Sujet
Automatisation de la sécurité
Au sein de la facette Sujet, la veille thématique Automatisation de la sécurité rassemble des articles qui partagent un même sujet, un même signal ou un même thème de suivi. Cette page offre aux lecteurs un parcours plus riche à travers les reportages associés, les preuves issues de sources publiques, les acteurs du marché et les implications pour l’infrastructure, avec suffisamment de contexte pour comprendre pourquoi le sujet compte pour les mouvements d’entreprises, les décisions de gouvernance, l’exposition régionale et le risque opérationnel. Les lecteurs peuvent comparer les signaux récurrents, les organisations concernées, les preuves publiques, le contexte du marché, la continuité de service, les achats, la concurrence, la conformité et les questions de planification stratégique liées au sujet, au lieu de se contenter d’une liste succincte d’articles correspondants. Elle explique ce que couvre le sujet, quels acteurs ou politiques de l’infrastructure sont impliqués, quelles preuves étayent la couverture et pourquoi le sujet peut être important pour les opérateurs, les clients, les investisseurs et les lecteurs de politiques publiques.
Histoire d'Internet
Le serveur a répondu sans donner l’heure : quand NTP a appris aux clients à reculer
Le Kiss-o’-Death de NTP n’était ni une mesure médiocre ni un ordre universel. C’était une réponse volontairement inutilisable comme heure: le stratum zéro fermait la voie de la synchronisation, tandis qu’un identifiant de quatre caractères indiquait refus, restriction ou pression…
Dossier
La réponse n’était pas prête, mais le navigateur pouvait avancer : HTTP 103 Early Hints et le pouvoir de spéculer
Entre l’arrivée d’une requête et la décision finale d’une application, quelques centaines de millisecondes peuvent rester sans travail utile côté client. HTTP 103 permet d’y glisser une indication provisoire. Il ne transforme pas pour autant une prédiction en vérité: le…
Récits
Le nouveau CTO du RIPE NCC hérite d’une estimation de 12,2 M€, pas d’un mandat
Deux documents publics décrivent deux décisions qu’il ne faut pas confondre. Le 11 août, le RIPE NCC a nommé Sjoerd Wolthers CTO permanent à compter du 1er septembre. Le dernier procès-verbal du Conseil d’administration disponible au 29 août laisse, lui, sans résolution ferme une…
Dossier
Le jeton était lié à une clé. L’acte restait interdit : DPoP et l’autorité d’une contrainte d’émetteur
DPoP empêche qu’un jeton OAuth copié devienne à lui seul un pouvoir transportable. Il ne dit ni qui commande réellement la clé, ni si le jeton vise le bon service, ni si l’état présent de la ressource autorise l’effet demandé.
Histoire d'Internet
Le masque était public. Les octets, imprévisibles : comment WebSocket protégea les anciens proxys
Dans une trame WebSocket, le client place la clé de masquage de 32 bits juste avant les données transformées. Le serveur, comme tout observateur du trajet, peut donc retrouver le message. Ce paradoxe apparent dit exactement à quoi sert la règle: non pas à cacher le contenu, mais…
Tendances mondiales des services cloud
Chez Zscaler, aucun client n’a atteint 10 % du chiffre d’affaires. Un partenaire détenait 12 % des créances
Deux ratios voisins racontent ici deux histoires différentes. Zscaler ne dépendait d’aucun client représentant au moins 10 % de son chiffre d’affaires au troisième trimestre 2026. Pourtant, à la clôture, un partenaire de distribution anonyme concentrait 12 % des créances clients…
Récits
Le comparatif BGP de LACNIC doit préciser la configuration
Un même attribut Prefix-SID mal formé aurait été supprimé par certains routeurs, propagé par d'autres, puis aurait provoqué des réinitialisations de sessions. L'article récent de LACNIC rend ce désaccord visible. Pour en faire une preuve réutilisable, il faut maintenant relier…
Dossier
L’erreur est revenue sous forme de question : DNS Report-Channel et l’autorité du retour
Un serveur faisant autorité peut répondre correctement à ses propres yeux tout en livrant une zone que les résolveurs validateurs refusent. RFC 9567 lui donne une adresse de retour, pas un droit de commander le diagnostic: le résolveur transforme son échec local en une nouvelle…
Récits
Chez ARIN, le droit technique sur une ressource s’arrête avant le ROA
ARIN sait déjà désigner un responsable technique pour un bloc précis. En revanche, ses opérations RPKI et IRR restent rattachées à l’organisation qui contient ce bloc. La suggestion 2026.10 demande de rapprocher ces deux plans sans dire encore comment empêcher qu’une délégation…
Dossier
La signature était valide, pas la commande : HTTP Message Signatures et l’autorité des composants couverts
Une preuve RFC 9421 peut rester mathématiquement exacte alors que la requête a changé de méthode, de destination ou de portée. L’autorité ne vient donc pas du champ `Signature`, mais du profil de couverture, de la confiance dans la clé, de l’anti-rejeu et de la décision de…
Dossier
Le paquet masquait sa longueur exacte, mais le rythme parlait encore : EDNS Padding et les limites de la confidentialité DNS
Chiffrer une requête DNS retire le nom du regard indiscret, mais pas nécessairement sa silhouette. EDNS Padding ajoute des octets pour brouiller cette silhouette. La protection réelle dépend toutefois d'une chaîne de choix: la politique du client, celle du serveur…
Dossier
L’enregistrement liait les options, pas la connexion : SVCB, HTTPS et l’autorité du client
Un service peut publier avant toute requête HTTP le serveur, le protocole et le port qu’il préfère. Le client doit encore déterminer si cet ensemble est intelligible, joignable, conforme à sa politique et capable de prouver l’identité de l’origine.
Dossier
Le compteur avait atteint sa limite. Le nom de fichier a ouvert une nouvelle époque : manifestes RPKI et pouvoir de reprise
Un manifeste RPKI peut être correctement signé, récent et exact, tout en restant irrecevable parce qu'un validateur garde en mémoire un prédécesseur impossible à dépasser. La RFC 9981 offre une sortie étroite: changer le nom du manifeste, recommencer la comparaison des numéros et…
Dossier
Le flux était valide, mais la réponse venait d’ici : RPZ et pouvoir local sur la résolution DNS
Une liste de menaces peut arriver intacte, à l’heure et depuis le bon éditeur. Il reste pourtant à décider qui elle touche, ce que le résolveur répond et à quel moment une recommandation externe devient une affirmation locale.
Dossier
L’empreinte concordait, mais la zone était fausse : ZONEMD et les limites de l’intégrité cryptographique
Une preuve cryptographique peut être impeccable tout en couvrant une décision erronée. Avec ZONEMD, l’enjeu n’est donc pas seulement de vérifier une zone DNS, mais de ne pas demander au condensat de juger ce qui relève encore de l’exploitation.
Dossier
Le signal était signé. La délégation ne l’était pas encore : CDS/CDNSKEY et le pouvoir de publier le DS
CDS et CDNSKEY permettent à un opérateur de demander une modification du lien DNSSEC sans recopier une empreinte à chaque rotation. Mais une demande signée n’est pas encore le DS du parent: elle doit être située dans le bon état de confiance, admise par l’agent parental, publiée…
Dossier
Le catalogue était valide. La suppression ne l’était pas : DNS Catalog Zones et pouvoir de provisionnement
Un catalogue DNS peut être irréprochable au regard du protocole et pourtant porter une décision désastreuse. Lorsque sa liste de membres devient vide, l’authentification du transfert prouve l’origine du message; elle ne prouve ni l’intention de supprimer, ni le droit d’effacer…
Dossier
La réponse avait expiré, pas la panne : DNS serve-stale et le pouvoir au-delà du TTL
Conserver un ancien RRset peut empêcher une panne d’autorité de devenir une panne d’application. Mais dès que le TTL est dépassé, ce n’est plus la zone qui garantit l’usage courant de la donnée: c’est le résolveur qui décide d’exécuter une mémoire limitée, avec ses propres…
Récits
Le certificat racine d’AFRINIC court toujours jusqu’en 2030 : l’échéance NRO n’est pas une preuve de mise en service
La feuille de route commune promettait des certificats d’ancrage à durée courte dans les cinq registres avant la fin de 2025. Huit mois plus tard, le certificat qu’AFRINIC sert publiquement conserve une période 2020–2030. Cet écart ne démontre aucune panne; il révèle l’absence…
Tendances services cloud Amérique du Nord
127,9 M$ de l'ARR SaaS de Varonis relèvent de la conversion
Varonis a clos juin avec 726,0 M$ d'ARR SaaS, en hausse de 52 %. Hors contrats transférés depuis l'offre auto-hébergée, le solde atteint 598,1 M$ et progresse de 25 %. Ces deux mesures sont exactes, mais elles ne décrivent pas le même moteur.