La Ville de Villeneuve d'Ascq organise un village de la mobilité jeudi 17 septembre 2026 de 12h à 18h, place Allende : venez découvrir, essayer, vous informer et adopter les mobilités de demain.
Au programme :
Les partenaires du Village de la Mobilité vous proposent de nombreuses animations gratuites. Tout au long de l'après-midi, les partenaires de la Ville vous feront découvrir les mobilités douces à travers des ateliers pratiques, des démonstrations et des animations ludiques. ADAV (…)

LibreDB Studio est un IDE SQL auto-hébergé pour PostgreSQL, sous licence MIT, qui s’exécute dans le navigateur. De nombreuses méthodes d’installation sont proposées (conteneur docker, ou autres…)

Il est déployé à proximité de la base de données qu’il gère — sous forme de conteneur, de chart Helm ou de paquet npm — plutôt que d’être installé sur la machine de chaque développeur. PostgreSQL constitue son implémentation de référence : le fournisseur (provider) est bâti sur node-postgres, et les autres moteurs pris en charge suivent les modèles établis par ce dernier.

• lien nᵒ 1 : Annonce dans les actualités PostgreSQL.org
• lien nᵒ 2 : Projet GitHub
• lien nᵒ 3 : LibreDB.org

Pour les connexions à PostgreSQL, l’éditeur utilise un pool de connexions, des transactions explicites (BEGIN/COMMIT/ROLLBACK) avec un délai d’expiration pour le retour en arrière automatique (auto-rollback), ainsi que l’annulation de requêtes via pg_cancel_backend sur le PID du processus serveur (backend) suivi. L’introspection du schéma est conçue pour rester réactive sur des bases de données comptant des centaines de tables : l’arborescence des tables est générée lors d’une première passe, tandis que les relations sont chargées progressivement lors d’une seconde. La surveillance s’appuie sur les vues pg_stat_* (y compris pg_stat_statements lorsque l’extension est installée) et s’adapte aux permissions du rôle connecté plutôt que de provoquer une erreur lorsque les vues réservées aux superutilisateurs sont inaccessibles.

L’assistant de requête optionnel est limité par les contraintes de la base de données plutôt que par le texte de l’invite (prompt). Avant sa première interaction, l’exécution reçoit le schéma réel de la base de données connectée ; ainsi, l’instruction rédigée fait référence à des objets existants, et les exécutions en lecture seule sont traitées au sein d’un bloc BEGIN READ ONLY sous forme d’instruction unique via le protocole étendu. L’authentification repose sur des comptes locaux ou sur OIDC, avec un contrôle d’accès basé sur les rôles (RBAC) appliqué à chaque route de l’API.

Le code source, la documentation et la référence du fournisseur PostgreSQL sont disponibles sur github.com/libredb/libredb-studio et libredb.org

Commentaires : voir le flux Atom ouvrir dans le navigateur

En ce mardi 15 septembre, la communauté du Projet Fedora sera ravie d'apprendre la disponibilité de la version Beta de Fedora Linux 45.

Malgré les risques concernant la stabilité d’une version Beta, il est important de la tester ! En rapportant les bogues maintenant, vous découvrirez les nouveautés avant tout le monde, tout en améliorant la qualité de Fedora Linux 44 et réduisant du même coup le risque de retard. Les versions en développement manquent de testeurs et de retours pour mener à bien leurs buts.

La version finale est pour le moment fixée pour le 20 octobre, 27 octobre ou le 3 novembre.

• lien nᵒ 1 : Site officiel du projet Fedora
• lien nᵒ 2 : Site officiel de la communauté francophone de Fedora
• lien nᵒ 3 : Torrents officiels pour télécharger les différentes éditions
• lien nᵒ 4 : Les versions avec bureaux alternatifs de Fedora (Xfce, etc.)
• lien nᵒ 5 : Les suites de productivités de Fedora (astronomie, design, etc.)
• lien nᵒ 6 : Calendrier pour Fedora Linux 44

Sommaire

• Expérience utilisateur
• Gestion du matériel
• Internationalisation
• Administration système
• Développement
• Projet Fedora
• Tester

Expérience utilisateur

• L'environnement de bureau GNOME est proposé dans sa version 51 ;
• Les versions atomiques bénéficient de l'interface web d'Anaconda pour l'installation du système ;
• Ces mêmes versions peuvent bénéficier de l'installation distante via HTTPS ;
• En cas de certaines erreurs fatales du noyau, le QR code d'erreur généré redirige vers le site https://drm-panic.fedoraproject.org/ pour expliquer plus simplement l'erreur rencontrée ;
• Passage des utilitaires KWallet et GNOME Keyring à oo7 pour l'accès et la gestion des données privées, comme les mots de passe ;
• Amélioration de bash-color-prompt pour rendre la personnalisation du prompt plus simple ;
• L'aide de LibreOffice repose maintenant sur des pages web ouverts depuis un navigateur externe ;
• Les dictionnaires fournis par le projet LibreOffice peuvent être installés en lieu et place de ceux du projet hunspell dont ils dérivent.

Gestion du matériel

• mkosi-initrd est proposé comme alternative à dracut pour générer des fichiers initrd pour être évalué avant un éventuel remplacement.

Internationalisation

• L'outil d'aide à la saisie IBus évolue à la version 1.5.35 ;
• Mise à jour de fontconfig à la version 2.18.

Administration système

• NetworkManager prend en charge les réseaux IPv6-mostly ;
• Par défaut et pour des raisons de sécurité, l'API noyau ptrace n'autorisera plus certains accès à moins d'installer certains logiciels comme un débogueur qui peuvent en avoir besoin ;
• Les utilitaires chpasswd et newusers utilisent dorénavant PAM pour valider les droits et si les mots de passe sont conformes à la politique de sécurité du système ;
• Les consoles virtuelles passent de fbcon à kmscon ;
• Déplacement des fichiers des dépôts du répertoire /etc/yum.repo.d vers le répertoire /usr/share/dnf5/repos.d ;
• Anaconda prend en charge le gestionnaire de stockage Stratis ;
• Le logiciel Ignition gère le format de configuration généré par l'outil Butane ;
• L'API noyau de cryptographie à destination de l'espace utilisateur est désactivé ;
• L'outil d'authentification authselect ne prend plus en charge les profils NIS ;
• L'utilitaire des paquets rpm passe à la version 6.1 ;
• Ce dernier rend obligatoire la vérification des signatures des paquets avant leur installation ;
• La bibliothèque de sécurité OpenSSL est mise à jour vers la version 4.0 ;
• Le gestionnaire de conteneurs podman est proposé dans sa 6e version ;
• La version par défaut du gestionnaire de base de données MySQL pointe vers la version 9.7 au lieu de la version 8.4 ;
• La version par défaut du gestionnaire de base de données MariaDB pointe vers la version 12.3 au lieu de la version 11.8.

Développement

• La chaine de compilation GNU progresse avec GCC 16.2, binutils 2.47, glibc 2.44 et gdb 17.2.
• La chaine de compilation LLVM version 23 est proposée ;
• Le langage Python rampe vers la version 3.15
• La bibliothèque python-dateutil est marquée comme dépréciée en vue d'une suppression future ;
• L'utilitaire Python setuptools est proposé avec la version 82 ;
• Le langage Go saute vers sa version 1.27 ;
• Le langage Perl brille dans sa version 5.44 ;
• L'interpréteur Lua est mis à jour vers la version 5.5 ;
• La boîte à outils Ruby en Rails roule vers sa version 8.1 ;
• Le générateur de protocoles protobuf passe à la version 6 ;
• Le langage fonctionnel Erlang évolue vers la version 27 ;
• La bibliothèque d'analyse de données Pandas pousse à sa version 3 ;
• La bibliothèque xmlsec parse sa version 1.3 ;
• L'environnement de développement de Free Pascal nommé Lazarus dispose d'une interface graphique GTK3, Qt5 ou Qt6, en plus de GTK2 jusqu'alors proposée ;
• La configuration des pilotes ODBC, pour la création d'API pour les gestionnaires de base de données, a été scindée pour améliorer la modularité de ce fichier ;
• Nodejs a maintenant des métapaquets versionnés pour toutes les versions disponibles dans Fedora Linux.

Projet Fedora

• Les images atomiques sont construites avec l'utilitaire image-builder ;
• Le paquet libgit2 bénéficiera de plusieurs paquets avec des versions distinctes pour pouvoir les installer en parallèle ;
• Les variables non standards de CMake sont supprimées de la macro %cmake ;
• Ajout de la macro %openpgpverify pour effectuer les vérifications de signatures avec Sequoia en remplacement de %gpgverify qui utilise GnuGP.

Tester

Durant le développement d'une nouvelle version de Fedora Linux, comme cette version Beta, quasiment chaque semaine le projet propose des journées de tests. Le but est de tester pendant une journée une fonctionnalité précise comme le noyau, Fedora Silverblue, la mise à niveau, GNOME, l’internationalisation, etc. L'équipe d'assurance qualité élabore et propose une série de tests en général simples à exécuter. Suffit de les suivre et indiquer si le résultat est celui attendu. Dans le cas contraire, un rapport de bogue devra être ouvert pour permettre l'élaboration d'un correctif.

C'est très simple à suivre et requiert souvent peu de temps (15 minutes à une heure maximum) si vous avez une Beta exploitable sous la main.

Les tests à effectuer et les rapports sont à faire via la page suivante. J'annonce régulièrement sur mon blog quand une journée de tests est planifiée.

Si l'aventure vous intéresse, les images sont disponibles par Torrent ou via le site officiel.

Si vous avez déjà Fedora Linux 44 ou 43 sur votre machine, vous pouvez faire une mise à niveau vers la Beta. Cela consiste en une grosse mise à jour, vos applications et données sont préservées.

Nous vous recommandons dans les deux cas de procéder à une sauvegarde de vos données au préalable.

En cas de bogue, n'oubliez pas de relire la documentation pour signaler les anomalies sur le BugZilla ou de contribuer à la traduction sur Weblate. N'oubliez pas de consulter les bogues déjà connus pour Fedora 44.

Bons tests à tous !

Commentaires : voir le flux Atom ouvrir dans le navigateur

La cuvée 2026 d'Alternatiba Léman, c'est la 11ème à laquelle itopie participe, depuis 2015. Et sans en manquer une seule !

Une édition d’Alternatiba Léman de très bonne facture est issu du site itopie informatique.

Les Koçers sont des pasteurs nomades kurdes qui pratiquent, depuis des siècles, la transhumance. Leur mode de vie a longtemps favorisé la préservation de leur identité kurde, de leur langue, et de leurs traditions, davantage que parmi les populations sédentarisées, plus exposées aux politiques d'assimilation menées par l'État turc.

Les droites extrêmes ne se cachent plus, elles sont banalisées, normalisées et même soutenues par les partis politiques, les médias mainstream et les milieux d'affaires, ce qui les renforce. Les mobilisations contre l'extrême droite sont réelles et multiples mais réprimées et écrasées par les empires médiatiques. Cette lettre ECSI a pour objectif de les mettre en lumière et de faire connaître plus particulièrement les initiatives d'éducation populaire visant à analyser et déconstruire la vision de l'extrême droite et qui promeuvent de nouveaux imaginaires et des futurs désirables.

Zoom sur quelques outils pédagogiques pour animer sur ce thème

Le "Jacques à dit" de la démocratie

Deux festivals solidaires et antifascistes à venir

Sites incontournables

Quelques ressources pour approfondir le sujet

Petit décryptage des termes utilisés

Libre à vous !, l’émission de l’April, l’association de promotion et de défense du logiciel libre. Prenez le contrôle de vos libertés informatiques, découvrez les enjeux et l’actualité du libre.

Au programme de la 283e émission :

• sujet principal : le Parcours libriste de Gee, administrateur de l'April, membre de Framasoft, docteur en informatique, auteur-dessinateur sous licence libre et chroniqueur pour Libre à vous!, entre autres casquettes.
• la chronique Que libérer d’autre que du logiciel avec Antanak
• La première édition d'une nouvelle chronique Numérique, libertés et droits humains, proposée par Maryse Artiguelong, coresponsable du groupe de travail « Libertés et technologies de l’information et de la communication » pour la Ligue des Droits Humains.
• quoi de Libre ? Actualités et annonces concernant l'April et le monde du Libre

Écouter les podcasts

S'abonner au podcast

S'abonner à la lettre d'actus

285e émission Libre à vous ! de l'April en direct sur radio Cause Commune 93.1 FM et DAB+ en Île-de-France, et sur le site web de la radio, mardi 22 septembre 2026 de 15 h 30 à 17 h. Le podcast de l'émission et les podcasts par sujets traités sont disponibles dès que possible, quelques jours après l'émission en général.

Au programme :

• sujet principal :« Au café libre » (débat autour de l’actualité du logiciel libre et des libertés informatiques) avec Maud Royer, Vincent Calame, Pierre Beyssac
• la chronique « Le truc que (presque) personne n’a vraiment compris mais qui nous concerne toutes et tous » de Benjamin Bellamy
• la chronique « La pituite de Luk »
• Quoi de Libre ? Actualités et annonces concernant l'April et le monde du Libre

Nous contacter pour poser une question :

• nous contacter par courriel
• sur le salon web #libreavous dédié à l'émission (mais nous n'y sommes pas forcément tout le temps)
• sur notre salon IRC (accès par webchat)
• Vous pouvez nous laisser un message sur le répondeur de la radio en appelant le 09 72 51 55 46

Intervenir pendant le direct (mardi 22 septembre 2026 de 15h30 à 17h00) :

• connectez-vous sur le salon web (salon « Libre à vous »)

Écouter le direct mardi 22 septembre 2026 de 15 h 30 à 17 h 00   S'abonner au podcast S'abonner à la lettre d'actus

Les ambitions de l'émission Libre à vous !

La radio Cause commune a commencé à émettre fin 2017 sur la bande FM en région parisienne (93.1) et sur Internet. Sur le site de la radio on lit : « Radio associative et citoyenne, les missions de Cause Commune sont de fédérer toutes les initiatives autour du partage et de l’échange de savoirs, de cultures et de techniques ».

Nous avons alors proposé de tenir une émission April intitulée Libre à vous ! — l'émission pour comprendre et agir avec l'April — d'explications et d'échanges concernant les dossiers politiques et juridiques que l'association traite et les actions qu'elle mène. Une partie de l'émission est également consacrée aux actualités et actions de type sensibilisation. L'émission Libre à vous ! est principalement animée par l'équipe salariée de l'April mais aussi par des membres bénévoles de l'association et des personnes invitées. Donner à chacun et chacune, de manière simple et accessible, les clefs pour comprendre les enjeux mais aussi proposer des moyens d'action, tel est l'objectif de cette émission hebdomadaire, qui est diffusée en direct chaque mardi du mois de 15 h 30 à 17 h.

Les archives de l'émission

Écouter les émissions précédentes

Cette revue de presse sur Internet fait partie du travail de veille mené par l’April dans le cadre de son action de défense et de promotion du logiciel libre. Les positions exposées dans les articles sont celles de leurs auteurs et ne rejoignent pas forcément celles de l’April.

• [Le Figaro] Intelligence artificielle: la Chine propose la création d'une zone «open source» pour les Brics
• [Reporterre] Quitter Gmail, ils l’ont fait: les conseils pour le grand saut
• [LeMagIT] Open source: les contributions IA pèsent sur les épaules des mainteneurs (€)
• [ZDNET] Sergio Gago, CTO Cloudera: 'L'open source, clé de l'indépendance technologique

• lien nᵒ 1 : April
• lien nᵒ 2 : Revue de presse de l'April
• lien nᵒ 3 : Revue de presse de la semaine précédente
• lien nᵒ 4 : 🕸 Fils du Net

[Le Figaro] Intelligence artificielle: la Chine propose la création d'une zone «open source» pour les Brics

Le dimanche 13 septembre 2026.

Le dirigeant chinois a appelé à la mise en place d’un «large cadre de gouvernance mondiale» de l’IA fondé sur le «consensus».

[Reporterre] Quitter Gmail, ils l’ont fait: les conseils pour le grand saut

✍ Benjamin Douriez, le vendredi 11 septembre 2026.

De nombreux internautes ne veulent plus confier leurs mails, leur agenda ou leurs photos à Google. Migrer vers un service indépendant et respectueux des données personnelles est une véritable transition. Voici notre tuto.

[LeMagIT] Open source: les contributions IA pèsent sur les épaules des mainteneurs (€)

✍ Gaétan Raoul, le mercredi 9 septembre 2026.

Face à la hausse des contributions open source générées par l’IA, deux grands camps se sont formés. Certains les refusent catégoriquement. D’autres jugent le retour en arrière difficile, voire impossible. Cette nouvelle donne bouleverse le quotidien des mainteneurs qui, de plus en plus, «combattent le feu par le feu» en utilisant l’IA pour participer aux projets et trier les contributions. Mais elle pèse aussi sur l’avenir des projets: comment identifier les futurs réviseurs et mainteneurs?

Et aussi:

• [LeMagIT] Vulnérabilités: l’écosystème open source face aux dilemmes du tout IA (€)

[ZDNET] Sergio Gago, CTO Cloudera: 'L'open source, clé de l'indépendance technologique

✍ Sergio Gago, le lundi 7 septembre 2026.

Une poignée de fournisseurs propriétaires impose aux entreprises les outils, les normes et les règles régissant l’usage de leurs données et de l’IA. Ils contrôlent l’architecture sous-jacente, décident seuls qui peut y participer et à quelles conditions, dénonce dans cette tribune Sergio Gago, CTO chez Cloudera.

Commentaires : voir le flux Atom ouvrir dans le navigateur

284e émission Libre à vous ! de l'April en direct sur radio Cause Commune 93.1 FM et DAB+ en Île-de-France, et sur le site web de la radio, mardi 15 septembre 2025 de 15 h 30 à 17 h. Le podcast de l'émission et les podcasts par sujets traités sont disponibles dès que possible, quelques jours après l'émission en général.

Au programme :

• sujet principal : La contribution des GULL à la Fête des Possibles, avec Florian Monteghetti de l'association CercLL et Otyugh de l'association Libre à Quimperlé. Sujet animé par Laurent Costy
• la chronique Les humeurs de Gee sur « Corbeille & récupération de fichiers »
• la chronique Libérons notre quotidien, pas après pas, app après app d'Anne L'Hôte sur « Complète ta rue ! »
• quoi de Libre ? Actualités et annonces concernant l'April et le monde du Libre

Nous contacter pour poser une question :

• nous contacter par courriel
• sur le salon web dédié à l'émission (mais nous n'y sommes pas forcément tout le temps)
• sur le salon IRC de l'April (accès par webchat)
• Vous pouvez nous laisser un message sur le répondeur de la radio en appelant le 09 72 51 55 46

Intervenir pendant le direct (mardi 15 septembre 2025 de 15 h 30 à 17 h 00) :

• connectez-vous sur le salon web #libreavous

Écouter le direct mardi 15 septembre 2025 de 15 h 30 à 17 h 00   S'abonner au podcast S'abonner à la lettre d'actus

Les ambitions de l'émission Libre à vous !

La radio Cause commune a commencé à émettre fin 2017 sur la bande FM en région parisienne (93.1) et sur Internet. Sur le site de la radio on lit : « Radio associative et citoyenne, les missions de Cause Commune sont de fédérer toutes les initiatives autour du partage et de l’échange de savoirs, de cultures et de techniques ».

Nous avons alors proposé de tenir une émission April intitulée Libre à vous ! — l'émission pour comprendre et agir avec l'April — d'explications et d'échanges concernant les dossiers politiques et juridiques que l'association traite et les actions qu'elle mène. Une partie de l'émission est également consacrée aux actualités et actions de type sensibilisation. L'émission Libre à vous ! est principalement animée par l'équipe salariée de l'April mais aussi par des membres bénévoles de l'association et des personnes invitées. Donner à chacun et chacune, de manière simple et accessible, les clefs pour comprendre les enjeux mais aussi proposer des moyens d'action, tel est l'objectif de cette émission hebdomadaire, qui est diffusée en direct chaque mardi du mois de 15 h 30 à 17 h.

Les archives de l'émission

Écouter les émissions précédentes

Cette revue de presse sur Internet fait partie du travail de veille mené par l’April dans le cadre de son action de défense et de promotion du logiciel libre. Les positions exposées dans les articles sont celles de leurs auteurs et ne rejoignent pas forcément celles de l’April.

• [Le Figaro] Intelligence artificielle: la Chine propose la création d'une zone «open source» pour les Brics
• [Reporterre] Quitter Gmail, ils l’ont fait: les conseils pour le grand saut
• [LeMagIT] Open source: les contributions IA pèsent sur les épaules des mainteneurs (€)
• [ZDNET] Sergio Gago, CTO Cloudera: 'L'open source, clé de l'indépendance technologique

[Le Figaro] Intelligence artificielle: la Chine propose la création d'une zone «open source» pour les Brics

Le dimanche 13 septembre 2026.

Le dirigeant chinois a appelé à la mise en place d’un «large cadre de gouvernance mondiale» de l’IA fondé sur le «consensus».

[Reporterre] Quitter Gmail, ils l’ont fait: les conseils pour le grand saut

✍ Benjamin Douriez, le vendredi 11 septembre 2026.

De nombreux internautes ne veulent plus confier leurs mails, leur agenda ou leurs photos à Google. Migrer vers un service indépendant et respectueux des données personnelles est une véritable transition. Voici notre tuto.

[LeMagIT] Open source: les contributions IA pèsent sur les épaules des mainteneurs (€)

✍ Gaétan Raoul, le mercredi 9 septembre 2026.

Face à la hausse des contributions open source générées par l’IA, deux grands camps se sont formés. Certains les refusent catégoriquement. D’autres jugent le retour en arrière difficile, voire impossible. Cette nouvelle donne bouleverse le quotidien des mainteneurs qui, de plus en plus, «combattent le feu par le feu» en utilisant l’IA pour participer aux projets et trier les contributions. Mais elle pèse aussi sur l’avenir des projets: comment identifier les futurs réviseurs et mainteneurs?

• [LeMagIT] Vulnérabilités: l’écosystème open source face aux dilemmes du tout IA (€)

[ZDNET] Sergio Gago, CTO Cloudera: 'L'open source, clé de l'indépendance technologique

✍ Sergio Gago, le lundi 7 septembre 2026.

Une poignée de fournisseurs propriétaires impose aux entreprises les outils, les normes et les règles régissant l’usage de leurs données et de l’IA. Ils contrôlent l’architecture sous-jacente, décident seuls qui peut y participer et à quelles conditions, dénonce dans cette tribune Sergio Gago, CTO chez Cloudera.

De nombreux organisateurs, organisatrices et associations tech (59 actuellement) ont cosigné une lettre ouverte lancée par l'Association française des utilisateurs de PHP (AFUP) pour alerter sur la crise que traverse les événements techniques : « Budgets sponsoring resserrés, achats de billets en baisse, adhésions associatives en recul : partout, les mêmes signaux d’alerte s’allument et l’inquiétude s’installe au sein des organisations. »

Les signataires appellent les entreprises et les professionnels du secteur à : sponsoriser les événements techniques et à les placer dans leur stratégie, à sanctuariser des places pour les équipes, et à adhérer aux associations organisatrices.

« Ce n’est pas une question de générosité, mais d’investissement direct dans la compétence, l’attractivité et la résilience de vos propres équipes techniques. Nous avons conscience que la situation économique est difficile, mais nous faisons appel à toutes et à tous pour que l’écosystème survive, les événements tech en sont un pilier. »

« Derrière ces trois constats [le début d'une transformation qui touche tout le monde, une formation que rien ne remplace, remettre l'humain au centre] se joue une question plus large : quel écosystème technique voulons-nous : un quotidien dicté par nos outils, ou un secteur qui continue à se construire collectivement ? Ce choix se fait dès aujourd’hui, dans les décisions budgétaires de chaque entreprise. »

• lien nᵒ 1 : Lettre ouverte pour la survie des événements techniques en France
• lien nᵒ 2 : ZDNet: Conférences développeurs : les organisateurs tirent la sonnette d'alarme
• lien nᵒ 3 : Next: Les conférences développeurs appellent les entreprises à ne pas les laisser disparaitre

Message l'AFUP en mars : « Nous avons perdu 40% de nos financements pour l’AFUP Day 2026 par rapport à 2025. D'autres événements techniques annoncent également leurs difficultés. Du côté des billetteries de l'AFUP Day 2026, elles affichent un retard de 50% par rapport à la même période en 2025. »

Amélie Benoit (BDX I/O) : « On oublie parfois que sponsoriser un événement, c’est aussi apporter une visibilité durable et un soutien incommensurable à tout un écosystème tech local. Sans ce soutien, les événements vont tout simplement mourir. Et il n’y aura possiblement plus d’événements lorsqu’elles auront des besoins de visibilité et de recrutement. »

Commentaires : voir le flux Atom ouvrir dans le navigateur

Le règlement (UE) 2024/2847, aussi appelé Cyber Resilience Act ou CRA, impose des exigences de cybersécurité à tout « produit comportant des éléments numériques » mis sur le marché de l’Union (logiciels compris, mais pas les services web). Son article 14 est entré en application le 11 septembre 2026. Tout fabricant doit signaler sous 24 heures toute vulnérabilité activement exploitée dans son produit et tout incident grave de sécurité, y compris pour les produits déjà sur le marché, puis compléter ce signalement sous 72 heures et le clore par un rapport final. Le reste du règlement s’applique à partir du 11 décembre 2027.

L’écosystème du libre s’était alarmé dès la proposition de 2022, et LinuxFr.org s’en était fait l’écho : le CRA menace l’avenir du logiciel libre, puis le texte du CRA a été finalisé. Le point d’achoppement était la notion d’« activité commerciale », dont dépend l’application du règlement. Le texte adopté en 2024, puis l'orientation de la Commission publiée le 27 juillet 2026, document interprétatif non contraignant, l’ont précisée dans un sens qui épargne les contributeurs individuels et les projets non monétisés.

Restent des chantiers ouverts : aucune norme harmonisée publiée à ce jour au Journal officiel, pas encore de mécanisme d’attestation de sécurité pour le logiciel libre, une plateforme de signalement sans API, et la question de qui paie les mainteneurs.

• lien nᵒ 1 : Le CRA
• lien nᵒ 2 : L'orientation de la CE
• lien nᵒ 3 : Le guide du CRA CNLL x Inno3
• lien nᵒ 4 : La plateforme de signalement de l'ENISA

Sommaire

• Deux définitions du règlement
• Ce que l’écosystème a obtenu depuis 2023
• Les obligations vis-à-vis des mainteneurs
• Ce qui n’est pas prêt
• Qui paie les mainteneurs ?
• Prochaine manche : le règlement sur l’IA

Ce qui s’applique aujourd’hui

L’article 14 comporte deux déclencheurs : une vulnérabilité activement exploitée présente dans le produit, et un incident grave « ayant des répercussions sur la sécurité du produit », par exemple l’exécution d’un code malveillant dans le produit ou chez ses utilisateurs, qu’une faille ait été identifiée ou non. Chacun suffit. Les deux suivent la même cadence, au rapport final près :

• 24 heures : alerte précoce à l’ENISA (l’agence européenne de cybersécurité) et au CSIRT de son État membre (l’équipe publique de réponse aux incidents, CERT-FR pour la France), via la plateforme de signalement unique ;
• 72 heures : notification complémentaire, avec les éléments techniques et les mesures engagées ;
• rapport final : quatorze jours après la mise à disposition d’un correctif pour une vulnérabilité exploitée, un mois après la notification à 72 heures pour un incident grave.

Le texte apporte deux nuances. L’obligation de signaler s’impose à tous les fabricants, mais l’amende n’est pas la même pour tous (article 64(10)). Une microentreprise ou une petite entreprise qui dépasse les 24 heures n’est pas sanctionnée pour ce retard. Un intendant de logiciels ouverts (défini plus bas) n’encourt, lui, aucune amende, quel que soit le manquement. Enfin, l’article 14 vise les vulnérabilités « contenues dans » le produit : une faille exploitée dans une dépendance n’est à signaler que si le produit embarque le code vulnérable et que ce code y est effectivement atteignable. Une bibliothèque vulnérable dont le code fautif n’est jamais exécuté par le produit n’a pas à être signalée.

Côté outillage, la plateforme de l’ENISA ouvre aujourd’hui sans API : les signalements se saisissent à la main, en texte, dans une vingtaine de champs, et aucune pièce jointe n’est acceptée.

Deux définitions du règlement

Le texte français des articles et des annexes n’emploie pas une seule fois l’expression « open source ». Voici l’article 3, point 48) :

« logiciel libre et ouvert » : un logiciel dont le code source est partagé de manière ouverte et qui est mis à disposition sous licence libre et ouverte prévoyant tous les droits pour qu’il soit librement accessible, utilisable, modifiable et redistribuable ;

La définition pose deux conditions : une licence libre, et le partage ouvert du code source. Du code sous licence libre remis au seul client qui l’a commandé, sans publication, remplit la première condition et pas la seconde : il n’est pas « logiciel libre et ouvert » au sens du règlement. La FAQ officielle de la Commission le confirme pour le développement sur mesure : livrer à un client un logiciel écrit pour lui est une mise sur le marché, le prestataire qui le livre sous son propre nom en est le fabricant, sans aucun des allègements réservés au libre. Il peut seulement aménager par contrat deux des exigences essentielles de sécurité (question 4.2.5). La FAQ de l’ORC WG, le groupe de travail de la Fondation Eclipse qui suit le règlement pour l’écosystème du libre, ajoute, sur la base de l’orientation, qu’installer, configurer ou intégrer un logiciel existant pour un client reste une prestation de service.

L’article 3, point 14), crée une catégorie juridique inédite :

« intendant de logiciels ouverts » : une personne morale, autre que le fabricant, qui a pour objectif ou finalité de fournir un soutien systématique et continu au développement de produits spécifiques comportant des éléments numériques qui répondent aux critères de logiciels libres et ouverts et sont destinés à des activités commerciales, et qui assure la viabilité de ces produits ;

Le mot « steward » s’est imposé dans l’usage, y compris en français. Le statut est réservé aux personnes morales, sans condition de forme ni de but : une association loi de 1901, une fondation ou une société commerciale peuvent y prétendre. Le considérant 19 (les considérants forment l’exposé des motifs qui ouvre le règlement) vise expressément les entités qui développent et publient du logiciel libre dans un cadre professionnel. La FAQ de l’ORC WG répond sans détour qu’une société peut être intendante.

Reste le cas de la société qui est aussi fabricant, le plus courant chez les éditeurs. Les versions linguistiques y divergent. L’anglaise dit « a legal person, other than a manufacturer » : une personne morale qui n’est pas un fabricant, ce qui interdit d’être fabricant d’un produit et intendant d’un autre. La française dit « une personne morale, autre que le fabricant » : autre que le fabricant des produits soutenus, ce qui autorise le cumul en général mais l’interdit pour un même produit, précisément le cas courant de l’éditeur qui vend une édition de son logiciel et publie l’autre. Les vingt-quatre versions linguistiques ont la même valeur juridique. Sur ce point, elles ne disent pas la même chose. L’orientation de juillet 2026 va plus loin que l’une et l’autre : la même entité peut être fabricant de l’édition qu’elle monétise et intendante de l’édition communautaire du même logiciel. Tant mieux pour les éditeurs. Mais un document sans valeur contraignante accorde ainsi ce qu’aucune version du règlement ne dit. Sur le point le plus disputé du texte, le législateur a laissé deux versions qui se contredisent. L’édifice tient par une orientation que la Commission peut réviser.

Ce que l’écosystème a obtenu depuis 2023

Les contributions et les dons. Le considérant 18 exclut du règlement ceux qui contribuent à un logiciel qui « ne relève pas de leur responsabilité ». Un logiciel relève de la responsabilité de celui qui le publie et contrôle son développement, ses versions et sa distribution ; un accès en écriture au dépôt ne suffit pas. Un salarié qui envoie un correctif à un projet tiers pour le compte de son employeur reste un contributeur hors champ. Qui est payé pour le logiciel est fabricant ; qui est payé pour travailler sur le logiciel est prestataire, ou contributeur. Afficher un lien de don ne vaut pas intention de faire du profit ; les dons ne deviennent suspects que si l’ensemble des revenus du projet dépasse de loin ses coûts, dans lesquels entrent les frais de subsistance raisonnables du mainteneur.

L’intendant. L’article 24 lui impose trois choses : une politique de cybersécurité documentée et vérifiable, la coopération avec les autorités de surveillance du marché, et le signalement de l’article 14 dans la mesure où il participe au développement, si bien qu’un intendant purement financier ou juridique ne signale rien. Il le dispense de tout le reste : ni exigences essentielles de sécurité de l’annexe I, ni marquage CE, ni documentation technique, ni SBOM (l’inventaire des composants d’un produit), ni obligation de corriger. L’article 64(10)(b) l’exempte de toute amende.

Les modèles économiques. Le cas du bénévole isolé était pour l’essentiel acquis dès la proposition initiale de septembre 2022. La difficulté la plus sérieuse portait sur les éditeurs qui vendent de la maintenance sur ce qu’ils publient librement. C’est pour eux, plus que pour les bénévoles, que les associations professionnelles comme le CNLL ont bataillé. La réponse figure dans l’orientation, avec la fragilité relevée plus haut : les rôles s’apprécient logiciel par logiciel et activité par activité, y compris en open core (cas où l’édition payante étend la base de code de l’édition libre et ouverte). La condition est que les deux éditions soient réellement séparées : dépôts, artefacts et canaux distincts.

Les obligations vis-à-vis des mainteneurs

L’article 13(6) impose aux fabricants une obligation envers les mainteneurs des composants qu’ils intègrent. Le voici, deux renvois en moins :

Lorsqu’ils identifient une vulnérabilité dans un composant, y compris un composant logiciel ouvert, qui est intégré au produit comportant des éléments numériques, les fabricants signalent la vulnérabilité à la personne ou à l’entité qui assure la maintenance du composant […]. Lorsque les fabricants ont mis au point une modification logicielle ou matérielle pour remédier à la vulnérabilité de ce composant, ils partagent le code ou la documentation correspondants […], dans un format lisible par machine s’il y a lieu.

Le signalement est dû dans tous les cas. Le partage, lui, suppose que le fabricant ait effectivement développé une modification : s’il n’a rien écrit, il n’a rien à remettre. Et ce qu’il remet correspond à ce qu’il a fait, les deux « ou » de la phrase se répondant : le code pour une modification logicielle, la documentation pour une modification matérielle. L’orientation y ajoute des bornes : l’obligation ne porte que sur la version intégrée du composant et sur ses propres failles, elle s’exerce dans le respect de la politique de divulgation du projet, et elle tombe si le composant n’a plus de mainteneur. L’obligation ne dépend d’aucun lien contractuel entre le fabricant et le projet. Rien dans le règlement ne donne pour autant au mainteneur d’action propre pour l’exiger : la faire respecter revient aux autorités de surveillance du marché.

Ce qui n’est pas prêt

• Les normes harmonisées. Appliquer l’une d’elles vaut présomption de conformité : le fabricant est réputé satisfaire aux exigences qu’elle couvre, sans avoir à le démontrer autrement. Sur les 41 commandées aux trois organismes européens de normalisation (CEN, CENELEC, ETSI), aucune n’a encore été publiée au Journal officiel. Or l’article 27 ne fait naître la présomption qu’à cette publication. Trois projets sont en approbation (prEN 40000-1-1, -1-2, -1-3) ; le lot du catalogue d’exigences génériques a été mis en attente faute de contributeurs.
• Les attestations de sécurité du logiciel libre (article 25). Le règlement habilite la Commission à créer, par acte délégué (un texte d’application que la Commission adopte seule), des programmes volontaires d’attestation de sécurité pour le logiciel libre, afin de faciliter la vérification que les fabricants doivent faire des composants qu’ils intègrent, la « diligence raisonnable » de l’article 13, paragraphe 5. Le texte ne dit pas qui les financerait. L’ORC WG propose d’en faire le canal par lequel les fabricants paieraient les projets dont ils dépendent ; pour les projets libres, c’est l’absence la plus coûteuse. Aucun acte délégué n’a été publié ni planifié. En attendant, les référentiels de l’OpenSSF, la fondation de la Linux Foundation consacrée à la sécurité du logiciel libre, servent de justificatifs : Scorecard, Best Practices Badge, OSPS Baseline et SLSA.
• L’orientation elle-même. Elle n’existe qu’en anglais, n’a pas de valeur contraignante, et n’est pas encore formellement adoptée, faute des autres versions linguistiques. Tout ce que la section précédente lui attribue a la solidité d’une interprétation, que la Commission peut réviser et qu’un juge n’est pas tenu de suivre.
• Très peu de projets auront un intendant. Le rapport OSSRA 2025 de l’éditeur d’outils d’audit Black Duck, sur 965 bases de code commerciales auditées en 2024, y a dénombré 282 521 paquets JavaScript distincts. L’OpenJS Foundation héberge environ 35 projets. Un projet publie souvent plusieurs paquets, mais l’écart reste de plusieurs ordres de grandeur : la plupart des dépendances d’un produit n’auront ni fabricant ni intendant, et leur sécurité restera à la charge de qui les intègre.
• Le matériel libre. L’article 24 vise les logiciels : RISC-V International, l’OSHWA (Open Source Hardware Association) ou l’OpenHW Group ne peuvent pas prétendre au statut d’intendant.
• Les sanctions nationales. L’article 64 laisse aux États membres le soin de fixer le régime de sanctions, d’où des lois d’application nationales. Le règlement exempte les intendants de toute amende. Le projet de loi finlandais en prévoyait pourtant : le Parlement finlandais ne les a retirées qu’au printemps 2026.

Qui paie les mainteneurs ?

L'étude d’impact qui accompagnait la proposition de 2022 estimait qu’un cycle de développement sécurisé ajoute en moyenne 30,5 % au coût de développement d’un produit, pour un fabricant qui part de zéro : 42 700 € sur un produit moyen à 140 000 €. S’y ajoutent 9 % de coûts administratifs, documentation et signalement compris. C’est le « 30 % » que citait le CNLL en 2023. Aucune actualisation n’a été publiée depuis.

Le fabricant répercute ce surcoût sur son client, ou l’absorbe et cesse d’investir ailleurs. Le mainteneur n’a pas de client à qui le répercuter. Le travail lui arrive quand même. L’article 13(5) oblige le fabricant qui intègre un composant à en vérifier la sécurité ; beaucoup s’en acquittent en envoyant leurs questions au projet, sous forme de questionnaires de sécurité, de demandes de SBOM ou de délais de correction à confirmer. Hors champ du règlement, le mainteneur ne doit rien de tout cela. Rien n’oblige pour autant les fabricants à cesser : l’ORC WG en est réduit à plaider pour une « diligence respectueuse », qui ne traite pas un projet libre comme un fournisseur.

Le mécanisme d’attestation de l’article 25, seul canal de financement esquissé par le règlement, n’existe pas. La stratégie européenne pour l’open source du 3 juin 2026 annonce un « instrument de maintenance de l’open source », que l’écosystème réclamait sur le modèle du Sovereign Tech Fund allemand, sans budget ni calendrier.

Trois ans de mobilisation ont produit un règlement vivable pour le libre. Qui paie les mainteneurs dont il fait dépendre tout l’édifice, le texte ne le dit pas, et personne d’autre non plus, à ce stade.

Prochaine manche : le règlement sur l’IA

Le règlement sur l’intelligence artificielle exempte lui aussi les systèmes publiés sous licence libre (article 2, paragraphe 12), sauf s’ils sont mis sur le marché comme systèmes à haut risque. Or un système est classé à haut risque d’après l’usage auquel son fournisseur le destine. Le projet d’orientations publié par la Commission le 19 mai 2026 retient qu’un système présenté comme largement applicable, dont le fournisseur n’exclut pas de façon constante les usages à haut risque, est réputé les couvrir. Une simple déclaration, ajoute-t-il, ne suffit pas. Un composant d’IA publié en libre est mal armé pour ce test : son auteur ne maîtrise ni les usages ni les utilisateurs, et une licence qui restreindrait les champs d’application cesserait d’être libre (liberté 0 de la FSF, critère 6 de l'Open Source Definition). L’exemption s’évanouirait donc là où elle compte. Reste à savoir quel poids une autorité accordera aux limitations inscrites dans un README ou une fiche de modèle.

Commentaires : voir le flux Atom ouvrir dans le navigateur