IETF-W3C

L’attaque Rapid Reset a transformé une règle ordinaire de HTTP/2 en problème de responsabilité répartie. Le protocole pouvait être révisé, mais la fermeture du risque dépendait ensuite des implémentations, des éditeurs, des distributions et des opérateurs.

Le libellé « IETF–W3C » désigne une relation institutionnelle qu’il faut décomposer. Les documents publics attestent une coopération formelle et des mécanismes de liaison entre les deux organismes, mais ils ne démontrent pas qu’ils constituent une seule entité juridique ni qu’ils partagent une administration. Cette distinction détermine à qui adresser une objection, une demande de responsabilité ou un recours.

La renégociation TLS a été corrigée au niveau du protocole. La question restante est plus difficile : quelles preuves montrent que ce correctif a réellement atteint les bibliothèques, les équipements, les services internes et les chemins applicatifs qui utilisent encore des versions anciennes ?

L’étiquette IETF-W3C suggère parfois une institution unique. Les textes de référence décrivent pourtant deux systèmes de contrôle distincts : le processus de normalisation de l’IETF, ses organes et ses voies d’appel d’une part ; le processus technique, les accords d’adhésion et les instruments juridiques du W3C d’autre part. La question décisive n’est donc pas seulement qui publie une norme, mais quel instrument confère chaque pouvoir et qui peut contester son exercice.

Les standards de l’IETF ne font pas fonctionner directement les réseaux. Ils définissent plutôt les états, les échanges, les mécanismes de récupération et les dépendances de sécurité que les opérateurs doivent ensuite implémenter, maintenir et mesurer. Quand un chemin de routage disparaît, qu’un transport change de réseau ou qu’une validation DNS échoue, la continuité ne relève donc jamais d’une seule institution : elle se répartit entre les implémenteurs, les opérateurs, les systèmes de mesure et les organismes qui entretiennent les standards et les registres.

La franchise d’une réponse dépend parfois d’un détail d’architecture que le répondant ne voit jamais. W3C assure que les réponses à sa nouvelle enquête sont anonymes, mais ses deux questionnaires proposent aussi de laisser une adresse électronique pour un entretien ultérieur. Rien ne permet d’affirmer qu’un rapprochement a eu lieu. Ce qui manque est la preuve inverse : une règle publique montrant comment la réponse reste séparée du moyen de retrouver son auteur.

La nouvelle Recommandation WebAuthn Level 3 du W3C renvoie vers une photographie de tests à quatre colonnes. Le dossier de transition précise qu’une partie de l’implémentation diffère entre Chrome et Edge. Cette réserve évite un raccourci, mais elle reste sans coordonnées : ni fonctionnalité, ni couche technique, ni résultat ne permet de savoir où l’indépendance a été constatée.

La Recommandation *ARIA in HTML* mise à jour le 11 août renvoie vers un rapport public daté du 22 mars 2026. Or l’historique du fichier montre une refonte le 20 mai, puis une nouvelle modification le 27. Rien n’interdit que les observations aient été arrêtées en mars et publiées en mai. Encore faut-il nommer séparément la date des preuves et celle du document.

L’atelier que le W3C et GS1 consacrent au commerce électronique pour les humains et les agents d’IA va rapprocher plusieurs protocoles récents. Ses pages publiques révèlent déjà une difficulté de traçabilité : ACP y renvoie à deux objets distincts. Avant que les interventions ne nourrissent des conclusions ou des suites possibles, chaque mention devrait être accompagnée d’un identifiant léger précisant l’objet, sa version et son lieu de décision.

Faire exécuter le même test par deux équipes et retrouver la même note serait déjà un progrès pour l’évaluation des agents autonomes. Le nouveau Community Group du W3C en fait l’un de ses critères de réussite. Mais l’accord entre deux calculs ne dit pas encore si le test mesure la bonne propriété, si son seuil est défendable ni quelle institution peut transformer cette note en décision.

Le nouveau mandat de WebTransport contient une autorisation et une retenue. Il permet au groupe d’incuber des mécanismes pair-à-pair, tout en s’abstenant de leur donner un livrable normatif propre. Cet entre-deux n’est pas une lacune à combler par interprétation : c’est l’état public exact du travail au moment où commencent les expériences.

Une notification absente peut signifier deux choses opposées : un réglage voulu ou une panne. C’est le problème précis soulevé au W3C lorsque le groupe APA a demandé à ne plus recevoir de tickets de revue de charte en double. La solution n’est ni l’uniformité des boîtes de réception ni leur suppression silencieuse, mais un registre central qui dise où chaque groupe travaille et où se trouve sa réponse faisant foi.

L’appel du W3C pour un mini-atelier « Data Governance & Ownership » à TPAC 2026 ne se contente pas de demander ce qui dysfonctionne et ce que les standards du Web devraient faire. Il prévoit aussi qu’une proposition puisse être réorientée vers « AI and Society », « Age Assurance » ou une session indépendante. Ce tri peut rendre le programme plus cohérent. Il influe également sur le public qui entendra l’argument, les contributions auxquelles il sera confronté et sa place éventuelle dans un futur document du W3C. Cette trajectoire mérite donc une trace publique, sans être transformée en décision de normalisation.

La page que le W3C présente comme la charte en vigueur de l’Accessibility Guidelines Working Group fixe son terme au 28 août 2026. Quatre jours plus tard, un projet de procès-verbal consigne une résolution acceptant de nouvelles modifications de WCAG 3, puis le gel du document examiné avant un appel à consensus. Ce décalage ne démontre ni l’absence d’autorité ni l’absence d’une prolongation. Il révèle un défaut plus précis : dans les sources publiques consultées, aucun reçu ne relie la période de mandat affichée au travail qui continue.

Le dossier public du W3C présente la reconduction du Linked Web Storage Working Group comme dépourvue de changement substantiel. Il admet pourtant que le calendrier initial était excessivement optimiste et vise désormais une Candidate Recommendation fin 2026 ou début 2027, puis un régime de maintenance. Dans la version immuable du 5 août, ce régime n'est pas encore une règle : le paragraphe de maturité demande de choisir entre deux branches, cinq dates restent génériques et une chronologie FooML côtoie un livrable fictif. La phase de préparation n'est pas close. L'enjeu est de distinguer la continuité du périmètre de la disponibilité réelle du document soumis au contrôle institutionnel.

Deux comptes rendus publics ont classé la même séquence sans employer le même filtre. Le premier, au WHATWG, a constaté qu’aucune « objection » n’avait été formulée contre une consultation du W3C, tout en reconnaissant les réserves d’Intel ; les cinq API concernées sont donc entrées dans un nouveau workstream. Le second, publié deux jours plus tard par le W3C, a retenu que des « réserves » avaient été exprimées et que le consensus pour retirer ces API n’était pas acquis. Les deux organismes n’avaient ni la même proposition ni la même compétence. C’est précisément pourquoi le passage d’un vocabulaire procédural à l’autre devait être explicite.

Dans le W3C Math Working Group, une résolution adoptée en réunion possède deux dates : celle où les personnes présentes l’acceptent, puis celle où un appel à consensus peut la transformer en décision du groupe. L’intervalle d’une semaine protège la délibération asynchrone. Mais sa clôture ne doit pas effacer une distinction posée par le W3C Process lui-même : l’absence d’objection et le soutien actif ne sont pas la même preuve, et le silence est une abstention.

Une relation RDF tient en quelques caractères ; l’autorité qu’on lui prête peut engager un marché, un contrôle ou une politique publique. Le nouveau projet Profiles Vocabulary du W3C permet de déduire qu’une ressource conforme à un profil est aussi conforme à la spécification que ce profil décline. Or le 20 août, date de la première Working Draft publique, la règle n’avait pas encore une surface de preuve cohérente : axiome à risque, sens de la conformité laissé aux communautés, fichier Turtle sans l’axiome et tableau d’implémentation encore rempli de marqueurs provisoires.

Un pourcentage inspire vite une impression de couverture. Dans WCAG-EM 2.0, publié le 23 juillet par le W3C, les 10 % désignent pourtant tout autre chose : la taille de l’échantillon aléatoire par rapport à l’échantillon structuré conçu par l’évaluateur. Ils ne mesurent pas la part du produit examinée. Cette différence protège la méthode contre une promesse qu’elle ne fait pas — à condition que le dénominateur reste visible lorsque le rapport devient déclaration publique ou critère d’achat.

Une note peut éclairer une décision ou la prendre à la place du décideur. Le projet du W3C sur la durabilité du Web se situe précisément sur cette frontière. Le 6 août, son dépôt a remplacé « mesure » par « notation » ; le 18 août, un premier projet de Note de groupe a publié quatre appréciations par ligne directrice, puis les a additionnées. Le vocabulaire reconnaît désormais le jugement. Le total, lui, continue de masquer la nature de ce jugement.

Le correctif ouvert de la charte Web Machine Learning du W3C ne se contente pas d’ajouter un livrable associé à l’IA. Il ferait entrer dans le périmètre du Working Group l’enregistrement d’outils JavaScript, la médiation par le navigateur et des annotations déclaratives sur les formulaires HTML. Pourtant, le même diff ne modifie pas la liste des groupes avec lesquels une coordination technique est nommément prévue. Le dossier stratégique sollicite bien HTML, ARIA, l’accessibilité, la sécurité, la vie privée et l’architecture, et les échanges publics prouvent que l’examen a commencé. Il manque encore la carte qui attribue chaque décision transversale, son canal de communication et sa destination avant la revue par l’Advisory Committee.

Une correction encore ouverte dans la future charte WebRTC du W3C dissocie enfin trois questions que le projet condensait en une phrase : pourquoi arrêter WebRTC Identity, ce que SFrame accomplit réellement et ce qu’il advient des propriétés qui ne migrent pas. Le coprésident du Working Group qui a répondu à l’examen de sécurité admet que les deux technologies ne se remplacent pas et qu’aucun livrable du groupe ne reprend actuellement l’identité du pair, la liaison au destinataire et l’isolation du média. Ce constat ne commande pas de ressusciter l’ancien modèle. Il commande de ne pas transformer l’abandon d’un document en preuve de succession fonctionnelle.

Le W3C a ouvert le 19 août la phase d’affinement d’une nouvelle charte pour son Security Interest Group. Le projet trace une frontière nette : le groupe conseille, examine et publie des travaux relevant de son mandat, tandis qu’une possibilité destinée à la voie Recommendation doit passer à un Working Group compétent ou à un groupe d’incubation. Pourtant, les rubriques sur la participation et la communication parlent encore d’implémenteurs, d’éditeurs, de responsables des tests et de brouillons de spécifications sans rattacher ces rôles à une catégorie de document. C’est un défaut de projet réparable, pas la preuve d’un transfert de pouvoir déjà réalisé.

Le W3C a renouvelé jusqu’en août 2028 le mandat du groupe Web Performance. Le texte approuvé place deux jalons différents sur la route d’une fonctionnalité : des marques d’intérêt peuvent justifier son examen, tandis que le passage au-delà de Candidate Recommendation demande des implémentations indépendantes confrontées à des tests ouverts. Cette séparation évite qu’une intention, même sérieuse, soit présentée comme un résultat déjà reproductible.

Le décalage tient en deux dates. Le 29 juillet, cinq soutiens suffisent à lancer le Threats and Harms Community Group. Le 4 août, une note de l’Advisory Board du W3C présente encore la création de ce même groupe comme une éventualité. Ce n’est ni un scandale ni la preuve d’une fausse promesse. C’est un défaut de représentation de l’état : un texte de propositions ne dit pas qu’une de ses actions est déjà passée du conditionnel à l’existence.

Un calendrier incertain n’est pas nécessairement un mauvais calendrier. Dans le projet de charte du groupe Web Application Security, le W3C écrit noir sur blanc que l’achèvement de seize spécifications normatives est « indéterminé » ; la dix-septième renvoie à une intégration dans WHATWG Fetch sans indiquer de date. Cette prudence évite de fabriquer des promesses. Elle laisse toutefois sans réponse une question de gouvernance : qui revoit chaque prévision, à la suite de quelle décision ou dépendance, et à quelle date ?

Le futur foyer institutionnel de Web Speech API est désormais discuté publiquement. Pourtant, le texte qui devrait lui donner une place dans l’Audio Working Group conserve mot pour mot l’ancienne exclusion de la reconnaissance et de la synthèse vocales. Entre l’intention et l’autorité s’ouvre donc une transition qu’il faut documenter, sans annoncer prématurément une adoption ni transformer une incohérence provisoire en crise.