Aujourd'hui, les entreprises font face à un double défi : garantir un haut niveau de sécurité tout en stimulant l'innovation logicielle. Pourtant, face à des cybermenaces toujours plus sophistiquées, l’approche « Shift Left » ne suffit plus à maintenir cet équilibre. Les équipes de développement ont besoin d’une approche plus globale afin d'assurer une sécurité optimale à chaque étape du cycle de développement logiciel, y compris lors des phases d’exécution et de déploiement. Depuis plusieurs années, l'approche « Shift Left » a permis aux équipes d’intégrer la sécurité en amont dans le cycle de développement logiciel, dès les premières phases. En intégrant directement des stratégies et outils de sécurité dans une plateforme de développement logiciel, chaque application bénéficie des mêmes garde-fous, garantissant ainsi une conformité uniforme aux normes de sécurité.

Cependant, cette approche a aussi introduit de nouvelles contraintes pour les équipes chargées du suivi. À mesure que les applications passent du développement à la mise en production, les efforts des développeurs en matière de sécurité ne sont pas toujours maintenus tout au long du cycle de vie des applications.

Aller au-delà de la sécurité en amont

Lors de la mise en place d'une plateforme de développement logiciel, une entreprise peut définir des modèles d'outils et des workflows conformes aux exigences de sécurité avec des stratégies intégrées. Ces workflows sont appliqués aux projets et les outils deviennent accessibles à l’ensemble des équipes. Cela permet de réduire ainsi les efforts redondants et les coûts indirects, tout en instaurant une approche proactive et globale de la sécurité sur l’ensemble du portefeuille logiciel. La sécurité reste l'affaire de tous, la faire évoluer vers des niveaux supérieurs de la pile technologique (approche « Shift-Up »)  permet une meilleure surveillance et une application plus homogène des règles de sécurité à l’échelle de l’entreprise. Surtout, cette approche garantit que les mesures de sécurité restent intégrées dans chaque projet, de la première ligne de code jusqu’à la production et au-delà.

Pourquoi privilégier une approche de sécurité intégrée au niveau de l'application ?

Alors que l’approche « Shift Left » vise à protéger le code dès les premières phases du développement, le modèle  « Shift Up » garantit l’extension de ces mesures de sécurité aux étapes ultérieures, comme le déploiement, l’environnement d’exécution et la post-release. Grâce à cette stratégie, les entreprises peuvent réduire considérablement les vulnérabilités en production et mieux anticiper leur gestion.

L’intégration précoce des protocoles de sécurité assure la conformité de toutes les activités de développement aux exigences réglementaires, limitant ainsi les risques d’amendes, de sanctions et tout autre impact négatif. Un logiciel plus sécurisé renforce également la confiance des clients, des partenaires et des parties prenantes, améliorant ainsi la réputation et la compétitivité de l’entreprise.

Voici trois mesures que les responsables du développement peuvent adopter pour faire évoluer l’approche « Shift Left » et sécuriser l’ensemble du cycle de développement logiciel :

1.   Développer des analyseurs de sécurité automatisés et réutilisables

Les équipes doivent concevoir des composants de test de sécurité automatisés, réutilisables et adaptables à différents projets et architectures d'application, au sein d'un environnement d'intégration continue (CI). Par exemple, la création de composants pour les tests statiques de sécurité des applications (SAST), les tests dynamiques de sécurité des applications (DAST), l'analyse des dépendances et l'analyse des conteneurs garantit la cohérence et limite la duplication des efforts.

L’introduction d’une couche d’abstraction entre les analyseurs de sécurité et leurs implémentations permet de standardiser les résultats avant qu’ils n’atteignent les équipes de développement. Cela centralise le contrôle des règles et des configurations de sécurité, facilitant l’ajout, le remplacement ou la mise à jour d’analyseurs de sécurité sans perturber les workflows. À long terme, cette approche offre aux entreprises un cadre de sécurité flexible et évolutif, capable de s’adapter aux exigences changeantes tout en maintenant une posture de sécurité unifiée à l’échelle de l’entreprise.

2.   Établir des stratégies de sécurité globales comme garde-fou

Il est essentiel d’établir des directives et des protocoles généraux pour normaliser les pratiques de sécurité dans tous les projets et équipes d’une entreprise. Ces stratégies jouent un rôle de garde-fou en fournissant un cadre structuré qui garantit un niveau de sécurité cohérent tout en laissant une certaine flexibilité pour s’adapter aux besoins spécifiques des projets.

La première étape consiste à définir les seuils de tolérance aux risques. Une fois ces seuils établis, des stratégies de sécurité conformes aux exigences réglementaires et aux normes internes doivent être mises en place. Ces stratégies doivent inclure des tâches obligatoires, appliquées automatiquement à tous les projets, telles que l’exécution de scans de sécurité. Conçues de manière modulaire, elles simplifient la gestion du portefeuille logiciel et permettent une adaptation plus agile aux divers besoins.

3.   Instaurer des contrôles d'approbation contextuels

Une fois les stratégies de sécurité mises en place, l’étape suivante consiste à bloquer la promotion du code lorsque des outils de sécurité détectent des vulnérabilités ou des risques inacceptables. Les résultats doivent être communiqués aux équipes de développement, et les portes d’approbation ne doivent être activées qu’en cas de nécessité.

Par exemple, si un scanner SAST identifie une vulnérabilité critique, le développeur doit soit la corriger, soit obtenir l’approbation de l’équipe de sécurité avant de poursuivre. En revanche, si aucune vulnérabilité n’est détectée ou si le seuil de tolérance au risque est respecté, le développement peut se poursuivre sans interruption. Cette approche permet de préserver la productivité des équipes tout en encourageant des pratiques de sécurité rigoureuses.

L’approche « Shift-Up » dépasse celle du « Shift Left » en intégrant des mesures de sécurité pérennes tout au long du cycle de développement logiciel. Elle permet de réduire les vulnérabilités, d’assurer la conformité et de renforcer la confiance grâce à l’automatisation des contrôles, des stratégies de sécurité globales et des processus d’approbation contextuels. Elle incarne une stratégie proactive et durable en matière de sécurité logicielle, essentielle pour les entreprises qui souhaitent maintenir l'équilibre entre sécurité et innovation rapide.

Vice-Président EMEA de GitLab

L'index TIOBE d'avril 2025 est disponible. Le podium est dans l'ordre : Python, C++ et C. Seul changement : C++ repasse devant C. Python pèse un quart des recherches sur les différents moteurs de recherches et sites de référence.

Dans le top 10, peu de changement : Delphi est 9, gagnant 2 places. SQL est 10e, perdant une place.

Python

C++

C

Java

C#

JavaScript

Go

Visual Basic

Delphi

SQL

R et Ada progressent fortement, PHP regagne 4 places.

Rappelons que cet index se base sur les requêtes et recherches. Il ne définit pas la popularité et l'usage réel de tel ou tel langage. 

En comparaison, GitHub publie chaque année son Octoverse. Le top 5 des langages les plus utilisés sur la plate forme est : JavaScript, Python, Java, TypeScript, C#

Le meetup Python Grenoble organise une soirée sur le thème "découvrir le craft Python par la pratique". 

Ce coding dojo est une invitation à découvrir ou redécouvrir les bonnes pratiques de développement en Python à travers la réalisation collective d’un projet simple. L’objectif n’est pas de produire un logiciel parfait, mais de progresser ensemble sur des notions clés du craft : lisibilité du code, découpage logique, tests, et design orienté objets. 

29 avril à Grenoble, à partir de 19h

Page du meetup : https://www.meetup.com/groupe-dutilisateurs-python-grenoble/events/307434071/

QEMU, environnement de virtuailisation, est disponible en version 10. Il peut exécuter de multiples OS et émulent plusieurs platesformes matérielles. Les nouveautés sont nombreuses :

- sur ARM, de nouvelles fonctions CPU sont supportés : FEAT_AFP, FEAT_RPRES, FEAT_XS

- sur RISC-V : le support de l'architecture RISC-V s'étend avec risc-v-iommu-sys, extension svukte, les extensions ssstateen, support sha, support de nouvelles CPU, dépréciation de la machine par défaut RISC-V

Sur LoongArch, Qemu, avec KVM, permet de faire du chargement à chaud des CPU. De nouvelles CPU Intel sont incluses dans la v10. Sur le Mac, l'accélération graphique est possible avec un host macOS. Cette fonction est valable sur les modèles Apple Silicon et Intel. 

Release note : https://wiki.qemu.org/ChangeLog/10.0

Elecrow lancera très bientôt une campagne de financement pour sa valise de prototypage rapide, Crow Pi 3. Ce boîtier contient une Pi, un écran 4,3'' et de nombreux capteurs : breadboard, capteur de luminosité, tilt, capteur ultrason, moteur de vibration, capteur tactile, etc. Les GPIO sont directement accessibles. Il est même possible d'installer une micro:bit, une Pico ou une Arduino Nano.

L'écran principale est un LCD 4,3'' mais on dispose aussi d'un écran 1,6''. L'écran principal est trop petit pour être réélement utilisé pour le codage des capteurs. La CrowPi 2, toujours disponible, utilise un écran bien plus grand : 11,6''. 

Le projet se propose aussi d'être une plateforme de découverte de l'IA avec DeepSeek, OpenAI et Gemini...

Le tarif n'est pas encore indiqué, espérons qu'il soit inférieur à la version 2. 

JFrog a publié rson rapport Software Supply Chain State of the Union 2025. Il dresse un panorama de la sécurité sur les plateformes de supply chain logiciels. Cette dernière étude confirme les problèmes de sécurité autour de l'IA et des modèles LLM qui ne cessent de progresser. 

"De nombreuses organisations adoptent avec enthousiasme les modèles ML publics pour stimuler l'innovation rapide, démontrant un engagement fort à exploiter l'IA pour la croissance. Cependant, plus d'un tiers d'entre elles comptent encore sur des efforts manuels pour gérer l'accès aux modèles sécurisés et approuvés, ce qui peut conduire à des négligences potentielles," a déclaré Yoav Landman, CTO et co-fondateur de JFrog. "L'adoption de l'IA va croître encore plus rapidement. Par conséquent, pour que les organisations prospèrent à l'ère de l'IA, elles doivent automatiser leurs chaînes d'outils et leurs processus de gouvernance avec des solutions prêtes pour l'IA, garantissant qu'elles restent à la fois sécurisées et agiles tout en maximisant leur potentiel d'innovation."

Principaux éléments du rapport :

• une combinaison de vulnérabilités de sécurité menace la chaîne d'approvisionnement logicielle : on peut citer les multiples CVE, les packages malveillants (qui se multiplient partout), les expositions de secrets, et les mauvaises configurations/erreurs humaines. Par exemple, l’équipe de recherche en sécurité de JFrog a détecté 25 229 secrets/tokens exposés dans des registres publics (augmentation de 64 % par rapport à l'année précédente). La complexité croissante des menaces de sécurité logicielle rend plus difficile le maintien d’une sécurité cohérente dans la chaîne d'approvisionnement logicielle.
• La prolifération et les attaques des modèles AI/ML augmentent : En 2024, plus de 1 million de nouveaux modèles ML ont été ajoutés sur Hugging Face, accompagnés d'une augmentation de 6,5x des modèles malveillants, ce qui indique que les modèles AI et ML deviennent de plus en plus une cible privilégiée pour les acteurs malveillants.
• La gouvernance manuelle des modèles ML augmente les risques : la majorité des entreprises (94 %) utilisent des listes certifiées pour gouverner l'utilisation des artefacts ML, mais plus d'un tiers (37 %) de ces entreprises s'appuient sur des efforts manuels pour créer et maintenir leurs listes de modèles ML approuvés. Cette dépendance excessive à la validation manuelle crée de l'incertitude sur l'exactitude et la cohérence de la sécurité des modèles ML.

• Le manque de scans de sécurité est un véritable angle mort : la situation est à la fois alarmante et incomphérensible ! Seulement 43 % des professions de l'IT disent que leur entreprises réalisent des scans de sécurité à la fois sur le code et les binaires. Il y a un mieux par rapport à 2024 mais ce n'est pas glorieux pour les entreprises

• Les vulnérabilités critiques continuent d'augmenter : En 2024, les chercheurs en sécurité ont divulgué plus de 33 000 nouveaux CVE, soit une augmentation de 27 % par rapport à 2023, dépassant le taux de croissance de 24,5 % des nouveaux packages logiciels. Cette tendance soulève des inquiétudes car le nombre croissant de CVE augmente la complexité et la pression sur les développeurs et les équipes de sécurité, pouvant freiner l'innovation. Par ailleurs, l’équipe de sécurité de JFrog a constaté que seulement 12 % des CVE de haut niveau notées "critiques" (CVSS 9.0-10.0) par les organisations gouvernementales justifient le niveau de sévérité critique qui leur a été attribué, car elles sont susceptibles d'être exploitées par des attaquants₁. Ce modèle est préoccupant en raison d'une méthodologie de notation centralisée et inchangée au fil du temps, ce qui augmente le risque de faux positifs dans les évaluations et contribue à la "fatigue de vulnérabilité" chez les développeurs.

  Le manque de visibilité sur l'origine des codes utilisés est toujours d'actualité (le vibe coding va contribuer à faire exploser ce problème) et constitue une réelle menace pour l'intégrité des apps. Tout comme, il est totalement anormal de télécharger des extensions et des templates pour son IDE sans un minimum de vérification. 

  Les hacks et vulnérabilités concernent les OS, les langages, les frameworks, les codes ! 

La mort du mainframe, et du Cobol, est annoncée chaque année depuis 25 ans. En automne 2024, Rocket Software, avec le cabinet Forrester, avait mené une étude auprès de 300 responsables IA, surtout aux Etats-Unis autour du mainframe et de la modernisation des applications. Résultat : le refactoring d'apps mainframe échouent souvent dès les premières tentatives. Le constat est sévère : 90 % des tentatives de réécriture échouent et 50 % des répondants affirment que les échecs successifs freinent ou ont freiné toute tentative de transformation de l'IT et des assets techniques. 

Plusieurs causes sont cités par l'étude :

- un manque de compétences mainframe, Cobol et sur toutes les couches liées

- complexité de l'environnement legacy et une stratégie trop complexe

Moderniser un environnement mainframe / cobol / système z est tout sauf facile. Dire le contraire c'est méconnaître la réalité ou alors il s'agit de petits projets non critiques. Et encore, ces projets peuvent être lancés si les équipes savent ce qu'il y a réellement dans la boîte car parfois la documentation technique n'existe pas, aucune cartographie des couches et des applications existe, etc. 

Au lieu de tenter une modernisation profonde, elle consiste à faire cohabiter le mainframe / cobol avec des environnements modernes. Une approche hybride est le plus souvent déployée, une minorité d'entreprises décide de déprovisionner le mainframe et une partie des applications liées. 

Réécrire les applications ? C'est souvent un saut vers l'inconnu et le chantier peut se révéler particulièrement complexe. Et les échecs sont nombreux. Redévelopper de zéro ? Toujours possible mais c'est long, difficile et hasardeux, surtout si le fonctionnement du legacy est mal compris et que la cartographie de l'application n'est pas fiable, ni complète. Une application Cobol (ou autre) peut avoir des dizaines, voire, des centaines de dépendances avec d'autres services et applicatifs. 

Parmi les défis avant toute modernisation :

- comprendre (réellement) son système legecy

- avoir les bonnes compétences

- penser aux données, aux modèles de données : bref, quid de la migration des données, des bases, des tables, etc. ?

- Quels risques pésent sur le bon fonctionnement de l'entreprise ?

- définir un budget et une planning réaliste : une modernisation peut coûter très cher et durer plusieurs années. Une vision long terme est cruciale.

- avoir une architecture de modernisation claire et définie avant de lancer le chantier et ne pas en changer tous les 6 mois

Fin mars, Juan Lucas Barbier (un expert en modernisation et en systèmes mainframe) a raconté comment un projet de modernisation s'est crashé après 2 ans d'efforts. Le constat est sévère mais doit faire réflêchir : un DSI qui part et met à jour son CV, 2 années perdues et 70 millions $ dépensés pour pas grand chose... Barbier a vu trop de responsables IT et de dirigeants dire qu'ils vont tout moderniser, enterrer le mainframe et déployer une belle transformation numérique. Il rappelle un simple chiffre : 70 % des projets de modernisation du legacy échouent lamentablement. 

Les conséquences sont parfois catastrophiques :

- 40 % de surcoût qui pèsent sur le budget IT et bloquent d'autres chantiers et investissements

- à peine 50 % des promesses de modernisation sont réellement réalisés

Il rappelle un fait que nous répétons sans cesse depuis 20 ans à Programmez! : le mainframe et Cobol oui c'est moche, peu intéressant mais ils fonctionnement. Les transactions bancaires reposent sur ces systèmes. Des millions de lignes de code sont écrites chaque année pour maintenir et mettre à jour les apps Cobol.

Mais pourquoi autant d'échecs ? Barbier tire, de son expérience, 3 remarques :

- certains consultants, dirigeants et DSI disent : ce n'est que du code... Puis il découvrent la plomberie : les règles métiers, les dépendances, tout ce qui n'est pas documenté et parfois des applications que personne ne sait à quoi elles servent mais elles sont là

- le syndrome du PowerPoint vs réalité : le remède (= la modernisation) peut être pire que la maladie (= mainframe / cobol)

- on fonce et on casse tout : le risque est de détruire des systèmes qui fonctionnement parfaitement. Une approche plus douce serait préférable pour migrer certains assets et garder ce qui fonctionne

Barbier n'est pas contre la modernisation mais pour lui, les entreprises qui réussissent la modernisation savent faire des compromis : si le core code fonctionne parfaitement, il ne faut pas y toucher. Le focus est mis sur l'intégration, les API, migrer ce qui est migrable sans casse. Tous les changements doivent être mesurés : le fameux ROI. 

Vous savez quoi ? Ce constat peut être à toutes applications PHP, Java, C#, C++ qui sont là depuis 10, 15, 20 ans...

Level 2 Jeff a proposé un défi sur sa chaîne YouTube : dépixelisation des images d'une vidéo. A la clé : 50 $. L'image était fortement pixelisée rendant toute identification impossible. Sauf qu'il n'a fallu que quelques heures pour réussir le défi ! KokuToru a publié sur son GitHub les méthodes utilisés. Ce qui est intéressant est l'approche différente (et complémentaire) entre les deux solutions du hacker. La première est une "attaque" par force brutale. Le plus difficile est de pouvir s'appuyer sur une image stable visible dans la vidéo du défi.

Dans la solution 1, le développeur utilise du TensorFlow pour extraire les pixels et toutes les données possibles de l'image puis de agréger pour tenter de reconstituer l'image. Il fallait extraire les frames avec ffmpeg puis les traiter par un templare. Cet test 1 repose sur 56 frames. Le résultat est loin d'être parfait mais avec un peu de concentration on peut lire certaines informations (l'image contenu le contenu d'un SSD).

La solution 2 se révèle bien plus puissante. Elle mêle algo, ffmpeg et GIMP. Comme le dit KokuToru, le test 2 s'appuie sur les principes du test 1 en trouvant une position dans la fenêtre automatiquement pour améliorer le traitement et avoir plus de données. Cette approche a permis d'extraire 200 frames. 

Et là, le résultat est beaucoup plus précis et surtout la dépixelisation permet une lecture facile du contenu !

Il a fallu à peine 4 heures pour aboutir à ces résultats.

Comme le dit Jeff, il aurait fallu un supercalculateur il y a quelques années. Aujourd'hui, entre l'IA et les outils disponibles, il est possible d'aller beaucoup plus vite même quand il s'agit d'une vidéo floutée. Pour Jeff, le fait d'avoir déplacé la fenêtre contenant les données à lire a permis de générer des données et des frames supplémentaires. Il ne pense plus appliquer un simple flou ou un effet de pixelisation à l'avenir. 

"La morale de l'histoire, c'est que si vous ne voulez pas que les gens lisent des données censurées… ne les publiez pas en ligne." conclut Jeff. 

Post de Jeff sur le travail de KokuToru : https://www.jeffgeerling.com/blog/2025/its-easier-ever-de-censor-videos

Les solutions de KokuToru : https://github.com/KoKuToru/de-pixelate_gaV-O6NPWrI?tab=readme-ov-file

Quelle surprise ! Une récente étude d'Azul indique que 83 % des DSI ayant répondus à l'étude disent dépenser plus que prévu dans les services cloud. Bref, il y a décalage entre le prévisionnel et la réalité. Pis, la moitié des DSI affirme que les dépenses cloud dépassent +25 %... Seulement 2 % affirme dépenser moins que prévu. 

Pourquoi un tel différentiel : le manque d'anticipation de certains workloads, la difficulté à maîtriser la complexe tarification du cloud, l'IA. Cependant, cela ne devrait pas empêcher le cloud de s'étendre et d'être toujours plus présent dans les entreprises.

Les débats sur les claviers sont sans fins. Personnellement, rien ne vaut les claviers mécaniques des années 80 et 90 pour la qualité de la frappe, le ressenti à la frappe, le caractère précis de la pression.

Cherry annonce un nouveau modèle de switch : le MX Northern Light. « C’est notre commutateur linéaire le plus abouti à ce jour, conçu pour celles et ceux qui nous ont inspirés », déclare Joakim Jansson, Head of Product Manager CHERRY. « MX Northern Light illustre parfaitement ce qui se passe quand CHERRY écoute sa communauté et repousse les limites de la précision mécanique. »

Avec cette annonce, Cherry propose un pack inédit : un clavier compact et un tapis souris dédié. 

Equipé de la dernière technologie MX2A, le switch intègre :

GitLab annonce que son service Duo est disponible avec Amazon Q. Cette solution intégrée est proposée en bundle aux clients GitLab Ultimate sur AWS. Cette version embarque directement les agents Amazon Q Developer au sein de la plateforme GitLab.

Pour GitLab, cette intégration répond à plusieurs défis :

●    Le développement autonome de nouvelles fonctionnalités
Transformation automatique des idées de fonctionnalités en merge requests prêtes à être intégrées, en quelques minutes : analyse des besoins, planification, et génération de merge requests conformes aux standards internes.

●    La modernisation des bases de code existantes
Automatisation de la refonte de bases de code Java 8 et 11 : création d’un plan de mise à niveau complet, génération de merge requests documentées avec traçabilité.

●    La remédiation des vulnérabilités de sécurité
Explication des failles, analyse des causes racines, et remédiation en un clic via des suggestions de modifications de code.

●    L’amélioration de l’assurance qualité
Génération automatique de revues de code pour améliorer la couverture de tests et la cohérence de qualité tout en réduisant la charge manuelle.

●    L’optimisation des revues de code
Accélération des cycles de relecture grâce à des retours en ligne, des suggestions d’amélioration et des alertes sur les performances et la sécurité.

FerretDB se présente comme une alternative open source à MongoDB. Il peut utiliser les pilotes MongoDB avec PostgreSQL. L'environnement se base justement sur PostgreSQL, comme SGBD backend. L'idée de FerretDB est de pouvoir utiliser les mêmes outils, pilotes, langage de requête que MongoDB. 

La motivation de FerretDB est de proposer une solution compatible open source et évite d'utiliser les fonctions avancées de MongoDB. FerretDB annonce une compatibilité avec les pilotes et les outils de MongoDB, à partir de la v5.x et le projet vise à améliorer les performances et à suivre les évolutions de MongoDB au fur et à mesure.

Cela signifie une roadmap fonctionnelle chargées. Chaque trimestre, une version apporte son lot de nouveautés. Pour le 1er trimestre, la version 2 est arrivée : licence Apache 2, support payant pour les entreprises, FerretDB cloud (sur AWS, GPC et Azure très bientôt). La 2.1.0 a été déployée el 3 avril avec des corrections de bugs et des performances améliorées sur DocumentDB. 

Pour en savoir plus : https://www.ferretdb.com/

La datagrid est un des objets d'interface les plus utilisés mais aussi parfois le moins pratique. Handsontable est une datagrid en JavaScript reprenant l'ergonomie d'un tableur. Il peut s'utiliser en JavaScript, TypeScript, React, Angular, Vue. Son apparence tableur est faite pour être plus familier aux développeurs et aux utilisateurs. Il permet d'éditer, de saisir, de modifier les données. On peut injecter toutes sortes de sources de données. 

La personnalisation est poussée : différents thèmes, API flexibles, internationalisation, raccourcis clavier, 400 formules de calculs, validation des données, fusion des cellules, etc. 

Installation ultra simple : npm install handsontable

Le projet est disponible en version 15.2.0. Cette version met en avant la stabilité et les performances. Le plugin filtre a été réécrit, la traduction a été améliorée en supportant totalement le Farsi. 

Note de version de la 15.2.0 : https://handsontable.com/blog/handsontable-15.2.0-stability-improvements

GitHub : https://github.com/handsontable/handsontable?tab=readme-ov-file

Fascinant ou inquiétant, un semi-marathon à Pékin un peu particulier a eu lieu : 21 robots humanoïdes ont courru la longueur du semi-marathon, soit 21 km. Il faut voir cette course comme une démonstration technologique pour la Chine. Tous les robots sont issus d'entreprises et de centres de recherches du pays. 

Cette course dédiée se tenait en parallèle à la course "réelle" avec 12 000 participants. Le parcours n'était pas le même car plusieurs typs de terrains ont été mis en place pour éprouver les robots et leurs capacités.

Plusieurs robots n'ont pas pu terminés : chutes, pannes de batteries. Il fallait que les robots courent ou marchent sur 2 pieds. Une équipe technique se tenait près de chaque robot pour les contrôler si besoin. 

La Chine a de grandes ambitions dans la robotique.

JetBrains annonce IntelliJ Scala Plugin 2025.1. Le principal intérêt de cette version est le support de nouvelles fonctionnalités de Scala 3. Scala est un langage fonctionnel. L'éditeur met à niveau son plug-in :

- support de la nouvelle syntaxe de Scala 3.6 sur les contexts bounds et givens. Pour faire simple, avant, il n'était pas possible de renommer un contexte à la même place où il a été défini. Le nouveau paramètre implicite permet de lever cette limitation.

- support de named tuples : avec Scala 3.7, le langage stabilise cette syntaxe

- meilleur rapport sur les erreurs

- fixation d'un bug ancien dans le debugger 

- poursuite du support des macros Scala

- meilleure complétion de code

Annonce : https://blog.jetbrains.com/scala/2025/04/16/intellij-scala-plugin-2025-1-is-out/

NVIDIA avait corrigée la vulnérabilité CVE-2024-0132 avec un joli score de 9 dans le niveau critique. La correction se révèle incomplète et permet, en cas d'exploitation réussie, de mettre les données en danger. Cette faille permet d'avoir un accès non autorisée d'un conteneur. La vulnérabilité avait été dévoilée en septembre 2024 et rapidement patchée. Trend Micro a vérifié la résolution et conclut que le fix proposé n'est pas complet et qu'une faille est toujours présente. 

Elle concerne Docker sur Linux et permet de faire un déni de service. La faille est numérotée CVE-2025-23359. Plus grave, cette faille peut exposer les infrastructures et les données. Trend Micro a publié une analyse de la faille et propose même un exemple d'utilisation. 

En attendant une correction complète, Trend Micro conseille :

- réduire les accès API Docker

- désactiver tout ce qui n'est pas essentiel

- mettre en place un contrôle d'accès plus strict

- faire un audit des conteneurs et des interactions avec le système

Pour en savoir plus : https://www.trendmicro.com/en_us/research/25/d/incomplete-nvidia-patch.html

Alors que la version 5.3.4 avait été déployée le 3 avril dernier, la 5.3.5 a déployé dès le 5. Une régression fonctionnelle dans Autoprefixer pouvait apparaître dans Firefox à cause d'une sortie CSS non attendue. Pour le régler, un bug fix a été rapidement préparé. 

Pour rappel la 5.3.4 fixait plusieurs bugs connus. 

Annonce : https://blog.getbootstrap.com/2025/04/04/bootstrap-5-3-5/

Grosse frayeur hier : l'arrêt du financement du programme CVE (Common Vulnerabilities and Exposures), une des bases de données références des failles et vulnérabilités. MITRE est à l'origine du projet. Mais le contrat liant MITRE et le développement de CVE devait prendre fin. Après quelques heures de confusion, il a été annoncé que le gouvernement fédéral américain continuerait à financer CVE au moins pour les 11 prochains mois. Entre l'annonce de la fin du financement et la reprise du financement, une certaine panique s'est emparée des communautés sécurité.

Sans doute une réorganisation du projet sera nécessaire pour assurer l'avenir de la base CVE qui recense des milliers des failles et qui est consultée par les développeurs, les experts en sécurité, les éditeurs, etc. 

PyCharm 2025.1 est une mise à jour majeure. L'éditeur annonce l'unification des différentes éditions en combinant les versions Community et Professional en une seule édition. Cela va simplifier la gamme incluant le support de Jupyter. Les fonctions de base sont gratuites, les fonctions avancées seront accessibles avec une souscription Pro. 

Cette version propose aussi Junie, un agent de codage créé par JetBrains. Il est disponible via JetBrains AI. Il peut écrire, corriger et tester du code. L'éditeur mise sur l'IA dans les différents IDE dont PyCharm. Pour faire tourner les projets de machine learning, nous pouvons maintenant utiliser Cadence, une infrastructure hardware en mode cloud et tout est fait pour simplifier son usage. Pour la manipulation des données, PyCharm introduit Data Wrangler. Pour la gestion des projets Python, l'outil introduit le support de Hatch. Il peut migrer automatiquement les configurations, créer des environnements isolés, etc. 

Côté PHP, PhpStorm 2025.1 est disponible. L'outil améliore les annotations, la complétation du code. Côté debug, l'outil simplifie la configuration de Xdebug. Par exemple si Xdebug n'est pas installé, PhpStorm s'en occupe... La version 2025.1 peut maintenant découvrir elle-même le chemin de son Worpress et l'ajouter automatiquement dans les paramètres. A noter aussi des évolutions sur le support de Vue et Nuxt. 

JetBrains a publié un post sur l'état actuel de K2 Mode dans IntelliJ IDEA 2025.1. L'éditeur a introduit une nouvelle implémentation de Kotlin. Il s'agit d'une évolution majeure pour le support de Kotlin dans l'IDE. Ce travail a permis d'améliorer les performances et surtout d'avoir une fondation solide pour les futures évolutions. 

K2 Mode est, comme le rappel l'éditeur, un effort de long terme sur le support du langage dans l'IDE. Cette nouvelle implémentation doit faciliter l'intégration des évolutions du langage plus rapidement et de manière plus stable. Et surtout, l'éditeur mise tout sur K2 : cela signifie que les nouvelles fonctionnalités de Kotlin seront disponibles que dans K2. Par défaut, IntelliJ IDEA 2025.1 propose par défaut K2 Mode. Il est aussi disponible sur Android Studio. 

Post complet : https://blog.jetbrains.com/idea/2025/04/k2-mode-in-intellij-idea-2025-1-current-state-and-faq/

Nous faisons le point sur l'actualité de Suse avec Cyril Cuvier. Nous parlerons IA, Rancher, Suse en France, etc.

VirtualBox 7.1.8 prépare l'arrivée du noyau Linux 6.14. Il s'agit pour le moment d'un 1er support. L'outil de virtualisation open source est disponible sur Linux, macOS et Windows. Le support de Linux 6.14 est possible sur les machines virtuelles Linux s'exécution sur VirtualBox. Cette version corrige aussi des bugs. 

Outre Linux 6.14, VirtualBox supporte aussi le noyau RHEL 9.4. 

Note de version : https://www.virtualbox.org/wiki/Changelog

Pinta est un logiciel de dessins et de retouches d'images open source. Il peut remplacer Paint ou Gimp, éventuellement Photoshop. La v3 est un changement majeur : nouvelle interface, plus moderne, plus cohérence, migration vers GTK4 et libadwaita. GTK est un ensemble complet pour créer des interfaces. La migration vers GTK4 a permis de remettre à niveau l'interface du logiciel. La v3 corrige des dizaines de bugs. 

La gestion des calques a été améliorée : par exemple, à la sauvegarde, on est enfin prévenu si un risque de fusion existe... Pinta 3 réintroduit les extensions. Et on bénéficie aussi de nouveaux effets et filtres. Cette v3 ajoute un installeur Arm64 sur Apple Silicon.

Site : https://www.pinta-project.com/

Python sait tout faire ou presque. Alors, pourquoi pas faire directement du Python sur les navigateurs ? Plusieurs outils permettent de le faire. Un des plus connus est brython (Browser Python).  Il s'agit d'une implémentation de Python 3 destinée à s'exécuter sur son navigateur. Brython supporte la syntaxe Python 3 et les modyles CPython. Il s'interface avec DOM et on insère le code Python dans les balives HTML5. 

Pour : Python 3, DOM

Contre : les performances, peu répandu, ne remplace pas tout le front

L'autre solution est de faire une transcompilation de Python vers JavaScript. C'est le principe de Transcrypt. Il promet de meilleures performances et un accès aux libs JS et même une intégration avec React. Transcrypt met en avant : la clarté de la syntaxe, la montée ne charge et le fait de passer par un seul langage. Site : https://www.transcrypt.org/

Pyodide est un portage de CPython vers WebAssembly / Emscripten. Il permet donc d'exécuter des packages Python sur le navigateur avec micropip. Il vient avec une interface JS - Python pour mixer les deux mondes en minisant les frictions. Site : https://pyodide.org/en/stable/

Bref, 3 outils, 3 approches différentes pour une même cible : faire tourner du code Python sur son navigateur.

Source : https://dev.to/maryalice/python-browser-compilers-5dg5 

Il y a 30 ans, les Amiga sombraient avec la faillite de Commodore. En 2025, des développeurs continuent à maintenir l'AmigaOS. Le 10 avril dernier, la version 3.2 update 3 a été déployée par le belge Hyperion Entertainment. AmigaOS 3.2 a été lancé en 2021. Cette version cible les modèles à processeur 680x0 et propose aussi des améliorations pour les cartes PiStorm. 

Cette version a connu des soucis de conception suite à problèmes financiers de l'éditeur. La 3.2.3 propose des couleurs en haute résolution, une refonte de nombreuses classes et API, un TextEditor plus souple avec la possibilité d'ajouter un menu personnalisé. La ROM KickStart arrive lui aussi en version 3.2.3. En tout, plus de 50 bugs ont été corrigés.

Cette mise à jour est disponible pour les utilisateurs enregistrés.  

Annonce : https://www.hyperion-entertainment.com/index.php/news/1-latest-news

.Net 10 est en plein développement. La Preview 3 est disponible depuis le 10 avril. Cette version propose de nombreuses évolutions : 

- introduction d'un AOT Safe Construction pour ValidationContext

- OpenTelemetry : support des Schema URL dans ActivitySource et Meter

- Dans la CLI --interactive devient interactif

- complétion dans les scriptions : dans la CLI

- support Microsoft Testing Platform dans dotnet test, CLI

- peu d'évolutions sur C# et F#, rien sur VB

- MAUI : des API sont dépréciées (ListView, Cell et TableView), sur Android, possibilité de faire de la lecture vidéo en plein écran, sur la partie Apple, support de Xcode 16.3

- Windows Form : correction de bugs

- WPF : correction de bugs, performances améliorées, nouveaux contrôles Fluent

Note de version complète : https://github.com/dotnet/core/tree/main/release-notes/10.0/preview/preview3

Google annonce Firebase Studio pour créer des apps  avec Firebase et Gemini. Firebase est un environnement utilisé par des millions de développeurs. Durant la conférence Next, Google a dévoilé Firebase Studio, en préversion pour le moment. C'est un outil cloud utilisant les agents IA et s'appuyant sur Gemini. Tout est fait pour pouvoir créer des applications IA de qualité. Pour Google, Firebase Studio est un mélange de Firebase et de Gemini. 

Pour faciliter le travail du développeur, plus de 60 modèles sont disponibles. Notre premier contact est un prompt pour définir ce que l'on veut créer. A partir du prompt, le studio propose une réponse cela convient, on peut lancer le prototype (bouton prototype thsi app). De là, une fenêtre éditeur s'affiche et on voit tout ce qui est généré. Quand le travail est fini, on peut visualiser le code et publier l'app. Attention : le déploiement nécessite un compte de facturation. La génération n'est pas forcément propre. Des erreurs apparaissent dans la génération. Plusieurs langages sont supportés. 

On peut créer du code, modifier un code existant, travailler avec nos outils. Il faut s'habituer un peu à l'interface mais Firebase Studio est plutôt bien pensé. 

Google introduit aussi un GenKit pour ajouter de la GenAI dans les apps Node, Python et Go. Il permet de construire des templates pour Firebase Studio. 

Annonce : https://cloud.google.com/blog/products/application-development/firebase-studio-lets-you-build-full-stack-ai-apps-with-gemini?hl=en

La communauté Python a rendez-vous du 30 octobre au 2 novembre à Lyon. Cette conférence est organisée par l'AFPy. La conférence se scinde en 2 parteis : 

- 30 & 31 octobre : Les développeurs et développeuses de différents projets open source se rejoignent pour coder ensemble. Chaque personne est la bienvenue pour contribuer, et nous cherchons également à accompagner les débutantes. Participez au développement de votre projet préféré !

- 1er & 2 2 novembre : journées dédiées aux conférences, bonnes pratiques et ateliers

Site : https://www.pycon.fr/2025/fr/

Veux-tu coder tes apps multiplateforme en Python et les déployer en Flutter ? C'est la promesse du framework Flet. Flet UI est construit sur Flutter mais cherche à en simplifier le développement et son utilisation. Flet simplifie aussi l'architecture : on utilise Python. Mais d'autres langages sont prévus : Go et C#. Pour l'utiliser : un éditeur de texte suffit (pas exemple nano). Il faut juste installer Python, Flutter, Flet, pas besoin de SDK supplémentaires. L'application générée sur mobile est une PWA.

Le projet est jeune. La v1 est attendue pour cette année. Actuellement, la 0.27 est utilisable. Flet est en développement depuis 3 ans. 

Flet se définit comme un framwork pour créer des apps web, desktop et mobile en utilisant Python, sans besoin de maîtriser le front. Les composants UI de Flet s'appuient sur Flutter. 

L'installation est rapide :

pip install flet

Attention : si vous êtes sur Mac, mettez pip3 et non pip (merci Python 3). Nous créons l'exemple counter.py, pour le run, nous passons par python3 county.py, et non le flet run.

Flet n'est pas sec ni complet mais l'idée de lier Python et Flutter. Maintenant, reste à passer en version stable et voir si la communauté suit ou non. 

Découvrir Flet : https://flet.dev/

OpenSSL passe en version 3.5.0. Cette version corrige quelques bugs mais la liste est courte. Mais attention : cette version apporte des changements qui peuvent casser les déploiements actuels. Réaliser un PoC avec de mettre à place.

Quelques changements : 

- pour les apps req, cms et smime, le projet utilise aes-256-cbc à la place de des-ede3-cbc

- les listes groupes TLS incluent les groupes hybrides PQC KME. Attention : les groupes non utilisés seront retirés de la liste par défaut

- support du serveur side QUIC

- nouveaux algos PQC

- toutes les fonctions BIO_meth_get_*() sont dépréciées

Note de version : https://github.com/openssl/openssl/releases/tag/openssl-3.5.0

FreeDOS est un OS compatible MS-DOS et les autres variantes de DOS. Il est open source. L'idée est de pouvoir utiliser les logiciels et les jeux MS-DOS et pourquoi pas écrire de nouveaux logiciels... 

La version 1.4 est le dernière en date. Cette version inclut une mise à jour de FreeCOM, un installeur et une aide au format HTML. La 1.4 améliore aussi FIDSK, JEMM, le ZIP, etc. Les nouveautés sont très intéressantes : https://freedos.org/download/announce.html

Vous pouvez l'installer sur une machine physique ou l'utiliser avec VirtualBox, 86Box, Qemu, etc. 

L'ANSSI publie toute sorte de conseils et de bonnes pratiques. Aujourd'hui, l'ANSSI te propose 10 règles d'hygiène numériqe pour son smartphone. 

Devoxx est le événement développeur du printemps. Durant 3 jours, des centaines de conférences vous attendent. Petite sélection de sessions :

- L’INTELLIGENCE ARTIFICIELLE N’EXISTE PAS : 16 avril à 9h

- LES LLMS REVENT-ILS DE CAVALIERS ÉLECTRIQUES ? : 18 avril à 9h35

- session "mode éco" dans son app avec le plugin flutter eco mode, 16 avril ) 13h

- session "Hacker-Proof : renforcez la sécurité de votre code en 15 minutes", 16 avril 12h35

- marre des null en Java, découvrez nullwaway, 17 avril à 17h

- coder avec peu, une session Nintendo ! 16 avril 10h30

- 30 ans d'hello world en java, 18 avril 10h30

- générateurs et itérateurs en Go, 16 avril 12h35

- booster le démarrage des apps Java, 17 avril à 11h35

- une librairie de composants UI sur mobile, 17 avril à 11h35

- TUI pour tout le monde, 17 avril, 13h30

-  Jib : Dockerless pour vos projets Java, 17 avril, 17h

- DuckDB, 18 avril à 10h30

Programmez! est partenaire média de Devoxx. Et nous serons présents sur le stand Technosaures avec beaucoup de surprises vintage !

Rendez-vous au stand G05

Site : https://www.devoxx.fr/

Tu aimes TypeScript ? Le meetup Paris TypeScript revient le 13 mai avec 3 sessions !

Talk #1 : Prise de parole en public, comment réussir son talk ?

Talk #2 : Tests d'acceptance fiables et lisibles en TypeScript

Talk #3 : Détecter les bugs depuis son IDE: TSDoc et autres recettes pratiques

Quand : 13 mai à partir de 19h

Où : Algolia 55 Rue d'Amsterdam · Paris

Détails : https://www.meetup.com/fr-FR/paris-typescript/events/307201552/

Les datacenters se multiplient. Le journal the Guardian explique que ces nouveaux sites s'installent dans des zones au risque l'eau manque ou en faiblesse hydrique. Or, avec le free cooling et le liquid cooling, l'eau est indispensable au refroidissement. Le journal anglais dit que les nouveaux projets sont nombreux dans les zones géographiques stressées : Arizona, Afrique du Sud, Golfe et Arabie, Espagne, Inde du nord, etc. 

La publication du Guardian s'appuie sur l'étude de SourceMaterial, une ONG. L'eau est un réel problème car plus le datacenter est grand et situé dans une zone où les températures sont élevées, plus il faut refroidir les infrastructures même si la température de fonctionnement est bien plus élevée qu'il y a 15 ans. 

Selon les données publiées par le journal anglais, plus de 270 nouveaux datacenters sont en projets ou en constructions. Cependant, il est dommage de parler uniquement d'Amazon, Microsoft et Google car de nombreux datacenters sont construits et opérés en dehors de ces fournisseurs. Il faut pondérer les données : les nouveaux datacenters dans les zones en déficit d'eau (actuel ou à venir) représentent actuellement environ 8 % des projets en développement et 10 % des sites en production. 

Plusieurs raisons expliquent ces constructions dans ces zones : les espaces disponibles, les avantages fiscaux et les facilités d'investissements ou encore l'ensoleillement. Ces sites bénéficient, notamment dans les Etats américains, d'autorisations d'usage de l'eau avec des quotas officiels. Pourquoi pas ne pas construire dans des zones tempérées où la température moyenne permettrait de réduire l'usage d'eau ? Les espaces disponibles sont moins nombreux et moins grands et la densité des datacenters y est parfois déjà élevé ainsi que la densité urbaine.

En parlant datacenter, où en sont les 35 nouveaux sites français promis en février dernier ?

Source : https://www.theguardian.com/environment/2025/apr/09/big-tech-datacentres-water?fbclid=IwY2xjawJkD7lleHRuA2FlbQIxMQABHtfHUpR1ulEZG-vNhSGtPXY3RFa4yvnYEgms4d6F4FPSDrMWzjamXUISwQyL_aem_VKoCv0afrY2-7feIZRJZtg

AWS Summit est l'événement annuel à Paris du géant du cloud. Sans surprise, AWS poursuit sa marche en avant sur l'IA. Les principales annonces :

- disponibilité du LLM Pixtral Large 25.02 de Mistral dans Bedrock

- Nova Sonic : un modèle d'IA pour créer des applications et agents vocaux

- Q Developer : accessible dans plusieurs langues

- Llama 4 est disponible sur AWS

Q Developer est l'outil d'AWS pour créer les documentations, les architectures, générer le code, etc. Le service supporte maintenant l'Anglais, le Chinois, l'Hindi et l'Espagnol. Toujours pas le Français par contre. Q Developer est disponible sur son IDE et les CLI. Sur Nova Sonic, c'est le nouveau modèle de la gamme Nova. Nova Sonic se dédie au speech-to-speech. Il cible les chats et le streaming. 

En poussant l'IA sur les services, AWS réaffirme en même temps son engagement en France pour promouvoir l'IA et la GenIA en général. Plus spécifiquement, AWS annonce un partenaire avec Safran pour innover en aéronautique et sur le spatial, grâce à l'IA. "La façon dont Safran adopte l'IA générative illustre parfaitement comment ces technologies avancées peuvent transformer l'industrie aéronautique," souligne Julien Groues, Directeur Général d'AWS France. "En combinant l'expertise métier de Safran avec la puissance du cloud et de l'IA d'AWS, nous ouvrons la voie à des innovations qui redéfiniront les standards de performance et de sécurité dans l'aviation." 

L'AWS Summit a été l'occasion de montrer le dynamisme de l'écosystème AWS que ce soit dans l'infrastructure, les bases de données ou encore les ESN et intégrateurs. Trois bémols : une partie purement développeur noyée dans la masse, l'absence du quantique qui est pourtant un des chantiers stratégiques et une partie green it / éco conception trop peu visible.  

Rider 2025.1 sera disponible très bientôt. La RC a été distribuée ce jour. Cette version supporte les préversions de .Net 10 et C# 14 ainsi que VB 17.13. Avec cette version, le développement distant sur un host Windows est disponible via JetBrains ToolBox App. On dispose aussi d'une nouvelle vue des fichiers dans l'explorateur de solution. On y gagne en clarté. Sur Roslyn, on peut explorer la structure du code C# comme l'arbre syntaxique en temps réel ou encore appliquer les suggestions de modification à travers les fichiers et les projets, en une unique étape. 

JetBrains continue à améliorer l'assistant IA : support des modèles GPT 4.5, Claude 3.7, Gemini 2. On peut aussi utiliser un modèle local (Ollama ou LM Studio). 

De nombreux nouveautés sont proposées : support du framework Noesis, mise à jour d'Unreal Engine, intégration d'Unity Profiler

Pour en savoir plus : https://blog.jetbrains.com/dotnet/2025/04/09/rider-2025-1-rc/

Profiler CPU Usage et Instrumentation supportent maintenant l'analyse multi-process dans une vue unique. Cela permet de voir l'activité CPU selon les différents processu en cours. On voit très rapidement l'activité avec des graphs permettant de visualiser les consommations et les ressources de chaque process. Cet exercice n'est pas toujours très facile. 

Désormais, on peut :

- avoir des graphiques distincts par couleur

- les détails de chaque process

- visualiser le process qui consomme le plus

- des filtres pour affiner l'affichage et les recherches de problèmes

- Identifiez plus rapidement les problèmes interprocessus grâce à une vue unifiée et simplifiée.

Post de l'équipe Visual Studio : https://devblogs.microsoft.com/visualstudio/multi-process-cpu-usage-analysis-in-visual-studio/

Voilà une bonne nouvelle : l'extension Genesis Code pour Visual Studio Code est disponible en version 1.5.2. Elle permet de coder "simplement" des jeux Sega Genesis (= Mega Drive) sur son éditeur favori. Genesis-code s'appuie sur SGDK/GENDEV ou MARSDEV. La configuration n'est pas forcément simple, notamment à cause des différentes variables d'environnement. 

L'extension permet de compiler et de builder les fichiers ROM, exécution le code via un émulateur, créer un nouveau projet, complétion de code, debug via GDB. 

Il faut installer un SDK Sega Genesis, configurer GDB et l'environnement. L'émulateur est directement acessible via l'extension. 

L'excellent SGDK est disponible en version 2.11. 

Site : https://marketplace.visualstudio.com/items?itemName=zerasul.genesis-code

Connaissez-vous le moteur d'animation anime.js ? Non ? C'est peut-être le bon moment pour le découvrir. La version 4.0.0 est disponible depuis quelques jours. Rien que les démos sont impressionnantes à voir : c'est rapide avec un rendu de haute qualité ! Il utilise les proprités CSS, SVG, les attributs DOM. L'installation est rapide et rapide : npm install animejs

anime.js se veut léger et totalement personnalisable tout en restant très polyvalent dans les usages. C'est assez bluffant. 

Il s'agit d'une version majeure : réécriture du projet, une nette amélioration des performances et de nombreuses nouveautés (times, animation, timeline, WAAP, SVG, etc.). Attention : la réécriture d'anime.js introduit aussi de nouveaux syntaxes et donc de la casse de codes.

Note de version : https://github.com/juliangarnier/anime/releases

A découvrir d'urgence : https://animejs.com/