Une application Android pour filtrer les notifications avec des règles précises (pattern matching, etc.). Elle ne dispose pas de permission sur le réseau donc le risque de voir le contenu de ses notifications espionné est a priori limité.
Elle vient d'être rendue open source.
Une application Android pour filtrer les notifications avec des règles précises (pattern matching, etc.). Elle ne dispose pas de permission sur le réseau donc le risque de voir le contenu de ses notifications espionné est a priori limité.
Elle vient d'être rendue open source.
Le DNS, c'est un peu la tuyauterie planquée d'Internet. Tout le monde l'utilise, mais personne ne regarde vraiment ce qui se passe dans les tuyaux... jusqu'à ce que ça pète ou qu'un petit con s'en serve pour exfiltrer des données. Et là, bon courage pour fouiller dans les logs en mode brutasse pour comprendre qui a fait quoi sur votre réseau.
En fait, pour ceux qui se demandent encore qu'est-ce que le DNS (Domain Name System), c'est simplement l'annuaire qui traduit les noms de domaine comme korben.info en adresses IP. Sans lui, on serait tous en train de mémoriser des suites de chiffres à la con.
Et il y a quelques jours, j'ai reçu un mail de Denis, un fidèle lecteur (qui traîne sur le blog depuis 2005, ça nous rajeunit pas !) qui m'a écrit pour me présenter son projet sur lequel il bosse depuis 5 ans : DNS-collector .
DNS-collector, c'est un outil écrit en Go qui sert de "chaînon manquant" entre vos serveurs DNS et votre pile de données. En gros, il capture le trafic DNS, le nettoie, l'enrichit et l'envoie là où vous en avez besoin. C'est l'outil parfait pour ceux qui ont la flemme de se palucher des fichiers PCAP de 4 Go à la main ou de debugger des flux DNStap illisibles.
Le point fort de DNS Collector, c'est sa flexibilité. Côté entrées, ça avale tout : du DNStap via socket Unix ou TCP (le protocole standard utilisé par BIND, Unbound ou PowerDNS), du sniffing réseau classique avec AF_PACKET ou même XDP pour la très haute performance. Attention quand même, pour XDP, apparemment le kernel Linux doit être récent (version 5.x minimum) et les drivers réseau doivent suivre, sinon ça va faire pshitt. Ensuite, par défaut, le bousin écoute pépouze sur le port UDP/6000 en attendant ses flux.
Mais là où ça devient vraiment balaise, c'est dans le traitement des données. DNS-collector embarque des "Transformers" (rien à voir avec Optimus Prime hein ^^) qui font tout le boulot ingrat à votre place dans le pipeline de traitement. Hop, ça normalise les noms de domaine en minuscules (le fameux qname-lowercase dans le fichier de config), ça ajoute la géolocalisation via GeoIP (genre MaxMind ou IP2Location), et on peut même détecter les trucs louches.
Il peut aussi détecter le tunneling DNS ou les domaines générés par algorithme (DGA) qui sont souvent les signes d'une infection sur une machine. Petit bémol cependant, pour la géolocalisation, pensez à télécharger vos bases GeoIP au préalable (fichiers .mmdb), sinon l'outil va vous faire une petite grimace au démarrage.
Vous pouvez aussi protéger la vie privée de vos utilisateurs en anonymisant les adresses IP via un hachage SHA1 ou du masquage. C'est propre, ça respecte le RGPD, et ça permet de garder des stats utiles (genre le top des ASN consultés) sans fliquer tout le monde. Les données sortent proprement en JSON ou en Protobuf, prêtes à être ingérées.
Une fois que vos données sont propres, vous les envoyez où vous voulez. J'ai choisi de vous citer ClickHouse ou InfluxDB car c'est parfait pour stocker des millions de requêtes sans mettre votre serveur à genoux, mais la liste est longue : Prometheus pour les métriques, ElasticSearch, Kafka, Redis, ou même Slack via des webhooks pour être alerté en temps réel quand un domaine louche pointe le bout de son nez.
Alors si ça vous chauffe, comment récupérer cet outil et le mettre en place ?
Hé bien c'est hyper fastoche comme d'hab puisque le projet est dispo en binaire ou via Docker. Ensuite, vous lancez la commande ./dnscollector -config config.yml, vous branchez vos sources, et roule ma poule. Taaadaaaa ! DNS-collector s'occupera du reste sans vous bouffer toute votre RAM (contrairement à certaines usines à gaz Java qui demandent un sacré paquet de mémoire vive ^^).
Voilà, perso, je trouve l'approche très saine. C'est léger, modulaire et ça répond à un vrai besoin pour les admins sys qui veulent enfin "voir" ce qui transite par leurs serveurs. Le bousin encaisse des milliers de requêtes par seconde sans broncher... enfin sauf si votre serveur est une patate de 2012, là je garantis rien.
Mortecouille, c'est quand même mieux d'avoir des logs lisibles avec un simple tail -f /var/log/syslog, non ? Et d'ailleurs, le projet est déjà adopté par pas mal d'acteurs de la sécu, donc vous pouvez y aller sereinement.
Merci Denis !
L'ajout du mot clé using en JavaScript permet de gérer les ressources qui doivent être "libérées" après usage plus facilement, par exemple la connection à une DB.
L'ajout du mot clé using en JavaScript permet de gérer les ressources qui doivent être "libérées" après usage plus facilement, par exemple la connection à une DB.
Et si les meilleures techniques de game dev des années 2000 revenaient dans votre navigateur ?
ArcadeGPU, c'est un moteur de jeu complet qui tourne dans le navigateur grâce à WebGPU. C'est une vraie architecture de jeu avec walkmesh, hitbox BSP, moteur de script, pipeline graphique à la PS1 et même la physique Jolt intégrée (un moteur open source utilisé dans certains gros jeux).
Le truc c'est que le dev derrière, un Français qui bosse seul sur le projet, a pris le parti de ressusciter des techniques qu'on utilisait entre 2000 et 2010 dans le développement de jeux. Du walkmesh pour la navigation des personnages, du hitmesh pour les collisions, du draw call only pour le rendu... Des trucs qu'on ne voit quasi plus dans les moteurs modernes, et pourtant c'est redoutablement efficace pour les indés. Bon, après faut quand même être à l'aise avec TypeScript et la stack web, car c'est pas un moteur drag-and-drop à la GameMaker.
Car oui comme tout est en TypeScript, vous codez votre jeu comme une app web classique. Vous modifiez votre fichier main.ts, le jeu se rafraîchit en temps réel sans avoir à tout relancer. Et vous avez toute la pile web en support, du Web Audio API au CSS en passant par les workers async... Quand on compare avec les 45 secondes de build d'un projet Unity moyen, y'a pas photo.
Y'a aussi un paquet de démos jouables directement sur le site du projet et c'est pas des petits exemples bidon avec un cube qui tourne. Vous y trouverez de vrais prototypes de jeux complets, de la 2D rétro au rendu toon 3D avec ombres volumétriques. L'idée c'est de fournir des templates prêts à l'emploi, vous choisissez le gameplay qui vous correspond et vous partez de là (plutôt que de tout repenser from scratch).
D'ailleurs y'a même un jeu en bêta développé avec le moteur, un Sokoban versus, pour voir ce que ça donne en conditions réelles.
Côté compatibilité, ça tourne sur les navigateurs qui gèrent WebGPU (Chrome, Edge, et Firefox en mode expérimental avec le flag dom.webgpu.enabled). Pour Safari et mobile, c'est plus aléatoire pour le moment donc attention si votre cible c'est iOS. Le projet est open source sous licence Apache 2.0, dispo sur SourceForge et ça pèse environ 400 Mo avec toutes les démos.
Et le rendu... C'est du pipeline PSX complet avec ombrage toon, volumes d'ombre, le tout dans le navigateur. Pour les nostalgiques de la première PlayStation, c'est un peu la papillote Révillon version code (oui ça change des madeleines ^^), sauf que là, c'est vous qui créez les jeux.
Voilà, je trouve que cette approche old-school mixée avec la techno web moderne c'est pas bête du tout. Si vous êtes dev indé et que les usines à gaz style Unity ou Unreal vous donnent des boutons, ça vaut peut-être le coup d'aller jeter un oeil. Seul bémol, la doc est encore un peu légère, donc faudra fouiller dans les exemples pour comprendre l'API.
Bref, merci à Slay3r pour le partage et bravo !
VirtualBox, le bon vieux logiciel de virtualisation d'Oracle, vient de franchir un cap plutôt inattendu. Le code de développement supporte désormais KVM comme backend sur Linux ! En gros, au lieu de s'appuyer uniquement sur son propre module noyau (qui, soyons honnêtes, a toujours été un poil galère à maintenir), l'outil de virtualisation peut maintenant utiliser l'hyperviseur natif de Linux.
Et c'est pas rien quand on sait que le logiciel d'Oracle et KVM se marchaient dessus depuis des années. C'était impossible de faire tourner les deux en même temps... Du coup, plutôt que de continuer à se battre, Oracle a décidé de faire copain-copain avec KVM. C'est pas bête !
L'idée vient à l'origine de Cyberus Technology qui avait pondu une implémentation open source en 2024. Et aujourd'hui, c'est Oracle qui intègre le truc directement dans le code officiel. Alors pour l'instant, c'est dispo uniquement en version de dev dans les dépôts Git et les builds de test et ça fonctionne "à peu près".
Vous pouvez dès à présent activer le backend KVM quand le module noyau classique de VirtualBox refuse de coopérer. C'est pratique mais attention par contre, si vous avez besoin du réseau NAT avancé ou du mode pont avec VLAN, ça passera pas encore via KVM... faudra rester sur le module maison.
Notez aussi que l'hyperviseur maison d'Oracle garde quand même des avantages notamment pour tout ce qui est modes réseau avancés, émulation précise pour les vieux OS, et émulation fine de périphériques.
Mais n'empêche, la tendance est claire, tout le monde converge vers l'hyperviseur du noyau Linux. Faut dire que QEMU/KVM c'est devenu tellement solide ces dernières années que ça n'a plus trop de sens de réinventer la roue dans son coin.
Voilà, donc pour ceux qui utilisent l'outil d'Oracle au quotidien sur Linux, c'est une bonne nouvelle. Moins besoin de jongler avec le module vboxdrv, moins de conflits avec d'autres solutions de virtualisation , et surtout des mises à jour noyau qui cassent moins souvent.
Bref, gardez un œil sur les prochaines releases car Oracle a l'air d'y aller sérieusement. Le support KVM final et officiel devrait atterrir pour tous dans une version stable courant 2026. J'ai hâte !
Vous faites des sauvegardes régulières de vos données ? Non ?
Bon, je ne vais pas vous faire la morale, mais le jour où votre disque dur décidera de rendre l'âme ou que votre serveur VPS partira en fumée, vous allez vraiment regretter de ne pas avoir investi dix minutes dans un système de backup sérieux.
Alors, ouiiii, c'est vrai, on a souvent la flemme parce que c'est chiant à configurer. Entre les scripts bash qui plantent sans prévenir et les crontabs illisibles, y’a de quoi s'arracher les cheveux. C'est là qu'intervient Zerobyte , un projet open source qui veut réconcilier les allergiques du terminal avec la sécurité de leurs données.
Zerobyte est donc une plateforme d'automatisation de sauvegarde auto-hébergée qui vient poser une interface web moderne et ultra propre par-dessus le moteur Restic. Si vous avez déjà lu mon guide sur les backups avec Restic , vous savez que c'est du solide. Ça fait du chiffrement côté client, de la déduplication et de la compression. En gros, vos données sont blindées avant même de quitter votre machine et seules les modifs sont envoyées, ce qui est parfait pour ne pas exploser son forfait data ou son stockage cloud.
L'interface web permet surtout de tout piloter sans jamais toucher à une ligne de commande. Vous définissez vos "volumes" (ce qu'il faut sauver), vos "repositories" (où stocker tout ça) et vos "jobs" (quand lancer les opérations).
Pour les sources, l'outil est hyper flexible puisqu'il supporte aussi bien les dossiers locaux que les partages réseau via NFS, SMB, WebDAV ou SFTP et côté destination, c'est carrément Byzance puisque vous pouvez envoyer vos snapshots vers du S3 (AWS, MinIO, Wasabi), du Google Cloud, de l'Azure ou utiliser l'intégration rclone qui ouvre la porte à plus de 70 fournisseurs différents. C’est l’outil idéal pour mettre en place une véritable stratégie 3-2-1 sans se prendre la tête.
Pour l'installation, pas de surprise, ça se passe via Docker Compose. C'est léger, ça s'isole bien et ça tourne en deux minutes. Un petit bémol quand même le projet est encore jeune donc ça peut encore bouger pas mal au niveau de l'architecture. Mais pour du monitoring et de la gestion simplifiée de snapshots Restic, c'est déjà redoutable. Vous pouvez explorer vos sauvegardes directement depuis le dashboard et restaurer un fichier précis en trois clics.
Et pour ne rien gâcher, le projet est sous licence libre, ce qui colle parfaitement à l'esprit qu'on aime ici !
Bref, si vous cherchez une solution pour centraliser la gestion de vos sauvegardes sans finir en PLS devant un terminal, Zerobyte mérite clairement que vous y jetiez un œil.
Salut les amis ! Aujourd'hui, je voulais vous partager une petite pépite qu'un lecteur, Stanislas, m'a envoyée. Si vous bossez dans la cyber ou que vous passez votre temps à analyser des trucs bizarres qui trainent sur vos serveurs, vous allez adorer Cyberbro.
Cyberbro c'est une plateforme d'analyse d'IoC (Indicators of Compromise) en open source. Grâce à ça, au lieu de vous paluchez 15 sites différents pour vérifier une IP ou un hash, vous balancez tout dans Cyberbro. L'outil va alors extraire automatiquement les infos de vos logs et interroger une vingtaine de services comme VirusTotal, MISP, Shodan, AbuseIPDB ou même Microsoft Defender pour vous dire si c'est dangereux.
Sous le capot, ça gère l'extraction avancée de TLD pour ne pas se planter sur les domaines, et ça fait du "pivoting" automatique. En gros, ça va chercher tout seul les domaines, URLs ou IPs liés via reverse DNS et RDAP. Toutes les données sont ensuite stockées proprement dans une base SQLite locale qui sert aussi de cache, ce qui permet de ne pas flinguer vos quotas d'API si vous analysez deux fois la même chose.
C'est hyper fluide, ça tourne sous Python et l'interface est vraiment propre. Stanislas a même poussé le vice jusqu'à proposer une intégration MCP (Model Context Protocol) pour l'utiliser avec Claude ou Ollama. Ça permet de générer des rapports d'analyse complets via LLM en deux secondes. Et y'a même des extension navigateur pour Chrome et Firefox ainsi qu'une API. C'est ouf !
Franchement, pour un projet perso, ça rigole pas du tout ! D'ailleurs, c'est déjà utilisé par pas mal de SOC en France, donc c'est du sérieux.
Pour tester ça, c'est hyper fastoche. Un petit coup de Docker Compose et hop, c'est prêt à l'emploi. Il vous suffit de cloner le dépôt, d'éditer le fichier de secrets et de lancer le bousin.
Un grand merci à Stanislas pour ce superbe partage et pour tout le boulot abattu depuis un an. C'est ce genre de projet qui rend la communauté cyber plus forte 💪.
Vous faites partie de ceux qui, comme moi, ont gardé leurs bonnes vieilles habitudes de veille techno avec les flux RSS ? Ce truc que tout le monde a enterré y'a 10 ans (merci Google), continue pourtant de tourner tranquillement dans l'ombre... Hé bien figurez-vous que des développeurs continuent d'y croire et de nous pondre des agrégateurs toujours plus sympas.
C'est pourquoi aujourd'hui je vous présente MrRSS , un petit lecteur de flux qui a la particularité d'être développé en Go côté back et Vue.js côté interface, le tout empaqueté avec Wails v3 pour fonctionner sur Windows, macOS et Linux.
Le projet tourne depuis un petit moment déjà et intègre l'IA pour la traduction et le résumé automatique des articles. Comme ça, si vous tombez sur un article en anglais un peu technique, l'outil peut vous le traduire ou vous en faire un résumé rapide. C'est plutôt pratique quand on suit des dizaines de sources et qu'on veut faire le tri efficacement.
Dans l'interface, on retrouve toutes les fonctionnalités qu'on attend d'un bon lecteur : import et export OPML pour migrer facilement depuis un autre outil, découverte intelligente des flux à partir d'une simple URL, et gestion des catégories pour organiser tout ça . Le développeur a aussi pensé aux raccourcis clavier pour naviguer rapidement entre les articles.
Voilà, si vous cherchez un lecteur RSS desktop open source qui fait le job sans fioritures mais avec quelques fonctionnalités modernes sympa comme l'IA, c'est par ici que ça se passe.
Amusez-vous bien et un grand merci à Lorenper pour le partage !
Vous l'avez peut-être remarqué si vous utilisez Brave, Vivaldi ou Edge sur votre mobile... Google a décidé encore une fois de serrer la vis. La fête du slip semble toucher à sa fin pour la lecture en arrière-plan de YouTube via les navigateurs tiers. C'est donc la douche froide pour ceux qui profitaient de cette petite faille pour écouter de la musique écran éteint sans passer à la caisse.
En gros, Google a durci ses contrôles pour bloquer cette fonctionnalité sur les navigateurs mobiles tiers. L'objectif, selon eux, est d'assurer une expérience "cohérente" (et surtout de vous pousser vers l'abonnement YouTube Premium). Ça s'inscrit dans cette guerre sans fin contre les bloqueurs de pubs qui dure depuis 2023. C'est de bonne guerre, diront certains, mais c'est surtout très agaçant quand on a l'habitude de bidouiller.
Heureusement, comme toujours sur le Web, quand une porte se ferme, une fenêtre s'ouvre (ou on casse le mur, c'est selon). Voici le point complet sur ce qui marche encore... et ce qui ne marche plus.
Mise à jour : Suite à vos nombreux retours par mail (merci !), j'ai complété cet article avec plusieurs astuces supplémentaires, notamment pour Brave, iOS, ReVanced et une extension Firefox bien pratique.
Autant le dire tout de suite, cette méthode est quasiment MORTE. La majorité des tests récents montrent que la lecture s'arrête net quand vous verrouillez l'écran ou quand l'app passe en arrière-plan. Y'a bien quelques retours isolés qui parlent d'un fonctionnement occasionnel sur Brave, mais c'est devenu tellement aléatoire que c'est pas la peine de compter dessus. Cette porte-là, Google l'a bien refermée.
Cela dit, un lecteur m'a filé une astuce intéressante pour Brave. En allant dans Confidentialité > Filtrage de contenu > Filtres personnalisés, vous pouvez ajouter la ligne suivante :
Connexion
youtube.com##+js(brave-video-bg-play)
Ça injecte un script qui force la lecture en arrière-plan. J'ai pas encore assez de recul pour dire si ça tient dans le temps, mais ça vaut clairement le coup d'essayer si vous êtes fidèles à Brave.
Si vous êtes sur Android, Firefox reste votre meilleur allié... mais plus pour très longtemps peut-être. Avec l'extension Video Background Play Fix dispo pour Firefox Android, vous pouvez encore faire croire à YouTube que vous êtes toujours actif sur l'onglet même quand l'écran est verrouillé. Ça marche quelques jours, parfois quelques semaines, jusqu'à ce que YouTube patche le truc.
Pour les plus témérraires, il y a toujours la technique du caméléon : changer votre User-Agent avec l'extension User-Agent Switcher pour vous faire passer pour un PC de bureau. Sauf que YouTube ne se fie plus uniquement au user-agent pour ses vérifications... Du coup c'est de moins en moins fiable.
D'ailleurs, y'a une autre extension qui vaut le détour : Background Playback Helper . Celle-ci fonctionne à la fois sur Firefox Desktop ET Android (à partir de la version 142), et elle empêche YouTube, YouTube Music et même Vimeo de couper le son quand vous changez d'onglet ou verrouillez l'écran. Le dev a intégré un système keep-alive optionnel qui envoie des signaux d'activité pour éviter les timeouts. Pas mal du tout. La version 0.4.1 gère déjà les derniers blocages de Google et une 0.5.0 est en test avec la gestion automatique du fameux popup "Toujours regarder ?" qui vous gonfle quand vous écoutez en arrière-plan depuis trop longtemps.
Bref, on installe et on croise les doigts. C'est le jeu du chat et de la souris permanent et rien n'est garanti à 100%.
Si vous en avez marre de jouer au chat et à la souris avec Google, la solution radicale c'est de passer sur un client alternatif. C'est aujourd'hui la méthode LA PLUS FIABLE pour écouter YouTube en arrière-plan sans passer à la caisse.
NewPipe reste LA référence open source. Lecture en arrière-plan, téléchargement de vidéos, mode Picture-in-Picture, zéro pub, zéro tracker, pas besoin de compte Google. L'app gère aussi SoundCloud, PeerTube et Bandcamp. Seul hic, YouTube casse régulièrement les API et l'app peut planter du jour au lendemain (y'a eu DEUX hotfixes rien qu'en janvier 2026). Hop, on met à jour via F-Droid et ça repart. Vous lancez la vidéo, vous appuyez sur le bouton "Arrière-plan" et voilà. Votre écran s'éteint, la musique continue. C'est magique !
Mais NewPipe c'est pas la seule option. Tubular est un fork de NewPipe avec SponsorBlock intégré (pour skipper automatiquement les segments sponsorisés) et le retour des dislikes. LibreTube passe par un proxy Piped, donc YouTube ne voit même pas votre IP... et l'interface est plus moderne. Et puis y'a Grayjay , le couteau suisse qui regroupe YouTube, Twitch, Dailymotion et PeerTube dans une seule app (pas totalement open source par contre, mais très complet).
Et y'a un truc que BEAUCOUP d'entre vous m'ont signalé par mail et que j'aurais pas dû zapper... ReVanced . Le concept est différent des apps ci-dessus puisque ReVanced ne remplace pas YouTube, il le PATCHE. Vous gardez l'app YouTube officielle avec son interface, mais avec la lecture en arrière-plan, zéro pub et même SponsorBlock en bonus. Il faut installer le ReVanced Manager pour appliquer les patches, plus un service appelé GmsCore qui simule les Google Play Services. C'est maintenu activement et plutôt stable (genre 3 mises à jour par an suffisent). Par contre, faites gaffe aux faux sites qui tentent de surfer sur la réputation du projet... le seul dépôt officiel, c'est sur GitHub .
Toutes ces apps (sauf ReVanced) s'installent via F-Droid ou en APK. Pas via le Play Store, forcément... Google aime pas trop ce genre de trucs.
Pour les utilisateurs d'iPhone, c'est toujours plus compliqué qu'Android... mais pas autant que je le pensais ! Plusieurs d'entre vous m'ont envoyé des pistes et y'a des trucs qui marchent vraiment bien.
Tube PiP permet d'avoir le mode Picture-in-Picture sur YouTube, ce qui vous laisse réduire la vidéo et utiliser votre téléphone normalement pendant que ça continue de tourner. C'est dispo directement sur l'App Store, donc pas de bidouilles à faire.
Et puis y'a Video Lite qui gère YouTube mais aussi Twitch, Rumble et même TikTok (bon ça c'est optionnel). Lecture en arrière-plan, pas de pubs... Y'a juste une petite pub au démarrage de l'app elle-même (qui se bypass apparemment en passant par un VPN type ProtonVPN). Un lecteur m'a d'ailleurs précisé qu'il avait créé un compte Google dédié pour l'occasion, par parano... et franchement, il a pas tort.
Bref, sur iOS c'est pas aussi riche qu'Android mais vous avez quand même de quoi faire.
Du coup voilà, que vous soyez sur Android ou iOS, y'a des solutions. Sur Android, passez sur ReVanced si vous voulez garder l'app officielle, sur NewPipe / Tubular si vous préférez un truc 100% indépendant, ou même sur WeTube pour une expérience sans pub dispo sur le Play Store. Sur iOS, testez Tube PiP ou Video Lite. Tout le reste (navigateurs tiers), c'est du bricolage temporaire que Google finira par casser.
Amusez-vous bien !
Une équipe de chercheurs en économie vient de poser des maths sur un truc que pas mal de devs sentaient venir... Le vibe coding serait en train de tuer l'open source. Pas au sens figuré, hein. Au sens "les mainteneurs ne pourront bientôt plus payer leurs factures". J'ai parcouru le papier ce midi, et je pense que ça va vous choquer...
En gros, le document modélise ce qui se passe quand des millions de devs arrêtent d'aller sur Stack Overflow et de lire la doc officielle pour plutôt demander à Claude, Copilot, Cursor ou Windsurf de tout faire à leur place. En fait, à cause de ces nouvelles habitudes, les projets open source qui vivaient de la pub sur leur site, des sponsors attirés par le trafic, ou de la visibilité communautaire... perdent tout. Le trafic baisse, les dons baissent, les revenus baissent.
Et les chiffres font mal !
Tailwind CSS, par exemple. J'ai regardé les stats npm de tailwindcss sur npmtrends.com... les téléchargements hebdo dépassent les 44 millions en janvier 2026, c'est du jamais vu. Sauf que les visites sur tailwindcss.com ont plongé d'environ 40%.
Côté revenus, c'est encore pire, puisque ça a chuté d'à peu près 80%. Adam Wathan, le créateur de Tailwind, en parlait début 2026 et ça avait l'air de bien le déprimer.
Pendant ce temps, Stack Overflow a perdu un quart de son activité depuis fin 2022 avec l'arrivée de ChatGPT. Bah oui, plus besoin de poser des questions quand l'IA vous mâche le travail.
En fait, l'IA utilise MASSIVEMENT l'open source pour générer du code. Elle s'appuie dessus, elle recommande les packages, elle les intègre automatiquement. Mais elle ne renvoie personne vers les sites des projets. C'est un peu comme si Spotify jouait vos morceaux sans jamais afficher le nom de l'artiste... et sans le payer non plus !
D'ailleurs, les auteurs du papier font exactement cette analogie. Ils proposent un modèle "Spotify pour l'open source" où les plateformes d'IA (OpenAI, Anthropic, GitHub) partageraient leurs revenus d'abonnement avec les mainteneurs en fonction de l'utilisation réelle des packages. Leur calcul montre que sociétés d'IA devraient contribuer au minimum à hauteur 84% de ce que les utilisateurs classiques apportent, sinon c'est la spirale de la mort pour les projets.
Perso, ça me rappelle la fameuse lettre de Bill Gates en 1976 qui gueulait déjà que personne ne voulait payer pour le logiciel. Cinquante ans plus tard, on en est toujours au même point, sauf que maintenant c'est l'IA qui fait le travail de sape. Et comme le disait Linus Torvalds récemment , le vibe coding c'est "horrible, horrible" pour la maintenance du code. Pas juste parce que le code généré est souvent bancal, mais parce que ça coupe le lien entre le dev et l'écosystème qui le nourrit.
Après, attention, ça veut pas dire que TOUS les projets open source vont crever du jour au lendemain. Ceux qui ont des contrats enterprise genre Red Hat ou du support payant à la Elastic s'en sortent... pour l'instant. Pareil pour les gros projets type Linux ou Kubernetes qui sont soutenus par des fondations. Le problème, c'est surtout les petits projets maintenus par une ou deux personnes qui vivaient de la visibilité. Vous savez, le mec qui maintient un package npm avec 2 millions de téléchargements hebdo depuis son appart, sans sponsor... ben lui, il est dans la panade. Sauf si le mec a un Patreon bien rempli ou un contrat de consulting à côté, mais ça c'est l'exception, pas la règle.
Et n'allez pas croire que les GitHub Sponsors suffisent... j'ai galéré à trouver ne serait-ce qu'un seul projet avec plus de 500$/mois via ce système.
Le plus flippant dans tout ça, c'est que même si l'IA rend chaque dev individuellement plus productif, le résultat net peut être carrément NÉGATIF pour tout le monde. Moins de projets open source viables, moins de diversité, moins d'innovation à la base. Et ces auteurs le démontrent mathématiquement avec leur modèle à deux canaux (productivité vs diversion de la demande).
Et sachez le, même dans le scénario le plus optimiste où les plateformes d'IA payeraient leur part, si ce ratio tombe en dessous de 84%... c'est foutu. Le modèle diverge et les projets meurent quand même.
Bref, si les plateformes d'IA ne trouvent pas un moyen de rémunérer l'open source qu'elles exploitent, on court droit vers un appauvrissement massif de l'écosystème open source.
À l’heure du codage par IA, il est d’autant plus important de s’assurer que les contributeurs comprennent ce qu’ils proposent.
Un des ateliers de la FOSDEM 2026 a abordé cet aspect. Le contexte : une réflexion au sujet de la charge qui pèse sur les mainteneurs de projets open source.
Référence y est faite dans une discussion sur GitHub. Avec une question : que pourrait faire la plate-forme pour motiver les contributeurs à passer du temps sur les explications (descriptions de problèmes et de features) plutôt que sur la soumission de code ?
Là n’est cependant pas le thème principal de cette discussion. À travers elle, GitHub fait plutôt part de ses perspectives concernant la gestion des PR.
À court terme, il propose aux mainteneurs des options pour les désactiver complètement, les restreindre aux collaborateurs et les supprimer depuis l’UI.
Sur le long terme, GitHub envisage une solution « intermédiaire » permettant de conditionner l’ouverture de PR au respect de critères. Il songe aussi à exploiter l’IA pour évaluer le respect des standards/guidelines des projets.
Pour les guidelines, la source de vérité pourrait être le fichier CONTRIBUTING.md.
Beaucoup de projets veulent partager du code sans créer un entonnoir de contributions publiques, confirme un participant qui approuve les perspectives à court terme. Les mesures de contournement actuelles – des bots qui ferment les PR – ajoutent du bruit et sont peu intuitives, précise-t-il. Et de suggérer, concernant la vision à plus long terme, de pouvoir faire la différence entre contributeurs passagers et contributeurs externes de confiance sans avoir à donner d’accès collaborateur complet.
On suggère aussi à GitHub de quoi restreindre les contributeurs « nouveaux » – par exemple, dont la première interaction remonte à moins de 48 heures – à un seul PR. Ou encore d’obliger la liaison de tout PR à un ticket ou à une discussion.
Sur le volet IA, on suggère à GitHub un système de seuils configurables au niveau du dépôt ou de l’organisation. Et la désactivation automatique de Copilot sur les repos dont la politique interdirait l’usage.
Illustration générée par IA
The post GitHub cherche à alléger la charge du code généré par IA appeared first on Silicon.fr.
Vous avez déjà remarqué à quel point nos claviers Android sont devenus bavards ? Que ce soit Gboard ou SwiftKey , ils ont tous la fâcheuse tendance à vouloir "améliorer l'expérience utilisateur" en envoyant vos habitudes de frappe sur des serveurs distants. Forcément, quand on sait que tout ce qu'on tape, des mots de passe aux messages privés, passe par cette petite interface, ça peut vite donner des sueurs froides niveau vie privée.
Alors c'est exactement pour contrer cette tendance qu'un nouveau projet open source vient de pointer le bout de son nez : Urik .
Pas de télémétrie dans ce clavier, et pour les plus paranos, sachez que le dictionnaire personnalisé et l'apprentissage des mots sont également stockés dans une base de données locale chiffrée avec SQLCipher. Vos frappes restent donc chez vous et nulle part ailleurs. On est dans la même philosophie que FUTO Voice Input , ce qui prouve qu'on peut avoir des outils intelligents sans pour autant sacrifier sa vie privée.
Côté technique, Urik n'est pas un clavier au rabais. Développé en Kotlin, sous licence GPL-3.0, il propose tout ce qu'on attend d'un outil moderne : la saisie par glissement (swipe), le contrôle du curseur via la barre d'espace et le support de dispositions alternatives comme le Dvorak, le Colemak ou le Workman.
Et pour la correction orthographique, il s'appuie sur l'algorithme SymSpell qui tourne lui aussi intégralement sur le téléphone. L'intelligence du truc permet d'ailleurs d'éviter de corriger bêtement les URLs ou les adresses email, ce qui évite pas mal de frustrations au quotidien.
Petite parenthèse, pour ceux qui ont besoin d'outils de protection supplémentaires sur mobile, n'hésitez pas aussi à jeter un œil à Oversec pour chiffrer vos communications.
Urik, de son côté, soigne aussi l'accessibilité avec un support complet de TalkBack et des thèmes à haut contraste conformes aux normes WCAG AA. L'application nécessite au minimum Android 8.0 et bien qu'elle soit encore officiellement en bêta, elle est déjà très stable pour un usage quotidien.
Alors oui, ça demande un petit temps d'adaptation quand on quitte les géants du secteur, mais le gain en sérénité est immédiat. Plus besoin de se demander si votre prochain message va finir dans une base de données publicitaire.
Sachez aussi que le projet est entièrement financé par sa communauté, ce qui garantit une certaine indépendance vis-à-vis des trackers habituels. Bref, si vous cherchez à reprendre le contrôle sur ce que vous saisissez, c'est clairement une alternative à tester d'urgence sur votre smartphone.
A télécharger ici sur le PlayStore !
Merci à Lorenper pour le partage !
"A modern, open-source VPN protocol originally developed by AdGuard VPN.
By design, TrustTunnel traffic is indistinguishable from regular HTTPS traffic."
Brice, un lecteur de Korben, m'a bel et bien scotché. Il y a quelques semaines, je vous parlais du Pineapple Pager et ça a visiblement réveillé une fibre nostalgique chez certains d'entre vous. Donc merci à Brice pour l'info, car il a carrément passé sa soirée à coder un truc énoooOOOooorme (et super utile) qui s'appelle MonitorBox .
Parce qu'on va pas se mentir, on croule tous sous les notifications. Entre Slack, les emails, et les alertes de sécurité, notre cerveau a fini par développer un mécanisme de défense radical : il ignore TOUT !!! C'est ce qu'on appelle la "fatigue de l'alerte". J'avoue que pour un admin sys en astreinte, c'est le début de la fin. Le jour où le serveur de prod tombe vraiment, on swipe la notif comme si c'était une pub pour des croquettes bio... Pas terrible donc pour la continuité de service.
L'interface de MonitorBox - sobre mais efficace ( Source )
Et c'est là que Brice intervient justement avec son idée de génie : Ressusciter le bon vieux pager des années 90. Au début je pensais que c'était juste pour le fun (un délire de vieux geek quoi), mais en réalité c'est un vrai outil de surveillance pro.
MonitorBox est conçu pour tourner sur un vieux PC recyclé (genre un vieux Dell Optiplex GX270 ou un ThinkPad T60) sous Debian 12 Bookworm et l'idée, c'est de sortir l'alerte critique du flux continu de votre smartphone pour l'envoyer sur un appareil qui ne sert qu'à ça. Ainsi, quand le beeper à votre ceinture se met à gueuler sur la fréquence 466.975 MHz, vous savez que la maison brûle, sans même regarder l'écran.
Et techniquement, c'est hyper propre !!! Le système utilise une vue Terminal (parfaite pour un vieil écran CRT qui traîne) et un dashboard web moderne sous JavaScript pour le suivi. L'arme secrète reste ensuite le support du protocole POCSAG.
Via le port série (type /dev/ttyS0 ou un adaptateur FTDI), MonitorBox pilote un émetteur radio qui se charge de balancer les infos sur les ondes. Et toudoum, voilà comment votre vieux Tatoo ou Tam-Tam reprend du service !
⚠️ Attention quand même, émettre sur des fréquences radio est ultra-réglementé. Vérifiez donc bien la législation avant de jouer les apprentis sorciers, car pas moyen de plaider l'ignorance si les mecs de l'ANFR débarquent chez vous avec leur camionnette de détection Agence Tous Risques...
J'adore perso son approche qui vise le "Zéro faux positif". En effet, le script s'appuie sur Shell, curl et espeak pour la synthèse vocale locale, et intègre une logique de "Retry" comme ça si un service ne répond pas, l'outil vérifie à nouveau avant de vous réveiller en pleine nuit. Ça réduit drastiquement les fausses alertes, contrairement aux outils de monitoring habituels qui hurlent parfois au loup pour une micro-latence passagère de rien du tout.
MonitorBox est léger (pas besoin de base de données SQL compliquée, juste un fichier servers.conf), souverain, et permet de redonner vie à du matos qu'on croyait bon pour la déchetterie.
Brice nous propose en gros un mix parfait entre low-tech et haute performance. Et si vous voulez tester le bousin, tout le code est open source (licence MIT) et disponible sur GitHub . Seul petit bémol, il vous faudra bel et bien un vrai câble DB9 ou DB25 et un adaptateur qui tient la route, sinon votre VM va juste vous envoyer bouler violemment. Aaaah ces drivers USB chinois, je vous jure...
Bref, merci Brice pour l'inspiration et pour ce beau projet à la fois rétro et moderne !
