Joyeux Hunger Games !

Imaginez, vous cherchez un VPS chez Contabo. Problème, les prix ne correspondent pas à ce que vous avez vu sur Internet. C’est ce qui nous est arrivé et nous en avons cherché la raison. Surprise, il s’agit d’un tirage au sort. Contactée, l’hébergeur n’y voit pourtant aucun problème.

Après un comparatif de VPS européens à moins de 5 euros, nous allons publier très rapidement celui à moins de 10 euros, avec une quarantaine de références de plus de 10 hébergeurs. Lors de nos recherches, nous sommes tombés sur un cas assez surprenant chez Contabo, une société basée en Allemagne. Ce n’est pas un problème de performances ou de (cyber)sécurité comme avec VPS1Euro et son matériel daté, mais des prix à la tête du client… pardon avec un tirage au sort.

Pour un même serveur, vous préférez payer 6,6, 9 ou 13,2 euros ?

Contabo propose des serveurs dédiés et des VPS avec des prix qui se veulent abordables, comme son Cloud VPS 4 à partir de 5,28 euros par mois avec un engagement de 24 mois ou 6,6 euros sans engagement, pour 4 cœurs virtuels (vCore), 8 Go de mémoire et 100 Go de stockage. L’hébergeur a plutôt bonne presse, avec une note de 4,6 sur 5 chez Trustpilot pour 11 555 avis. Mais alors, où est le souci ?

Le tarif est fluctuant : 6,6 euros par mois est l’un des trois tarifs proposés aux clients. Contabo affiche aussi parfois 9 euros et même 13,2 euros pour exactement le même VPS. On a beau chercher, les caractéristiques techniques sont exactement les mêmes ! Le prix, toutefois, varie du simple au double.

Nous avons trouvé la raison dans le code source de la page de l’hébergeur.

Un « test » dans sept pays, dont la France

Nous publions un document prouvant que France Travail développe un outil d’IA générative, de type ChatGPT, pour le contrôle des plus de 6 millions de personnes inscrites¹Inscrits à France Travail, premier semestre 2026, catégories A, B, C, D et E, France Travail, disponible ici.. Devant les risques que fait peser le déploiement d’IA génératives à des fins de contrôle social, et alors que ce projet fait figure de pilote à l’échelle nationale, nous appelons à son retrait immédiat.

Le 30 juin dernier, les dirigeant·es de France Travail annonçaient en Comité d’éthique IA²Pour une présentation du Comité Consultatif Ethique de France Travail, voir ici. travailler au déploiement d’une IA générative à destination des équipes du contrôle de la recherche d’emploi. « Mettre en place le contrôle continu », permettre la « détection de signaux faibles » et la « systématisation des contrôles » : les objectifs poursuivis sont sans équivoques.

Le document de présentation de ce projet, que nous publions, est précieux en ce qu’il permet d’appréhender l’ampleur de la banalisation des IA génératives en termes de contrôle social. De par leurs capacités techniques inédites tant d’analyse de données hétérogènes, de prise en compte de contextes variés ainsi que d’échanges par la voix ou l’écrit, elles permettent l’automatisation de processus de contrôle complexes dont le nombre était jusqu’alors limité par leur coût. Ce faisant, elles ouvrent la voie à leur multiplication et à l’apparition de formes de contrôle toujours plus intrusives.

Automatisation et massification des contrôles

À France Travail, cette automatisation est prévue en plusieurs étapes. Dans un premier temps, l’IA n’aura pas la possibilité de déclencher des contrôles ni celle d’interagir directement avec les personnes contrôlées. Elle jouera un rôle complémentaire à l’algorithme de profilage utilisé par France Travail pour sélectionner les personnes à contrôler et que nous présentions cet été³Les contrôles ont plusieurs sources. Ils peuvent cibler un public particulier (intermittent·es, précaires, transfrontalier·ères, etc.), être aléatoires ou se baser sur un algorithme de sélection tel que celui que nous révelions cet été..

L’objectif à court terme est de réduire le temps humain nécessaire à la réalisation d’un contrôle en transférant à l’IA la charge de l’analyse du dossier de la personne contrôlée (situation administrative, professionnelle, personnelle, rapports d’entretiens, diagnostic professionnel…)⁴Le document précise que l’IA sera nourrie des données disponibles au équipes de contrôle dans le « Datamart ». Si nous n’avons pas plus de précisions quant à son contenu précis, il devrait contenir a minima le dossier de la personne contrôlée, son « diagnostic » ainsi que l’ensemble des échanges avec les contrôleur·ses.. Elle produira une « restitution structurée » de ce dernier, comprenant une « synthèse et des points d’attention », afin de préparer les « conclusions » du contrôle. Le travail des contrôleur·ses se limitera à valider l’application d’éventuelles sanctions.

Sur la seule année 2027, France Travail estime que le « gain de temps » permis par l’IA participera à atteindre la « cible de [1,5 millions de] contrôles 2027 à effectifs constants ». Soit 400 000 contrôles supplémentaires (+36%) par rapport à l’année 2026, sans recrutements supplémentaires⁵France Travail, Le contrôle de la recherche d’emploi en 2025, disponible ici. Les chiffres pour 2026 sont issus de documents internes..

Un objectif de « systématisation » des contrôles

À moyen terme, le projet des dirigeant·es de France Travail est bien plus ambitieux. D’ici 2030, le document précise que le recours à l’IA vise à une « systématisation des contrôles » par l’automatisation de l’intégralité du processus de contrôle, de la sélection des personnes à contrôler à la réalisation du contrôle lui-même.

Techniquement, la chose est aisée. Il s’agira d’abord de ne pas restreindre l’accès de l’IA aux données des personnes ayant préalablement été sélectionnées pour un contrôle, mais de l’étendre au flux de données personnelles de l’ensemble des personnes inscrites. Un simple changement de son prompt (c’est-à-dire les instructions régissant le fonctionnement de toute IA générative) suffirait alors pour lui donner tant la possibilité de choisir les personnes à contrôler que celle d’échanger avec elles et eux, par mails ou SMS, afin de leur poser les questions de son choix⁶En plus du changement de prompt, cela pourrait nécessiter la mise en place d’outils, services externes appelés par l’IA pour nourrir son processus de réflexion ou entreprendre des actions concrètes ( envoyer des mails, modifier une base de données..)..

En cas de « doute », l’outil pourrait alors demander de lui-même des informations supplémentaires ou des pièces justificatives. Et à l’issue de ce processus de contrôle continu, l’IA décidera de clore le contrôle ou de transmettre le dossier aux équipes de contrôles en vue de sanctions.

IA et contrôle social : un nouveau paradigme

Dès lors, rien n’empêchera la multiplication de contrôles. En levant toute barrière matérielle à leur expansion, le recours à l’IA acte le passage d’un système de contrôle ponctuel et sélectif à un dispositif permanent et généralisé.

Certes, il existe d’ores et déjà des mécanismes de contrôles automatisés dont le fonctionnement réside sur l’analyse des flux de données en temps réel. Ainsi, l’ensemble des administrations sociales vérifient la quasi-totalité des déclarations des allocataires en croisant leurs informations, des contrôles étant déclenchés en cas de détection d’incohérences. Invisibles, ces contrôles sont pourtant, en nombre, les plus importants et de loin. À titre d’exemple, la CAF reporte plus de 27 millions de contrôles automatisés sur un total de 28,7 millions.

Mais ces contrôles automatisés sont aujourd’hui limités à des opérations simples, principalement la comparaison entre les déclarations et les données détenues par d’autres administrations (revenus, adresse, situation professionnelle…). L’IA générative représente une rupture dans le sens où ce sont des opérations de contrôle « complexes », nécessitant l’analyse de données multiples, la prise en compte de contextes variés et l’échange avec les personnes contrôlées qui sont désormais automatisables. Un ensemble de tâches qui, jusqu’alors, nécessitaient une intervention humaine.

Vers des formes de contrôle inédites

Dès lors, s’ouvre la possibilité non seulement de massifier les formes de contrôles existantes, mais aussi de créer de nouveaux dispositifs toujours plus fins et intrusifs. Une chose qu’ont bien compris les dirigeant·es de France Travail.

Le document que nous avons obtenu fait ainsi référence à l’utilisation de l’IA à des fins de « suivi de parcours »⁷« Suivi de parcours » est l’application conçue par France Travail pour centraliser les données des personnes inscrites. Elle est prévue pour qu’y soient renseignées les 15 heures d’activité. Une vidéo de présentation est disponible ici.. Il s’agit d’une référence au contrôle de l’obligation de réalisation de 15 « heures d’activité » hebdomadaires. Introduite par la loi Plein Emploi, elle porte sur toute personne inscrite à France travail, qu’elle soit allocataire du RSA ou non.

Aujourd’hui, l’effectivité de cette mesure se heurte aux réalités matérielles du coût induit par le contrôle d’un tel volume d’informations sur une population de plus de 6 millions de personnes, à une fréquence hebdomadaire⁸La difficulté de suivi et de contrôle de ces heures d’activité par les conseiller·ères a été largement documentée dans le cadre du Contrat d’Engagement Jeune (CEJ), qui fut la première aide y étant conditionnée. Son extension aux 6 millions d’inscrit·es met dès lors en tension le mot d’ordre de mise au travail des personnes bénéficiant de certaines prestations sociales et les réalités matérielles nécessaires à son application. Voir notamment Mauricio Aranda, François Sarfati et Jules Simha , Une jeunesse au guichet de l’emploi. Enquête sur le Contrat d’engagement jeune, 2025 disponible ici et l’étude du CEREQ Conditionner l’accompagnement à des heures d’activités : le cas du Contrat d’engagement jeune disponible ici.. Car, en plus de s’assurer du contrôle de la déclaration desdites « heures d’activités », il faut pouvoir s’assurer de leur cohérence – entre elles et par rapport au projet professionnel et à la situation personnelle – ainsi que de leur véracité. De fait, le travail à réaliser est titanesque et nécessiterait le recrutement de centaines de contrôleur·ses supplémentaires.

Ici, le recours à l’IA générative permettrait de fait la mise en application d’une des mesures de contrôle social les plus invasives qui n’ait jamais existé.

Un outil de répression centralisé, discriminant et opaque

Le discours développé par France Travail pour répondre aux craintes portant sur son projet est également intéressant à analyser.

Premièrement, l’IA générative ne serait qu’un simple outil « d’aide à la décision », le choix d’appliquer une sanction ou non restant du ressort des équipes de contrôles. Cette « supervision » humaine serait supposée empêcher les éventuelles erreurs que pourraient commettre une IA. Cet argument est en réalité largement relativisé par deux éléments. D’une part, il existe nécessairement ce que l’on appelle le biais d’automatisation, c’est-à-dire le fait qu’une personne humaine a tendance à suivre les conclusions d’un outil d’automatisation telle qu’une IA générative sans les remettre en question. D’autre part, l’objectif d’un tel outil est justement d’augmenter la cadence des contrôles, donc de laisser moins de temps pour une analyse humaine. Il est donc faux de laisser croire que les contrôleur·ses auront le temps de vérifier les conclusions de l’IA, alors même que l’institution ne leur en laissera pas le temps.

À ceci, France Travail ajoute que l’IA générative garantirait un contrôle plus « juste » et « équitable » via un traitement « homogène » des personnes contrôlées. Ici, France Travail omet l’essentiel : ce qui se joue est avant tout une opération de centralisation des politiques de contrôle dans les mains des dirigeant·es de l’institution. De fait, ces dernier·ères pourront décider du jour au lendemain de modifier les politiques de contrôle sans aucune concertation et en toute opacité, à travers la simple modification des instructions données à l’IA.

Deuxièmement, on notera également que les IA ne sont en aucun cas neutres ou exemptes de biais. Entraînées sur des bases de données issues d’opérations réalisées par des être humains, elles héritent des mêmes biais et orientations que ceux de la population : les exemples d’IA racistes ou sexistes ne sont plus à compter.

Enfin, France Travail met en avant que l’IA générative permettrait une meilleure « traçabilité » des décisions de sanction. Cet argument n’est pas recevable techniquement, les IA génératives reposant sur l’utilisation de réseaux de neurones dont une des propriétés est justement qu’ils fonctionnent en « boîte noire », c’est-à-dire qu’il n’est pas possible d’expliquer la manière dont une IA générative produit tel ou tel résultat.

Un dangereux précédent

Si le projet de France Travail voyait le jour, tout laisse à penser que l’institution serait rapidement imitée par l’ensemble des administrations sociales, de la CAF à l’Assurance maladie en passant par l’Assurance vieillesse.

Elles hériteraient des grands projets de centralisation de données construites ces vingt dernière années. Nourries aux immenses quantités de données auxquelles ces administrations ont aujourd’hui accès (revenus, déclarations fiscales, dossier médical, factures, comptes bancaires, …), elles ouvrent la voie à un contrôle dont on peine à mesurer l’ampleur.

Rappelons enfin que ces dispositifs n’auront pas le même impact pour toutes et tous. Comme nous l’avons documenté, avec d’autres, dans notre campagne France Contrôle, notre système social contrôle bien plus fortement les plus précaires d’entre nous. Ce sont donc ces personnes qui subiront en premier les conséquences psychologiques et matérielles de la généralisation de contrôles réalisés par des IA génératives.

C’est pourquoi il est fondamental que France Travail renonce à ce projet, comme aux autres. Pour freiner les velléités autoritaires de ses dirigeant·es, vous pouvez nous faire un don. Vous pouvez également retrouver l’ensemble de nos publications sur l’utilisation par les organismes sociaux d’algorithmes à des fins de contrôle social sur notre page dédiée.

J'ai pas trouvé la màj pour mon Windows Millennium, normal ?

Le mercredi 21 octobre restera certainement gravé dans les mémoires. Plusieurs failles d’importance ont été dévoilées : deux sur PHP permettant d’exécuter du code à distance, huit clés générées n’importe comment permettant de créer des certificats pour n’importe quel site ou application, sans oublier des failles sur Node.js et GitLab. Next revient sur les enjeux techniques et les conséquences à venir.

Il y a des dates qui restent marquées dans les mémoires. Celle du 8 avril 2014 était un bon exemple. Il y a 12 ans, Heartbleed secouait en effet Internet : une faille dans OpenSSL (une brique servant à sécuriser les connexions sur Internet) permettait de récupérer des données en clair directement dans la mémoire des serveurs. Identifiants, mots de passe… tout y passait, notamment des données bancaires malgré le silence des banques.

Ce mercredi 21 octobre 2026 en est désormais une autre.

• Failles critiques PHP : les correctifs sont en ligne et à installer rapidement

PHP, un langage utilisé dans 70 % des sites web

Ce 21 octobre, une bonne partie des responsables de sites étaient devant leur PC à attendre 16 h (heure de Paris) avec une certaine fébrilité. En cause, l’équipe de PHP avait donné rendez-vous en annonçant que deux méchantes failles PHP allaient être dévoilées, avec les correctifs. Traduction : la mise à jour devait se faire sans attendre.

Dans la journée, les choses se sont accélérées, des prototypes d’exploitation circulant sur les réseaux sociaux (vrais ou pas, le souci n’était même plus là) ; PHP a finalement publié les correctifs avec 15 minutes d’avance. Les versions avec un correctif officiel sont les suivantes : 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Les deux failles permettent d’exécuter du code arbitraire à distance, sans aucune authentification. Elles permettent par exemple de lire l’intégralité des données, d’obtenir les accès aux bases de données, de récupérer des clés API, de prendre le contrôle de la machine, etc. La gravité dépend de la manière dont PHP est exécuté.

Ces vulnérabilités sont particulièrement graves car elles résident dans un langage de programmation utilisé par 70 % des sites web. L’ANSSI fait le point pour la France : « PHP est un langage de script largement utilisé par les serveurs web, avec plus de 600 000 serveurs l’exploitant sur l’Internet français. Il s’agit d’un moteur permettant aux sites web de générer des pages dynamiques, dont le contenu évolue en fonction des interactions des utilisateurs ou des données du serveur ».

Une exploitation pas simple, mais une faille imparable sauf à mettre à jour PHP

Le mouvement social qui parcourt actuellement la France, parti de revendications lycéennes et rejoint par le mouvement « contre la vie chère », fait l’objet d’une répression policière et judiciaire intense. Celle-ci est une triste synthèse de ce qu’aura été la décennie du macronisme : pour la police et l’État, toujours plus de pouvoirs arbitraires de surveillance, de censure, de blocage ; pour les opposant·es, les « contestataires », les mouvements sociaux, une liberté de manifester et de s’exprimer toujours plus restreinte et exposée à de plus en plus de dangers. La nouveauté aujourd’hui est que le pouvoir en place ne cache désormais plus son mépris envers la jeunesse, et celle des quartiers populaires en particulier. Voici une description non exhaustive des mesures répressives prises ou annoncées par les responsables politiques.

Alors que revoilà la censure des réseaux sociaux

Ces derniers jours, une petite musique de fond monte au sein de la droite française : il faudrait bloquer les réseaux sociaux pour rétablir l’ordre. Gabriel Attal ou Bruno Retailleau répètent à l’envi qu’il faudrait empêcher les manifestant·es de s’exprimer en ligne, dans une grossière stratégie visant à capitaliser à des fins électoralistes sur le fantasme de l’ordre. Ce mot d’ordre qui traverse toute une part de l’échiquier politique soulève diverses problématiques : déconnexion avec les modes de communication des jeunes, recours autoritaire à la censure, poursuite des velléités d’interdiction des réseaux sociaux aux plus jeunes ou encore recours à une censure extralégale.

La déconnexion entre la classe dirigeante qui martèle son discours anti-social sur les plateaux de télévision et la jeunesse qui, elle, s’informe et se mobilise sur les réseaux sociaux, a effectivement été particulièrement visible depuis le début du mouvement lycéen. Les lycéen·nes et étudiant·es ont fui ces plateaux télé où l’objectif n’est pas d’informer pour se recréer leurs propres espaces d’expression. Dans un entretien donné à Mediapart des jeunes mobilisé·es, ont unanimement exprimé l’absence de pertinence du vieux monde télévisuel.

Les velléités de censure des réseaux sociaux réapparaissent alors comme une énième tentative réactionnaire de museler la jeunesse. Rappelons que bloquer les réseaux sociaux est une marque de fabrique des régimes autoritaires. Personne ne sera donc surpris que la droite extrême ou l’extrême-droite veuillent ce genre de mesure. Gabriel Attal, déjà lui, avait ainsi fait procéder au blocage de Tiktok en Nouvelle-Calédonie–Kanaky en 2024 lorsqu’il était Premier ministre. Lorsque nous avions attaqué cette censure, nous rappelions que ce sont des pays comme la Russie ou la Turquie qui utilisaient ce type de mesure. Le plus triste dans cette histoire est que le droit français sera, si une telle censure était décidée par le gouvernement, totalement incapable de l’empêcher. En 2025, le Conseil d’État, la plus haute juridiction administrative en France, avait certes estimé que le blocage de Tiktok était illégal. Cependant, dans sa décision, il a surtout donné un guide à destination du gouvernement pour qu’une prochaine censure puisse contourner les objections légales.

Les jeunes n’ont pas la parole

N’oublions pas que se joue également en ce moment la question d’interdire aux jeunes d’accéder aux réseaux sociaux, sous couvert de leur protection. La loi Miller, du nom de la députée du groupe présidentiel Ensemble pour la République qui l’a portée depuis fin 2025 jusqu’à son vote final en juillet 2026, voulait ainsi interdire aux moins de 15 ans de se créer un compte sur un réseau social. Bien que cette loi ait été censurée cet été, la France a, en toute discrétion, annoncé la préparation d’un nouveau projet de loi sur le sujet. En parallèle, la présidente conservatrice de la Commission, Ursula von der Leyen, a annoncé un texte européen.

Et à côté de tout ça, le gouvernement continue sa censure extralégale des réseaux sociaux sur lesquels se passe l’organisation du mouvement. Pour rappel, en 2023, le ministère de l’intérieur avait déjà « convoqué » (selon ses propres mots) les plateformes pour leur demander de retirer des contenus légaux (notamment des vidéos des émeutes de 2023). Cette censure, qui reposait sur le bon vouloir des plateformes, s’est faite en dehors de toute autorisation par la loi, l’État menaçant à l’époque de changer les règles applicables si les plateformes ne coopéraient pas. En 2026, rebelote : le gouvernement a annoncé avoir convoqué des plateformes de réseaux sociaux et de places de marchés et trouvé un « accord » pour censurer des contenus.

Surveillance et exploitation des vidéos

Les blocages de lycées ainsi que les manifestations du 17 octobre ont été l’occasion pour les autorités de déployer tous les outils répressifs et de surveillance qu’elles ont acquis ces dernières années. Parmi ceux-ci, c’est probablement l’analyse d’image qui est la plus sollicitée. Entre les caméras désormais très présentes dans les rues des villes, celles installées à l’intérieur des commerces, les drones déployés en manifestation et, surtout, les milliers de vidéos postées par les manifestant⋅es eux-mêmes, l’image offre à la police une source très importante de contrôle et de surveillance.

D’une part, les agents peuvent utiliser la reconnaissance faciale au travers du fichier traitement des antécédents judiciaires (TAJ) afin de retrouver les personnes qui y seraient déjà inscrites. Pour rappel, des personnes simplement passées par un commissariat mais non poursuivies peuvent se retrouver dans cette base de données. Si le fondement légal permettant le recours à cette technologie d’identification est très contestable, la police l’utilise quand même massivement, jusqu’à 1 million de fois en 2024 d’après le media Disclose. Pour en savoir plus, vous pouvez consulter notre guide juridique publié il y a quelques mois. Aussi, n’hésitez pas à flouter vos vidéos si des personnes sont reconnaissables lorsque vous les postez en ligne (Signal permet par exemple de flouter les images avant de les envoyer).

Aussi, la police peut avoir recours à la vidéosurveillance algorithmique a posteriori, lorsqu’une enquête est ouverte. Grace à un logiciel d’analyse des images, elle peut retrouver quelqu’un, non pas via son visage, mais à partir de vêtements distinctifs ou d’autres caractéristiques physiques. Cette surveillance algorithmique a pendant longtemps été opérée par l’entreprise Briefcam, et aujourd’hui c’est la jeune entreprise Orasio qui a remporté un contrat avec la police et la gendarmerie nationales il y a quelques mois. Celle-ci se targuait ainsi le 19 octobre d’aider la police à retrouver les personnes via leurs vêtements et accessoires et de pister les véhicules en suivant les plaques d’immatriculation. Nous avons toujours soutenu que ce type de VSA a posteriori est illégal et intrusif et n’est encadré par aucun texte. C’était sans compter sur la CNIL, censée protéger les données personnelles mais absente dès qu’il s’agit de se frotter à la surveillance d’État, qui est venue à la rescousse du ministère de l’intérieur en 2024. Par une interprétation douteuse, elle cautionne aujourd’hui une utilisation illégitime qui a commencé il y a près de dix ans, laissant libre cours à un usage sans contrôle de ces logiciels de suivi des personnes.

Des pouvoirs exceptionnels banalisés ?

Le ministre de la justice, Gérald Darmanin, a lui aussi tenté d’exister politiquement depuis le début de la séquence. Il a ainsi demandé aux parquets de « passer en qualification de criminalité organisée » les procédures judiciaires ouvertes, afin de pouvoir étendre la durée des gardes à vue et d’avoir accès à des moyens de surveillance encore plus intrusifs. Comme nous le rappelions au moment de la loi Narcotrafic, ces règles sont de plus en plus utilisées pour viser les militant·es, en tentant de prouver que les personnes auraient commis des actions en « bande organisée » ou qu’une « association de malfaiteurs » serait constituée. Cette annonce du ministre nous rappelle une fois encore non seulement que les procureur·es ne sont pas indépendant·es en France, mais aussi que le dévoiement de ce régime d’exception de la criminalité grave, qui n’est pas du tout prévu pour ce type d’infractions, est facile pour le pouvoir en place.

Gérald Darmanin, rejoint par Sébastien Lecornu et Emmanuel Macron, a également dit qu’il n’était pas nécessaire de déclencher l’état d’urgence. Une telle déclaration n’est pas l’expression d’un amour des libertés publiques mais plutôt un aveu que l’arsenal répressif légalisé cette dernière décennie donne suffisamment de pouvoir à l’État pour agir sans avoir besoin de cet état d’urgence. Les préfets n’ont jamais eu autant de prérogatives : interdiction de manifestations, utilisation de drones, « interdictions de paraître » individuelles empêchant l’accès à un lieu, assignations à résidence, ou perquisitions sur simple soupçon peu étayé de « terrorisme » (que l’on appelle « MICAS »), … Très souvent, ces mesures sont mises en œuvre de façon illégale, comme cela a par exemple été le cas pour des drones survolant des lycées en Ardèche, qui ont été qualifiés de non conforme à la loi par un tribunal. Mais dans ce mécanisme où l’administration est toute puissante, le contrôle du juge n’arrive qu’après la bataille, une fois que le mal est fait, et uniquement si des personnes ont les ressources pour contester ces décisions en justice.

La répression qui s’abat aujourd’hui est violente. Elle est la synthèse déplorable de 10 ans de macronisme, qui n’a eu de cesse de multiplier les attaques contre les mouvements sociaux et la jeunesse. Alors que c’est la jeunesse des quartiers populaires qui a réussi à faire collectivement ouvrir les yeux sur l’état déplorable des services publics, elle se retrouve frontalement attaquée, comme l’ensemble du mouvement social désormais. Nous dénonçons l’hypocrisie générale : le pouvoir prend les jeunes pour des incapables à qui il faudrait retirer les réseaux sociaux sous couvert de leur protection, et en même temps il voudrait les criminaliser comme des adultes dès 16 ans. Nous exprimons également notre solidarité et notre soutien à toutes les personnes mobilisées.

Les ondes de la discorde

Pour communiquer directement avec les terminaux, les satellites ont besoin d’avoir des fréquences compatibles avec les puces des smartphones. SpaceX veut imposer Starlink et sort le chéquier à coups de milliards de dollars pour des fréquences. En Europe, la résistance s’organise avec un groupement de quatre opérateurs, dont Orange.

La téléphonie mobile a le même fonctionnement depuis des décennies : des antennes relais sont installées partout sur le territoire pour former un maillage et ainsi proposer une large couverture de la population (très proche de 100 %). Il reste évidemment des zones blanches, mais c’est une autre histoire.

Depuis quelques années une nouvelle technologie s’installe : le direct-to-device ou direct-to-cell. Cette fois-ci les antennes sont dans l’espace, à quelques centaines de kilomètres au-dessus de nos têtes. Nous avons déjà longuement expliqué comment c’était possible pour un smartphone de dialoguer avec un satellite.

Que ce soit via des satellites ou des antennes relais posées au sol, le nerf de la guerre est le même : les fréquences. En France comme ailleurs, leur usage est réglementé et soumis à des autorisations spécifiques (vendues à prix d’or, aux enchères en France) pour certaines fréquences.

• Direct-to-Cell : mais comment diable un smartphone peut communiquer avec un satellite

Quatre opérateurs européens s’associent

En Europe, quatre opérateurs – Deutsche Telekom, Orange, Telefónica et Vodafone – annoncent la signature d’une « lettre d’intention afin d’étudier une éventuelle candidature conjointe en vue de la future attribution, en Europe, de fréquences destinées aux Services Mobiles par Satellite (MSS) ». Des discussions étaient engagées depuis plusieurs semaines déjà.

Dans un communiqué commun, les opérateurs affirment que cette « initiative soutient l’ambition de la Commission européenne de renforcer la souveraineté, la sécurité et la résilience de l’Europe dans le domaine des infrastructures de connectivité critiques ».

Deutsche Telekom, Orange, Telefónica et Vodafone jouent la carte de l’ouverture : cette initiative « permettra également à tous les opérateurs de réseaux mobiles d’accéder, de manière ouverte et non discriminatoire, aux moyens nécessaires pour proposer des services Direct-to-Device (D2D) à leurs clients ».

La veille de cette annonce, l’ambassadeur américain auprès de l’UE (Andrew Puzder) prévenait que les entreprises européennes « pourraient faire face à des représailles “dévastatrices” si Bruxelles poursuit ses plans pour restreindre des rivaux américains tels que SpaceX d’Elon Musk sur certaines parties du marché européen », comme l’explique le Financial Times.

Orange et Deutsche Telekom s’associent déjà avec des Américains

Xeon de 2013, 40 IOPS max, mot de passe par email… N’en jetez plus

VPS1Euro propose des VPS à un prix plancher… mais avec de trop nombreuses lacunes sur les performances et la (cyber)sécurité. Matériel en fin de vie, correctifs de sécurité appliqués avec sept ans de retard, performances complètement à la ramasse sur le stockage… la liste des griefs est longue. L’hébergeur annonce du changement à venir.

Comme son nom l’indique, chez VPS1Euro les VPS sont à partir de 1 euro. Mais le prix est hors taxe ; pour la France cela donne 1,2 euro. Comme Ikoula, vous pouvez faire varier le nombre de cœurs virtuels (vCore), la quantité de mémoire vive et de stockage, mais aussi la bande passante publique, le nombre de VLANs, etc.

• Un « VPS » EPYC pour moins de 1 euro par mois : on a testé Stardust de Scaleway

Comme notre instance Stardust de Scaleway à moins de 1 euro, VPS1Euro ne propose pas d’IPv4 par défaut, uniquement de l’IPv6. Vous pouvez commander une IPv4 si besoin, pour 3 euros par mois. Nous avions configuré NAT64 chez Scaleway, alors que c’est en place par défaut chez VPS1Euro : « Profitez de VPS modernes, 100 % IPv6-Ready, avec compatibilité IPv4 via NAT64 et Cloudflare Proxy », peut-on lire sur le site.

En pratique, il suffit de regarder le fichier /etc/resolv.conf de notre VPS pour comprendre le fonctionnement. Il a deux lignes pour nameserver (serveur de noms, les DNS) : 2a01:4f9:c010:3f02::1 et 2a01:4f8:c2c:123f::1. Ce sont les résolveurs DNS publics du service NAT64, respectivement à Helsinki et à Nuremberg. VPS1Euro s’appuie donc sur une solution tierce.

Quand le serveur veut joindre un site ou un service accessible en IPv4 uniquement, il interroge un résolveur à Helsinki ou Nuremberg, qui renvoie vers une passerelle à Helsinki (chez Hetzner), à Londres ou à Amsterdam (chez Mythic Beasts). Cette configuration par défaut permet certes d’avoir de l’IPv4, mais au prix d’une latence plus importante à cause des détours par NAT64. Dans notre cas, nous avons pingé un de nos VPS à Gravelines chez OVHcloud : 10 ms en IPv6 natif, contre 17 à 50 ms en IPv4 suivant la passerelle ; aucune n’est en France et elle change aléatoirement.

Pour compléter cette partie, le réseau de VPS1Euro (AS216075, enregistré au nom de l’association Zenyx) sort à Paris (les serveurs sont certainement ailleurs, car reliés par un tunnel avec une latence de 5 ms environ) puis passe par un unique fournisseur de transit, Geniusweer.

Mot de passe root en clair, par email

Nous restons sur l’offre de base : 1 cœur Intel Xeon (sans plus de précision), 1 Go de mémoire, 20 Go de stockage et 100 Mb/s de bande passante. Niveau système d’exploitation, c’est assez classique, mais pas toujours de la dernière fraicheur : Ubuntu 22.04 et 24.04 LTS (la 26.04 LTS est disponible depuis avril), Debian 13 et Fedora 42 (la dernière stable est la 44).

Première chose à faire, se créer un compte sur VPS1Euro. Nous payons ensuite notre commande et recevons par email un résumé, avec l’IPv6 de notre serveur, une adresse proxy en IPv4 pour SSH si besoin, l’identifiant (root) et… le mot de passe de notre compte (alphanumérique, avec huit caractères). Oui, le mot de passe est envoyé en clair, par email (autant dire dans une carte postale)

Une demande de réinitialisation nous renvoie un autre mot de passe, toujours par email, en clair et sans obligation de le changer. Ce n’était que la première étape d’une série de déconvenues avec notre serveur… Des évolutions sont en cours, nous y reviendrons.

Virtualisation LXC, Docker de Schrödinger

Une fois connecté en SSH via PuTTY, nous faisons un rapide tour du propriétaire : LXC (LinuX Containers) est aux commandes, comme chez LWS et Yorkhost. C’est la technologie utilisée pour la virtualisation des serveurs, ce qui n’est pas sans conséquence pour les clients.

Get ready for IPv6

Un VPS pour moins de 1 euro par mois avec un cœur AMD EPYC, 1 Go de mémoire vive et 10 Go de stockage avec de bonnes performances ; c’est ce que propose Scaleway avec son Stardust1-S. La disponibilité (SLA) n’est cependant pas garantie. On vous explique, benchmark à l’appui.

Dans le monde du cloud, il existe plusieurs types de machines accessibles aux clients. Les serveurs dédiés tout d’abord, dont le nom est parlant : vous avez l’intégralité de la machine pour votre seul usage. Il y a ensuite les VPS (serveurs privés virtuels), avec une partie des ressources seulement pour vos usages et un paiement souvent au mois.

• VPS à moins de 5 € par mois : notre comparatif d’une dizaine d’offres européennes

Enfin, les instances, très proches des VPS mais que l’on pourrait davantage comparer à des Lego avec un paiement à l’usage (souvent à l’heure). Vous avez besoin d’un GPU pour essayer une IA générative pendant 3 h ? Vous ne payez que le temps passé dessus, pas un mois complet, à condition de bien libérer les ressources.

On parle de Lego car une instance est généralement bien plus souple : stockage, réseau et services sont ajustables indépendamment et peuvent même être partagés avec d’autres instances liées à votre compte. Techniquement, une instance avec CPU, mémoire, stockage et réseau qu’on utilise sur une longue période, c’est comme un VPS. Les hébergeurs affichent habituellement le prix à l’heure et le total mensuel pour un usage 24/7.

Stardust : poussière d’EPYC et 1 Go de RAM pour 0,53 euro par mois

Un VPS est livré clés en main, c’est plus facile pour un premier usage. Configurer une instance demande parfois un peu plus de dextérité, sans rien d’insurmontable. Scaleway propose une instance très intéressante dans sa gamme Development : Stardust1-S. Attention, l’hébergeur précise que cette gamme est prévue pour les « charges de travail non critiques : mieux adaptées aux tests et au développement », d’où son nom.

Scaleway ne s’engage pas sur un SLA, ou Service Level Agreement, c’est-à-dire sur la disponibilité de son service. Les deux autres instances CPU de Scaleway (General Purpose et Specialized) ont un SLA jusqu’à 99,5 % (aucun SLA pour Development). Dans la pratique, nous utilisons des instances Stardust depuis plusieurs jours sans aucune coupure jusqu’à maintenant.

Stardust1-S se contente du strict minimum : 1 cœur virtuel, 1 Go de mémoire et 100 Mb/s de bande-passante (mais cela ne concerne que l’upload, nous y reviendrons pendant les tests). Toutefois, la partie CPU est intéressante : un « AMD EPYC 7281 ou équivalent ».

Cette instance est souvent en rupture et, au moment de passer commande pour nos tests, il n’y avait de la disponibilité qu’à Amsterdam et à Varsovie, pas à Paris. Elle est annoncée à 0,00072 euro (TTC) de l’heure, soit environ 0,53 euro par mois (sur la base de 730 h en moyenne).

Pensez à changer le réseau et le stockage

Mais alors pourquoi une fois sélectionné, le résumé affiche 5,04 euros HT par mois ? Parce qu’il y a en plus le stockage et le réseau, que nous allons modifier pour faire baisser la facture à moins de 1 euro TTC par mois.

Les bras ne m’en tombent pas

Les fournées de lauréats de la French Tech s’enchaînent et se ressemblent malheureusement sur la gestion de leurs emails : 71 startups sur 80 passent par des solutions étatsuniennes. Six sont chez des Français et une seule chez Proton. Cela soulève des questions de souveraineté et de dépendances.

Dans le cadre du programme French Tech 2030, le gouvernement vient d’annoncer « une nouvelle promotion de 80 start-up deeptech pour maîtriser les technologies et les ressources essentielles à notre économie et notre avenir ». Ambition affichée : « inventer et produire en France les technologies qui comptent ».

Huit secteurs d’activité sont mis en avant : intelligence artificielle, spatial, quantique, cybersécurité, robotique, semi-conducteurs, santé, énergie et décarbonation. Dans les 80 DeepTech, 79 % ont des activités à l’étranger et plus encore – 89 % – confient leurs emails à des entreprises étasuniennes (majoritairement Google et Microsoft) ; avec toutes les questions que cela soulève sur la dépendance et la souveraineté.

Pourtant, dans le communiqué de l’annonce, il est indiqué : « Parce que ce sont des entreprises qui développent des technologies hautement stratégiques, la Mission French Tech les sensibilise aux enjeux de souveraineté, de cybersécurité et de propriété intellectuelle et industrielle ».

• La souveraineté en 10 questions (version courte, version longue)
• Les emails : analyse technique et enjeux de souveraineté
• Des emails en .gouv.fr, du CAC40 et d’écoles passent aussi chez Google et Microsoft
• Emails des mairies : près de 30 millions d’habitants soumis à des solutions américaines

8 sites seulement en .fr, le .com domine toujours largement

Sur les 80 entreprises lauréates, 79 ont un site web, seul Valmy (dans la catégorie IA) n’en a pas. La French Tech ne semble pas beaucoup s’intéresser à l’extension nationale .fr : 8 sites seulement sont en .fr, contre 48 en .com (géré par l’Américain Verisign). Il y a également 10 sites en .ai, 4 en .io et 3 en .eu. Glimps a décidé d’utiliser un .re, l’extension officielle de La Réunion (gérée par l’Afnic, comme le .fr) alors que l’entreprise est en Bretagne. Soit.

Quoi qu’il en soit, trois entreprises utilisent un domaine en .fr pour leurs emails (ceux identifiés sur leur site pour le contact), alors que leur site principal est en .io ou .com : Evertrust, Inbolt et Shark Robotics. Notez que le site en .fr redirige automatiquement vers le domaine principal.

Le cas inverse existe aussi chez One Biosciences : son site principal est en .fr, mais les emails en .com (et aussi en .fr, les deux sont référencés). U-Space est particulier : le site officiel est u-space.fr, l’adresse de contact contact@u-space.com… mais c’est une erreur, le bon email (indiqué plus bas dans la page) est contact@u-space.fr. Embêtant, d’autant que le domaine u-space.com propose des box de stockage à Kashiwa… au Japon. Nous avons signalé la boulette à l’entreprise.

DeepTech 80 : les emails de 85 % des lauréats chez Google ou Microsoft

Qu’en est-il des enregistrements MX et donc des serveurs par lesquels passent les emails ? Sans aucune surprise, Microsoft et Google dominent plus que largement avec pas moins de 68 entreprises de la sélection DeepTech, soit 85 %.

Les deux géants sont à peu près à 50/50 sur les 68 entreprises.

Envie d’avoir Votre Petit Serveur ?

Dans la jungle des fournisseurs, il n’est pas toujours facile de trouver le bon VPS, celui adapté à vos besoins et usages. Next vous propose un comparatif des modèles d’entrée de gamme, à 5 euros ou moins. Il y a déjà une dizaine d’offres, avec des caractéristiques bien différentes. Par la suite, nous comparerons une quarantaine de VPS à moins de 10 euros par mois.

Sur Next, nous avons déjà publié plusieurs tutos pour reprendre la gestion de vos données à l’aide d’un VPS. C’est un serveur privé virtuel, un petit « morceau » de serveur réservé à votre usage, dont il est possible d’augmenter ou de diminuer les performances en fonction des besoins.

Nous avons commencé par auto-héberger le gestionnaire de mots de passe Vaultwarden, puis installé un VPN avec WireGuard et un lecteur de flux RSS maison, avec Wallabag en bonus. La sécurité est importante, et nous ne l’avons pas laissée de côté.

Au début de l’année, nous avions comparé et testé des VPS à moins de cinq euros. Depuis, des hausses successives – imputées à la pénurie des puces de mémoire – ont été annoncées par les hébergeurs européens. Faire un nouveau tour d’horizon est donc nécessaire, tout en élargissant un peu nos chakras à d’autres fournisseurs de service. Ils sont tous français ou européens, avec des datacenters au sein de l’Europe, et même de l’Union européenne (à l’exception d’Infomaniak, en Suisse).

Dans la première partie de ce dossier, nous allons de nouveau nous concentrer sur les serveurs virtuels à moins de 5 euros par mois. Nous pousserons à 10 euros dans la seconde partie de notre dossier, avec un descriptif des points à savoir de chaque fournisseur.

Quoi qu’il en soit, pour moins de 5 euros, il ne faut pas attendre des foudres de guerre, mais on peut avoir entre 1 et 2 vCore. Ce sont des cœurs virtuels, rattachés aux cœurs physiques (avec ou sans hyperthreading) du processeur installé dans le serveur. Pour moins de 5 euros, vous avez généralement 1 ou 2 Go de mémoire vive, parfois 4 Go. Côté stockage, quelques dizaines de Go ; mais un VPS se démarque avec 200 Go de stockage… Attention par contre aux caractéristiques techniques.

Un VPS dès 1,62 euro par mois !

Nous avons une dizaine de possibilités, avec un tarif plancher à 2,22 euros et même moins de deux euros si vous êtes prêt à lâcher IPv4 pour ne passer qu’en IPv6. Commençons par un tableau récapitulatif de la petite dizaine d’offres du moment :

Et sinon, l’IPv6 c’est pour quand ?

Free Mobile propose six nouvelles destinations avec son VPN, dont des sorties en Asie et en Amériques. mVPN permet aussi d’ajouter deux niveaux de « protection », qui passent par des DNS personnalisés basés « sur des listes de domaines identifiés comme dangereux ou relevant des catégories » comme des sites malveillants, frauduleux ou pour adultes.

En septembre de l’année dernière, Free ajoutait un VPN à ses forfaits mobiles : mVPN. Il ne proposait que deux points de sortie – en Italie ou aux Pays-Bas –, avec ou sans protection contre des sites malveillants. Cette « protection » était en lien direct avec le DNS, et passait plus particulièrement par le service DNS4EU. L’analyse du fonctionnement mVPN nous permettait en effet de remonter aux adresses IP des serveurs de DNS4EU pour la partie DNS.

• mVPN de Free Mobile : analyse technique et performances du VPN gratuit – Next

Free Mobile annonce aujourd’hui du nouveau pour son VPN maison : « un filtrage des sites malveillants et des contenus pour adultes, le choix entre huit pays de connexion et un accès simplifié depuis l’app Free ». Dans le premier cas, il s’agit de proposer trois niveaux de protection. Dans le second, cela permet de sortir de l’Union européenne et d’aller au Brésil, au Canada, aux États-Unis, au Japon, au Royaume-Uni et en Suisse.

Next en vadrouille dans 8 pays, le résolveur DNS nous suit

Nous avons testé les différents points de sortie du réseau de Free Mobile lorsque mVPN est activé. Aux Pays-Bas, comme l’année dernière, c’est via le réseau de Scaleway que nous arrivons sur Internet. Pour l’Italie, c’est le réseau de Scaleway aussi. Dans les deux cas cela reste en interne car Scaleway appartient à iliad, comme Free et Free Mobile.

Dans l’ensemble des nouvelles destinations (il y en a donc six), l’adresse IP qui nous est attribuée appartient à DataCamp Limited ; et de même pour l’adresse IP du résolveur DNS. DataCamp porte le numéro d’AS60068 et propose des services de CDN (via CDN77) et de serveurs dédiés (Datapacket) pour ceux qui ont de gros besoins en bande passante.