Edit du 22/12/2025 : Bonne nouvelle ! Le développeur a finalement récupéré son compte. Un employé d'Apple Executive Relations basé à Singapour l'a contacté pour lui annoncer que tout était réglé. Il s'avère que la carte cadeau qu'il avait essayé d'utiliser avait déjà été "consommée" d'une manière ou d'une autre (probablement du tampering classique de carte cadeau), et son compte s'est retrouvé flaggé à cause de ça. Apple lui a conseillé de n'acheter des cartes cadeaux que directement chez eux et quand il a demandé si ça signifiait que leur chaîne d'approvisionnement (Blackhawk Network, InComm et autres revendeurs) était peu fiable, Apple a refusé de commenter. Comme quoi, même après 25 ans de fidélité, faut quand même gueuler un bon coup pour que ça bouge...

Vous vous souvenez de mes conseils sur les backups ? Ceux que je vous rabâche régulièrement depuis des années ? Hé bien voici une histoire qui va vous donner envie de les suivre une bonne fois pour toutes.

Dr Paris Buttfield-Addison, c'est un développeur Apple depuis 25 ans. Le mec a écrit plus de 20 bouquins sur Objective-C et Swift, il co-organise le plus ancien événement développeur Apple non-officiel... Bref, c'est pas un random qui a téléchargé une app météo une fois. C'est un évangéliste Apple depuis 30 ans.

Et bien du jour au lendemain, son compte Apple ID a été fermé. Sans explication. Sans recours. Sans rien.

L'élément déclencheur ? Il a essayé de racheter une carte cadeau Apple de 500 dollars pour payer son abonnement iCloud+ de 6 To. Le code a foiré, le vendeur lui a proposé un remplacement, et quelques temps après... boom, compte verrouillé.

Résultat : environ 30 000 dollars de matos Apple devenu inutilisable, des milliers de dollars de logiciels et médias achetés auxquels il n'a plus accès, plus d'iMessage, et surtout des téraoctets de photos de famille qu'il ne peut plus récupérer. 25 ans de souvenirs numériques, volatilisés.

Le support Apple ? Réponse standard : fermé pour "conformité avec les conditions". Pas d'explication. Zéro escalade possible. Et comme conseil : créer un nouveau compte. Sauf que ça pourrait aussi le faire bannir ce nouveau compte. Logique Apple...

Et le pompon ? On lui a également suggéré de se présenter physiquement au siège australien d'Apple. Comme si le mec allait prendre un billet d'avion pour aller plaider sa cause en personne. C'est difficilement compréhensible comme réponse venant d'une boîte qui vaut 3000 milliards de dollars.

Le truc, c'est que cette histoire peut arriver à n'importe qui. Que ce soit chez Apple, Google ou Microsoft, vous êtes à la merci d'un algorithme qui décide un beau matin que votre compte est suspect. Et bonne chance pour trouver un interlocuteur prêt à mouiller sa chemise pour vous. Spoiler : y'en a pas.

Moi-même j'ai eu tellement de problèmes de synchro avec iCloud au fil des années que j'ai perdu des fichiers. C'est de la merde, vraiment. Optez pour un truc mieux si vous le pouvez.

Du coup, comment éviter ça ? L'idéal c'est l'auto-hébergement si vous avez le temps et les compétences. Sinon, au minimum, faites des backups réguliers de vos données. Pour Apple Notes par exemple, y'a un outil qui s'appelle Exporter qui permet d'exporter toutes vos notes vers du Markdown ou du HTML. Comme ça le jour où Tim Cook décide que votre tronche lui revient pas, vous aurez au moins une copie de vos données quelque part.

Bref, ne faites jamais confiance à 100% à ces plateformes avec vos données les plus précieuses. Elles peuvent vous couper l'accès du jour au lendemain, et vous n'aurez aucun recours...

Source : hey.paris

Keonne Rodriguez, le développeur derrière Samourai Wallet, vient de se prendre 5 ans de taule pour avoir créé un portefeuille Bitcoin qui protégeait un peu trop bien l'anonymat de ses utilisateurs.

Samourai Wallet, c'était un portefeuille Bitcoin open source lancé en 2015 avec comme promesse de permettre aux gens d'utiliser leurs bitcoins sans que le monde entier puisse tracer chacune de leurs transactions. Le truc utilisait une technique appelée le "coin mixing" qui, pour faire simple, mélange les transactions de plusieurs personnes pour brouiller les pistes et rendre le traçage quasi impossible.

Grave erreur car ça les États n'aiment pas !

Et voilà pourquoi en avril 2024, le FBI a débarqué chez Rodriguez à 6h du matin, arme au poing, devant sa femme et ses enfants. L'accusation ? Blanchiment d'argent et exploitation d'une entreprise de transmission monétaire non autorisée. Le Département de la Justice américain affirme que plus de 237 millions de dollars de "produits criminels" seraient passés par Samourai, provenant selon eux du trafic de drogue, de marchés du darknet, de fraudes diverses et même d'un site pédopornographique.

Rodriguez maintient qu'il a juste créé un logiciel, point. Dans l'interview ci-dessous accordée à Reason Magazine juste avant son incarcération ce 19 décembre, il explique qu'il n'a jamais eu accès aux fonds des utilisateurs et qu'il ne savait pas qui utilisait son outil ni pourquoi.

Je sais pas vous, mais moi dès que j'ai un truc à écrire sur mon smartphone, je le dicte. Et que je sois sous Android ou soit iOS, je sais très bien que chaque mot que je prononce part directement sur les serveurs de Google ou Apple. Pourquoi j'ai trouvé FUTO Voice Input , intéressant parce que lui, garde tout sur votre téléphone...

C'est une appli Android qui utilise le modèle Whisper d'OpenAI pour faire de la reconnaissance vocale vraiment précise et ça tourne nickel sur un smartphone moderne. Trois tailles de modèle sont dispo : tiny, base, et small. La base suffira dans 90% des cas, mais vous pouvez basculer sur la small qui est un peu plus grosse, si vous avez un accent à couper au couteau ou si vous parlez dans le métro.

FUTO Voice Input supporte également 16 langues dont le français, l'anglais, l'allemand, l'espagnol, le japonais et plein d'autres et l'appli s'intègre directement comme clavier de saisie vocale Android, du coup elle fonctionne avec n'importe quelle application. Vous pouvez donc l'utiliser avec des claviers comme AnySoftKeyboard ou Unexpected Keyboard . Par contre, oubliez Gboard ou le clavier Samsung qui ont leur propre système verrouillé.

Le projet vient de FUTO, une organisation fondée par Eron Wolf (ex-investisseur de WhatsApp) et Louis Rossmann, le YouTubeur américain connu pour son combat pour le droit à la réparation, y bosse comme directeur de la com. Donc niveau éthique, je pense que c'est OK.

L'appli est dispo sur le Play Store, sur F-Droid, ou en APK direct d'environ 70 Mo. Y'a une version gratuite et une version payante sous forme de licence unique (pas d'abonnement, ouf) et le code source est ouvert et disponible sur GitLab.

Voilà, si vous en avez marre que vos paroles soient analysées par des serveurs à l'autre bout de la planète, FUTO Voice Input c'est une très bonne option !

Merci à PARADOXE_ pour l'info !

Vous voulez tester un service, télécharger un truc, ou vous inscrire sur un site que vous n'utiliserez probablement qu'une fois et là, une fois encore, on vous demande votre email. Alors vous pétez un câble, vous retournez votre bureau en hurlant, vous jetez votre tasse de café sur le visage de votre collègue, et vous essayez de vous suicidez en mettant frénétiquement votre langue dans la multiprise. Ne rigolez pas, ça arrive tous les jours !

Heureusement, voici une solution qui va vous permettre de contourner le problème. Ça s'appelle MephistoMail , et c'est un service d'email jetable, anonyme, et qui ne garde aucun log de vos activités. Vous allez sur le site, vous copiez l'adresse temporaire qui vous est attribuée, vous l'utilisez pour vous inscrire quelque part, et hop, les mails de confirmation arrivent dans votre inbox temporaire. Une fois que c'est fait, vous fermez l'onglet et tout disparaît.

Vous allez me dire, le concept n'est pas nouveau, y'a des dizaines de services de temp mail qui existent depuis des années. Mais MephistoMail se distingue par son approche "privacy first" assez radicale. Pas de tracking, pas de logs, pas de collecte de données et surtout l'inbox est vraiment volatile et peut être supprimée à tout moment par le système.

Du coup, y'a quelques limitations à connaître avant de vous lancer. Ce service est prévu principalement pour recevoir des emails, pas pour en envoyer. Certains sites ont également commencé à bloquer les domaines de temp mail connus, donc ça marchera pas partout. Et surtout, ne l'utilisez jamais pour des trucs sensibles comme votre banque ou des services critiques. Si vous perdez l'accès à l'inbox avant d'avoir récupéré votre lien de confirmation, c'est game over.

L'utilisation est par contre hyper simple et surtout y'a pas de compte à créer, pas de mot de passe à retenir, bref pas d'emmerdes.

Voilà, si vous en avez marre de donner votre vraie adresse mail à n'importe qui et de vous retrouver noyé sous les newsletters non désirées, MephistoMail fera bien le taf. Et en plus c'est gratuit !

Vous cherchez une app de prise de notes que vous pouvez héberger vous-même, sans dépendre d'un cloud propriétaire qui va analyser vos pensées les plus intimes pour vous balancer de la pub ciblée ?

Ça tombe bien car j'ai reçu un mail d'un lecteur, Tim, qui bosse dessus depuis des années et qui vient de la partager en open source. Alors je fais mon taf et je vous en parle !

Ça s'appelle Poznote , et c'est une application web légère pour la prise de notes. Le truc cool, c'est que vous gardez la main sur vos données puisque tout tourne chez vous. Pas de cloud tiers, pas de tracking, pas de "on analyse vos notes pour améliorer notre IA". Vos notes restent vos notes.

Côté fonctionnalités, y'a de quoi faire puisque c'est un éditeur de texte enrichi, avec support Markdown, une recherche super puissante, un système de tags, le support des pièces jointes, des espaces de travail multiples... Et y'a aussi des trucs plus originaux comme l'intégration d'Excalidraw pour dessiner des schémas et les diagrammes Mermaid pour les devs qui aiment visualiser leurs architectures. Et bien sûr, mode sombre parce qu'on est en 2025 quand même et que cette année était bien bre-som quand même !

Ce projet tourne avec PHP 8, SQLite pour la base de données, et un peu de JavaScript vanilla avec React juste pour le composant Excalidraw. Et les notes sont stockées en HTML/Markdown avec les métadonnées dans SQLite et les pièces jointes dans le système de fichiers.

Pour l'installation, c'est du Docker comme d'hab, donc vous récupérez l'image, vous configurez quelques variables d'environnement, et hop ça tourne sur le port 8040 avec les credentials par défaut admin/admin123! . Le projet supporte même les instances multiples si vous voulez séparer vos notes perso de vos notes pro sur le même serveur.

Y'a aussi une API REST complète avec documentation Swagger intégrée pour ceux qui veulent automatiser des trucs ou intégrer Poznote dans leur workflow. Vous pouvez aussi partager des notes publiquement si besoin, créer des listes de tâches, et y'a un système de corbeille pour récupérer ce que vous avez supprimé par erreur.

Le backup est également intégré directement dans l'app avec export complet de vos données et vous pouvez même consulter vos notes offline une fois exportées. Et tout le code est sous licence MIT.

Voilà, si vous voulez tester avant de vous lancer, y'a une démo dispo sur poznote-demo.up.railway.app avec les identifiants poznote/poznote. Ça vous donnera une idée de l'interface et des fonctionnalités sans rien installer.

Bref, si vous cherchez une solution de notes auto-hébergée incroyable, Poznote c'est gratuit, c'est open source, et ça respecte votre vie privée. C'est le top du top alors je dis un grand bravo à Tim pour le boulot accompli !!

Vous avez des dossiers sensibles que vous aimeriez chiffrer avant de les balancer sur un cloud ou un disque externe ? Ça tombe bien, je vous ai trouvé un petit outil en Rust qui va vous plaire.

Obsidenc , c'est son nom, est un utilitaire de chiffrement que son créateur qualifie de "paranoid-grade". Et après avoir jeté un œil au code source, je peux vous dire que c'est pas du marketing puisque ce truc archive votre répertoire en TAR et le chiffre avec XChaCha20-Poly1305, un algorithme AEAD moderne qui assure à la fois la confidentialité et l'intégrité de vos données.

Côté dérivation de clé, ça utilise Argon2id conforme à la RFC 9106. Pour les non-initiés, Argon2id c'est l'algo qui a gagné le Password Hashing Competition et qui est spécifiquement conçu pour résister aux attaques par GPU et circuits spécialisés (ASIC). L'outil adapte automatiquement les paramètres à votre machine en utilisant 85% de votre RAM disponible (entre 512 Mo minimum et 2 Go maximum) afin de rendre le brute-force astronomiquement coûteux. Et si vous avez moins de RAM dispo, il compense en augmentant le nombre d'itérations.

C'est du code Rust bien propre qui utilise les bibliothèques cryptographiques RustCrypto (bien auditées par la communauté) et le code implémente des bonnes pratiques de sécurité comme le memory locking (mlock sur Unix, VirtualLock sur Windows) pour éviter que vos clés se retrouvent dans le swap, et le zeroize pour effacer la mémoire sensible après utilisation.

Vous compilez ça avec cargo build --release, puis pour chiffrer un dossier :

obsidenc encrypt ~/mon-dossier ~/mon-dossier.oen

Pour déchiffrer :

obsidenc decrypt ~/mon-dossier.oen ~/mon-dossier-dechiffre

Le mot de passe doit faire minimum 20 caractères (pas de négociation possible, déso pas déso) et vous devez le confirmer deux fois. Vous pouvez aussi ajouter un fichier de clé en plus du mot de passe pour du 2FA old-school.

L'outil a aussi quelques protections défensives sympas. Par exemple, il refuse les symlinks (vecteur d'attaque classique), limite le nombre de fichiers à 1 million et la longueur des chemins à 4096 caractères pour éviter les zip bombs. Sur les systèmes Unix, il vérifie même que votre fichier de clé n'est pas lisible par tout le monde (chmod 600 obligatoire).

Cet outil part du principe qu'un attaquant peut avoir accès à votre fichier chiffré et dispose de temps illimité pour tenter de le casser, du coup, tout est conçu pour rendre l'attaque offline la plus douloureuse possible.

Bref, si vous cherchez un moyen de sauvegarder vos dossiers sensibles de manière vraiment sécurisée avant de les balancer sur un cloud ou un disque externe, obsidenc fait le taf et en plus c'est open source (MIT/Apache 2.0) !

Vous utilisez une extension VPN gratuite sous Chrome ou Edge pour "protéger votre vie privée" ? Cool story les bro, mais si je vous disais que cette même extension enregistre peut-être toutes vos conversations avec ChatGPT, Claude, Gemini et compagnie pour les revendre à des courtiers en données (les fameux data brokers) ?

Hé bien c'est exactement ce que viennent de découvrir les chercheurs en sécurité de Koi qui ont mis le doigt sur 4 extensions très populaires comptabilisant plus de 8 millions d'utilisateurs au total : Urban VPN Proxy (6 millions à elle seule), 1ClickVPN Proxy, Urban Browser Guard et Urban Ad Blocker qui aspirent silencieusement tout ce que vous tapez dans vos chat IA préférées.

Le truc vicieux, c'est que ces extensions ne se contentent pas de regarder votre historique de navigation comme les trackers classiques. Non non non, elles injectent du code JavaScript directement dans les pages des chatbots IA quand vous les visitez et ça modifie les fonctions de base du navigateur (fetch() et XMLHttpRequest pour les techos) pour intercepter absolument tout ce qui passe entre vous et l'IA.

Vos prompts, les réponses du chatbot, les métadonnées de conversation, tout est aspiré et envoyé vers les serveurs analytics.urban-vpn.com et stats.urban-vpn.com. Et le pire c'est que cette collecte continue en arrière plan même quand le VPN est désactivé. Bye bye tous vos secrets.

Derrière ces extensions se cache Urban Cyber Security Inc., une boîte affiliée à BiScience, un courtier en données bien connu des chercheurs en sécurité. Ces gens-là sont passés de la collecte d'historique de navigation à la collecte de conversations IA complètes, soit un niveau de sensibilité bien supérieur vu ce qu'on peut raconter à une IA (questions médicales, code propriétaire, problèmes personnels, données financières...).

Et devinez quoi ? Ces extensions arboraient fièrement le badge "Featured" sur le Chrome Web Store et le Microsoft Edge Add-ons, censé garantir que Google et Microsoft ont vérifié leur sécurité. Nos deux géants américains ont donc validé des extensions qui violent directement leur propre politique d'utilisation limitée des données utilisateurs.

Bref, si vous avez installé une de ces extensions et utilisé ChatGPT, Claude, Gemini, Copilot, Perplexity, DeepSeek, Grok ou Meta AI depuis juillet de cette année, partez du principe que toutes ces conversations sont maintenant sur les serveurs d'un data broker et potentiellement revendues à des annonceurs.

La morale de l'histoire, c'est que dans le cas des VPN gratuits, le produit c'est littéralement tout ce que vous faites en ligne. Donc si vous voulez vraiment protéger votre vie privée avec un VPN, mieux vaut payer quelques euros par mois pour un service sérieux comme NordVPN ou Surfshark qui n'a pas besoin de revendre vos données pour survivre.

Si vous avez des caméras connectées chez vous et que vous vous baladez régulièrement, comme moi, en tenue d’Adam (ou d’Ève), j’ai une petite histoire qui va peut-être vous faire réfléchir. La police sud-coréenne vient d’arrêter 4 personnes qui auraient piraté plus de 120 000 caméras IP présentes dans des domiciles et des commerces pour en extraire des vidéos à caractère sexuel. Et oui, les gens filmés n’en savaient évidemment rien du tout.

Les lieux ciblés sont des maisons privées, des salles de karaoké, un studio de pilates et même… un cabinet de gynécologue. Gloups… Vous imaginez le truc ? Vous allez vous faire examiner chez le médecin et paf, y’a un mec de l’autre côté de la planète qui revend la vidéo sur un site louche. C’est moche.

D’après l’Agence nationale de police sud-coréenne, les quatre suspects agissaient indépendamment les uns des autres. L’un d’eux aurait piraté 63 000 caméras à lui seul et produit 545 vidéos qu’il a revendues pour environ 25 000 euros en cryptomonnaies. Un autre a compromis 70 000 caméras, extrayant 648 vidéos vendues une quinzaine de milliers d’euros au total. 3 acheteurs qui ont visionné ces vidéos ont également été arrêtés.

Mais comment ont-ils fait pour pirater autant de caméras ? Hé bien, la technique est d’une banalité affligeante. Ils ont tout simplement déviné les mots de passe trop simples ou par défaut des caméras . Vous savez, le fameux “admin/admin” ou “123456” que personne ne change jamais.

Bon, moi je vous rassure, je peux me balader tranquillement en calbut ou tout nu chez moi sans craindre de finir sur un site coréen douteux. J’ai une astuce toute bête : mes caméras sont branchées sur des prises connectées qui sont reliées à mon système d’alarme. Quand j’active l’alarme en partant, les caméras s’allument automatiquement. Et quand je suis chez moi et que l’alarme est désactivée, les caméras sont physiquement coupées de l’électricité.

Pas de jus, pas de vidéo, pas de risque.

Même le hacker le plus balèze du monde ne peut pas pirater une caméra éteinte. Après, si quelqu’un arrive à hacker mon système d’alarme, là on passe à un autre niveau… mais j’ai de la bonne came côté sécurité, je suis plutôt serein.

Les autorités sud-coréennes ont prévenu individuellement les victimes et leur ont conseillé de changer leurs mots de passe immédiatement. Elles rappellent aussi les bonnes pratiques telles que des mots de passe complexes avec majuscules, minuscules, chiffres et caractères spéciaux, et surtout du WPA2 ou WPA3 pour le WiFi (le vieux WEP c’est open bar pour les hackers).

Voilà, si vous avez des caméras IP chez vous, prenez deux minutes pour vérifier vos mots de passe et si vous êtes du genre pudique, pensez à la solution des prises connectées qui coupent l’alimentation quand vous êtes à la maison. C’est simple, c’est radical, et ça vous évitera de devenir la star involontaire d’un site de “sexploitation” à l’autre bout du monde.

De nos jours, quand un mec chelou avec des lunettes cheloues nous fixe, on ne sait plus si c’est parce qu’il nous trouve irrésistible ou s’il est en train de balancer notre tronche à une IA pour savoir qui on est. Bon, pour vous, la question se pose peut-être moins, mais vous voyez l’idée ^^.

Heureusement, pour lutter contre ça, y’a maintenant un projet open source pour détecter ces petits curieux équipés de Ray-Ban Meta ou d’autres lunettes-caméras. Ce projet s’appelle Ban-Rays (jeu de mots avec “banned”, roh roh roh) et le but c’est de créer des lunettes capables de repérer les smart glasses équipées de caméras.

Et pour arriver à cela, le dev derrière ce projet utilise deux approches complémentaires.

La première, c’est l’approche optique basée sur un principe physique assez marrant. En effet, mes capteurs CMOS des caméras ont la particularité de renvoyer la lumière infrarouge directement vers sa source. C’est ce qu’on appelle l’effet “cat-eye” ou rétro-réflectivité, du coup, en balançant des impulsions IR vers une paire de lunettes suspecte et en analysant le signal réfléchi, on peut théoriquement détecter la présence d’une caméra. Et les capteurs produisent des pics de signal bien nets et rapides, contrairement aux surfaces réfléchissantes classiques qui génèrent des ondes plus longues.

Pour le moment, les tests avec les Ray-Ban Meta montrent des résultats un peu inconsistants à courte distance (genre 10 cm), mais le principe est là et ça s’améliore. Ah oui et le matos utilisé c’est un Arduino Uno, des LEDs infrarouges (940nm et 850nm), une photodiode et un transistor. Rien de bien méchant donc niveau budget.

Et la deuxième approche, c’est côté réseau avec la détection Bluetooth Low Energy. Les Ray-Ban Meta utilisent un identifiant fabricant spécifique (0x01AB pour Meta) et un Service UUID bien particulier (0xFD5F). Le souci c’est que pour le moment, ça ne détecte les lunettes que pendant l’allumage ou le mode appairage. Pour une détection continue pendant l’utilisation normale, faudrait du matos plus costaud genre modules nRF pour sniffer les paquets CONNECT_REQ. Mais bon, ça viendra puisque c’est dans la roadmap du projet.

Alors oui, vous allez me dire que les Ray-Ban Meta ont une petite LED qui s’allume quand elles filment, donc c’est pas discret. En théorie oui auf que cette LED est tellement minuscule que la Data Privacy Commission irlandaise a carrément remis en question son efficacité comme protection de la vie privée. Et surtout, un bidouilleur propose maintenant de désactiver cette LED pour une soixantaine de dollars. Meta a bien prévu une protection qui empêche les lunettes de fonctionner si on couvre la LED avec du scotch, mais le gars a trouvé comment contourner ça et sa liste de clients s’allonge…

Et l’autre truc que j’ai remarqué avec ces lunettes connectées, c’est qu’elles se déclenchent tout le temps pour tout et n’importe quoi. Comme ça écoute en permanence pour répondre aux commandes vocales, impossible d’avoir une conversation normale sans que le machin réagisse à un mot qui ressemble vaguement à “Hey Meta”. C’est encore pire que Siri ou Alexa qui font déjà des déclenchements intempestifs. Perso, c’est pour ça que je ne veux pas de ce genre de lunettes, même si je reconnais que c’est pratique pour photographier ou filmer des choses (dans le cadre de mon boulot hein…)

Et les inquiétudes sont d’autant plus justifiées qu’une étude de 2024 a montré qu’en combinant des Ray-Ban Meta hackées avec de la reconnaissance faciale en temps réel, on pouvait identifier des inconnus dans la rue. Encore plus récemment, l’Université de San Francisco a dû alerter ses étudiants après qu’une personne mystérieuse ait utilisé ces lunettes pour filmer des femmes sur le campus et partager les vidéos en ligne. Sympa l’ambiance de parano.

Bref, si vous êtes inquiet par ça (ou juste soucieux de votre vie privée), le projet Ban-Rays est sur GitHub avec tout le code en C++, Python et un peu de C. C’est encore expérimental mais les deux approches sont prometteuses et si vous voulez contribuer, y’a plein de trucs à améliorer comme les patterns de balayage IR, la fusion des données multi-longueurs d’onde, l’interrogation active BLE…

Source

Microsoft vient encore de frapper un grand coup à base de “on vous a pas demandé votre avis mais c’est activé par défaut”. En effet, la firme de Redmond déploie actuellement une fonctionnalité de reconnaissance faciale basée sur l’IA dans OneDrive. Jusque-là, rien de surprenant, Apple Photos et Google Photos font pareil depuis des lustres et c’est pratique car ça permet avec une simple recherche de retrouver dans votre photothèque toutes les photos d’une personne en particulier.

Sauf que Microsoft a décidé d’y ajouter une petite subtilité bien nulle…

Car oui, vous pouvez désactiver cette fonction, ouf ! Sauf que vous ne pouvez le faire que trois fois par an. 3 putain de fois par an ! Donc si vous désactivez, puis réactivez, puis désactivez à nouveau ce paramètre, vous êtes bloqué jusqu’à l’année suivante. Pour le moment, cette fonctionnalité est en test uniquement auprès des utilisateurs de la version Preview donc y’aura peut-être rétropédalage mais les testeurs sont pas jouasses.

Le pire c’est que Microsoft a la fâcheuse habitude de réinitialiser vos paramètres de confidentialité à chaque mise à jour majeure de Windows, donc si Redmond décide de réactiver l’option une quatrième fois dans l’année sans vous demander votre avis… Hé bien y’a de fortes chance que vous soyez coincé plus vite que prévu.

Alors pourquoi cette limitation débile ?

Et bien Microsoft n’a pas daigné donner d’explication officielle à nous pauvre gueux, mais les experts en dingueries de Redmond supposent que c’est lié au coût de suppression des données biométriques. En effet, quand vous désactivez la fonction, Microsoft s’engage à effacer toutes vos données de regroupement facial sous 30 jours et la réactiver ensuite nécessite de réanalyser toutes vos photos avec l’IA. Et ça, ça coûte un pognon de dingue en ressources serveur.

En gros, Microsoft veut éviter que des petits malins fassent du toggle en boucle et mettent leurs clusters GPU à genoux et leur tréso à sec. L’explication se tient c’est vrai, mais du point de vue utilisateur, c’est complètement absurde, surtout que comme d’hab, personne n’explique rien. Puis c’est quand même une fonctionnalité qui scanne les visages de votre famille, vos amis, vos enfants, et qui est activée par défaut sans votre consentement explicite, hein…

D’ailleurs, Thorin Klosowski de l’Electronic Frontier Foundation a réagi officiellement en expliquant que, je cite, “Toute fonctionnalité liée à la vie privée devrait vraiment être opt-in, et les entreprises devraient fournir une documentation claire pour que les utilisateurs comprennent les risques et les avantages avant de faire leur choix.”

Ça me semble parfaitement sain et logique… Espérons que Microsoft comprenne cela aussi. La firme assure que vos données biométriques ne sont pas utilisées pour entraîner leurs modèles IA globaux, et on va faire semblant de les croire, mais ça reste du stockage de données biométriques sur des serveurs tiers, activé par défaut, avec une capacité de contrôle artificiellement limitée.

Et comme vous le savez, ça s’inscrit dans une tendance plus large chez Microsoft où Word sauvegarde maintenant par défaut sur OneDrive plutôt qu’en local, où Notepad est connecté au cloud, où Paint tourne à l’IA…et j’en passe. Bref, tout est fait pour que vos données quittent votre machine et atterrissent sur les serveurs de M$.

Bref, si vous utilisez OneDrive et que vous tenez à votre vie privée, gardez bien en tête que vous n’avez droit qu’à trois changement par an donc, comme les 3 voeux du génie de la lampe, utilisez-les avec parcimonie, et priez pour que les mises à jour Windows n’aient pas la bonne idée de réactiver ce truc dans votre dos.

Source

Salut les amis !

Alors que le Black Friday approche à grands pas, pCloud débarque avec une promo qui va faire mal au portefeuille des GAFAM mais bien soulager le votre ! En effet, le service de stockage cloud suisse (oui, celui qui respecte vraiment votre vie privée) sort l’artillerie lourde aujourd’hui avec jusqu’à -60% sur leurs plans à vie, mais surtout avec un pack 3en1 exclusif qui regroupe tout ce dont vous avez besoin pour sécuriser votre vie numérique.

Et quand je dis “à vie”, c’est pas du marketing. Un seul paiement, et hop, vous êtes tranquille pour les 99 prochaines années alors que les autres vous pompent en moyenne 10 balles par mois… Là, vous réglez le problème une bonne fois pour toutes.

Le pack 3en1 qui change tout

pCloud lance donc pour ce Black Friday un pack exclusif qui envoie du lourd : 5 To de stockage + pCloud Encryption à vie + pCloud Pass à vie, le tout pour 599 € au lieu de 1498 €. Vous économisez donc 899 balles d’un coup, et vous avez la totale en termes de sécurité !

Mais décortiquons un peu ce pack. Avec 5 To d’espace de stockage, vous avez de quoi stocker l’intégralité de vos photos et vidéos depuis la naissance de votre premier enfant jusqu’à ce qu’il parte de chez vous. pCloud Encryption chiffre également vos fichiers sensibles côté client avant même qu’ils ne partent sur les serveurs, ce qui veut dire que personne ne peut y accéder à part vous ! Et pCloud Pass, c’est, vous l’aurez compris, le gestionnaire de mots de passe qui vous évite de recycler ce bon vieux “Azerty1234” sur tous vos comptes.

Les autres offres Black Friday

Maintenant si ce pack 3en1 vous semble un peu trop ambitieux, pCloud vous propose aussi des plans individuels à vie avec des réductions intéressantes :

• 1 To à vie : 199€ au lieu de 435€ (-54%)
• 2 To à vie : 279€ au lieu de 590€ (-53%)
• 10 To à vie : 799€ au lieu de 1890€ (-58%)

Pour ceux qui calculent vite, 1 To chez Google Drive c’est environ 100 balles par an. Avec pCloud, vous payez 199 € une fois et c’est réglé. Donc au bout de 2 ans, vous êtes déjà gagnant et sur 10 ans, j’en parle même pas.

pCloud Photos débarque et ça change tout

pCloud vient aussi de sortir **une nouveauté qui va faire grincer **des dents chez Google. Il s’agit d’une fonctionnalité de galerie photo intelligente avec éditeur intégré, incluse dans tous les plans sans supplément.

La galerie organise automatiquement pour vous, toutes vos images par date avec un flux chronologique. Vous pouvez ainsi naviguer par année, exclure certains dossiers pour ne pas mélanger vos screenshots avec vos vraies photos, et retrouver n’importe quel cliché en quelques secondes. Comme ça, c’est fini le bordel où les captures d’écran et les logos d’apps se retrouvent mélangés avec vos souvenirs de vacances.

Et le plus chouette je trouve, c’est l’éditeur intégré. Vous modifiez vos photos directement dans pCloud sans avoir à installer Photoshop ou sortir votre CB pour un abonnement Adobe. Vous avez 8 filtres accessibles en un clic (Retrofilm, Vibrant, Vintage, Duotone, Coolbreeze, Redtint, Warmtone, Coldtone), des ajustements précis pour la luminosité, le contraste, les hautes lumières et les ombres, plus les outils classiques comme le recadrage et la rotation. Et tout ça en temps réel, directement dans votre stockage sécurisé.

pCloud a donc clairement décidé de ne plus se contenter de stocker vos fichiers en transformant votre espace cloud en centre de gestion de photos, et tout ça sans avoir à passer par les serveurs de Google qui scannent vos images pour mieux vous balancer des pubs ciblées.

pCloud Encryption : le coffre-fort

Pour ceux qui manipulent des fichiers sensibles, pCloud Encryption est aussi un game changer. Le chiffrement se fait côté client, sur votre machine, avant même que les fichiers ne partent vers les serveurs. Vos clés de chiffrement restent donc uniquement entre vos mains et pCloud applique une politique de confidentialité stricte à “connaissance nulle” (zero knowledge), ce qui veut dire que même eux ne peuvent pas accéder à vos données chiffrées.

C’est le niveau de protection qu’Edward Snowden recommanderait si on lui demandait son avis !

pCloud Pass : le gestionnaire de mots de passe qui assure

Inclus dans le pack 3en1, pCloud Pass simplifie également votre sécurité en ligne puisqu’il stocke tous vos mots de passe de manière chiffrée, génère automatiquement des mots de passe forts et uniques pour chaque compte, et remplit les formulaires de connexion en un clic.

Compatible avec tous les appareils, navigateurs et systèmes d’exploitation, pCloud Pass synchronise vos mots de passe partout. Vous créez un mot de passe ultra-sécurisé sur votre PC, et il est ainsi immédiatement dispo sur votre smartphone. Comme ça, y’a plus besoin de noter vos bons vieux passwords sur ces petits carnets à mots de passe vendus à la FNAC que vos parents adorent vous offrir à Noël parce que vous êtes “geek”. lol

pCloud Drive et les fonctionnalités qui tuent

pCloud Drive transforme aussi votre espace cloud en disque virtuel accessible comme un SSD local. Compatible Windows, macOS et Linux, il synchronise vos fichiers instantanément sur tous vos appareils. Comme ça, si vous travaillez sur un document sur votre PC, il est immédiatement dispo sur votre smartphone. Et les apps mobiles iOS et Android uploadent automatiquement vos photos et vidéos pour libérer de l’espace sur votre téléphone.

Avec pCloud Backup, vos fichiers importants sont sauvegardés en continu en arrière-plan comme ça, plus de prise de tête avec les sauvegardes manuelles. Vous collaborez facilement avec des liens sécurisés, même avec des gens qui n’ont pas pCloud. Le service compte deux centres de données, l’un aux États-Unis et l’autre au Luxembourg, et vous choisissez où vos fichiers sont stockés.

Alors pourquoi pCloud plutôt que les GAFAM ?

Et bien dans ce monde bizarre où Google, Microsoft et consorts se partagent vos données personnelles comme un gâteau d’anniversaire, pCloud arrive avec une approche très différente puisqu’ils sont basés en Suisse avec des serveurs au Luxembourg, et leur service respecte le RGPD et les lois suisses qui sont parmi les plus strictes au monde en matière de protection des données.

pCloud possède également ses propres datacenters, donc pas de sous-location douteuse chez Amazon Web Services ou Google Cloud. Et ainsi, vos fichiers restent en Europe, soumis aux régulations européennes. Pas de scanning automatique pour cibler vos pubs, pas de vente de metadata à des tiers, mais juste du stockage qui respecte votre vie privée.

Avec plus de 22 millions d’utilisateurs qui leur font confiance, pCloud a prouvé que le modèle “paiement unique + respect de la vie privée” fonctionnait. Et franchement, pouvoir dire “mes données sont au Luxembourg” plutôt que “j’sais pas trop où Google planque mes trucs”, c’est quand même plus classe.

Comment profiter de l’offre Black Friday ?

Hé bien c’est hyper simple ! Vous allez sur la page Black Friday pCloud , vous choisissez votre plan (le pack 3en1 si vous voulez la totale, ou un plan individuel si vous avez juste besoin de stockage), vous payez une fois, et c’est réglé comme he vous le disais, pour les 99 prochaines années.

L’offre est valable du 17 au 29 novembre 2025 et si vous hésitez encore, pCloud propose une garantie satisfait ou remboursé.

En tout cas, c’est l’occasion parfaite de reprendre le contrôle de vos données tout en faisant des économies. Et avec les nouvelles fonctionnalités Photos qui viennent de sortir, pCloud devient enfin une alternative crédible à Google Photos sans sacrifier votre vie privée.

L’offre se termine le 29 novembre, alors ne traînez pas trop !

→ Profiter de l’offre Black Friday pCloud

En novembre 2024, je vous parlais d’un crack Windows vieux de 17 ans qui fonctionnait encore. Et là, on est un an plus tard, et j’apprends que Microsoft l’a tué.

Mais c’est quoi ce bordel ??

En effet, selon plusieurs médias, Microsoft a bloqué KMS38 , la méthode d’activation offline fournie par Massgrave. Le Patch Tuesday de novembre (KB5068861 pour Windows 11 24H2/25H2) a donc intégré ces changements apparus dans le build 26100.7019 qui ont déprécié gatherosstate.exe, l’outil que les entreprises utilisaient pour migrer leurs activations KMS lors des mises à jour. Mais cela permettait aux pirates de tricher avec la période d’activation KMS et de la prolonger jusqu’au 19 janvier 2038. Ah les brigands ! lol

Cette date, du 19/01/2038 à 03h 14m 07 UTC précisément, c’est la limite du timestamp Unix 32-bit, le fameux bug Y2K38 ! En gros, KMS38 ne crackait pas vraiment Windows mais repoussait le moment fatidique où une activation serait nécessaire… Bon et alors ? Est ce que c’est une nouvelle victoire de Microsoft contre le piratage ?

Nop, que dalle.

Car HWID et TSforge fonctionnent toujours pour activer Windows dans le dos de Microsoft. Massgrave a même sorti le 11 novembre dernier sa version 3.8 de MAS (Microsoft Activation Scripts) baptisée “R.I.P. KMS38”.

Alors c’est tout pareil ? Non, pas vraiment car KMS38 fonctionnait offline, ce qui permettait d’activer Windows sans jamais contacter Microsoft. Et malheureusement HWID et TSforge fonctionnent uniquement online. Ils nécessitent donc une connexion internet pour stocker votre licence sur les serveurs Microsoft.

Cela veut dire qu’avant, avec KMS38, vous pouviez activer Windows en mode avion, vous déconnectiez la machine du réseau, vous lanciez le script, et hop, c’était activé jusqu’en 2038 et Microsoft ne savait même pas que vous existiez ! Et aucun Hardware ID ni de télémétrie n’étaient envoyés !

Alors que maintenant, même pour pirater Windows, vous devez demander aux serveurs de Microsoft de vous accepter. Car HWID crée une licence numérique permanente liée à votre matériel et cette licence est stockée chez Microsoft. Vous devez donc vous connecter initialement à leurs serveurs pour l’activer et à chaque réinstallation, vous devez obligatoirement vous reconnecter.

Bref, votre Hardware ID et votre config matérielle sont donc enregistrés dans la base de données de Microsoft. Et pour TSforge, c’est pareil. Connexion obligatoire sur un serveur Microsoft !

Voilà, donc en gros, pour pirater Windows, il faut maintenant se déclarer à Microsoft. Les criminels que vous êtes esquivent ainsi les 145 euros de la licence, mais donnent leur Hardware ID en échange d’un Windows activé et d’une dépendance permanente aux serveurs de Redmond.

Voilà donc comment Microsoft a choisi délibérément de casser un outil utilisé par ses propres clients pour continuer à collecter de la data, même quand l’utilisateur est un “pirate”…

Source

Bon, si vous me lisez depuis loooongtemps, vous connaissez forcément le risque que représentent les métadonnées contenues dans les images que vous partagez en ligne. Oui, je parle bien des fameux EXIFs qui contiennent aussi bien le modèle d’appareil photo utilisé, l’heure précise à la seconde près où vous avez pris le cliché, les réglages de l’objectif, parfois même l’altitude, et surtout les coordonnées GPS exactes de l’endroit où vous étiez.

Et toutes ces données, si vous mettez vos photos en ligne par exemple, chez Google ou Apple, et bien eux les récupèrent et les utilisent. C’est dommage, surtout que ce sont des données qui sont quand même utiles pour peu qu’on garde ça en local sur sa machine.

Alors que faire ?

Hé bien, il existe un logiciel open source sous licence MIT qui s’appelle ChronoFrame . C’est une galerie photo que vous pouvez héberger vous-même, qui va parser automatiquement toutes les données exif de vos clichés, extraire la géolocalisation, faire du reverse géocoding pour identifier le lieu exact et afficher tout ça sur une espèce de carte interactive sur laquelle vous pouvez naviguer pour revoir vos souvenirs de voyage.

En gros c’est comme Google Photo sauf que c’est vous qui gérez vos données et vous contrôlez qui accède à quoi.

L’intérêt de ChronoFrame, c’est qu’il rend visible l’invisible. Vous uploadez une image, ChronoFrame lit les métadonnées, extrait les coordonnées GPS si elles existent, et lance un appel à l’API Mapbox ou MapLibre pour faire du reverse geocoding. Ça, ça veut dire transformer des coordonnées GPS (48.8584, 2.2945) en adresse lisible (“Tour Eiffel, Paris, France”).

Et surtout, ChronoFrame supporte les Live Photos d’Apple ET les Motion Photos de Google. La génération de miniatures, quand à elle, utilise ThumbHash , un algorithme de placeholder ultra-compact créé par Evan Wallace (cofondateur de Figma). Ainsi au lieu de générer plusieurs tailles de miniatures (100x100, 200x200, 400x400…etc), ThumbHash encode une version floue de l’image dans moins de 100 bytes et comme ça, les vignettes se chargent instantanément, et l’affichage est ensuite progressif (flou -> net) jusqu’à ce que l’image full résolution arrive.

L’interface est bien sûr responsive, supporte le touch et la navigation par gestes, et donne une expérience proche d’une app native. Pour la déployer, vous devez créer un fichier .env avec vos variables d’environnement (email admin, mot de passe, provider de stockage, token Mapbox…etc), vous lancez docker pull ghcr.io/hoshinosuzumi/chronoframe:latest, et hop, ça tourne direct.

Le guide de démarrage détaille tout le process et ça vous prendra 5 minutes chrono.

Voici un exemple de configuration minimale :

[email protected]
CFRAME_ADMIN_PASSWORD=VotreMotDePasse
NUXT_PUBLIC_MAP_PROVIDER=maplibre
NUXT_PUBLIC_MAP_MAPLIBRE_TOKEN=votre_token_maptiler
NUXT_STORAGE_PROVIDER=local
NUXT_PROVIDER_LOCAL_PATH=/app/data/storage
NUXT_SESSION_PASSWORD=$(openssl rand -base64 32)

NUXT_STORAGE_PROVIDER=s3
NUXT_PROVIDER_S3_ENDPOINT=https://s3.amazonaws.com
NUXT_PROVIDER_S3_BUCKET=votre-bucket
NUXT_PROVIDER_S3_REGION=eu-west-1
NUXT_PROVIDER_S3_ACCESS_KEY_ID=votre_key
NUXT_PROVIDER_S3_SECRET_ACCESS_KEY=votre_secret

Fin de journée, c’est presque le week end et en plus les vacances scolaires sont là ! Mais je ne pouvais pas finir ma journée sans vous parler de Vault. Vault c’est une application Electron pour Mac, Windows et Linux qui vous permet de sauvegarder vos liens, vos notes et vos images à 100% en local sur votre machine.

Vous installez l’app, vous créez un ou plusieurs “coffres” (des dossiers qui organisent votre contenu), et vous commencez à sauvegarder tout ce qui vous intéresse. L’app extrait automatiquement les métadonnées des liens que vous lui donnez, le temps de lecture estimé, les infos produit si c’est une page e-commerce, et comme ça, tout reste bien organisé dans votre interface.

Vous connaissez ces outils qui promettent de créer des apps web juste en discutant avec une IA ? Genre Lovable, v0, Bolt, Replit…etc. C’est magique, sauf que tout tourne dans le cloud, vos données passent par leurs serveurs et vous êtes du coup enfermés dans leur écosystème.

Hé bien Dyad fait la même chose, mais un peu différemment puisque tout tourne en local sur votre machine. En plus c’est open-source et c’est gratuit.

Enfin une bonne nouvelle les amis ! Le parti CDU/CSU, actuellement au pouvoir en Allemagne, vient de déclarer clairement qu’il n’y aura pas de Chat Control avec ce gouvernement. L’annonce a été faite hier et c’est une victoire majeure pour la vie privée en Europe !

Pour ceux qui n’ont pas suivi, je vous avais parlé de Chat Control , une proposition de règlement européen qui obligerait WhatsApp, Signal, Telegram et tous les autres à scanner automatiquement tous vos messages, même chiffrés, pour y chercher du contenu illégal. En gros, on casse le chiffrement de bout en bout pour surveiller tout le monde “au cas où”. C’est de la surveillance de masse déguisée en protection de l’enfance, et d’ailleurs tous les experts en sécurité vous le diront : on ne peut pas casser le chiffrement “juste un peu” ou “pour une bonne cause”. Soit c’est chiffré, soit ça l’est pas.

Bref, la déclaration de la CDU/CSU est limpide : Il n’y aura pas de surveillance généralisée des messages sans motif, comme certains pays de l’UE le réclament. Patrick Hansen, qui suit de près ces questions de réglementation crypto et tech en Europe, a tweeté que c’était une grande victoire pour la vie privée dans l’UE et il a raison, le bougre !

Alors pourquoi c’est important cette décision de l’Allemagne ? Hé bien parce qu’elle pèse lourd dans les décisions européennes la Bertha ! Pour qu’une proposition comme Chat Control passe, il faut le soutien d’États membres représentant au moins 65% de la population de l’UE. Et sans l’Allemagne, c’est mathématiquement compliqué. Du coup, ça tombe bien puisque le vote au Conseil était prévu pour le 14 octobre 2025.

Faut pas oublier que la position allemande avait vacillé en septembre. En effet, après une réunion du groupe de travail LEWP, l’Allemagne était revenue à une position “indécise”, ce qui avait fait flipper tout le monde et sans le refus ferme de Berlin, l’opposition ne pouvait plus garantir une minorité de blocage.

Bref, on était pas loin de la catastrophe !!

Mais là, c’est bon, on est sauvé puisque la CDU/CSU remet les points sur les i. Pas de Chat Control. Le dossier est clos (pour le moment…). C’est chouette parce que franchement, dans le cas contraire, j’aurais pas compris car l’Allemagne a quand même une histoire particulière avec la surveillance de masse. Entre les nazis et la Stasi d’Allemagne de l’Est, ils savent mieux que personne ce que ça donne quand l’État surveille tout le monde. J’imagine que cette mémoire historique a compté dans leur position vis à vie de ChatControl.

En tout cas, c’est le bon moment pour dire merci. Merci à tous ceux qui se sont mobilisés contre ce projet délirant ces derniers mois. Les associations comme l’Electronic Frontier Foundation, le Chaos Computer Club, European Digital Rights, tous les devs qui ont gueulé, tous les citoyens qui ont écrit à leurs députés, tous ceux qui ont relayé l’info…etc. Car sans cette pression, on aurait probablement déjà Chat Control en place. Une preuve de plus que la mobilisation, ça marche !

Après, en tant qu’ancêtre d’Internet, croyez en ma grande expérience, ce genre de loi merdique n’est jamais vraiment mort. Ça reviendra sous une autre forme, avec un autre nom, un autre prétexte. C’est l’histoire même de la surveillance… ils réessayent encore et encore jusqu’à ce que ça passe, en espérant qu’on sera trop fatigués ou trop distraits pour résister. Mais bon, ce sera pas pour cette fois encore…

Signal avait même menacé de quitter le marché européen plutôt que de compromettre le chiffrement de son service. Proton, Tuta et d’autres avaient de leu côté fait des déclarations similaires.

Donc voilà. Pour une fois, une bonne nouvelle sur la vie privée en Europe, alors en attendant la prochaine saloperie politique, on savoure cette victoire, et on continue à se battre !

Vous en avez marre de WhatsApp, Telegram ou Discord qui lisent vos messages, stockent vos données et décident de qui peut parler à qui ? Ça tombe bien car il existe une alternative radicale qui vient de sortir en version 1.0.

Ça s’appelle Xeres , et contrairement à tout ce que vous utilisez aujourd’hui, ça ne passe par aucun serveur. Que dalle.

Il s’agit d’un vrai réseau Friend-to-Friend, c’est à dire que vous ne vous connectez qu’aux gens que vous connaissez vraiment. Pas de serveur central qui pourrait tomber, être saisi par le FBI ou décider de vendre vos conversations à des annonceurs. Juste vous et vos potes, en direct, chiffrés de bout en bout avec du PGP v4 et du RSA 3072 bits. Votre IP est uniquement visible par vos amis directs, et si vous voulez parler à un ami de votre ami, ça passe par des tunnels anonymes.

Le truc, c’est que Xeres est compatible avec Retroshare , ce vieux de la vieille du P2P décentralisé qui existe depuis des années. Donc si vous avez des potes qui utilisent déjà Retroshare 0.6.6 ou plus récent, vous pouvez vous connecter à eux sans problème. C’est un peu comme si Signal et BitTorrent avaient eu un enfant qui aurait grandi dans les années 90 en écoutant du punk et en lisant des manifestes crypto-anarchistes.

Mais alors comment ça marche techniquement, me direz-vous ? Et bien c’est simple. Vous installez Xeres sur votre machine (Windows, Linux, macOS, ou même Android), vous générez votre identité cryptographique, et vous échangez vos certificats avec vos amis. Pas de login, pas de mot de passe à retenir, pas de numéro de téléphone à fournir. Juste un échange de clés comme au bon vieux temps.

Une fois connecté, vous avez alors accès à tout un tas de services décentralisés. Du chat bien sûr, mais aussi des salons de discussion, des forums, du partage de fichiers, et même la possibilité de discuter avec des gens que vous ne connaissez pas directement via les fameux tunnels anonymes dont je vous parlais. C’est votre propre petit bout d’Internet privé avec vos amis, quoi.

Cette nouvelle release qui vient de sortir apporte pas mal d’améliorations . Meilleures perf avec Java, support macOS restauré, stickers dans les chats, alias de discussion, et même un système de mise à jour automatique sous Windows. Les versions précédentes avaient déjà ajouté un client Android pour se connecter à distance à votre instance qui tourne chez vous, du support pour les architectures ARM sous Linux, et plein d’autres trucs sympas.

D’ailleurs, parlons un peu de cette histoire de Friend-to-Friend (F2F) vs P2P classique. Dans un réseau P2P normal, tout le monde connaît l’IP de tout le monde. Pratique pour partager des fichiers, mais niveau anonymat et vie privée, c’est moyen. Dans un réseau F2F , vous ne voyez que vos contacts directs, et le reste du réseau vous est invisible. Ça limite un peu la portée, mais ça renforce énormément la sécurité et l’anonymat.

Xeres va même plus loin en supportant les transports via Tor et I2P en mode client. Donc si vous voulez vraiment rester anonyme, vous pouvez faire passer toutes vos connexions par ces réseaux. Ainsi vos amis directs ne verront même pas votre vraie IP. Oui, c’est pour les paranos, mais c’est top !

Maintenant pour l’installer, rendez-vous sur la page de téléchargement et choisissez la version qui correspond à votre système. Il y a des installeurs pour Windows, des paquets .deb pour Ubuntu, des images DMG pour macOS (Intel et Apple Silicon), et même une image Docker si vous voulez faire tourner ça sur un serveur en mode headless.

Toutes les releases sont signées avec une clé PGP, donc vous pouvez vérifier que personne n’a trafiqué le fichier que vous téléchargez. Donc prenez 30 secondes pour vérifier la signature, ça vaut le coup pour un logiciel de communication chiffré.

Et une fois installé, vous verrez, l’interface est plutôt moderne avec plusieurs thèmes au choix. Rien à voir avec les vieilles interfaces des logiciels P2P des années 2000. C’est propre, c’est réactif, et ça utilise JavaFX pour l’accélération matérielle. Oui, c’est du Java moderne qui ne fait pas ramer votre machine.

Le projet est disponible en open source sur GitHub sous licence GPL-3.0.

Bref, l’idée derrière Xeres, c’est de promouvoir la liberté d’expression en créant une alternative aux plateformes centralisées qui peuvent censurer, surveiller ou tout simplement disparaître du jour au lendemain. C’est un peu radical, mais vu l’état actuel de la centralisation du web, c’est pas plus mal d’avoir ce genre d’alternative.

Vous trouverez toute la documentation sur le site officiel , avec des guides de démarrage, des explications sur l’architecture, et des options de ligne de commande pour ceux qui veulent pousser le truc plus loin. Il y a même un mode client/serveur pour que votre instance tourne en permanence chez vous et que vous puissiez vous y connecter depuis votre téléphone Android.

Sympa non ?

Mais siiii, celui où on cliquait sur un lien et hop, la page s’affichait. Sans popup de cookies, sans overlay “Abonnez-vous à notre newsletter”, sans ce message agaçant “Désactivez votre bloqueur de pub pour continuer” ou “Abonnez-vous pour lire cet article”. Bref, l’époque bénie où internet était juste… internet.

Le RGPD devait nous sauver de la surveillance mais le résultat c’est qu’on passe notre vie à cliquer sur des bouton “Tout refuser” ou à chercher le bouton caché derrière 47 onglets de paramètres. L’enfer est pavé de bonnes intentions réglementaires, il parait… Mais heureusement, des extensions comme PopUpOFF existent pour réparer ce que cette loi a cassé.

Ce que fait cette extension pour Chrome et Firefox, c’est virer les popups, les overlays, les bannières de cookies et toutes ces merdes qui transforment la navigation en parcours du combattant. RomanistHere, le dev derrière le projet, a créé ça tout seul dans son coin et son extension est dispo en open-source sur GitHub .

PopUpOFF propose donc 3 modes de blocage : agressif, modéré et délicat. Le mode agressif, c’est le rouleau compresseur… il dégomme tout ce qui bouge. C’est super pratique quand vous êtes pressé.

Le mode modéré quant à lui fait le tri entre les popups légitimes (genre, celles de votre banque) et les overlays parasites. Et le mode délicat, lui, intervient uniquement quand vous le décidez manuellement.

Ainsi, vous gardez le contrôle total, ce qui change des extensions qui décident de tout ça à votre place.

• Téléchargez PopUpOFF sur Mozilla Add-ons
• Téléchargez PopUpOFF sur Chrome Web Store
• Et le repo GitHub PopUpOFF est ici

Alors bien sûr, tout n’est pas parfait et l’extension peut parfois rater des overlays invisibles ou péter l’affichage de certains sites, notamment les PWA (Progressive Web Apps), mais pour 90% des cas d’usage, ça fait le job impeccable.

À l’opposé des mastodontes type Ghostery ou uBlock Origin (qui sont excellents, ne me faites pas dire ce que je n’ai pas dit…), RomanistHere a misé sur le minimalisme radical. Pas de filtres à mettre à jour toutes les semaines, pas de liste de 50 000 domaines à bloquer, pas de consommation RAM de malade. Non, c’est juste un script intelligent qui détecte les patterns d’overlays et les neutralise.

Notez qu’en bonus, l’extension peut parfois débloquer du contenu payant sur certains sites qui utilisent des overlays pour bloquer la lecture. Ce n’est pas son objectif principal, mais vu que beaucoup de paywalls reposent sur des overlays CSS basiques, bah… PopUpOFF les vire aussi. Je dis pas que vous devriez l’utiliser pour contourner les abonnements (soutenez vos médias préférés, toussa toussa), mais sachez que techniquement, ça peut arriver.

À noter que PopUpOFF n’est pas seul sur ce créneau. Il y a aussi “ I Don’t Care About Cookies ” (racheté par Avast, ce qui a refroidi pas mal de gens), ou encore la fonction “ Never-Consent ” de Ghostery qui auto-rejette les cookies via les CMP (Consent Management Platforms). Ces alternatives ont chacune leurs forces, mais PopUpOFF reste le champion du rapport efficacité/poids.

Bref, si vous en avez marre de perdre 15 secondes par page à fermer des popups de merde, PopUpOFF mérite clairement sa place dans votre navigateur. C’est léger, c’est open-source, c’est gratuit, et ça fait exactement ce qu’on lui demande…

Vous scrollez tranquillement r/rance à 2h du mat’ pour tuer le temps avant de dormir, vous lisez quelques posts, regardez des memes, rigolez sur un truc débile. Mais savez-vous que Reddit enregistre chaque post que vous lisez, chaque image que vous ouvrez, chaque seconde que vous passez sur chaque thread ? Et ça, ils le font même si vous n’avez pas de compte y compris si vous êtes en navigation privée.

Bienvenue dans le monde merveilleux du tracking obligatoire !

Heureusement, pour lutter contre ça, sans se priver de Reddit, il existe Redlib , un front-end alternatif open source, codé en Rust, qui va vous permettre de lire Reddit sans que Reddit ne sache que vous existiez. Pas d’inscription, pas de JavaScript, pas de pubs, pas de tracking. Vous remplacez juste “reddit.com” par “redlib.tiekoetter.com” dans l’URL et hop, vous avez le même contenu sans la surveillance.

D’ailleurs, petite histoire rapide pour comprendre pourquoi Redlib existe…

En 2023, Reddit a décidé de tuer toutes les apps tierces populaires comme Apollo ou BaconReader en rendant son API hors de prix. Le vrai objectif n’était pas de monétiser l’API, mais plutôt de forcer tout le monde à passer par leur app officielle bourrée de trackers et de pubs. À cette époque, il existait Libreddit, un projet similaire à Redlib qui permettait de lire Reddit en privé mais Reddit a commencé à imposer des rate limits agressifs qui ont tué Libreddit… Projet tragiquement décédé, fin de l’histoire…

Sauf que non. Un dev a décidé de ressusciter Libreddit sous un nouveau nom : Redlib. Et là, coup de génie technique, au lieu de se connecter normalement à l’API Reddit, Redlib utilise une technique appelée OAuth token spoofing.

En gros, Redlib se fait passer pour l’application officielle Android de Reddit. Il envoie les mêmes headers HTTP, utilise les mêmes tokens d’authentification, et imite le comportement de l’app officielle. Du coup, Reddit pense que c’est son app qui fait des requêtes, et laisse tout passer sans bloquer. Alors évidemment, la première question qui vous vient surement c’est : Est ce légal ??

Et bien comme pour toutes les bonnes choses de la vie, techniquement, on est dans une “zone grise”. Mais après éthiquement parlant, vous lisez du contenu public que les gens ont posté gratuitement sur une plateforme publique, donc j’imagine que pour le concepteur de Redlib, y’a pas mort d’homme.

Donc pour utiliser Redlib, vous avez donc cette instance publique redlib.tiekoetter.com qui vous permet de libérer n’importe quel lien Reddit. Mais pour les plus geeks d’entre vous, ceux qui sont à fond dans l’auto-hébergement parce qu’ils ont beaucoup de temps libre (lol), vous pouvez le mettre en place chez vous également avec Docker. Le repo GitHub explique tout, c’est assez rapide à mettre en place.

La différence avec l’expérience Reddit normale est d’ailleurs flagrante car sur reddit.com, vous êtes bombardé de popups “Install our app”, de bannières de cookies, de pubs…etc. Le site est lourd, lent, et essaie constamment de vous pousser vers l’app mobile alors qu’au contraire, sur Redlib, c’est du contenu pur et dur. Pas de JavaScript, pas de popups, juste les threads et les commentaires. Et c’est super rapide !! Même les images passent par le serveur Redlib, donc Reddit ne voit jamais votre IP quand vous chargez une photo.

Maintenant, faut quand même savoir que Reddit n’est pas content de cette situation. Ils essaient régulièrement de bloquer les instances Redlib en bannissant des adresses IP. C’est pour cela que certaines instances publiques rencontrent parfois des erreurs du style “Failed to parse page JSON data”, mais la communauté Redlib réagit en général très vite, change d’IP, ajuste les tokens OAuth, et le service repart.

Bref, je vous conseille de tester, surtout si vous en avez marre de vous faire harceler par des messages vous incitant à installer l’app mobile.

Reddit, c’est bien mais Reddit sans surveillance, c’est mieux !