cg a écrit 2086 commentaires

même si je loue dans un pays hors europe, la RGPD s'applique puisque je suis citoyen européen.

Alors çà çà fait mal quand même.

Ça veut dire que tu demandes à ce que le droit qui s'applique à toi ne soit pas le droit du territoire appliqué de manière égale à tous les résidents de ce territoire mais que ce soit le droit lié à ton essence.

Pas à ton essence, à ta citoyenneté, qui est une construction fictive, comme le droit, les frontières, les nations, l'argent…

Et oui, le RGPD s'applique quel que soit l'endroit où tu es. Mais, et c'est un gros mais, le RGPD ne concerne que les traitement sur les données personnelles. Les autres lois restent nationales.

Une personne de citoyenneté européenne, qu'elle soit en Europe (Europe au sens "ce groupe de pays d'accord entre eux pour être l'Europe") ou à l'étranger est protégée par le RGPD. C'est une des grandes forces de ce texte, d'ailleurs.

Pour la Suisse, c'est au contraire hyper simple. À moins de s'interdire d'avoir des clients ou des employés européens, ou de manipuler des données de citoyens européens, on doit pouvoir considérer que le RGPD est déployé dans la grande majorité des entreprises, même si ce n'est pas une obligation du point de vue juridique suisse (Infomaniak l'applique, par exemple).

Cet article de blog, de l'auteur initial de Ruby On Rails, est intéressant sur la dualité "c'est libre mais en fait partage le pognon ou je me fâche" qui fait la une de la presse depuis quelques temps déjà : Automattic is doing open source dirty.

La concentration sur quelques acteurs est problématique, et l'est d'autant plus que souvent c'est des boîtes américaines, avec les problèmes de souveraineté que ça pose. Couplée à la difficulté d'obtenir des versions "à installer chez soi" (on premises) de ces logiciels, on se retrouve avec une exfiltration forcée des données. C'est TRÈS problématique.

Concernant le vendor lock-in, c'est aussi vrai quand tu passes d'un outil libre à un autre. Si Spip avait un module d'import depuis un blog Wordpress, ce serait étonnant que l'inverse existe et que l'équipe de Spip fournisse un joli outil pour aller de Spip à Wordpress. Je ne crois pas que personne ait de solution à ça, sauf à utiliser le plus petit dénominateur commun, genre IMAP pour migrer ses mails, Webdav pour les fichiers…

Sur l'intégration des install.sh des outils proprios, j'ai une expérience plutôt positive finalement. En général c'est prévu pour RHEL/CentOS à minima, de plus en plus souvent pour Ubuntu, et retrouver les libs manquantes est facile. Et souvent, ça fonctionne quand même bien sans rien faire.

l'argent dépensé pour ces services tiers pourrait être utilisé pour embaucher des développeurs, profiter aux communautés open source et obtenir de meilleurs résultats.

Sur ce point, je suis totalement d'accord et je te fais un câlin :). Parfois on remplace un Redmine pour un Jira parce qu'il y a plein de fonctions sexy, mais dont on pourrait se passer sans souffrir plus que ça. Ou bien on trouve que Blender c'est compliquay¹ (oui, c'est compliqué, mais Maya aussi c'est compliqué).

Elles introduisent des dépendances envers un service ou un site tiers, qui lorsqu'ils sont cassés prenne votre activité en otage

Oui ! Et c'est un vrai problème. Très peu d'entreprises ont un schéma ou une matrice permettant de montrer à quel endroit tel ou tel composant (interne ou externe) intervient, pour détecter les points chauds et préparer de la redondance. Même sans parler d'analyse de risque, dès que tu es sur des petites structures, il n'y a pas de plan B. Et comme les TPE/PME sont l'immense majorité des entreprises en France, ben ça tache quand AWS est en carafe…

Pour finir, je vais être un peu cruel, mais ClamAV ou d'autres anti-virus qui ne fonctionnent que par signature statique, non, en 2024, ça ne sert quasiment plus à rien. Il faut un EDR à minima, et les outils proprios sont malheureusement vraiment en avance sur ce terrain :(.

Oui, un moment j'utilisais Wordpress pour faire la gestion du site, et le plugin Simply Static, qui exporte un rendu de toutes les pages du site dans un zip prêt à installer sur un serveur statique. Plutôt cool, car Wordpress, malgré sa lourdeur et ses nombreux trous de sécu, a un bon paquet de trucs pratiques intégrés, pléthore de thèmes et gadgets, et est connu des webmestres, qui par conséquent ne sont pas perdues devant un nouvel outil (Wordpress c'est quelque chose comme 40% des sites Internet).

J'ai cherché un tel greffon de rendu statique pour Spip, mais je n'ai pas trouvé.

C'est pas avec ça que Jean-Marc va gagner un prix No-bel…

Non ?

Côté conformité, nous avons eu notre rendez-vous DPO […]

C'est le cybermoi(s), période propice pour réfléchir à la sécurité des logiciels qu'on écrit, et des données qu'on héberge !

Côté conformité, il y a aussi donc aussi les référentiels de sécurité, souvent intimidants et lourdingues pour les petites structures. Loin des Leviathans comme ISO 27001/27002 ou NIST 800-53, il y a ce petit référentiel tout léger : Minimum Viable Secure Product¹, une grosse vingtaine de contrôles, facile à modeler à ses besoins. Il est bien adapté pour les applis proposées en mode SaaS comme Tracim. En bonus il est présent dans Deming², un outil de gestion et de son système de management de la sécurité de l'information.

Alors, à l'occasion de ce cybermois, on aura un petit compte-rendu d'un atelier autour du sujet dans un prochain Build in public d'Algoo ?

Dans quelques années, ce commentaire sera vachement plus pertinent et beaucoup moins drôle :'(.

Et aussi, la prochaine version majeure de Perl devrait être la 7, qui sera plus ou moins équivalente à la dernière 5.x.

Personnellement, je trouve Perl super pratique, expressif et amusant, c'est un langage que j'ai beaucoup utilisé, avec le C et le shell. Aujourd'hui, je l'évite, principalement parce que quand tu travailles avec des personnes plus proches de la sortie d'école que de la retraite, et bien Python fait souvent partie de leur boîte à outils :p.

À mon très humble avis, il faut complètement laisser tomber les pistes cyclable. Il faut juste une route unique pour tout le monde, et s’aligner sur la vitesse du plus lent. Autrement dit, en zone urbaine, une limitation de vitesse à 20km/h pour tout le monde semble un max.

J'ai longtemps eu cet avis, et puis j'ai constaté (sur 20 ans environ), au fur et à mesure que le nombre de pistes cyclables dans Paris et la proche banlieue augmente, qu'en vrai, de bonnes pistes sont utiles pour promouvoir le vélo.

Peut-être que si le vélo/troti/etc… dépasse en proportion la voiture/moto/scooter, ça peut se jouer à terme d'avoir tout le monde mélangé¹. Mais pour l'instant, je crois que c'est important de visibiliser le vélo++ en grignotant de manière ostensible l'espace qui était dédié aux voitures.

Beaucoup d'urbanistes considèrent que c'est l'existence de routes qui provoque la circulation, et non l'inverse. Tu fais des routes pour vélo, tu as des vélos.

Le périphérique parisien vient de passer à 50km/h, ça pourrait devenir envisageable d'y placer une voie cyclable sans aucun feu !

Ah la question piège. De mémoire, les revendeurs type Mouser, RS, Digikey précisent le pays d'origine des composants. Mais peut-être qu'on a l'info que sur le bon de livraison (je me souviens de rouleaux de CMS avec une étiquette genre "Philippines", mais ça fait longtemps). Quand tu exportes un produit fini, tu dois dire l'origine des composants (et c'est très chiant à faire quand tu ne le savais pas avant et que tu n'as pas gardé les infos).

Dans le cas de ST, une gentille personne a répondu sur un forum ST : France, Chine et d'autres endroits.

Je suis totalement d'accord avec toi.

Le truc qui biaise le raisonnement, c'est qu'il y a des endroits du territoire où le TT peut réduire la pollution localement, et à d'autres endroits non.

Faire la moyenne genre 1% de gain sur le territoire complet, c'est curieux, étant donné la disparité de la concentration de population entre rural et grandes agglomérations. En gros, un peu moins d'un tiers de la population habite dans de grosses agglos, avec une tendance à la hausse, si j'ai bien compris. Sans doute que travailler sur des percentiles plutôt qu'une moyenne est plus réaliste.

Ça a l'air très très sympa comme truc. Je n'avais pas imaginé qu'on puisse faire un MCU RISC-V avec aussi peu d'entrées-sorties. Les exemples sont en C, donc il doit bien y avoir un compilateur dispo pour ce processeur, c'est cool.

Par contre entre l'alim (bon, un truc USB 5V de récup ça va), la petite carte de programmation (réutilisable pour d'autres choses), et les frais de ports, ça peut vite faire autour de 30-40 euros au lieu de 1€, bon. C'est un peu le même problème que pour la Raspberry Pi finalement. On te vend un truc pas cher¹ et petit, mais faut tout un bordel autour pour en faire quelque chose.

Sur mon clavier, elle est au centre (c'est un Typematrix), mais c'est pas pareil, parce que c'est différent (et parce que c'est vendredi, aussi).

Désolé, j'ai pas pu regarder jusqu'au bout. C'est insoutenable de voir quelqu'un appuyer sur la touche Enter avec la main gauche.

Ça me rappelle qu'à une époque OpenSSL avait une option FascistLogging. Il paraît que des anciens cadres de la Stasi se sentaient exclus, du coup l'option a été renommée.

L'histoire de la terminologie master/slave/blacklist/whitelist versus main/primary/secondary/blocklist/allowlist est un vrai marronnier, avec plus ou moins de valeur historique et d'émotion.

Le fait est qu'il y a souvent un meilleur mot que "esclave" pour désigner un rôle d'interface agrégée. Par contre bond j'aimerais bien que ça reste encore un peu :-# s'il vous plaît.

Bizarrement, il n'y a pas gitk, qui est pourtant incontestablement le mieux meilleur (et donc celui que j'utilise :p).

C'est sans doute le moment de s'intéresser aux Quines, ces programmes qui affichent leur code.

Exemple extrème de quine polyglotte : quine-relay :).

Pour le CPF, le courrier a été nécessaire, mais a suffi

Félicitations ! C'est en effet pour pouvoir faire une formation financée par le CPF que j'ai créé cette identité numérique. J'étais un peu pris par le temps, je suis rentré dans le système…

Je reste content, après environ 8 mois avec un smartphone, de n'avoir pas bougés mes usages, en continuant de faire quasiment tout avec mon PC. J'ai tout juste mes nouveaux mails (mais pas les anciens) sur le téléphone, et comme évoqué, Bitwarden qui me dépanne de temps en temps.

De mon expérience, pour ce que ça vaut :

j'ai une Yubikey qui règle quasi tous les cas avec Webauthn ou les passkeys. Et pour les quelques cas où ça ne va pas car il faut un TOTP, Bitwarden complète (en plugin de navigateur). J'ai géré comme ça pendant des années.

MAIS depuis 6-8 mois j'ai remplacé mon Nokia 130 par un smartphone d'occasion, à cause de France Connect+ qui dépende l'Identité Numérique :(. C'est un tout petit plus pratique pour la doublotentitification mais pas tellement, en vrai.

Non passer par les dépôts de ta distribution

Oui, tout à fait, c'est ce que je voulais dire. Merci de la précision.

Oui, sur les environnements de bureau comme Gnome ou KDE, ça va être une dépendance optionnelle.

Un truc que j'aime bien faire est de demander à apt de ne pas installer de telles dépendances, avec APT::Install-Recommends "false"; dans la configuration d'apt. Ainsi, on a un système qui fonctionne, mais pas avec tout le confort, et on peut ajouter les options au fur et à mesure. Je trouve que c'est une meilleure approche que d'installer plus, puis de supprimer.

Sur une Debian, ça reviendrait à :
- ne pas installer la couche graphique pendant l'install
- configurer apt pour ne pas installer les dépendances optionnelles
- installer la "task" ou le méta-paquet qui correspond à ce que tu veux.

Avec un fichier pre-seed on peut aussi faire :

d-i base-installer/install-recommends boolean false

Sur un serveur c'est génial, l'install devient assez petite :)

Je vois bien :). Je crois que s'il y un problème du type "une seule personne sait s'occuper de ce composant", et bien sans doute est-ce un indicateur qu'il faut améliorer la documentation interne et vos procédures.

Sauf que ça rend un peu lourdingue le travail quand on est une petite boîte. Ce genre de discipline n'est pas forcément compatible avec toutes les organisations. Si ce n'est pas souhaité, en échange, il faudra alors apprendre à attendre le retour de l'être aimé^H^H de la ou du collègue qui a l'info :p.

Au niveau gestion des risques, ça me fait un peu penser au célèbre Facteur d'autobus.

Ce que tu décris sur le temps de travail et le temps flexible ressemble diablement à ce qui est mis en place chez 37signals (chez qui bosse DHH l'auteur initial de Ruby on Rails).

Cette entreprise passe à 4 jours de mai à octobre pour certaines équipes (pas le support ni la prod, en gros) puissent profiter plus des beaux jours.

À une époque, je travaillais 4 jours par semaine (du lundi au jeudi, payé 20% de moins qu'un temps plein), et je me sentais plus reposé et plus performant. Je pense (attention c'est très subjectif) que je travaillais mieux, et j'hésitais moins à "offrir" à l'employeur une demie-heure ou une heure le soir pour terminer un truc avant de quitter.

J'encourage Algoo a explorer cette voie là - avec maintient de la rémunération bien sûr :)

Pour ce cas précis, il y a une différence : le premier installeur de Rust télécharge un second script, en fonction de la machine cible, mais ne fait pas de contrôle du téléchargement.

Le seul élément de contrôle est que le téléchargement se fait en https, donc risque faible de modif en cours de transfert.

Comme tu le dis, un gestionnaire de paquet type apt vérifie les signatures des dépôts, des listes de paquets, et des téléchargements. C'est tellement robuste que les téléchargements des paquets peuvent se faire en http. C'est très différent d'un wrapper qui télécharge un second wrapper sans le vérifier, mine de rien.

Passer par son gestionnaire de paquets, c'est se garantir qu'un travail de contrôle a été fait, que ce que tu récupères est bien ce que tu crois, et que le logiciel s'intègre bien avec l'ensemble du système.

La question de la confiance reste entière, on est d'accord :).