Misc a écrit 6826 commentaires

Je pense qu'il y a déjà assez à discuter pour ne pas que ça parte en flamewar sur plusieurs fronts, amha. Ça risque d'être aussi tendu que les discussions sur systemd d'il y a 10 ans, donc pas besoin de tout faire en même temps…

À part bloquer les comptes plus rapidement (ce qui a apparemment suffisamment aidé) et prendre position publiquement, je ne sais pas trop ce qu'ils peuvent faire d'autre. Des poursuites en justice pour du spam?

Je suis d'accord, et fondamentalement, je pense qu'en effet, il faut revoir le logiciel de fond en comble. Pas dans le sens ou tout est à jeter, loin de la, très loin de la, mais dans le sens ou la sécurité doit être intégré dans le design depuis le début.

Car au final, le choix de prendre un logiciel destiné à une forge personnelle/privé pour un service ouvert au public est le péché originel.

Je vais donner 2 exemples sur d'autres logiciels et choix pour illustrer.

Le premier, c'est le fait d'utiliser Slack pour une communauté ouverte au public. En dehors de la question du proprio, c'est un mauvais choix parce que Slack ne permet pas d'ignorer quelqu'un/quelque chose, car on part du principe que dans une entreprise (l'audience visée par Slack), ça se règle via les RH. C'est un design qui a du sens dans son contexte et qui permet d'éviter de surcharger les menus, mais qui pose souci dans un autre (à savoir une commu ouverte à tout le monde avec des gens relous ou qui parlent trop).

Second exemple, les tickets de CoC de Fedora. Fedora utilise sa forge (avant Pagure, maintenant Forgejo) pour ça, et il y a eu plusieurs fois des leaks d'infos à cause de la fonction de notification inline. En l'occurrence, si tu colles un log avec @toto, toto est mis en copie et reçoit un mail, c'est facheux quand tu colles un log irc pour te plaindre de ce que toto a dit si ton log est "@toto> casse toi de la, pov' con". Il y a 5 ans, j'ai découvert le bug en tombant dedans, j'ai corrigé. C'était le 2nd correctif, cf le message de pingou. Il y a 2 semaines, le souci est revenu sur la nouvelle forge. Le fait que ça revienne me fait dire que le souci est dans le design, car on utilise un système de ticket qui n'est pas pensé pour ça à la base.

Soit on veux faciliter la collaboration donc il ne faut pas mettre de friction sur les notifications (le cas actuelle des forges de Fedora), soit on veux avoir plus de controle sur l'information, et ça implique de la friction sur le partage (par exemple, chaque notification demande une confirmation explicite).

Comme pour Slack, tu ne peux pas optimiser un design dans 2 directions.

Et donc pour moi, l'usage d'un logiciel de forge privé/perso afin d’héberger un service pour le grand public, c'est pareil.

L'attaque de spam de 2025, c'était fondamentalement un manquement dans le design initial qui n'a rien prévu pour éviter ça, car l'idée (je suppose) est qu'un probléme de ce genre peut se régler hors du logiciel quand on est dans le cadre d'une forge fermé. Si sur ma forge, je n'ouvre un compte que pour quelqu'un que je connais et ce quelqu'un insulte quelqu'un d'autre, je peut intervenir en dehors, je connais les gens. Si c'est des inconnus qui s'ouvrent eux même leur compte, je peux pas faire grand chose, et peut être qu'il faut permettre de mieux filtrer et traiter la forge comme un réseau social avec tout ce que ça implique, que ça soit en terme de quantité d'interactions, d'affordances à proposer (blocage, reporting, mais aussi rate limitation, quotas, etc). La question du nombre de comptes se pose aussi. Une forge pour un petit/moyen groupe n'est pas une forge pour 1 million de personnes.

Un autre exemple de l'inadéquation d'une forge privée pour un service publique, c'est la gestion des nouveaux comptes. Pour une forge privée, pas de souci, tu crées les comptes, tu ne va pas avoir une tonne de gens à filtre/modérerr. Pas pour une forge publique, et de ce que j'ai compris, c'est chiant à faire (en tout cas, c'était chiant par le passé). Un logiciel pensé pour être un service publique aurait sans doute un module de gestion du spam (ce qui implique un choix autre que go pour la modularité, par exemple), etc, etc.

Ensuite, je pointe ça, mais je comprends bien que c'est un tradeoff. On ne vit pas dans un monde idéal ou refaire de 0 une forge était une option viable, et je pense que le choix de partir sur Gitea à la création de Codeberg était un choix pragmatique, j'aurais sans doute fait pareil.

C'est lent, mais c'est mentionné dans pas mal d'articles de blog. Par exemple celui du mois dernier: https://forgejo.org/2026-05-monthly-report/#federation

Disons que pour un projet commencé en 2020 via le projet fedeproxy, on peut dire que c'est un peu lent (et on va pas remonter plus loin, parce que le premier commit sur forgefed, c'était en 2017.

Mais je continue aussi de penser que la fédération est un rêve imprécis (pour avoir été dans les premiers meetings autour de fedeproxy à Paris), et j'ai le sentiment que tout le monde n'est pas d'accord sur ce que ça couvre.

Car tu peux vouloir une forge "distribué" sans SPOF (par exemple, Forgeflux, un design basé sur Matrix qui avait été discuté par le passé) et dire que c'est fédéré. Tu peux avoir un projet sur une forge centrale avec des interactions par des comptes distants, avec donc une authentification fédérée, et dire que c'est fédéré (mais quid du spam, vu que ça a tué openid). Tu peux avoir la possibilité d'avoir des forks distants avec des discussions distantes sur chaque serveur donc des PR/bugs en fédération, et donc un fil de discussion sur 2 serveurs, (quid de la numérotation, etc), etc. C'est des designs différents, mais qu'on peut tous qualifier de fédéré.

Il y a vaguement ce coté égalitaire dans l'idée de la fédération, mais c'est très mal défini, et c'est une des 2 choses qui rend le progrès difficile selon moi. L'autre, c'est que le design initial de la forge n'a pas été prévu pour ça donc c'est dur de changer ça sans casser des choses existantes. Tangled est une forge faite de 0 qui intègre dans la conception la décentralisation](https://docs.tangled.org/). Radicle utilise du p2p pour ça, et intègre ça dans le conception. Les 2 sont des créations récentes (Tangled 2025, Radicle 2023), soit bien après les premières discussions formel de fédération. Les 2 sont fonctionnels et intègre la fédération plus vite car il n'y a pas d'existant à garder.

https://gitea-open-letter.coding.social/ ne mentionne pas la fédération. De mon point de vue, le fork est principalement pour des raisons politiques (gouvernance du projet) et pas pour des raisons techniques.

Oui, alors ça, c'est la raison publique.

En pratique, le fork a démarré comme un "soft fork" pour ajouter la fédération, puis Loic s'est disputé avec les gens de Gitea début 2022 (parmi tant d'autres, il y a aussi eu une dispute avec l'April qui a coïncidé avec la dissolution de la FSF France en 2022, officiellement pour manque d'activité), cf ce que j'ai expliqué par le passé. Les disputes, c'était sur des questions business (à savoir le fait de vouloir financer le travail sur la fédération via un service appelé hostea, mais gitea a fondé sa propre boite en même temps sans l'impliquer en 2022, il a vraiment pas aimé qu'on lui dise "non" puis de faire pareil), mais aussi des questions de caractère (fight avec le designer sans raison autre que mauvaise gestion de ses émotions de ce que je vois).

Et je sais pas si les gens de Gitea ont capté que Loïc avait 2/3 comptes pour voter, mais je pense que je doit pas être le seul qui a constaté que silentcodeg sur github était un faux nez de Loic (qui avait donc 2 votes au TC).

Et c'est un pattern qui se répète vu que earl-warren est Loïc D, cf le leak du whois par Gandi qui était mal anonymisé et qui montre qui a enregistré le domaine en 2022.

Bon, c'est déjà ça.

Mais du coup, je continue de penser que les faits (limitées par les moyens et les ressources, j'entends bien) sont quand même pas à la hauteur des proclamations.

C'est comme la question de la fédération, ça semble pas avancer surtout que la fédération était la principale raison donnée par Loic D pour le fork (ça et le fait de forcer le changement de licence par son faux nez).

(ensuite, je suis surtout salty sur les événements, donc bon, faut sans doute m'ignorer)

Moi, ce que j'aimerais savoir, c'est ce qui a été fait pour protéger les gens depuis février 2025.

Car bon, y a des thunes (c'est dit dans l'article), y a eu du temps (genre 1 an), et y a eu quoi ? (vrai question, j'ai pas regardé ce qui a été codé, et je précise que je part sur un à priori négatif comme dit à l'époque, avis qui peut changer si en effet, quelque chose a été fait).

Je comprends bien que coder et faire un poste de blog sur un changement de gouvernance, c'est pas incompatible, mais ça décrédibilise pas mal le propos si y a rien eu 1 an après. Et je comprends bien que c'est des volontaires, mais être volontaires n'a jamais empêché de ne pas promettre trop.

Mais en même temps, personne ne va rien faire, vu que historiquement personne ne fait rien. Y a du monde pour agiter le RGPD, mais y a jamais personne pour détailler.

Et quand je vois les inanités balancées sur le RGPD (exemple récent) à longueur de temps, je suis pas étonné.

Et c'est normal aussi vu que l’espace est principalement occupé par rageux incompétents et braillards. Même NOYB, une assoce qui a fait preuve de compétence et qui gagne plus de procès qu'elle n'en perds (car ça arrive aussi, mais elle communique moins dessus), et qui fait des procès pour des raisons stratégiques (et pas juste par rage) se retrouve à faire du bruit sans faire de procès (cf mes commentaires sur la suite de Trump v. Slaughter).

Quand il faut faire des cafés vie privée pour dire aux gens d'écouter les geeks qui expliquent comment installer Linux, y a du monde pour organiser. Par contre, des cafés "remplir une plainte" ou des café "apprendre le droit", y a personne, parce que pour ça, faut faire des recherches.

Alors l'article est taggué 100% IA sur GPTZero, l'image est assez clairement faite par IA.

Déjà ça, ça devrait disqualifié le lien, qui devrait être remplacé par le lien d'origine qui lui n'est pas écrit par une machine qui hallucine.

Ensuite, je pense que le résumé par IA est plus pauvre que l'original, qui rappelle quand même que les boites en question (à tort ou à raison) estiment qu'elles ont assez de commandes pour justifier la datte en question, je cite "Tech companies expect future earnings to exceed these debts".

Donc bon, je pense que c'est sans doute trop optimiste de leur part et je pense qu'il y a une bulle qui va péter, mais à coté de ça, sans avoir les contrats qui structurent les SPVs, et notamment les clauses de sortie (genre si la bulle éclate, qu'est ce qui se passe), c'est difficile de voir si c'est un vrai probléme ou juste des pertes minuscules.

Et le fait d'avoir spécifiquement mis "enron" dans le titre est à mon avis une méthode attrape clic qu'on devrait essayer d'éviter, sauf à vouloir perpétuer les manipulations d'un certain type de publication.

Bah si des citoyens veulent aller bosser dans l'éducation national, y a toujours des postes ouverts. On se souvient toutes et tous de la grande joie d'avoir ses enfants à la maison pendant la pandémie, et personne n'a jamais poussé pour la réouverture des classes tellement les enfants sont charmants (\s comme on dit sur Reddit ).

La réponse est sans doute lier à ce qui est dit dans cet article Wikipedia. Bien sur, pour être honnête, il faut aussi regarder un autre article, notamment la partie qui explique qu'en 2016, la Russie était 3eme dans le classement des meilleurs systèmes éducatifs au monde d’après Bloomberg.

Si l'argument est "un dictateur comme Poutine pourrait faire de la propagande dans les écoles", j'aimerais quand même faire remarquer que ça n'a pas été la priorité pour le régime, vu que Poutine est la depuis 1999, ce qui relativise quand même beaucoup tout l'argument.

J'ai rien contre le munster, mais je préfère quand même quand les arguments qu'on m'oppose sentent autre chose.

Ouais, donc surtout protéger l'association avant tout. Ça serait mieux avec un analyse juridique qui ne sort pas du cul (genre des liens, un avis d'un juriste), mais c'est aussi beaucoup demander (ouais, on va me dire "c'est des volontaires", mais c'est pas un totem magique pour faire n'imp).

Et pourtant, on trouve facilement des avis. Par exemple, hier, en préparant la suite de ma conf sur le sujet des droits d'auteurs et des LLMs (l'affaire Doe v. Github pour les JDLL 2026), je suis tombé sur un article de Eleonora Rosati sur ce sujet dans European Journal of Risk Regulation en 2024.

Je suis sur que conditionner les mises à jours de sécurité à un changement majeur de traitement des données, c'est une violation du CRA (qui demande à ce que les fabricants supportent les produits mis sur le marché).

Le souci du CRA, c'est que c'est pas encore totalement applicable (question de calendrier, plus l'application sur les nouveaux produits), et qu'il ne s'agit pas d’opérationnaliser des droits fondamentaux comme le RGPD (eg, un particulier ne peux pas se plaindre via le CRA) mais de fair respecter des standards pour les consommateurs.

Mais je suis sur que contacter les autorités de gestion de la concurrence en leur expliquant la magouille, et en rajoutant un laius sur le fait que la voix, c'est une donnée biométrique (et donc un lien avec le RGPD), ça peut sans doute faire bouger des choses.

Moi, j'ai pas de télé LG, donc je vais pas pouvoir râler trop.

Linus a quand-même une grande influence sur d'autres personnes et projets logiciels (l'utilisation des LLM). « Si le noyau Linux le fait, c'est que ça doit être une bonne idée » n'est pas forcément vu d'un bon œil d'un point de vue écologie.

C'est pour ça qu'on fait tous du C.

J'aurais presqu'envie que ce soit les deux cas d'un coup, et qu'au lieu du cloud, la mode en informatique revienne aux clients lourds, l'exécution en local autant que possible, et se connecter au « serveur léger » seulement quand nécessaire.

Alors la tendance, au moins en France, c'est soir d'utiliser les services clouds de l'état, soit des boites européennes, genre ovh, scaleway, etc

Mais Google/Apple vise pas les serveurs avec leur magasin d'application. Même Google te permet d'avoir des bouts de cloud chez toi via Anthos, ou Thales via S3NS.

Tu peux le faire via Gammu et un tel portable (ou n'importe quoi avec un modem gsm, genre une clé 3G usb).

Sinon, twilio propose ça, ovh propose ça, aws propose ça. Y a des services.

Ah bah, j'imaginais même pas que quelqu'un se dise que ça serait une bonne idée que de ne pas permettre d'avoir son propre dépôt chez soi.

Sinon, y a Europress et les biblis, et l'extension bypass paywall.

snapd est dispo, sous license GPL v3.

Et si la distinction a peu de sens, n'hésite pas à installer une linux mint avec ton serveur oracle :p

L'éditorialiste est britannique, ce qui explique sans doute son enthousiasme pour ce coté de l'atlantique.

Mais en même temps, en étant les seuls à adopter snap, écosystème autour me semble assez limité. Je comprends le point de vue de Canonical de vouloir essayer de se distinguer de la concurrence et de fournir des choses en plus (en l’occurrence, snap), mais ça me semble non adapté pour les usages serveurs vu que c'est un endroit ou les utilisateurs veulent quelque chose de standard avant tout (en l’occurrence, Docker et le format OCI, et tout écosystème à coté).

Pour moi, Canonical tente d'adapter les mécanismes de la vente sur le desktop pour particulier (à savoir se distinguer via une feature exclusive) aux serveurs, et ça n'as pas l'air de marcher.

Ou 20% de réunion en plus dans le pire des cas.

De toute façon, je peux pas mettre des plantes directs, et j'ai sans doute une capacité limité à percer les murs, donc il faut sûrement passer par un treillis qui peut se retirer si besoin.

Donc en hiver, si j'ai trop froid, je m'arrangerais.

Parce qu'il y a trop de RISC à le garder en vie ?

Et un mur qui est resté au soleil toute la journée, il va rayonner pendant des heures (des jours !).

J'avais pensé aussi à mettre du lierre sur les murs de mon balcon pour que les murs (blancs) chauffent moins. Mais bon, c'est pas magique, ça survit pas à la canicule et l'hiver.

En d'autres mots, Linus devrait être plus sensibilisé aux sujets de l'écologie et prendre moins l'avion.

Je pense que même si Linus arrête de prendre l'avion et bouffe VG, ça va impacter que à hauteur d'un individu. C'est mieux que rien, mais on est 8 milliards sur la planète, donc ça va pas faire changer grand chose. Mais ouais, tout le monde devrait faire plus, et le gouvernement et les industriels aussi. C'est un continuum, les industries sont la aussi pour répondre aux besoins des individus.

Blague à part, que va-t-on faire si, et quand la bulle IA va éclater ?

Alors on va sans doute casquer. L'explosion de la bulle, ça va être soit Anthropic/OpenAI qui se casse la gueule (cas 1), soit les hyperscaleurs (Google, MS, etc) qui se cassent la gueule (cas 2).

Dans le cas 1, les 2 boites vont devoir augmenter les tarifs à un moment, donc avoir moins de clients. Les hyperscaleurs vont leur faire concurrence avec des modèles "open weight", et OpenAI/Anthropic ne vont pas réussir à atteindre l'équilibre, ce qui va foutre la zone d'un point de vue économique à cause des différents deals croisés, ce qui va impacter les hyperscaleurs et les investisseurs.

Dans le cas 2, malgré le succès des LLMs, les hyperscaleurs ne vont pas réussir à rembourser leurs investissements assez vite. Ils vont donc augmenter drastiquement les prix, ce qui impactent tout le secteur et leurs clients, qui vont du coup devoir au début réduire leurs coûts (donc moins de token), puis répercuter ça ailleurs (donc augmenter les prix, etc). Et ça va impacter l'économie.

Donc la question est vraiment "qui va avoir un souci économique en premier entre les hyperscaleurs et les boites de l'IA". Mais dans les 2 cas, il y a de la dette à rembourser chez les hyperscaleurs, et y a pas des milliers de façon pour ça.

J'imagine que le gouvernement US va intervenir, mais vu l’exécutif en ce moment, ça va pas être sans conséquence. Il y a aussi le risque que les hyperscaleurs se prennent de plein fouet une explosion de bulle et un mouvement de défiance vis à vis des USA (cf le rapport sur la souveraineté numérique, ou le risque de hausse des prix revient souvent).

Je suppose que dans les 2 cas, les tarifs du matos vont retomber, ce qui va donner des dynamiques intéressantes sur le retour en interne des applicatifs, et ou l'usage d'un modèle en interne (cf le lien qu'on commente).

Quand un développeur génère beaucoup de code par IA, c'est en supposant qu'il y aura encore une IA pour modifier et maintenir ce code. Sinon, ça devient du code en ruine.

C'est curieusement la conséquence probable qui me cause moins de souci, parce qu'on va pas se mentir, on a déjà du code en ruine, non maintenu et pourri. Pas forcement dans le logiciel libre, mais dans le code d'entreprise, on va pas me faire croire que tout est beau et lisible, loin de la. On va en avoir plus, c'est sur mais ça doit se gérer comme avant.

Ensuite, soit c'est une techno utile, et bah, ça sera utile et plus cher, soit c'est utile mais trop cher et on fait avec, soit c'est pas utile et cher et on coupe.

Peut être que les entreprises doivent avoir un PRA en cas de coupure des modèles, et ajuster en fonction de ça.

par exemple pour la pédophilie, on s'aperçoit il y a un mois que plus de 70000 plaintes n'ont pas été traité et qu'il y a en France près de 6M de victimes (on peut parler de travaux sur l'OSINT à ce sujet).

Alors non. L'OSINT ne va pas régler les plaintes non traités, filer plus de pognon à la justice va régler le souci.

L'OSINT, c'est juste un phantasme quasi masculiniste pour libérer sa conscience et occulter le fait que pour la majeure partie des cas, ça se passe dans la famille. On est pas dans Taken, les victimes savent qui les as violés (quand elles se souviennent), et il y a pas besoin de se la jouer Sherlock Holmes pour trouver ça, il faut écouter les victimes et traiter les cas. Oui, c'est de l'administratif, oui c'est moins excitant que faire un puzzle, oui, ça donne pas de dopamine, oui, ça va coûter de l'argent aux contribuables, mais ça s'appelle l'état de droit.

Ça passe aussi par des politiques d'aide pour les personnes en état de précarité ou victimes d'addiction, vu que ç'est corrélé avec des abus dans l'enfance (par exemple, l'histoire de Phedra Boulin illustre ça, et elle éclaire quand même la mort de son grand père sous un autre angle quand on sait que les suicides sont plus nombreux dans les familles ou l'inceste/la pédophilie sévit (cf Le Berceau des dominations, de Dorothée Dussy).

Et il faut aussi prévenir les abus, et ça passe par de la sensibilisation, notamment les fameux cours d'EVRAS que l’extrême droite n'aime pas (et donc des moyens). Ça passe aussi par le fait d'éviter la récupération politique (encore une fois ce qui est fait par l’extrême droite qui va faire l'amalgame entre pédophilie/inceste et personnes LGBT), et d'éviter aussi les paniques (vu que la panique, c'est rarement productif, voir plutôt contre productif).

Bref, il faut expliquer, il faut voter, il faut sensibiliser. Traquer les gens comme un stalkeur, c'est relativement peu utile par contre.

Alors loin de mois la volonté d'assimiler les deux, il y a quand même des liens historiques (au sens ou historiquement, on a mis les 2 dans le même sac) et des forces qui visent à entretenir la confusion, et tout ça fait que des gens continuent à mélanger les 2.

Par exemple, en droit anglo saxon et par le passé, le crime de sodomie regroupait tout ce qui était "contre nature" donc tout acte sexuelle non procréatif (cad la masturbation, les pratiques anales, les pratiques avec des animaux, et donc les pratiques entre personne du même sexe). Par le passé, je veux dire il y a 500 ans. Il y a déjà cette confusion qui persisté quand même longtemps, et qui dure encore de nos jours, la loi anti homosexuelle récente du Sénegal utilise le terme "contre nature"). Oui, de nos jours, la sodomie a un sens plus précis, mais faut garder la confusion en tête.

Ensuite, il y a aussi eu tout le mouvement français post mai 68 de libération de la sexualité avec ses dérives. On a beaucoup parlé de Gabriel Matzneff, mais il était pas seul. Dans sa série d'article sur "les hommes de la rue du Bac", le journaliste parle de la fascination de la Grèce antique sur le groupe pédophile, et sur les liens entre l'antiquité et la question de la pédérastie. Et historiquement, les premiers magazines homophiles (comme on appelait ça à l'époque) avait quand même des noms inspirés par l'époque antique, car il y a cette vision fantasmé d'un monde ou les amours entre hommes étaient autorisés. Parmi les plus connus, je peux citer Arcadie et Akademos, mais les liens avec la Grèce se retrouve aussi dans le mot lesbienne (de l’île de Lesbos), le groupe Daughters of Bilitis, l'histoire d'Antinous, etc, etc. Donc de "amour entre homme" à "Grèce antique" et "Grèce antique" à "pédérastie/pédophilie", le lien est rapide. Encore une fois, c'est pas le sens qu'on donne au mot de nos jours, mais mai 68, c'était pas si loin dans le passé.

Il y a aussi le fait que pendant longtemps (de 1960 à 1980), l’homosexualité etait vu en France comme "un fléau social" dont il faut protéger les enfants (avec tout l'imaginaire que ça comporte, les histoires de contagion social, etc, etc). Pareil, c'est de la merde, mais tout l'argumentaire existe encore en ayant juste changer 2/3 mots (à savoir sur la transidentité via les controverses sur le ROGD, etc).

Ensuite oui, c'est des choses différentes (de nos jours), mais la confusion entre les 2 ne vient pas de nulle part et est le résultat de discours historiques et parfois pas si historiques que ça.

Par exemple, les discours du groupe monté par Zemmour depuis 5/6 ans, les manifs en Belgique y a 3 ans, etc.