Nous avons profité de la sortie d’une nouvelle version de l’application mobile pour interroger l’équipe de Piwigo, et plus particulièrement Pierrick, le créateur de ce logiciel libre qui a fêté ses vingt ans et qui est, c’est incroyable, rentable.

 

 

 

Salut l’équipe de Piwigo ! Nous avons lu avec intérêt la page https://fr.piwigo.com/qui-sommes-nous

Moi je note que «Piwigo» c’est plus sympa que « PhpWebGallery », comme nom de logiciel. Enfin, un logiciel libre qui n’a pas un nom trop tordu. Qu’est-ce que vous pouvez nous apprendre sur Piwigo, le logiciel ?

Piwigo est un logiciel libre de gestion de photothèque. Il s’agit d’une application web, donc accessible depuis un navigateur web, que l’on peut également consulter et administrer avec des applications mobiles. Au-delà des photos, Piwigo permet d’organiser et indexer tout type de média : images, vidéos, documents PDF et autres fichiers de travail des graphistes. Originellement conçu pour les particuliers, il s’est au fil des ans trouvé un public auprès des organisations de toutes tailles.

 

 

La gestation du projet PhpWebGallery démarre fin 2001 et la première version sortira aux vacances de Pâques 2002. Pendant les vacances, car j’étais étudiant en école d’ingénieur à Lyon et j’ai eu besoin de temps libre pour finaliser la première version. Le logiciel a tout de suite rencontré un public et des contributeurs ont rejoint l’aventure. En 2009, « PhpWebGallery » est renommé « Piwigo » mais seul le nom a changé, il s’agit du même projet.

Les huit premières années, le projet était entièrement bénévole, avec des contributeurs (de qualité) qui donnaient de leur temps libre et de leurs compétences. Le passage d’étudiant à salarié m’a donné du temps libre, vraiment beaucoup. Je faisais pas mal d’heures pour mon employeur mais en comparaison avec le rythme prépa/école, c’était très tranquille : pas de devoirs à faire le soir ! Donc Piwigo a beaucoup avancé durant cette période. Devenu parent puis propriétaire d’un appartement, avec les travaux à faire… mon temps libre a fondu et il a fallu faire des choix. Soit j’arrêtais le projet et il aurait été repris par la communauté, soit je trouvais un modèle économique viable et compatible avec le projet pour en faire mon métier. Si je suis ici pour en parler douze ans plus tard, c’est que cette deuxième option a été retenue.

En 2010 vous lancez le service piwigo.com ; un logiciel libre dont les auteurs ne crèvent pas de faim, c’est plutôt bien. Est-ce que c’est vrai ? Avez-vous trouvé votre modèle économique ?

 

 

Pour ce qui me concerne, je ne crève pas du tout de faim. J’ai pu rapidement retrouver des revenus équivalents à mon ancien salaire. Et davantage aujourd’hui. J’estime vivre très confortablement et ne manquer de rien. Ceci est très subjectif et mon mode de vie pourrait paraître « austère » pour certains et « extravagant » pour d’autres. En tout cas moi cela me convient 🙂

Notre modèle économique a un peu évolué en 12 ans. Si l’objectif est depuis le départ de se concentrer sur la vente d’abonnements, il a fallu quelques années pour que cela couvre mon salaire. J’ai eu l’opportunité de réaliser des prestations de dev en parallèle de Piwigo les premières années pour compenser la croissance lente des ventes d’abonnements.

Ce qui a beaucoup changé c’est notre cible : on est passé d’une cible B2C (à destination des individus) à une cible B2B (à destination des organisations). Et cela a tout changé en terme de chiffre d’affaires. Malheureusement ou plutôt « factuellement » nous plafonnons depuis longtemps sur les particuliers. Nos offres Entreprise quant à elles sont en croissance continue, sans que l’on atteigne encore de plafond. Nous avons donc décidé de communiquer vers cette cible. Piwigo reste utilisable pour des particuliers bien sûr, mais ce sont prioritairement les organisations qui vont orienter notre feuille de route.

Grâce à la réorientation de notre modèle économique, il a été possible de faire grossir l’équipe.

Donc on a Piwigo.org qui fournit le logiciel libre que chacun⋅e peut installer à condition d’en avoir les compétences, et Piwigo.com, service commercial géré par ton équipe et toi. Vous vous chargez de la maintenance, des mises à jour, des sauvegardes.

Qui est vraiment derrière Piwigo.com aujourd’hui ? Et combien de gens est-ce que ça fait vivre ?

Une petite équipe mêlant des salariés, dont plusieurs alternants, des freelances dans les domaines du support, de la communication, du design ou encore de la gestion administrative. Cela représente 8 personnes, certaines à temps plein, d’autres à temps partiel. J’exclus le cabinet comptable, même s’il y passe du temps compte tenu du nombre de transactions que les abonnements représentent…

Qu’est-ce qui est lourd ?

Certains aspects purement comptables de l’activité. La gestion de la TVA par exemple. Non pas le principe de la TVA mais les règles autour de la TVA. Nous vendons en France, dans la zone Euro et hors zone Euro : à chaque situation sa règle d’application des taxes. Les PCA (produits constatés d’avance) sont aussi une petite source de tracas qu’il a fallu gérer proprement. Jamais je n’aurais imaginé passer autant de temps sur ce genre de sujets en lançant le projet commercial.

Qu’est-ce qui est cool ?
Constater que Piwigo est leur principal outil de travail de nombreux clients. On comprend alors que certains choix de design, certaines optimisations de performances font pour eux une grande différence au quotidien.

 

 

Nous avons lancé depuis quelques semaines une série d’entretiens utilisateurs durant lesquels des clients nous montrent comment ils utilisent Piwigo et c’est assez génial de les voir utiliser voire détourner les fonctionnalités que l’on a développées.

D’un point de vue vraiment personnel, ce que je trouve cool c’est qu’un projet démarré sur mon temps libre pendant mes études soit devenu créateur d’emplois. Et j’espère un emploi « intéressant » pour les personnes concernées. Qu’elles soient participantes à l’aventure ou utilisatrices dans leur métier. Je crois vraiment au rôle social de l’entreprise et je suis particulièrement fier que Piwigo figure dans le parcours professionnel de nombreuses personnes.

Votre liste de clients https://fr.piwigo.com/clients est impressionnante…

Oui, je suis d’accord : ça claque ! et bien sûr tout est absolument authentique. Évidemment on n’affiche qu’une portion microscopique de notre liste de clients.

Recevez-vous des commandes spécifiques des gros clients pour développer certaines fonctionnalités ?

Pourquoi des « gros » ? Certaines entreprises « pas très grosses » ont des demandes spécifiques aussi. Bon, en pratique c’est vrai que certains « gros » ont l’habitude que l’outil s’adapte à leur besoin et pas le contraire. Donc parfois on adapte : en personnalisant l’interface quasiment toujours, en développant des plugins parfois. C’est moins de 5% de nos clients qui vont payer une prestation de développement. Vendre ce type de prestation n’est pas au cœur de notre modèle économique mais ne pas le proposer pourrait nuire à la vente d’abonnements, donc on est ouverts aux demandes.

Est-ce que vous refusez de faire certaines choses ?

D’un point de vue du développement ? Pas souvent. Je n’ai pas souvenir de demandes suffisamment farfelues… pardon « spécifiques » pour qu’on les refuse a priori. En revanche il y a des choses qu’on refuse systématiquement : répondre à des appels d’offre et autre « marchés publics ». Quand une administration nous contacte et nous envoie des « dossiers » avec des listes de questions à rallonge, on s’assure qu’il n’y a pas d’appel d’offre derrière car on ne rentrera pas dans le processus. Nous ne vendons pas assez cher pour nous permettre de répondre à des appels d’offre. Je comprends que les entreprises qui vendent des tickets à 50k€+ se permettent ce genre de démarche administrative, mais avec notre ticket entre 500€ et 4 000€, on serait perdant à tous les coups. Le « coût administratif » d’un appel d’offre est plus élevé que le coût opérationnel de la solution proposée. C’est aberrant et on refuse de rentrer là-dedans.

Bien que nous refusions de répondre à cette complexité administrative (très française), nous avons de nombreuses administrations comme clients : ministère, mairies, conseils départementaux, offices de tourisme… Comme quoi c’est possible (et légal) de ne pas gaspiller de l’énergie et du temps à remplir des dossiers.

Y a-t-il beaucoup de particuliers qui, comme moi, vous confient leurs photos ? Faites péter les chiffres qui décoiffent !

Environ 2000 particuliers sont clients de notre offre hébergée. Ils sont bien plus nombreux à confier leurs photos à Piwigo, mais ils ne sont pas hébergés sur nos serveurs. Notre dernière enquête en 2020 indiquait qu’environ un utilisateur sur dix était client de Piwigo.com [donc 90% des gens qui utilisent le logiciel Piwigo s’auto-hébergent ou s’hébergent ailleurs, NDLR] .

Si on élargit un peu le champ de vision, on estime qu’il y a entre 50 000 et 500 000 installations de Piwigo dans le monde. Avec une énorme majorité d’installations hors Piwigo.com donc. Difficile à chiffrer précisément car Piwigo ne traque pas les installations.

 

 

Pour des chiffres qui « décoiffent », je dirais qu’on a fait 30% de croissance en 2020. Puis encore 30% de croissance en 2021 (merci les confinements…) et qu’on revient à notre rythme de croisière de +15% par an en 2022. Dans le contexte actuel de difficulté des entreprises, je trouve qu’on s’en sort bien !

Autre chiffre qui décoiffe : on n’a pas levé un seul euro. Aucun business angel, aucune levée de fonds auprès d’investisseurs. Notre croissance est douce mais sereine. Attention pour autant : je ne dénigre pas le principe de lever des fonds. Cela permet d’aller beaucoup plus vite. Vers le succès ou l’échec, mais beaucoup plus vite ! Rien ne dit que si c’était à refaire, je n’essaierais pas de lever des fonds.

Encore un chiffre respectable : Piwigo a soufflé sa vingtième bougie en 2022. Le projet a connu plusieurs phases et nous vivons actuellement celle de la professionnalisation. Beaucoup de projets libres s’arrêtent avant et disparaissent car ils ne franchissent pas cette étape. Si certains voient dans l’arrivée de l’argent une « trahison » de la communauté, je trouve au contraire que c’est sain et gage de pérennité. Lorsque les fondateurs d’un projet ont besoin d’un modèle économique viable pour payer leurs propres factures, vous pouvez être sûrs que le projet ne va pas être abandonné sur un coup de tête.

Est-ce que les réseaux sociaux axés sur la photographie concurrencent Piwigo ? On pense à Instagram mais aussi à Pixelfed, évidemment.

J’ai regardé rapidement ce qu’était Pixelfed. Ma conclusion au bout de quelques minutes : c’est un clone opensource à Instagram, en mode décentralisé.

Piwigo n’est pas un réseau social. Pour certains utilisateurs, Piwigo a perdu de son intérêt dès lors que Facebook et ses albums photos sont arrivés. Pour d’autres, Piwigo constitue au contraire une solution pour ceux qui refusent la centralisation/uniformisation telle que proposée par Facebook ou Google. Enfin pour de nombreux clients pro (photographes ou entreprises) Piwigo est un outil à usage interne de l’équipe communication pour organiser les ressources média qui seront ensuite utilisées sur les réseaux sociaux. Il faut comprendre que pour les chargés de communication d’un office de tourisme, mettre sa photothèque sur Facebook n’a aucun sens. Ils ou elles publient quelques photos sur Facebook, sur Instagram ou autres, mais leur photothèque est organisée sur leur Piwigo.

Bref, même si les premières années je me suis demandé si Piwigo était encore pertinent face à l’émergence de ces nouvelles formes de communication, je sais aujourd’hui que Piwigo n’est pas en concurrence frontale avec ces derniers mais qu’au contraire, l’existence de ces réseaux nécessite pour les marques/entreprises qu’elles organisent leurs photothèques. Piwigo est là pour les y aider.

Quelles sont les différences ?

La toute première des choses, c’est la temporalité. Les réseaux sociaux sont excellents pour obtenir une exposition forte et éphémère de votre « actualité ». À l’inverse, Piwigo va exceller pour vous permettre de retrouver un lot de photos parmi des centaines de milliers, organisées au fil des années. Piwigo permet de gérer son patrimoine photo (et autres médias) sur le temps long.

L’autre aspect important c’est le travail en équipe. Un réseau social est généralement conçu autour d’une seule personne qui administre le compte. Dans Piwigo, plusieurs administrateurs collaborent (à un instant T ou dans la durée) pour construire la photothèque : classification, indexation (tags, titre, descriptions…)

Enfin, certaines fonctionnalités n’ont tout simplement rien à voir. Par exemple, dans un réseau social le cœur de métier va être d’obtenir des likes. Dans un Piwigo, vous allez pouvoir mettre en place un moteur de recherche multicritères avec vos propres critères. Par exemple on a un client qui fabrique des matériaux acoustiques. Ses critères de recherche sont collection, coloris, lieu d’implantation… Cela n’aurait aucun sens sur l’interface uniformisée d’un Instagram.

Qui apporte des contributions à Piwigo ? Est-ce que c’est surtout la core team ?

Cela a beaucoup changé avec le temps. Et même ce qu’on appelle aujourd’hui « équipe » n’est plus la même chose que ce qu’on appelait « équipe » il y a 10 ans. Aujourd’hui, l’équipe c’est essentiellement celle du projet commercial. Pas uniquement mais quand même pas mal.

On a donc beaucoup de contributions « internes » mais ce serait trop simplificateur d’ignorer l’énorme apport de la communauté de contributeurs au sens large. Déjà parce que l’état actuel de Piwigo repose sur les fondations créées par une communauté de développeurs bénévoles. Ensuite parce qu’on reçoit bien sûr des contributions sous forme de rapports de bugs, des pull-requests mais aussi grâce à des bénévoles qui aident des utilisateurs sur les forums communautaires, les bêta-testeurs… sans oublier les centaines de traducteurs.

Petite anecdote dont je suis fier : Rasmus Lerdorf, créateur de PHP (le langage de programmation principalement utilisé dans Piwigo) nous a plusieurs fois envoyé des patches pour que Piwigo soit compatibles avec les dernières versions de PHP.

 

Quel est votre lien avec le monde du Libre ? (<troll>y a-t-il un monde du Libre ?</troll>)

Je ne sais pas s’il y a un « monde du libre ». Historiquement Les contributeurs sont d’abord des utilisateurs du logiciel qui ont voulu le faire évoluer. Je ne suis pas certain qu’il s’agisse de fervents défenseurs du logiciel libre.

Franchement je ne sais pas trop comment répondre à cette question. Je sais que Piwigo est une brique de ce monde du libre mais je ne suis pas sûr que l’on conscientise le fait de faire partie d’un mouvement global. Je pense qu’on est pragmatique plutôt qu’idéologique.

 

En tant que client, je viens de recevoir le mail qui annonce le changement de tarif. Pouvez-vous nous expliquer l’origine de cette décision ?

Là on est vraiment sur l’actualité « à chaud ». Le changement de tarif pour les nouveaux/futurs clients a fait l’objet d’une longue réflexion et préparation. Je dirais qu’on le prépare depuis 18 mois.

 

Si j’ai bien compris la clientèle particulière est un tout petit pourcentage de la clientèle de Piwigo.com ?

Les clients de l’ancienne offre « individuelle » représentent 30 % du chiffre d’affaires des abonnements pour 91% des clients. J’exclus les prestations de dev, qui sont exclusivement ordonnées par des entreprises. Donc « tout petit pourcentage », ça dépend du point de vue 🙂

Est-ce que l’offre de stockage illimité devient trop chère ?

En moyenne sur l’ensemble des clients individuels, on est à ~30 Go de stockage utilisé. La médiane est quant à elle de 5Go. Si la marge financière dégagée n’est pas folle, on ne perd pas d’argent pour autant, car nous avons réussi à ne pas payer le stockage trop cher. Pour faire simple : on n’utilise pas de stockage cloud type Amazon Web Services, Google Cloud ou Microsoft Azure. Sinon on serait clairement perdant.

Ceci est vrai tant qu’on propose de l’illimité sur les photos. Sauf que la première demande au support, devant toutes les autres, c’est : « puis-je ajouter mes vidéos ? », et cela change la donne. Hors de question de proposer de l’illimité sur les vidéos. De l’autre côté, on entend et on comprend la demande des utilisateurs concernant les vidéos. Donc on veut proposer les vidéos, mais il faut en parallèle introduire un quota de stockage.

Ensuite nous avions un souci de cohérence entre l’offre individuelle (stockage illimité mais photos uniquement) et les offres entreprise (quota de stockage et tout type de fichiers). La solution qui nous paraît la meilleure est d’imposer un quota pour toutes les offres, mais un quota généreux. L’offre « Perso » est à 50 Go de stockage, donc largement au-delà de la conso moyenne.

Enfin la principe de l’illimité est problématique. En 12 ans, la perception du grand public sur le numérique a évolué. Je parle spécifiquement de la consommation de ressources que le numérique représente. Le cloud, ce sont des serveurs dans des centres de données qui consomment de l’électricité, etc. En 2023, je pense que tout le monde a intégré le fait que nous vivons dans un monde fini. Ceci n’est pas compatible avec la notion de stockage infini. Je peux vous assurer que certains utilisateurs n’ont pas conscience de cette finitude.

Est-ce que des pros ont utilisé cette offre destinée aux particuliers pour «abuser» ?

Il y a des abus sur l’utilisation de l’espace de stockage, mais pas spécialement par des pros. On a des particuliers qui scannent des documents en haute résolution par dizaine de milliers pour des téraoctets stockés… On a des particuliers qui sont fans de telle ou telle star de cinéma et qui font des captures d’écran chaque seconde de chaque film de cet acteur. Ne rigolez pas, cela existe.

En revanche on avait un soucis de positionnement : l’offre « individuelle » n’était pas très appropriée pour les photographes pros mais l’offre entreprise était trop chère. On a maintenant des offres mieux étagées et on espère que cela sera plus pertinent pour ce type de client.

Enfin on a des entreprises qui essaient de prendre l’offre individuelle en se faisant passer pour des particuliers. Et là on est obligés de faire les gendarmes. On a même détecté des « patterns » de ses entreprises et on annulait les commandes « individuelles » de ces clients. J’en avais personnellement un petit peu ras le bol 🙂

Les nouvelles offres, même « Perso » sont accessibles même à des multinationales. Évidemment, les limites qu’on a fixées devraient naturellement les orienter vers nos offres Entreprise (nouvelle génération) voire VIP.

 

Est-ce qu’il s’agissait d’une offre qui se voulait temporaire et que vous avez laissé filer parce que vous étiez sur autre chose ?

 

Pendant 12 ans ? Non non, le choix de proposer de l’illimité en 2010 était réfléchi et « à durée indéterminée ». Les besoins et les possibilités et surtout les demandes ont changé. On s’adapte. On espère ne pas se tromper et si c’est le cas on fera des ajustements.

L’important c’est de pas mettre nos clients au pied du mur : ils peuvent renouveler sur leur offre d’origine. On a toujours proposé cela et on ne compte pas changer cette règle. C’est assez unique dans notre secteur d’activité mais on y tient.

Nous avons vu que votre actualité c’était la nouvelle version de Piwigo NG. Je crois que vous avez besoin d’aide. Vous pouvez nous en parler ?

Nous avons plusieurs actualités et effectivement côté logiciel, c’est la sortie de la version 2 de l’application mobile pour Android. Piwigo NG (comme Next Generation) est le résultat du travail de Rémi, qui travaille sur Piwigo depuis deux ans. Après avoir voulu faire évoluer l’application « native » sans succès, il a créé en deux semaines un prototype d’application mobile en Flutter. Ce qu’il avait fait en deux semaines était meilleur que ce que l’on galérait à obtenir avec l’application native en plusieurs mois. On a donc décidé de basculer sur cette nouvelle technologie. Un an après la sortie de Piwigo NG, Rémi sort une version 2 toujours sur Flutter mais avec une nouvelle architecture « plus propice aux évolutions ». Le fameux « il faut refactorer tous les six mois », devise des développeurs Java.

En effet nous avons besoin d’aide pour bêta-tester cette version 2 de Piwigo NG. Plus nous avons de retours, plus nous pouvons la stabiliser.

Pour aller plus loin

• Vous pouvez auto-héberger votre Piwigo, rendez-vous sur cette page
• ou vous pouvez prendre un abonnement ici
• Piwigo est également une application intégrée à la solution d’auto-hébergement Yunohost

La gestion d’une communauté de développeurs d’un projet open source est assez délicate. Le langage de programmation Rust, conçu et développé de façon ouverte au sein de Mozilla depuis une bonne dizaine d’années, fait largement appel à sa communauté dans sa structure et son mode de développement.

Son originalité par rapport au management de projet en entreprise apparaît de façon intéressante dans le témoignage et les réflexions de Mara Bos, une jeune développeuse impliquée dans le projet dont Framalang a traduit ci-dessous les propos.

Article original sur le blog de l’autrice : Rust is not a company

Traduction Framalang : Fabrice, Côme, goofy

Rust n’est pas une entreprise

par Mara Bos

L’année dernière, en tant que contributrice occasionnelle au projet Rust, je n’ai pas trop réfléchi à la structure organisationnelle de l’équipe derrière le projet. J’ai vu une hiérarchie d’équipes et de groupes, de chefs d’équipe, etc. Tout comme n’importe quelle autre organisation. Cette année, après m’être davantage impliquée, et devenue membre de l’équipe Library ¹ puis cheffe d’équipe, j’ai pris le temps de me demander pourquoi nous avons cette structure et à quoi servent ces équipes.

Pas une entreprise

Dans la plupart des entreprises, on trouve des directeurs et des actionnaires et autres trucs dans le genre en haut de la hiérarchie, qui définissent les buts de l’entreprise. Objectifs, jalons, dates limites, et autres choses qui vont sûrement mener l’entreprise vers le but final quel qu’il soit ; généralement l’argent.

Ensuite il existe plusieurs niveaux de management répartis en départements et en équipes pour diviser la charge de travail. Chaque niveau prend en charge une part des objectifs et s’assure que sa part est faite, en assignant des tâches aux employés en bas de la hiérarchie, tous travaillant d’une manière ou d’une autre à atteindre l’objectif principal commun.

Alors que la structure derrière un gros projet open source comme Rust peut sembler similaire, vue de loin, c’est souvent complètement l’inverse. Dans un tel projet, les objectifs et buts ne sont pas ceux des équipes d’en haut, mais effectivement ceux des contributeurs.

En tant qu’équipe library, nous pourrions par exemple essayer de décider que le mécanisme de formatage (std::fmt) devrait être réécrit pour être plus petit et plus efficace. Mais prendre cette décision ne provoque pas la réécriture. Et nous n’avons pas d’employés à qui assigner les tâches. Ce n’est pas comme ça que ça fonctionne.

Au lieu de cela, un contributeur passionné d’algorithmes de formatage pourrait se manifester, et commencer à travailler sur le problème. Notre travail en tant qu’équipe library est de faire en sorte que cette personne puisse travailler. S’assurer que son projet est en accord avec le reste de la bibliothèque standard, relire son travail et fournir un retour utile et constructif. Si davantage de personnes interviennent pour collaborer sur ce projet, mettre en place un groupe de travail pour aider à tout organiser, etc.

Les entreprises ne font pas travailler le premier venu sur quelque chose. C’est ce qui fait que l’open source est particulier et si génial, si on s’y prend bien.

Objectifs personnels

Idéalement, l’objectif d’un projet open source comme Rust est simplement la combinaison des buts personnels de toutes les personnes travaillant dessus. Et là est la difficulté. Parce que quand une nouvelle personne arrive, on ne lui assigne pas une tâche qui correspond à nos objectifs. Cette personne arrive plutôt avec ses propres objectifs et ses propres idées, les ajoutant à un ensemble déjà assez varié d’objectifs potentiellement conflictuels.

Et c’est pourquoi un projet open source piloté par des bénévoles a besoin d’une structure de management. On ne peut pas juste mettre ensemble une centaine de personnes avec chacune ses propres buts et espérer que tout se passe bien.

Donc ce que fait le management, c’est prendre en considération tous les buts personnels de toutes les personnes travaillant sur un sujet, et essayer de les guider de manière à ce que les choses fonctionnent. Ça peut impliquer le fait de dire non à des idées quand elles seraient incompatibles avec d’autres idées, ou ça peut impliquer beaucoup de discussions pour harmoniser les idées afin qu’elles soient compatibles. C’est exactement l’opposé de la manière dont fonctionne une entreprise typique, où les objectifs viennent d’en haut, et où le management décide de la manière de les répartir et les assigner aux personnes qui effectuent le travail technique.

Alors que beaucoup de projets open source, dont Rust, ont un cap ou un plan d’action, ces derniers doivent reposer sur les objectifs des contributeurs individuels du projet pour que ça fonctionne. Dire « notre objectif principal en 2021 est d’améliorer les mécanismes de formatage dans la bibliothèque standard » devrait faciliter le travail des personnes travaillant déjà dessus, et attirer les personnes qui voulaient déjà travailler sur quelque chose de ce genre. Ça devrait les aider parce que nous priorisons toutes les décisions de management et les révisions de code dont ils ont besoin. Ça devrait permettre aux personnes de se concentrer et d’avancer davantage. Mais sans ces contributeurs, mettre en place de tels objectifs n’a pas de sens. Contrairement à une entreprise, nous n’avons pas à choisir ce sur quoi les personnes passent leur temps, et nous n’employons pas de personnes auxquelles assigner des tâches.

Et c’est une bonne chose.

C’est la raison pour laquelle les gens veulent travailler sur Rust.

Je ne prétends pas qu’un langage de programmation ne pourrait pas être géré « d’en haut » comme une entreprise le ferait. Beaucoup de langages de programmation ont été et sont développés de cette manière avec beaucoup d’efficacité. Ce que je dis, cependant, c’est que personnellement je ne veux pas que le projet Rust fonctionne de cette manière.

Je ne veux pas gérer le département library de l’entreprise Rust. Je veux aider les personnes qui veulent améliorer les bibliothèques du langage Rust.

Un espace pour s’épanouir

Différents contributeurs ont des objectifs très différents, travaillent avec des méthodes très variées, et ont des besoins très différents des structures de management.

Pour certains d’entre eux, nous avons des processus en place destinés à leur rendre le travail plus facile. Une personne qui veut travailler sur une nouvelle fonctionnalité du langage peut soumettre ses idées via une RFC ² et prendre part dans une discussion avec l’équipe library pour des conseils et de l’aide. Quelqu’un qui veut améliorer une grande partie du code du compilateur ³ peut soumettre une proposition de changement majeur (MCP) et en discuter avec l’équipe du compilateur. Et quelqu’un qui veut résoudre un problème dans la bibliothèque standard peut soumettre une proposition de modification et la voir relue et évaluée par des personnes qui connaissent le contexte.

En d’autres termes, nous avons créé un espace pour ces types de contributeurs. De l’espace pour faire leur travail, de l’espace pour obtenir des retours, de l’espace pour obtenir de l’aide, de l’espace pour obtenir une reconnaissance, tout l’espace dont ils ont besoin pour réussir.

Cependant, il existe malheureusement beaucoup de types de contributeurs pour lesquels nous n’avons pas créé un espace, ou pas le bon espace.

Jusqu’à une époque récente, l’équipe library était principalement concentrée sur la conception de l’API. Les problèmes critiques d’implémentation étaient gérés par l’équipe du compilateur par nécessité. Les modifications de code plus modestes étaient relus et évalués par des relecteurs individuels de l’équipe library. Mais il n’y avait pas de gestion prévue pour de plus gros changements de code. Ça signifiait qu’il n’y avait pas d’espace pour une personne qui aurait voulu remettre à neuf le code de std::fmt. Il n’y avait pas d’équipe qu’elle aurait plus rejoindre pour travailler là-dessus, rendant beaucoup plus difficile, voire impossible, d’atteindre son but.

C’est pourquoi j’ai lancé la nouvelle équipe Library.

Faire de la place pour quelque chose peut souvent amener à (accidentellement) retirer de la place pour autre chose. Une personne qui n’est pas très impliquée dans le code mais qui veut appliquer son expérience dans la conception d’API et qui se soucie beaucoup de l’interface de la bibliothèque standard ne s’épanouirait pas dans une équipe qui aime avoir des réunions hebdomadaires à propos des problèmes de correction du code et de la manière avec laquelle résoudre ces problèmes avant la prochaine version publique.

Voilà pourquoi nous avons à présent l’équipe Library API

Nous avons maintenant aussi une équipe de « Contributeurs à Library ». Un endroit pour les personnes qui sont plus impliquées dans le projet que les contributeurs occasionnels, mais qui ne font pas partie des équipes qui prennent les décisions finales. Ça fait de l’espace pour les personnes qui veulent, par exemple, travailler sur seulement un aspect particulier de la bibliothèque, ou aider à relire les modifications proposées. Jusqu’à il y a environ un an, il n’y avait pas d’espace particulier pour qu’une personne relise les changements ou qu’elle s’implique davantage d’autres manières, sans faire directement partie d’une équipe avec beaucoup plus de responsabilités.

J’ai réussi à effectuer ces changements de structure d’équipe avec l’aide des membres des équipes Core et Library, qui m’ont mise en capacité de le faire. En retour, ces changements vont, je l’espère, permettre à des membres de ces nouvelles équipes de s’épanouir, et ainsi permettre à encore plus de personnes de contribuer, pour que finalement cela soit bénéfique pour tous les utilisateurs et utilisatrices du langage.

Continuer à changer

Je n’ai pas l’impression que nous ayons maintenant un espace pour toute personne souhaitant contribuer. Mais une fois que la poussière de la réorganisation se sera dispersée, je pense que le résultat sera une amélioration par rapport à ce que nous avions auparavant, et que ça correspond mieux au projet tel qu’il est aujourd’hui.

« Aujourd’hui » est le mot important ici. Ces équipes sont faites autour des membres actuels et des personnes qui, je pense, pourraient devenir des membres dans un futur proche. Mais ce groupe de personnes et leurs besoins changent, parfois à une vitesse surprenante. Et dans un projet qui est entièrement défini par les personnes qui y contribuent, ça change le projet en lui-même et la structure dont il a besoin, tout aussi rapidement.

En 2018, l’équipe Library était très impliquée dans l’aide aux auteurs des bibliothèques ⁴ populaires de l’écosystème. L’équipe a publié un ensemble de guides, et va réviser les bibliothèques et travailler conjointement avec leurs auteurs pour les implémenter. Tout cela pour améliorer la cohérence et la qualité de l’écosystème de librairies Rust.

Il y a quelques jours encore, c’était toujours techniquement une partie des buts affichés de l’équipe, même si en pratique ça n’était plus vraiment le cas ; particulièrement depuis qu’Ashley Mannix a quitté le projet il y a un moment. Sans les personnes qui ont pour but personnel de faire que des choses se produisent, les choses ne se produisent pas.

Et c’est très bien comme ça.

Tout le monde a une longue liste de vœux pour Rust, de choses qui ne se font pas parce que personne ne travaille dessus. Nous ne sommes pas une entreprise avec des dates limites et des jalons qu’il nous faut absolument atteindre. Nous sommes un groupe, divers et fluctuant, de personnes qui essaient de gérer tout ça avec passion, en s’efforçant de faire en sorte que tous les efforts aboutissent harmonieusement.

Il y a beaucoup de choses pour lesquelles nous devrions avoir de l’espace, mais pour lesquelles nous n’avons encore de place. Mais si nous continuons à essayer, si nous continuons à effectuer de petites améliorations. À nous adapter. À prendre en compte les personnes autour de nous qui veulent contribuer elles aussi ; si nous continuons à réfléchir à la façon dont nous pouvons les aider, eux et tous les autres. Alors chaque pas sera un pas dans la bonne direction, ainsi Rust prospérera et toutes les nombreuses personnes qui travaillent sur Rust et avec Rust s’épanouiront.

Photo « Rusty but pretty »  par Jeanne à vélo, licence CC-BY-SA

Aujourd’hui, nous vous proposons de sortir un peu des sentiers (re)battus du libre et des communs pour explorer un peu plus ceux de l’éducation et du partage. Stéphane Crozat, membre de Framasoft et prof. à l’Université de Technologie de Compiègne, souhaite partager ici une réflexion autour des conditions de publication des rapports de stage. Profitons du fait que le Framablog est aussi le blog des membres de l’association Framasoft pour lui donner la parole.

Chaque semestre, une partie significative des entreprises qui accueillent des stagiaires de l’Université Technologique de Compiègne dont je suis suiveur font une demande de procédure de confidentialité concernant le rapport et/ou la soutenance de l’étudiant. Je suis opposé à cette pratique.

Récemment encore une grande société française impliquée notamment dans des activités en lien avec la défense m’a fait une telle demande.

Ce semestre, j’ai pris le temps de poser mes arguments à plat, à la suite de quoi la demande a été retirée. Le mail que j’ai reçu en réponse faisait état du bien-fondé de ces arguments. Je les partage donc afin de contribuer peut-être à rendre les demandes de confidentialité plus marginales.

Préambule : la confidentialité est un droit de l’entreprise

Je ne suis pas opposé aux besoins de confidentialité des entreprises. De nombreux contextes l’exigent. À titre personnel il est par exemple évident que les informations dont je dispose sur les étudiants ne sauraient être divulguées publiquement.

Il est à noter que :

• le principe de confidentialité est inclus par défaut dans le droit de travail : « le contrat de travail est exécuté de bonne foi (article L1222–1 du Code du travail) » ce qui implique notamment la loyauté, la non-concurrence ou la confidentialité ;
• le stagiaire n’est pas complètement soumis au code du travail mais le principe de confidentialité reste présent dans la logique du stage et est communément explicité par une clause de non divulgation qui peut être ajoutée au contrat de travail ou à la convention de stage.

Donc, la confidentialité est une règle qui s’applique légitimement par défaut.

Argument 1 : Le rapport de l’étudiant est un élément de son CV, s’il est confidentiel, il ne pourra pas le produire.

Si un rapport est confidentiel, alors il ne pourra pas être produit pour faire valoir le travail réalisé, lors de la recherche d’un stage ultérieur ou lors de la recherche d’un emploi.

• Un mémoire de stage est un travail personnel significatif pour le stagiaire qui mérite de figurer au rang des choses dont il peut être fier et qu’il peut montrer. C’est le déposséder de quelque chose d’important que de lui interdire de produire le résultat de son travail.
• À défaut, c’est minorer l’importance de ce travail de restitution, ce qui peut conduire à des rapports sans intérêt, puisqu’en fin de compte personne ne les lira (à part peut-être à des fins d’évaluation, une fois, peut-être distraitement).

Proposition 1 : faire un rapport court et public

Je propose d’écrire un rapport synthétique et de bonne facture, non confidentiel et éventuellement de lui annexer un document confidentiel (qu’il n’est pas nécessaire de diffuser hors de l’entreprise).

On aura d’emblée l’ambition que ce rapport soit public, destiné à être diffusé sur le Web typiquement.

Le stagiaire cherchera à faire valoir les actions qu’il a pu mener sans divulguer d’information sensible. On peut pour cela procéder à de l’anonymisation, ou encore à la troncature d’information, sans nuire à la bonne compréhension du propos général. C’est en soi un bon exercice. La stagiaire pourra bien entendu mentionner en préambule qu’il a rédigé son rapport sous cette contrainte (un exemple d’approche : librecours.net/module/ing/rap).

Cette proposition a également le mérite de simplifier la gestion de la confidentialité et d’éviter les entre-deux inconfortables où personne ne sait exactement ce qu’il peut faire et laisser faire :

1. un rapport public accessible à tous tout le temps,
2. un rapport privé accessible à l’entreprise uniquement.

Argument 2 : La soutenance est un moment de mise en commun, cela ne peut pas fonctionner si tout le monde ne joue pas le jeu.

La soutenance est un moment d’échange entre étudiants, enseignants et entreprises. Les sessions sont organisées de telle façon que chacun profite des expériences des autres. Lorsque quelqu’un demande une soutenance confidentielle, il exclut de fait les autres de ce partage, c’est donc un appauvrissement de cette phase de restitution de stage. Si tout le monde procède ainsi, l’exercice perd tout intérêt, c’est en quelque sort un cas de dilemme du prisonnier⁵ : si personne ne se fait confiance, alors tout le monde perd.

Pour que la situation reste équitable, les soutenances confidentielles doivent se dérouler à part, en dehors de l’espace commun partagé par les autres. Ainsi ceux qui refusent de partager leur expérience se privent de la possibilité de profiter de l’expérience des autres.

C’est donc une dégradation de la situation d’apprentissage pour le stagiaire.

Proposition 2 : sélectionner ce qui est présenté en excluant ce qui est confidentiel

Je propose une soutenance non confidentielle sans information sensible. Il est possible qu’une soutenance ne porte pas sur l’ensemble du stage, c’est même souvent le cas, on peut donc se focaliser sur quelques-unes des tâches les moins sensibles et les exposer avec soin.

Le but d’une soutenance n’est pas de rendre compte dans le détail de tout ce qui a été fait, le temps ne le permettrait pas, mais de donner à voir une partie de ce que l’on a appris, ce que l’on sait faire, et, peut être en premier lieu : de communiquer des choses intéressantes au public.

Une bonne soutenance est pour moi une soutenance à l’issue de laquelle on a appris des choses que l’on ignorait grâce à la clarté de l’exposé du stagiaire.

Cela n’implique pas de révéler des secrets spécifiques, mais au contraire d’avoir été capable de monter en généralité pour présenter en dehors du contexte les compétences et connaissances acquises. C’est ce qui fait leur valeur pour le stagiaire et ses futurs collaborateurs.

Conclusion : un argument personnel complémentaire

Accepter un travail d’encadrement de stage correspond à la perspective d’instaurer un échange. On consacre un peu de temps, on fait éventuellement bénéficier un peu de son expérience lorsque c’est utile, et en échange on apprend des choses que l’on peut réinvestir dans sa propre pratique professionnelle.

Le métier d’un enseignant-chercheur consistant à publier de la connaissance au service de tous, les informations confidentielles lui sont mal utiles. Donc le bilan est négatif : on ne gagne rien et on perd un peu de ce temps si précieux pour tous.

Je refuse a priori tout engagement dans le suivi de stages comprenant des rapports ou soutenances confidentielles.

Il y a quelques mois, avant que la covid19 ne vienne chambouler notre quotidien, Angie faisait le constat que nous n’avions finalement que très peu documenté sur ce blog les démarches de passage à des outils libres réalisées au sein des organisations. Celles-ci sont pourtant nombreuses à s’être questionnées et à avoir entamé une « degooglisation ». Il nous a semblé pertinent de les interviewer pour comprendre pourquoi et comment elles se sont lancées dans cette aventure. Ce retour d’expérience est, pour Framasoft, l’occasion de prouver que c’est possible, sans ignorer les difficultés et les freins rencontrés, les écueils et erreurs à ne pas reproduire, etc. Peut-être ces quelques témoignages parviendront-ils à vous convaincre de passer au libre au sein de votre structure et à la libérer des outils des géants du Web ?

La maison d’édition Pourpenser a attiré notre attention sur Mastodon avec ses prises de position libristes. En discutant un peu nous avons compris qu’elle a joint le geste à la parole en faisant évoluer ses outils informatiques. Ça n’est pas si fréquent, une entreprise qui se dégooglise. Nous lui avons demandé un retour d’expérience.

N’hésitez pas à consulter les autres articles de cette série consacrée à l’autonomisation numérique des organisations.

Bonjour, peux-tu te présenter brièvement ? Qui es-tu ? Quel est ton parcours ?

Albert, co-fondateur des éditions Pourpenser avec ma sœur Aline en 2002.

Petit je voulais être garde forestier ou cuisinier… autant dire que j’ai raté ma vocation 🙂 (même si j’adore toujours cuisiner).

En 1987 j’avais un voisin de palier qui travaillait chez Oracle. Après les cours je passais du temps sur un ordinateur qu’il me mettait à disposition : j’ai donc commencé avec un ordi sur MS-DOS et des tables SQL.

1987, c’était aussi le tout début de la PAO. Il y avait un logiciel dont j’ai perdu le nom dans lequel je mettais le texte en forme avec des balises du genre <A>ça fait du gras</A>, je trouvais ça beaucoup plus intéressant que PageMaker et lorsque j’ai découvert Ventura Publisher qui mariait les deux mondes, j’ai été conquis.

Par la suite j’ai travaillé une dizaine d’années dans la localisation de jeux vidéo et de CD-ROM : nous traduisions le contenu et le ré-intégrions dans le code. Ma première connexion à internet remonte à 1994 avec FranceNet, j’avais 25 ans. Je découvrais ce monde avec de grands yeux en m’intéressant au logiciel libre, à la gouvernance d’internet (je me rappelle notamment de l’ISOC et des rencontres d’Autrans) et ça bousculait pas mal de schémas que je pouvais avoir.

2000 : naissance de ma fille aînée, je quitte Paris, je prends un grand break : envie de donner plus de sens à ma vie.

2002 : naissance de mon fils et création de la maison d’édition avec ma sœur.

 

Tu nous parles de ton entreprise ?

Dans sa forme, Pourpenser est une SARL classique. Régulièrement, nous nous posons la question de revoir les statuts mais ça demande du temps et de l’argent que nous préférons mettre ailleurs. Finalement, le mode SARL est plutôt souple et dans les faits, nous avons une organisation très… anarchique. Même si avec Aline nous sentons bien qu’en tant que fondateurs notre voix compte un peu plus, l’organisation est très horizontale et les projets partent souvent dans tous les sens.

Que fait-elle ?

Dès le départ, nous avons eu à cœur de proposer des livres « avec du sens ». Aborder des questions existentielles, des questions de sociétés ou autour de notre relation au vivant. La notion d’empreinte nous interpelle régulièrement. Ne pas laisser d’empreinte est compliqué. Mais peut-être pouvons-nous choisir de laisser une empreinte aussi légère qu’utile ? La cohérence entre le contenu des livres que nous éditons et la manière dont nous produisons et amenons ces livres aux lecteurs et lectrices a toujours été centrale… même si rester cohérent est loin d’être toujours simple.

Nous aimons dire que notre métier n’est pas de faire des livres mais de transmettre du questionnement. Ceci dit, depuis 2002, nous avons édité environ 120 titres et une soixantaines d’auteur·e·s. Nous aimons éditer des contes, des romans, des BD, des jeux, des contes musicaux qui vont amener à une discussion, à une réflexion. Mais qui sait si un jour nous n’irons pas vers du spectacle vivant, de la chanson…

Combien êtes-vous ?

Normalement, nous sommes 8 personnes à travailler quasi-quotidiennement sur le catalogue de la maison et cela fait l’équivalent d’environ 5 temps plein, mais avec la crise actuelle nous avons nettement plus de temps libre… À côté de ça, nous accompagnons une soixantaine d’auteur·e·s, travaillons avec une centaine de points de vente en direct et avons quelques dizaines de milliers de contacts lecteurs.

 

Est-ce que tout le monde travaille au même endroit ?

L’équipe de huit est principalement située dans l’ouest, et l’une de nous est du côté de Troyes. Nous nous réunissons environ deux fois par an et utilisons donc beaucoup le réseau pour échanger. Le confinement de mars n’a fondamentalement rien changé à notre façon de travailler en interne. Par contre, les salons et les festivals ou nous aimons présenter les livres de la maison nous manquent et le fait que les librairies fonctionnent au ralenti ne nous aide pas.

Tu dirais que les membres de l’organisation sont plutôt à l’aise avec le numérique ? Pas du tout ? Ça dépend ? Kamoulox ?

Globalement, la culture « utilisateur du numérique » est bien présente dans toute l’équipe. Mais je dirais que nous sommes surtout deux : Dominique et moi, que la question de « jouer avec » amuse. Pour le reste de l’équipe, il faut que ça fonctionne et soit efficace sans prise de tête.

 

Avant de lancer cette démarche, vous utilisiez quels outils / services numériques ?

Lors de la création en 2002, j’ai mis en place un site que j’avais développé depuis un ensemble de scripts PHP liés à une base MySQL. Pour la gestion interne et la facturation, j’utilisais Filemaker (lorsque je ne suis pas sur Linux, je suis sur MacOS), et au fur et à mesure de l’arrivée des outils de Google (gmail, partage de documents…) nous les avons adoptés : c’était tellement puissant et pratique pour une mini structure éclatée comme la nôtre.

Par la suite, nous avons remplacé Filemaker par une solution ERP-CRM qui était proposée en version communautaire et que j’hébergeais chez OVH (LundiMatin – LMB) et le site internet a été séparé en 2 : un site B2C avec Emajine une solution locale mais sous licence propriétaire (l’éditeur Medialibs est basé à Nantes) et un site B2B sous Prestashop.

Pour les réseaux sociaux : Facebook, Instagram Twitter, Youtube.

En interne, tout ce qui est documents de travail léger passaient par Google Drive, Hubic (solution cloud de chez OVH) et les documents plus lourds (illustrations, livres mis en page) par du transfert de fichiers (FTP ou Wetransfer).

 

Qu’est-ce qui posait problème ?

La version communautaire de LMB n’a jamais vraiment décollé et au bout de 3 ans nous avons été contraints de migrer vers la solution SaS, et là, nous avons vraiment eu l’impression de nous retrouver enfermés. Impossible d’avoir accès à nos tables SQL, impossible de modifier l’interface. À côté de ça une difficulté grandissante à utiliser les outils de Google pour des raisons éthiques (alors que je les portais aux nues au début des années 2000…)

 

Vous avez entamé une démarche en interne pour migrer vers des outils numériques plus éthiques. Qu’est-ce qui est à l’origine de cette démarche ?

La démarche est en cours et bien avancée.

J’ai croisé l’existence de Framasoft au début des années 2000 et lorsque l’association a proposé des outils comme les Framapad, framacalc et toutes les framachoses ; j’en ai profité pour diffuser ces outils plutôt que ceux de Google auprès des associations avec lesquelles j’étais en contact. Mes activités associatives m’ont ainsi permis de tester petit à petit les outils avant de les utiliser au niveau de l’entreprise.

Des outils (LMB, Médialibs) propriétaires avec de grandes difficultés et/ou coûts pour disposer de fonctionnalités propre à notre métier d’éditeur. Des facturations pour utilisation des systèmes existants plutôt que pour du développement. Un sentiment d’impuissance pour répondre à nos besoins numériques et d’une non écoute de nos problématiques : c’est à nous de nous adapter aux solutions proposées… Aucune liberté.

« un besoin de cohérence »

Quelle était votre motivation ?

La motivation principale est vraiment liée à un besoin de cohérence.

Nous imprimons localement sur des papiers labellisés, nous calculons les droits d’auteurs sur les quantités imprimées, nos envois sont préparés par une entreprise adaptée, nous avons quitté Amazon dès 2013 (après seulement 1 an d’essai)…

À titre personnel j’ai quitté Gmail en 2014 et j’avais écrit un billet sur mon blog à ce sujet. Mais ensuite, passer du perso à l’entreprise, c’était plus compliqué, plus lent aussi.

Par ailleurs nous devions faire évoluer nos systèmes d’information et remettre tout à plat.

 

…et vos objectifs ?

Il y a clairement plusieurs objectifs dans cette démarche.

• Une démarche militante : montrer qu’il est possible de faire autrement.
• Le souhait de mieux maîtriser les données de l’entreprise et de nos clients.
• Le besoin d’avoir des outils qui répondent au mieux à nos besoins et que nous pouvons faire évoluer.
• Quitte à développer quelque chose pour nous autant que cela serve à d’autres.
• Les fonds d’aides publiques retournent au public sous forme de licence libre.
• Création d’un réseau d’acteurs et actrices culturelles autour de la question du numérique libre.

 

Quel lien avec les valeurs de votre maison d’édition ?

Les concepts de liberté et de responsabilité sont régulièrement présents dans les livres que nous éditons. Réussir à gagner petit à petit en cohérence est un vrai plaisir.
Partage et permaculture… Ce que je fais sert à autre chose que mon besoin propre…

 

Qui a travaillé sur cette démarche ?

Aujourd’hui ce sont surtout Dominique et moi-même qui travaillons sur les tests et la mise en place des outils.

Des entreprises associées : Symétrie sur Lyon, B2CK en Belgique , Dominique Chabort au début sur la question de l’hébergement.

Un des problèmes aujourd’hui est clairement le temps insuffisant que nous parvenons à y consacrer.

Aujourd’hui, la place du SI est pour nous primordiale pour prendre soin comme nous le souhaitons de nos contacts, lecteurs, pour diffuser notre catalogue et faire notre métier.

 

Vous avez les compétences pour faire ça dans l’entreprise ?

Il est clair que nous avons plus que des compétences basiques. Elles sont essentiellement liées à nos parcours et à notre curiosité : si Dominique a une expérience de dev et chef de projet que je n’ai pas, depuis 1987 j’ai eu le temps de comprendre les fonctionnements, faire un peu de code, et d’assemblages de briques 😉

 

Combien de temps ça vous a pris ?

Je dirais que la démarche est réellement entamée depuis 2 ans (le jour ou j’ai hébergé sauvagement un serveur NextCloud sur un hébergement mutualisé chez OVH). Et aujourd’hui il nous faudrait un équivalent mi-temps pour rester dans les délais que nous souhaitons.

 

Ça vous a coûté de l’argent ?

Aujourd’hui ça nous coûte plus car les systèmes sont un peu en parallèle et que nous sommes passés de Google « qui ne coûte rien » à l’hébergement sur un VPS pour 400 € l’année environ. Mais en fait ce n’est pas un coût, c’est réellement un investissement.

Nous ne pensons pas que nos systèmes nous coûteront moins chers qu’actuellement. Mais nous estimons que pour la moitié du budget, chaque année, les coûts seront en réalité des investissements.

Les coûts ne seront plus pour l’utilisation des logiciels, mais pour les développements. Ainsi nous pensons maîtriser les évolutions, pour qu’ils aillent dans notre sens, avec une grande pérennité.

 

Quelles étapes avez-vous suivi lors de cette démarche  de dégooglisation ?

Ah… la méthodologie 🙂

Elle est totalement diffuse et varie au fil de l’eau.

Clairement, je n’ai AUCUNE méthode (c’est même très gênant par moment). Je dirais que je teste, je regarde si ça marche ou pas, et si ça marche moyen, je teste autre chose. Heureusement que Dominique me recadre un peu par moment.

Beaucoup d’échanges et de controverse. Surtout que le choix que nous faisons fait reposer la responsabilité sur nous si nous ni parvenons pas. Nous ne pouvons plus nous reposer sur « c’est le système qui ne fonctionne pas », « nous sommes bloqué·e·s par l’entreprise ». C’est ce choix qui est difficile à faire.

La démarche c’est les rencontres, les échanges, les témoignages d’expériences des uns et des autres…

Et puis surtout : qu’avons nous envie de faire, réellement…

Dans un premier cas, est-ce que cela me parle, me met en joie d’avoir un jolie SI tout neuf ? Ou cela nous aiderait au quotidien, mais aucune énergie de plus.

Dans l’option que nous prenons, l’idée de faire pour que cela aide aussi les autres éditeurs, que ce que nous créons participe à une construction globale est très réjouissant…

La stratégie est là : joie et partage.

Au début ?

Un peu perdu, peur de la complexité, comment trouver les partenaires qui ont la même philosophie que nous…

Mais finalement le monde libre n’est pas si grand, et les contacts se font bien.

 

Ensuite ?

Trouver les financements, et se lancer.

 

Et à ce jour, où en êtes-vous ?

À ce jour nous avons totalement remplacé les GoogleDrive, Hubic et Wetransfer par Nextcloud ; remplacé également GoogleHangout par Talk sur Nextcloud.

Facebook, Instagram et Twitter sont toujours là… Mais nous avons un compte sur Mastodon !

Youtube est toujours là… Mais le serveur Peertube est en cours de création et Funkwhale pour l’audio également.

Concernant l’administration de ces outils, je suis devenu un grand fan de Yunohost : une solution qui permet l’auto-hébergement de façon assez simple et avec communauté très dynamique.

Notre plus gros projet est dans le co-développement d’un ERP open source : Oplibris

Ce projet est né en 2018 après une étude du Coll.LIBRIS (l’association des éditeurs en Pays de la Loire) auprès d’une centaine d’éditeurs de livres. Nous avons constaté qu’il n’existait à ce jour aucune solution plébiscité par les éditeurs indépendants qui ont entre 10 et 1000 titres au catalogue. Nous avons rencontré un autre éditeur (Symétrie, sur Lyon) qui avait de son côté fait le même constat et commencé à utiliser Tryton. (je profite de l’occasion pour lancer un petit appel : si des dev flask et des designers ont envie de travailler ensemble sur ce projet, nous sommes preneurs !)

Migrer LMB, notre ERP actuel, vers Oplibris est vraiment notre plus gros chantier.

À partir de là, nous pourrons revoir nos sites internet qui viendront se nourrir dans ses bases et le nourrir en retour.

 

Combien de temps entre la décision et le début des actions ?

Entre la décision et le début des actions : environ 15 secondes. Par contre, entre le début des actions et les premières mise en place utilisateur environ 6 mois. Ceci dit, de nombreuses graines plantées depuis des années ne demandaient qu’à germer.

« Nous mettons de grosses contraintes éthiques »

Avant de migrer, avez-vous testé plusieurs outils au préalable ?

J’ai l’impression d’être toujours en test. Par exemple, Talk/Discussion sur Nextcloud ne répond qu’imparfaitement à notre besoin. Je préférerais Mattermost, mais le fait que Talk/Discussion soit inclus dans Nextcloud est un point important côté utilisateurs.

Nous mettons de grosses contraintes éthiques, de ce fait les choix se réduisent d’eux-mêmes, il ne reste plus beaucoup de solutions. Lorsqu’on en trouve une qui nous correspond c’est déjà énorme !

 

Avez-vous organisé un accompagnement des utilisateur⋅ices ?

L’équipe est assez réduite et plutôt que de prévoir de la documentation avec des captures écran ou de la vidéo, je préfère prendre du temps au téléphone ou en visio.

 

Prévoyez-vous des actions plus élaborées ?

Nous n’en sommes pas à ce stade, probablement que si le projet se développe et est apprécié par d’autres, des formations entre nous seront nécessaires.

 

Quels ont été les retours ?

Il y a régulièrement des remarques du genre : « Ah mais pourquoi je ne peux plus faire ça » et il faut expliquer qu’il faut faire différemment. Compliqué le changement des habitudes, ceci dit l’équipe est bien consciente de l’intérêt de la démarche.

 

Comment est constituée « l’équipe projet » ?

Dominique, B2CK, Symétrie.

 

Quelles difficultés avez-vous rencontrées ?

La difficulté majeure est de trouver le bon équilibre entre la cohérence des outils et l’efficacité nécessaire dans le cadre d’une entreprise.

Le frein majeur côté utilisateurs est de faire migrer les personnes qui utilisent encore Gmail pour le traitement de leur courriel. L’interface est si pratique et la recherche tellement puissante et rapide qu’il est compliqué de le quitter.

Une autre difficulté est d’ordre comptable et financier : comment contribuer financièrement à ce monde du logiciel libre ? Comment donner ? A quelles structures ? (aujourd’hui nos financements vont principalement au développement de Tryton).

 

Et l’avenir ? Envisagez-vous de continuer cette démarche pour l’appliquer à d’autres aspects de votre organisation ?

Côté création, j’aimerais beaucoup que nous puissions utiliser des outils libres tels que Scribus, Inkscape, Krita ou GIMP plutôt que la suite Adobe. Mais aujourd’hui ces outils ne sont pas adoptés par l’équipe de création car trop compliqués d’utilisation et pas nativement adaptés à l’impression en CMJN. Une alternative serait d’utiliser la suite Affinity (mais qui n’est pas open source…)

Quels conseils donneriez-vous à d’autres organisations qui se lanceraient dans la même démarche ?

Y prendre du plaisir ! Mine de rien, la démarche demande du temps et de l’attention. Il faut confier ça à des personnes qui prennent ça comme un jeu. Oubliez la notion de temps et de délais, optez pour les valeurs qui soient plus la finalité et le plaisir. Au pied de la montagne entre prendre le téléphérique ou le chemin à pied ce n’est pas le même projet, vous n’avez pas besoin des même moyens.

 

Le mot de la fin, pour donner envie de migrer vers les outils libres ?

Sommes-nous les outils que nous utilisons ? Libres ?

Quitter les réseaux sociaux centralisés est extrêmement complexe. Je manque encore de visibilité à ce sujet et ça risque d’être encore très long. J’ai proposé à l’équipe une migration totale sans clore les comptes mais avec un mot régulièrement posté pour dire « rejoignez-nous ici plutôt que là ». Mon rêve serait d’embarquer au moins une centaine d’entreprises dans une telle démarche pour tous faire sécession le même jour. Des volontaires ? 🙂

 

Aller plus loin

• Fair-play, Albert ne nous l’a jamais demandé, il sait qu’on est un peu allergique à la pub, mais on vous donne quand même le lien vers le site des Éditions Pourpenser

Crédits

• Illustrations réalisées par Albert sur Gégé  à partir de dessins de Gee
• Photo de l’équipe avec des illustrations d’Aline de Pétigny et Laura Edon
• Logo de pourpenser mis en couleurs par Galou

Nous les geeks, nous savons bien qu’avec une bonne distribution Gnu/Linux et un coup de pinceau anti-poussière de temps en temps, un ordinateur peut vivre très longtemps.

Les fondateurs de la société M Carré remettent en forme les PC familiaux et vont s’attaquer à ceux des entreprises. Sans se poser en intégristes du Libre, ils rééduquent doucement avec la seule arme qui marche : des résultats.

Remercions-les pour tous ces dimanches qu’on ne passera plus à réinstaller le PC du beau-frère. ^^

Le développement durable, on en parle, mais c’est tellement mieux quand on s’y met !

Salut les gars ! Nous vous avions interviewés au moment où vous lanciez votre start-up.  On aimerait bien savoir où vous en êtes. Alors, dites, vous gagnez des sous ? 😛

Oui, l’entreprise fonctionne bien et continue de grandir, grâce au millier de personnes de tous les horizons qui nous ont fait confiance. Nous avons décidé de nous focaliser pour cette deuxième année plus sur les professionnels, parce que malheureusement les impacts de l’obsolescence dans ces secteurs sont trop souvent liés au remplacement du matériel. Notre porte reste évidemment toujours ouverte à tout le monde.

Plus globalement, c’est quoi votre bilan, après un an et demi ?

Tout d’abord, Mcarré nous apporte une superbe expérience. Vous savez, quand on se lance dans une entreprise, c’est comme tout projet, ce n’est pas évident tous les jours, car nous devons nous réapprendre tout le temps. Et aimer ce que l’on fait, en l’occurrence la passion de l’informatique pour nous, est primordial. C’est ce qui fait aussi notre qualité de service.
Et puis nous apprenons tout le temps ! L’informatique évolue plus vite que ce que l’on a pu anticiper et cela suppose pour nos esprits jeunes, de se remettre en question et de revoir à la fois notre catalogue et notre cahier des charges.
Le deuxième constat, c’est que beaucoup de gens en ont marre de jeter, et c’est une très bonne nouvelle pour l’écologie. Nous avons beaucoup de personnes qui viennent nous voir après s’être senti arnaquées dans d’autres structures. Alors, au delà de l’écologie, c’est aussi la relation client qu’il faut réenchanter, pour que la confiance se recrée à nouveau.

 

En tout cas vous êtes toujours à fond, vous faites des vidéos de promo rigolotes, vous montez des partenariats… Parlez-nous de tout ça.

Vous avez parfaitement résumé notre état d’esprit. Notre objectif n’a pas changé depuis le début : construire un monde durable et accessible. C’est ambitieux et indispensable, alors nous faisons tout en sorte pour y parvenir. Nous avons augmenté notre gamme de services et de produits, ce qui nous permet d’être opérationnels de l’ordinateur jusqu’au réseau, d’une machine durable à la remise à neuf d’un Mac qui a 15 ans. C’est cette expertise qui nous permet de devenir l’interlocuteur unique de nombre d’entreprises, avec ce souci du détail pour remettre l’informatique à sa place : un outil.

Et toujours libristes, ou vous avez été obligés de faire des concessions ? (on a vu une Google Map sur votre site Wix, attention les geeks, ça pique, NoScript va couiner)

Libristes, oui, dans une relation non exclusive ! Nous n’avons jamais caché que nous travaillons sur tous les systèmes d’exploitation. Et pour nous, c’est extrêmement important, car cela nous permet de toucher tout le monde. Changer les habitudes, c’est bien et possible mais c’est moins notre action quotidienne, qui se fait plus dans la sensibilisation. Notre travail c’est avant tout de rendre la machine de son propriétaire durable, accessible et qu’il puisse l’utiliser mieux quand il part de chez nous que quand il arrive. C’est aussi un point fort.

Nan, mais, je veux dire, vous réparez encore des Windows ?

Oui, et, je vais vous faire frémir, nous faisons pire. Nous remettons à neuf des Mac.

 

Vous avez le temps de contribuer à des projets libres ?

Oui, nous contribuons à Odoo. Nous avons choisi ce logiciel et réalisé quelques développements. Nous espérons pouvoir un jour participer activement et régulièrement à cette communauté. Nous sommes encore en phase d’apprentissage. Et nous voulons aller plus loin, nous utilisons beaucoup de logiciels libres pour nous et nos clients ; et participer à hauteur d’un pourcentage sur notre bénéfice est quelque chose que nous voulons faire.

Vous avez plein de témoignages de clients contents, combien sont authentiques ? 😛

Je vais décevoir la concurrence, mais tous. Et nous ne les avons même pas achetés !

Vous embauchez, c’est cool. Il faut être un gros geek, pour devenir « mentor » chez M2 ?

Pas forcément un geek, mais un passionné. Nous avons besoin de profils qui partagent également nos valeurs et qui nettoient la cuisine. Tous ceux qui passent par chez nous sont soumis à notre training et doivent savoir réaliser ce que nous appelons le Fastech (remise à neuf de votre ordinateur), même à la compta. Je vous rassure, dans ce cas, nous repassons derrière. 🙂

Alors, c’est sûr qu’à midi ça parle souvent geek. Mais nous sommes très attentifs à ce que tout le monde ait d’autres passions. Comme les trois fondateurs. C’est indispensable pour l’équilibre.

L’étape d’après ?

Nous allons être honnêtes, nous ne voulons pas nous arrêter là. Nous voulons que les ordinateurs durent 10 ans en durée d’utilisation. Et nous voulons continuer à avoir un impact positif à travers la France et pourquoi pas à l’étranger. Nous avons déjà reçu des demandes pour quelques pays.

Et le dernier mot ? (vous avez déjà fait le coup des céréales.)

Arrêtez de renverser du quinoa sur vos claviers d’ordinateurs, ils ne s’en porteront que mieux !

On n’en peut plus des applis ! Depuis longtemps déjà leur omniprésence est envahissante et nous en avons parlé ici et là. Comme le profit potentiel qu’elles représentent n’a pas diminué, leur harcèlement n’a fait qu’augmenter

Aujourd’hui un bref article attire notre attention sur les applications comme vecteurs d’attaques, dangereuses tant pour la vie privée que pour la vie professionnelle.

Avertissement : l’auteur est vice-président d’une entreprise qui vend de la sécurité pour mobile…aux entreprises, d’où la deuxième partie de son article qui cible l’emploi des applications dans le monde du travail, et où manifestement il « prêche pour sa paroisse ».

Il nous a semblé que sa visée intéressée n’enlève rien à la pertinence de ses mises en garde.

Article original paru dans TechCrunch : Attack of the apps

Traduction Framalang : dodosan, goofy, savage, xi,  Asta

Quand les applis attaquent

par Robbie Forkish

Ça paraît une bonne affaire : vos applis favorites pour mobile sont gratuites et en contrepartie vous regardez des pubs agaçantes.

Mais ce que vous donnez en échange va plus loin. En réalité, vous êtes obligé⋅e de céder un grand nombre d’informations privées. Les applications mobiles collectent une quantité énorme de données personnelles : votre emplacement, votre historique de navigation sur Internet, vos contacts, votre emploi du temps, votre identité et bien davantage. Et toutes ces données sont partagées instantanément avec des réseaux de publicité sur mobile, qui les utilisent pour déterminer la meilleure pub pour n’importe quel utilisateur, en tout lieu et à tout moment.

Donc le contrat n’est pas vraiment d’échanger des pubs contre des applis, c’est plutôt de la surveillance sur mobile contre des applis. En acceptant des applis gratuites et payées par la pub sur nos mobiles, nous avons consenti à un  modèle économique qui implique une surveillance complète et permanente des individus. C’est ce qu’Al Gore appelait très justement une économie du harcèlement.

Pourquoi nos données personnelles, notre géolocalisation et nos déplacements sont-ils tellement convoités par les entreprises commerciales ? Parce que nous, les consommateurs, avons toujours et partout notre smartphone avec nous, et qu’il transmet sans cesse des données personnelles en tout genre. Si les annonceurs publicitaires savent qui nous sommes, où nous sommes et ce que nous faisons, ils peuvent nous envoyer des publicités plus efficacement ciblées. Cela s’appelle du marketing de proximité. C’est par exemple la pub du Rite Aid (NdT chaîne de pharmacies) qui vous envoie un message téléphonique quand vous circulez dans les rayons : « Vente flash : -10 % sur les bains de bouche ! »

Ça paraît inoffensif, juste agaçant. Mais cela va bien plus loin. Nous avons maintenant accepté un système dans lequel un site majeur de commerce en ligne peut savoir par exemple, qu’une adolescente est enceinte avant que ses parents ne le sachent, simplement en croisant les données de ses achats, son activité et ses recherches. Ce site de vente en ligne peut alors la contacter par courrier traditionnel ou électronique, ou encore la cibler via son téléphone lorsqu’elle est à proximité d’un point de vente. Nous n’avons aucune chance de voir disparaître un jour cette intrusion dans notre vie privée tant que le profit économique sera juteux pour les développeurs d’applications et les agences de publicité.

Un smartphone compromis représente une menace pas seulement pour l’employé visé mais pour l’entreprise tout entière.

D’accord, cette forme de surveillance du consommateur est intrusive et terrifiante. Mais en quoi cela menace-t-il la sécurité de l’entreprise ? C’est simple. À mesure que les appareils mobiles envahissent le monde du business, les fuites de ces appareils ouvrent la porte de l’entreprise aux piratages, aux vols de données et à des attaques paralysantes.

Si par exemple une entreprise laisse ses employés synchroniser leurs agendas et comptes mail professionnels avec leurs appareils mobiles personnels, cela ouvre la porte à toutes sortes de risques. D’un coup, les téléphones des employés contiennent les informations de contact de tout le monde dans l’organisation ou ont la possibilité d’y accéder. À fortiori, n’importe quelle autre application mobile qui demandera l’accès aux contacts et agendas des employés aura accès aux noms et titres des employés de la compagnie, aussi bien qu’aux numéros de toutes les conférences téléphoniques privées. Cette information peut facilement être utilisée pour une attaque par hameçonnage par une application malveillante ou un pirate.

Pire, de nombreuses applications monétisent leurs bases d’utilisateurs en partageant les données avec des réseaux publicitaires qui repartagent et mutualisent les données avec d’autres réseaux, aussi est-il impossible de savoir exactement où vont les données et si elles sont manipulées de manière sécurisée par n’importe laquelle des nombreux utilisateurs y ayant accès. Tous ces partages signifient qu’un pirate malveillant n’a même pas besoin d’avoir accès au téléphone d’un employé pour attaquer une entreprise. Il lui suffit de pirater un réseau publicitaire qui possède les informations de millions d’utilisateurs et de partir de là.

Les informations volées peuvent aussi être utilisées pour pirater une entreprise au moyen d’une attaque de point d’eau. Supposons par exemple que des membres du comité de direction déjeunent régulièrement dans le même restaurant. Un attaquant qui a accès à leurs données de localisation pourrait facilement l’apprendre. L’attaquant suppose, à raison, que certains membres vont sur le site du restaurant pour réserver une table et regarder le menu avant le repas. En introduisant du code malveillant sur ce site mal défendu, l’attaquant peut compromettre l’ordinateur de bureau ou le téléphone d’un ou plusieurs membres du comité de direction, et de là, s’introduire dans le réseau de l’entreprise.

Un smartphone compromis représente une menace non seulement pour l’employé ciblé mais pour l’entreprise dans son entier. Des informations sur les activités des employés, à la fois pendant leur temps de travail et en dehors, combinées à des courriels, des informations sensibles ou des documents liés à l’entreprise, peuvent avoir des effets dévastateurs sur une organisation si elles tombent entre de mauvaises mains.
Que doivent donc faire les entreprises pour lutter contre cette menace ?

La première étape est d’en apprendre plus sur votre environnement mobile. Votre organisation doit savoir quelles applications les employés utilisent, ce que font ces applications et si elles sont conformes à la politique de sécurité de l’entreprise. Par exemple, existe-t-il une application de partage de documents particulièrement risquée que vous ne voulez pas que vos employés utilisent ? Est-elle déjà utilisée ? Si vous ne savez pas quelles applications vos employés utilisent pour travailler, vous naviguez à l’aveugle et vous prenez de gros risques.

Il est essentiel que votre entreprise inclue la protection contre les menaces sur mobile dans sa stratégie de sécurité générale.

Deuxièmement, vous allez avoir besoin d’une politique sur l’utilisation des appareils mobiles. La plupart des organisations ont déjà mis en place une politique pour les autres plateformes, y compris pour la gestion des pare-feux et le partage de données avec des partenaires de l’entreprise. Par exemple, si vos employés utilisent la version gratuite d’applications approuvées par l’entreprise mais avec publicité, imposez aux employés d’utiliser la version payante afin de minimiser, sinon éliminer, l’envoi aux employés de données non approuvées sous forme de publicités, même si cela n’éliminera pas la collecte incessante de données personnelles et privées.

Ensuite, votre organisation doit informer les employés sur les risques liés aux applications utilisées. Il est dans votre intérêt de donner du pouvoir aux utilisateurs en les équipant d’outils et en les entraînant afin qu’ils puissent prendre de meilleures décisions quant aux applications téléchargées. Par exemple, incitez vos employés à se poser des questions sur les applications qui demandent des permissions. Il existe beaucoup d’applications qui veulent accéder aux données de localisation, aux contacts ou à la caméra. Les employés ne doivent pas dire automatiquement oui. La plupart des applications fonctionneront très bien si la requête est rejetée, et demanderont à nouveau aux utilisateurs si la permission est vraiment nécessaire. Si une application ne dit pas pourquoi elle a besoin de cet accès, c’est mauvais signe.

Enfin, toutes ces questions peuvent être traitées avec une bonne solution de sécurité pour appareils mobiles. Toute entreprise sans solution de protection des appareils mobiles est par définition inconsciente des informations qui lui échappent et ignore d’où viennent les fuites. Elle est donc incapable de répondre aux risques présents dans son environnement. Il est donc essentiel que votre entreprise inclue la protection des appareils mobiles dans sa stratégie de sécurité afin de protéger la vie privée des employés et les données de l’entreprise de la menace toujours plus grande que représentent la surveillance des téléphones et la collecte de données.

Il sera peut-être une nouvelle fois traité de Cassandre et de parano, mais Bruce Schneier enfonce le clou !

Sensible aux signaux qu’envoient de façon croissante les faits divers mettant en cause les objets connectés — le fameux Internet des objets pour lequel « se mobilise » (sic) la grande distribution avec la French Tech — ce spécialiste de la sécurité informatique qui a rejoint récemment le comité directeur du projet Tor veut montrer que les risques désormais ne concernent plus seulement la vie numérique mais bien, directement ou non, la vie réelle. Il insiste aussi une fois encore sur les limites de la technologie et la nécessité d’un volontarisme politique.

Quand l’internet des objets menace la sécurité du monde réel

par Bruce Schneier

Article original sur son blog Real-World Security and the Internet of Things

Traduction Framalang : Valdo, KoS, serici, audionuma, goofy

Les récits de catastrophes qui impliquent l’Internet des objets sont à la mode. Ils mettent en scène les voitures connectées (avec ou sans conducteur), le réseau électrique, les barrages hydroélectriques et les conduits d’aération. Un scénario particulièrement réaliste et vivant, qui se déroule dans un avenir proche, a été publié le mois dernier dans New York Magazine, décrivant une cyberattaque sur New York qui comprend le piratage de voitures, du réseau de distribution de l’eau, des hôpitaux, des ascenseurs et du réseau électrique. Dans de tels récits, un chaos total s’ensuit et des milliers de gens meurent. Bien sûr, certains de ces scénarios exagérèrent largement la destruction massive, mais les risques pour les individus sont bien réels. Et la sécurité classique des ordinateurs et des réseaux numériques n’est pas à la hauteur pour traiter de tels problèmes.

La sécurité traditionnelle des informations repose sur un triptyque : la confidentialité, l’intégrité et l’accès. On l’appelle aussi « C.I.A », ce qui, il faut bien le reconnaître, entretient la confusion dans le contexte de la sécurité nationale. Mais fondamentalement, voici les trois choses que je peux faire de vos données : les voler (confidentialité), les modifier (intégrité), ou vous empêcher de les obtenir (accès).

« L’internet des objets permettra des attaques que nous ne pouvons même pas imaginer. »

Jusqu’à présent, les menaces occasionnées par internet ont surtout concerné la confidentialité. Elles peuvent coûter cher; d’après cette étude chaque piratage de données a coûté 3.8 millions de dollars en moyenne. Elles peuvent s’avérer très gênantes, c’était le cas par exemple quand des photos de célébrités ont été volées sur le cloud d’Apple en 2014 ou lors du piratage du site de rencontres Ashley Madison en 2015. Elles peuvent faire des dégâts, comme quand le gouvernement de Corée du Nord a volé des milliers de documents à Sony ou quand des hackers ont piraté 83 millions de comptes de la banque JPMorgan Chase, dans les deux cas en 2014. Elles peuvent menacer la sécurité nationale, on l’a vu dans le cas du piratage de l’Office of Personnel Management par — pense-t-on — la Chine en 2015.

Avec l’Internet des objets, les menaces sur l’intégrité et la disponibilité sont plus importantes que celles concernant la confidentialité. C’est une chose si votre serrure intelligente peut être espionnée pour savoir qui est à la maison. C’est autre chose si elle peut être piratée pour permettre à un cambrioleur d’ouvrir la porte ou vous empêcher de l’ouvrir. Un pirate qui peut vous retirer le contrôle de votre voiture ou en prendre le contrôle est bien plus dangereux que celui qui peut espionner vos conversations ou pister la localisation de votre voiture.

Avec l’avènement de l’internet des objets et des systèmes physiques connectés en général, nous avons donné à Internet des bras et des jambes : la possibilité d’affecter directement le monde physique. Les attaques contre des données et des informations sont devenues des attaques contre la chair, l’acier et le béton.

Les menaces d’aujourd’hui incluent des hackers qui font s’écraser des avions en s’introduisant dans des réseaux informatiques, et qui désactivent à distance des voitures, qu’elles soient arrêtées et garées ou lancées à pleine vitesse sur une autoroute. Nous nous inquiétons à propos des manipulations de comptage des voix des machines de vote électronique, des canalisations d’eau gelées via des thermostats piratés, et de meurtre à distance au travers d’équipements médicaux piratés. Les possibilités sont à proprement parler infinies. L’internet des objets permettra des attaques que nous ne pouvons même pas imaginer.

L’accroissement des risques provient de trois choses : le contrôle logiciel des systèmes, les interconnexions entre systèmes, et les systèmes automatiques ou autonomes. Jetons un œil à chacune d’entre elles.

Contrôle logiciel. L’internet des objets est le résultat de la transformation de tous les objets en ordinateurs. Cela nous apporte une puissance et une flexibilité énormes, mais aussi des insécurités par la même occasion. À mesure que les objets deviennent contrôlables de façon logicielle, ils deviennent vulnérables à toutes les attaques dont nous avons été témoins contre les ordinateurs. Mais étant donné qu’un bon nombre de ces objets sont à la fois bon marché et durables, la plupart des systèmes de mise à jour et de correctifs qui fonctionnent pour les ordinateurs et les téléphones intelligents ne fonctionneront pas ici. À l’heure actuelle, la seule manière de mieux sécuriser les routeurs individuels c’est de les jeter à la poubelle pour en acheter de nouveaux. Et la sécurité que vous obtenez en changeant fréquemment d’ordiphone ou d’ordinateur ne servira à rien pour protéger votre thermostat ou votre réfrigérateur : en moyenne vous changez ce dernier tous les 15 ans, et l’autre à peu près… jamais. Une étude récente de Princeton a découvert 500 000 appareils non sécurisés sur Internet. Ce nombre est sur le point d’augmenter de façon explosive.

Interconnexions. Ces systèmes devenant de plus en plus interconnectés, une vulnérabilité de l’un entraîne des attaques contres les autres. Nous avons déjà vu des comptes Gmail compromis à cause d’une vulnérabilité dans un réfrigérateur connecté Samsung, le réseau d’un hôpital compromis à cause de vulnérabilités dans du matériel médical et l’entreprise Target piratée à cause d’une vulnérabilité dans son système d’air conditionné. Les systèmes sont soumis à nombre d’externalités qui affectent d’autres systèmes de façon imprévisible et potentiellement dangereuse. Ce qui peut sembler bénin aux concepteurs d’un système particulier peut s’avérer néfaste une fois combiné à un autre système. Les vulnérabilités d’un système peuvent se répercuter sur un autre système et le résultat sera une vulnérabilité que personne n’a vu venir et que personne ne prendra la responsabilité de corriger. L’internet des objets va rendre les failles exploitables beaucoup plus communes. C’est mathématique. Si 100 systèmes interagissent entre eux, cela fait environ 5000 interactions et 5 000 vulnérabilités potentielles résultant de ces interactions. Si 300 systèmes interagissent entre eux, c’est 45 000 interactions. 1 000 systèmes : 12,5 millions d’interactions. La plupart seront bénignes ou sans intérêt, mais certaines seront très préjudiciables.

Autonomie. Nos systèmes informatiques sont des plus en plus autonomes. Ils achètent et vendent des actions, allument et éteignent la chaudière, régulent les flux d’électricité à travers le réseau et, dans le cas des voitures autonomes, conduisent des véhicules de plusieurs tonnes jusqu’à destination. L’autonomie est une bonne chose pour toutes sortes de raisons, mais du point de vue de la sécurité, cela signifie qu’une attaque peut prendre effet immédiatement et partout à la fois. Plus nous retirons l’humain de la boucle, plus les attaques produiront des effets rapidement et plus nous perdrons notre capacité à compter sur une vraie intelligence pour remarquer que quelque chose ne va pas avant qu’il ne soit trop tard.

« Les risques et les solutions sont trop techniques pour être compris de la plupart des gens. »

Nous construisons des systèmes de plus en plus puissants et utiles. Le revers de la médaille est qu’ils sont de plus en plus dangereux. Une seule vulnérabilité a forcé Chrysler à rappeler 1,4 million de véhicules en 2015. Nous sommes habitués aux attaques à grande échelle contre les ordinateurs, rappelez-vous les infections massives de virus de ces dernières décennies, mais nous ne sommes pas préparés à ce que cela arrive à tout le reste de notre monde.

Les gouvernements en prennent conscience. L’année dernière, les directeurs du renseignement national James Clapper et de la NSA Mike Rogers ont témoigné devant le Congrès, mettant l’accent sur ces menaces. Tous deux pensent que nous sommes vulnérables.

Voici comment cela a été formulé dans le rapport sur les menaces mondiales du DNI :

La plupart des discussions sur les menaces numériques traitent de la disponibilité et de la confidentialité des informations ; l’espionnage en ligne s’attaque à la confidentialité, là où les attaques par déni de service ou les effacements de données menacent la disponibilité. À l’avenir, en revanche, nous verrons certainement apparaître des opérations modifiant les informations électroniques dont l’objectif sera de toucher à leur intégrité (c’est à dire leur précision et leur fiabilité) plutôt que de les effacer ou d’empêcher leur accès. Le processus de prise de décision des responsables gouvernementaux (civils ou militaires), des chefs d’entreprises, des investisseurs et d’autres sera handicapé s’ils ne peuvent faire confiance à l’information qu’ils reçoivent.

Le rapport sur l’évaluation de la menace pour 2016 mentionnait quelque chose de similaire :

Les futures opérations cybernétiques attacheront presque à coup sûr une plus grande importance à la modification et à la manipulation des données destinées à compromettre leur intégrité (c’est-à-dire la précision et la fiabilité) pour influencer la prise de décision, réduire la confiance dans les systèmes ou provoquer des effets physiques indésirables. Une plus large adoption des appareils connectés et de l’intelligence artificielle — dans des environnements tels que les services publics et la santé — ne fera qu’exacerber ces effets potentiels.

Les ingénieurs en sécurité travaillent sur des technologies qui peuvent atténuer une grande partie de ce risque, mais de nombreuses solutions ne seront pas déployées sans intervention du gouvernement. Ce n’est pas un problème que peut résoudre le marché. Comme dans le cas de la confidentialité des données, les risques et les solutions sont trop techniques pour être compris de la plupart des gens et des organisations ; les entreprises sont très désireuses de dissimuler le manque de sécurité de leurs propres systèmes à leurs clients, aux utilisateurs et au grand public ; les interconnexions peuvent rendre impossible d’établir le lien entre un piratage et les dégâts qu’il occasionne ; et les intérêts des entreprises coïncident rarement avec ceux du reste de la population.

Il faut que les gouvernements jouent un rôle plus important : fixer des normes, en surveiller le respect et proposer des solutions aux entreprises et aux réseaux. Et bien que le plan national d’action pour la cybersécurité de la Maison Blanche aille parfois dans la bonne direction, il ne va sûrement pas assez loin, parce que beaucoup d’entre nous avons la phobie de toute solution imposée par un gouvernement quelconque.

Le prochain président sera probablement contraint de gérer un désastre à grande échelle sur Internet, qui pourrait faire de nombreuses victimes. J’espère qu’il ou elle y fera face à la fois avec la conscience de ce que peut faire un gouvernement et qui est impossible aux entreprises, et avec la volonté politique nécessaire.

 

Bruce Schneier est un spécialiste reconnu en matière de sécurité informatique, sur laquelle il a publié plusieurs livres et de nombreux articles sur son blog schneier.com.

En s’inspirant des problèmes d’accès à l’informatique des personnes déficientes visuelles, Jean-Philippe et Corentin, les fondateurs d’Hypra (dont plusieurs membres sont aveugles ou mal voyants) ont conçu un modèle qui personnalise l’accompagnement de l’utilisateur.

Leur « Système à Accès Universel » facilite la migration vers le logiciel libre, y compris pour le grand public.

Bonjour ! Alors, dites-nous : comment utiliser un ordinateur quand on ne voit pas ?

Deux possibilités, soit je suis complètement aveugle (environ 100 000 personnes en France) et je recours à un transcripteur braille que je connecte à mon ordinateur (mais une minorité des aveugles lisent le braille), soit j’utilise un retour vocal.

Si je suis malvoyant, je vais utiliser un certain nombre de fonctionnalités d’assistance visuelle : le zoom, l’inversion des contrastes, un localisateur de curseur, de souris etc.

Dans bien des cas, le retour vocal et l’assistance visuelle se complètent utilement et permettent à la personne déficiente visuelle de gagner en confort d’utilisation, de limiter sa fatigue, voire tout simplement d’accéder à l’information.

Notre innovation tient d’abord à cela. Pour la première fois, Hypra fournit un système d’exploitation à ses utilisateurs qui leur assure cette complémentarité. Et là où JAWS, le retour vocal historique, coûte 1 500 euros (pris en charge sur les fonds publics), et où ZoomText, la solution leader sur la malvoyance, coûte 600 euros, notre couplage de solution est lui gratuit.

Conclusion, les personnes peuvent concentrer leurs moyens sur le nerf de la guerre, c’est à dire la maîtrise de leur outil à des fins d’autonomie et de productivité à long terme.

J’ai croisé des cannes blanches électroniques, des téléphones à synthèse vocale… Est-ce que l’autonomie passe forcément par la technologie ?

La technologie est une condition nécessaire mais non suffisante.

Dans notre vision, le vrai facteur critique d’émancipation, c’est le service à la personne.

Quand on parle de service à la personne chez Hypra, c’est un tout.

L’étape n°1, c’est la personnalisation du système. Nous avons choisi les composants logiciels les plus souples au monde, ils sont donc conçus, dès l’achat, pour s’adapter aux envies et aux besoins de chacun. Exemple : la taille et le type de police, la barre des menus sur le bureau, mais cela concerne aussi les raccourcis clavier dont la maîtrise est essentielle pour l’autonomie et idéale pour plus d’efficacité. Là où Windows et Mac proposent du standard auquel tout le monde doit s’adapter nous disons : « non, le système doit ressembler à la personne qui l’achète. » C’est à la technologie de s’adapter à l’Homme et non l’inverse. Nous installons, en outre, les logiciels que la personne souhaite à partir d’une étude rigoureuse de ses besoins. C’est donc du sur-mesure.

Encore faut-il apprendre à l’utiliser…

Justement. Aujourd’hui, Windows ou Mac mettent un ordinateur dans les mains des gens en leur disant « débrouillez-vous », vous verrez, c’est intuitif, le grand mot à la mode. Oui, enfin, intuitif, plus on passe de temps avec les gens, déficients visuels ou pas, plus on se rend compte en fait qu’ils ne maîtrisent pas leurs outils. Personne ne leur a expliqué la base, comment se repérer, comment avoir les bons réflexes, comment faire évoluer leurs outils. Conclusion, c’est l’esprit de débrouille qui règne, qui est très loin de garantir ni un confort optimal d’utilisation, ni une utilisation des pleines potentialités de l’informatique en général. Les problématiques d’autonomie et de productivité sont certes plus critiques pour les déficients visuels, vu la place fondamentale du numérique pour eux, mais elles concernent le reste de la population au sens large.

L’étape d’après, c’est l’accompagnement sur la longue durée. Windows, Mac et une partie écrasante des éditeurs de logiciels vous fournissent les logiciels et vous livrent à vous-mêmes pour les mises à jour, les différents problèmes d’utilisation que vous pouvez rencontrer. Exemple : les mises à jour sur Mac OS. Non seulement les gens sont obligés de mettre à jour sous peine d’obsolescence programmée, mais nul ne leur explique comment faire. Il y a bien une option : repasser à la caisse dans des magasins tiers tout en se faisant déposséder de son ordinateur pendant une durée indéterminée avec le risque de perdre ses données. Chez Hypra, nous disons que cela est inacceptable. Le service à la personne doit être global, continu, intégré, proactif. Nos mises à jour, aussi parce qu’elles sont moins fréquentes que la frénésie de nos concurrents, sont anticipées. Nous dialoguons de personne à personne avec nos utilisateurs, nous leur expliquons, nous leur proposons les choses, nous les conseillons en leur exposant différentes options et en leur permettant de choisir de manière éclairée. Nous nous élevons contre le forçage inacceptable de Mac ou Windows ou d’autres logiciels qui consiste à dire : mettez à jour sous peine d’obsolescence !

Le cœur de notre métier, notre passion, c’est la personne humaine. Cela irrigue tout notre travail.

Comment rentabiliser un modèle aussi exigeant ?

En étant transparent, clair sur ses intentions, et sûr de ses forces comme de ses faiblesses, et surtout en étant pédagogue. Nous expliquons à nos utilisateurs ce pourquoi ils payent.

Nos utilisateurs payent pour du service, c’est à dire justement la personnalisation de l’accompagnement. Au global, cela leur revient le prix qu’ils payeraient pour un simple ordinateur Mac ou Windows sur deux ou trois ans, c’est à dire 1 500 à 1 600 euros. Mais plutôt que de les payer sans visibilité sur deux, trois ans, ils payent d’une traite avec la garantie de ne plus avoir à subir de coûts cachés liés aux problèmes de mise à jour, de sécurité, mais aussi de matériel. Nous sommes en effet en train de ficeler un solide accord-cadre avec plusieurs constructeurs de manière à offrir un S.A.V. irréprochable et global (logiciel et matériel).

Nous fournissons donc un package clé en main payé d’un bloc qui leur permet justement de de prémunir contre de nouvelles dépenses imprévues qui ont également pour conséquence de rendre leur ordinateur indisponible pendant une durée indéterminée. Bien sûr, pour celles et ceux qui aiment la débrouillardise et qui ont du temps à y consacrer, il est possible de se passer de formation et d’accompagnement sur la durée, et le prix est alors ramené entre 800 à 1 000 euros. Nous ne le conseillons qu’aux utilisateurs très avancés.

Ce que nous proposons, nous, en définitive, c’est une continuité de service qui garantit de trouver un interlocuteur et un dialogue de qualité, une exigence de performance et de délais lorsqu’un problème quelconque se présente. Cela permet d’économiser sur l’autre grand coût caché de l’informatique : le temps. Aujourd’hui, le monde va vite, les gens sont très occupés, et l’informatique ne les intéresse parfois pas du tout. Il faut donc qu’ils y passent le minimum de temps possible en y consacrant le temps et le prix nécessaires à l’achat, de manière à être tranquille par la suite. C’est pour nous un défi de tous les jours : faire penser le long terme à nos utilisateurs. C’est une tâche difficile, harassante, mais très stimulante.

Vous insistez plusieurs fois sur le côté « on paie une fois et on est tranquille ». C’est tout de même une start-up qui dit ça ! Comment les utilisateurs peuvent-ils être sûrs de bénéficier d’un suivi sur le long terme ?

Parce qu’on fait du logiciel libre. Tout ce qu’on fait est reversé à la communauté. Du coup, sur le long terme, notre esprit et nos développements demeureront accessibles à tous, surtout qu’on les intègre dans Debian.

De plus, comme on ne ferme rien de nos développements, la seule chose qui nous fait vivre, c’est le service. Du coup, pour vivre, on n’a pas le choix que de maintenir le capital confiance et d’être irréprochables.
C’est, à mon sens, une garantie pour nos clients. Si on rompt notre pacte de confiance avec le public ou les communautés du libre, notre modèle économique est menacé. C’est pour ça que Hypra a un côté ultra démocratique.

Quelle est la place du logiciel libre dans l’offre d’Hypra ?

Elle est capitale. C’est parce que notre modèle repose sur une solidarité internationale des concepteurs de logiciels que nous pouvons nous concentrer sur le service à la personne et ne pas faire payer les logiciels. Nous nous engageons, par ailleurs, lorsque notre modèle sera arrivé à maturité, à attribuer une partie de nos gains à cette communauté internationale de gens bénévoles qui nous permettent d’exister aujourd’hui.

C’est donc du 100% ?

Notre engagement éthique en ce domaine est clair : nous ne recourons à des logiciels propriétaires que lorsque aucun autre choix non-handicapant pour l’utilisateur n’est possible. Nous l’avons fait pour le retour vocal, nous allons le faire pour un logiciel qui permet aux aveugles de lire leur courrier papier (via la reconnaissance optique de caractères). Seuls des logiciels propriétaires pouvaient assurer une performance suffisante. Nous avons déjà en tête de proposer dans le futur la même performance mais sous la forme de logiciels libres dont nous aurions coordonné le développement.

La plupart de nos lecteurs comprennent bien l’importance du Libre pour des valides. C’est pareil pour les handicapés, j’imagine ?

 

Je dirais que c’est l’inverse. Les handicapés, mieux que personne, comprennent l’importance fondamentale du logiciel libre. Ce sont eux qui sont en première ligne des besoins de personnalisation, et seul le logiciel libre permet cette flexibilité.

Par ailleurs, ce sont aussi les premiers à souffrir des rentes de monopole que constituent les entreprises qui conçoivent et commercialisent des logiciels propriétaires. Notre grand sondage mené en janvier 2015 montrait qu’une grande partie de la population déficiente visuelle était consciente que JAWS (le retour vocal à 1 500 euros) était sur-tarifé pour les évolutions qu’il connaît dans le temps. Beaucoup s’indignaient sur l’effet d’aubaine de la prise en charge publique (par les Conseils Généraux) d’un logiciel aussi cher. Mais surtout, 75% des 450 répondants se déclaraient prêts à passer au logiciel libre si une offre de service de qualité était fournie.

Si l’on se tourne vers le grand public, l’équation n’est pas si différente, mais la prise de conscience est peut-être moins avancée. Je dis bien peut-être. Car les gens sont fatigués des mises à jour incessantes et déstabilisantes sous Windows dont le paroxysme est Windows 10, ils sont également fatigués de la sous-traitance du service de Apple à des organismes agréés qui sont des machines à cash. On s’est rendu compte également que les enjeux de vie privée avaient gagné en importance dans le choix de leur système d’exploitation.

Il est donc temps de leur proposer un autre modèle, et c’est exactement ce que nous sommes en train de faire.

Est-ce que vous expliquerez clairement aux utilisateurs que le système est basé sur du Libre ? Je pense à des gens qui cultivent un certain flou… et quand on farfouille on trouve une Debian modifiée…

Ça dépend avec qui. Il faut bien comprendre que le libre, ça n’a pas une bonne image parmi le public (au mieux l’indifférence, au pire le rejet par préjugé). Pour pleins de raisons et parce que sa compréhension exige de réfléchir à des choses que les gens ne soupçonnent pas. Ou elle renvoie à un historique, une image, pas toujours génial. Du coup, tout en affirmant notre ancrage libriste sans complexe, on ne le met pas en avant auprès de nouveaux clients, sauf si ça permet d’aborder un sujet qui préoccupe un utilisateur (vie privée, confidentialité des données, rapport aux développeurs de logiciels). Pour les autres, si on leur met ça sous le nez, ils tournent les talons. Mieux vaut donc leur mettre du libre par principe, qu’ils le sachent ou pas. Dans tous les cas, qu’ils en soient conscients à l’achat ou non, c’est une garantie de durabilité pour eux. Et malgré tout, on l’affirme haut et fort dans notre communication grande échelle. S’ils ne passent pas au libre par militantisme, or peu de gens militent, nos clients pourraient le défendre pour le modèle que ça véhicule et qu’ils vivent quotidiennement avec nous dans leur usage de l’informatique. C’est une autre façon de promouvoir le libre auprès d’un public moins sensible aux enjeux de la propriété intellectuelle en informatique.

Du coup, c’est très proche du comportement d’Ordissimo (qui ne cite JAMAIS Debian sur son site, j’ai vérifié), et qui cherche à séduire les débutants (âgés) en informatique.

À un détail près, on cite Debian, nous. Mais à des endroits où vont les gens plus intéressés par les aspects techniques (et à qui le nom même ne détournera pas de l’éthique). En outre, tous nos développements vont dans Debian (Compiz, mate-accessibility, etc.), donc très bientôt, Debian pourra ressembler nativement à Hypra si la communauté souhaite s’ouvrir à l’universalité qu’on propose. Enfin, quand on forme les gens, pas question d’empêcher les installations non Hypra, les mises à jour, contrairement à Ordissimo. Les gens apprennent bel et bien les mécanismes de Debian et ils le savent. Aucun logo Debian n’a été supprimé. Donc ils sont vite informés de ce qu’ils utilisent (une Debian adaptée le temps qu’elle s’adapte elle-même). Mais ce serait une erreur de communication de vouloir le dire à tout le monde haut et fort avant même de susciter un intérêt par d’autres moyens, ça agiterait trop de peurs et de préjugés.

Ordissimo se base sur Debian et protège son travail de paramétrage en ne le reversant pas et en n’y autorisant pas de modification. Hypra est transparent et dans une logique de dialogue mutuel constant avec Debian, et nous l’affirmons. Et nous y amenons les utilisateurs, mais au lieu de le dire à l’achat, on les acclimate à cet univers pour que le libre et Debian leur paraissent, en fin de compte, une évidence par-delà les préjugés.

Selon vous, c’est le moment pour que le logiciel libre atteigne enfin le grand public ?

Le terrain est favorable pour une percée du logiciel libre. Le succès, notre succès collectif, à nous, les acteurs du logiciel libre, est possible.

Il est possible si nous professionnalisons le service apporté à l’utilisateur, si nous montrons que nous apportons plus que les acteurs traditionnels pour un prix équivalent ou inférieur.

Il est possible si nous jouons collectif, si nous savons conjuguer nos efforts dans un juste équilibre communauté/entreprises, si nous savons dialoguer, nous écouter, nous faire confiance. C’est ce que nous cherchons à faire avec la communauté Debian, avec le leader de communauté Orca ou les développeurs Compiz. Cela suppose que les programmeurs, et en premier chef nos programmeurs chez Hypra, comprennent que les qualités relationnelles sont au moins aussi importantes que les qualités de programmations.

Il est possible à condition d’amorcer un virage philosophique. Il faut en finir avec la technocratie. L’émancipation ne doit pas viser seulement les concepteurs de logiciels. Je lisais récemment le chef informatique de chez Enercoop sur Framablog (dont les locaux parisiens sont 100% sous Debian) qui faisait un lien direct entre le logiciel libre et l’émancipation des programmeurs. Mais il ne parlait que très peu des utilisateurs et éludait les aspects critiques de conduite du changement. S’émanciper, du point de vue de l’utilisateur, c’est certes avoir les possibilités de changer, mais encore et surtout avoir la maîtrise du changement.

À noter que l’on a installé Hypra et formé un salarié déficient visuel chez eux qui est très content, à tel point d’ailleurs, qu’il veut que l’on installe le S.A.U. sur son Mac, une belle vitrine pour le logiciel libre…

De manière plus générale, le pouvoir doit être aux utilisateurs-citoyens et non aux programmeurs. C’est à eux que sont destinés les biens communs que sont les logiciels libres. Les programmeurs ont du mal à l’entendre. C’est là une des explications, selon nous, du plafond de verre du logiciel libre.

Il est possible, enfin, si chacun se trouve bien à sa place. La communication, c’est un métier, et ce n’est pas le métier des ingénieurs. Le logiciel libre est le seul monde dans lequel les ingénieurs s’imaginent être de formidables communicants. C’est un métier, il faut le professionnaliser. C’est aussi la raison pour laquelle nous avons quitté la forme associative pour faire une entreprise.

Nous pensons que l’heure est venue que le logiciel libre démarre une métamorphose, nous avons envie d’amorcer ce mouvement avec tous ceux et toutes celles qui y sont prêts.

www.hypra.fr