Bertrand : C'est dans OpenSSL qu'était la faille. Et elle ne rend pas le point 9 caduque. Ce ne sont pas les failles de sécurité qui sont problématiques (la licence du code ne joue pas sur leur présence de toute façon), ce sont les failles connues. Combien de temps entre la découverte et la correction ? Combien d'exploitations de cette faille ? Mais surtout, si le code avait été fermée, est-ce que ça aurait pris moins de 2 ans de la trouver ?