d’origine douteuse et la revendre comme un modèle 8 Go peut rapporter un petit bénéfice. Or ces cartes modifiées risquent des problèmes de stabilité, puisque Raspberry Pi ne les a jamais testées dans cette configuration. Pour couper court à ce petit commerce, l’entreprise a choisi la manière forte : verrouiller la mémoire pour empêcher les revendeurs de faire passer des cartes modifiées pour des modèles d’usine. Selon PhilE, le firmware enregistre aussi d’autres caractéristiques de la puce d’origine, si bien que même une puce de remplacement de même capacité peut ne pas fonctionner.

Un point de calendrier mérite d’être souligné. Comme le relève TechSpot, le verrouillage a commencé à être déployé avec des mises à jour du firmware fin 2024, donc avant la récente hausse des prix de la mémoire, tirée par la demande des centres de données dédiés à l’intelligence artificielle. La mesure n’est donc pas une réaction à la flambée actuelle : elle la précède, et vise d’abord les cartes trafiquées vendues comme des modèles d’usine.

Une fraude bien réelle

La fraude invoquée n’a rien d’imaginaire. Le fabricant d’accessoires Geekworm a publié un guide pour vérifier la mémoire d’origine d’un Raspberry Pi 5, en rappelant l’écart de prix important entre les modèles et en prévenant que des vendeurs peu scrupuleux remplaçaient la mémoire des petits modèles pour les faire passer pour des modèles plus gros. Le second article de Hackaday, plutôt favorable à Raspberry Pi, recense après une recherche rapide quinze personnes différentes se plaignant de ce type de panne rien que sur GitHub. Aucune ne semble avoir fait la modification elle-même. Selon cet article, Raspberry Pi justifie la mesure par des revendeurs tiers qui achetaient des Compute Modules peu dotés en mémoire et y soudaient des puces de provenance et de stabilité inconnues.

Le prix pour les bricoleurs

Reste que le verrouillage a des effets de bord. Sur le dépôt officiel rpi-eeprom, un utilisateur signale qu’un Raspberry Pi 5 de 8 Go, équipé d’une puce Micron, refuse de démarrer avec tout firmware daté du 2024-09-23 ou plus récent : la diode verte clignote 8 fois, le signal d’une panne de mémoire. La même carte démarre normalement avec une version plus ancienne. Le ticket ne dit pas si la puce avait été changée, mais il illustre bien la situation : une carte qui fonctionnait la veille peut cesser de démarrer après une simple mise à jour, sans autre indication pour son propriétaire qu’un clignotement de diode.

Depuis la fin de 2024, une carte Raspberry Pi refuse toute mémoire plus grande que celle montée à l’usine, et parfois même une puce de même capacité.

Il existe un contournement, rappelé par Hackaday : revenir à une ancienne image du firmware, celle du 2024-09-10, dernière version publiée avant cette vérification. Mais c’est un pis-aller. Les notes de version du firmware du Raspberry Pi 5 continuent d’évoluer, y compris sur la gestion de la mémoire : l’une des plus récentes initialise la SDRAM avec des réglages de rafraîchissement prudents, adaptés aux hautes températures. Le second article de Hackaday juge que, pour un usage courant, se passer de ces nouveautés ne pose guère de problème. Pour une machine qui tourne en continu à la maison ou au bureau, renoncer à toutes les corrections publiées depuis reste toutefois, à nos yeux, un mauvais calcul.

La critique la plus vive vient du premier article de Hackaday. Quand on peut ajouter de la mémoire à presque n’importe quel appareil, y compris une carte graphique moderne ou même un ordinateur Apple, mais pas à une carte Raspberry Pi qui aime mettre en avant ses références open source et open hardware, alors « something is very much off » : quelque chose cloche sérieusement. L’article compare la démarche à l’appairage de composants que des entreprises comme Apple se sont vu reprocher à juste titre. Des voix proposent une voie médiane : un indicateur de garantie, activable une seule fois, qui signalerait une carte modifiée et mettrait fin au support de Raspberry Pi sans interdire la modification elle-même. L’entreprise n’a pas retenu cette option et a préféré bloquer purement et simplement.

Le débat mérite d’être posé honnêtement. Le second article de Hackaday estime que ce n’est pas un problème majeur, tout en reconnaissant que beaucoup de gens ne seront pas d’accord. Il rappelle que les cartes Raspberry Pi embarquent des logiciels fermés, du chargeur de démarrage au code du processeur graphique, et qu’il existe une concurrence qui publie les schémas complets de ses cartes et utilise autant de code ouvert que possible. Le Raspberry Pi n’a jamais été du matériel libre au sens strict, et ce verrouillage le rappelle. La mesure protège réellement les acheteurs novices contre des cartes trafiquées et instables. Mais elle retire aussi au propriétaire une partie de la maîtrise de son propre matériel : plus d’extension de mémoire, sauf à rester sur un ancien firmware, et un choix plus restreint de pièces de rechange pour réparer.

Ce que nous conseillons

Pour nos lecteurs, TPE, PME ou particuliers qui montent un petit serveur, un pare-feu ou un tableau de bord domotique sur Raspberry Pi, la conséquence pratique est simple : la quantité de mémoire choisie à l’achat est, de fait, définitive. Mieux vaut donc dimensionner large dès le départ et acheter chez un revendeur reconnu. À la réception, il suffit d’allumer la carte sans carte SD, avec un écran branché, pour lire la capacité d’origine au démarrage, comme l’indique Geekworm. Et si la réparabilité ou l’ouverture complète du matériel compte pour vous, ce critère mérite désormais d’être pesé face à des cartes concurrentes dont les schémas sont publiés.

Sources

• Forum officiel Raspberry Pi — CM5 RAM upgrade
• Hackaday — Raspberry Pi Locks Down RAM Upgrades, par Maya Posch (22 septembre 2026)
• Hackaday — Raspberry Pi RAM Restrictions No Big Deal, Frankly, par Arya Voronova (22 septembre 2026)
• TechSpot — Raspberry Pi’s RAM lock was built to stop scalpers, but it’s blocking repairs too, par Skye Jacobs (23 septembre 2026)
• GitHub raspberrypi/rpi-eeprom — ticket n° 761, échec de démarrage après la mise à jour 2024-09-23
• GitHub raspberrypi/rpi-eeprom — notes de version du firmware du Raspberry Pi 5
• Geekworm — Prevent RAM-Swapped Raspberry Pi 5: How to Verify Factory RAM Size

Lancé le 26 mai 2017, le projet est un système d’exploitation pour smartphones bâti directement sur Alpine Linux, et il contribue en retour à l’écosystème Linux dont il dépend. Il s’appuie sur le noyau Linux officiel, maintenu en amont par la communauté, et s’efforce de travailler avec les projets concernés plutôt que de garder ses modifications pour lui. Plusieurs interfaces sont proposées, dont GNOME, KDE, Phosh et Sxmo. D’après Wikipédia, le projet vise un cycle de vie de dix ans pour les smartphones, et environ 723 modèles d’appareils étaient pris en charge en février 2026 : un chiffre à relativiser, nous y reviendrons.

La mission affichée sur la page d’accueil est limpide : « Nura develops free and open-source software to extend the life of consumer electronics. » Autrement dit, développer des logiciels libres pour prolonger la vie des appareils électroniques. Le projet se démarque explicitement des systèmes d’Amazon, de Google, de Microsoft et même d’Apple : ni surveillance, ni ventes additionnelles poussées à l’utilisateur. Il revendique aussi de donner à chacun le contrôle complet de son appareil, au service d’une société qu’il veut plus saine et plus durable.

Un nom plus simple, et protégeable

Le nouveau nom a été choisi au terme d’un processus de sélection d’un an et demi. Nura est l’abréviation de Nuraghe, d’anciennes constructions de granit de Sardaigne, datées de 3000 av. J.-C. ou plus anciennes, dont beaucoup sont toujours debout : l’équipe y voit un symbole de stabilité, cohérent avec l’idée de garder les appareils utiles longtemps. Proposé par un membre de la communauté, Davide Depau, il a été retenu parmi plus de 300 suggestions. Un groupe de sélection en a gardé 4, vérifiées pour éviter des connotations gênantes dans le plus grand nombre de langues possible, avant que l’équipe fasse son choix.

Les raisons avancées sont très concrètes. « postmarketOS » était long, difficile à prononcer et à retenir dans beaucoup de langues, et sa capitalisation déroutante produisait toutes sortes de variantes. Surtout, ce nom descriptif ne correspondait plus à la réalité depuis que PINE64 a vendu des PinePhone avec le système préinstallé. Un nom descriptif ne peut pas non plus être déposé comme marque, ce qui empêchait de protéger les utilisateurs contre des usages frauduleux du nom. Une demande de marque a déjà été déposée pour Nura. Le logo, lui, ne change pas, à quelques retouches de lisibilité près.

Le nom de domaine a, lui aussi, son histoire. Le propriétaire de nura.org n’a pas voulu le céder à un prix raisonnable ; l’équipe s’est donc tournée vers l’extension .eco, destinée aux acteurs « committed to positive change for the planet » et encadrée par des règles contre l’écoblanchiment. La transition prendra du temps : l’équipe prévient que le renommage de tous les textes visibles par l’utilisateur risque de durer, et le nom postmarketOS n’a pas encore disparu partout. L’adresse de contact du bureau, par exemple, n’a pas encore migré vers nura.eco.

La devise de Nura tient en une phrase : « We think that devices should remain useful until they break. »

Une association belge plutôt qu’américaine

Le projet a ensuite annoncé la création de son entité juridique : la NURA PROJECT ASBL, une association sans but lucratif enregistrée en Belgique. L’objectif est de pouvoir représenter le projet, signer des accords et recevoir des subventions. L’équipe explique avoir écarté un organisme caritatif américain de type 501(c)3, jugeant la situation politique actuelle aux États-Unis peu propice à un projet tourné vers la durabilité et l’autonomie des utilisateurs. Elle a aussi renoncé à l’association de droit allemand, en raison d’une bureaucratie jugée complexe et de règles fiscales très strictes. L’Eclipse Foundation et FreeCAD, qui ont adopté la même forme juridique, l’ont conseillée dans cette démarche.

Ce choix a des effets immédiats. Sans entité juridique, le projet ne pouvait pas réclamer la somme que lui avait accordée le FLOSS/Fund ; la démarche est désormais en cours. En contrepartie, l’association devra payer ses propres comptables et son compte bancaire, rendre régulièrement compte de son activité à l’État et potentiellement payer des impôts. Elle doit encore décider si elle conserve OpenSourceEurope comme hôte fiscal, mais promet de continuer à gérer ses finances de façon transparente sur OpenCollective. Pour une équipe résidant majoritairement en Europe, c’est un ancrage juridique cohérent.

Au quotidien ? Pas encore

Reste la question qui intéresse la plupart d’entre nous : peut-on remplacer Android par Nura sur son téléphone ? La page d’accueil du projet répond elle-même que Nura n’est pas encore prêt pour tout le monde. Les appareils sont rangés par catégories : « community » regroupe des appareils bien maintenus mais auxquels peuvent manquer des fonctions importantes, « testing » des appareils aux fonctions parfois limitées et pas toujours maintenus. La version stable actuelle, v26.06, basée sur Alpine Linux 3.24, compte 254 appareils dans la seule catégorie testing. Quant à la catégorie « main », la plus exigeante, elle a été vidée avec la version v24.12.

C’est précisément ce que la nouvelle feuille de route veut corriger. Les exigences de la catégorie « main » sont sévères : démarrage via UEFI, noyau officiel avec un minimum de correctifs, paquet générique commun à toute l’architecture matérielle. Un téléphone devra typiquement assurer appels, SMS, données mobiles, Wi-Fi, son, recharge, Bluetooth et appareil photo. Chaque appareil devra idéalement être suivi par une équipe d’au moins 5 personnes, majoritairement issues de l’équipe Nura. Le texte fixant ces règles a suscité 151 commentaires. L’avantage, si l’objectif est atteint : les correctifs de sécurité du noyau pourront être livrés d’un coup à tous les appareils de la catégorie.

Trois premiers candidats ont été désignés : le Fairphone 5, le Motorola Edge 30 et le Radxa Dragon Q6A, un ordinateur monocarte, tous construits autour de la puce SM7325. L’équipe reconnaît que l’essentiel du travail repose sur des bénévoles et qu’elle ne peut promettre aucune échéance. En parallèle, le projet développe Duranium, une variante immuable présentée en mars : le cœur du système est en lecture seule et les mises à jour s’installent sous forme d’images complètes et vérifiées, avec retour automatique à la version précédente en cas d’échec. Le but est qu’on n’ait plus besoin de savoir ce qu’est un terminal pour garder son appareil en état de marche, au prix d’exigences matérielles plus élevées.

Pour une TPE, une PME ou un particulier, le constat est simple : Nura n’est pas encore un remplaçant d’Android à confier à un collaborateur ou à un proche qui a besoin d’un téléphone fiable. C’est en revanche un projet sérieux, désormais doté d’une structure juridique européenne et d’une méthode claire, qui s’attaque à un vrai sujet : garder utiles des appareils qui fonctionnent encore. Si un ancien téléphone dort dans un tiroir, vérifier sa catégorie sur le site du projet ne coûte rien, et l’équipe accueille aussi les contributions sans programmation, comme les tests ou le tri des problèmes signalés. Nous suivrons de près l’arrivée des premiers appareils dans la catégorie main.

Sources

• Nura — Project rebrand: Nura (27 septembre 2026)
• Nura — The Nura Project ASBL (28 septembre 2026)
• Nura — The road to daily-drivable mainline phones (29 septembre 2026)
• Nura — Page d’accueil officielle
• Nura — Page d’installation et catégories d’appareils
• Nura — v26.06 : Alpen Avocado (21 juin 2026)
• Nura — Introducing Duranium: a more reliable postmarketOS (17 mars 2026)
• Wikipédia (en) — Nura / postmarketOS
• LinuxFr.org — postmarketOS devient Nura

Le dépôt principal, publié sur la forge de code de l’administration néerlandaise, présente DAWO comme une initiative du ministère visant « een interoperabel en digitaal autonoom fundament voor overheidswerkplekken », c’est-à-dire un socle interopérable et autonome pour les postes de travail publics. DAWO se présente donc comme un assemblage de composants : DAWO-Core et DAWO-NixOS pour le système, DAWO-Sextant pour gérer le parc de machines, DAWO-Cloud pour une infrastructure en nuage ouverte à toute l’administration, DAWO-IAM pour la gestion des identités et des accès, et DAWO-AI pour l’intelligence artificielle. Le site allemand heise, citant The Register, le résume ainsi : DAWO n’est pas un produit unique, mais le plan d’un environnement de travail complet pour l’administration.

Né d’une messagerie coupée

Le déclencheur est connu. L’an dernier, l’agence AP a rapporté que Microsoft avait bloqué le compte de messagerie de Karim Khan, alors procureur en chef de la Cour pénale internationale (CPI), à cause des sanctions décidées par le président américain Donald Trump contre la Cour. Microsoft conteste cette lecture : l’entreprise affirme avoir maintenu ses services pour la Cour à tout moment, mais son président, Brad Smith, n’a pas voulu commenter les circonstances exactes qui ont conduit à la coupure de la messagerie du procureur. Pour les Pays-Bas, qui accueillent la CPI à La Haye, la leçon est claire : un outil de travail fourni par une entreprise étrangère peut cesser de fonctionner pour un utilisateur à la suite d’une décision politique prise hors d’Europe.

La réponse néerlandaise a pris une forme administrative en juillet 2026 : la commission interdépartementale chargée du fonctionnement de l’administration d’État (ICBR) a confié à trois prestataires informatiques publics, SSC-ICT, DICTU et DUO-ICT, le développement d’un environnement de travail numérique standardisé et plus souverain. Le point est important, car il distingue DAWO de nombreuses expérimentations restées au stade du prototype : ce ne sont plus quelques développeurs motivés, mais les services informatiques de l’État eux-mêmes qui reçoivent la commande. La presse administrative néerlandaise présente d’ailleurs SSC-ICT, l’un des plus grands prestataires informatiques de l’État, comme le gestionnaire de DAWO.

Pourquoi NixOS

Pour le système d’exploitation des postes, l’équipe a d’abord expérimenté openSUSE et Fedora avant de retenir NixOS. Le choix ne s’est pas fait sur des seuls critères techniques. Comme le rapporte It’s FOSS, NixOS a été choisi parce que c’est un projet néerlandais qu’aucune entreprise ne possède ni ne contrôle, alors qu’openSUSE dépend de SUSE, et Fedora de Red Hat, elle-même propriété de l’américain IBM. heise précise que la fondation qui porte NixOS est établie aux Pays-Bas et que la distribution n’est liée à aucun fournisseur commercial. Pour un projet dont la raison d’être est de ne plus dépendre d’un acteur privé, a fortiori étranger, ce choix est cohérent.

NixOS mérite une explication, car il ne fonctionne ni comme Windows ni comme la plupart des distributions Linux. Tout le système, du noyau aux applications en passant par les fichiers de configuration, est construit à partir d’une description écrite dans le langage Nix. On parle de configuration déclarative : on décrit l’état voulu de la machine, et l’outil se charge de le reproduire sur d’autres postes. Les mises à jour sont appliquées de façon transactionnelle : si l’une d’elles est interrompue, par exemple par une coupure de courant, la machine redémarre sur l’ancienne ou sur la nouvelle configuration, jamais sur un état bancal. Le gestionnaire de paquets Nix est né en 2003 d’un projet de recherche d’Eelco Dolstra à l’université d’Utrecht, et une fondation néerlandaise à but non lucratif, créée en 2015, soutient aujourd’hui son développement. NixOS est publié sous licence MIT.

Microsoft dit avoir été en contact avec la Cour pénale internationale depuis février, tout au long du processus qui a conduit à exclure de ses services le responsable sanctionné.

Pour une administration, l’intérêt est concret. Il ne s’agit plus d’installer et de régler de nombreux postes un par un, mais de maintenir une description commune, suivie version par version dans un dépôt de code, puis de la déployer. D’après une estimation rapportée par It’s FOSS, environ 80 à 90 % d’une configuration se transpose d’un déploiement à l’autre. Le média souligne aussi que NixOS fonctionne sur du matériel que Windows 11 ne prend pas en charge : les essais actuels se déroulent d’ailleurs sur des ordinateurs portables réformés, qui seraient sinon hors service. Pour un service public comme pour une entreprise, c’est un argument de poids : prolonger la vie d’ordinateurs encore fonctionnels évite à la fois une dépense et un gaspillage.

Des briques libres, en lien avec la France

Le système n’est qu’une partie de l’ensemble. La pièce centrale côté utilisateurs s’appelle MijnBureau, littéralement mon bureau, une suite collaborative auto-hébergée, c’est-à-dire installée sur les serveurs de l’administration plutôt que chez un fournisseur extérieur. Selon heise, elle s’appuie notamment sur Nextcloud pour les fichiers, Collabora pour la bureautique, Element pour la messagerie instantanée et OpenProject pour la gestion de projet. Point qui intéresse directement les lecteurs français : les développeurs de MijnBureau collaborent avec le projet français La Suite et s’inspirent de l’openDesk allemand. Le dépôt principal de DAWO indique de son côté suivre de près les développements d’openDesk et de La Suite.

Côté transparence, le projet joue le jeu. Le code est publié sur la forge Forgejo du ministère et sur Codeberg. Le dépôt DAWO-NixOS indique d’ailleurs que le cœur du projet, DAWO-Core, a quitté la forge de l’administration pour Codeberg afin de faciliter la collaboration avec la communauté. Ce dépôt contient les configurations NixOS de l’infrastructure, avec un système de construction reproductible et modulaire, et il est placé sous licence GPL version 3, une licence libre dite copyleft : les versions modifiées et redistribuées doivent rester libres. Communes, administrations étrangères ou entreprises peuvent donc examiner, réutiliser et améliorer ce travail.

Un chantier encore expérimental

Il faut toutefois garder la tête froide : DAWO est encore un chantier. En avril, la presse administrative néerlandaise indiquait que quatre communes, 's-Hertogenbosch, Zaanstad, Ede et Amsterdam, testaient un poste de travail Linux associé à MijnBureau, en partenariat avec l’association des communes néerlandaises (VNG), le ministère et SSC-ICT, afin d’acquérir de l’expérience jusqu’à fin 2026. Selon heise, huit communes participent déjà à un essai pratique par l’intermédiaire de la VNG. Quant à la première version stable, l’équipe la vise pour l’an prochain, en tenant compte des retours des communes. Il s’agit donc, pour l’instant, d’expérimentations encadrées et non d’un déploiement généralisé.

D’autres signaux invitent à la prudence. Le dépôt principal prévoit, en solution de secours, une variante fondée sur Fedora Kinoite : l’équipe se garde ainsi une porte de sortie au cas où NixOS ne donnerait pas satisfaction. Surtout, un plan d’architecture n’est pas une migration. Remplacer Windows et Office chez des agents habitués à ces outils suppose de la formation, de l’accompagnement et une bonne compatibilité avec les documents échangés avec l’extérieur, autant de sujets sur lesquels le projet n’en est qu’au stade de l’essai. C’est au déploiement réel, et non aux annonces, que DAWO devra être jugé.

Pour une TPE, une PME ou un particulier, DAWO n’est pas un produit à installer demain matin. Mais il valide une méthode que nous défendons au quotidien : repérer les dépendances critiques, en particulier la messagerie et les documents, puis s’appuyer sur des briques libres éprouvées comme Nextcloud, Collabora ou Element, que l’on peut héberger soi-même ou confier à un prestataire de proximité. Si un État européen juge raisonnable de s’organiser pour qu’aucun fournisseur ne puisse couper son bureau du jour au lendemain, la question mérite d’être posée à l’échelle d’une entreprise de dix personnes : que se passerait-il si votre compte en ligne était suspendu demain ?

Sources

• Ministère néerlandais de l’Intérieur (MinBZK) — dépôt DAWO sur code.overheid.nl
• MinBZK — dépôt DAWO-NixOS sur code.overheid.nl
• Codeberg — fichier de licence du dépôt DAWO-Core
• heise online — Netherlands builds sovereign government desktop based on NixOS (30 septembre 2026)
• It’s FOSS — The Netherlands Built a Nix-Based Linux Desktop Because Microsoft Cut Off the ICC (26 septembre 2026)
• Binnenlands Bestuur — Vier gemeenten testen autonome digitale werkomgeving (3 avril 2026)
• heise online — Microsoft denies mail blockade at the International Criminal Court (5 juin 2025)
• Wikipédia (en) — NixOS

Pour ceux qui ne le connaissent pas, F-Droid est une alternative à Google Play fondée en 2010 par Ciaran Gultnieks. Son catalogue ne propose que des logiciels libres et open source, c’est-à-dire dont le code est public et modifiable par tous. Le projet ne suit pas ce que vous installez, et sa sélection met l’accent sur la vie privée et la liberté des utilisateurs. Autre particularité : F-Droid compile lui-même la plupart des applications à partir de leur code source public, sur sa propre infrastructure, puis les signe avec sa propre clé. Ce détail technique est au cœur de son conflit avec Google. L’application F-Droid elle-même est publiée sous licence GNU GPL version 3 ou ultérieure.

Une refonte en profondeur

F-Droid 2.0 n’est pas un simple coup de peinture. Selon l’annonce officielle, des composants clés ont été réécrits avec Kotlin Compose, la boîte à outils aujourd’hui standard pour construire les interfaces Android. Objectif affiché : alléger la maintenance et faciliter les contributions, pour consacrer plus de temps à améliorer l’expérience des utilisateurs et moins à lutter contre la dette technique, c’est-à-dire les vieux choix de code qui freinent chaque évolution. La navigation tient désormais en trois espaces : Découvrir, Rechercher et Mes applications. Cette version arrive après plus d’un an de travail et 14 versions de test, et le travail de développement de Torsten Grote sur la nouvelle application a été financé par NLnet, au titre du fonds Mobifree.

L’écran Découvrir met en avant les applications récemment ajoutées ou mises à jour et, nouveauté, les plus téléchargées du dépôt. La recherche ne se limite plus aux noms : elle porte aussi sur les descriptions, les catégories et les contenus traduits, avec des progrès importants pour le chinois, le japonais et le coréen. L’espace Mes applications rassemble au même endroit les applications installées, les mises à jour et les problèmes éventuels. Le tout, insiste F-Droid, sans pister l’utilisateur ni chercher à le retenir toujours plus longtemps dans l’application, à rebours des boutiques grand public.

Quelques points méritent toutefois l’attention. F-Droid 2.0 exige Android 7.0 ou plus récent : un correctif apparu avec Android 7 a contraint l’équipe à abandonner Android 6, mais les anciennes versions de F-Droid continueront de fonctionner sur les vieux appareils. L’équipe reconnaît aussi que certaines fonctions familières ont changé, déménagé ou disparu au passage. Enfin, la version 2.0 télécharge et installe désormais les mises à jour par défaut ; les réglages existants restent respectés pour qui préfère garder la main. Rien de rédhibitoire, mais mieux vaut le savoir avant de mettre à jour une flotte de téléphones.

Le verrou de Google

Depuis le 30 septembre 2026, Google applique sa vérification des développeurs au Brésil, en Indonésie, à Singapour et en Thaïlande. Elle concerne tous les utilisateurs qui installent des applications depuis les boutiques participantes, sur les appareils certifiés fonctionnant sous Android 7 ou une version plus récente. Selon F-Droid, ces appareils certifiés représentent plus de 95 % des appareils compatibles Android hors de Chine. Et Google l’annonce sans détour : la vérification sera étendue en 2027 à toutes les applications, partout dans le monde, sur les appareils certifiés.

La page de présentation de F-Droid s’ouvre sur cet avertissement : « F-Droid is under threat. Google is changing the way you install apps on your device. »

F-Droid s’y oppose frontalement. Dans une lettre ouverte publiée le 24 février 2026, aux côtés de l’Electronic Frontier Foundation, de la Free Software Foundation Europe, de la Software Freedom Conservancy et de dizaines d’autres organisations, le projet dénonce un programme qui revient à faire payer les développeurs pour qu’ils remettent à Google une pièce d’identité officielle et enregistrent toutes leurs applications. Sa consigne est sans ambiguïté : « We unequivocally advise against signing up for this program, now or ever. » Le problème est aussi technique : comme F-Droid compile et signe lui-même la plupart des applications, son catalogue ne correspond pas simplement au modèle d’un développeur vérifié par application.

Google a fini par prévoir une échappatoire. Dans un billet de son blog pour développeurs, l’entreprise décrit un « advanced flow », un parcours avancé destiné aux utilisateurs expérimentés : activer le mode développeur dans les réglages, redémarrer le téléphone, patienter un jour (une seule fois), puis confirmer son identité par empreinte, reconnaissance faciale ou code PIN. L’installation d’applications de développeurs non vérifiés peut alors être autorisée pour 7 jours ou sans limite de durée. Google justifie ces étapes par la lutte contre les arnaques : le redémarrage coupe par exemple tout accès à distance ou appel en cours qu’un escroc utiliserait. Android Authority signale une seconde voie officielle, l’installation par ADB, l’outil en ligne de commande des développeurs, sans délai d’attente ni redémarrage.

La chronologie mérite d’être rappelée. En février, F-Droid affirmait qu’aucun parcours avancé ne serait disponible avant le verrouillage de septembre ; Google a ensuite annoncé ce parcours, ainsi que des comptes à diffusion limitée, pour le mois d’août. Ces comptes permettent aux étudiants, enseignants et amateurs de partager une application sur 20 appareils au maximum, sans pièce d’identité ni frais d’inscription. Ces concessions ne changent pas le fond : installer une application libre hors de Google Play devient une démarche d’exception, réservée à qui accepte de fouiller dans le mode développeur et d’attendre. Pour un utilisateur peu technique, c’est une barrière bien réelle.

Que faire dès maintenant ?

En France, rien ne change pour l’instant : la vérification ne s’applique aujourd’hui qu’au Brésil, en Indonésie, à Singapour et en Thaïlande. F-Droid 2.0 s’installe et s’utilise normalement, et c’est le bon moment pour le découvrir. Le déploiement étant progressif sur plusieurs semaines, la mise à jour peut tarder à arriver si vous utilisez déjà F-Droid. D’ici 2027, deux points seront à surveiller : la façon dont Google traitera les applications compilées et signées par F-Droid, et la disponibilité effective du parcours avancé promis.

Pour nos lecteurs, particuliers comme TPE et PME, l’enjeu dépasse F-Droid. Un téléphone professionnel sur lequel on installe un client Nextcloud, une messagerie chiffrée ou un gestionnaire de mots de passe libres dépend d’un canal de distribution dont Google fixe seul les règles. F-Droid 2.0 montre qu’une boutique libre et sans pistage peut offrir une expérience moderne ; la vérification des développeurs rappelle combien cette liberté reste fragile sur Android. Nous conseillons d’installer F-Droid dès maintenant sur les appareils compatibles, de privilégier les applications libres pour les usages sensibles et de suivre de près le calendrier de Google d’ici 2027.

Sources

• F-Droid — F-Droid 2.0: A New Chapter for Android Freedom (24 septembre 2026)
• F-Droid — An Open Letter Opposing Android Developer Verification (24 février 2026)
• F-Droid — À propos (About)
• F-Droid — Fiche de l’application F-Droid
• Android Developers — Android developer verification
• Android Developers Blog — Android developer verification: Balancing openness and choice with safety (mars 2026)
• AlternativeTo — Open source Android app store F-Droid 2.0 arrives with a major design and code overhaul (25 septembre 2026)
• Android Authority — How to bypass Android developer verification sideloading rules (1er octobre 2026)
• Pinggy — F-Droid Rebuilt Its App Store Right as Android Locks Down Sideloading (24 septembre 2026)

L’histoire commence modestement. Interrogé par France Info, Camille Bouvat explique avoir créé l’application en quelques heures, d’abord pour lui-même : « Quand je l’ai sortie, je l’ai faite pour moi, pour mes proches et ça a très vite pris. » Son objectif tenait en une phrase : « Mon but était de faire quelque chose de simple, en toute transparence, qui respecte la vie privée aussi. » Il s’est inspiré d’outils comme Orange Téléphone, devenus payants. Le nom, lui, est un jeu de mots que France Info qualifie de « blague de collégien ».

Une base de numéros stockée sur le téléphone

Le principe est simple : les listes de numéros à bloquer sont stockées sur le téléphone. Chaque appel entrant est comparé à cette base locale, sans requête vers un serveur, ce qui permet à l’application de fonctionner hors connexion. Sur iPhone, elle s’appuie sur les extensions CallKit d’Apple : le blocage est assuré par le système lui-même, avant même que le téléphone ne sonne. Sur Android, elle utilise le service de filtrage d’appels du système (Call Screening Service), à partir d’Android 10. Côté iPhone, il faut iOS 15.6 ou plus récent, et l’application ne pèse que quelques mégaoctets.

Ces listes viennent de deux sources : les données de l’ARCEP, le régulateur des télécoms, et les signalements des utilisateurs. Depuis le 1er janvier 2023, l’ARCEP réserve en effet aux centres d’appels des tranches de numéros précises (01 62, 01 63, 02 70, 02 71, 03 77, 03 78, 04 24, 04 25, 05 68, 05 69, 09 48 et 09 49) et interdit d’utiliser des numéros fixes, mobiles (06 et 07) ou en 09 pour les appels émis par des systèmes automatisés, sauf exceptions prévues au plan de numérotation. Bloquer ces tranches entières écarte mécaniquement une grande partie du démarchage commercial, comme l’explique Korben. L’application iOS décrit ces ensembles par des motifs à jokers, du type 33899###### (un préfixe suivi de chiffres quelconques), plutôt que numéro par numéro.

La base est mise à jour en arrière-plan : le dépôt de l’application iOS évoque un rafraîchissement toutes les six heures, tandis qu’iGeneration décrit une mise à jour quotidienne lorsque l’iPhone est en charge et connecté au Wi-Fi. La liste a grossi vite : 12 millions de numéros début avril 2026 selon La Dépêche, 15 millions deux semaines plus tard d’après France Info, environ 16 millions aujourd’hui. France Info précise qu’elle inclut aussi des numéros en 07 déjà signalés comme tentatives d’hameçonnage, au-delà des seuls préfixes réservés.

Vie privée et code ouvert

C’est sans doute l’argument le plus fort. Selon sa politique de confidentialité, l’application « ne collecte aucune donnée personnelle », ne demande pas d’accès à vos contacts et n’utilise ni cookie ni service tiers. Deux échanges seulement ont lieu avec le serveur : le téléchargement régulier des listes, qui ne transmet aucune donnée, et le signalement volontaire d’un numéro, qui envoie ce numéro accompagné d’un identifiant aléatoire (UUID) généré à l’installation. Les données sont hébergées en France, chez Scaleway.

Le code source est publié sous licence GNU GPLv3 : transparent et auditable par tous.

Cette transparence ne repose pas que sur une promesse : le code des applications iOS (en Swift) et Android (en Kotlin) est publié sur Codeberg, ce qui permet à quiconque de l’examiner, de l’améliorer ou de le compiler soi-même. Les deux dépôts affichent plusieurs centaines de commits chacun, signe d’un projet suivi de près. L’application Android est aussi distribuée sur F-Droid, le catalogue d’applications libres, qui signale simplement qu’elle s’appuie sur un service réseau, saracroche.org, pour le signalement des numéros.

Au-delà des appels : SMS, signalement et feuille de route

Depuis février 2026, Saracroche filtre aussi les SMS indésirables sur iPhone. Il suffit de la choisir comme service de filtrage dans les réglages de Messages, explique iGeneration, qui précise qu’on peut également signaler un appel indésirable directement depuis l’historique d’appels. Sur Android, la fiche F-Droid mentionne elle aussi le blocage des SMS, ainsi qu’un mode « contacts uniquement », des listes personnelles de numéros bloqués ou autorisés, des motifs à jokers et un annuaire inversé. Le site du projet propose d’ailleurs lui aussi un annuaire inversé en ligne.

La feuille de route publique donne la suite : une liste dédiée aux SMS frauduleux (préparée pour la version 5), une liste participative, alimentée par les signalements de la communauté et mise à jour chaque jour (version 6), la possibilité de choisir entre plusieurs listes (ARCEP, opérateurs…), une liste blanche personnalisable, une extension à d’autres pays (Belgique, Suisse, Canada…) et une API publique pour consulter les numéros signalés.

Gratuite, mais pas sans soutien

Saracroche est développée bénévolement et vit de dons volontaires (carte bancaire, PayPal ou Liberapay) : ni publicité, ni revente de données, ni abonnement, résume Presse-citron. Le projet propose aussi une édition destinée aux entreprises, avec tableau de bord centralisé, listes de numéros de confiance et déploiement sur les parcs de téléphones par MDM, d’après le dépôt iOS ; l’application grand public, elle, reste gratuite. Pour aider autrement, le site invite à la partager, à la noter, à signaler des numéros indésirables ou à contribuer au code.

La presse s’en est largement fait l’écho : le site recense une vingtaine de reprises, d’iGeneration en avril 2025 à 20 Minutes en mai 2026, en passant par Le Monde, Numerama, France Info, BFMTV, Ouest-France ou 01net. En avril 2026, France Info comptait plus de 600 000 utilisateurs ; le site du projet en affiche désormais 2,3 millions.

Une loi qui ne règle pas tout

Le contexte légal vient pourtant de changer. Depuis le 11 août 2026, le démarchage téléphonique auprès des consommateurs suppose leur accord préalable, explicite, libre et éclairé, sauf exceptions comme un contrat en cours, et la liste d’opposition Bloctel a été supprimée, selon l’Institut national de la consommation. Camille Bouvat dit s’attendre, rapporte France Info, à ce que ces nouvelles règles soient vite contournées. Une loi n’arrête de toute façon que ceux qui la respectent : les arnaqueurs n’en tiennent aucun compte.

Saracroche n’est pas une solution magique. Elle repose sur des listes : un numéro usurpé ou jamais signalé peut passer entre les mailles, ce que relève Korben, pour qui l’application ne bloque pas de façon fiable les numéros usurpés utilisés dans les arnaques. Face aux escroqueries, la vigilance reste la meilleure défense : ne jamais communiquer un code reçu par SMS et, en cas de doute sur un appel de sa banque, raccrocher puis rappeler le numéro officiel.

Chez Azure Informatique, nous défendons le logiciel libre, l’hébergement en France et le respect de la vie privée : Saracroche coche les trois. Elle montre aussi ce qu’un développeur seul peut accomplir avec une idée simple, un code ouvert et la confiance de ses utilisateurs. Nous la recommandons aux particuliers comme aux professionnels, et nous pouvons vous aider à la déployer sur vos téléphones. Si elle vous rend service, un don, une note ou le signalement d’un numéro suffisent à la faire vivre.

Sources

• Saracroche — site officiel (fonctionnement, chiffres, soutien au projet, revue de presse)
• Saracroche — politique de confidentialité
• Saracroche — feuille de route
• Saracroche — soutenir le projet
• Codeberg — saracroche-ios (code source, licence GPLv3, README)
• Codeberg — saracroche-android (code source, licence GPLv3)
• F-Droid — fiche de l’application Saracroche
• App Store — fiche de l’application Saracroche
• France Info — « Mon but était de faire quelque chose de simple » : l’application Saracroche pour mettre fin au démarchage téléphonique (21 avril 2026)
• La Dépêche — l’astuce d’un développeur toulousain pour bloquer 12 millions de numéros (6 avril 2026)
• Korben — Saracroche, l’application qui bloque le démarchage (14 mai 2026, mis à jour le 1er août)
• Presse-citron — cette application française gratuite bloque 16 millions de numéros
• iGeneration — Saracroche ajoute le filtrage des SMS indésirables (16 février 2026)
• ARCEP — plan de numérotation : règles pour les professionnels (décision n° 2022-1583, en vigueur depuis le 1er janvier 2023)
• Institut national de la consommation — la liste Bloctel est supprimée depuis le 11 août 2026

Pourquoi garder son IA chez soi

Le guide de l’ANSSI publié le 29 avril 2024 détaille ce que recouvrent les données sensibles : données personnelles, informations contractuelles, juridiques et financières, secrets informatiques comme les mots de passe ou les clés d’API, sans oublier les informations classifiées ou à diffusion restreinte. L’agence en explique la raison : l’isolation entre clients et la confidentialité des données envoyées à un service en ligne reposent uniquement sur la confiance accordée au fournisseur, et dans la majorité des services, ces données sont collectées et utilisées pour optimiser les modèles.

L’ANSSI recommande de ne pas confier de données sensibles à un service d’IA générative accessible au public.

Le risque n’a rien de théorique. En avril 2023, Samsung a découvert qu’un ingénieur avait transmis du code source interne à ChatGPT ; l’entreprise a ensuite interdit les outils d’IA générative à ses employés, comme l’a rapporté Bloomberg début mai 2023. Côté régulateur, l’autorité italienne de protection des données a infligé à OpenAI, le 20 décembre 2024, une amende de 15 millions d’euros, notamment pour avoir entraîné ses modèles avec des données personnelles sans base légale appropriée et pour ne pas avoir notifié une violation de données survenue en mars 2023. Le dossier a ensuite été transféré aux autorités irlandaises, puisque OpenAI s’est établie à Dublin.

La CNIL, dans ses recommandations du 18 juillet 2024 sur le déploiement d’une IA générative, conseille de choisir un mode de déploiement sécurisé, par exemple en « privilégiant le recours à des systèmes locaux, sécurisés et spécialisés ». À défaut, il faut déterminer dans quelle mesure le prestataire peut réutiliser les données qu’on lui fournit. S’ajoute la question du droit applicable : le CLOUD Act américain oblige les fournisseurs de services concernés à communiquer les données qu’ils contrôlent, que celles-ci soient stockées aux États-Unis ou à l’étranger. Héberger ses données en Europe chez un fournisseur soumis à ce texte ne règle donc pas, à lui seul, la question.

Au-delà de la conformité, l’IA locale a des avantages très concrets. Elle fonctionne sans connexion à Internet. Son coût ne dépend ni d’un abonnement par utilisateur ni d’une facturation à l’usage : on paie le matériel et l’électricité. On peut la brancher sur ses propres documents sans rien faire sortir du réseau, et décider soi-même du moment où l’on change de modèle. Quand le modèle tourne en local, l’éditeur d’Ollama affirme dans sa FAQ ne voir ni les requêtes ni les données.

Libre, mais libre jusqu’où ?

Le mot « libre » mérite toutefois une définition précise. L’Open Source Initiative (OSI) a publié sa définition de l’IA open source, qui exige les quatre libertés (utiliser, étudier, modifier, partager), des informations suffisamment détaillées sur les données d’entraînement, le code complet d’entraînement et d’exécution, ainsi que les paramètres du modèle. Rares sont les modèles qui y répondent. La plupart sont à « poids ouverts » : leurs paramètres sont téléchargeables sous une licence libre comme Apache 2.0, en général sans que les données d’entraînement soient publiées. C’est le cas de plusieurs modèles de Mistral AI, de Qwen, d’OpenAI (gpt-oss) et de Google (Gemma 4), dont les fiches Hugging Face indiquent cette licence. Les plus ouverts sont OLMo 3, de l’Allen Institute for AI, qui publie données, code et poids, et Luciole, du consortium français OpenLLM-France et de LINAGORA, qui publie ses poids, son code d’entraînement et ses jeux de données de post-entraînement.

Nous écartons ici les modèles sous licence maison. L’OSI a jugé dès 2023 que la licence de Llama 2, le modèle de Meta, n’est pas une licence open source, notamment à cause de restrictions d’usage. Et même chez un éditeur qui publie en Apache 2.0, certains modèles ont une autre licence : Mistral Medium 3.5, par exemple, est étiqueté « other » sur Hugging Face. Avant de télécharger un modèle, vérifiez toujours sa licence sur sa fiche.

Les outils pour s’y mettre

Pour faire tourner un modèle, il faut d’abord un moteur d’inférence. llama.cpp, sous licence MIT, en est la référence : une implémentation en C/C++ sans dépendances, qui sait aussi servir une API compatible avec celle d’OpenAI, et qui compte plus de 130 000 étoiles sur GitHub. Ollama (licence MIT, plus de 180 000 étoiles) s’appuie sur llama.cpp pour simplifier l’installation : une commande suffit pour télécharger et lancer un modèle. Il écoute par défaut sur l’adresse locale 127.0.0.1, port 11434. Ollama propose aussi un service cloud ; pour rester strictement local, sa FAQ officielle indique de définir la variable OLLAMA_NO_CLOUD=1. Pour des serveurs équipés de cartes graphiques, vLLM (Apache 2.0, plus de 90 000 étoiles) et LocalAI (MIT) sont d’autres alternatives libres.

Pour dialoguer avec le modèle sans passer par la ligne de commande, plusieurs interfaces libres existent : LibreChat (MIT), AnythingLLM (MIT) et Jan (Apache 2.0, développé par Menlo Research). Les utilisateurs de Nextcloud disposent d’une option intégrée : l’application llm2 sert de moteur à l’assistant Nextcloud, s’appuie sur llama.cpp et fonctionne entièrement sur le serveur, avec des modèles open source. Sa documentation demande une carte NVIDIA avec au moins 8 Go de mémoire vidéo et 12 Go de RAM, ou 12 Go de RAM minimum et 10 à 20 cœurs sans carte graphique, et recommande Qwen 3.5 9B, Gemma 4 E4B (qu’elle juge meilleur pour les langues européennes) et OLMo 3 7B Instruct. Une absente notable : Open WebUI, très répandue, ne répond plus aux critères. Depuis le 18 avril 2025, sa licence contient une clause qui interdit de retirer ou de modifier la marque « Open WebUI », sauf pour moins de 50 utilisateurs sur 30 jours, avec une autorisation écrite ou une licence entreprise. Ce n’est plus une licence libre standard : nous ne la retenons pas.

Quels modèles, pour quelle machine ?

Les tailles ci-dessous sont celles des téléchargements proposés par Ollama, en versions quantifiées (compressées) : prévoyez un peu plus de mémoire pour le contexte. Ministral 3, de Mistral AI, éditeur français, existe en 3, 8 et 14 milliards de paramètres, pour 3,0 Go, 6,0 Go et 9,1 Go. Sa fiche indique que la version 8B tient dans 12 Go de mémoire vidéo en FP8, et moins une fois quantifiée. Il gère le français, les images et 256 000 jetons de contexte, sous Apache 2.0. gpt-oss-20b d’OpenAI (Apache 2.0) pèse 14 Go, et son grand frère gpt-oss-120b 65 Go. Qwen3.8-27B (Apache 2.0) en demande 18 Go. Côté français, Luciole 8B est à suivre, mais sa fiche précise qu’il a été post-entraîné presque uniquement sur des données en anglais. De son côté, la documentation de Nextcloud indique qu’OLMo ne fonctionne bien qu’avec des textes en anglais : ces deux modèles conviennent donc moins à un usage en français.

Avec 16 Go de mémoire vidéo, Ministral 3 14B (9,1 Go) ou gpt-oss-20b (14 Go) entrent en mémoire, mais pas Qwen3.8-27B (18 Go). Les modèles de plus de 100 milliards de paramètres, comme gpt-oss-120b, relèvent d’un serveur. Sans carte graphique, tout fonctionne aussi, mais plus lentement. Et le matériel a un coût : la pénurie de mémoire a fait grimper les prix, comme nous l’expliquions dans notre article sur la hausse des prix de la RAM et des SSD.

Les limites à connaître

Première limite : il ne faut pas attendre d’un petit modèle local les performances des plus grands modèles propriétaires. L’écart se réduit pourtant vite. Selon le rapport 2025 de l’AI Index de Stanford, le meilleur modèle propriétaire devançait le meilleur modèle à poids ouverts de 8,04 % sur le classement Chatbot Arena en janvier 2024, contre 1,70 % en février 2025. Ce classement compare toutefois les meilleurs modèles de chaque camp, qui peuvent être trop gros pour un poste de travail, et il mesure la préférence moyenne d’utilisateurs, pas la qualité sur votre métier. Enfin, comme tous les modèles de langage, ceux-ci peuvent se tromper : la CNIL rappelle que ces systèmes « sont susceptibles de générer des résultats inexacts qui peuvent, pourtant, paraître plausibles ».

Deuxième limite : la sécurité. Un serveur local mal configuré n’est plus local. En 2025, des chercheurs de Cisco ont recensé avec le moteur de recherche Shodan 1 139 serveurs Ollama accessibles depuis Internet, dont 214 (18,8 %) faisaient tourner des modèles et répondaient aux requêtes. Ollama n’écoute que sur 127.0.0.1 par défaut : le danger vient de la modification de l’adresse d’écoute pour ouvrir le service au réseau sans authentification. Cisco recommande une authentification par clé d’API ou OAuth2, une segmentation du réseau et des pare-feux ; nous ajoutons un accès par VPN ou un proxy inverse authentifié. Les modèles eux-mêmes forment une chaîne d’approvisionnement : l’ANSSI avertit qu’utiliser un modèle entraîné par un tiers peut exposer à une attaque, et recommande d’évaluer la confiance accordée aux bibliothèques et aux sources de données. Téléchargez donc vos modèles depuis les dépôts officiels de leurs auteurs.

Par où commencer ? La CNIL conseille de partir d’un besoin concret plutôt que de déployer une IA sans but précis. Choisissez une tâche (résumer des comptes rendus, reformuler, traduire), installez Ollama sur un poste, testez Ministral 3 8B, puis ajoutez une interface comme LibreChat ou Jan, ou l’assistant Nextcloud si vous l’utilisez déjà. Une IA locale protège vos données, mais elle ne dispense ni de vérifier les réponses ni de sécuriser le serveur. Azure Informatique peut vous aider à choisir le matériel, à installer la solution et à la configurer, dans le même esprit bénévole et gratuit que pour le reste de son accompagnement.

Sources

• ANSSI — Recommandations de sécurité pour un système d’IA générative (ANSSI-PA-102, 29 avril 2024, traduction anglaise)
• CNIL — Comment déployer une IA générative ? (18 juillet 2024)
• Cornell Law School — 18 U.S. Code § 2713 (CLOUD Act)
• Next — ChatGPT : la CNIL italienne inflige une amende de 15 millions d’euros à OpenAI (décembre 2024)
• Forbes Australia — Samsung bans ChatGPT among employees after sensitive code leak (mai 2023)
• Open Source Initiative — Open Source AI Definition 1.0
• Open Source Initiative — Meta’s LLaMa 2 license is not Open Source (juillet 2023)
• Ai2 — Olmo 3 (20 novembre 2025)
• Hugging Face — Luciole-8B-Instruct-1.1 (OpenLLM-France, LINAGORA)
• Hugging Face — Ministral 3 8B Instruct (Mistral AI, Apache 2.0)
• Hugging Face — Mistral Medium 3.5 (licence « other »)
• Hugging Face — Qwen3.8-27B (Apache 2.0)
• Hugging Face — gpt-oss-20b (OpenAI, Apache 2.0)
• Hugging Face — Gemma 4 12B (Google, Apache 2.0)
• Ollama — modèle ministral-3 (tailles des téléchargements)
• Ollama — modèle gpt-oss (tailles des téléchargements)
• Ollama — modèle qwen3.8 (tailles des téléchargements)
• Ollama — FAQ officielle (confidentialité, OLLAMA_NO_CLOUD, adresse d’écoute)
• GitHub — ollama/ollama (licence MIT)
• GitHub — ggml-org/llama.cpp (licence MIT)
• GitHub — vllm-project/vllm (licence Apache 2.0)
• GitHub — mudler/LocalAI (licence MIT)
• GitHub — danny-avila/LibreChat (licence MIT)
• GitHub — Mintplex-Labs/anything-llm (licence MIT)
• GitHub — Jan, licence Apache 2.0 (Menlo Research)
• GitHub — Open WebUI, texte de la licence (clause de marque)
• GitHub — Open WebUI, historique du fichier de licence (18 avril 2025)
• Nextcloud — Documentation de l’application llm2 (modèle de langage local)
• Stanford HAI — AI Index 2025, performances techniques (écart modèles ouverts / fermés)
• Cisco — Detecting exposed LLM servers: a Shodan case study on Ollama (1er septembre 2025)

Un label né dans le monde du libre

Le label est une initiative de l’ADULLACT, dont le siège est à Montpellier, en partenariat avec l’AFUL, l’April, l’association Déclic, le cluster Naos, la commune de Saint-Martin-d’Uriage, OW2 et le Conseil national du logiciel libre (CNLL), réunis dans un comité d’orientation. Il s’adresse à toutes les collectivités françaises, des villages aux régions, en passant par les intercommunalités, les syndicats et les centres de gestion. La candidature est gratuite et ne demande aucune adhésion. Sont évalués l’usage de logiciels et de systèmes d’exploitation libres, les formats ouverts, l’ouverture des données publiques, la mutualisation et la promotion du libre.

Le dispositif a été refondu en 2025. Annoncée à l’assemblée générale de l’ADULLACT du 3 juin 2025, la nouvelle formule remplace l’ancienne échelle de un à cinq « copyleft » par un badge, premier palier très simple à obtenir, et par un label à trois grades : bronze pour un premier pas, argent pour un usage avancé, or pour « une forme d’excellence ». Quatre mentions spéciales s’y ajoutent. À l’issue de la campagne 2025, 36 collectivités ont été récompensées lors du Congrès des maires, le 19 novembre 2025, contre 24 un an plus tôt. Trois ont décroché l’or : Morbihan Énergies, Boé (Lot-et-Garonne) et Échirolles (Isère).

Des collectivités qui ont franchi le pas

Les exemples ne manquent pas, et certains sont frappants. Boé, commune de 5 700 habitants, avait déjà obtenu la note maximale de l’ancienne échelle en 2024, avec 95 % de son parc sous Linux/Ubuntu et LibreOffice sur tous les postes, selon Localtis, le service d’information de la Banque des Territoires. À Grenoble, le passage au libre permet d’éviter les licences de 1 600 ordinateurs dans les écoles. Lyon, elle aussi labellisée, a annoncé en juin 2025 vouloir remplacer Microsoft Office par OnlyOffice, passer à Linux et à PostgreSQL, et appuyer le travail collaboratif sur une suite maison déjà utilisée par plusieurs milliers d’agents dans neuf collectivités. Il s’agit d’un plan, dont les résultats restent à mesurer ; nous avons détaillé l’un de ses outils dans notre article sur OnlyOffice et Nextcloud.

Et en Alsace ? Dans la liste officielle des 112 labellisés, la Région Grand Est a été distinguée de 2018 à 2021, au niveau 3 d’abord, puis au niveau 4. L’Eurométropole de Strasbourg a obtenu le badge en 2025 : c’est la seule entité alsacienne de la liste, hors Région. Elle s’appuie sur une cellule « Stratégie logiciels libres » rattachée à sa démarche de numérique responsable, qui défend la sobriété, la solidarité et les libertés numériques. Sa page de présentation ne donne toutefois aucun chiffre sur la part des postes ou du budget concernés. Côté lorrain, on trouve Nancy, Vandœuvre-lès-Nancy et la communauté d’agglomération de Forbach Porte-de-France.

Le cas de Nancy invite à la prudence. La ville a obtenu le niveau 4 en 2018, puis le niveau 5, le plus haut de l’ancienne échelle, en 2019. Pourtant, selon Localtis en décembre 2024, Nancy « a mis à l’arrêt sa stratégie open source à l’issue du changement de majorité » : nous n’avons pas trouvé de seconde source pour confirmer ce point, mais il rappelle qu’un label récompense une politique à un instant donné, pas sa durabilité.

L’exemple le plus célèbre reste celui de Munich. Sa démarche LiMux avait basculé 15 000 postes vers des logiciels libres et des formats ouverts. En 2017, le conseil municipal a voté l’élaboration d’une stratégie de retour vers Windows. Un rapport commandé à Accenture, partenaire de Microsoft selon la Free Software Foundation Europe, y voyait surtout des problèmes d’organisation ; l’association rétorque que ceux-ci ne doivent pas être confondus avec des choix techniques. À Nancy comme à Munich, ce qui décide de la réussite d’une migration, c’est la volonté politique et l’organisation, bien avant le logiciel.

Un label, pas un audit

Que mesure donc le label ? Le questionnaire 2026 compte six parties. Il pose surtout des questions fermées (oui ou non, pourcentages) : part des postes sous système libre, suite bureautique libre exclusive ou secondaire, serveurs sous Linux, part du budget logiciel consacrée au libre, coût payé pour les licences Microsoft, nombre de jeux de données ouverts. Cinq rubriques réclament en plus un texte libre d’au moins 1 000 caractères, où la collectivité décrit sa stratégie, ses freins et ses résultats. Le jury tient compte des compétences réelles de chaque type de collectivité : une commune n’est pas pénalisée pour ce qui ne la concerne pas.

Reste la question de la vérification. Le règlement indique que l’organisateur instruit chaque dossier selon un barème préétabli, puis que le jury statue ; le badge, lui, repose sur une évaluation automatique. Dans les pages officielles que nous avons consultées, le seul contrôle technique mentionné est un audit d’accessibilité de la page d’accueil, avec l’outil libre Asqatasun, qui rapporte quelques points bonus à partir de la note C. Les pourcentages de postes sous Linux ou de budget consacré au libre sont déclarés par les collectivités elles-mêmes. Cela ne veut pas dire qu’ils sont faux, mais qu’aucun audit externe de ces chiffres n’est décrit.

Le contexte compte aussi. Le comité d’orientation, qui fixe les critères et désigne le jury, s’auto-régule par cooptation, et le jury 2026 est composé de représentants de l’ADULLACT, de l’April, d’OW2, du CNLL et de Déclic. Le site se présente comme « indépendant » et gratuit, et il vante lui-même « un outil de communication efficace » pour les collectivités engagées. Le questionnaire du badge propose d’ailleurs, parmi les réponses sur la dépendance aux grands acteurs du numérique, « Microsoft, ça fait 30 ans que ça fonctionne, mais j’assume cette dépendance » : une formulation qui n’est pas neutre. Rien de scandaleux, car un label militant n’a pas à l’être, mais il ne faut pas le lire comme autre chose.

Le label Territoire Numérique Libre, porté par des associations du libre, est un outil de promotion assumé, pas un audit indépendant.

Les chiffres appellent la même prudence. Selon la direction générale des collectivités locales, la France comptait 34 875 communes et 1 252 intercommunalités à fiscalité propre au 1er janvier 2026. Rapportés à ce total, les 112 labellisés pèsent environ 0,3 %, un ordre de grandeur seulement, puisque la liste mêle aussi départements, syndicats et centres de gestion, et que plusieurs entités y figurent sous deux intitulés (Grand Châtellerault, l’agglomération dracénoise, le Puy-en-Velay, Gironde Numérique). Les labellisés sont en outre candidats volontaires, ce qui n’a rien d’un échantillon représentatif. Localtis relevait déjà en 2024 que les mêmes collectivités reviennent chaque année, avec seulement 5 nouveaux participants, ce qui « pourrait laisser penser à une stagnation ». Le journal nuance toutefois : beaucoup de collectivités utilisent du libre sans le savoir, comme la plateforme libre S2low pour le contrôle de légalité. Et la hausse de 24 à 36 récompenses en 2025 doit se lire à la lumière du nouveau badge, plus facile à décrocher.

Ce qui freine vraiment

Ce qui freine, ce sont d’abord les habitudes. « Les agents ont l’habitude de travailler avec des logiciels propriétaires chez eux, cela demande beaucoup de travail de pousser les logiciels libres », reconnaît Jean Gaëtan Cognard, élu de Saint-Égrève, cité par Localtis ; Fontaine constate « la même réticence au changement ». La clé, selon un adjoint d’Échirolles, est un « alignement des planètes entre les élus, le DG et la DSI ». Localtis notait aussi, fin 2024, que les outils bureautiques de la suite numérique de l’État n’étaient pas encore accessibles aux collectivités. Cette situation a pu évoluer depuis, et nous y revenons dans notre article sur le retard numérique des services publics.

Le label reste un bon repère : il oblige à faire le point sur ses usages, il met en relation des collectivités qui partagent leurs solutions, et il donne de la visibilité à celles qui investissent. Il ne remplace ni un audit, ni un bilan chiffré. Les collectivités ont jusqu’au 11 octobre 2026 à 23 h 59 pour candidater, la remise des prix aura lieu le 25 novembre à Paris pendant le 108e Congrès des maires, et le badge, nouveauté 2026, se demande désormais toute l’année. Une commune, une association ou une PME alsacienne qui veut évaluer sa dépendance aux logiciels propriétaires peut partir des mêmes questions que le label. Azure Informatique peut vous y aider, dans le même esprit bénévole et gratuit que pour le reste de son accompagnement.

Sources

• Territoire Numérique Libre — site officiel du label
• Territoire Numérique Libre — Découvrir le label (niveaux, partenaires)
• Territoire Numérique Libre — Règlement du label
• Territoire Numérique Libre — Comité d’orientation
• Territoire Numérique Libre — Édition 2026 (jury, calendrier, badges 2026)
• Territoire Numérique Libre — Candidatures ouvertes pour 2026 (6 septembre 2026)
• Territoire Numérique Libre — Questionnaire officiel du label 2026 (PDF)
• Territoire Numérique Libre — Questionnaire officiel du badge 2026 (PDF)
• Territoire Numérique Libre — Liste des 112 territoires labellisés
• Territoire Numérique Libre — Résultats de l’édition 2025
• Territoire Numérique Libre — Résultats de l’édition 2018
• Territoire Numérique Libre — Résultats de l’édition 2019
• Territoire Numérique Libre — Résultats de l’édition 2021
• ADULLACT — Le label Territoire Numérique Libre fait peau neuve pour sa 10e édition (2025)
• Localtis (Banque des Territoires) — Ces territoires qui font le choix du logiciel libre (6 décembre 2024)
• Eurométropole de Strasbourg — Stratégie logiciels libres
• Next — Lyon abandonne Microsoft Office pour renforcer sa souveraineté numérique (juin 2025)
• Free Software Foundation Europe — Ce qui s’est passé à Munich (2017)
• Direction générale des collectivités locales — Les structures territoriales au 1er janvier 2026

LibreSign est développé par LibreCode, une coopérative brésilienne de développeurs de logiciels libres. Le dépôt GitHub a été créé le 25 août 2020, le code est publié sous licence AGPL-3.0, et il compte aujourd’hui plus de 800 étoiles et 158 forks. Le projet est bien vivant : le 29 septembre 2026, des correctifs sont sortis le même jour sur trois branches en parallèle (versions 13.4.4, 14.2.4 et 15.0.5). Son site revendique plus de 203 000 téléchargements, et le projet a été reconnu « bien public numérique » (Digital Public Good) le 29 avril 2025.

Une application, pas un service de plus

L’installation ressemble à celle de n’importe quelle application Nextcloud : on la cherche dans le catalogue officiel, où elle figure notamment dans la catégorie « Office & text », on clique sur « Télécharger et activer », puis on termine la configuration en téléchargeant les binaires nécessaires et en générant le certificat racine du serveur. Rien à héberger en plus, aucun compte à créer chez un éditeur : LibreSign s’appuie sur les fichiers, les utilisateurs et le partage de votre Nextcloud, la même plateforme que celle que nous présentions dans notre article sur Nextcloud face à Microsoft 365.

Côté usage, on choisit un PDF depuis ses fichiers Nextcloud, par envoi direct ou depuis une adresse web, puis on définit l’ordre et les rôles des signataires, internes comme externes, dans une même demande. L’outil envoie les notifications et les rappels, et suit chaque demande de bout en bout : un document est signé, en attente ou encore en brouillon. Les documents signés se vérifient ensuite à tout moment, par QR code ou par identifiant. Le site officiel cite aussi les « enveloppes » pour signer un lot de documents en une fois, la protection DocMDP qui empêche toute modification du PDF après signature, et la gestion des listes de révocation de certificats.

Identifier le signataire, prouver le geste

Le point le plus intéressant se trouve dans le code source : LibreSign ne se limite pas à l’e-mail pour vérifier qu’un signataire est bien celui qu’on attend. On y trouve des méthodes d’identification par compte Nextcloud, e-mail, SMS, Signal, Telegram, WhatsApp et XMPP, ainsi que plusieurs façons de confirmer le geste : simple clic, mot de passe ou code à usage unique reçu par l’un de ces canaux. Cela laisse de la marge pour adapter l’exigence au type de document, plutôt que d’imposer un parcours unique.

La documentation officielle rappelle une distinction que beaucoup oublient : une signature « numérisée », c’est-à-dire l’image d’une signature manuscrite collée dans un PDF, ne prouve rien, puisqu’elle se copie en deux clics dans un autre document. Une vraie signature électronique repose sur un certificat et un calcul d’empreinte du fichier, qui révèle toute modification ultérieure. LibreSign enregistre en plus la date et l’heure de chaque signature et propose un horodatage, ce que le dépôt confirme par un module dédié au protocole TSA.

LibreSign génère lui-même un certificat pour chaque signataire qui n’en possède pas : la signature devient accessible à tous, sans pour autant devenir une signature qualifiée.

Reste la question du certificat, central dans tout le dispositif. À l’installation, l’administrateur génère un certificat racine propre à son serveur. Un signataire qui possède déjà un certificat personnel peut s’en servir, la FAQ citant les certificats e-CPF, e-CNPJ et ICP-Brasil, des standards brésiliens qui rappellent d’où vient le projet. Pour tous les autres, c’est LibreSign qui s’en charge, sans aucune démarche de leur part.

Quelle valeur juridique en France ?

En France, c’est le règlement européen eIDAS (n° 910/2014) qui fixe le cadre. L’ANSSI distingue quatre niveaux : simple, avancé, avancé reposant sur un certificat qualifié, et qualifié. Seule la signature qualifiée bénéficie d’un effet juridique équivalent à celui d’une signature manuscrite. Les autres ne sont pas pour autant sans valeur : l’article 25 du règlement interdit de refuser une signature comme preuve en justice au seul motif qu’elle est électronique. Mais faute de présomption de fiabilité, c’est à celui qui s’en prévaut de la démontrer en cas de contestation.

Appliqué à LibreSign, cela donne une lecture honnête : la documentation de LibreSign ne revendique pas de signature qualifiée au sens européen dans les pages que nous avons consultées, et ses références juridiques sont brésiliennes (ICP-Brasil, LGPD). Sans certificat qualifié délivré par un prestataire de confiance, une signature produite par l’outil reste donc dans la catégorie des signatures non qualifiées. Pour les validations internes, les devis ou les contrats courants, l’enjeu est surtout de pouvoir prouver qui a signé quoi et quand, et le journal d’audit de l’outil y répond. Pour un acte qui exige la signature qualifiée, un prestataire qualifié reste incontournable, et un avis juridique préalable est toujours préférable.

Libre, avec des limites assumées

Sur le plan économique, l’application est libre et s’installe sans frais depuis Nextcloud. LibreCode accepte les dons (GitHub Sponsors et Stripe) et propose des offres commerciales, un plan « Business » avec accompagnement et une offre d’intégration par API, dont les tarifs ne sont pas publiés : le site renvoie vers un contact commercial. À prendre en compte aussi : l’éditeur est brésilien et la documentation officielle que nous avons consultée est rédigée en anglais, tout comme les captures d’écran du projet.

Pour un cabinet, une association, une mairie ou une PME qui utilise déjà Nextcloud, LibreSign offre une façon de faire signer ses documents sans les confier à un tiers. Azure Informatique peut vous aider à l’installer et à le configurer dans votre Nextcloud, dans le même esprit bénévole et gratuit que pour le reste de son accompagnement.

Sources

• LibreSign — site officiel
• LibreSign — offres et tarifs
• GitHub — LibreSign/libresign (licence AGPL-3.0, README, captures)
• GitHub — LibreSign v15.0.5, publiée le 29 septembre 2026
• GitHub — code source des méthodes d’identification (compte, e-mail, SMS, Signal, Telegram, WhatsApp, XMPP)
• GitHub — code source des méthodes de confirmation de signature (clic, mot de passe, codes)
• Nextcloud App Store — LibreSign
• Documentation LibreSign — installation (administrateur)
• Documentation LibreSign — fonctionnalités (utilisateur)
• Documentation LibreSign — FAQ
• Digital Public Goods Alliance — fiche LibreSign (vérifié le 29 avril 2025)
• ANSSI — Guide de sélection du niveau des signatures et des cachets électroniques
• EUR-Lex — Règlement (UE) n° 910/2014 (eIDAS), article 25

Une association militante née en 2012

ARN naît en 2012 avec trois objectifs affichés dès l’origine : l’indépendance numérique des citoyens, l’apprentissage technique, et la préservation de la vie privée de chacun. L’association revendique une filiation avec des mouvements comme Framasoft, portée par la même ambition de réduire la dépendance aux grandes plateformes plutôt que de se contenter de la dénoncer. Elle a depuis rejoint la Fédération FDN (FFDN), qui fédère à l’échelle nationale les fournisseurs d’accès associatifs défendant les mêmes principes de neutralité et d’indépendance.

Le fonctionnement reste, plus de dix ans après, fidèle à ce départ : aucune levée de fonds, aucun salarié, une gouvernance ouverte à qui souhaite s’investir. Les décisions opérationnelles se prennent lors de la « Coollégiale », une réunion mensuelle en visioconférence où les bénévoles actifs préparent les projets à venir — ouverte à toute personne curieuse de comprendre le fonctionnement de l’association avant, éventuellement, de rejoindre ses rangs.

Trois façons de se raccorder, toutes neutres

Concrètement, ARN propose trois manières de se raccorder à Internet, chacune conforme à ses principes : la fibre optique FTTH via les réseaux partenaires ROSACE et Losange, jusqu’à 1 Gbit/s symétrique, pour 35 euros par mois plus 70 euros de frais d’accès sans engagement ; une fibre urbaine via White2Net, non encore disponible ; et un réseau radio maison, baptisé NATTA, qui relie les adhérents par antennes hertziennes jusqu’à 90 Mbit/s symétriques là où la fibre ne passe pas encore. Aucun port n’est fermé, aucune box n’est imposée, et chaque connexion reçoit une adresse IPv4 et IPv6 fixe — de quoi héberger soi-même ses services depuis son domicile, ce que la plupart des offres grand public interdisent ou compliquent délibérément.

Cette absence de salariés a une contrepartie concrète : l’adhésion — 15 euros par an — reste obligatoire pour souscrire n’importe quel service, accès Internet compris, puisque c’est elle qui finance le fonctionnement associatif plutôt qu’une marge commerciale. Le modèle est assumé comme plus contraignant qu’un abonnement classique, en échange d’un réseau dont les adhérents décident eux-mêmes des règles.

Héberger et sensibiliser, sans dépendre des géants

Le même principe irrigue le volet hébergement. Depuis ses serveurs installés à Schiltigheim, ARN loue des machines virtuelles (VPS), des emplacements en baie, et propose la « brique Internet », un boîtier d’auto-hébergement prêt à l’emploi pour qui ne veut pas tout configurer soi-même depuis un serveur nu. L’association mutualise aussi ses ressources au sein de sans-nuage.fr, sa plateforme membre du collectif CHATONS : onze services en accès libre, onze autres réservés aux adhérents, tous soumis à la même charte anti-publicité et anti-exploitation des données que le reste du réseau CHATONS.

L’hébergement et l’accès à Internet ne forment qu’un des trois piliers revendiqués par l’association, aux côtés de l’éducation populaire et de la lutte contre l’obsolescence par le logiciel libre. Le deuxième de ces piliers se traduit par des ateliers de sensibilisation et des tutoriels ouverts à qui veut comprendre ce qui se cache derrière ses outils numériques, sans prérequis technique. En mai et juin 2023, ARN a marqué dix ans d’existence par un événement baptisé « Les Noces d’Étain » : deux journées d’ateliers et d’exposition à la Semencerie de Strasbourg, suivies d’une soirée au Molodoï, en compagnie de deux autres structures du logiciel libre alsacien, Hackstub et YunoHost, qui célébraient la même année leur propre premier anniversaire à deux chiffres.

Peser dans le débat public, à Paris comme à Strasbourg

Ce même engagement s’exprime aussi sur le terrain politique, notamment via le collectif CHATONS dont ARN est membre actif. Le 17 mars 2025, le collectif publie un communiqué appelant à « revoir la copie » d’un article de la proposition de loi visant à sortir la France du piège du narcotrafic : l’article 8 ter aurait obligé les messageries chiffrées de bout en bout comme WhatsApp, Signal ou Telegram à intégrer un « destinataire fantôme », permettant aux services de renseignement de lire les conversations en clair.

Trois jours plus tard, dans la nuit du 20 au 21 mars 2025, l’amendement qui aurait réintroduit cette disposition revient devant l’Assemblée nationale, porté par le député Olivier Marleix avec le soutien du ministre de l’Intérieur Bruno Retailleau.

Les députés rejettent l’instauration d’une porte dérobée dans les messageries chiffrées par 119 voix contre 24 — un écart sans appel sur un sujet pourtant très disputé.

La loi contre le narcotrafic, promulguée en juin 2025, ne contient donc aucune porte dérobée dans les messageries chiffrées. Impossible d’attribuer ce rejet au seul communiqué du collectif — la mobilisation de la CNIL, des éditeurs de messageries et de Signal, qui avait menacé de quitter le marché français, a pesé tout autant — mais la séquence illustre concrètement à quoi sert, au quotidien, l’appartenance d’ARN à un réseau de structures qui alertent ensemble plutôt que chacune dans son coin.

Le combat suivant est moins vite gagné. Le 8 septembre 2025, le collectif CHATONS vote un nouveau communiqué, publié le 26 septembre, contre le règlement européen sur la lutte contre les abus sexuels sur mineurs — plus connu sous son surnom, « Chat Control ». Le texte, examiné par le Conseil de l’Union européenne à partir du 14 octobre 2025, prévoyait d’imposer aux services de messagerie une analyse automatisée de l’ensemble des communications, photos et messages compris, pour détecter des contenus illicites.

Le 9 juillet 2026, en session plénière à Strasbourg, le Parlement européen tente de bloquer une prolongation de ce dispositif de détection volontaire, mais échoue : 314 eurodéputés votent le rejet du texte du Conseil, contre 276, un score qui n’atteint pas la majorité absolue d’environ 360 voix exigée par la procédure pour faire barrage. Faute de mieux, les eurodéputés adoptent alors leur propre version amendée — 286 voix contre 276 — qui exclut les communications chiffrées de bout en bout du champ du texte : WhatsApp et Signal ne sont donc pas concernés, contrairement aux services qui traitent les messages côté serveur. Le règlement reste en vigueur jusqu’au 3 avril 2028, le temps que les eurodéputés négocient un cadre définitif, déjà surnommé « Chat Control 2.0 ».

Ces deux textes ne sont qu’une fraction des sujets sur lesquels ARN prend position : sa charte de revendications publiée sur son site couvre aussi la lutte contre l’obsolescence programmée — batteries amovibles, mises à jour garanties, taxation du neuf pour financer la réparation — et la reconnaissance d’un droit à ne pas utiliser le numérique, guichets humains à l’appui. Un même fil relie l’accès Internet, l’hébergement et le plaidoyer : reprendre la main sur des infrastructures numériques que la plupart des usagers n’interrogent jamais, faute d’alternative visible. Azure Informatique partage cette conviction avec les particuliers comme les professionnels qu’elle accompagne, et aide gratuitement quiconque souhaite franchir le pas vers des outils qu’il maîtrise réellement.

Sources

• Alsace Réseau Neutre — site officiel
• Alsace Réseau Neutre — Accès Internet alternatif (technologies et tarifs)
• Alsace Réseau Neutre — Espace presse
• Alsace Réseau Neutre — Nos revendications
• LinuxFr — Alsace Réseau Neutre : l’association, présentation et objectifs (2 août 2016)
• Alsace Réseau Neutre — Communiqué : Loi narcotrafic, revoyez votre copie ! (17 mars 2025)
• Datan.fr — Décompte officiel du scrutin, amendement n°640 (20 mars 2025)
• IT-Connect — L’Assemblée nationale rejette les portes dérobées sur WhatsApp, Telegram, etc.
• Alsace Réseau Neutre — Communiqué : les CHATONS contre Chat Control (26 septembre 2025)
• Euronews — Chat Control 1.0 adopté au Parlement européen « par la petite porte » (10 juillet 2026)
• Alsace Réseau Neutre — Les Noces d’Étain, 10 ans de hacking (mai 2023)

Le pari de Zorin OS : rassurer plutôt que dépayser

Zorin OS repose sur Ubuntu, l’une des distributions Linux les plus utilisées au monde : elle en hérite la stabilité, le catalogue logiciel et le rythme de support à long terme. La version actuelle, Zorin OS 18.1, sortie le 15 avril 2026, est maintenue jusqu’en juin 2029. Dès l’installation, la mise en page par défaut reprend les repères d’un bureau Windows classique — menu Démarrer en bas à gauche, barre des tâches, icônes système déjà familières — et cette mise en page fait partie des quatre incluses dans l’édition Core, entièrement gratuite, aux côtés d’une variante tactile, d’une liste façon Windows et d’un bureau GNOME Shell. Les logiciels Windows les plus courants tournent directement grâce à Wine et Bottles, deux couches de compatibilité préinstallées par défaut.

Le reste de l’édition Core suit la même logique de confort immédiat : détection automatique des pilotes graphiques NVIDIA, AMD et Intel, prise en charge du jeu vidéo via Steam, Epic Games, GOG, Lutris et itch.io directement depuis le magasin d’applications, lecteur d’écran, loupe et assistant de clic pour l’accessibilité, disponibles en plus de 100 langues, et Zorin Connect pour lier son téléphone à l’ordinateur — notifications, presse-papiers partagé, transfert de fichiers. Rien de tout cela n’exige de passer par un terminal, ni de payer quoi que ce soit.

Le bureau n’est pas le seul endroit où Zorin OS évite le dépaysement : la suite bureautique LibreOffice est préinstallée dès l’édition Core, avec une compatibilité assumée des documents Microsoft Office et 365 — ouverture, création et modification de fichiers .docx, .xlsx ou .pptx sans conversion manuelle. Un détail qui prendra tout son sens un peu plus loin, au moment d’examiner ce que la version payante prétend réellement apporter en plus.

Pro, 47,99 dollars une fois pour toutes : ce qu’elle ajoute réellement

Ce que Zorin OS Pro ajoute de façon incontestable, ce sont huit mises en page supplémentaires — imitant macOS, Windows 11, une version classique de Windows, ChromeOS, Cinnamon, Ubuntu, elementary OS, ou un simple panneau compact — là où Core doit se contenter de ses quatre mises en page d’origine. S’y ajoutent un support technique par e-mail assuré directement par l’équipe Zorin, ainsi qu’une collection de fonds d’écran exclusifs. Le tout pour 47,99 dollars (47,99 euros en France) en paiement unique, sans abonnement — une licence utilisable sur plusieurs ordinateurs pour un usage personnel, mais à racheter pour chaque poste dans un cadre professionnel.

La version Pro embarque aussi une sélection de logiciels créatifs et de productivité préinstallés : Kdenlive pour le montage vidéo, GIMP pour la retouche d’image, Inkscape pour l’illustration vectorielle, Blender pour la 3D et les effets visuels, Ardour pour la production audio, ainsi que Deskflow pour partager souris et clavier entre plusieurs ordinateurs, Planify comme gestionnaire de tâches, Xournal++ pour la prise de notes manuscrites, ou encore Network Displays pour projeter son écran sans fil — auxquels s’ajoutent, sans que Zorin en précise systématiquement les noms, un logiciel de CAO, un outil de cartes mentales, une liseuse, un agrégateur de flux RSS, un logiciel de comptabilité, un minuteur Pomodoro et un gestionnaire de mots de passe.

« Plus de 5 000 dollars de logiciels » : une addition qui ne résiste pas à l’examen

C’est sur la valeur de ce lot que la communication de Zorin Group devient contestable. La page officielle de vente de Zorin OS Pro l’affirme sans détour : « bundled with curated alternatives to over $5,000 of professional software » — livrée avec des alternatives triées sur le volet à plus de 5 000 dollars de logiciels professionnels. Elle détaille notamment le calcul poste par poste : une suite bureautique comparée à Microsoft Office Home & Business (249,99 $), un éditeur d’image et d’illustration comparé à CorelDRAW et Corel PHOTO-PAINT Standard (299 $), un éditeur audio comparé à WavePad Standard (60 $), un éditeur vidéo comparé à l’abonnement annuel d’Adobe Premiere Pro (263,88 $), un logiciel de CAO comparé à l’abonnement annuel d’AutoCAD (1 975 $), et un logiciel de 3D et d’effets visuels comparé à l’abonnement annuel de Maya (1 875 $).

Le problème n’est pas que ces logiciels manquent de sérieux : GIMP, Inkscape, Kdenlive et Blender comptent chacun parmi les références de leur catégorie, utilisés jusque dans des productions professionnelles. Le problème est ailleurs : aucun de ces programmes n’a jamais coûté un centime, sur aucune distribution Linux. GIMP, Inkscape, Kdenlive, Blender, Xournal++, Planify et Deskflow sont tous publiés sous licence libre, essentiellement la licence publique générale GNU, et s’installent gratuitement en quelques clics depuis le magasin d’applications ou les dépôts officiels d’Ubuntu, de Debian, de Fedora, de Linux Mint — et de Zorin OS Core lui-même, la version gratuite. Payer 47,99 dollars n’achète donc aucun de ces logiciels : ils étaient déjà là, gratuitement, avant même d’ouvrir son portefeuille.

Le premier poste du tableau officiel illustre le problème de la façon la plus nette : la « suite bureautique » comparée aux 249,99 dollars de Microsoft Office Home & Business n’est autre que LibreOffice. Or ce même LibreOffice est déjà préinstallé, gratuitement, dans l’édition Core que ce tableau est censé inciter à délaisser au profit de Pro. Sur les six postes qui composent l’addition mise en avant par Zorin, un au moins ne correspond donc même pas à un avantage réservé à la version payante.

Ardour, la seule vraie nuance à apporter au tableau

Une seule nuance mérite d’être apportée, pour rester exact : le code source d’Ardour est bien publié sous licence libre et peut être compilé gratuitement par quiconque, mais les versions précompilées distribuées directement par le site officiel du projet demandent un don d’un dollar minimum, faute de quoi la lecture audio s’interrompt après dix minutes d’utilisation. Cette contrainte ne s’applique toutefois pas aux paquets Ardour proposés par les dépôts officiels de Debian, d’Ubuntu ou de Fedora, compilés et redistribués gratuitement par ces distributions dans le respect de la même licence. Rien n’indique que Zorin OS Pro, qui fournit Ardour clé en main dans son propre lot payant, impose cette même limite à ses utilisateurs.

Cette lecture critique n’est pas isolée. Dans son test de Zorin OS Pro, le site américain How-To Geek documente lui-même la liste des logiciels inclus avant de conclure, commentaires de lecteurs à l’appui, que l’ensemble reste librement accessible ailleurs et que l’argument de vente porte en réalité sur la curation et le gain de temps, pas sur l’accès à des programmes autrement inaccessibles.

Sous le test de Zorin OS Pro publié par How-To Geek, un lecteur résume le problème en une question : « Why are you listing free software as features of a paid distribution? » — pourquoi vendre des logiciels gratuits comme les arguments d’une distribution payante ?

Ce que 47,99 dollars achètent réellement sur Zorin OS Pro, c’est du temps gagné à ne pas chercher, installer et configurer soi-même une dizaine de logiciels déjà gratuits, quelques mises en page supplémentaires et un support par e-mail — une proposition parfaitement défendable, à condition de la présenter comme telle plutôt que comme un accès à des milliers de dollars de valeur autrement inaccessible. Le même travers, déjà relevé à propos de la vraie facture de l’informatique, consiste à présenter comme une faveur commerciale ce qui n’est, au fond, qu’un service de curation et de mise en forme autour de logiciels déjà gratuits. Pour qui hésite encore à quitter Windows, l’édition Core suffit largement à tester la promesse d’une interface qui ne dépayse pas ; Azure Informatique accompagne cette bascule gratuitement, sans obligation d’acheter quoi que ce soit au préalable.

Sources

• Zorin OS — page officielle de l’édition Core
• Zorin OS Pro — page officielle (détail de l’édition payante, comparatif de valeur)
• Zorin OS — Purchase Pro (prix et conditions de licence)
• Wikipedia — Zorin OS (historique, société éditrice, base Ubuntu)
• How-To Geek — Is Zorin OS Pro worth paying for?
• IT-Connect — Zorin OS : la distro Linux idéale pour quitter Windows ?
• Ardour — FAQ officielle (modèle de prix des versions précompilées)
• TechSpot — Zorin OS Download (confirmation de LibreOffice inclus dans Core)

Ce qu’il fait à la place de cinq outils différents

Le panneau se compose de trois binaires Rust — un agent d’environ 21 Mo, qui exécute avec les droits root tout ce qui touche à Docker, nginx et aux certificats, une API d’environ 24 Mo, et une interface en ligne de commande d’1,7 Mo — couplés à une interface web en React 19. Il gère des sites statiques, PHP, Node.js ou Python avec nginx configuré et des certificats Let’s Encrypt renouvelés automatiquement, des bases de données MySQL et PostgreSQL avec navigateur SQL intégré, et un catalogue de 147 modèles Docker en un clic répartis sur 14 catégories — WordPress, Nextcloud, Gitea, Grafana, n8n, Immich, Home Assistant ou Uptime Kuma, pour n’en citer que quelques-uns —, chacun avec reverse proxy, SSL et réseau qui se branchent automatiquement derrière l’application déployée.

Le reste du panneau couvre ce qui, ailleurs, demande en général un outil séparé pour chaque brique : un serveur mail complet — Postfix, Dovecot, DKIM, Rspamd contre le spam, webmail Roundcube inclus —, une section DNS qui pilote Cloudflare et PowerDNS avec vérification de propagation, DNSSEC et tunnels Cloudflare, un module CDN pour BunnyCDN et Cloudflare avec purge de cache, et un volet supervision avec sondes HTTP/TCP/ping, gestion d’incidents avec chronologie et post-mortems, page de statut publique, alertes sur Slack, Discord ou PagerDuty, et un point de collecte Prometheus livré avec son tableau de bord Grafana prêt à importer. Les sauvegardes, chiffrées et dédupliquées via Restic, partent vers S3, SFTP, Backblaze B2 ou Google Cloud Storage, avec vérification de restauration automatique.

Le déploiement, pensé pour ne pas perdre les habitués de cPanel ou Plesk

Côté mise en production, un simple push suffit : bascule atomique par lien symbolique, retour en arrière en un clic si le déploiement tourne mal, et un environnement de prévisualisation propre à chaque branche. Nixpacks reconnaît plus de 30 langages sans qu’aucun Dockerfile n’ait besoin d’être écrit à la main. Pour qui gère déjà des sites ailleurs, un assistant de migration importe sites, bases de données et boîtes mail depuis cPanel — avec un analyseur complet du format d’export —, ainsi que, en version bêta, depuis Plesk ou HestiaCP, en quatre étapes : sélection de la source, analyse de la sauvegarde, choix des éléments à reprendre, puis import.

Un même panneau peut aussi piloter plusieurs serveurs à la fois, avec des comptes revendeur en marque blanche pour les agences qui veulent proposer le service sous leur propre nom. Un terminal web avec enregistrement de session, un gestionnaire de fichiers, une palette de commandes au clavier, six thèmes et un coffre à secrets chiffré complètent l’ensemble — et si le panneau lui-même venait à planter, les sites continueraient de tourner : nginx et Docker sont des processus indépendants, DockPanel n’est qu’une couche de gestion par-dessus, qui redémarre seule via systemd.

Dans son propre README, le projet se résume sans détour : « the most feature-packed free server panel ever built » — le panneau serveur gratuit le plus complet jamais construit.

Un lancement chahuté, un incident bien réel — et cinq mois de correctifs publics

Cette ambition n’a pourtant pas convaincu tout le monde d’emblée. Le 23 mars 2026, l’auteur du projet présente DockPanel sur LowEndTalk, un forum anglophone spécialisé dans l’hébergement à bas coût, en précisant d’entrée qu’il l’a développé avec l’assistant de code Claude Code. La communauté se montre franchement sceptique face à un panneau serveur — donc un logiciel qui tourne en root sur une machine — construit à ce rythme avec une assistance IA aussi poussée. L’auteur revendique alors un audit de sécurité mené par ses soins, 18 vulnérabilités trouvées et corrigées, « zéro restante » : un membre du forum en trouve une nouvelle en quelques minutes, une faille permettant de faire pointer le lien envoyé par e-mail — inscription ou réinitialisation de mot de passe — vers n’importe quel site, y compris malveillant, en falsifiant simplement l’en-tête Origin de la requête.

Un autre incident, plus sérieux, survient le même mois : selon le blog Korben, une injection de commandes dans le formulaire de création de site a permis à un visiteur d’obtenir un accès root sur la machine de l’auteur lui-même — corrigée depuis, mais révélatrice d’un choix de conception assumé, l’agent tournant en root par nécessité puisqu’il est celui qui manipule Docker, nginx et les certificats. Depuis, le projet a répété le même exercice d’audit sans discontinuer : plus de 300 versions publiées depuis le 14 mars 2026, un changelog public qui documente chaque correctif sans en cacher aucun, et une page sécurité qui revendique aujourd’hui sept campagnes d’audit et 280 vulnérabilités trouvées et corrigées, la dernière remontant à avril 2026. Le projet reste développé par une seule personne, l’ingénieur roumain Ovidiu Drobotă selon Korben — un choix de gouvernance qui explique la vitesse de développement autant qu’il reste le principal facteur de risque.

Gratuit, et désormais réellement libre

La licence, elle aussi, a changé plusieurs fois en quelques mois. Annoncé sous licence MIT en mars 2026, DockPanel est ensuite passé sous Business Source License 1.1 — une licence qui autorisait l’usage gratuit mais restait, dans les mots mêmes du projet, « disponible en lecture du code source, pas open source », avec une conversion vers une licence libre repoussée à 2030. Le 7 août 2026, changement radical : DockPanel repasse sous AGPL v3, sans attendre 2030. N’importe qui peut désormais exécuter, lire, modifier et redistribuer le code sur autant de serveurs qu’il le souhaite, y compris commercialement — la seule obligation portant sur la republication du code modifié si le logiciel est proposé à des tiers comme un service en ligne. Le financement reste volontaire, via GitHub Sponsors et PayPal, sans qu’aucune fonctionnalité ne soit, aujourd’hui ou demain, réservée aux donateurs.

Reste la question de la comparaison avec le reste du marché : Plesk et HestiaCP tournent autour de 512 Mo de RAM, CloudPanel, plus léger, autour de 250 Mo — DockPanel, lui, tient dans 49 Mo, ou 109 avec sa base PostgreSQL embarquée, toujours pour zéro euro. Korben, qui l’a testé de son côté, le compare favorablement à Coolify ou à aaPanel, le clone gratuit de cPanel, en notant qu’aucun des deux ne couvre un périmètre aussi large. Le vrai changement du 7 août n’est cependant pas une fonctionnalité de plus dans un logiciel déjà bien pourvu : c’est le jour où DockPanel a cessé d’être un logiciel qu’on utilise à la merci d’un éditeur, pour devenir un logiciel qu’on possède réellement — exactement la logique déjà détaillée à propos de la vraie facture de l’informatique, et une piste sérieuse à évaluer pour quiconque paie encore, chaque mois, une licence de panneau d’hébergement.

Sources

• DockPanel — site officiel
• DockPanel — page Sécurité (audits, vulnérabilités corrigées)
• GitHub — ovexro/dockpanel (dépôt officiel : README, LICENSE)
• GitHub — ovexro/dockpanel/CHANGELOG.md (historique des versions, relicence AGPL v3 du 7 août 2026)
• GitHub — ovexro/dockpanel/FEATURES.md (fonctionnalités détaillées et statistiques du projet)
• DockPanel — Documentation officielle
• Korben — DockPanel, the web panel that manages your entire server
• LowEndTalk — fil de lancement « DockPanel — Free Docker-native server panel written in Rust »

Une suite complète, pas un chatbot greffé sur un éditeur

GenOffice ouvre et enregistre les formats natifs de Microsoft Office — .docx, .xlsx, .pptx — ainsi que le PDF et le Markdown, via six applications Electron partageant un même moteur (Docs, Sheets, Slides, PDF, Markdown et Shell, le socle qui héberge les cinq éditeurs en onglets). L’enregistrement des fichiers Word est « byte-preserving » : seuls les paragraphes réellement modifiés sont réécrits, le reste du fichier original restant identique au bit près — un choix technique qui évite les décalages de mise en page une fois le document rouvert dans Word. Le tableur s’appuie sur le moteur open source Univer (Apache-2.0) complété d’un sidecar Rust (calamine et IronCalc) pour l’import/export .xlsx, et l’éditeur PDF combine pdf.js, pdf-lib et PDFium pour une édition réelle du texte et des images dans la page — pas un simple calque d’annotation par-dessus.

Autre argument mis en avant : la conversion d’un PDF vers Word, PowerPoint ou Excel se fait entièrement en local, sans envoi du document vers un service cloud — y compris pour les PDF scannés, lus grâce à l’OCR du système sur macOS et Windows. Une distinction qui compte pour tout document sensible (contrat, facture, dossier RH) qu’une entreprise préfère ne pas transmettre à un tiers pour une simple conversion de format.

L’IA comme fonction native — et comme méthode de développement

Chaque application embarque le même panneau IA : des modifications ciblées au niveau du bloc, avec historique de versions et différences affichées, dans Docs ; un agent qui appelle des outils sur l’état du classeur, de la présentation ou du PDF dans les autres apps. L’IA ne se contente donc pas de proposer du texte dans une fenêtre de discussion à côté du document : elle modifie directement des blocs identifiés du fichier, avec un historique consultable et annulable. Côté modèles, GenOffice fonctionne en Bring Your Own Key (BYOK) — Claude, OpenAI, Gemini, DeepSeek, Kimi, GLM, Qwen, Mistral, Grok, ou tout endpoint compatible OpenAI — ou via une connexion à un compte Genspark, qui consomme alors des crédits de la plateforme plutôt qu’une clé API personnelle.

Selon Genspark, la version alpha (0.4.110) de GenOffice a été développée par un seul ingénieur en une semaine, pour un coût d’environ 10 000 $ de tokens d’API IA.

Genspark ne cache pas la vitesse à laquelle GenOffice a été construit. Loin de s’arrêter là, le rythme de publication ne faiblit pas depuis : 14 versions publiées entre le 2 et le 23 août 2026, soit une nouvelle version tous les jours et demi en moyenne — la dernière en date (v0.8.0) ajoutant le support Linux complet (paquets .deb et .rpm, AppImage) aux côtés de macOS et Windows, disponibles dès le lancement.

Derrière l’outil gratuit, une licorne bien financée

GenOffice n’est pas le projet isolé d’un développeur indépendant : il est publié par Genspark, une startup cofondée par Eric Jing (membre fondateur de l’équipe Bing chez Microsoft, puis vice-président du groupe Baidu) et Kay Zhu (passé par Google puis Baidu, où il a dirigé l’architecture de l’assistant intelligent du groupe). L’entreprise a bouclé en novembre 2025 un tour de série B de 275 millions de dollars mené par Emergence Capital, portant sa valorisation à 1,25 milliard de dollars et lui faisant franchir le seuil de licorne moins de deux ans après sa création — un contexte financier qui explique la capacité de Genspark à distribuer gratuitement un logiciel aussi ambitieux.

Le modèle économique reste transparent sur un point : l’application elle-même est gratuite, « sans essai, sans palier payant » selon sa propre documentation, mais les fonctionnalités IA les plus avancées puisent dans des crédits Genspark liés à un compte utilisateur — plus de 1 000 crédits sont d’ailleurs offerts aux contributeurs actifs du dépôt open source. La licence Apache-2.0 comporte elle aussi une nuance à connaître avant de forker le projet : le répertoire ee/, réservé à de futurs modules « entreprise » et pour l’instant vide de tout code, est couvert par une licence distincte ; par ailleurs, les noms et logos GenOffice et Genspark restent des marques déposées de Mainfunc, Inc., que la licence Apache-2.0 ne donne pas le droit d’utiliser — un fork doit adopter sa propre identité visuelle.

Ce qu’il faut retenir avant de l’adopter

Pour une TPE ou une PME qui évalue une sortie de Microsoft 365 — l’un des accompagnements proposés ici —, GenOffice mérite d’être suivi plutôt qu’adopté les yeux fermés dès aujourd’hui : le projet reste en développement rapide (v0.8.0 au 23 août 2026), sans garantie de stabilité entre deux versions publiées à un tel rythme, et son usage IA le plus poussé dépend d’un compte Genspark et de crédits consommables plutôt que d’un abonnement au coût prévisible. Le socle bureautique — ouverture et édition fidèle des .docx/.xlsx/.pptx/.pdf, sans IA — fonctionne en revanche hors ligne et sans aucune dépendance à Genspark, ce qui en fait déjà, à ce stade, une alternative gratuite crédible aux formats Microsoft pour qui n’a pas besoin d’édition assistée par IA.

Sources

• GitHub — genspark-ai/genoffice (dépôt officiel : README, licence, versions)
• MarkTechPost — Genspark Open Sources GenOffice: A Free, Ad-Free AI Office Suite
• Open Source For You — Genspark Open Sources GenOffice: The AI-Native Desktop Alternative To Microsoft Office
• Cryptonomist — Open Source AI Office Suite GenOffice Launches with Super Agent AI
• CryptoBriefing — Genspark open-sources GenOffice, the first AI office suite built from scratch
• Forbes — Genspark Joins The Unicorn Club With Latest Funding Round
• GitHub — genspark-ai/genoffice/releases (historique complet des versions)

Une flambée sans précédent, chiffres à l’appui

La pénurie ne se limite pas à la RAM. Le fabricant Kingston a signalé une hausse de 246 % du prix des wafers de silicium destinés à la mémoire flash NAND, le composant qui équipe les SSD, au premier trimestre 2026 par rapport à un an plus tôt. Un SSD grand public de 1 To, vendu autour de 45 dollars fin 2025, en coûtait près de 90 début 2026 — un doublement en quelques semaines, relevé par l’analyste américain Jim Handy (Objective Analysis), l’une des voix les plus suivies du secteur du stockage. Tom Coughlin, un autre analyste reconnu du secteur, relève dans une chronique publiée sur Forbes que les prix contractuels de la DRAM classique avaient déjà grimpé de 172 % sur un an dès le troisième trimestre 2025, avant même le pic du printemps 2026 : la hausse n’est donc ni un pic isolé ni un phénomène de quelques semaines, mais une tendance de fond installée depuis plus d’un an.

Dans le détail, au premier trimestre 2026, Samsung a vu son chiffre d’affaires mémoire progresser de 93,4 % en trois mois pour atteindre 37,3 milliards de dollars, SK Hynix de 62,5 % à 28 milliards, et Micron de 81,6 % à 21,75 milliards de dollars, selon TrendForce — qui prévoyait alors une nouvelle hausse de 58 à 63 % des prix contractuels pour le trimestre suivant. À eux trois, ils représentent plus de 90 % de la production mondiale de DRAM. Une telle concentration, combinée à une telle ampleur de hausse sur un composant présent dans chaque ordinateur, chaque smartphone et chaque console vendus dans le monde, n’a pas d’équivalent récent dans l’électronique grand public. L’explication la plus répétée, y compris par les fabricants eux-mêmes, tient en une phrase : l’intelligence artificielle a besoin de toute la mémoire qu’elle peut trouver.

La version officielle : l’IA a besoin de toute la mémoire disponible

Cette version n’est pas inventée. Les accélérateurs IA de Nvidia, AMD ou Google embarquent de la HBM (« High Bandwidth Memory »), une mémoire empilée en 3D directement à côté du processeur pour lui fournir des données beaucoup plus vite qu’une barrette de RAM classique. Produire de la HBM mobilise nettement plus de surface de silicium que la même capacité en DRAM ordinaire, pour une marge bien supérieure — un arbitrage que les trois fabricants ont tranché sans ambiguïté. Samsung vise une capacité de production de HBM en hausse d’environ 50 % d’ici fin 2026, SK Hynix s’est engagé à doubler son chiffre d’affaires HBM sur la même période, et les deux entreprises confirment que leur capacité HBM pour 2026 est déjà intégralement réservée par les géants du cloud — Microsoft, Google, Amazon et Meta en tête, selon SK Hynix et le site spécialisé DataCenterDynamics. Chaque wafer de silicium détourné vers la HBM est un wafer qui ne produit plus la DRAM ou la NAND classique dont dépendent PC, consoles et smartphones.

Le geste le plus radical vient de Micron, troisième fabricant mondial. Le 3 décembre 2025, l’entreprise a annoncé l’arrêt pur et simple de sa marque grand public Crucial, trente ans après sa création, avec un arrêt total des expéditions vers la distribution grand public prévu fin février 2026. « La croissance portée par l’IA dans les centres de données a provoqué une explosion de la demande de mémoire et de stockage », justifie Sumit Sadana, directeur général adjoint de Micron, qui évoque une décision nécessaire « pour améliorer l’approvisionnement de nos clients stratégiques, sur des segments à plus forte croissance ». Pour l’analyste Jim Handy, la logique est simple : en période de pénurie, un fabricant redirige sa production vers les marchés les plus rentables, et les commandes des géants du cloud — « plusieurs ordres de grandeur » plus importantes, selon lui, que celles des distributeurs grand public — l’emportent presque toujours. Le grand public n’est pas seulement moins prioritaire : il devient, pour la première fois, un marché qu’un des trois plus gros fabricants mondiaux choisit d’abandonner entièrement.

Ce que l’IA n’explique pas : une pénurie qui couvait depuis 2023

Cette histoire commence pourtant avant l’explosion de la demande en IA. En 2022 et 2023, le marché de la mémoire a traversé l’une des pires crises de surproduction de son histoire, avec des prix en chute libre et des pertes massives — SK Hynix a terminé l’année 2023 sur une marge nette négative d’environ 28 %. En réaction, les fabricants ont brutalement coupé leurs investissements : SK Hynix a réduit ses dépenses en capital de 50 %, Micron de 42 %, selon le cabinet Semiconductor Intelligence. Dans cette industrie, ce type de coupe met en général deux ans à se traduire en sous-capacité réelle. Autrement dit, le calendrier d’un manque de mémoire en 2025 était déjà à peu près écrit fin 2023 — bien avant que les investissements massifs des géants du cloud dans l’IA générative ne deviennent le sujet qu’ils sont aujourd’hui. L’IA n’a pas créé la pénurie : elle est arrivée au moment précis où l’industrie, par ses propres choix, n’avait plus la capacité d’y répondre.

La demande en IA a ensuite agi comme un accélérateur, pas comme la cause initiale. Plusieurs analystes du secteur du stockage rapportent que de grands fournisseurs de cloud ont passé des commandes ouvertes auprès des fabricants de mémoire, acceptant d’acheter toute la capacité disponible quel qu’en soit le prix — une garantie de revenu qui rend la HBM structurellement plus attractive que la DRAM grand public, vendue au détail, par petites quantités, à des marges bien plus modestes. Ces mêmes analystes qualifient ce mouvement de réallocation « structurelle » plutôt que de simple à-coup conjoncturel : un choix d’affectation des capacités, pas une contrainte physique insurmontable. La pénurie n’est peut-être pas qu’une conséquence subie de la demande : pour trois entreprises qui se partagent la quasi-totalité d’un marché, c’est aussi une occasion qu’il serait naïf de ne pas exploiter.

Un passé d’entente, une nouvelle plainte

Samsung, SK Hynix et Micron ne sont pas trois concurrents ordinaires : à eux trois, ils contrôlent plus de 90 % du marché mondial de la DRAM, et une part significative, quoique plus disputée face à Kioxia et Western Digital, du marché de la NAND. Ce n’est pas la première fois que ces fabricants sont mis en cause pour s’être entendus sur les prix de la mémoire. Entre 1998 et 2002, le ministère américain de la Justice a démantelé un cartel international de la DRAM impliquant Samsung, Hynix, Micron et sept autres fabricants : Samsung a plaidé coupable et payé 300 millions de dollars d’amende, Hynix 185 millions, tandis que Micron, qui avait dénoncé le cartel, a obtenu l’immunité en échange de sa coopération ; au total, quatre entreprises et dix-huit personnes ont été poursuivies, pour plus de 730 millions de dollars d’amendes cumulées et plusieurs cadres condamnés à de la prison ferme aux États-Unis. La Commission européenne a instruit le même dossier de son côté et infligé, en mai 2010, 331 millions d’euros d’amendes à neuf fabricants pour s’être partagé des informations secrètes sur les prix entre 1998 et 2002 — 145 millions pour Samsung, 57 pour Infineon, 51 pour Hynix. Micron, à l’origine de la dénonciation, a échappé à l’amende.

Le 25 juin 2026, dix-sept plaignants — particuliers et petites entreprises informatiques — ont déposé une nouvelle class action (un recours collectif) contre Samsung, SK Hynix et Micron devant le tribunal fédéral du district nord de la Californie, invoquant le Sherman Act, une loi antitrust américaine vieille de plus d’un siècle. Leur accusation : les trois entreprises se seraient servies du virage vers la HBM comme d’un prétexte pour restreindre délibérément la production de DDR3 et DDR4, dans le seul but de faire grimper les prix bien au-delà de ce qu’une pénurie naturelle aurait justifié — une hausse chiffrée dans la plainte à environ 700 % sur quatre ans. Les trois entreprises se défendent d’avoir simplement répondu à une demande réelle des centres de données. Le calendrier ne joue pas en leur faveur : au deuxième trimestre 2026, Samsung a affiché un bénéfice d’exploitation record de 62 milliards de dollars, et SK Hynix a vu son chiffre d’affaires bondir de 257 % et son bénéfice d’exploitation de 557 % sur un an, portés tous deux par la vente de mémoire. À eux deux, ils ont dégagé environ 104 milliards de dollars de bénéfice d’exploitation sur un seul trimestre — de quoi nourrir la méfiance des dix-sept plaignants californiens, bien au-delà de leur seul dossier judiciaire.

Des fabricants déjà impliqués dans une entente sur les prix de la RAM ne devraient pas bénéficier du doute au moment précis où leurs profits battent des records.

Ce que ça change, concrètement

Ces hausses se répercutent sans filtre sur les prix de vente. Lenovo, Dell, HP, Acer et Asus ont tous confirmé des hausses de 15 à 30 % sur leurs gammes PC pour 2026 ; HP a indiqué à ses investisseurs que la mémoire représente désormais environ 35 % du coût des composants d’un PC, contre 15 à 18 % un trimestre plus tôt seulement. Les consoles ne sont pas épargnées : la PS5 est passée de 499,99 à 649,99 dollars en avril 2026 (+30 %), la Xbox Series X de 499,99 à 799,99 dollars et la Series S de 349,99 à 599,99 dollars en août (+60 % et +71 %), la Switch 2 de 449,99 à 499,99 dollars en septembre. Attention toutefois à ne pas tout mettre sur le compte de la mémoire : les premières hausses Xbox, dès mai 2025, avaient été attribuées par Microsoft à des « conditions macroéconomiques », un euphémisme pour les droits de douane décidés par l’administration Trump — un facteur totalement distinct de la pénurie de mémoire, qui s’y est ajouté plutôt que de s’y substituer. Les smartphones d’entrée de gamme, sous 200 dollars, subissent la hausse la plus violente : entre 20 et 30 % de coût de composants en plus depuis le début de l’année, selon plusieurs cabinets d’analyse cités par CNBC.

Personne ne promet de retour à la normale à court terme. En février 2026, le PDG d’Intel Lip-Bu Tan a rapporté que ses interlocuteurs chez les fabricants de mémoire lui annonçaient « aucun soulagement avant 2028 ». TrendForce, plus mesuré, prévoit un ralentissement de la hausse au troisième trimestre 2026 (+13 à 18 % sur la DRAM, +10 à 15 % sur la NAND) mais aucune décrue avant 2027 au plus tôt, le temps que les nouvelles usines annoncées par Micron et SK Hynix entrent en production. Une inconnue subsiste : la montée en puissance du fabricant chinois CXMT (ChangXin Memory Technologies), dont l’entrée en Bourse a ravivé, chez les investisseurs de Samsung, les doutes sur la rentabilité à long terme des plans d’investissement du géant coréen. En attendant, la meilleure protection reste la même que celle déjà détaillée à propos des licences logicielles qui explosent sans prévenir : auditer les besoins réels avant d’acheter, prolonger la vie du matériel existant plutôt que le remplacer par réflexe, et se méfier d’un vendeur pressé de faire signer une configuration surdimensionnée, alors que chaque gigaoctet de mémoire coûte, précisément, plus cher que jamais. C’est l’approche qu’Azure Informatique applique systématiquement dans ses audits, gratuits, avant toute recommandation de matériel.

Sources

• Tom’s Hardware — Indice des prix de la RAM 2026 (suivi DDR5/DDR4, données DRAMeXchange)
• Tom’s Hardware — Les prix spot de la DDR4 ont bondi de 2 200 % en douze mois avant leur premier repli
• TrendForce — Rapid Contract Price Surge Drives 1Q26 DRAM Industry Up 81% QoQ
• TrendForce — AI Server Demand Continues to Support Memory Prices in 3Q26
• NAND Research (Jim Handy) — Memory & Flash Crisis: March 2026 Update
• Forbes (Tom Coughlin) — Digital Storage And Memory Projections For 2026, Part 2
• DataCenterDynamics — Samsung and SK Hynix to scale up memory production capacity in 2026 to meet AI demand
• SK hynix Newsroom — 2026 Market Outlook: Focus on the HBM-Led Memory Supercycle
• Micron Technology (Investor Relations) — Micron Announces Exit from Crucial Consumer Business
• Network World — Short memory supply forces Micron to abandon consumer market, prioritize enterprise
• Semiconductor Intelligence — Semiconductor CapEx Down in 2023
• U.S. Department of Justice — Samsung Agrees to Plead Guilty and to Pay $300 Million Criminal Fine for Role in Price Fixing Conspiracy (2005)
• Engadget — DRAM cartel settles with European Commission, will pay €331 million fine
• Clubic — Entente présumée sur les prix de la RAM : Samsung, SK Hynix et Micron visés par une class action aux États-Unis
• Tom’s Hardware — Samsung, SK hynix, and Micron sued over alleged DRAM price fixing amid record memory costs
• Fortune — Samsung posts record $62 billion profit — and investors sell off anyway
• CNBC — SK Hynix posts record first-quarter profit, in line with estimates as memory prices climb
• PCWorld — Computer prices could go up by 20% due to RAM shortage, PC makers warn
• GamingBible — Every PlayStation, Xbox and Nintendo console price hike in 2026
• Axios — Microsoft raises Xbox prices due to Trump tariffs
• CNBC — Smartphone prices to rise in 2026 due to AI-fueled chip shortage
• Yahoo Finance / Bloomberg — Intel CEO says there’s no relief on memory shortage until 2028

Ces chiffres ne sont pas des cas isolés trouvés au hasard. Le premier prestataire facture 9,50 euros de frais de déplacement dans Strasbourg même, jusqu’à 39,50 euros au-delà de 40 kilomètres. Le second publie une grille détaillée pour 2026 : de 45 à 60 euros de l’heure pour une installation ou un paramétrage, de 70 à 90 euros pour une intervention urgente sous 24 à 48 heures, avec un forfait déplacement de 20 à 50 euros selon la distance. Une intervention complète pour une panne simple, déplacement compris, revient en moyenne entre 80 et 150 euros, quel que soit le temps réellement passé devant la machine. Les techniciens indépendants affichent en général des tarifs 10 à 15 % inférieurs à ceux des enseignes nationales, avec en contrepartie des délais d’intervention parfois plus longs : un des rares écarts mesurables du secteur ne tient pas à la compétence, mais à la structure qui l’emploie.

Ce que la loi impose, ce que le secteur applique

La loi encadre pourtant ce flou, du moins sur le papier. Depuis le décret du 24 janvier 2017, l’article L111-3 du code de la consommation impose un devis écrit et détaillé, main-d’œuvre, déplacement et pièces compris, dès qu’une prestation de réparation ou de maintenance à domicile dépasse 150 euros TTC. La DGCCRF met chaque année en garde les particuliers contre les pratiques les plus répandues dans le dépannage à domicile en général : intervention lancée sans devis signé, urgence exploitée pour faire grimper la facture en cours de route, travaux annoncés comme indispensables qui ne le sont pas. L’informatique n’a pas encore fait l’objet d’une campagne de contrôle dédiée comme la plomberie ou la serrurerie, mais le mécanisme qui rend ces abus possibles ailleurs, urgence et méconnaissance technique du client, n’a rien de spécifique à un corps de métier en particulier. Rien n’indique, en revanche, que les deux prestataires cités plus haut y aient recours : ils publient justement leurs tarifs en toute transparence.

Un flou identique, à l’échelle d’une entreprise

Côté entreprises, le flou change d’échelle sans disparaître. Une étude menée par Morgan Philips Freelance auprès de consultants IT en France, publiée en octobre 2025, situe le taux journalier moyen d’un développeur freelance entre 350 et 450 euros pour un profil junior, jusqu’à 850 à 950 euros pour un profil expert, avec une prime de 15 à 25 % en Île-de-France par rapport aux tarifs pratiqués en région. Ces chiffres datent d’avant la généralisation des outils d’IA dans la production de code, un sujet déjà creusé ici à propos du vrai coût de fabrication d’un site internet. Pour un contrat de maintenance classique, les grilles habituellement citées dans le secteur de l’infogérance vont de 50 à 90 euros par poste et par mois pour une très petite entreprise, et de 40 à 70 euros par poste et par mois pour une PME plus structurée, soit des budgets mensuels globaux de 1 000 à 1 800 euros pour une TPE et de 1 500 à 7 000 euros pour une PME. Ces grilles sont rarement comparées d’un prestataire à l’autre, sur des contrats pluriannuels dont le niveau de service réel est tout aussi rarement mesuré une fois signé.

Même quand le prestataire est honnête sur sa main-d’œuvre, une part de plus en plus grosse de la facture lui échappe entièrement. Elle est fixée ailleurs, par un éditeur, unilatéralement, puis répercutée telle quelle sur le client final, sans négociation possible et souvent sans préavis suffisant pour changer de solution. Le vrai risque tarifaire n’est plus dans l’heure facturée, il est dans la licence qu’on ne peut plus quitter.

Le vrai poste qui explose : les licences propriétaires

Le 1er avril 2023, Microsoft augmente ses prix de 11 % dans la zone euro sur Azure, Microsoft 365, Dynamics 365 Business Central, Power BI et Power Apps, officiellement pour aligner les tarifs européens sur les prix en dollars. Une nouvelle hausse, annoncée en décembre 2025, prend effet le 1er juillet 2026 : jusqu’à +33 % sur l’offre destinée aux travailleurs de première ligne, +25 % sur une autre offre d’entrée de gamme, +16,7 % sur Microsoft 365 Business Basic, +13 % sur Office 365 E3. L’objectif annoncé par l’entreprise elle-même : 10,7 milliards de dollars de bénéfice supplémentaire, justifiés par des fonctionnalités comme Copilot que la majorité des clients professionnels n’a jamais activées.

Broadcom, qui a racheté VMware fin 2023, montre jusqu’où ce mécanisme peut mener à l’extrême. Selon un rapport publié en février 2025 par le CISPE, l’association européenne des fournisseurs de cloud, des clients européens ont signalé à la Commission européenne des hausses jusqu’à 1 500 % sur leurs contrats de licences VMware. Aux États-Unis, l’opérateur AT&T affirme dans une procédure judiciaire avoir subi une hausse de 1 050 %. Une enquête menée par le cabinet ETR en décembre 2025 montre que 71 % des clients interrogés jugent la hausse largement supérieure au reste du marché du logiciel, contre 63 % deux mois plus tôt, et que 86 % réduisent désormais activement leur dépendance à VMware. Une fois qu’un client est verrouillé dans un écosystème propriétaire, le fournisseur n’a plus vraiment besoin de justifier ses tarifs.

Un contre-exemple documenté, à l’échelle de l’État

Il existe pourtant un contre-exemple documenté, à l’échelle de l’État. Le 7 mai 2026, devant la commission d’enquête de l’Assemblée nationale sur les vulnérabilités du secteur numérique, le général Marc Boget, qui dirige l’Agence du numérique des forces de sécurité intérieure, a présenté un bilan vingt ans après le début de la bascule de la gendarmerie nationale vers le logiciel libre. Sur les 103 164 postes du parc informatique de la gendarmerie, 97 % tournent aujourd’hui sous GendBuntu, une distribution Linux maison dérivée d’Ubuntu, et il ne reste que 1 054 postes encore sous Windows. Sur vingt ans, l’économie réalisée sur les seules licences logicielles atteint 500 millions d’euros.

Être souverain c’est faire de sorte que seul l’État français a le doigt sur l’interrupteur.

Une étude commandée par la Commission européenne, publiée en septembre 2021 par les instituts Fraunhofer ISI et OpenForum Europe, chiffre l’impact du logiciel libre sur l’économie européenne entre 65 et 95 milliards d’euros. Elle estime qu’une hausse de 10 % des contributions au logiciel libre entraînerait entre 0,4 % et 0,6 % de PIB européen supplémentaire chaque année, et la création de plus de 600 start-ups technologiques par an à l’échelle de l’Union. La France était déjà, en 2019, le premier marché européen du logiciel libre en volume, avec 5,2 milliards d’euros. Ce n’est donc pas qu’un choix d’administration disposant de cent mille postes à migrer : le même principe, éviter une dépendance à des décisions tarifaires prises ailleurs, fonctionne à l’échelle d’une PME de dix salariés.

Ce que ça change à votre échelle

Concrètement, ça change trois choses. D’abord, exiger systématiquement un devis écrit et détaillé avant toute intervention, particulier ou professionnel confondu : c’est un droit, pas une faveur. Ensuite, demander explicitement si la solution proposée enferme durablement dans l’écosystème d’un seul éditeur, et à quel horizon ses tarifs pourraient évoluer sans que le client ait son mot à dire. Enfin, considérer sérieusement les alternatives libres déjà éprouvées — Nextcloud, Vaultwarden, Immich ou OnlyOffice, pour ne citer que celles-ci — qui suppriment une bonne partie de cette facture récurrente, aussi bien pour une petite structure ou un particulier que pour une grande administration.

C’est précisément le choix fait par Azure Informatique depuis le départ : des solutions libres plutôt que propriétaires chaque fois que c’est possible, et un accompagnement entièrement gratuit, pour les particuliers comme pour les professionnels, sans dépendance cachée à un éditeur dont on ne maîtrise ni le calendrier ni les prix.

Sources

• Légifrance — Code de la consommation, article L111-3 (devis obligatoire dès 150 € TTC)
• DGCCRF (economie.gouv.fr) — Dépannage à domicile : gare aux arnaques
• BASOM Consulting — Combien coûte l’infogérance informatique en 2026 ? Tarifs, modèles et facteurs de prix
• Blog du Modérateur — Freelances : quels sont les taux journaliers moyens dans l’IT en France en 2025 ? (étude Morgan Philips Freelance)
• gHacks — Microsoft increases prices for Cloud services (Azure, Microsoft 365) on April 1, 2023
• Developpez.com — Microsoft augmente les prix d’Office 365 et Microsoft 365 jusqu’à 33 % pour viser 10,7 milliards de dollars de bénéfice supplémentaire
• Network World — VMware customers in Europe face up to 1,500% price increases under Broadcom ownership
• Next.ink — La gendarmerie a économisé 1/2 milliard d’euros grâce au Libre et Linux en 20 ans
• CNLL — Selon une étude de l’UE, les logiciels libres vont stimuler l’économie européenne et accroître son autonomie numérique

La réponse tient en une ligne : une agence dédiée existe depuis 2009. L’Agence nationale de la sécurité des systèmes d’information (ANSSI) est instituée par le décret n° 2009-834, avec déjà pour mission de protéger et défendre les systèmes d’information de l’État. Ses moyens n’ont cessé de croître depuis : un budget passé d’environ 80 millions d’euros en 2014 à près de 150 millions d’euros en 2025, des effectifs qui ont presque doublé, de 350 agents en 2013 à environ 600 aujourd’hui. Dix-sept ans d’existence, des moyens en hausse constante — et pourtant une liste d’intrusions confirmées dans les administrations et opérateurs publics qui n’a cessé de s’allonger sur la même période, au point de justifier, en 2026, la création d’une structure supplémentaire.

Une décennie d’intrusions confirmées

Premier grand signal documenté de cette décennie : dans la soirée du 15 novembre 2019, le CHU de Rouen, l’un des plus grands hôpitaux publics de France, voit l’ensemble de son système d’information chiffré par un rançongiciel. Selon l’ANSSI, l’attaque est le fait du groupe TA505, actif depuis 2014, qui utilise le cryptolocker Clop dans le cadre d’une campagne de hameçonnage visant plusieurs hôpitaux français. Le CHU restaure ses systèmes sans payer de rançon — mais l’incident révèle, déjà, qu’un établissement de santé publique n’est pas préparé à ce type d’attaque.

Moins d’un an plus tard, en septembre 2020, c’est l’Assistance publique – Hôpitaux de Paris (AP-HP) qui est touchée : les données personnelles de 1,4 million de personnes testées au Covid-19 en Île-de-France — identité, numéro de sécurité sociale, coordonnées, résultat du test — sont dérobées via un service de partage de fichiers utilisé pour transmettre des informations à l’Assurance Maladie et aux agences régionales de santé dans le cadre du contact tracing. Un étudiant en informatique sera plus tard mis en examen pour ce vol de données de santé.

Le 17 mars 2022, la Caisse nationale de l’Assurance Maladie (CNAM) détecte des connexions non autorisées sur amelipro, le portail réservé aux professionnels de santé : les identifiants de 19 professionnels, compromis par hameçonnage, donnent accès aux données de plus de 510 000 assurés — identité, date de naissance, numéro de sécurité sociale, droits associés (médecin traitant déclaré, complémentaire santé, aide médicale d’État). La CNAM notifie la CNIL, comme l’exige le RGPD. Mais l’incident illustre déjà un motif structurel qui reviendra sans cesse dans cette liste : ce n’est pas le cœur du système qui a cédé, c’est l’accès périphérique d’un compte professionnel piégé par hameçonnage.

Cinq mois plus tard, dans la nuit du 21 au 22 août 2022, le Centre hospitalier Sud-Francilien de Corbeil-Essonnes (CHSF) est frappé par le groupe LockBit 3.0, présent dans le système depuis une dizaine de jours avant de déclencher le chiffrement. LockBit exige d’abord 10 millions de dollars, puis 2 millions, contre la destruction des données exfiltrées. Le CHSF refuse de payer : le 23 septembre 2022, une archive de 11 Go contenant des centaines de milliers de documents, dont des numéros d’identité de patients, est publiée en ligne. Le parquet de Paris ouvre une enquête pour intrusion dans un système de traitement automatisé de données et tentative d’extorsion en bande organisée — jusqu’à 20 ans d’emprisonnement et 150 000 € d’amende encourus, pour l’auteur, pas pour l’hôpital qui a subi l’attaque.

La même faille, à une tout autre échelle

Entre fin février et début mai 2023, c’est un tout autre mode opératoire qui vise l’État : le groupe pro-russe NoName057(16) revendique une série d’attaques par déni de service (DDoS) contre le Centre national d’études spatiales (CNES) fin février, puis contre le site de l’Assemblée nationale — hors ligne plusieurs heures le 27 mars — et celui du Sénat, perturbé le 5 mai. Un DDoS ne vole aucune donnée : il sature un serveur de requêtes jusqu’à le rendre inaccessible. Mais l’effet recherché est le même que pour une fuite de données — démontrer que les portails des deux chambres du Parlement français peuvent être mis à genoux par un groupe revendiquant son soutien à la Russie, en réaction au soutien français à l’Ukraine.

Le 23 août 2023, Pôle emploi reconnaît une violation de données pouvant concerner jusqu’à 10 millions de personnes — toute personne inscrite en février 2022 ou radiée depuis moins de douze mois à cette date. Cette fois, la faille ne vient ni de l’opérateur ni d’un agent usurpé, mais de Majorel, un prestataire externe chargé de la numérisation des dossiers entrants : nom, prénom, statut de demandeur d’emploi et numéro de sécurité sociale sont exposés. Pôle emploi saisit la CNIL et porte plainte, sans avoir reçu de demande de rançon.

L’Éducation nationale n’est pas épargnée non plus sur la période, mais à une échelle bien plus modeste qu’en 2026. Le 22 novembre 2023, une base de données du Service national universel (SNU) contenant les informations d’environ 150 000 personnes — 62 500 jeunes volontaires, anciens et nouveaux, et 87 000 parents ou responsables légaux : nom, prénom, date de naissance, adresse postale, e-mail — est mise en vente sur un forum cybercriminel pour 50 dollars. L’incident, causé par une faille applicative corrigée dès sa découverte, est signalé au ministère le 24 novembre ; les volontaires concernés n’en sont informés que le 6 décembre, douze jours plus tard.

France Travail, nouveau nom de Pôle emploi depuis janvier 2024, n’attend pas longtemps avant de connaître pire que son prédécesseur. Entre le 6 février et le 5 mars 2024, une base regroupant les données de 43 millions de personnes est dérobée : tous les demandeurs d’emploi inscrits, tous ceux qui l’ont été au cours des vingt dernières années, et jusqu’aux personnes jamais inscrites mais disposant d’un simple espace candidat sur francetravail.fr. Noms, numéros de sécurité sociale, identifiants France Travail, adresses postales et e-mail, numéros de téléphone : la CNIL ouvre une enquête, et l’organisme recommande — comme la DGFiP et l’Éducation nationale le feront deux ans plus tard pour leurs propres piratages — la plus grande vigilance face au phishing.

La liste ne s’arrête pas en 2024. Dans la nuit du 18 au 19 octobre 2025, le Centre hospitalier intercommunal de Haute-Comté (Pontarlier, Doubs) est à son tour touché par un cryptolocker : la direction coupe intégralement le système d’information pour huit sites hospitaliers, forçant un retour au papier pour l’ensemble du personnel soignant. Un an plus tard, en mars 2026, l’établissement fonctionnait toujours avec un accès limité à ses applications — un retour à la normale n’était alors pas attendu avant 2027, soit plus de deux ans d’impact opérationnel pour un seul hôpital public.

Été 2026 : la même vague touche le fisc et l’école

2026 concentre, à elle seule, trois intrusions distinctes contre la DGFiP. Entre fin janvier et le 18 février, le fichier national des comptes bancaires FICOBA — RIB, IBAN, identité, adresse — est consulté frauduleusement pour environ 1,2 million de comptes, via l’identifiant usurpé d’un agent. Fin juin, un nouvel accès illégitime au système d’information de la DGFiP permet l’extraction de 678 438 lignes de données fiscales, revendiquées le 12 août par le pirate ZeroBytes et confirmées par Bercy le lendemain. Puis, le 29 juillet, une troisième intrusion — distincte, selon la DGFiP elle-même — vise cette fois le Serveur professionnel de données cadastrales (SPDC) : identité, dates et lieux de naissance, adresses, identifiants fonciers et références de parcelles. ZeroBytes revendique le 13 août 252 149 lignes représentant plus de deux millions de titulaires ; la DGFiP confirme le 18 août jusqu’à 1,8 million de comptes concernés — un écart de méthode de comptage, pas un désaveu du fond de l’attaque.

Ce n’est pas la seule administration visée cet été-là. Un précédent, plus modeste, avait déjà touché l’Éducation nationale quelques mois plus tôt : le 15 mars 2026, l’usurpation d’un compte externe permet d’accéder à COMPAS, le logiciel de gestion des enseignants stagiaires, exposant les données de 243 000 personnes — agents, tuteurs et stagiaires confondus. Puis, le 25 juillet, un compte professionnel compromis ouvre l’accès à un tout autre périmètre : détectée par le ministère le 31 juillet, l’intrusion est revendiquée en détail par ZeroBytes — le même pirate que pour la DGFiP — le 17 puis le 18 août. Le pirate affirme avoir extrait 43 Go répartis sur 2 500 fichiers, soit 346 millions de lignes brutes couvrant plus de vingt ans (2002-2026), concernant jusqu’à 1,22 million d’élèves et 4,35 millions d’identifiants de personnels, y compris des empreintes de mots de passe et des données d’élèves en difficulté ou décrocheurs. Le ministère, dans son communiqué officiel, reste nettement plus mesuré : il confirme un accès concernant les agents ayant exercé en académie depuis 2001 — identité, informations professionnelles, coordonnées, adresse postale et téléphone, numéro de sécurité sociale pour une partie d’entre eux — sans valider le chiffrage du pirate. Plainte déposée, ANSSI et CNIL saisies : la même mécanique, point par point, que pour le fisc quelques jours plus tôt.

Ce que les rapports officiels répètent depuis des années

Ce que confirment, à chaque fois, les organismes de contrôle eux-mêmes, c’est que ces incidents ne sont pas des accidents isolés mais un motif documenté depuis des années. Dès mai 2019 — avant même le piratage du CHU de Rouen — la Cour des comptes alertait sur une baisse de 13 % des effectifs informatiques et de 22 % du budget informatique de la DGFiP entre 2012 et 2017. Le 3 janvier 2025, elle constate que le programme national de sécurisation des hôpitaux (CaRE), doté de 750 millions d’euros prévus jusqu’en 2027, n’avait alors mobilisé que 223 millions d’euros — pendant qu’entre 2022 et 2023, trente hôpitaux français avaient déjà été touchés par un rançongiciel. Le 16 juin 2025, un rapport de la Cour des comptes consacré spécifiquement à la réponse de l’État aux cybermenaces sur ses systèmes civils pointe un pilotage interministériel trop flou et peu efficace, et à peine 12 % des agents territoriaux ayant suivi un module de sensibilisation en 2024. L’ANSSI elle-même, dans son Panorama de la cybermenace 2025, dénombre 1 366 incidents traités sur l’année, dont 34 % concentrés sur l’éducation et la recherche — le secteur le plus touché, loin devant les 24 % pour les ministères et collectivités territoriales et les 10 % pour la santé — avec une hausse marquée des exfiltrations de données, passées de 130 à 196 cas en un an.

L’État ne dispose toujours d’aucune stratégie claire et cohérente pour la cybersécurité de ses acteurs civils.

Dix-sept ans après la création de l’ANSSI, dix-neuf mois après le rapport de la Cour des comptes sur le sous-financement chronique des hôpitaux, quatorze mois après celui pointant l’absence de stratégie cyber cohérente de l’État — c’est dans ce contexte que Sébastien Lecornu annonce sa « nouvelle unité cyber », un jour après la confirmation officielle du volet cadastral de la DGFiP et deux jours après la première revendication de la fuite à l’Éducation nationale. Pour un pays qui se présente systématiquement comme précurseur du numérique public — France Connect, dossier médical partagé, déclaration de revenus et démarches d’immatriculation quasi exclusivement en ligne pour l’immense majorité des usagers — l’écart est difficile à ignorer : l’offre numérique de l’État avance plus vite que sa protection.

Aucun des usagers concernés par cette liste n’a choisi d’y figurer : déclarer ses impôts, s’inscrire à France Travail, scolariser un enfant, se faire soigner dans un hôpital public ou immatriculer un véhicule en ligne n’est plus une option laissée au choix de chacun, c’est devenu, pour la plupart des démarches, la seule voie possible. Un État qui retire progressivement les guichets physiques ne peut pas se contenter de rattraper, incident après incident, ce que ses propres rapports avaient annoncé des années plus tôt. Sur les huit premiers mois de 2026 seuls, au moins cinq incidents majeurs distincts ont déjà été confirmés ou revendiqués — trois pour la seule DGFiP (FICOBA, impôts, cadastre), deux pour la seule Éducation nationale (COMPAS, ZeroBytes) — soit un incident documenté toutes les six semaines environ, sur deux administrations avec lesquelles la quasi-totalité des Français a un jour eu affaire. La question n’est plus de savoir si le prochain surviendra, mais quelle administration en sera le théâtre, et si l’alerte qui l’aura précédé aura, cette fois, été entendue à temps.

Sources

• franceinfo — Piratage du fisc : Sébastien Lecornu demande la formation d’une « nouvelle unité » cyber (19 août 2026)
• CNEWS — « Peu de ministères sont au niveau requis », admet Sébastien Lecornu qui demande la création d’une « nouvelle unité » (19 août 2026)
• ANSSI (cyber.gouv.fr) — Histoire et modèle de l’agence
• ANSSI (cyber.gouv.fr) — Panorama de la cybermenace 2025
• Siècle Digital — Le CHU de Rouen victime d’un ransomware (20 novembre 2019)
• KultureGeek — Piratage des hôpitaux de Paris : fuite de données de 1,4 million de personnes testées au Covid-19
• L’Assurance Maladie — Communiqué officiel, connexions non autorisées à des comptes amelipro (17 mars 2022)
• Le Monde Informatique — Piratage du CH Sud Francilien de Corbeil-Essonnes : des données sensibles divulguées
• INCYBER NEWS — L’Assemblée nationale victime d’une attaque DDoS russe
• INCYBER NEWS — France : le Sénat victime d’une attaque DDoS russe
• INCYBER NEWS — Piratage de Pôle Emploi : les données de 10 millions d’utilisateurs mises en vente
• dpo-partage.fr — Suivi de la cyberattaque du SNU : des données personnelles mises en vente sur le dark web
• France Travail — Communiqué officiel, France Travail et Cap emploi victimes d’une cyberattaque (2024)
• CNIL — France Travail : la CNIL enquête sur la fuite de données et donne des conseils pour se protéger
• France 3 Régions — Cyberattaque à l’hôpital de Pontarlier : le système informatique à l’arrêt complet
• macommune.info — Cyberattaque au CHI de Haute-Comté : un retour à la normale attendu pour 2027
• Ministère de l’Économie — Communiqué officiel n°950, accès illégitime au système d’information de la DGFiP (13 août 2026)
• economie.gouv.fr — FICOBA : tout savoir sur l’accès illégitime au fichier national des comptes bancaires
• cyberattaque.org — DGFiP : 1,8 million de comptes piratés, 3ème fuite pour Bercy (cadastre)
• Ministère de l’Éducation nationale — Communiqué officiel, incident de sécurité affectant les données de certains personnels (COMPAS, mars 2026)
• Le Monde Informatique — Piratage à l’Éducation nationale, 243 000 agents concernés (COMPAS)
• Ministère de l’Éducation nationale — Communiqué officiel, incident de sécurité affectant les données de personnels (août 2026)
• KultureGeek — L’Éducation nationale piratée : 1,22 million d’élèves concernés avec leurs données
• CNEWS — Piratage massif de l’Éducation nationale : ce que l’on sait de l’attaque
• it-connect.fr — DGFiP, cadastre, Éducation nationale : la France enchaîne les fuites de données
• Cour des comptes — Les systèmes d’information de la DGFiP et de la DGDDI (mai 2019)
• Cour des comptes — La sécurité informatique des établissements de santé (3 janvier 2025)
• Cour des comptes — La réponse de l’État aux cybermenaces sur les systèmes d’information civils (16 juin 2025)

Le socle applicatif, lui, ne fait guère débat. Nextcloud Office, propulsé par Collabora Online ou par ONLYOFFICE, remplace Word, Excel et PowerPoint avec une fidélité de rendu suffisante pour des équipes venues de Microsoft Office. Talk, l’équivalent direct de Teams, absorbe la visioconférence et la messagerie d’équipe. Le module Groupware — mail, calendrier, contacts — couvre le terrain d’Outlook et d’Exchange. Et depuis l’arrivée de Nextcloud Assistant, même la couche IA de Microsoft 365 — Copilot — trouve son équivalent auto-hébergé, capable de résumer un texte ou de transcrire une réunion sans faire sortir la moindre donnée de l’infrastructure de l’entreprise. Nextcloud vend cet argument sous l’angle de la souveraineté numérique face aux plateformes américaines ; des comparatifs indépendants arrivent à la même conclusion fonctionnelle, en insistant sur la flexibilité de déploiement plutôt que sur un simple copier-coller des fonctionnalités de Microsoft.

Un rythme officiel peu commun

Ce qui distingue Nextcloud de la plupart des logiciels d’entreprise, c’est son rythme. La documentation officielle du projet est explicite : une nouvelle version majeure sort tous les quatre mois environ, chacune bénéficiant d’un support d’à peine un an, assuré par des mises à jour de maintenance mensuelles. En un peu plus de deux ans, le projet a ainsi publié la version 29 (avril 2024), la 30 (septembre 2024), la 31 (février 2025), la 32 « Hub 25 Autumn » (septembre 2025), la 33 « Hub 26 Winter » (février 2026) puis la 34 « Hub 26 Spring » (juin 2026) — et la page officielle des changelogs annonce déjà l’arrivée d’une septième, « Hub 26 Summer », avant même que la précédente n’ait soufflé ses trois mois.

Une communauté qui tire la sonnette d’alarme

Ce rythme, la communauté elle-même le questionne ouvertement depuis janvier 2024. Ce mois-là, un utilisateur nommé Dennis1993 ouvre sur le forum officiel un fil au titre sans détour — « Nextcloud Quality and Release-Cycles » — en pointant des régressions concrètes, comme des bugs de déplacement de fichiers apparus avec la version 28. D’autres utilisateurs enfoncent le clou : un an de support par version majeure, c’est trop court pour des équipes qui ne peuvent pas suivre le train à chaque saison, et les développeurs d’applications tierces peinent eux-mêmes à suivre des API qui changent aussi vite, au risque d’abandonner leurs extensions. Le fil cite des chiffres précis : 2 218 tickets ouverts sur le seul dépôt serveur à l’époque, dont 1 304 simples demandes d’amélioration, et un rythme de traitement — 240 fermés contre 147 créés sur 30 jours — qui n’entame le stock qu’à la marge. Signe que le problème dépasse les petits déploiements amateurs : MagentaCLOUD, l’offre cloud grand public de Deutsche Telekom bâtie sur la technologie Nextcloud, restait alors bloquée plusieurs versions majeures en arrière, sur la 25.0.13.

Depuis plus de deux ans, la même critique revient sur le forum officiel de Nextcloud sans jamais recevoir de réponse de fond : un cycle de support jugé trop court pour chaque version majeure.

Quand la vitesse rattrape la stabilité

Ces craintes ont trouvé une confirmation concrète un an plus tard. Le 13 mars 2025, des administrateurs découvrent dans leurs journaux un comportement anormal consécutif à la mise à jour vers la version 31.0.0 : le serveur se met à interroger le lookup server fédéré pour énumérer l’ensemble de ses utilisateurs locaux, un effet de bord d’un nettoyage de données introduit un mois plus tôt. Nextcloud désactive le service dès le lendemain, publie une deuxième version candidate dans la foulée, coupe par défaut le partage fédéré et ajoute un avertissement à destination des administrateurs — une réaction rapide et transparente, doublée d’un programme de bug bounty HackerOne doté de 10 000 dollars. Mais l’incident illustre exactement la critique de la communauté : un changement discret, publié dans une mise à jour, produit un comportement inattendu que seule la remontée d’administrateurs inquiets a permis de détecter — après coup, pas avant.

Le processus de mise à jour lui-même n’échappe pas à ce constat. Sur le dépôt dédié, le ticket #502 documente un cas révélateur : un administrateur voit son passage de la version 25.0.7 à la 25.0.10 — une simple mise à jour de maintenance, censée être la plus sûre — échouer en pleine extraction, avec une erreur bloquante sur le fichier version.php. Ouvert le 19 septembre 2023, le ticket a fini classé « not planned », sans correctif officiel, l’utilisateur devant se rabattre sur un contournement communautaire non garanti. Un cas isolé ne prouve rien ; un rythme de publication qui ne laisse pas le temps d’en traiter beaucoup, si.

Le stock de bugs n’a pas rétréci

Deux ans et demi après le fil ouvert par Dennis1993, la tendance ne s’est pas inversée : le dépôt nextcloud/server affiche aujourd’hui près de 2 600 tickets ouverts et 919 pull requests en attente de revue — davantage qu’en janvier 2024, pas moins, malgré deux années de nouvelles versions majeures entre-temps. Nextcloud n’a pas un problème de fonctionnalités ; il a un problème de rythme, qui ne laisse pas à son équipe de maintenance le temps d’assécher un stock de correctifs grossissant plus vite qu’il ne se vide.

Rien de tout cela ne remet en cause la pertinence de Nextcloud comme alternative sérieuse à Microsoft 365 — c’est justement parce que l’outil est devenu crédible que son rythme de sorties mérite d’être discuté aussi sérieusement que ses fonctionnalités. En pratique, la parade la plus efficace reste connue des administrateurs expérimentés : ne jamais installer une version majeure le jour de sa sortie, conserver sciemment un cran de retard, le temps que les premiers correctifs mensuels tombent, et caler la migration sur un cycle annuel plutôt que de courir après chaque saison. C’est très exactement l’arbitrage retenu ici pour chaque personne accompagnée vers Nextcloud — pas la dernière version, la plus stable.

Sources

• GitHub — nextcloud/server, wiki Maintenance and Release Schedule (cadence officielle des versions majeures)
• Nextcloud — documentation officielle, Maintenance and release schedule
• Nextcloud community — « Nextcloud Quality and Release-Cycles », fil ouvert le 23 janvier 2024
• GitHub — nextcloud/server, tickets et pull requests ouverts (statistiques du dépôt)
• The Register — Nextcloud puts out fire after data leak panic (13 mars 2025)
• GitHub — nextcloud/updater#502, échec de mise à jour resté sans correctif officiel
• Nextcloud — webinaire officiel « Nextcloud Hub vs Microsoft 365: Choosing Digital Sovereignty »
• MassiveGRID — Nextcloud vs Microsoft 365: Infrastructure Cost & Sovereignty Comparison

Roundcube et la vieille garde du webmail

La référence du secteur reste Roundcube : plus de 7 100 étoiles sur GitHub, licence GPL-3.0, et une présence quasi universelle — c’est le webmail préinstallé par défaut sur la grande majorité des hébergements mutualisés cPanel et Plesk depuis plus d’une décennie. Son thème par défaut, Elastic, s’est modernisé version après version, mais reste d’esprit résolument fonctionnel : une grille de listes et de boutons qui évoque un intranet d’entreprise plutôt qu’une messagerie qu’on a plaisir à ouvrir. La lignée Rainloop, reprise depuis par le fork communautaire SnappyMail (1 675 étoiles, licence AGPL-3.0), assume un parti pris minimaliste et rapide — mais minimaliste ne veut pas dire soigné : l’interface reste austère, pensée pour l’efficacité brute plutôt que pour l’usage plaisant.

MailFlow renverse le problème : le design d’abord

MailFlow part du principe inverse : le design n’y est pas un supplément d’âme ajouté à la fin, c’est le point de départ du projet. L’essentiel du code est signé par un seul développeur, maathimself, épaulé par une douzaine de contributeurs occasionnels ; l’outil se distribue sous Docker pour l’auto-hébergement et regroupe plusieurs comptes IMAP/SMTP dans une seule boîte de réception unifiée, avec des thèmes sombre et clair réellement travaillés, plusieurs palettes de couleurs au choix — Catppuccin, Gruvbox et d’autres, un emprunt assumé aux outils de développeurs plutôt qu’aux codes du webmail classique — et une typographie soignée. Plusieurs dispositions sont proposées (classique, compacte, lecture large, division verticale), une palette de commandes s’ouvre au clavier (Cmd/Ctrl+K) et les raccourcis sont entièrement personnalisables. Rien de tout cela n’est purement cosmétique : l’autocomplétion de contacts apprend des e-mails déjà envoyés, la catégorisation automatique du courrier (Primaire, Newsletters, Réseaux sociaux, Notifications, Autres) trie l’arrivée sans configuration, et un bouton de désabonnement en un clic apparaît directement sur les newsletters détectées.

Le design n’y est pas un supplément d’âme ajouté à la fin, c’est le point de départ du projet.

La profondeur fonctionnelle est réelle : règles de tri automatiques, mise en snooze des messages, résumés et brouillons de réponse générés par IA via une API compatible OpenAI, workflow optionnel façon Getting Things Done avec des raccourcis clavier dédiés (t/w/d), synchronisation CardDAV des contacts, intégration Todoist, et connexion Microsoft 365/OAuth2 pour les comptes professionnels. Côté sécurité, MailFlow propose l’authentification à deux facteurs (TOTP ou code par e-mail), la confiance d’appareil persistante et surtout le SSO via n’importe quel fournisseur OIDC — de quoi brancher l’outil derrière un Nextcloud, un Authentik ou un Keycloak déjà en place, exactement comme le ferait un outil interne d’entreprise.

Un modèle économique assumé

Le modèle économique tranche avec l’image floue qu’a parfois le logiciel libre côté financement. MailFlow est double-licencié : gratuit sous licence AGPL-3.0 pour un usage personnel et l’auto-hébergement, le projet insistant sur le fait que cet usage personnel restera gratuit indéfiniment — et une licence commerciale à 500 $ par installation, paiement unique, pour les entreprises qui ne peuvent pas respecter les obligations de l’AGPL (republier ses modifications si l’on redistribue ou héberge une version modifiée). Aucune fonctionnalité n’est verrouillée derrière un palier payant : la version gratuite et la version commerciale sont le même logiciel, seule la licence applicable change selon l’usage qui en est fait.

Un projet jeune, encore à faire ses preuves

Cette légèreté a une contrepartie à ne pas balayer d’un revers de main : le dépôt GitHub de MailFlow n’existe que depuis avril 2026 — quatre mois d’existence publique au moment d’écrire ces lignes, contre plus de vingt ans pour Roundcube. Avec 352 étoiles, 27 forks et 41 tickets ouverts (issues et pull requests confondues), le projet reste actif au quotidien — dernier commit la veille de la rédaction de cet article — mais repose encore largement sur un seul développeur principal. Manier des e-mails est un usage particulièrement sensible : avant d’y confier la messagerie d’une structure entière, mieux vaut d’abord le tester sur un compte personnel ou secondaire, le temps que l’outil accumule le recul de production que ses concurrents plus anciens ont déjà. C’est précisément ce type d’arbitrage — repérer l’outil libre qui mérite d’être adopté tôt, distinguer l’ambition réelle du simple effet de mode, puis l’héberger et le sécuriser correctement — que l’accompagnement proposé ici aide à trancher.

Sources

• GitHub — maathimself/mailflow (licence AGPL-3.0, statistiques du dépôt)
• MailFlow — site officiel
• GitHub — roundcube/roundcubemail (licence GPL-3.0, statistiques du dépôt)
• GitHub — the-djmaze/snappymail (licence AGPL-3.0, statistiques du dépôt)

Un gestionnaire de mots de passe centralise l’accès à tous les comptes d’une personne — le confier à un service cloud tiers revient à miser toute sa sécurité numérique sur la solidité d’une seule entreprise.

Une réimplémentation complète en Rust

Vaultwarden comble cet écart depuis 2018. Le projet, démarré par le développeur espagnol Daniel García, réimplémente entièrement l’API du serveur Bitwarden en Rust — pas un fork du code officiel, une réécriture complète qui reste compatible avec les applications et extensions Bitwarden officielles (navigateur, mobile, bureau, CLI), puisqu’elle parle exactement le même protocole. Résultat : un seul binaire, un seul conteneur Docker, une base SQLite par défaut (MySQL ou PostgreSQL en option) — largement suffisant pour un usage personnel ou familial.

Le nom du projet a changé en cours de route. Publié à l’origine sous le nom Bitwarden_rs, il devient Vaultwarden le 30 avril 2021, à l’occasion de la version 1.21.0, pour se démarquer clairement du serveur officiel et éviter toute confusion de marque. Le projet le précise sans détour : il n’est pas affilié à Bitwarden, Inc. — même si l’un de ses mainteneurs actuels y est employé et continue d’y contribuer sur son temps libre, ses changements étant relus comme ceux de n’importe quel autre contributeur.

Une API quasi complète

Sur le plan fonctionnel, Vaultwarden vise une implémentation quasi complète de l’API cliente Bitwarden : coffre personnel, Bitwarden Send, pièces jointes, icônes de site, clé API personnelle, organisations avec collections, partage de mots de passe, rôles, groupes, journaux d’événements et réinitialisation admin, et authentification à facteurs multiples — TOTP, e-mail, FIDO2/WebAuthn, YubiKey, Duo. L’accès d’urgence et le client web modifié sont livrés directement dans le conteneur.

Un panneau d’administration dédié — route /admin, protégée par un jeton distinct des comptes utilisateurs — permet à la personne qui héberge le serveur de configurer l’instance, gérer les comptes et organisations enregistrés, inviter de nouveaux utilisateurs même quand les inscriptions sont désactivées, et générer un diagnostic complet en cas de problème.

Bitwarden réagit avec Bitwarden Lite

Bitwarden a lui-même reconnu ce besoin de légèreté : le 9 décembre 2025, l’éditeur a lancé « Bitwarden Lite », un déploiement officiel simplifié tenant dans un seul conteneur, explicitement destiné « aux passionnés de Home Lab et aux utilisateurs individuels » plutôt qu’aux organisations. L’écart technique se resserre donc, mais Bitwarden précise lui-même que ce mode Lite n’est pas toujours recommandé pour les organisations et oriente vers une offre commerciale dès que les besoins grandissent. Vaultwarden, lui, reste un projet entièrement libre depuis 2018, sans dépendre des choix commerciaux d’une entreprise, avec des années d’usage éprouvé dans la communauté de l’auto-hébergement.

Le rythme de développement reste soutenu : plus de 65 000 étoiles et 3 100 forks sur GitHub à la mi-août 2026, licence AGPL-3.0, dernière version stable (1.37.1) publiée le 29 juillet 2026. Le déploiement lui-même reste minimal — une commande docker run, un volume à monter, un nom de domaine en HTTPS (obligatoire, l’API Web Crypto du navigateur l’exige) — typiquement derrière le même reverse proxy que le reste des services internes.

Comme pour toute donnée aussi sensible qu’un coffre de mots de passe, l’auto-hébergement déplace la responsabilité de la sauvegarde vers la personne qui héberge : perdre ce conteneur sans copie récente, c’est perdre l’accès à tous les comptes qu’il protège. C’est un point à sécuriser dès le déploiement, pas après coup — exactement le type de détail qu’un accompagnement permet de ne pas laisser de côté.

Sources

• GitHub — dani-garcia/vaultwarden (licence AGPL-3.0, statistiques du dépôt)
• Vaultwarden — README (fonctionnalités, disclaimer)
• Vaultwarden Discourse — v1.21.0 release and project rename to Vaultwarden
• Vaultwarden wiki — Enabling admin page
• Bitwarden — Lightweight and flexible: Bitwarden Lite self-host deployment is now generally available

Le communiqué officiel (n°950, 13 août 2026) est direct sur ce point : cet accès a néanmoins permis la consultation et l’extraction de données concernant des particuliers et des professionnels. Point de méthode important : à ce stade, la DGFiP ne confirme ni le chiffre de 678 438 enregistrements ni le périmètre exact des données extraites — l’ampleur précise de la fuite repose donc encore sur la revendication du pirate, pas sur un chiffrage officiel, pendant que l’enquête se poursuit avec l’ANSSI et le Haut fonctionnaire de défense.

Reste un fait, lui, entièrement confirmé par l’administration elle-même : entre la détection de l’intrusion, fin juin, et sa reconnaissance publique le 13 août, il s’est écoulé six à sept semaines. Ce n’est pas une communication spontanée qui a mis fin au silence, mais la revendication du pirate lui-même, publiée la veille sur le dark web.

Des données très sensibles

L’échantillon diffusé par le pirate, repris par plusieurs médias spécialisés, détaille le contenu de la fuite : identité complète, date et lieu de naissance, adresse postale, situation familiale, nombre de parts fiscales, revenu fiscal de référence, taux de prélèvement à la source, identifiant fiscal, numéro de téléphone, adresse e-mail et historique des démarches administratives. Ce n’est pas un fichier commercial anodin : c’est la photographie complète que l’administration fiscale possède de chaque foyer, la matière première idéale pour un phishing ciblé bien plus crédible qu’un message générique.

Un scénario déjà vécu

Cette fuite n’est pas la première subie par la DGFiP en 2026. Entre fin janvier et le 18 février, le ministère de l’Économie avait déjà annoncé un accès illégitime au fichier FICOBA, le fichier national des comptes bancaires, avec environ 1,2 million de comptes bancaires — RIB, IBAN, identité du titulaire, adresse — consultés frauduleusement, là aussi via l’identifiant usurpé d’un agent disposant de droits d’accès aux échanges d’informations entre ministères.

Le mode opératoire est strictement identique dans les deux cas : un agent public voit son identité usurpée, ce qui ouvre à l’attaquant un accès en apparence légitime aux outils internes. Si la première fois n’a pas suffi à corriger la faille qui la rend possible, la question n’est plus de savoir comment cela a pu arriver, mais pourquoi cela s’est reproduit à l’identique.

Deux fuites majeures de données personnelles en moins de sept mois, par le même vecteur d’attaque, sur les systèmes de la DGFiP.

Des alertes ignorées depuis 2019

Ce sous-investissement n’a rien d’une découverte récente. Un rapport de la Cour des comptes de mai 2019 sur les systèmes d’information de la DGFiP relevait déjà, entre 2012 et 2018, une baisse de 13 % des effectifs informatiques — supérieure à la baisse générale des effectifs de l’administration sur la même période — et une baisse de 22 % du budget informatique entre 2012 et 2017, aux côtés de faiblesses structurelles importantes en matière de gouvernance, de stratégie et de gestion des ressources humaines.

Sept ans plus tard, et quelques semaines avant cette fuite, le syndicat Solidaires Finances Publiques republiait l’alerte dans une tribune datée du 26 mai 2026 : les moyens alloués, qu’ils soient financiers ou humains, restent insuffisants et, malgré des alertes répétées, peu de progrès ont été réalisés. Une tribune syndicale reste un point de vue engagé, pas un audit indépendant — mais son constat converge, sept ans après, avec celui, chiffré, de la Cour des comptes.

Vos recours si vous êtes concerné

Premier réflexe, gratuit et accessible à tous : la plainte auprès de la CNIL, prévue par l’article 77 du RGPD dès lors qu’on estime qu’un traitement de ses données personnelles constitue une violation du règlement — démarche disponible en ligne sur cnil.fr. La CNIL peut instruire, mettre en demeure et sanctionner la DGFiP ; elle ne peut en revanche pas indemniser personnellement les victimes, ce n’est pas son rôle.

Pour une réparation financière, c’est l’article 82 du RGPD qui s’applique : toute personne ayant subi un dommage matériel ou moral du fait d’une violation a droit à réparation, mais la seule violation ne suffit pas — il faut démontrer un préjudice réel (fraude bancaire, usurpation d’identité, temps perdu à sécuriser ses comptes). Point technique à ne pas négliger : la DGFiP étant une autorité publique agissant dans l’exercice d’une mission de service public, l’action se joue vraisemblablement devant le tribunal administratif plutôt que le tribunal judiciaire, précédée d’une réclamation préalable écrite obligatoire dès lors que la demande porte sur une somme d’argent (article R. 421-1 du Code de justice administrative). Un point suffisamment technique pour justifier l’avis d’un avocat avant toute démarche.

Reste la voie pénale contre l’auteur du piratage : l’article 323-1 du Code pénal punit l’accès frauduleux à un système de traitement automatisé de données, avec une peine portée à 7 ans d’emprisonnement et 300 000 € d’amende — contre 3 ans et 100 000 € dans le cas général — dès lors que le système visé est à caractère personnel et mis en œuvre par l’État. La DGFiP a elle-même annoncé son intention de porter plainte, ce qui n’empêche pas une victime de déposer la sienne et de se constituer partie civile ; en revanche, l’État lui-même échappe à toute responsabilité pénale (article 121-2 du Code pénal) — une plainte ne peut viser que l’auteur du piratage. Pour agir collectivement plutôt que seul, l’article 37 de la loi Informatique et Libertés permet de mandater une association pour une action de groupe, mais sans mandat individuel exprès, elle ne peut obtenir qu’un arrêt de la violation, pas une indemnisation.

Personne ne choisit de confier ses données à l’administration fiscale : déclarer ses revenus à cette même administration est une obligation légale, pas un choix. Cela devrait s’accompagner d’une obligation de moyens bien plus stricte pour les protéger. Les recours listés ci-dessus sont réels, mais aucun ne remplace ce qui aurait dû être fait en amont : sécuriser correctement l’accès de ses propres agents à des données que 678 000 personnes n’ont jamais eu la possibilité de refuser de transmettre.

Sources

• Ministère de l’Économie — Communiqué officiel n°950, accès illégitime au système d’information de la DGFiP (13 août 2026)
• justgeek.fr — Impots.gouv.fr : les données de 678 438 contribuables auraient été volées
• cyberattaque.org — 678 438 lignes de données fiscales de Français en fuite après le piratage des impôts
• kulturegeek.fr — Les impôts confirment un piratage avec vol de données fiscales
• economie.gouv.fr — FICOBA : tout savoir sur l’accès illégitime au fichier national des comptes bancaires
• Cour des comptes — Les systèmes d’information de la DGFiP et de la DGDDI (mai 2019)
• Solidaires Finances Publiques — L’informatique de la DGFiP : le géant aux pieds d’argile ! (26 mai 2026)
• CNIL — Adresser une plainte (article 77 du RGPD)
• Légifrance — Article 323-1 du Code pénal (accès frauduleux à un système de traitement automatisé de données)
• Légifrance — Article 121-2 du Code pénal (responsabilité pénale des personnes morales, exclusion de l’État)
• Légifrance — Article R. 421-1 du Code de justice administrative (réclamation préalable obligatoire)
• donneespersonnelles.fr — Article 82 du RGPD : le droit à indemnisation décrypté

Techniquement, l’application principale est écrite en Kotlin avec Compose Multiplatform pour l’interface, épaulée par un compilateur sémantique écrit en Rust qui définit et vérifie les schémas de contrat entre le serveur et le client — un choix d’architecture rare pour un projet aussi jeune, documenté en détail dans plusieurs fichiers publics du dépôt. Concrètement, l’application interroge d’abord le serveur pour savoir ce qu’il expose vraiment — fonctionnalités, versions, permissions, applications installées — avant de choisir l’interface adaptée : galerie photo, éditeur de texte, tableau, conversation, calendrier, tableau kanban ou tableau de bord.

Nextcloud Native résume sa philosophie en une phrase : « Native is a behavior, not a coat of paint ».

Jamais une fausse application

Cette vérification systématique conditionne tout le reste : une action indisponible côté serveur reste simplement absente de l’interface plutôt que de s’afficher grisée ou de planter au clic, un conflit de synchronisation s’affiche explicitement plutôt que d’écraser silencieusement une version, et l’application refuse d’écrire quand le contrat du serveur reste ambigu, plutôt que de deviner ce que l’utilisateur voulait faire. Le projet revendique noir sur blanc de ne jamais inventer un point d’accès qui n’existe pas côté serveur, ni de faire passer un site web intégré pour une application native — l’inverse de la solution de facilité la plus courante sur ce genre de projet. Les identifiants de connexion, eux, ne sont jamais journalisés et s’appuient sur le stockage sécurisé natif de chaque plateforme, Android Keystore sur mobile ou Secret Service sur Linux.

Un projet jeune, un rythme soutenu

Le dépôt GitHub du projet a été créé le 24 juillet 2026 — trois semaines à peine avant la publication de cet article — et cumule déjà plus de 220 étoiles ainsi que 177 tickets ouverts, un rythme moins révélateur d’instabilité que d’une feuille de route découpée très finement : elle est documentée dans un fichier public, complétée par une charte de sécurité et une politique explicite sur les contributions assistées par IA, qui doivent rester menées par un humain. Le code est publié sous licence AGPL-3.0-or-later sur GitHub.

Ce qui marche déjà, ce qui ne marche pas encore

Dans son état actuel, qualifié d’alpha par le projet lui-même, l’application couvre déjà une bonne partie de l’usage quotidien : navigation native dans les fichiers avec prévisualisation et édition de texte protégée, Photos et Souvenirs avec albums, tags, personnes et prise en charge RAW/JPEG, historique Talk avec des cartes de message typées, Notes avec dossiers et Markdown, activité, recherche globale, tableau de bord et bascule entre applications, plus des flux adaptés pour Mail, Musique, Cookbook, Calendrier, Contacts, Tâches, Tables, Deck, Cospend et Budget. Android 8.0 et plus reste la cible mobile active, Linux Debian et Ubuntu le terrain de développement principal, Fedora et RHEL sont pris en charge, Windows x86-64 est en qualification active, macOS Intel n’a pour l’instant qu’un paquet précoce sans connexion possible, et iOS reste au stade de simple intention sur la feuille de route.

Le projet ne cache rien de ce stade précoce : chaque page de téléchargement rappelle noir sur blanc de garder une copie séparée de ses données importantes et de vérifier les notes de version avant d’installer un paquet. Cette franchise, plutôt rare à ce stade de développement, tranche avec la tentation habituelle de taire ses limites tant qu’on cherche encore à convaincre.

Une feuille de route encore longue

La suite du chantier reste large : fondations partagées, navigation complète des fichiers avec partages et versions, synchronisation hors ligne avec historique d’envoi visible, sauvegarde photo avec prise en charge RAW et vidéo, synchronisation CardDAV et CalDAV, messagerie Talk avec appels WebRTC, prise en charge dynamique de nouvelles applications, et un vrai produit desktop à plusieurs volets plutôt qu’une simple fenêtre redimensionnée. De quoi occuper le projet plusieurs mois avant d’atteindre une version réellement prête pour un usage critique au quotidien.

Nextcloud reste l’un des socles les plus solides pour reprendre la main sur son cloud personnel — c’est l’un des outils que l’accompagnement bénévole proposé ici aide à mettre en place. Ce qui lui manquait souvent, ce n’était pas des fonctionnalités côté serveur, mais un client à la hauteur sur chaque appareil, plutôt qu’une synchronisation de fichiers isolée ou une page web redimensionnée pour l’occasion. Nextcloud Native ne comble pas encore entièrement ce manque, mais c’est exactement la direction qui faisait défaut jusqu’ici — un projet encore jeune, à suivre de près, mais déjà d’une rigueur peu commune pour son âge.

Sources

• Nextcloud Native — site officiel
• GitHub — Obiente/nc-native (licence AGPL-3.0-or-later, statistiques du dépôt)
• Nextcloud Native — Comment ça marche (architecture, contrats vérifiés)
• Nextcloud Native — État des plateformes
• Nextcloud Native — Feuille de route publique
• GitHub — Obiente/nc-native, ROADMAP.md
• GitHub — Obiente/nc-native, AI_POLICY.md (politique sur les contributions assistées par IA)

Premier symptôme : l’institution censée piloter cette transformation n’en a pas elle-même les moyens. Dans un rapport de juillet 2024, la Cour des comptes décrit une Dinum (Direction interministérielle du numérique) « souvent ballottée d’un ministère à l’autre, et parfois livrée à elle-même », avec 225 équivalents temps plein jugés à peine suffisants pour mettre en œuvre sa propre feuille de route 2023. Sa « brigade d’intervention numérique », forte de 40 experts censés intervenir en urgence sur les projets en difficulté, suscite elle-même le scepticisme de la Cour quant à ses résultats concrets. Le 4 mars 2023, une panne du réseau interministériel de l’État a coupé pendant deux heures les systèmes informatiques de la Police et de la Gendarmerie nationales — un incident que la Cour cite comme illustration des fragilités opérationnelles de ce réseau.

Des projets qui dérapent

Sur les grands projets eux-mêmes, les chiffres sont sans ambiguïté : l’audit mené par la Dinum en 2023 sur les principaux projets numériques de l’État relève un glissement budgétaire moyen de 24 % et un retard calendaire moyen de 26 % — des écarts que la Cour des comptes reprend telles quelles dans son rapport de 2024 comme mesure de la performance réelle de ces projets.

La Justice, un cas d’école

Le cas du ministère de la Justice illustre ce que ces pourcentages veulent dire en pratique. Dans un rapport publié le 26 janvier 2022, la Cour des comptes dresse le bilan d’un plan de transformation numérique doté de 530 millions d’euros sur cinq ans, lancé en 2018. Portalis, le projet de dématérialisation de la chaîne civile, voit son coût grimper de 28,5 à plus de 77 millions d’euros — la Cour note qu’à la date du rapport, le ministère ne pouvait plus prévoir ni le coût total du projet, ni sa date de mise en service. Cassiopée, l’un des deux grands projets du plan côté pénal, n’a été que partiellement déployé ; Astréa a vu son budget multiplié par cinq du fait de l’élargissement de son périmètre. Sur l’ensemble du plan, les grands projets ont dérapé de 60 % en moyenne, avec un taux de sous-traitance de 81 % sur les projets de plus de 5 millions d’euros — au-dessus du seuil de 70 % que la Dinum considère elle-même comme un facteur de risque.

La Cour résume ce plan comme un exercice de « rattrapage » plutôt qu’une véritable transformation.

Une dépendance logicielle chiffrée

À ces retards s’ajoute une dépendance logicielle que la Cour des comptes a chiffrée pour la première fois avec précision dans un rapport du 31 octobre 2025. Sur 466 applications métiers recensées dans l’administration — un inventaire non exhaustif —, les deux tiers ont été développées spécifiquement, dont une majorité par des prestataires externes. À l’exception notable de la Gendarmerie nationale, toutes les administrations étudiées font un usage massif des produits Microsoft, pour un coût estimé à 115 millions d’euros en 2025 sur le périmètre examiné, plus 34,1 millions d’euros de support ; Oracle pèse environ 53 millions d’euros par an sur ce même périmètre. Au total, la Cour évalue à environ 1,5 milliard d’euros par an les achats de logiciels américains par les administrations françaises — des achats en hausse de 27 % pour Microsoft et de 37 % pour VMware entre 2023 et 2025.

Le retard se prolonge jusque sur le terrain le plus actuel : l’intelligence artificielle. Dans son rapport de novembre 2025 sur la stratégie nationale pour l’IA, la Cour des comptes qualifie de « trop modestes » les efforts de transformation de l’administration elle-même, avec seulement 35 % des crédits alloués effectivement consommés à la mi-2025. La Dinum vise la formation de 100 000 agents publics au numérique en 2025, mais le déploiement d’une infrastructure de confiance et des premiers services d’IA générative pour l’ensemble des agents nécessiterait, dès 2026, environ 100 millions d’euros par an — un budget qui n’est aujourd’hui pas programmé. Les feuilles de route ministérielles annoncées en février n’avaient toujours pas été présentées en juin, faute, selon la Cour, de « substance satisfaisante ».

Recruter des informaticiens dans le public

Derrière ces chiffres, une explication plus structurelle : l’État peine à recruter et à garder les informaticiens dont il a besoin. La circulaire n° 6434/SG du 3 janvier 2024 a révisé le référentiel de rémunération des 55 métiers de la filière numérique de l’État — un référentiel créé en 2019 — en invoquant explicitement des « tensions accrues en matière de recrutement » et des « revendications de niveau de salaire » dans un marché du numérique qualifié de concurrentiel. Plus de 21 000 agents exercent une activité numérique dans l’administration civile, et plus de 28 000 au ministère des Armées. Ces tensions ne sont pas propres à l’informatique : en 2022, 15 % des postes ouverts au recrutement externe dans la fonction publique d’État sont restés non pourvus, contre 7 % en 2021, sur 40 300 postes proposés — un niveau que l’administration elle-même qualifie d’historiquement élevé.

Pris séparément, chacun de ces rapports décrit un problème isolé : une agence mal calibrée, un projet mal budgété, un fournisseur trop présent, une filière qui peine à recruter. Mis bout à bout, ils dessinent la même boucle qui se répète d’un ministère à l’autre : des équipes trop réduites pour piloter correctement des projets largement sous-traités, des projets sous-pilotés qui dérapent en coût et en délai, des dérapages qui absorbent le budget qui aurait pu financer de meilleurs salaires et davantage de personnel, et un écart d’attractivité qui rend le recrutement du projet suivant tout aussi difficile.

Le même mécanisme, à échelle réduite, guette toute organisation — entreprise ou collectivité — qui sous-traite intégralement son informatique sans garder en interne la compétence nécessaire pour la piloter et l’arbitrer. C’est précisément ce que vise l’accompagnement proposé ici : garder la main sur ses choix techniques et sur ses prestataires, plutôt que de les subir.

Sources

• Cour des comptes — Le pilotage de la transformation numérique de l’État par la Dinum (10 juillet 2024)
• Cour des comptes — Point d’étape du plan de transformation numérique du ministère de la justice (26 janvier 2022)
• Cour des comptes — Les enjeux de souveraineté des systèmes d’information civils de l’État, rapport S2025-1479 (31 octobre 2025)
• Cour des comptes — La stratégie nationale pour l’intelligence artificielle (novembre 2025)
• Légifrance — Circulaire n° 6434/SG du 3 janvier 2024 relative à la politique salariale des métiers du numérique
• Portail de la fonction publique — Les recrutements externes de fonctionnaires de l’État en 2022
• Acteurs Publics — Un rapport accablant de la Cour des comptes sur la transformation numérique de la justice
• it for business — La Cour des comptes pointe le manque d’efficacité de la Dinum

Comment fonctionne IPFS

Créé par Juan Benet et développé depuis 2015 par Protocol Labs, IPFS est un protocole ouvert, sous double licence libre MIT et Apache 2.0, qui repose sur un principe simple à énoncer mais qui change tout dans la pratique : l’adressage par contenu plutôt que par emplacement. Sur le web classique, une adresse comme https://site.fr/page.html désigne un endroit précis, un serveur donné à un instant donné, pas le contenu lui-même : si ce serveur disparaît ou change de propriétaire, l’adresse ne mène plus nulle part. Sur IPFS, chaque fichier reçoit un identifiant calculé à partir de son propre contenu, et n’importe quel ordinateur du réseau qui détient ce fichier peut le fournir à qui le demande. Il n’y a plus de serveur unique à faire tomber, ni de propriétaire unique à qui adresser une injonction : le fichier existe partout où quelqu’un a choisi de le conserver.

Bloquer un nom de domaine ne sert plus à grand-chose quand le contenu qu’il hébergeait n’a plus de domicile fixe.

Wikipédia turque, le cas d’école

L’exemple le plus documenté remonte au 29 avril 2017 : la justice turque ordonne le blocage total de Wikipédia dans le pays, toutes langues confondues. Quatre jours plus tard, l’équipe d’IPFS republie l’intégralité de la Wikipédia turque sur le réseau pair-à-pair, en dehors de toute coordination avec la Wikimedia Foundation, une décision technique prise unilatéralement par des développeurs, sans avoir besoin de l’accord de qui que ce soit. Le contenu redevient accessible parce qu’il n’existe plus à une seule adresse que l’État peut faire bloquer par les fournisseurs d’accès turcs, mais chez chaque personne qui choisit de le republier.

L’épisode catalan de la même année illustre en revanche une limite bien réelle. Quelques semaines avant le référendum d’indépendance du 1er octobre 2017, le 13 septembre, la Guardia Civil espagnole fait saisir le domaine referendum.cat, puis étend le blocage à ses miroirs, dont l’un était hébergé sur IPFS. Faute de pouvoir bloquer une adresse précise sur ce réseau, l’opérateur Telefónica/Movistar a dû couper purement et simplement tout le nom de domaine de la passerelle publique gateway.ipfs.io, coupant au passage l’accès à tout autre contenu qui transitait par cette même passerelle. C’est, d’une certaine façon, une confirmation involontaire de la résistance du protocole, puisqu’il a fallu une mesure disproportionnée pour venir à bout d’un seul contenu, mais aussi un rappel utile : la plupart des internautes n’accèdent pas directement au réseau IPFS, ils passent par une passerelle HTTP classique, et cette passerelle-là reste, elle, une adresse bloquable comme une autre.

La persistance, un angle mort

Cette histoire de passerelle pointe vers un second point aveugle, rarement mentionné dans le discours qui entoure IPFS : un fichier republié sur le réseau n’y reste pas éternellement tout seul. S’il n’est plus détenu par personne, il finit tout simplement par en disparaître, faute de garantie de conservation par défaut. Protocol Labs a construit Filecoin, dont le réseau principal a été lancé le 15 octobre 2020, précisément pour résoudre ce problème : une couche économique qui rémunère quiconque prouve, par la cryptographie, qu’il stocke bien un fichier dans la durée. Et le fait que Cloudflare ait longtemps exploité l’une des passerelles IPFS les plus utilisées au monde, tout en y retirant unilatéralement plus d’un millier de contenus jugés contrefaits rien qu’au premier trimestre 2022, avant de transférer ce service à une structure indépendante en mai 2024 puis de couper définitivement les anciens liens en août de la même année, rappelle qu’un écosystème présenté comme décentralisé peut très bien se recentraliser en pratique autour d’un intermédiaire commode, sans que cet intermédiaire ait de compte à rendre à qui que ce soit.

Ce que permet le modèle actuel

Le cas Parler illustre à l’inverse ce que le modèle aujourd’hui dominant permet, sans qu’aucun juge n’ait besoin d’intervenir. Le 9 janvier 2021, Amazon Web Services notifie au réseau social Parler la coupure de son hébergement avec un préavis de moins de 48 heures, invoquant sa politique d’utilisation acceptable ; Apple et Google retirent l’application de leurs boutiques le même week-end. En quelques heures, une entreprise disparaît du web, avec les données de plusieurs millions d’utilisateurs, sur la seule décision commerciale d’un fournisseur de cloud. Que l’on juge cette décision justifiée ou non sur le fond, le mécanisme qui la rend possible mérite d’être interrogé : aucune structure dont l’existence dépend entièrement de l’infrastructure d’un tiers ne peut prétendre être réellement indépendante de ce tiers. Un contenu distribué sur un réseau pair-à-pair, par construction, n’a pas ce bouton d’arrêt unique.

Les limites réelles à connaître

Il faut néanmoins se garder de présenter IPFS comme une parade universelle. Le protocole résiste bien à une censure ciblée, un blocage de domaine, une décision de modération d’une plateforme, beaucoup moins à un État prêt à couper la connectivité dans son ensemble. En Iran, la connectivité nationale s’est effondrée à environ 5 % dès le 8 janvier 2026, en pleine vague de contestation, un niveau de blackout que plus aucun outil pair-à-pair ne peut contourner puisqu’il faut, à minima, pouvoir joindre un autre ordinateur pour que le principe fonctionne. L’adoption grand public reste par ailleurs marginale, freinée par le besoin d’une extension de navigateur ou d’une passerelle pour accéder au réseau depuis un navigateur classique, et la réputation du protocole a pâti d’avoir été massivement récupérée par la vague spéculative des NFT entre 2021 et 2022, un habillage marketing qui n’a pas grand-chose à voir avec son intérêt réel pour l’archivage et la résistance à la censure.

Rien de tout cela ne remet en cause l’essentiel : l’architecture centralisée qui domine aujourd’hui le web n’a rien d’une nécessité technique, seulement d’une commodité économique, et cette commodité a un prix, payé en dépendance à une poignée d’acteurs privés dont les décisions échappent largement à tout contrôle démocratique. Miser sur des protocoles ouverts et une distribution pair-à-pair partout où c’est réellement pertinent, archivage de documents sensibles, diffusion de logiciels libres, résilience d’un site face à une tentative de blocage, n’est pas un gadget technique : c’est un choix cohérent avec l’idée que la maîtrise de son informatique ne devrait dépendre ni du bon vouloir d’un gouvernement, ni de celui d’une poignée d’entreprises.

Sources

• IPFS — documentation officielle du protocole
• IPFS Blog — Uncensorable Wikipedia (miroir de la Wikipédia turque, mai 2017)
• Wikipedia — Block of Wikipedia in Turkey
• EFF — No Justification for Spanish Internet Censorship During Catalonian Referendum
• Filecoin Docs — lancement du réseau principal (15 octobre 2020)
• TorrentFreak — Cloudflare Disables Access to 'Pirated' Content on its IPFS Gateway
• Cloudflare Blog — Cloudflare’s public IPFS gateways and supporting Interplanetary Shipyard
• GeekWire — Amazon will cut off Parler from AWS for violating terms of service
• Axis Intelligence — Cloud Market Share Statistics 2026 (Synergy Research Group)
• TechCrunch — Internet collapses in Iran amid protests over economic crisis

La retraite de MinIO, étape par étape

Cette période s’est achevée en une succession d’annonces. En février 2025, MinIO retire la console d’administration de sa Community Edition pour ne laisser qu’un simple navigateur d’objets, expliquant vouloir concentrer sa maintenance sur une seule interface plutôt que deux. En octobre 2025, les images Docker de cette édition cessent d’être publiées. En décembre 2025, le projet bascule en « maintenance-only mode » : plus aucun développement actif, seuls les correctifs critiques sont encore évalués au cas par cas.

Début 2026, le dépôt GitHub minio/minio — plus de 61 000 étoiles accumulées en une décennie — est marqué « no longer maintained » puis archivé.

Ce qui reste sous la marque MinIO s’appelle désormais AIStor, un produit commercial fermé décliné en trois paliers : un palier gratuit limité à un seul nœud et sans support, un palier « Enterprise Lite » plafonné à 400 To, et un palier « Enterprise » dont le tarif n’est jamais publié mais que la presse spécialisée situe autour de 96 000 $ par an pour un support dédié. L’option réellement libre, auto-hébergeable sans compte ni licence à demander, a disparu.

RustFS occupe le vide

RustFS, lancé en novembre 2023 et écrit en Rust, occupe précisément ce vide : plus de 30 000 étoiles GitHub et 1 380 forks à la mi-août 2026, licence Apache 2.0 assumée en opposition frontale à l’AGPL v3 — le projet revendique l’absence de toute « clause piège » — et une promesse de remplacement direct de MinIO, avec la même API S3 et une migration possible aussi bien depuis MinIO que depuis Ceph. Il a été distingué fin 2025 dans l’index ROSS de Runa Capital, qui recense les start-ups open source à la croissance la plus rapide.

Sur son dépôt GitHub, le projet revendique jusqu’à 2,3 fois la vitesse de MinIO pour des objets de 4 Ko, mesurée sur un environnement modeste et documenté : deux cœurs Xeon Sapphire Rapids, 4 Go de RAM, réseau à 15 Gbit/s et quatre disques de 40 Go affichant chacun 3 800 IOPS. RustFS met aussi en avant une console web complète par défaut, là où MinIO Community Edition vient justement d’en perdre l’essentiel.

Toutes les fonctions ne sont pas encore stables

Toutes les fonctions ne sont pas encore au même niveau de maturité : le mode distribué multi-nœuds, la gestion du cycle de vie des objets et le service de gestion de clés RustFS KMS restent listés « en test » dans le tableau de statut publié par le projet lui-même, quand le mode mono-nœud, le versioning, la réplication de bucket et la protection contre la corruption silencieuse des données (bitrot) sont eux considérés stables. Une nuance à lire jusqu’au bout avant de migrer une charge de production.

L’installation, elle, reste volontairement simple : un script d’installation en une commande, ou un simple conteneur Docker qui expose l’API S3 sur le port 9000 et la console web sur le port 9001, avec des identifiants par défaut à changer immédiatement après le premier démarrage.

L’épisode MinIO rappelle une règle simple pour tout Home Lab ou toute infrastructure auto-hébergée : une dépendance critique construite sur l’« édition communautaire » d’une entreprise financée par du capital-risque reste, par définition, révocable du jour au lendemain. C’est pour cette raison qu’on privilégie ici des licences réellement permissives et des projets dont la gouvernance ne dépend pas d’un seul éditeur commercial — l’accompagnement proposé ici aide justement à choisir puis à héberger ce type de brique en connaissance de cause.

Sources

• GitHub — rustfs/rustfs (licence Apache-2.0, statistiques du dépôt, benchmark vs MinIO)
• RustFS — site officiel
• Blocks and Files — MinIO users complain after admin UI removed from Community Edition
• The Cloud Support Engineer — The End of an Era: MinIO Community Edition is Archived
• MinIO — Subscriptions & Pricing (paliers AIStor Free / Enterprise Lite / Enterprise)
• GitHub — minio/minio (dépôt archivé, statistiques)

Une croissance rare dans l’open source

Le projet, démarré en février 2022, a connu une croissance rare dans l’open source : plus de 110 000 étoiles sur GitHub et 6 500 forks à la mi-août 2026, ce qui en fait l’un des projets auto-hébergés qui progressent le plus vite ces dernières années. Il est distribué sous licence AGPL-3.0 — la même famille de licence que Nextcloud — garantissant que le code reste ouvert, y compris pour quiconque le modifierait pour en proposer une version en ligne.

Depuis mai 2024, l’équipe cœur du projet travaille à temps plein, financée par FUTO, une organisation qui soutient des projets open source axés sur la vie privée. L’accord prévoit explicitement le maintien de la licence AGPL-3.0 et l’absence de toute fonctionnalité payante ou de publicité — une garantie de continuité rare pour un projet qui, à l’origine, tenait sur les épaules de quelques contributeurs bénévoles.

Immich propose aussi une recherche par description en langage naturel grâce à un modèle CLIP — « chien sur une plage », par exemple, sans avoir tagué une seule photo.

Ce que ça change au quotidien

Côté usage, l’application mobile — iOS et Android — sauvegarde automatiquement chaque photo et vidéo prise depuis le téléphone vers le serveur personnel, en arrière-plan, exactement comme le ferait Google Photos. Une fois les fichiers arrivés sur le serveur, Immich prend le relais avec une reconnaissance faciale qui regroupe automatiquement les photos par personne, une carte du monde qui replace chaque cliché géolocalisé à l’endroit où il a été pris, et la recherche par description annoncée plus haut, qui retrouve la bonne photo sans qu’elle ait jamais été taguée.

Le partage n’a pas été sacrifié pour autant : albums partagés à plusieurs, albums en partenariat où chacun voit automatiquement les photos de l’autre, liens publics pour un usage ponctuel. La version 3.0, sortie le 1er juillet 2026, a ajouté le transcodage vidéo en temps réel, un système d’automatisations façon workflow et l’édition mobile non destructive — Immich continue clairement d’avancer, version après version, plutôt que de stagner une fois la fonctionnalité de base « sauvegarde de photos » atteinte.

Gratuit, sans exception

Le tout reste entièrement gratuit : aucun palier payant, aucune fonctionnalité verrouillée, aucun abonnement à un service cloud — le seul coût réel est celui du serveur ou du stockage utilisé pour l’héberger, exactement la même logique de fond que l’ensemble des services proposés ici.

Un point à ne pas négliger

Reste un point à ne pas balayer : Immich s’auto-héberge, ce qui veut dire assumer soi-même la sauvegarde du serveur qui héberge la photothèque — le perdre sans copie externe, c’est perdre les photos, contrairement à un cloud qui réplique lui-même les données sur plusieurs sites. C’est un vrai sujet, pas un détail : au même titre que le déploiement, la stratégie de sauvegarde fait partie de ce qu’il faut mettre en place dès le premier jour, pas après le premier incident.

Sources

• GitHub — immich-app/immich (licence AGPL-3.0, statistiques du dépôt)
• Immich — site officiel
• Immich Blog — Release v3.0.0
• Linuxiac — Immich Team Goes Full-Time, Joins Forces with FUTO

Fail2Ban UI comble ce vide sans se substituer à Fail2Ban. Publié par la société suisse Swissmakers GmbH en janvier 2025 sous licence AGPL-3.0, ce binaire Go — plus de 330 étoiles GitHub mi-2026 — se connecte aux instances Fail2Ban déjà en place plutôt que de reprendre lui-même les décisions de bannissement, qui restent entièrement du ressort du démon Fail2Ban de chaque hôte.

Un tableau de bord en temps réel

Le tableau de bord affiche en temps réel, via WebSocket, les jails actifs ainsi que les bans et débans à mesure qu’ils surviennent, avec une recherche centralisée pour localiser une IP sur l’ensemble des jails et des serveurs surveillés. Un module de débogage de filtre teste en direct un motif regex contre les journaux existants, et un module « Ban Insights » affiche une chronologie façon SIEM — à la Kibana — avec comparaison d’incidents et analyse par pays.

Piloter plusieurs serveurs à la fois

Trois connecteurs permettent de piloter plusieurs serveurs à distance depuis une seule interface : connexion locale, SSH via un compte de service dédié aux droits sudo minimaux, ou agent HTTP léger installé sur chaque hôte. Vient s’y ajouter une gestion des récidivistes qui pousse un blocage permanent directement sur un pare-feu MikroTik, pfSense ou OPNsense — précieux dès qu’on protège plus d’un serveur exposé, ce qui est le cas de la quasi-totalité des infrastructures auto-hébergées un tant soit peu sérieuses.

Alertes et bonnes pratiques de sécurité

Les alertes se configurent par e-mail (SMTP), webhook ou Elasticsearch, enrichies en données GeoIP et Whois et croisées avec des bases de renseignement de menace comme AlienVault OTX ou AbuseIPDB. L’authentification OIDC est prise en charge en option (Keycloak, Authentik, Pocket-ID), et le projet le rappelle lui-même noir sur blanc dans sa documentation : ne jamais exposer l’interface directement sur Internet, mais la placer derrière un reverse proxy, un VPN ou un pare-feu.

C’est la posture suivie ici pour tous les services internes exposés : jamais nu sur Internet, toujours derrière une authentification centralisée.

Ajouter une interface comme Fail2Ban UI ne crée aucune nouvelle surface d’attaque tant qu’elle reste protégée de la même façon.

Sources

• GitHub — swissmakers/fail2ban-ui (licence AGPL-3.0, statistiques du dépôt)
• Fail2Ban UI — README (fonctionnalités, architecture, connecteurs)
• Fail2Ban UI — site officiel
• GitHub — fail2ban/fail2ban (projet de base, statistiques du dépôt)

ONLYOFFICE Docs est développé par Ascensio System SIA, société lettone dirigée par Lev Bannov, sous une double licence : une édition communautaire distribuée en AGPL v3, gratuite et auto-hébergeable, et une édition entreprise payante avec support commercial. Le code source de l’édition communautaire — plus de 6 800 étoiles GitHub, projet ouvert depuis 2014 — reste public sur GitHub.

L’édition communautaire d’ONLYOFFICE plafonnait à 20 connexions simultanées — une limite technique qui, en pratique, empêchait toute équipe un peu grande de s’en servir sérieusement sans passer à l’offre payante. Cette limite est désormais purement et simplement supprimée.

La version 9.4 change la donne

La version 9.4, sortie le 22 mai 2026, change concrètement la donne pour qui envisage de l’auto-héberger. Le serveur de documents est aussi passé à une architecture mono-processus, abandonnant sa dépendance à RabbitMQ et à une base de données séparée — plus léger à déployer, et plus simple à maintenir dans la durée pour qui l’héberge soi-même.

L’argument de la compatibilité Microsoft

Le vrai argument d’ONLYOFFICE reste cependant sa compatibilité avec les formats Microsoft. Contrairement à Collabora, construit sur le moteur LibreOffice et pensé d’abord pour l’OpenDocument (ODF), ONLYOFFICE a été conçu dès l’origine autour du format Office Open XML — le même que celui de Microsoft Office. Résultat concret : une mise en page Word ou un tableau croisé dynamique Excel qui arrivent d’un client ou d’un collègue s’ouvrent sans décalage de mise en forme, et l’interface elle-même reprend le ruban à onglets de Microsoft Office plutôt que les menus classiques de LibreOffice — un vrai gain d’adoption pour une équipe qui migre depuis Microsoft 365 et ne veut pas réapprendre un logiciel en plus de changer d’hébergeur.

Le connecteur Nextcloud, maintenu par Ascensio System SIA et installable depuis le catalogue d’applications, fonctionne différemment de Collabora : il s’appuie sur l’API propre du Document Server ONLYOFFICE plutôt que sur le protocole WOPI utilisé par Collabora, et nécessite donc de déployer ce Document Server comme un service à part, séparé de Nextcloud lui-même. C’est une étape d’installation en plus, mais elle reste largement compensée depuis la 9.4 par l’architecture allégée mentionnée plus haut.

Collabora garde ses propres arguments

Collabora garde des arguments solides sur son propre terrain : c’est le backend soutenu officiellement par Nextcloud GmbH, mieux intégré nativement, et plus cohérent pour une organisation déjà engagée dans l’écosystème du document ouvert. Le choix entre les deux n’a donc pas de bonne réponse universelle — il dépend surtout du format dans lequel arrivent, au quotidien, les documents à ouvrir : essentiellement Microsoft Office pour ONLYOFFICE, essentiellement ODF/LibreOffice pour Collabora.

Pour une PME qui migre son parc bureautique depuis Microsoft 365 vers Nextcloud — l’un des accompagnements proposés ici — cette question n’est pas cosmétique : la fidélité de rendu des fichiers hérités détermine directement si les utilisateurs adoptent le nouvel outil sans friction ou reviennent en douce à leur ancienne suite. C’est un arbitrage qui se tranche avant le déploiement, pas après.

Sources

• it-connect.tech — ONLYOFFICE Docs 9.4 drops the 20-connection limit and updates its open source license
• GitHub — ONLYOFFICE/DocumentServer (licence AGPL-3.0, statistiques du dépôt)
• GitHub — ONLYOFFICE/onlyoffice-nextcloud (connecteur officiel Nextcloud)
• Collabora Online — CODE, édition communautaire auto-hébergeable
• GitHub — nextcloud/richdocuments (connecteur Collabora Online officiel)

Une seule commande pour tout nettoyer

Win11Debloat s’attaque à tout ça en une seule commande. Ce script PowerShell gratuit et open source, lancé en 2020 par le développeur Raphire, s’exécute sans rien installer — une simple ligne collée dans PowerShell (irm "https://debloat.raphi.re/") télécharge et lance directement le menu de réglages. Publié sous licence MIT, il dépasse aujourd’hui les 55 000 étoiles et 2 300 forks sur GitHub, ce qui en fait l’un des scripts de nettoyage Windows les plus utilisés au monde.

L’interface classe les réglages par grandes familles : suppression d’applications préinstallées, confidentialité (télémétrie, historique d’activité, publicités ciblées, localisation), fonctionnalités d’IA (désactivation de Copilot, de Recall, de Click to Do et du service qui les lance au démarrage), système (retour au menu contextuel de Windows 10, désactivation de l’accélération de la souris, de Storage Sense ou du démarrage rapide), mises à jour Windows, apparence, ainsi que le menu Démarrer, la barre des tâches et l’Explorateur de fichiers.

Pensé aussi pour les administrateurs

Le script vise aussi les administrateurs système : une interface en ligne de commande accepte des paramètres pour automatiser l’exécution, un mode Sysprep applique les réglages au profil par défaut de Windows pour qu’ils s’appliquent automatiquement à tout nouvel utilisateur, et l’export/import de configuration permet de dupliquer les mêmes choix sur plusieurs postes — utile pour déployer une flotte entière plutôt qu’un seul PC personnel.

Réversible et transparent

Presque tous les changements restent réversibles, et la quasi-totalité des applications supprimées peuvent être réinstallées depuis le Microsoft Store.

Win11Debloat offre une transparence que n’offrent jamais les innombrables « optimiseurs Windows » payants qui promettent le même résultat sans jamais dire précisément ce qu’ils modifient.

Lors d’une remise à plat de poste, chez un particulier ou une entreprise accompagnés ici, c’est ce type d’outil qui est privilégié : un script gratuit, open source et documenté, plutôt qu’un utilitaire de nettoyage payant au fonctionnement opaque. Gagner en confidentialité et en fluidité sur son propre PC ne devrait jamais nécessiter d’ouvrir son portefeuille.

Sources

• GitHub — Raphire/Win11Debloat (licence MIT, statistiques du dépôt)
• Win11Debloat — README (fonctionnalités détaillées)
• PDQ — How to identify and remove bloatware from Windows 11

GLPI, la référence installée

Côté open source, la référence s’appelle GLPI. Publié en 2003 par l’association INDEPNET et repris depuis 2015 par l’éditeur Teclib, ce logiciel — plus de 6 200 étoiles GitHub, sous licence GPL-3.0 — a plus de vingt ans d’existence et un périmètre qui a grandi en conséquence : gestion de parc informatique, CMDB, licences logicielles, datacenter, en plus de son module de service desk conforme ITIL. C’est un outil complet, taillé aussi bien pour une PME que pour une grande DSI, mais tout ce périmètre se paie en temps de configuration et d’appropriation — pour une équipe qui, au fond, veut simplement un endroit où répondre à ses clients.

Libredesk résume sa philosophie en une punchline : « single binary, live in minutes ».

Libredesk part du problème inverse

Libredesk part du problème inverse. Lancé publiquement début 2025 sous licence AGPL-3.0, il en est aujourd’hui à sa version 2.7.1 (août 2026), stable, avec plus de 2 700 étoiles et 228 forks sur GitHub, distribué sous forme de binaire unique — une seule commande pour le lancer, PostgreSQL et Redis comme seules dépendances.

Le périmètre fonctionnel reste concentré sur le support client, mais il est loin d’être sommaire : boîte de réception omnicanale réunissant live chat et e-mail dans la même file, widget de chat embarquable sur un site, assistant IA qui répond automatiquement aux questions courantes en s’appuyant sur une base de connaissances et passe la main à un humain quand il ne sait pas répondre, copilote qui rédige des brouillons de réponse pour les agents, automatisations par règles, gestion de SLA, enquêtes de satisfaction (CSAT), permissions fines par rôle, connexion SSO — Google, Microsoft ou tout fournisseur OIDC — et une API HTTP/JSON avec webhooks pour s’intégrer au reste de la boîte.

Un modèle économique qui tranche

Le modèle économique tranche aussi avec une partie du marché open source : aucun palier payant, aucune tarification par agent, aucune fonctionnalité verrouillée derrière une offre « entreprise ». Le projet le formule sans détour sur son site — chaque fonctionnalité est incluse, point final — là où beaucoup d’alternatives dites open source pratiquent l’open-core et réservent l’essentiel du confort d’usage à un abonnement payant.

Une contrepartie honnête

Cette légèreté a une contrepartie honnête à mentionner : Libredesk reste un projet jeune, dont le dépôt GitHub n’existe que depuis mai 2024. Le périmètre volontairement restreint qui le rend rapide à déployer est aussi ce qui l’empêche de remplacer un outil comme GLPI dès qu’une organisation a réellement besoin de suivre un parc de machines, des contrats de licences ou une infrastructure de plusieurs sites — ce n’est simplement pas ce pour quoi l’outil a été conçu.

Le choix, au fond, dépend d’une question simple : le besoin réel est-il de gérer un système d’information dans son ensemble, ou seulement de répondre correctement à des demandes qui arrivent par e-mail ou par chat ? Pour la seconde situation — largement la plus fréquente chez une TPE ou une PME sans service informatique dédié — Libredesk couvre l’essentiel sans imposer le temps de configuration d’un outil pensé pour un tout autre périmètre. C’est ce type d’arbitrage — choisir l’outil à la taille réelle du besoin plutôt que le plus complet du marché, puis l’héberger et le sécuriser correctement — que l’accompagnement proposé ici aide à trancher.

Sources

• GitHub — abhinavxd/libredesk (licence AGPL-3.0, statistiques du dépôt)
• Libredesk — site officiel
• GLPI — À propos de Teclib et historique du projet
• GitHub — glpi-project/glpi (licence GPL-3.0, statistiques du dépôt)

Un tableau de bord complet

Le tableau de bord central donne en un coup d’œil l’état de santé de chaque dépôt : statut système, grille de santé par repository, usage des ressources, répartition du stockage, et un historique d’activité sur 14 jours. Chaque dépôt s’ouvre ensuite en détail — nombre d’archives, taille totale, date de dernière sauvegarde, paramètres de chiffrement.

La restauration, souvent le point faible des outils de sauvegarde en ligne de commande, devient un simple navigateur de fichiers : on parcourt l’arborescence complète d’une archive et on restaure un fichier isolé ou un dossier entier, avec un cache Redis annoncé jusqu’à 600 fois plus rapide sur les gros dépôts. La planification suit la même logique — un constructeur de tâches cron visuel (quotidien, hebdomadaire, mensuel ou expression personnalisée) remplace la syntaxe crontab, avec historique, lancement immédiat ou annulation directement depuis l’interface. Une sauvegarde en cours s’affiche en direct : fichier en cours de traitement, débit en Mo/s, taux de déduplication, temps restant estimé et pourcentage d’avancement.

Administration et notifications

Côté administration, Borg UI gère des rôles admin et utilisateur, la génération et le déploiement de clés SSH (ED25519 ou RSA) vers les machines distantes sans passer par un terminal, des métriques Prometheus prêtes à être collectées, et une prise en charge en test de Borg 2.x bêta aux côtés de la branche stable 1.x. Les notifications, gérées via Apprise, se déclenchent au démarrage, à la réussite, à l’échec ou en cas d’avertissement d’une sauvegarde, et couvrent Discord, e-mail, PagerDuty, Slack, Telegram et les webhooks génériques — ces canaux sont inclus dans toutes les éditions, y compris la gratuite.

Le stockage cloud s’appuie sur rclone : les dépôts peuvent être mis en miroir vers n’importe quel remote rclone, ou sauvegardés directement vers une destination compatible Borg 2, avec Amazon S3, Backblaze B2, Cloudflare R2, Google Drive, Google Cloud, Microsoft Azure, OneDrive ou Dropbox en backends supportés. L’éditeur classe toutefois lui-même cette fonctionnalité comme « Pro & Enterprise » : elle sort du périmètre de l’édition communautaire gratuite.

Une édition communautaire complète

Cette édition communautaire reste malgré tout complète et gratuite, publiée sous licence AGPL-3.0 sur GitHub — plus de 1 500 étoiles un an après son lancement — et s’installe via une simple image Docker qui génère elle-même ses clés de sécurité au premier démarrage, sans fichier de configuration à écrire à la main. Les paliers Pro et Enterprise, eux, financent le développement du projet et ajoutent un support commercial direct.

Un outil comme Borg UI, posé sur un moteur Borg éprouvé, couvre tout ça — dépôts, planification, restauration, alertes — sans jamais avoir à mémoriser une commande, et c’est ce genre de brique que l’accompagnement proposé ici aide à choisir, à installer et à apprendre à surveiller soi-même.

Sans sauvegarde testée et chiffrée, l’auto-hébergement transforme la moindre panne de disque en perte définitive.

Sources

• Borg UI — site officiel
• GitHub — karanhudia/borg-ui (licence AGPL-3.0, statistiques du dépôt)
• BorgBackup — documentation officielle
• Wikipédia — Borg (backup software), historique du fork depuis Attic (2010–2015)
• GitHub — borgbackup/borg (statistiques du dépôt)

Pi-hole, le vétéran

Pi-hole est le plus ancien des deux, et de loin le plus installé. Lancé en 2014 pour tourner sur un Raspberry Pi (d’où son nom), il repose sur FTL (« Faster-Than-Light »), un moteur DNS écrit en C, complété d’un tableau de bord web. Le projet — plus de 60 000 étoiles GitHub et 3 200 forks à la mi-août 2026 — est distribué sous licence EUPL (licence publique de l’Union européenne), moins courante que la GPL mais tout aussi libre.

AdGuard Home, plus récent

AdGuard Home, développé par l’éditeur du même nom, est arrivé plus tard, en 2016. Écrit en Go, il se distribue comme un binaire unique embarquant son propre serveur web — aucune dépendance externe à installer ou à maintenir séparément. Le projet totalise plus de 36 000 étoiles GitHub et 2 400 forks, sous licence GPL-3.0.

Le chiffrement DNS, la vraie différence

La vraie différence technique se joue sur le chiffrement DNS. AdGuard Home sert et interroge nativement le DNS chiffré — DNS-over-HTTPS, DNS-over-TLS, DNS-over-QUIC, DNSCrypt — sans aucun outil supplémentaire. Pi-hole, même après sa grosse refonte de 2025, n’a toujours pas de support natif du DNS chiffré en amont : la documentation officielle du projet recommande de s’appuyer sur un outil tiers, cloudflared, en mode proxy DNS. Or Cloudflare a annoncé le 11 novembre 2025 la suppression de cette commande proxy-dns des futures versions de cloudflared, effective depuis le 2 février 2026, en raison d’une vulnérabilité dans une bibliothèque DNS sous-jacente — ce qui oblige désormais les utilisateurs de Pi-hole à se tourner vers Unbound ou dnscrypt-proxy pour obtenir la même chose.

Les deux proposent un serveur DHCP intégré et un filtrage différencié par appareil — un point souvent présenté à tort comme exclusif à AdGuard Home. Pi-hole y arrive tout aussi bien via sa « gestion de groupes » (associer clients et listes de blocage à un même groupe), quand AdGuard Home l’expose plus directement dans les réglages de chaque client. Fonctionnellement, l’écart est faible ; c’est surtout l’ergonomie qui diffère.

Pi-hole conserve l’écosystème de listes de blocage communautaires le plus riche du secteur.

Pi-hole v6, la plus grosse refonte

Pi-hole v6, sorti le 18 février 2025, reste la plus grosse refonte de l’histoire du projet : un serveur web (CivetWeb) et une API REST intégrés directement au binaire pihole-FTL, la dépendance à lighttpd et PHP supprimée, et toute la configuration centralisée dans un unique fichier TOML. L’empreinte du projet s’en trouve nettement réduite — mais l’interface d’AdGuard Home reste, de l’avis largement partagé dans la communauté de l’auto-hébergement, plus intuitive et mieux finie.

Le choix, au fond, dépend de la priorité recherchée : la maturité, la communauté et l’écosystème de blocklists pour Pi-hole ; le chiffrement DNS natif et une administration plus autonome pour AdGuard Home, d’autant plus depuis que sa principale solution de contournement vient de perdre son support officiel. Les deux se déploient de la même façon — un conteneur, une adresse IP fixe pointée depuis le routeur ou le DHCP — et rien n’empêche de tester l’un puis l’autre avant de trancher pour de bon.

C’est typiquement le genre de choix qui gagne à être fait en connaissance de cause plutôt qu’au hasard d’un guide trouvé en ligne — et à être déployé derrière une configuration réseau qui ne casse rien le jour où le DNS tombe, ce qui fait partie de l’accompagnement proposé ici.

Sources

• GitHub — AdguardTeam/AdGuardHome (licence GPL-3.0, statistiques du dépôt)
• GitHub — pi-hole/pi-hole (licence EUPL, statistiques du dépôt)
• Pi-hole — Introducing Pi-hole v6 (18 février 2025)
• Pi-hole documentation — cloudflared (DoH)
• Cloudflare — cloudflared proxy-dns command will be removed starting February 2, 2026
• Pi-hole documentation — Group Management

Une compatibilité étendue

Côté compatibilité, Conduit ne se limite pas à Open WebUI : l’application se connecte aussi directement à des API compatibles OpenAI, à Ollama, à OpenRouter, ou à un agent auto-hébergé Hermes. Elle prend en charge l’authentification par identifiants classiques, LDAP, JWT, OAuth et SSO, et surtout les proxies inverses les plus courants (oauth2-proxy, Authelia, Authentik, Cloudflare Tunnel) — la méthode recommandée pour exposer un service auto-hébergé sur Internet sans le laisser nu, exactement le principe suivi ici pour protéger les services internes derrière un accès unique.

Ce que couvre l’application au quotidien

Sur le fond, l’application couvre l’essentiel d’un usage quotidien : chat en temps réel avec streaming WebSocket, rendu riche du code, des formules mathématiques et des diagrammes, appels d’outils exécutés côté serveur avec leur détail visible à l’écran plutôt qu’en boîte noire, appels vocaux avec contrôles en direct, et intégration native à la feuille de partage d’iOS et d’Android pour envoyer un texte, une image ou un lien directement dans une conversation.

L’espace de travail reprend aussi ce qu’Open WebUI propose côté serveur — modèles, prompts et outils enregistrés, notes, canaux avec fils de discussion, gestion de fichiers et d’images — avec des brouillons stockés localement sur l’appareil.

Une adoption qui s’accélère

Conduit demande iOS 16.0 ou Android 7.0 (API 24) au minimum, se télécharge sur l’App Store et sur Google Play, et son code source reste public sur GitHub — plus de 1 900 étoiles un an à peine après sa création, signe que le besoin d’un vrai client mobile pour l’IA auto-hébergée était réel et largement partagé.

Local-first, sans télémétrie

Le serveur Open WebUI tourne chez soi ou chez un hébergeur de confiance, protégé derrière une authentification sérieuse, et Conduit vient simplement l’ouvrir au smartphone sans jamais faire transiter la moindre conversation par un tiers — la pièce qui manquait à une pile d’IA auto-hébergée bien construite. Installer et sécuriser ce genre de service fait partie de l’accompagnement proposé ici, pour le cloud personnel comme pour la vie privée numérique au sens large.

Des échanges « local-first » et l’absence de toute télémétrie : deux garanties qui comptent double.

Sources

• Conduit — site officiel
• GitHub — cogwheel0/conduit (licence GPL-3.0, statistiques du dépôt)
• App Store — Conduit: Open WebUI Client
• Google Play — Conduit

Comment ça marche

Le principe est simple à comprendre et tient en un clic : plutôt que de renseigner sa vraie adresse sur un site, Firefox Relay génère un alias aléatoire en @mozmail.com qui retransmet automatiquement les messages reçus vers la boîte réelle, sans jamais l’exposer au site en question. Le code de l’extension et du service est publié sous licence libre MPL 2.0 par Mozilla sur GitHub, une transparence de bon aloi, même si le service lui-même reste centralisé et géré par Mozilla, pas auto-hébergeable comme peut l’être un Vaultwarden ou un Nextcloud. Lancé en bêta en 2020, Firefox Relay est sorti avec une offre payante Premium le 16 novembre 2021, ajoutant réponse depuis l’alias, sous-domaine personnalisé et masquage de numéro de téléphone à l’offre gratuite de base.

Le premier bénéfice concret touche le spam. Firefox Relay ne filtre pas lui-même les messages indésirables, c’est son partenaire technique, Amazon SES, qui bloque le spam et les logiciels malveillants en amont, mais l’intérêt réel est ailleurs : chaque site reçoit un alias différent, ce qui permet d’identifier précisément lequel a fini par revendre ou laisser fuiter l’adresse dès que le spam commence à arriver sur ce seul alias. Il suffit alors de le désactiver depuis le tableau de bord, sans toucher à sa vraie adresse ni devoir la changer partout ailleurs, une bascule immédiate et gratuite qui n’existe tout simplement pas avec une adresse unique partagée à des dizaines de services différents.

L’autre bénéfice : repérer le phishing

Le second bénéfice, moins souvent mis en avant, concerne directement le phishing. Un alias donné uniquement à un site de vente en ligne ne devrait, par construction, jamais recevoir de message prétendant venir de sa banque, de son employeur ou d’une administration : tout message de ce type sur cet alias précis est un signal d’alerte immédiat, impossible à obtenir avec une boîte e-mail unique où les communications légitimes et frauduleuses se mélangent sans distinction. Compte tenu du poids des identifiants volés dans les compromissions actuelles, cloisonner chaque service derrière un alias distinct limite aussi la casse en cas de fuite : un mot de passe réutilisé associé à un alias dédié à un seul site ne permet pas de relier ce compte à l’adresse réelle ni aux autres comptes de la même personne.

Les limites assumées par Mozilla

L’outil a néanmoins des limites assumées par Mozilla elle-même. L’offre gratuite est plafonnée à 5 alias au total ; l’offre Premium, elle, n’est disponible que dans une liste précise de pays, dont la France, l’essentiel de l’Union européenne, le Royaume-Uni, les États-Unis et le Canada, mais pas le monde entier. Firefox Relay journalise par ailleurs les sites sur lesquels chaque alias a été utilisé, pour permettre de les identifier facilement dans le tableau de bord ; ce suivi peut être désactivé dans les réglages, mais tant qu’il reste actif, Mozilla conserve cette métadonnée, même si le contenu des messages, lui, n’est jamais stocké au-delà de trois jours en cas de panne temporaire du service.

Mozilla déconseille explicitement d’utiliser un alias pour tout ce qui exige une identité vérifiée ou une réception garantie : une banque, un médecin, un avocat, une carte d’embarquement.

Un effet secondaire contre le pistage publicitaire

Le bénéfice s’étend enfin au-delà de la seule sécurité. Un e-mail identique donné à des dizaines de sites différents est aussi un identifiant de choix pour les courtiers en données et les réseaux publicitaires, qui l’utilisent pour recouper les profils d’un même internaute d’un service à l’autre. Un alias différent par site casse ce recoupement par construction, sans qu’aucune configuration supplémentaire ne soit nécessaire, un effet secondaire bienvenu pour qui cherche à limiter son empreinte auprès des grandes régies publicitaires, sans même avoir à y penser à chaque inscription.

Changer une habitude aussi ancrée que taper sa vraie adresse e-mail dans chaque formulaire demande un peu de discipline au départ, mais l’extension automatise l’essentiel : un clic suffit pour générer un alias au moment de s’inscrire quelque part. Pour un coût nul dans son usage de base, l’effet cumulé sur deux des vecteurs d’attaque les plus courants, le spam et le phishing, est largement disproportionné par rapport à l’effort que ça demande. Une preuve de plus qu’une informatique mieux maîtrisée ne repose pas toujours sur des outils complexes, mais parfois simplement sur un réflexe différent.

Sources

• Firefox Relay — FAQ officielle
• Mozilla Blog — Introducing Firefox Relay Premium (16 novembre 2021)
• GitHub — mozilla/fx-private-relay (licence MPL 2.0)
• Verizon — 2025 DBIR, Credential Stuffing Attacks Research
• FBI IC3 — 2025 Internet Crime Report (rapport officiel)
• gHacks — Firefox Private Relay is Mozilla’s latest experimental service

Trois objectifs fondateurs

Le collectif se fixe trois objectifs, écrits noir sur blanc dans sa présentation : proposer aux internautes une offre de services libres respectueux de leur vie privée, donner de la visibilité aux structures qui partagent ces valeurs, et faire circuler l’information entre membres. L’ambition dépasse la somme de ces trois points : il s’agit, selon les mots mêmes du collectif, de résister à la « googlisation » d’Internet — reprendre du terrain, service par service, sur les plateformes qui concentrent aujourd’hui l’essentiel du trafic mondial.

Une charte en cinq critères

Cette ambition ne repose sur aucune obligation légale : elle tient à une charte que chaque membre signe et applique concrètement, organisée en cinq familles de critères — les cinq adjectifs de l’acronyme. Être « alternatif », c’est bannir toute régie publicitaire et toute exploitation commerciale des données des utilisateurs. Être « transparent », c’est documenter publiquement son infrastructure, sa politique de sauvegarde, et tenir un journal des incidents. Être « ouvert », c’est n’utiliser que des logiciels libres — sauf absence avérée d’alternative — et garantir à chacun de pouvoir repartir avec ses données, dans un format ouvert, à tout moment. Être « neutre », c’est refuser toute surveillance ou censure a priori et chiffrer sérieusement ce qui doit l’être. Être « solidaire », enfin, c’est aussi une contrainte économique concrète : l’écart entre le salaire le plus haut et le salaire le plus bas d’une structure membre ne peut dépasser un facteur 4.

Sous cette charte commune, les services concrets couvrent l’essentiel de ce dont un particulier ou une petite structure a besoin pour se passer des géants américains : messagerie, stockage et partage de fichiers façon cloud, visioconférence, pads d’écriture collaborative, sondages, VPN, listes de diffusion. Framasoft en fait partie au même titre que les autres, aux côtés d’hébergeurs comme Zaclys, Ouvaton ou Deuxfleurs — des associations, des coopératives, et une minorité d’entreprises, la plupart de taille modeste, réparties aujourd’hui dans près d’une centaine de structures membres pour plusieurs centaines de services actifs.

Un réseau francophone, sans franchise

Le collectif reste volontairement circonscrit au monde francophone — un choix formalisé en 2018, aux Rencontres Mondiales du Logiciel Libre de Strasbourg, où est né en parallèle Librehosters, un réseau international reprenant la même logique pour les structures non francophones. Pas de franchise, pas de structure faîtière qui imposerait un fonctionnement unique : chaque CHATONS reste juridiquement et techniquement indépendant, seule la charte les relie.

La preuve par l’entraide

Cette indépendance n’exclut pas l’entraide : au printemps 2020, quand le confinement a fait bondir du jour au lendemain la demande de services en ligne, Framasoft a redirigé une partie de son trafic vers d’autres membres du collectif moins saturés plutôt que de laisser ses propres serveurs s’effondrer.

Un réseau de petites structures indépendantes peut absorber un pic que chacune, seule, aurait mal encaissé.

C’est cette logique qui anime l’accompagnement proposé ici : plutôt que d’ouvrir un compte de plus chez un géant américain, identifier — sur l’annuaire public de chatons.org — la structure la plus proche capable d’héberger un site, une messagerie ou un cloud personnel, et aider à s’y installer correctement. Le logiciel libre et l’auto-hébergement n’ont de sens que s’ils restent accessibles à celles et ceux qui ne savent pas encore les faire tourner seuls.

Sources

• Framablog — Naissance du collectif CHATONS (12 octobre 2016)
• CHATONS — Présentation du collectif (objectifs)
• CHATONS — Charte du collectif
• April — Naissance du collectif CHATONS (21 structures fondatrices)
• Wikipédia — Collectif des hébergeurs alternatifs, transparents, ouverts, neutres et solidaires

Reprendre la main sur ses données, apprendre en pratiquant, et ne dépendre de personne d’autre pour faire tourner ce qui compte.

Trouver l’alternative libre

Le premier réflexe, avant de se lancer, c’est de savoir par quoi remplacer les outils qu’on utilise déjà. AlternativeTo.net référence plus de 150 000 logiciels et rassemble plus de 2 millions d’avis d’utilisateurs, avec un filtre « Open Source » qui affiche directement la licence de chaque alternative (GPL, MIT, Apache, AGPL...). Chercher « Google Photos », « Notion » ou « Dropbox » y fait immédiatement remonter leurs équivalents libres, notés et commentés par une communauté active plutôt que par un algorithme publicitaire.

Apprendre à s’auto-héberger

Le second réflexe, une fois l’outil choisi, c’est de savoir comment l’héberger soi-même et de suivre ce qui se passe dans la communauté. selfh.st, publication indépendante tenue par Ethan Sholly, propose un annuaire d’applications auto-hébergeables, une bibliothèque de logos et d’icônes pour construire son tableau de bord, et surtout Self-Host Weekly, une newsletter hebdomadaire qui résume l’actualité du Home Lab. Le site lui-même est rédigé, publié et auto-hébergé avec Ghost, un CMS open source — la démonstration par l’exemple plutôt que par le discours.

Deux réflexes complémentaires

Les deux sites se complètent plus qu’ils ne se recoupent : AlternativeTo répond à « par quoi remplacer ce logiciel propriétaire ? », selfh.st répond à « comment le faire tourner chez moi, et qui d’autre le fait déjà ? ». Pour qui débute un Home Lab, c’est le duo de références à garder en favoris avant même d’acheter le moindre matériel.

Ce sont exactement les réflexes qu’on retrouve dans l’accompagnement proposé ici pour le cloud personnel et la domotique libre : partir de ce que d’autres ont déjà testé et documenté, plutôt que de tout redécouvrir seul.

Sources

• AlternativeTo — page d’accueil (150 000+ logiciels, filtre Open Source)
• About selfh.st

Une bonne partie de ces sites sont pourtant construits avec des outils gratuits — WordPress en tête, un logiciel libre qui propulse aujourd’hui plus de 43 % des sites dans le monde. Le prix facturé ne rémunère donc pas une licence, ni même toujours une conception sur mesure : il rémunère surtout du temps d’assemblage, souvent avec un thème préexistant légèrement adapté.

Ce que l’IA change vraiment

Ce temps d’assemblage, une intelligence artificielle générative sait aujourd’hui le comprimer radicalement. Les tarifs publics des modèles utilisés pour générer du code se situent autour de 2 $ le million de jetons en entrée et 10 $ en sortie pour un modèle de milieu de gamme. Produire le code complet d’un site vitrine — structure, pages, style, formulaire de contact — représente typiquement quelques millions de jetons : la facture de calcul brute se chiffre en quelques euros, rarement plus d’une vingtaine. Ce site que vous lisez en est l’exemple concret : conçu et développé avec un agent IA, page par page.

Cette différence entre coût de fabrication et prix facturé n’a rien d’illégal, mais elle repose sur une chose : le client ne sait généralement pas ce qu’il paie vraiment.

Continuer à facturer plusieurs milliers d’euros un assemblage que la technologie réalise aujourd’hui pour quelques euros, sans jamais le dire, n’est plus défendable.

Ce qui reste un vrai métier

Ce qui reste, en revanche, un vrai travail : l’audit du besoin, l’architecture technique, la sécurité, le référencement, l’hébergement, le suivi dans la durée. C’est cette partie-là qui mérite d’être facturée — pas l’assemblage.

Une remise en cause pour la formation

Cette évolution pose aussi une vraie question pour les formations de développeur ou de webdesigner telles qu’elles existent aujourd’hui. Les outils d’IA génèrent déjà une part significative du code produit, sans que les offres d’emploi ne disparaissent pour autant — elles se déplacent. Les compétences qui prennent de la valeur ne sont plus la frappe au clavier d’un thème ou d’un template, mais la capacité à comprendre, vérifier et corriger ce qu’une IA produit : algorithmique, sécurité, architecture. Les organismes de formation qui continuent à vendre l’exécution manuelle comme compétence centrale risquent de former des profils déjà dépassés le jour de l’obtention du diplôme.

C’est tout l’inverse du modèle proposé ici : l’accompagnement — le vrai travail — reste gratuit, et ce qui est automatisé n’est jamais facturé comme s’il fallait encore le faire à la main.

Sources

• La Fabrique du Net — Tarif création site internet 2026 : médiane 5 200 €
• Blog du Modérateur — Chiffres WordPress 2026 (43,8 % des sites)
• Finout — Anthropic API Pricing in 2026: Complete Guide
• Rachid Saad Academy — IA et développeur en 2026 : quel impact sur le métier ?