Sujet
Légitimité institutionnelle
Au sein de la facette Sujet, la veille thématique Légitimité institutionnelle rassemble des articles qui partagent un même sujet, un même signal ou un même thème de suivi. Cette page offre aux lecteurs un parcours plus riche à travers les reportages associés, les preuves issues de sources publiques, les acteurs du marché et les implications pour l’infrastructure, avec suffisamment de contexte pour comprendre pourquoi le sujet compte pour les mouvements d’entreprises, les décisions de gouvernance, l’exposition régionale et le risque opérationnel. Les lecteurs peuvent comparer les signaux récurrents, les organisations concernées, les preuves publiques, le contexte du marché, la continuité de service, les achats, la concurrence, la conformité et les questions de planification stratégique liées au sujet, au lieu de se contenter d’une liste succincte d’articles correspondants. Elle explique ce que couvre le sujet, quels acteurs ou politiques de l’infrastructure sont impliqués, quelles preuves étayent la couverture et pourquoi le sujet peut être important pour les opérateurs, les clients, les investisseurs et les lecteurs de politiques publiques.
Dossier
Une apostrophe a gêné les logiciels. Un nom céleste ne doit donc pas commander une route
L’astronomie peut parfaitement nommer un objet `1I/’Oumuamua`. Un système de routage, lui, doit savoir si l’apostrophe, l’alias, le numéro et l’objet observé désignent durablement la même destination — sans s’arroger le droit de trancher la question astronomique.
Dossier
Une date de dépréciation HTTP n’est pas un plan de migration client
Un service peut annoncer proprement qu’une ressource entre en dépréciation tout en continuant à répondre normalement. Entre ce signal et l’arrêt effectif subsiste tout le travail que l’en-tête ne peut pas accomplir: retrouver les consommateurs, éprouver le remplaçant et attribuer…
NANOG
La liste de diffusion est une salle d’exploitation, pas un parlement
La liste NANOG est légitime lorsqu'elle permet de comparer des faits, de corriger un diagnostic et de coordonner une réponse. Cette utilité ne donne pas aux intervenants le droit de parler au nom des réseaux restés hors du fil.
Dossier
Un fichier security.txt exige une preuve de fonctionnement du canal de signalement
Une date `Expires` encore lointaine rassure facilement un tableau de conformité. Elle ne dit pourtant pas si l'adresse répond, si le formulaire crée un dossier ni si quelqu'un en assume la garde. Il faut relier le document public à l'exploitation réelle sans confondre les deux.
Dossier
Le cadenas protégeait le message, pas chaque en-tête : la frontière du RFC 9788
Une réponse peut trahir un message pourtant chiffré si le logiciel confond l’adresse visible pendant le transport avec celle que l’auteur a protégée. Le RFC 9788 transforme cette ambiguïté en une chaîne de preuves vérifiables, champ par champ.
IETF
VIRP sort le pouvoir d’écriture de la passerelle, mais le droit à usage unique reste à construire
La révision 07 de VIRP déplace un pouvoir concret: la passerelle d’automatisation conserve une identité de lecture, tandis qu’un service distinct décide si une commande d’écriture peut atteindre l’équipement. Cette séparation réduit l’autorité permanente de la passerelle. Elle ne…
Dossier
Une déclaration OSPS Baseline exige une version, un niveau et une date
Dans un registre de fournisseurs, la mention « conforme à OSPS » paraît nette. Elle ne l’est pas encore: le référentiel évolue par versions, module ses exigences selon la maturité du projet et ne décrit qu’un état observé à une date donnée.
Dossier
Un audit d’AC n’est pas un verdict sur l’émission d’un certificat
Un rapport d’assurance annuel peut montrer que des contrôles d’autorité de certification ont été examinés sur une période définie. Il ne répond pas à lui seul à la question plus étroite qu’un tiers de confiance doit parfois poser: pourquoi ce certificat précis, pour ce nom et…
Histoire d'Internet
Le message avait atteint le système du partenaire. La transaction n’était pas acceptée : RFC 1865
Un accusé SMTP peut clore un transport sans clore une affaire. En 1996, le RFC 1865 expliquait aux utilisateurs de l’EDI qu’une connexion SMTP dédiée livrait directement au système du partenaire commercial et qualifiait cette livraison d’assurée. La formule décrivait une…
Dossier
Un déclencheur workflow_run de GitHub Actions n’est pas un verdict de confiance d’artefact
Un déclencheur `workflow_run` de GitHub Actions peut séparer utilement un contrôle amont d’un flux aval plus privilégié. Il ne prouve pas que le résultat amont, l’artefact repris en aval ou une opération ultérieure sur une cible sont dignes de confiance.
Dossier
Un jeton OIDC GitHub Actions n’est pas un verdict d’autorisation cloud
Un jeton OIDC de GitHub Actions peut porter l’identité d’un contexte de workflow vers un fournisseur externe. Il ne démontre pas, à lui seul, qu’une politique de confiance cloud a correspondu, qu’une session a été émise, qu’une ressource a permis une action ou qu’une cible a…
Histoire d'Internet
Avant la connexion, l’adresse devait dire qui paierait : RFC 1681
Une règle tarifaire découverte après usage n’est plus un choix préalable. En 1994, RFC 1681 imagina qu’un serveur Gopher puisse rediriger automatiquement un appelant vers une adresse payante sans lui présenter l’avertissement attendu. La parade proposée consistait à faire porter…
Dossier
Un groupe de concurrence GitHub Actions n’est pas un verdict de sérialisation du déploiement
Un groupe de concurrence GitHub Actions peut réduire des conflits entre jobs ou exécutions nommés. Il ne démontre pas, seul, l’ordre de toute action conséquente contre une cible ni l’effet de cette action.
Dossier
Une alerte Dependabot écartée n’est pas un verdict de remédiation
Une alerte Dependabot écartée consigne une décision de triage relative à un signal de dépôt. Cette décision peut être raisonnable. Elle ne prouve pas, à elle seule, qu’une dépendance a été corrigée, qu’un artefact a été livré ou qu’un environnement en exécution a changé.
Histoire d'Internet
Le RFC de la courtoisie répartissait les responsabilités, sans créer d’arbitre mondial
En 1995, l’Internet mit ses usages par écrit tout en refusant d’en faire une loi universelle. RFC 1855 se présentait comme un document d’information, non comme une norme, et comme un minimum que chaque organisation pouvait adapter. Cette modestie juridique cachait une…
Dossier
Une version PyPI retirée n’est pas un verdict de retrait du paquet
Le retrait (« yank ») sur PyPI modifie la manière dont un dépôt présente une version aux outils de sélection. C’est un signal utile, mais non une preuve que le paquet a été supprimé, compromis, révoqué ou abandonné par tous ses utilisateurs.
Dossier
Une NetworkPolicy Kubernetes n’est pas le verdict d’un flux réseau
Une `NetworkPolicy` Kubernetes peut déclarer avec précision les connexions de couche 3/4 qui devraient rester permises pour des Pods sélectionnés. Elle n’est pas la transcription d’une connexion donnée. Sa présence ne prouve ni qu’une implémentation CNI l’a appliquée à un instant…
Dossier
Un acteur pouvant contourner un ruleset GitHub n’est pas un événement de contournement
Un dépôt peut désigner à l’avance les personnes, rôles, équipes, applications ou clés capables de contourner un ruleset GitHub. C’est une décision de contrôle réelle. Ce n’est pas la preuve qu’un de ces acteurs a contourné une règle sur une ref déterminée, ni le procès-verbal…
Dossier
Retirer un collaborateur PyPI ne révoque pas un Trusted Publisher
Retirer une personne d’un projet est une décision d’accès réelle. Ce geste ne prouve pas, à lui seul, que les voies de publication automatisées ont été retirées.
Dossier
Une liaison de politique d’admission Kubernetes n’est pas un résultat d’application
Une liaison rend une intention de contrôle lisible. Elle ne remplace ni la requête qui a été examinée, ni le chemin qui a produit une réponse, ni la preuve de persistance qui suit cette réponse.