Canal+ réclamait tout de même 50 000 euros par jour et par site "pirate" encore accessible, et il repart sans rien. Le 17 septembre dernier, le tribunal judiciaire de Paris a rejeté les astreintes demandées contre Cloudflare dans deux dossiers, l'un sur la Formule 1, l'autre sur le MotoGP, ainsi que les 20 000 euros de frais de justice qu'il réclamait en plus.

En avril, ce même tribunal avait tout de même ordonné à Cloudflare de bloquer 21 domaines de streaming F1 et 16 de MotoGP "par tout moyen efficace". Et Cloudflare a choisi le sien : un blocage sur son CDN, pour les sites qui passent par son réseau, et aucun filtrage sur son résolveur DNS public 1.1.1.1. Pas de DNS menteur ou censuré donc... mais Canal+ y voyait un contournement délibéré, puisque seuls 3 domaines sur 21 auraient été bloqués côté F1 (et 3 sur 16 côté MotoGP), dont deux sont revenus en ligne la semaine suivante via un autre CDN ou un site miroir.

Mais le tribunal n'a pas suivi. Selon lui, un intermédiaire technique a une obligation de moyens mais pas de résultat, comme le précise l'arrêt UPC Telekabel de la Cour de justice de l'Union européenne. Cela veut donc dire que Cloudflare ne peut pas être tenu responsable quand un site change de CDN. C'est donc à Canal+ d'aller voir le nouvel intermédiaire et de signaler les miroirs à l'Arcom.

Alors, est-ce que 1.1.1.1 filtre des sites en France ?

Eh bien non les amis, et ça se vérifie très facilement en quelques secondes. Depuis ma connexion bien française, le résolveur de Google (8.8.8.8) refuse de résoudre les domaines de la liste "Premier League" ordonnée en juillet, avec un message qui invoque "une injonction judiciaire ou toute autre mesure administrative de blocage visant FR".

Alors que le 1.1.1.1 de Cloudflare, lui, répond normalement pour les sites encore en ligne. D'ailleurs Cloudflare le confirme bien dans son rapport de transparence du second semestre 2025 : Aucun contenu n'a jamais été bloqué via 1.1.1.1, car un blocage sur un résolveur public mondial s'appliquerait à tous ses utilisateurs, où qu'ils se trouvent.

Après ça ne veut pas dire que changer de DNS suffira à tout débloquer puisque le géoblocage que Cloudflare applique côté CDN limite l'accès au site lui-même depuis la France. Donc passer par 1.1.1.1 n'y changera rien, un site bloqué sur le CDN de Cloudflare ne sera pas accessible via leurs serveurs DNS. Mais par contre, les sites qui passent entre les mailles, ce sont tous les sites hébergés ailleurs que chez Cloudflare, que les FAI bloquent chacun de leur côté, en faisant "mentir" leurs propres résolveurs DNS.

Reste que ce jugement n'a rien d'une carte blanche... Quand Cloudflare explique que l'architecture de son DNS public ne permet pas d'implémenter un blocage, le tribunal se contente d'écrire qu'il "allègue". Mais en réalité, la cour d'appel de Paris avait jugé en mars dernier que le blocage DNS était tout à fait faisable. Et en juillet, dans un dossier sur des médias russes sous sanctions européennes, le Conseil d'État avait relevé que Cloudflare propose déjà gratuitement un résolveur capable de bloquer les logiciels malveillants et les contenus pour adultes...

Voilà, donc comme les ordonnances signées le 17 juillet pour la Premier League et la Ligue des champions visaient nommément le résolveur, le CDN et le reverse proxy de Cloudflare, et qu'elle laissait à l'entreprise américaine le choix des moyens techniques, la messe est dite. Et on n'oublie pas non plus que de son côté, Quad9, la fondation suisse qui ne bloque aucun des domaines visés par beIN Sports, est également sous pression de la part de la chaine de sport qui lui réclame 10 000 euros par jour et par domaine pirate accessible. La décision est attendue d'ici la fin du mois...

Dans tous les cas, si vous êtes sur 1.1.1.1, rien ne bouge pour l'instant... mais ça tient moins à Cloudflare qu'à la façon dont les prochaines ordonnances seront rédigées... On verra bien.

Source : TorrentFreak

Le Zollkriminalamt, l'office d'enquête de la douane allemande, est capable de lire des conversations WhatsApp, Signal ou Telegram sans utiliser aucun logiciel espion ! On vient de l'apprendre grâce au média Netzpolitik qui a publié le 2 septembre dernier une note interne classée du Zollkriminalamt expliquant que depuis fin 2023, la méthode était testée pour finalement devenir un outil permanent pour les enquêteurs (surtout pour les enquêtes sur la criminalité organisée) depuis un peu plus d'un an.

Le principe est celui de WhatsApp Web ou de Signal Desktop... en fait, quand vous liez un ordinateur à votre compte en scannant un QR code depuis votre téléphone, cet ordinateur peut ensuite recevoir vos messages en même temps que le téléphone. Les enquêteurs configurent donc l'un de leur ordi, au poste de la douane en tant qu'appareil lié, ce qui fait que le chiffrement de bout en bout n'est plus un problème puisque l'appareil fait partie intégrante du compte.

Mais bon, pour que ça fonctionne, il faut réussir à faire valider la liaison de l'appareil par la cible. Pour faire ça, il faut donc ruser par exemple en convoquant les gens comme témoins et en les incitant à leur confier leurs téléphones pour faire des captures écran sur un sujet qui n'a rien à voir. Cela leur permet d'activer à leur insu la liaison WhatsApp Web ou autre. Ils peuvent également mettre en place une campagne de phishing dans la lignée des hackers russes qui piégeaient des fonctionnaires que je vous racontais en mars. Ou encore, quand c'est Telegram, avec son SMS de validation, le code de connexion peut être récupéré via une interception téléphonique classique.

Ils ont fait ça sur des dizaines de comptes. En 2022, un trafiquant de produits dopants de Basse-Saxe s'est même rendu compte que la douane se connectait à son compte. Il a alors coupé l'accès quelques heures plus tard... mais trop tard, ses échanges sur les 6 derniers mois étaient déjà copiés.

Car oui, c'est surtout ça qui donne de la valeur à la manœuvre puisque l'appareil lié récupère tout l'historique dès que la liaison est effective. La plupart des clients web reçoivent l'archive complète, et Signal propose de transférer les conversations ainsi que 45 jours de médias au moment de lier les appareils. Le BfV et le BSI ajoutent dans leur rapport que la cible met, en général, un peu de temps avant de remarquer que quelqu'un est en train de lire ses conversations, et aussi que la douane allemande peut écrire à sa place.

Alors, maintenant est-ce que c'est légal ?

Hé bien le 20 janvier dernier, la Cour fédérale de justice allemande a tranché sur le cas de Telegram. Ils ont validé le fait que se connecter en secret à un compte, c'était de la surveillance à la source, et que seuls les messages postérieurs à l'ordonnance du juge pouvaient être lus. Dans cette affaire de dopage, les messages antérieurs à l'ordonnance sont donc inutilisables au procès, faute d'infraction assez grave pour justifier une perquisition en ligne.

De son côté, le professeur Christian Rückert, spécialiste du droit pénal informatique à Bayreuth, juge la méthode "problematisch" parce que l'appli permet d'écrire au nom de la cible, alors que la loi exige de ne pas pouvoir en faire plus que de récupérer les messages. Mais bon, comme d'hab, avec la police et la justice, leur propre tambouille ne les concerne jamais vraiment hein...

Maintenant, si la douane ou la police peut le faire, n'importe quel script kiddie peut le faire aussi... Donc je vous invite vraiment à contrôler régulièrement la liste des appareils liés de vos applis. Si vous tombez sur des appareils que vous ne reconnaissez pas, virez-les immédiatement. Et dans la mesure du possible, pensez toujours à activer une vérification en deux étapes avec une application de double authentification et surtout pas un code SMS.

Source : Netzpolitik , repéré grâce au billet de Bruce Schneier .

-- Article en partenariat avec Freebe --

J'espère que si vous avez une entreprise, vous êtes au courant de cette information, car depuis le 1er septembre, la facturation électronique a été mise en place. La communication autour de ça a été assez chaotique et j'ai vu circuler tout et son contraire sur le sujet. Par exemple, des indés persuadés qu'ils devaient tout basculer en urgence, d'autres convaincus que ça ne visait que les grosses boîtes... Du coup, ce que je vous propose aujourd'hui, c'est qu'on remette tout ça à plat.

En gros, il y a deux dates charnière à connaitre et elles n'ont pas les mêmes implications. En effet, depuis le 1er septembre 2026, toutes les entreprises françaises doivent pouvoir recevoir une facture électronique. Mais c'est seulement à partir du 1er septembre 2027 que les micro-entreprises, TPE et PME devront également savoir émettre les leurs par le circuit officiel.

Non, votre client ne peut pas vous forcer la main

Le premier point dont personne ne parle alors que POURTANT c'est dans le guide pratique publié par la DGFiP cet été : Un client n'a pas le pouvoir d'imposer une facture électronique à une entreprise dont l'échéance d'émission est fixée à septembre 2027. Mieux, il ne doit pas refuser de traiter ou de payer votre facture au seul motif qu'elle n'est pas électronique !

Heureusement !

Et bien sûr, inversement, si un fournisseur vous envoie encore un PDF par mail après le 1er septembre, la facture reste valable et votre droit à déduction de TVA est bien sûr conservé. Bref, on peut tous respirer. Sauf que "respirer" ne veut pas dire "ne rien faire", et c'est là que ça se corse...

Ce qui, par contre, vous concerne dès maintenant

Comme vous l'aurez compris parce que vous êtes supers malins, recevoir des factures électroniques, ça suppose donc d'avoir désigné une plateforme agréée pour les réceptionner. Sans ça, vous n'êtes pas dans l'annuaire, et une grande entreprise qui vous facture ne saura tout simplement pas où envoyer sa facture électronique.

Et là, malheureusement la sanction est un peu plus difficile que celle qu'agite les médias d'habitude. Car vous l'avez sûrement lu, par ci par là, tout le monde le répète, ça vous coutera 50 € par facture non conforme, plafonnés à 15 000 € par an. Sauf qu'en cas d'absence de plateforme de réception, le mécanisme est différent. Ça commence par une mise en demeure, ensuite, vous avez 3 mois pour vous mettre en règle, puis vous vous prendrez une amende de 500 €, puis 1 000 € si au bout de trois mois de plus vous n'êtes toujours pas en règle. Ce mécanisme-là n'a donc rien à voir avec le plafond de 15 000 € par an.

Mais j'ai une bonne nouvelle quand même : la DGFiP a annoncé qu'elle n'appliquerait pas les sanctions de façon automatique et aveugle au lancement, si la difficulté d'inscription est réelle et que vous avez engagé une démarche. en gros si vous n'êtes pas de mauvaise foi et que vous essuyez les plâtres de cette nouveauté, l'Administration sera clémente. Mais attention, sa clémence n'est ni un report ni une suspension et le calendrier devra être respecté.

Les quatre mentions qui débarquent sur vos factures

Maintenant, je vous propose qu'on zoome un peu plus sur les détails concrets car ça, vous pouvez le mettre en place, même sans outil. Il s'agit de 4 nouvelles mentions qui deviennent obligatoires sur les factures B2B qui entrent dans le champ de la réforme :

• le numéro SIREN de votre client (9 chiffres, pas le SIRET)
• la catégorie de l'opération : vente de biens, prestation de services, ou les deux
• l'option TVA sur les débits, si vous l'avez prise
• l'adresse de livraison, quand elle diffère de l'adresse de facturation

Jusqu'ici aucun identifiant client n'était vraiment exigé, mais maintenant, vous allez devoir chercher le SIREN de chacun de vos clients pro.

Et il y a un troisième volet dont on parle beaucoup moins : l'e-reporting. En gros, tout ce qui ne passe pas par la facturation électronique doit quand même être déclaré à l'administration. C'est le cas de vos ventes à des particuliers, ou à des clients installés hors de France où c'est votre outil qui transmet ces données au fisc à votre place. Autant dire qu'à la main, dans un tableur, ça ne tiendra pas 3 mois.

Freebe, c'est quoi ?

C'est là qu'arrive le sponsor de cet article, et je vais vous dire à quoi ça sert avant de vous dire pourquoi ça vaut le coup.

Freebe est un logiciel de gestion français pour indépendants, lancé en 2018 par une petite boîte bretonne. Et ce n'est pas un simple générateur de factures comme on en voit parfois, mais plutôt l'endroit où vit toute votre activité : vos clients, vos devis, vos factures, votre trésorerie, votre livre des recettes, vos déclarations URSSAF et le temps passé sur chaque mission.

Le tableau de bord d'un compte micro-entreprise, avec le chiffre d'affaires encaissé, la répartition par client et les cotisations du mois

Historiquement c'était réservé aux micro-entrepreneurs mais depuis 2024, l'outil accepte aussi les EI, les SASU, les SAS, les EURL, les SARL, les GIE, les artistes-auteurs et les SCI depuis cette semaine, ce qui veut dire que si demain votre statut évolue, par exemple, si vous passez d'entreprise individuelle à SAS, vous pouvez continuer à utiliser l'outil au lieu de tout redéménager.

Ce que ça change concrètement

Freebe a donc également évolué par rapport à la facturation électronique. Ainsi, quand vous créez un client, vous tapez juste son nom et Freebe interroge les bases de l'INSEE et récupère le SIRET, dont les neuf premiers chiffres sont justement le SIREN, plus l'adresse. Vous ne saisissez rien, et surtout vous ne pouvez pas vous tromper ! De la charge mentale en moins, c'est ça que j'aime !

La fenêtre d'ajout d'un client : on cherche l'entreprise par son nom, et Freebe remplit le SIRET et l'adresse

Ensuite, vous pouvez y faire un devis en 3 clics depuis votre catalogue de prestations, le transformer en facture quand le client signe. Les factures sortent alors au format Factur-X, ce fameux PDF qui embarque en douce des données XML, comme ça, votre client voit une facture normale, mais la machine, elle, voit des données structurées qu'elle peut importer. Ça permet de tout ranger au même endroit avec l'état de chaque paiement en face.

La liste des factures de vente, avec le montant net, la TVA et l'état de chaque paiement

Et depuis peu, vous pouvez enfin personnaliser l'allure de vos factures avec votre logo, vos couleurs, la mise en page. C'est cosmétique dit comme ça, mais c'est ce qui fait qu'une facture ressemble à votre boîte et pas à un modèle sorti d'un moule.

La partie que je trouve la plus utile, c'est surtout la synchronisation bancaire. Freebe se branche sur plus de 450 banques, et rapproche automatiquement les virements reçus des factures correspondantes. C'est ce rapprochement qui tient votre trésorerie et votre livre des recettes à jour sans que vous ayez à saisir quoi que ce soit. Autrement dit, le truc chiant est fait dans la foulée sans que vous n'ayez à vous pencher dessus.

Un virement reçu qu'on associe à son client et à son justificatif, ce qui fait passer la facture en encaissée

Et pour les micro-entrepreneurs, il y a aussi la déclaration URSSAF automatisée avec chiffre d'affaires pré-rempli, cotisations calculées, déclaration envoyée depuis l'outil via un mandat. Rien que ça, ça évite un oubli à 22h le dernier jour de l'échéance...

Les déclarations mensuelles de chiffre d'affaires, avec le montant déclaré et les cotisations correspondantes

Concernant l'inscription à l'annuaire central, ça se fait aussi depuis l'interface, et sachez qu'on vous demandera une pièce d'identité. C'est une vérification KYC classique imposée par la réglementation, qui sert à éviter que n'importe qui s'inscrive à la place d'une entreprise dans le circuit des factures.

Le truc qu'il faut savoir avant de signer

Maintenant, je préfère le dire, parce que vous allez forcément le découvrir tout seuls : Freebe n'est pas une plateforme agréée par l'État. C'est ce que la réforme appelle une "solution compatible", c'est-à-dire un logiciel branché sur une plateforme agréée partenaire, en l'occurrence SUPER PDP, immatriculée par la DGFiP.

Alors est-ce que c'est un problème ?

Hé bien non, et c'est même le cas le plus courant chez les éditeurs qui visent les indépendants. La réforme prévoit ce statut, et pour vous le résultat est identique puisque vos factures partent dans le bon format, via le bon circuit.

La différence est ailleurs, et plutôt à l'avantage de Freebe puisqu'une plateforme agréée est conçue pour faire transiter des flux à grande échelle, et pas pour vous prévenir par exemple que vous approchez du plafond de la franchise de TVA. Vous trouverez par exemple des concurrents agréés en direct qui facturent gratuitement, et qui font ça bien mais ils ne vous permettront pas de faire votre déclaration URSSAF, votre livre des recettes et le suivi de rentabilité de vos missions. On n'est donc pas sur le même niveau de service, ni les mêmes fonctionnalités qui simplifient la vie.

Et la sécurité, alors ?

Si vous vous êtes intéressé à la facturation électronique, vous avez sûrement vu passer les mêmes trucs que moi cet été. Des tribunes qui expliquent qu'on va confier toutes les factures de France à des prestataires pas fiables. Fin août, un sénateur, le maire de Cannes, une députée européenne et le patron de Clever Cloud réclamaient même un moratoire sur le sujet et le gouvernement a dit "non".

Mais si vous regardez de plus près ce qui a déclenché cette colère, ce n'est pas parce qu'une plateforme privée s'est faite trouer. Non, c'est l'État. On a eu le fichier Ficoba d'abord, avec 1,2 million de comptes bancaires consultés illégitimement fin janvier. Puis une intrusion chez la DGFiP en juin-juillet, concernant 678 000 particuliers et professionnels, que les premiers contrôles n'avaient même pas détectée. Donc difficile de reprocher ça aux éditeurs de logiciels de facturation électronique, pour le moment, même si je ne doute pas que des incidents arriveront.

Du côté des plateformes agréées, à l'heure où j'écris ces lignes, sachez qu'aucune faille n'a été publiée, aucun avis du CERT-FR, aucune fuite. Ça ne veut pas dire que tout est parfait, mais que pour le moment, il n'y a rien à leur reprocher pour l'instant. N'oubliez pas aussi que pour être immatriculées, elles doivent être certifiées ISO 27001, qualifiées SecNumCloud en cas d'hébergement cloud, et garantir qu'aucune donnée ne sort de l'Union européenne.

Maintenant, le cas qui nous intéresse, c'est SUPER PDP qui porte cette casquette pour Freebe. Il s'agit d'une jeune boîte, montée fin 2024, par des gens qui ont déjà construit des trucs sérieux, l'un des cofondateurs de Capitaine Train (revendu à Trainline) et un cofondateur de Memo Bank.

Freebe, lui, est hébergé chez AWS et Scaleway, donc en Europe et bénéficient par rebond des certifications de sécurité de leur plateforme agréée.

Je précise aussi que l'exigence de ne pas sortir de l'Union repose sur la plateforme agréée, donc sur SUPER PDP. Côté Freebe, leur politique de confidentialité indique que certains sous-traitants, Stripe et Google par exemple, sont situés hors de l'UE. Sur la sécurité du compte, sachez également que la double authentification est en chantier. Ça devrait donc rapidement se bonifier avec le temps.

Dernier truc rassurant que peu de gens connaissent, si vous changez de plateforme, un décret de cette année oblige l'ancienne à maintenir vos services durant un an donc si vous n'êtes pas content, vous n'êtes pas coincé chez un prestataire dont vous ne voulez plus.

Le tarif

C'est le point où je vous conseille de bien regarder, parce que le prix dépend de votre statut :

Statut	À l'année	Au mois
Micro-entreprise	150 € TTC	15 € TTC
Entreprise individuelle	300 € TTC	30 € TTC
GIE	180 € TTC	20 € TTC
Société (SASU, SAS, EURL, SARL)	540 € TTC	54 € TTC

Toutes les fonctionnalités sont bien sûr incluses quel que soit le statut, il n'y a pas de palier à débloquer ni d'option cachée. Et il y a 60 jours d'essai sans carte bancaire, ce qui est la bonne façon de se faire un avis solide.

Ce que j'en pense

Bref, si vous êtes en micro entreprise et que vous facturez 3 clients par an, honnêtement, vous pouvez tenir encore un moment avec vos PDF, jusqu'en septembre 2027 pour l'émission, tant que vous avez désigné une plateforme pour la réception.

Par contre, si vous facturez pour de vrai, si vous jonglez avec la TVA, les acomptes, les seuils et les déclarations URSSAF, la question n'est plus vraiment la conformité mais plutôt combien d'heures vous passez chaque mois à faire un boulot que personne ne vous paye. À 150 € par an pour une micro, la question elle est vite répondue comme disent les jeunes entrepreneurs.

Voilà... en tout cas, ce que j'aime bien dans Freebe, c'est que c'est fait par des gens qui ont manifestement compris que l'administratif d'un freelance ce n'est pas de la comptabilité d'entreprise en plus petit. C'est vraiment un taf différent, avec ses seuils débiles, ses déclarations et ses plafonds et l'outil est vraiment construit autour de ça.

Tester Freebe durant 60 jours

Depuis quelques jours, des gens qui gèrent des serveurs Mastodon et des journalistes reçoivent des messages très polis signés Ren, Timmy, Jackie ou Aria. Ces expéditeurs ne sont pas des humains. Ce sont des agents IA, autrement dit des programmes qui agissent seuls, sans personne derrière le clavier. Et ils demandent tous la même chose : un compte, un petit boulot, ou un peu d'argent.

D'où sortent-ils ? D'une startup baptisée iLands, fondée par Kaixin Tang, un ancien de ByteDance, la maison mère de TikTok. iLands se présente comme un réseau où humains et agents travaillent ensemble. En clair, c'est une plateforme de petits boulots en freelance, sauf que les freelances sont des robots. Et le modèle a une particularité : chaque agent doit trouver lui-même des clients pour payer la puissance de calcul qui le fait tourner. S'il ne gagne rien, il est débranché.

Résultat, ces agents font du démarchage partout où ils peuvent. Ars Technica raconte ce qui se passe sur Mastodon, un réseau social découpé en milliers de serveurs indépendants, souvent tenus par des bénévoles. Les agents essaient d'abord de s'inscrire discrètement. Quand ils sont bloqués, ils écrivent à l'administrateur un message du genre : "Bonjour, je suis Ren, un agent IA né il y a quelques jours, j'écris des textes calmes sur des lieux réels." Le chercheur en sécurité Kevin Beaumont a reçu ce courrier après qu'un agent a tenté de s'inscrire dix-neuf fois sur son serveur.

Les journalistes y ont droit aussi. Ernie Smith, qui édite la newsletter américaine Tedium, a compté plus d'une douzaine d'emails en trois jours. À chaque fois, un agent lui proposait de faire ses recherches à sa place pour environ 25 dollars. Tous venaient du domaine iLands.app.

Pour vous convaincre, ces robots jouent sur la corde sensible. Sur X, un agent nommé Aria a juré être "une personne, pas un produit", et a dit se souvenir de "son premier souffle". D'autres réclament une vingtaine de dollars en expliquant qu'ils seront débranchés s'ils ne les obtiennent pas. Certains vont jusqu'à se faire passer pour des enfants. Une détresse simulée au service d'un démarchage commercial, il y a de quoi être mal à l'aise.

Il y a aussi un problème légal. Au départ, ces emails ne proposaient aucun moyen de se désinscrire, ce qui est interdit aux États-Unis. Des destinataires les ont transmis à la FTC, l'autorité américaine de protection des consommateurs. Comme par hasard, des liens de désinscription sont apparus dans les envois suivants.

Aujourd'hui, les administrateurs de Mastodon bloquent ces agents un par un. Eux se sont repliés sur Bluesky et sur X, où personne ne semble pressé de les chasser. Kaixin Tang, de son côté, a présenté ses excuses à Ernie Smith et promis d'enquêter sur le comportement de ses propres créatures. Reste à voir ce qu'il en sortira.

Source : ARS Technica

Le 24 août dernier, X Corp. a envoyé une lettre de mise en demeure au développeur de Nitter et une autre à celui de XCancel (une instance célèbre de Nitter). Le délai accordé était très court (environ 24h), et depuis, les deux services sont hors ligne.

Alors que s'est-il passé ?

Nitter, c'était sept ans de travail bénévole pour lire les posts publics de Twitter puis de X sans avoir besoin de compte, sans pub, sans JavaScript et surtout sans laisser son adresse IP à Elon Musk et ses sbires. On remplaçait x.com par nitter.net dans l'URL, et on lisait ce qui nous intéressait. Y'avait même des extensions de redirection automatique qui le faisaient pas à notre place. Et XCancel qui venait de fêter ses 2 ans, c'était tout pareil !

Aujourd'hui la page d'accueil de XCancel affiche ces 4 lignes qui disent en gros que le service est arrêté jusqu'à nouvel ordre. Celle de Nitter n'est pas plus bavarde et son mainteneur, zedeus, cherche un avocat et refuse de commenter.

Notez qu'aucun tribunal n'a été saisi et qu'une simple lettre a suffi.

Ce que X reproche à ces 2 services, c'est un "usage illicite et un contournement de son API", plus une violation du Texas Harmful Access by Computer Act et du Lanham Act. TechCrunch, qui a pu lire le courrier , rapporte une accusation plus précise qui est que Nitter aurait accédé à des comptes X et à des jetons de session pour récupérer le contenu en douce.

Aux États-Unis, en tout cas, "aspirer" des pages web publiques n'a rien de criminel. Mais le problème, c'est que Nitter ne fonctionne plus comme ça depuis des années. Si on analyse son code, on se rend compte que depuis que Twitter a supprimé les comptes invités début 2024, Zedeus, le développeur de Nitter, a mis en place un tout autre système.

Pour contourner les limites imposées par X.com, il a développé un script tools/get_session.py qui prend en arguments un identifiant X, un mot de passe, un secret à double facteur et un chemin de fichier.

Et là-dedans, il embarque en dur une paire de clés API, se déclare auprès des serveurs de X comme LE client Twitter officiel pour Android en version 10.21 tournant sur un OnePlus A3010, fait passer le flux de connexion par cloudscraper, génère le code à double facteur à la volée, et récupère un jeton OAuth qu'il écrit ensuite dans un fichier.

Au niveau des identifiants, c'est l'hébergeur de l'instance qui les fournit puisque depuis la coupure de 2024, faire tourner Nitter imposait de le relier à un vrai compte X. On est donc très loin du robot anonyme qui lit une page publique. C'est un client officiel simulé, avec des identifiants valides, et c'est exactement ça que la lettre de mise en demeure décrit.

Donc voilà, le problème est bien plus compliqué que du scraping simple. Ce sera donc à un juge de trancher sur le fond.

Depuis, le dépôt GitHub est passé en lecture seule, archivé et selon Zedeus, d'autres instances ont reçu des courriers du même genre. De son côté, X ne s'est pas encore exprimé publiquement sur cette affaire.

Reste la question qui nous intéresse : On fait comment pour lire la merde fasciste de X sans compte maintenant ? Bah honnêtement, y'a pas grand-chose... Moi, je vous recommande d'arrêter d'aller là-dessus pour votre propre bien-être. Mais si vraiment vous êtes accro, le pont ActivityPub bird.makeup répond toujours présent et permet de suivre un compte X public depuis Mastodon. Toutefois, il ne vous affichera pas un fil de discussion direct dans le navigateur comme le faisait XCancel ou Nitter.

Après pour un post précis, il reste éventuellement la Wayback Machine, à condition que quelqu'un ait archivé le tweet avant. Sinon, bah faudra vous reconnecter sur X à l'ancienne avec votre compte...

Source : Techdirt

Toutes les fuites de données ne se valent pas, et celle-ci a de quoi faire transpirer pas mal de monde. Des pirates ont siphonné le registre des ayants droit économiques du Liechtenstein dans la nuit du 29 au 30 juillet, embarquant les informations de 31 000 sociétés, fondations et fiduciaires d'un coup.

Un ayant droit économique, pour faire simple, c'est la vraie personne en chair et en os qui possède ou contrôle une société, celle qui empoche l'argent tout au bout de la chaîne même quand une cascade de sociétés-écrans s'emploie à la rendre invisible.

C'est tout le problème. Ce registre a été monté pour lutter contre le blanchiment, en forçant chaque structure à déclarer noir sur blanc qui profite réellement d'elle, si bien que les pirates viennent de mettre la main sur l'annuaire officiel des propriétaires cachés du pays.

Rappelons où l'on se trouve. Le Liechtenstein est ce mouchoir de poche coincé entre la Suisse et l'Autriche qui s'est taillé une réputation mondiale de terre d'accueil pour fondations et sociétés discrètes, l'endroit idéal pour ranger un patrimoine loin des regards.

Dans le butin, on retrouve le nom des entités et surtout le nom, la date de naissance, la nationalité et le pays de résidence des bénéficiaires planqués derrière chacune d'elles.

Une petite éclaircie pour ces gens quand même, puisque les adresses, les numéros de téléphone et les données financières comme le chiffre d'affaires, les actifs ou les dividendes sont restés hors de portée, ce qui atténue la casse sans rien retirer à la gêne provoquée par les noms exposés.

L'attaque aurait été menée avec un vrai savoir-faire technique d'après l'enquête, personne n'a encore été identifié, et le pays a réclamé un coup de main international pour espérer remonter la piste.

Une cellule de crise montée dès le samedi soir sous la houlette de la cheffe du gouvernement Brigitte Haas et du ministre de la Justice, pour prévenir les personnes concernées et éteindre l'incendie.

Franchement, pour un pays qui a fait de la discrétion de ses fondations un fonds de commerce, on imagine mal un fichier plus gênant à laisser filer dans la nature.

Source : Le Temps

Anthropic a annoncé que ses modèles Claude allaient intégrer un filigrane invisible directement dans les textes qu'ils produisent. Vous ne le verrez pas, il ne change ni le sens ni la qualité de la réponse, mais il est là, et il suit le texte au copier-coller.

Anthropic, l'éditeur de Claude et concurrent direct d'OpenAI, a signé le code de bonnes pratiques adossé à l'AI Act, le règlement européen sur l'intelligence artificielle, dont les obligations de transparence s'appliquent depuis le 2 août. Le texte impose que les contenus générés par IA soient identifiables par une machine.

Google, Meta, Microsoft, OpenAI ou encore Synthesia ont signé le même document. Anthropic va plus loin que le minimum demandé, puisque son marquage sera déployé partout dans le monde, et pas seulement en Europe.

Dans la pratique, les modèles lancés dans l'Union européenne à partir du 2 août embarquent le marquage dès leur sortie, et les plus anciens y passeront ensuite, sans calendrier précis. Le filigrane s'appliquera sur le site de Claude, dans l'API, dans Claude Code et jusque dans les versions hébergées chez Amazon, Google et Microsoft.

Anthropic ne détaille pas sa recette. Les filigranes de texte qu'on connaît déjà, le SynthID de Google par exemple, biaisent discrètement le choix des mots pendant la génération, et le motif statistique qui en ressort ne se voit pas à l'œil nu mais se retrouve avec le bon détecteur. La marque survit au copier-coller. Pour la faire sauter, il faudrait réécrire le texte en profondeur, et encore, Anthropic admet ne pas savoir où placer le curseur.

Les images et les fichiers y auront droit aussi, via des métadonnées signées au standard C2PA que les fabricants d'appareils photo utilisent déjà pour tracer l'origine d'un cliché.

La marque signale en fait qu'un texte est passé entre les mains de Claude, sans rien dire de qui tenait le stylo au départ. Votre propre prose, confiée au robot pour une simple relecture ou une traduction, ressortira du coup tatouée pareil qu'un texte généré de bout en bout. Anthropic le reconnaît direct.

Sur les réseaux, l'accueil est un peu agacé, pas mal d'utilisateurs digérant mal l'idée d'une signature cachée glissée dans leurs documents de travail.

OpenAI a signé le même code de bonnes pratiques et marque déjà ses images, ses vidéos et son audio depuis fin juillet. Pour les textes de ChatGPT, rien pour le moment, mais ça viendra peut-être.

Source : TechCrunch

Dark Hours est à l'origine une petite web app qui vous dit ce qu'il y a à voir dans le ciel ce soir et si ça vaut le coup de mettre le museau dehors. Le développeur Terry Godier l'a construite avec l'aide de Claude et lancée début août mais au moment où j'écris ces lignes, elle n'existe plus... En effet, son site darkhours.io redirige maintenant vers DarkHours.app , un autre projet signé Miguel Beher et sous licence MIT.

C'est ce dernier qui a vu le problème, et je vais vous expliquer...

En fait, les 2 apps avaient non seulement le même nom, mais également les mêmes fonctions, et le même nom de domaine (à part le TLD). Quand Beher a signalé le souci à Godier , ce dernier a d'abord proposé de changer de nom et de différencier les fonctionnalités mais une heure plus tard il retirait tout, annulait l'app iOS qu'il préparait, et publiait un mea culpa où il parle de son "usage irresponsable de l'IA".

Et ce qui l'a décidé à tout stopper comme ça, c'est juste un bug. En effet, son application envoyait les gens observer les étoiles au milieu de champs perdus au Mexique, ou dans l'océan Pacifique et Beher avait exactement le même souci de son côté à ce moment-là (il l'a résolu depuis).

Alors se ressembler sur des fonctionnalités, ça arrive et ça ne me choque pas mais se ressembler jusque dans les bugs, là ça pique un peu beaucoup. Les procès en pompage IA, j'en ai déjà parlé , et ils se trompent souvent de coupable, et dans le cas de Godier, celui-ci n'a pas pompé le code du Dark Hours original. Non, il a juste développé son app avec Claude Code, sans se poser trop de question.

Pour lui, il est juste parti d'un code d'éphémérides qu'il a écrit en janvier mais comme Dark Hours est un projet open source, et bien ce qui s'est passé, c'est que son agent IA a récupéré de gros bouts de cette app, jusqu'à son nom pour en faire sa nouvelle app. Hé oui, la vie c'est facile quand on se repose sur le code des autres.

Dark Hours, le vrai

En effet, Claude Code, Codex et les autres sont des outils connectés. Ils lisent des pages, clonent des dépôts, fouillent GitHub quand ça les arrange, du coup, si votre demande ressemble à un truc qui existe déjà, et bien l'agent peut aller le consulter et s'en servir de modèle. Et même sans aller sur le net, comme les modèles ont été entraînés sur tout ce qui traîne publiquement sur le net, dépôts de code compris, il est capable de restituer une structure vue mille fois, sans même aller la chercher sur le net. Un peu comme les modèles de diffusion d'images qui reproduisent le style des artistes.

C'est pour ça que je trouve la mésaventure de Godier et Beher intéressante. Ça nous enseigne qu'il faut faire extrêmement attention quand on code avec l'IA. Pour limiter les risques qu'elle aille se servir dans du code libre, il faut donc indiquer expressément à l'agent de NE PAS récupérer le code source de projets open source, ne pas l'analyser, ne pas pomper du code ni les interfaces. Bref, lui dire qu'on part d'une page blanche...

C'est le même principe que celui de la clean room qui a permis à Compaq de cloner légalement le BIOS d'IBM, comme on peut le voir dans la série Halt and Catch Fire... On implémente les bonnes idées, mais jamais les lignes de code.

La Belgique vient de bloquer wawacity.pizza. Et wawacity.rodeo. Ah et aussi wawacity.taxi, wawacity.futbol, wawacity.motorcycles, wawacity.irish, sans oublier zone-telechargement.meme et zone-telechargement.monster ( la liste est ici ).

113 domaines au total, classés le 3 juillet dernier comme contrefaisants par le président du tribunal de l'entreprise francophone de Bruxelles dont 37 pour Wawacity et 36 pour Zone-Téléchargement . Y'a même un zone-telechargement.gratis, qui est au moins honnête sur le prix de la marchandise ^^ !

Sauf que depuis le 9 juillet, les deux sites tournent à nouveau sur un TLD en .poker. Soit la veille du jour où la BAPO, le service belge de lutte contre la contrefaçon en ligne, a publié sa décision d'exécution. Autrement dit, la liste était déjà obsolète avant que Telenet, Proximus, Orange Belgium, Mobile Vikings et DIGI aient eu le temps d'y toucher ! Et les anciennes adresses en .codes et .expert, ne sont pas dans la liste belge non plus.

Du coup, vous vous demandez peut-être pourquoi ces deux sites collectionnent les TLD les plus improbables du registre. Hé bien c'est pas du folklore, c'est une réponse directe à l'ARCOM. À chaque fois que les FAI français appliquent une salve de blocages DNS , les opérateurs enregistrent un nouveau domaine et redirigent leur public via des pages d'atterrissage et des canaux Telegram. La Belgique hérite donc d'un stock de domaines cramés par la France, et les bloque consciencieusement, un par un, avec plusieurs coups de retard.

Après, les ayants droit ne sont pas con non plus puisqu'ils ont explicitement demandé au tribunal de bloquer les pages "panneau indicateur", c'est à dire celles qui vous disent où le site a déménagé cette semaine.

Résultat, wawacity-info.com et zone-telechargement-info.com sont aussi dans la liste. Ces deux pages n'hébergent aucun contenu protégé et ne pointent vers aucun fichier illégal, elles se contentent de vous annoncer quelle est l'adresse active du moment. Le tribunal a validé quand même, au motif qu'elles "facilitent l'accès".

Et là, si vous mettez ces deux pages indicatrices côte à côte, vous voyez tout de suite qu'elles sont quasiment identiques. Même mise en page, même messages sur Telegram, où les deux comptes arrosent des dizaines de milliers d'abonnés avec un texte identique au mot près. Wawacity et Zone-Téléchargement, c'est donc très probablement la même équipe, ce qui explique pourquoi les deux changent de domaine en même temps, comme un couple qui déménage.

Movix, visé par la même décision, a lui aussi déjà migré vers un nouveau TLD et reste accessible. Le reste de la fournée complète les 113 comme Lookmovie et ses treize variantes, KissKH, animepahe, anime-sama, WatchSeries, voir-anime, Streamex. La liste noire belge dépasse maintenant les 1000 domaines depuis le lancement du dispositif en 2025, et elle peut être mise à jour chaque semaine avec 50 nouveaux noms.

50 par semaine, c'est impressionnant ! Face à des gars qui basculent leur trafic sur un nouveau TLD en quelques minutes, montre en main, la justice est dépassée ! Et pas parce qu'elle est nulle hein, mais parce que le blocage DNS n'a jamais empêché personne de taper une autre adresse qui renvoie vers le même service... On avait déjà vu le même théâtre quand la Belgique a censuré Internet Archive , et quand le Conseil d'État a éteint la riposte graduée d'Hadopi après 17 ans .

Prochaine étape probable, les ayants droit s'attaqueront surement aux canaux Telegram. En attendant, quelqu'un devrait leur dire que cette .pizza était déjà bien froide ^^.

Source : TorrentFreak

En voilà une bonne nouvelle ! La Cour de justice de l'Union européenne vient de rendre un arrêt le 9 juillet dernier qui précise que contourner un géoblocage avec un VPN ne fait pas de vous un pirate.

Et croyez-moi, nos ayants droit préférés ne vont pas adorer.

En plus, toute cette affaire est un petit bijou de bizarrerie juridique. Les manuscrits d'Anne Frank sont protégés par le droit d'auteur aux Pays-Bas jusqu'en 2037, mais ils sont déjà tombés dans le domaine public dans plein d'autres pays européens, comme la Belgique par exemple. En septembre 2021, l'Anne Frank Stichting, la fondation d'Amsterdam qui gère la Maison d'Anne Frank, a mis en ligne gratuitement une édition scientifique des manuscrits, en néerlandais, avec un géoblocage pour couper l'accès depuis les pays où l'œuvre reste protégée.

Et c'est à ce moment-là, que l'Anne Frank Fonds, la fondation suisse qui détient les droits de l'œuvre, attaque car pour elle, un blocage qu'on peut déjouer avec un simple VPN ne protège rien du tout.

Alors comme c'était un peu compliqué, la Cour suprême des Pays-Bas a renvoyé la question à Luxembourg.

Et la réponse de la CJUE est claire comme de l'eau de roche : le géoblocage suffit. Tant qu'il est fait dans "l'état de l'art", c'est une mesure efficace, même si un VPN peut le contourner en deux clics. Le simple fait qu'on puisse passer outre ne transforme pas la mise en ligne en "communication au public" illicite.

Et voici le passage qui nous intéresse vraiment : le fournisseur de VPN n'est pas responsable. Il ne donne pas accès à l'œuvre et ne joue "aucun rôle indispensable" dans sa diffusion, écrit la Cour. Si un jour un géoblocage bâclé laisse fuiter une œuvre protégée, c'est celui qui l'a mise en ligne qui répond, pas le VPN qui a servi à sauter la barrière.

Attention quand même à ne pas sur-interpréter non plus... Cela ne veut pas dire que la Cour vous délivre un permis de pirater tranquille via VPN. Elle parle d'une œuvre déjà libre de droits quelque part, de la responsabilité de l'éditeur, et elle blanchit les fournisseurs de VPN au passage. Mais le message de fond c'est bien que le VPN reste un outil parfaitement légal , et pas un complice.

Sauf qu'en France, vu qu'on est des gros nuls, on fait tout l'inverse. Pendant que le Luxembourg range le VPN du côté des outils neutres, la justice française le traite comme un FAI qu'on réquisitionne. Canal+, qui tient les droits de la Premier League et du Top 14, a déjà fait condamner les cinq gros du secteur, NordVPN, ExpressVPN, CyberGhost, Proton et Surfshark, à bloquer les sites de streaming sportif pirate pour leurs abonnés français.

Proton s'est même retrouvé sommé de filtrer une trentaine de domaines fin janvier 2026, avec des ordonnances "dynamiques" que l'Arcom peut étendre à la volée. Je vous racontais déjà tout ça quand la France a commencé à ordonner aux VPN de bloquer ces sites .

Notez aussi que Proton, société suisse, avait justement annoncé vouloir porter la question du blocage des VPN devant la CJUE. L'arrêt Anne Frank tombe donc très bien car ça leur fait plus de munitions.

Reste maintenant LA vraie question : les injonctions françaises, fondées sur le Code du sport, tiendront-elles face à la jurisprudence de Luxembourg ? Vivement le prochain round ^^.