Sujet
Cycle de vie logiciel et dépendance fournisseur
Au sein de la facette Sujet, la veille thématique Cycle de vie logiciel et dépendance fournisseur rassemble des articles qui partagent un même sujet, un même signal ou un même thème de suivi. Cette page offre aux lecteurs un parcours plus riche à travers les reportages associés, les preuves issues de sources publiques, les acteurs du marché et les implications pour l’infrastructure, avec suffisamment de contexte pour comprendre pourquoi le sujet compte pour les mouvements d’entreprises, les décisions de gouvernance, l’exposition régionale et le risque opérationnel. Les lecteurs peuvent comparer les signaux récurrents, les organisations concernées, les preuves publiques, le contexte du marché, la continuité de service, les achats, la concurrence, la conformité et les questions de planification stratégique liées au sujet, au lieu de se contenter d’une liste succincte d’articles correspondants. Elle explique ce que couvre le sujet, quels acteurs ou politiques de l’infrastructure sont impliqués, quelles preuves étayent la couverture et pourquoi le sujet peut être important pour les opérateurs, les clients, les investisseurs et les lecteurs de politiques publiques.
IETF
JOSE pousse deux algorithmes vers la dépréciation sans horloge pour les exceptions locales
Le groupe JOSE demande à l’IESG de publier un texte qui déprécierait `none` et `RSA1_5`. Le projet répartit correctement les pouvoirs entre règle commune et besoin local. Mais une exception permise sans date de fin risque de devenir une politique permanente que plus personne ne…
Dossier
Une date de dépréciation HTTP n’est pas un plan de migration client
Un service peut annoncer proprement qu’une ressource entre en dépréciation tout en continuant à répondre normalement. Entre ce signal et l’arrêt effectif subsiste tout le travail que l’en-tête ne peut pas accomplir: retrouver les consommateurs, éprouver le remplaçant et attribuer…
Histoire d'Internet
L’adresse qui signifiait tout le monde : pourquoi IPv4 a choisi les bits à 1 pour la diffusion
Les premières diffusions IPv4 n’ont pas ajouté un indicateur au paquet: elles ont réservé certaines valeurs de destination pour désigner un périmètre entier plutôt qu’une machine.
Dossier
Une semaine de plus pour les preuves post-quantiques, pas un vote de plus pour un algorithme
Le délai accordé par l’IAB peut faire entrer davantage d’expérience dans la salle. Il ne transformera pourtant ni un témoignage, ni une invitation, ni le futur rapport de l’atelier en preuve de déploiement sans une chaîne de provenance explicite.
Histoire d'Internet
Le bit qui a appris aux routeurs à annoncer leurs limites
Un refus de fragmenter est devenu une méthode de mesure: avec DF, une perte peut révéler la taille maximale supportée par le chemin, si le message d’erreur revient jusqu’à l’émetteur.
Histoire d'Internet
Lisible sans analyseur ne voulait pas dire sûr à analyser : RFC 1874
Un document structuré peut offrir une lecture de secours et garder, derrière ses lignes visibles, des instructions destinées à une machine. En 1995, le RFC 1874 plaça cette dualité dans le nom même du type MIME: `text/sgml` lorsque l'essentiel restait compréhensible sans logiciel…
Dossier
Un fichier security.txt exige une preuve de fonctionnement du canal de signalement
Une date `Expires` encore lointaine rassure facilement un tableau de conformité. Elle ne dit pourtant pas si l'adresse répond, si le formulaire crée un dossier ni si quelqu'un en assume la garde. Il faut relier le document public à l'exploitation réelle sans confondre les deux.
Dossier
Le cadenas protégeait le message, pas chaque en-tête : la frontière du RFC 9788
Une réponse peut trahir un message pourtant chiffré si le logiciel confond l’adresse visible pendant le transport avec celle que l’auteur a protégée. Le RFC 9788 transforme cette ambiguïté en une chaîne de preuves vérifiables, champ par champ.
Dossier
Une déclaration OSPS Baseline exige une version, un niveau et une date
Dans un registre de fournisseurs, la mention « conforme à OSPS » paraît nette. Elle ne l’est pas encore: le référentiel évolue par versions, module ses exigences selon la maturité du projet et ne décrit qu’un état observé à une date donnée.
Histoire d'Internet
Le paquet de départ demanda à tous d’oublier. Il ne pouvait pas prouver l’effacement : RFC 1868
Sur un réseau local de 1995, une réponse ARP sans adresse matérielle pouvait être parfaitement intentionnelle. Sa longueur inhabituelle portait une instruction négative: cessez de croire qu’une adresse IP se trouve derrière cet intermédiaire. Le RFC 1868 appela ce geste UNARP et…
Dossier
Un audit d’AC n’est pas un verdict sur l’émission d’un certificat
Un rapport d’assurance annuel peut montrer que des contrôles d’autorité de certification ont été examinés sur une période définie. Il ne répond pas à lui seul à la question plus étroite qu’un tiers de confiance doit parfois poser: pourquoi ce certificat précis, pour ce nom et…
Dossier
Quatre bits ressemblaient à de l’IP. Ils n’en étaient pas : RFC 9790 met fin au type de charge utile deviné
Après la dernière étiquette MPLS, `0x4` invite un ancien routeur à chercher un en-tête IPv4. RFC 9790 rappelle que la ressemblance d’un champ ne lui donne pas le pouvoir de nommer le paquet.
Dossier
Un déclencheur workflow_run de GitHub Actions n’est pas un verdict de confiance d’artefact
Un déclencheur `workflow_run` de GitHub Actions peut séparer utilement un contrôle amont d’un flux aval plus privilégié. Il ne prouve pas que le résultat amont, l’artefact repris en aval ou une opération ultérieure sur une cible sont dignes de confiance.
Histoire d'Internet
Le temporisateur le plus court gagnait souvent. Le client devait encore absorber la course : RFC 1863
Trois serveurs voient arriver le même client et aucun ne le trouve encore dans les listes reçues des autres. Le RFC 1863 ne prétendait pas qu’un vote allait désigner instantanément un maître. Il faisait attendre chaque serveur selon sa charge, puis lui imposait une seconde…
Dossier
Un jeton OIDC GitHub Actions n’est pas un verdict d’autorisation cloud
Un jeton OIDC de GitHub Actions peut porter l’identité d’un contexte de workflow vers un fournisseur externe. Il ne démontre pas, à lui seul, qu’une politique de confiance cloud a correspondu, qu’une session a été émise, qu’une ressource a permis une action ou qu’une cible a…
Histoire d'Internet
Avant la connexion, l’adresse devait dire qui paierait : RFC 1681
Une règle tarifaire découverte après usage n’est plus un choix préalable. En 1994, RFC 1681 imagina qu’un serveur Gopher puisse rediriger automatiquement un appelant vers une adresse payante sans lui présenter l’avertissement attendu. La parade proposée consistait à faire porter…
Dossier
Un groupe de concurrence GitHub Actions n’est pas un verdict de sérialisation du déploiement
Un groupe de concurrence GitHub Actions peut réduire des conflits entre jobs ou exécutions nommés. Il ne démontre pas, seul, l’ordre de toute action conséquente contre une cible ni l’effet de cette action.
Dossier
La racine est valide. La preuve ne sait toujours pas nommer la feuille
Un seul bit de direction peut désigner la feuille 1, 2, 4 ou 8: tout dépend de la taille de l’arbre, valeur que la preuve ne transporte pas. Le profil SCITT pour CCF peut donc confirmer qu’une déclaration appartient à une racine signée sans établir, à lui seul, la place ordinale…
Histoire d'Internet
Le test mesurait la réserve en la dépensant : RFC 1628
Une mesure de maintenance peut modifier l’objet qu’elle prétend décrire. Dans RFC 1628, l’étalonnage approfondi d’une batterie plaçait l’UPS sur sa réserve jusqu’à un niveau de décharge choisi par le constructeur. La connaissance gagnait en confiance; la charge disponible pour…
Dossier
Le message respectait le schéma. Il n’en devenait pas vrai pour autant : RFC 8927
Avec RFC 8927, une validation réussie dit quelque chose de précis et de limité: le JSON possède la forme annoncée. Elle ne certifie ni l’auteur, ni le droit d’agir, ni l’actualité des données, ni leur effet dans le monde.