Parfois, je me demande ce que foutent les équipes de Google… Un mec tout seul vient de créer une version desktop de YouTube Music qui explose littéralement la version web officielle et son interface web basique qui balance des pubs toutes les trois chansons.
L’app s’appelle YouTube Music Desktop, et c’est un projet open source disponible sur GitHub qui fait exactement ce que Google devrait faire depuis des années. Le développeur a pris Electron, a wrappé l’interface web de YouTube Music dedans, et puis il a ajouté tout ce qui manque cruellement à la version officielle.
Du coup on obtient une app desktop qui tourne sur Windows, Mac et Linux, codée par un seul mec qui surpasse complètement le produit officiel d’une boîte qui pèse 2000 milliards de dollars. Ce truc bloque toutes les pubs et le tracking par défaut, vous pouvez télécharger vos morceaux en MP3 ou Opus pour les écouter offline. Et y’a des raccourcis clavier natif qui fonctionnent sur tous les OS. Il y a même un égaliseur et un compresseur audio intégrés pour améliorer le son.
Mais le meilleur c’est le système de plugins. On peut y ajouter des extensions en un clic pour ajouter exactement les fonctionnalités que vous voulez. Discord Rich Presence pour montrer à vos potes ce que vous écoutez, des lyrics synchronisées qui s’affichent en temps réel, un mode ambient qui change les couleurs de l’interface selon l’album, du backup local de playlists, l’ajout dans la touchBar sous Mac…etc et le tout sans avoir à fouiller dans du code ou des configs compliquées.
Pour l’installer, c’est super simple. Sur Windows, passez par Scoop ou Winget. Sur Mac, c’est Homebrew avec un simple brew install youtube-music. Sur Linux, vous avez des packages pour toutes les distros majeures.
L’app pèse moins de 100MB et consomme moins de RAM que l’onglet YouTube Music dans Chrome. D’ailleurs, il n’y a pas que cette version. YTMDesktop propose une alternative similaire avec une interface un peu différente et un focus sur l’intégration système. Après c’est une question de goût…
Bref, cette app montre exactement ce que YouTube Music pourrait être si Google se bougeait le cul. Ce sont des trucs basiques que les utilisateurs demandent depuis le lancement du service mais comme Google est plus concentré à faire payer un abonnement Premium à 11€ par mois qu’à proposer des fonctionnalités cools, bah voilà…
Évidemment, cette app pourrait arrêter de fonctionner du jour au lendemain si Google décide de changer son API ou d’en bloquer l’accès mais pour l’instant, ils laissent faire. Donc si vous en avez marre de YouTube Music dans le navigateur, ou que vous voulez stopper votre abonnement Spotify parce qu’il a encore augmenté, foncez. L’app est gratuite, open source, et fait tout mieux que la version officielle.
Bon, là on va parler d’un truc qui va faire trembler pas mal de développeurs. VulnHuntr, c’est le nouveau joujou de Protect AI qui utilise l’intelligence artificielle pour dénicher des vulnérabilités 0-day dans du code Python. Et quand je dis dénicher, c’est pas pour rigoler car en quelques heures seulement, cet outil a trouvé plus d’une douzaine de failles critiques dans des projets open source ayant plus de 10 000 étoiles sur GitHub !
Le principe c’est qu’au lieu de balancer tout le code source dans un LLM et espérer qu’il trouve quelque chose, VulnHuntr découpe le code en petits morceaux digestes. Puis il analyse méthodiquement la chaîne complète depuis l’entrée utilisateur jusqu’à la sortie serveur, en demandant uniquement les portions de code pertinentes.
L’outil peut ainsi détecter sept types de vulnérabilités majeures : exécution de code à distance (RCE), inclusion de fichiers locaux (LFI), falsification de requêtes côté serveur (SSRF), cross-site scripting (XSS), références directes non sécurisées (IDOR), injection SQL et écrasement arbitraire de fichiers.
Pas mal pour un outil gratuit et open source, non ?
Et puis il y a la liste des victimes… euh pardon, des projets où VulnHuntr a trouvé des failles. Je vous présente gpt_academic (67k étoiles), ComfyUI (66k étoiles), Langflow (46k étoiles), FastChat (37k étoiles), et j’en passe. Des projets ultra populaires dans l’écosystème IA qui se sont fait épingler avec des vulnérabilités critiques. Par exemple, Ragflow s’est retrouvé avec une belle RCE qui a été corrigée depuis.
Pour l’utiliser, c’est assez simple puisque ça s’installer avec pipx ou Docker (d’ailleurs ils recommandent Python 3.10 spécifiquement à cause de bugs dans Jedi). Ensuite, vous exportez votre clé API Anthropic ou OpenAI, et vous lancez l’analyse sur votre repo. Attention quand même, les développeurs préviennent que ça peut vite coûter cher en tokens si vous n’avez pas mis de limites de dépenses !
Je trouve son workflow plutôt bien pensé, car le LLM résume d’abord le README pour comprendre le contexte du projet et fait ensuite une première analyse afin d’identifier les vulnérabilités potentielles. Pour chaque faille détectée, VulnHuntr relance alors une analyse spécifique avec un prompt adapté au type de vulnérabilité. Puis il continue à demander du contexte (fonctions, classes, variables d’autres fichiers) jusqu’à avoir reconstruit toute la chaîne d’appel. À la fin, vous avez un rapport détaillé avec le raisonnement, un exploit proof-of-concept, et un score de confiance.
D’après les retours, un score de confiance inférieur à 7 signifie qu’il n’y a probablement pas de vulnérabilité. Un score de 7, c’est à investiguer. Et 8 ou plus, c’est très probablement une vraie faille. Les développeurs recommandent d’ailleurs d’utiliser Claude plutôt que GPT, car apparemment les résultats sont meilleurs, ce qui ne m’étonne pas.
Malheureusement, pour le moment, ça ne fonctionne que sur du code Python et même s’ils ont ajouté le support d’Ollama pour les modèles open source, les résultats ne sont pas terribles avec ces derniers car ils galèrent à structurer correctement leur output. A voir avec le dernier modèle OSS d’OpenAI cela dit…
Alors d’un côté, je trouve ça génial d’avoir un outil aussi puissant pour sécuriser nos propres projets mais de l’autre, ça montre à quel point nos codes sont vulnérables et combien il est facile pour quelqu’un de mal intentionné de trouver des failles. Voilà, donc si vous développez en Python, je vous conseille vraiment de tester VulnHuntr sur vos projets car mieux vaut découvrir les failles vous-même plutôt que de les voir exploitées dans la nature !
Un scénario classique en entreprise c’est un script Python de synchronisation qui doit tourner sous Windows et qui se barre en erreur à chaque redémarrage. Le coupable c’est ce fichu service Windows qui s’obstine à chercher sa configuration dans C:\Windows\System32 plutôt que dans le répertoire de l’application. Du coup, ça prend 3 heures de débogage pour un problème vieux comme Windows NT et ça c’est moche !
Car le problème avec les services Windows, c’est qu’ils sont coincés dans les années 90. La commande sc create ne fonctionne qu’avec des applications spécialement conçues pour être des services. Et NSSM est puissant mais avec une interface en ligne de commande cryptique et des éditions du registre à la main. Et le pire dans tout ça, c’est ce fameux répertoire de travail bloqué sur System32 qui fait planter la moitié des applications qui dépendent de chemins relatifs.
La bonne nouvelle c’est qu’il existe Servy qui débarque comme une bouffée d’air frais dans cet écosystème poussiéreux. Développé entièrement en C# par Aelassas, ce petit outil open source fait exactement ce qu’on attend de lui à savoir transformer n’importe quel executable en service Windows, avec une vraie interface graphique moderne et surtout, la possibilité de définir ce foutu répertoire de travail.
Pour l’utiliser, il vous suffit de télécharger la dernière release sur GitHub, de le décompresser, et de lancez Servy.exe. L’interface est claire… nom du service, description, chemin de l’exe, working directory (enfin !), paramètres de démarrage, et c’est parti. En 30 secondes, votre application Node.js, votre script Python ou votre serveur web tournera alors comme un vrai service Windows.
Et les fonctionnalités de Servy vont bien au-delà du simple lancement puisqu’il intègre des health checks configurables avec intervalle personnalisé (30 secondes par défaut) et un nombre d’échecs tolérés avant action. Le système de recovery gère comme un chef le redémarrage du service, du processus, ou même de la machine complète selon vos besoins. Et pour éviter les boucles infinies, vous pouvez bien sûr limiter le nombre de tentatives de redémarrage.
La gestion des logs est également un autre point fort de Servy puiqu’il peut rediriger automatiquement stdout et stderr vers des fichiers avec rotation automatique basée sur la taille. Comme ça, plus besoin de scripts batch complexes ou de solutions tierces pour capturer les sorties de vos applications console. Tout est géré proprement, avec des logs organisés et consultables.
Selon le guide Windows Services Manager, accéder aux services Windows reste toujours aussi archaïque : Win+R, services.msc, + Entrée. Heureusement, avec Servy, tout se fait depuis son interface. Vous pouvez démarrer, arrêter, mettre en pause, redémarrer vos services, modifier leur priorité (Real-time, High, Normal, Low), et même définir le type de démarrage (Automatic, Manual, Disabled).
Un détail qui fait la différence avec d’autres outils du même genre, c’est la prévention des processus zombies. Hé oui, Servy se la joue comme dans Walking Dead et gère proprement le cycle de vie des processus enfants, s’assurant qu’aucun processus orphelin ne traîne après l’arrêt d’un service. C’est le genre de conneries qu’on découvre généralement après plusieurs semaines de production, quand le serveur commence à ramer sans raison apparente.
Et ça tourne aussi bien de Windows 7 SP1 jusqu’à Windows 11, en passant par toutes les versions Server. Et surtout, le code source complet est disponible sur GitHub sous licence MIT.
Bref, c’est un super outil gratuit, open source, avec une interface bien pensée, et toutes les fonctionnalités dont on rêvait sans le côté usine à gaz !!
Pour les entreprises, c’est une solution idéale pour déployer des applications métier sans les réécrire, avoir à se former sur NSSM ou de maintenir des scripts PowerShell complexes. Cet outil permet de réduire les coûts de maintenance et les erreurs humaines. Bref, c’est un logiciel qui devrait être dans la boîte à outils de tout les admins Windows qui se respectent.
Ça vous dirait de pouvoir taper cursor-agent "trouve et corrige tous les bugs" dans votre terminal et voir GPT-5 analyser l’ensemble de votre code, proposer des corrections, et même les appliquer après votre validation ?
Plus besoin de copier-coller entre ChatGPT et votre éditeur, plus besoin de jongler entre interfaces. Et bien c’est exactement ce que Cursor CLI propose.
Avec la sortie de GPT-5 et l’explosion des assistants de code IA, Cursor frappe fort en proposant une alternative terminal-first qui s’intègre partout : JetBrains, Android Studio, Xcode, ou même directement dans votre shell préféré. Et ce qui est cool c’est qu’on peut utiliser GPT-5 gratuitement pendant la beta.
Alors perso, moi je suis un fervent utilisateur de Claude Code qui fonctionne excellement bien, à tel point que je trouve les IDE Cursor et Windsurf un peu nul maintenant. Donc voir Cursor sortir son clone de Claude Code, branché sur GPT-5, évidemment, ça m’intéresse.
L’installation se fait avec cette ligne magique :
curl https://cursor.com/install -fsS | bash
Une fois installé, vous suivez les instructions pour exporter cursor-agent dans votre environnement shell et ensuite vous lancez cursor-agent, et vous voilà avec un agent IA surpuissant directement dans votre terminal. Selon la documentation officielle, le CLI réutilise toute votre configuration Cursor existante : vos règles personnalisées, votre fichier AGENTS.md, et même vos intégrations MCP.
Ce qui distingue Cursor CLI des alternatives comme Claude Code ou Gemini CLI, c’est son système d’approbation granulaire. Par exemple, si vous demandez à l’agent de créer une API Express avec des tests Jest, il vous montrera d’abord les modifications proposées. Vous pouvez ensuite accepter, refuser, ou modifier chaque changement avant qu’il ne touche vos fichiers. Cette approche réduit considérablement les erreurs par rapport aux solutions qui appliquent tout automatiquement.
La vraie puissance du truc se révèle surtout dans l’automatisation, car vous pouvez créer des scripts qui utilisent Cursor CLI pour :
Générer automatiquement de la documentation à partir de votre code
Lancer des revues de sécurité sur chaque commit
Créer des agents personnalisés pour vos workflows spécifiques
Scaffolder des projets entiers avec une seule commande
Le support des modèles est lui aussi impressionnant. A part GPT-5, vous avez accès à Claude 4 Sonnet, Opus (et aussi Gemini, Grok, o3…etc mais j’ai pas vu ça dans ma beta). Un simple /model ls liste tous les modèles disponibles, et /model gpt-5 vous permet de basculer dessus instantanément. Cette flexibilité permet d’utiliser le modèle le plus adapté à chaque tâche.
Perso, j’ai beaucoup testé GPT-5 hier via Windsurf pour voir ce qu’il avait dans le ventre (sur du code uniquement) et hormis le fait que c’était lent de fou, ça ne m’a pas non plus très impressionné. J’avais un bug à régler et le truc a tourné toute la matinée pour au final me faire un gros caca. Et j’ai fini par résoudre le bug en fin de journée, cette fois avec Claude Code et en quelques dizaines de minutes. Donc j’avoue que pour le moment, je suis hyper déçu de GPT-5 mais bon, je lui redonnerai sa chance plus tard.
Pour les équipes, Cursor CLI c’est top pour votre CI/CD. Vous pourriez par exemple concevoir des pipelines qui utilisent GPT-5 pour :
Générer automatiquement des tests pour le code non couvert
Optimiser les performances avant chaque déploiement
Créer des changelogs détaillés basés sur les commits
Adapter automatiquement le code aux breaking changes des dépendances
Le système de règles personnalisées change aussi la donne. Vous pouvez définir des contraintes spécifiques dans votre fichier AGENTS.md (TypeScript strict, tests obligatoires, commentaires en français, etc.) et Cursor CLI respectera ces règles dans toutes ses générations.
L’aspect privacy est également bien pensé aussi car contrairement à des outils comme Copilot qui envoie votre contexte en permanence, Cursor CLI ne transmet que ce que vous lui demandez explicitement. Vos secrets restent locaux et votre code propriétaire reste protégé.
Par contre, c’est encore en beta donc il reste des bugs notamment sous Windows (WSL), et certains utilisateurs ont indiqué avoir des timeouts sur les gros projets. Mais bon, ça comme avec Claude Code, l’équipe met à jour quasiment non stop.
Pour tester rapidement, lancez simplement cursor-agent pour un chat interactif, ou utilisez les flags -m pour choisir le modèle et --no-interactive pour l’automation complète sans confirmation manuelle.
Et prochainement, il devrait y avoir du contexte persistant entre sessions, de la collaboration multi-agents, et même une intégration native avec les éditeurs via LSP.
Voilà, donc si vous cherchez une alternative à Claude Code ou GitHub Copilot qui respecte votre workflow dans le terminal, Cursor CLI mérite le détour. C’est gratuit pendant la beta et ça devrait bien vous aider !
J’ai vu sur Github un développeur qui a réussi à résoudre le problème le plus universel du télétravail. Ce problème c’est cette fâcheuse tendance qu’on a tous à finir comme Quasimodo, complétement avachis devant notre écran après deux heures de coding, de blogging ou de bitching sur Mastodon.
SlouchDetector, c’est donc l’œuvre d’Alexander Kranga qui a eu cette idée brillante à savoir utiliser MediaPipe pour apprendre à la machine votre posture idéale et vous balancer une alerte quand vous commencez à vous ratatiner. Le tout tourne directement dans votre navigateur, sans qu’aucune donnée ne parte sur Internet. Votre webcam, votre navigateur, et votre vie privée respectée.
Ce qui rend ce projet vraiment bien, c’est qu’il résout un vrai problème. Car selon Planet Nomad, une mauvaise posture au bureau peut réduire la productivité de 18% et augmenter les troubles musculo-squelettiques (TMS) de 65%. Et le pire, c’est qu’on ne se rend même pas compte quand on commence à s’affaler sur notre clavier.
Pour cela, SlouchDetector utilise la détection faciale de MediaPipe pour établir votre position de référence quand vous êtes bien assis et ensuite, l’algorithme surveille en temps réel les déviations par rapport à cette baseline. Pas besoin des 33 points de détection corporelle que propose MediaPipe Pose, juste votre joli visage suffit pour détecter si vous commencez à pencher vers l’écran.
Je souis là
Pour faire tourner ce truc chez vous, c’est du Next.js 15 avec React 19, TypeScript pour la robustesse, et Tailwind CSS 4 pour l’interface. Le développeur a clairement misé sur les dernières technos pour offrir une expérience fluide. Et niveau installation, c’est du classique :
npm ci
npm run dev
# Hop, c'est parti sur http://localhost:3000
Ce qui me plaît, vous vous en doutez, c’est l’approche full respect de la vie privée. Votre webcam capture, MediaPipe analyse, JavaScript alerte, et personne d’autre que vous n’est au courant que vous ressemblez à un bretzel à 16h.
MediaPipe peut détecter des postures complexes en temps réel même sur des machines modestes et c’est cette efficacité qui permet à SlouchDetector de tourner sans problème dans n’importe quel navigateur moderne, sans avoir besoin d’une RTX 4090 pour vous dire de vous redresser.
L’intérêt va au-delà du simple gadget geek. Quand on sait qu’un bureau assis-debout peut faire chuter la pression sur les disques vertébraux de 40%, imaginez l’impact d’un simple rappel régulier pour corriger sa posture. C’est un outil qui pourrait vous éviter bien des visites chez le kiné.
Je souis plou là
Bien sûr, MediaPipe ne détecte qu’une personne à la fois, donc si vous avez l’habitude de travailler avec votre chat sur les genoux, il risque de perturber la détection. Donc mangez-le, avec des frites et une petite sauce au bleu, c’est délicieux ! Les conditions d’éclairage peuvent aussi affecter la précision, mais dans l’ensemble, ça reste très utilisable au quotidien.
Vous aussi vous en avez marre de voir vos images disparaître d’Imgur après 6 mois d’inactivité ? Ou de devoir passer par Discord qui compresse tout ce qui bouge ?
Ça tombe bien car j’ai découvert Slink il y a quelques jours et je pense que ça va vous plaire si vous voulez retrouver le contrôle sur vos partages d’images.
Slink, c’est le projet d’Andrii Kryvoviaz, un développeur qui a décidé de combiner ses deux passions : La danse et l’amour de la forêt euuuh, non… Avoir son propre service de partage d’images ET pouvoir raccourcir les URLs en même temps. Parce que oui, en plus d’héberger vos images, Slink génère automatiquement des liens courts pour les partager facilement. Et comme le souligne XDA Developers, tout tient dans un seul container Docker, ce qui rend le déploiement hyper simple.
Le truc vraiment bien pensé, c’est que Slink ne se contente pas de stocker bêtement vos fichiers. Il génère automatiquement des previews, gère l’expiration automatique si vous le souhaitez (pratique pour les partages temporaires), et propose même un mode galerie pour organiser vos images. Le backend en Symfony assure la robustesse, tandis que le frontend en SvelteKit offre une interface moderne et réactive.
Pour l’installation, c’est du Docker classique. Créez votre docker-compose.yml :
Et une fois lancé, vous aurez accès à une interface web complète avec drag & drop, upload multiple, et même une API REST pour automatiser vos uploads depuis vos scripts ou applications. Le système de permissions est granulaire ce qui vous permet de créer des utilisateurs, définir des quotas, et même activer l’upload anonyme si vous voulez faire votre propre service public.
Ce qui m’a particulièrement séduit dans ce projet, c’est surtout la gestion intelligente du stockage. Selon la doc GitHub, Slink supporte non seulement le stockage local, mais aussi S3 (compatible avec MinIO, Backblaze B2, etc.), et même le partage réseau via SMB. Vous pouvez également définir des limites de taille par fichier, par utilisateur, et même configurer une rétention automatique pour ne pas exploser votre espace disque.
La partie raccourcisseur d’URL est aussi vraiment bien intégrée. Chaque image uploadée reçoit automatiquement un identifiant court (style “slink.io/a8f2”), et vous pouvez aussi créer des liens personnalisés avec votre propre nom de domaine. Et contrairement à des services comme bit.ly, vous gardez le contrôle total sur vos analytics avec le nombre de vues, l’origine des visiteurs, et bien sûr tout est stocké localement (génial pour le RGPD, comme dirait le Capitaine Haddock).
Pas de tracking tiers, pas de publicités, pas de vente de données. Avec Slink, vos images restent vos images, point. Et si vous voulez partager quelque chose de sensible, Slink propose même un chiffrement côté client avec des liens à usage unique qui s’autodétruisent après consultation.
Pour les développeurs, l’API est un vrai bonheur avec de l’authentification via tokens JWT, endpoints RESTful bien documentés, et même des webhooks pour intégrer Slink dans vos workflows. Vous pouvez par exemple configurer un hook pour redimensionner automatiquement les images, les envoyer vers un CDN, ou les sauvegarder sur un service externe.
Et les performances sont au rendez-vous grâce à Rust pour la partie critique (génération des identifiants courts et routing), avec un cache Redis optionnel pour accélérer les requêtes fréquentes. Ainsi, sur un VPS basique, Slink peut facilement gérer des milliers de requêtes par seconde. Un détail sympa, le mode sombre adaptatif suit les préférences système, et il y a une PWA complète pour installer Slink comme une app native sur mobile. De plus, l’interface est responsive et fonctionne parfaitement sur tablette ou smartphone.
Après si vous cherchez des alternatives, il y a Chevereto (payant mais très complet), Lychee (orienté galerie photo), ou PictShare (plus minimaliste et que je testerai une prochaine fois…). Slink trouve donc un excellent équilibre entre fonctionnalités et simplicité, et il y a des mises à jour régulières, ce que j’apprécie beaucoup vue que ma passion dans la vie c’est lire des changelogs.
Voilà, donc pour ceux qui veulent tester avant de se lancer, le projet est entièrement open source sous licence MIT et dispo ici !
18 milliards, c’est le nombre de mots de passe compromis auxquels GoSearch peut accéder avec une simple clé API BreachDirectory. Et ce n’est que la partie émergée de l’iceberg de cet outil OSINT qui a récemment été salué dans la newsletter OSINT pour son approche innovante de la recherche d’empreintes numériques.
Vous vous souvenez de Sherlock, cet outil Python qui permettait de chercher des pseudos sur différentes plateformes ? Et bien GoSearch, c’est comme si Sherlock avait pris des stéroïdes et appris le Go. En effet, le développeur ibnaleem a créé ce projet au départ pour apprendre le langage Go, mais il s’est rapidement transformé en un véritable projet communautaire.
La différence fondamentale avec Sherlock c’est d’abord sa vitesse. Le Go se compile en binaire et utilise la concurrence de manière native, ce qui rend les recherches exponentiellement plus rapides. Mais surtout, GoSearch a résolu le problème majeur de Sherlock c’est à dire les faux négatifs. Quand Sherlock vous dit qu’un username n’existe pas alors qu’il est bien là, GoSearch le trouve. Et pour les résultats incertains, plutôt que de vous induire en erreur, il préfère les afficher en jaune pour vous signaler qu’il y a peut-être un doute.
Concrètement, GoSearch ne se contente pas de scanner plus de 300 sites web. Il accède aussi à 900 000 identifiants compromis via l’API HudsonRock’s Cybercrime Intelligence, 3,2 milliards via ProxyNova, et ces fameux 18 milliards via BreachDirectory si vous avez une clé API. Et quand il trouve des hashes de mots de passe, il tente de les cracker avec Weakpass, avec un taux de réussite proche de 100% selon le développeur (ahem…).
L’installation est ridiculement simple pour un outil aussi puissant :
go install github.com/ibnaleem/gosearch@latest
Ensuite, une recherche basique :
gosearch -u [username] --no-false-positives
Le flag --no-false-positives est important puisqu’il filtre les résultats pour ne montrer que ceux dont GoSearch est certain. Par exemple, pour une recherche approfondie avec BreachDirectory :
Ce qui est cool, c’est que GoSearch ne se limite pas aux pseudos. Il cherche aussi les domaines associés en testant les TLDs classiques (.com, .net, .org, etc.). Et si vous n’avez pas de pseudo précis, vous pouvez même utiliser username-anarchy pour générer des variantes à partir d’un nom et prénom.
Attention toutefois, sous Windows, Windows Defender peut parfois marquer GoSearch comme malware. C’est un faux positif et le code source est entièrement accessible sur GitHub pour vérification.
GoSearch est particulièrement efficace pour les enquêtes de sécurité et de confidentialité. Les entreprises peuvent par exemple l’utiliser pour vérifier si leurs employés ont des comptes compromis, les particuliers pour auditer leur propre empreinte numérique, et les chercheurs en sécurité pour leurs investigations OSINT.
En plus, le projet évolue constamment et les dev envisagent d’ajouter des fonctionnalités comme des options pour n’afficher que les résultats confirmés ou prioriser la détection des faux négatifs selon les besoins. Maintenant, pour ceux qui cherchent des alternatives, il existe Gopher Find (aussi en Go), Maigret, WhatsMyName ou le récent User Searcher qui prétend couvrir 2000+ sites. Mais GoSearch reste le plus équilibré entre vitesse, précision et accès aux bases de données d’identifiants compromis.
5 dollars, c’est tout ce qu’il faut pour écouter légalement 1000 fois votre artiste préféré sur S█████. Enfin, “légalement” au sens où S█████ l’entend, parce qu’avec 0,005$ par stream en moyenne, on peut difficilement parler d’un modèle équitable. C’est cette réflexion qui m’amène à vous parler aujourd’hui de Spotizerr.
L’idée derrière Spotizerr est assez maligne puisque ça consiste à utiliser l’excellente interface de recherche de S█████ pour trouver vos morceaux, puis à les télécharger depuis D████ en priorité pour obtenir du FLAC, avec un fallback sur S█████ si nécessaire. Le développeur Xoconoch ne cache pas son approche pragmatique dans le README où il écrit : “Supportez vos artistes directement (merch, concerts, dons), et considérez que 5$ leur permettent de compenser 1000 écoutes”. C’est le strict minimum éthique selon lui.
Techniquement, ce qui distingue Spotizerr des autres solutions comme Spotizer (notez la différence d’orthographe), c’est son approche vraiment orientée self-hosting avec une interface web progressive (PWA). Vous pouvez l’installer comme une app native sur mobile ou desktop, avec des thèmes clairs/sombres, et surtout un système de monitoring intelligent qui surveille automatiquement vos playlists et artistes favoris pour télécharger les nouveautés.
Le système de queue est particulièrement bien pensé : téléchargements concurrents configurables, mises à jour en temps réel via Server-Sent Events, prévention automatique des doublons, et persistance de la queue même après un redémarrage du navigateur. Vous pouvez télécharger des tracks individuels, des albums complets, des playlists entières (même celles avec plus de 1000 morceaux), ou carrément la discographie complète d’un artiste avec des options de filtrage.
Pour l’installation, c’est du Docker classique et il vous faudra créer un fichier .env (basé sur l’exemple fourni), configurer vos identifiants Redis, PUID/PGID, UMASK, et lancer le docker-compose. Pour S█████, le développeur recommande d’utiliser son outil spotizerr-auth sur un PC avec le client S█████ installé pour simplifier l’authentification. Pour D████, il suffit de récupérer le cookie “arl” depuis votre navigateur (F12 → Application/Storage → Cookies → copier la valeur “arl”).
Le support multi-utilisateurs est intégré avec authentification JWT, SSO via Google et GitHub, et un panneau d’administration pour gérer tout ce petit monde. L’historique des téléchargements est complet avec métadonnées, analytics de succès/échec, recherche et filtrage, et même l’export des données avec les IDs des services externes.
Au niveau configuration audio, vous pouvez définir la qualité par service (avec les limitations selon votre type de compte), convertir vers MP3, FLAC, AAC, OGG, OPUS, WAV ou ALAC dans différents bitrates, personnaliser les patterns de nommage des fichiers et dossiers, et même filtrer le contenu explicite si nécessaire.
Notez qu’au niveau des rémunération d’artistes, le champion c’est Qobuz qui paie jusqu’à 0,03€ par stream, soit près de dix fois plus que S█████. Apple Music fait un peu mieux avec 0,007 à 0,01€ par stream, tandis que YouTube Music reste le cancre avec 0,0008€ par stream. Pendant ce temps, Amazon, Tidal et D████ proposent du FLAC en standard, alors que S█████ résiste encore et toujours sur la qualité audio haute définition.
Le système de surveillance de Spotizerr est vraiment pratique puisqu’il vous permet de configurer des intervalles de vérification, d’ajouter des playlists ou des artistes à surveiller, et les nouveaux contenus sont automatiquement téléchargés. Pour une discographie complète, vous sélectionnez les types de releases (albums, singles, compilations) et tout est mis en queue automatiquement.
Le projet est basé sur la bibliothèque deezspot et reste dans une zone grise légale. Le développeur est transparent là-dessus : c’est pour un usage éducatif et personnel, respectez les conditions d’utilisation des services et les lois sur le copyright de votre pays. Les fichiers téléchargés conservent les métadonnées originales, et les limitations s’appliquent selon votre type de compte.
Bref, pour ceux qui cherchent une solution self-hosted complète pour gérer leur bibliothèque musicale, Spotizerr s’intègre bien dans un stack avec Lidarr pour la gestion de collection et Navidrome pour le streaming. C’est une approche qui permet de garder le contrôle sur sa musique tout en profitant des catalogues des services de streaming.
Et oui, j’ai caviardé un peu l’article parce que ça m’amusait de rajouter un peu de mystère ^^.
Un logiciel qui survit depuis plus de 16 ans, c’est assez rare. Surtout quand c’est maintenu par un seul développeur qui depuis tout ce temps refuse catégoriquement d’ajouter de la pub et qui continue de faire évoluer son outil mois après mois. Ce logiciel c’est File & Image Uploader développé par Zoom et qui me rappelle cette époque bénie où les développeurs créaient des outils juste parce qu’ils en avaient besoin, et pas pour lever des millions en série A.
Ce qui m’a d’abord plu sur ce site d’une autre époque, c’est ce petit message tout en bas qui dit : “If you don’t like it, don’t use it.” C’est cool de voir un dev qui assume complètement son projet et qui ne cherche pas à plaire à tout le monde. Et vous savez quoi ? Ça marche puisque le logiciel supporte aujourd’hui plus de 700 services différents, de Google Drive à des hébergeurs dont vous n’avez probablement jamais entendu parler comme filearn.top ou tubearn.top.
Pendant que WeTransfer fait polémique avec ses nouvelles conditions d’utilisation autorisant l’exploitation des fichiers par IA (avant de faire marche arrière face au tollé), et pendant que Gofile limite toujours ses options gratuites, zoo_m continue tranquillement son chemin. Le développeur ne demande rien, ne collecte rien, ne revend rien. Il code, il publie, point.
Le truc vraiment intéressant c’est le support des uploads resumables. Zoom le fait depuis des années pour ses 700 services différents comme ça si votre connexion plante au milieu d’un upload de 10 GB vers Dropbox, pas de panique, vous reprenez exactement où vous en étiez. Et contrairement aux interfaces web qui rament avec plusieurs fichiers, ici vous pouvez lancer des uploads parallèles vers différents services simultanément. C’est un peu l’opposé à JDownloader.
Il existe plein de services web qui font pareil, mais j’aime bien l’idée d’avoir un vrai logiciel qui transforme votre PC en centrale d’upload, comme un point de repère, un phare bravant l’océan du cloud (oui, je suis d’humeur poète). Et sur lequel vous pouvez glisser vos fichiers, choisir vos destinations (oui, au pluriel), et qui se débrouille comme un chef. Pas de limite artificielle, pas de restrictions de format, pas de serveur surchargé. D’après le site officiel, c’est généralement bien plus rapide que les interfaces web parce que le logiciel optimise les connexions et évite tout le JavaScript inutile qui plombe les navigateurs.
Alors oui, l’interface n’est pas aussi léchée qu’un produit Adobe, oui, il faut lire la documentation (quelle idée bizarre en 2025 ^^), mais si vous cherchez un outil qui fait exactement ce qu’il promet sans arrière-pensées commerciales, sans tracking, sans ces formules creuses qu’on voit partout, File & Image Uploader est probablement ce qui se rapproche le plus de l’idéal du freeware tel qu’on l’imaginait dans les années 2000.
Le développeur précise d’ailleurs qu’il accepte les suggestions et peut ajouter de nouveaux services sur demande. Pas via un formulaire Google qui finira dans les limbes, mais directement via le menu Help du logiciel.
Voilà, pour ceux que ça intéresse, le logiciel est dispo en version portable (pas d’installation requise) et tourne sur Windows. Il existe des versions 32 et 64 bits, et apparemment ça fonctionne aussi sous Wine pour les linuxiens motivés. Cependant pas de version Mac et vu la philosophie du projet, je doute que ce soit dans les priorités.
Ce serait quand même sympa de pouvoir entraîner une IA qui non seulement vous comprend parfaitement, mais qui peut littéralement penser et répondre comme vous le feriez, non ?
Comment ça nooon ??
Bah, tant pis pour vous parce que c’est exactement ce que propose Second Me, un projet open source qui est capable d’imiter votre pensée.
Le concept est assez cool car plutôt que de confier vos données personnelles à une grosse boîte tech comme OpenAI ou Google, vous entraînez votre propre “double numérique” directement sur votre machine. Le truc reste chez vous, sur votre ordi, avec vos données, mais peut quand même se connecter à un réseau décentralisé pour interagir avec d’autres IA ou des applications quand vous le souhaitez.
La technologie derrière Second Me repose sur ce qu’ils appellent l’AI-native Memory, avec notamment un système de Hierarchical Memory Modeling (HMM) et leur fameux algorithme Me-Alignment, comme détaillé dans leur doc GitHub. En gros, ça permet à votre clone IA d’apprendre progressivement vos habitudes d’écriture, votre façon de coder, vos expressions favorites, et même vos petites manies linguistiques. L’idée c’est vraiment de créer une extension de vous-même dans le monde numérique.
Pour faire tourner tout ça, vous avez quand même besoin d’un peu de matos. Par exemple, avec 8 Go de RAM, vous pouvez faire tourner un modèle d’environ 0.8 milliard de paramètres sous Docker , selon les spécifications indiquées dans le README du projet. Si vous avez 32 Go, vous montez à 2.8B de paramètres. Les utilisateurs Mac avec puce Silicon peuvent utiliser MLX pour faire tourner des modèles plus gros.
Pour l’utiliser, d’abord vous clonez le repo GitHub, puis vous lancez les conteneurs Docker avec un simple make docker-up, et hop, vous accédez à l’interface web sur localhost:3000.
# 1. Clonez le repo
git clone https://github.com/mindverse/Second-Me.git
cd Second-Me
# 2. Démarrez le conteneur Docker
make docker-up
# 3. Et roule ma poule !
# Ouvrez le navigateur et allez sur : http://localhost:3000
Ce qui est vraiment intéressant avec Second Me, c’est surtout la philosophie derrière car plutôt que de créer une “Super IA” centralisée qui menace votre indépendance et vos données, ils veulent donner à chacun la possibilité de créer sa propre IA capable d’amplifier notre individualité au lieu de l’effacer. Votre Second Me peut même jouer différents rôles selon les scénarios. Par exemple répondre à vos emails pendant que vous dormez, participer à des réunions Zoom à votre place, ou collaborer avec d’autres Second Me pour brainstormer sur des projets.
D’ailleurs, ils ne sont pas les seuls à explorer cette voie des IA personnelles. Par exemple, PIN AI vient de lancer une app mobile qui permet de faire tourner des modèles open source comme DeepSeek ou Llama directement sur votre smartphone. Au MWC 2025, Newnal a même présenté un téléphone IA capable de créer un clone numérique complet avec vos données médicales et financières, qui peut même souscrire une assurance auto à votre place (c’est un peu flippant quand même ^^).
Le projet Second Me utilise des briques open source solides comme GraphRAG de Microsoft pour la synthèse de données, llama.cpp pour l’inférence, et les modèles de base viennent principalement de la série Qwen2.5. Tout ça sous licence Apache 2.0, donc vraiment libre d’utilisation. L’équipe travaille même sur un système de versioning pour les états de mémoire et d’identité, des pipelines d’entraînement continus, et même des solutions cloud pour ceux qui n’ont pas la puissance de calcul nécessaire en local.
Pour ceux qui veulent tester, il y a déjà quelques démos sympas comme Felix AMA (une app de roleplay), ou des outils de brainstorming où plusieurs Second Me collaborent ensemble. La communauté est super active sur Discord et Reddit, et le projet cartonne sur GitHub avec des contributeurs du monde entier.
Maintenant, avec des modèles en dessous de 0.5B de paramètres, vous n’aurez pas des performances extraordinaires pour des tâches complexes, mais l’idée est là, à savoir reprendre le contrôle sur notre identité numérique et nos données, tout en profitant de la puissance de l’IA. Cool non ?
Je suis presque sûr que quand vous devez convertir un document avec des infos sensibles dedans en un joli PDF, vous n’installez rien sur votre ordinateur et vous préférez l’uploader sur un service random de conversion qui va probablement analyser et pomper son contenu ?
Je me trompe ?
C’est vrai que c’est plus rapide de faire confiance aveuglément à des services qui nous demandent notre email, notre carte bleue et notre âme pour simplement fusionner deux PDFs, mais moi, perso, j’aime pas trop ça !
Et apparemment, je ne suis pas le seul puisque des étudiants ont créé LuxPDF une boite à outils grâce à laquelle vos fichiers ne quittent JAMAIS votre ordinateur. Tout se passe dans le navigateur, côté client, y’a pas de serveur, pas d’upload, pas de stockage louche. Comme ça, vos documents restent chez vous, et picétou !
L’histoire derrière ce projet, c’est donc celle de petits jeunes qui devaient constamment convertir des PDFs pour leurs devoirs et leurs projets. Sauf que ces PDFs contenaient leurs noms, des infos financières, des données perso… et les services existants leur demandaient systématiquement de se créer un compte, de payer un abonnement, et tout ça pour des fonctions basiques. Sur Hacker News, ils expliquent qu’ils en ont donc eu super marre de sacrifier leur vie privée juste pour convertir un simple fichier en PDF et que c’est pour ça qu’ils ont codé LuxPDF.
Niveau fonctionnalités, on a donc le droit à 16 outils différents : conversion PDF vers PNG/JPEG/TXT, fusion, division, compression, rotation, suppression de métadonnées (super important pour la vie privée !), retrait de mot de passe, extraction de pages spécifiques…
Bref, tout ce qu’on attend d’une boîte à outils PDF complète. Et contrairement aux concurrents comme ILovePDF ou SmallPDF qui limitent le nombre d’utilisations gratuites ou la taille des fichiers, ici c’est illimité. Votre navigateur est capable d’encaisser l’ouverture d’un PDF de 1000 pages ? Pas de problème alors, LuxPDF le traitera quasi instantanément.
Le projet est totalement open source donc vous pouvez l’installer chez vous ou utiliser le site de LuxPDF surtout que les développeurs sont transparents sur leur modèle économique : pas de pub, pas de tracking, juste des dons volontaires et des sponsors.
Donc voilà, si vous cherchez une alternative éthique aux mastodontes du PDF qui récupère vos données, LuxPDF mérite clairement le détour. C’est gratuit, open source, sans inscription, et vos documents ne quittent jamais votre machine !
OpenAI vient de lâcher dans la nature ses premiers modèles open-weight depuis GPT-2, et apparemment, c’est du lourd. Après 5 longues années à garder jalousement ses modèles bien au chaud derrière des API payantes, Sam Altman et sa bande balancent donc gpt-oss-120b et gpt-oss-20b, deux modèles que vous pouvez télécharger gratuitement sur Hugging Face et faire tourner chez vous.
Ils ont claqué des milliards de dollars en recherche pour créer ces modèles, et maintenant ils les offrent au monde entier sous licence Apache 2.0. C’est beau !
Pour ceux qui se demandent ce que ça change, un modèle open-weight c’est comme avoir accès au moteur d’une voiture avec le capot grand ouvert. Vous pouvez voir comment ça fonctionne, bidouiller les paramètres internes, et surtout, le faire tourner en local sans connexion internet. Greg Brockman, le cofondateur d’OpenAI, explique que c’est complémentaire à leurs services payants comme ChatGPT et l’avantage, c’est que vos données ne partent pas dans le cloud.
Les deux nouveaux modèles utilisent l’approche chain-of-thought qu’OpenAI a introduite avec son modèle o1 l’automne dernier. Cela veut dire que au lieu de balancer une réponse directe, l’IA passe par plusieurs étapes de raisonnement pour répondre à vos questions. Ces modèles text-only ne sont pas multimodaux (donc pas d’images ou de sons), mais ils peuvent naviguer sur le web, appeler d’autres modèles cloud pour certaines tâches, exécuter du code et même agir comme des agents IA autonomes.
Le plus petit des deux, gpt-oss-20b avec ses 21 milliards de paramètres (dont 3,6 milliards actifs), est suffisamment compact pour tourner sur une machine avec 16 Go de RAM. Le gros calibre, gpt-oss-120b avec ses 117 milliards de paramètres (5,1 milliards actifs), nécessite 80 Go de mémoire et tourne idéalement sur une seule GPU H100. Les deux supportent un contexte de 128 000 tokens, soit l’équivalent de 300-400 pages de roman que vous pouvez balancer d’un coup.
D’après les benchmarks, gpt-oss-120b atteint quasiment les performances d’OpenAI o4-mini sur les tâches de raisonnement, tandis que gpt-oss-20b s’approche d’o3-mini. Sur une RTX 5090, vous pouvez atteindre jusqu’à 256 tokens par seconde, ce qui est franchement impressionnant pour du local. Avec l’architecture Mixture-of-Experts (MoE) et la précision native MXFP4, ces modèles sont optimisés pour tourner efficacement même sur du matériel grand public.
Bon, passons aux choses sérieuses avec le tutoriel Ollama pour faire tourner tout ça chez vous.
Installation d’Ollama
D’abord, installez Ollama si ce n’est pas déjà fait. Sur macOS, ouvrez un terminal et tapez :
brew install ollama
Sur Linux, c’est encore plus simple :
curl -fsSL https://ollama.ai/install.sh | sh
Pour Windows, téléchargez directement l’installateur sur ollama.com et suivez les instructions.
Lancement du serveur Ollama
Une fois installé, démarrez le serveur Ollama :
ollama serve
Le serveur va se lancer sur le port 11434 par défaut. Laissez cette fenêtre de terminal ouverte.
Téléchargement et exécution des modèles gpt-oss
Dans un nouveau terminal, vous pouvez maintenant télécharger et lancer les modèles. Pour le modèle léger gpt-oss-20b (idéal si vous avez 16 Go de RAM minimum) :
ollama pull gpt-oss:20b
ollama run gpt-oss:20b
Pour le modèle plus costaud gpt-oss-120b (nécessite au moins 80 Go de RAM ou un bon GPU) :
ollama pull gpt-oss:120b
ollama run gpt-oss:120b
Configuration du niveau de raisonnement
Une fonctionnalité sympa de ces modèles, c’est que vous pouvez ajuster l’effort de raisonnement selon vos besoins. Dans Ollama, vous pouvez configurer ça avec :
ollama run gpt-oss:20b --reasoning low # Pour des réponses rapides
ollama run gpt-oss:20b --reasoning medium # Équilibré (par défaut)
ollama run gpt-oss:20b --reasoning high # Pour des analyses complexes
Utilisation avec Python
Si vous préférez intégrer ça dans vos scripts Python, installez le package officiel :
pip install ollama
Puis utilisez-le comme ceci :
import ollama
response = ollama.chat(model='gpt-oss:20b', messages=[
{
'role': 'user',
'content': 'Explique-moi la différence entre un modèle open-weight et open-source',
},
])
print(response['message']['content'])
Alternative avec Hugging Face CLI
Si vous voulez télécharger directement depuis Hugging Face pour plus de contrôle :
# Installation de Hugging Face CLIpipinstallhuggingface-hub# Téléchargement de gpt-oss-20bhuggingface-clidownloadopenai/gpt-oss-20b--include"original/*"--local-dirgpt-oss-20b/# Téléchargement de gpt-oss-120bhuggingface-clidownloadopenai/gpt-oss-120b--include"original/*"--local-dirgpt-oss-120b/
Optimisations pour cartes NVIDIA RTX
Si vous avez une carte NVIDIA RTX, vous pouvez bénéficier d’optimisations spécifiques car Ollama détecte automatiquement votre GPU et applique les optimisations. Donc pour vérifier que votre GPU est bien détectée :
nvidia-smi # Pour voir votre GPU
ollama list # Pour voir les modèles disponibles
Quelques commandes utiles
Pour lister tous les modèles installés :
ollama list
Pour supprimer un modèle si vous manquez d’espace :
ollama rm gpt-oss:120b
Pour voir les logs et débugger si ça plante :
ollama logs
Le fait qu’OpenAI ait attendu mars pour annoncer ces modèles puis les ait retardés pour des tests de sécurité supplémentaires montre qu’ils prennent le sujet au sérieux. Eric Wallace, chercheur en sécurité chez OpenAI, explique qu’ils ont même fine-tuné les modèles en interne sur des scénarios à risque pour mesurer jusqu’où un “bad actor” pourrait les pousser. Résultat, les modèles n’ont pas atteint un niveau de risque élevé selon leur framework de préparation.
Pour finir, OpenAI s’est associé avec Azure, vLLM, llama.cpp, LM Studio, AWS, Fireworks, Together AI et plein d’autres plateformes pour rendre ces modèles accessibles partout. Microsoft propose même AI Foundry Local sur Windows où vous pouvez juste taper foundry model run gpt-oss-20b dans un terminal pour commencer.
Voilà, vous avez tout ce qu’il faut pour jouer avec les nouveaux jouets d’OpenAI. C’est quand même fou de voir OpenAI revenir à ses racines open source après toutes ces années à s’enfermer. Avec la licence Apache 2.0, vous pouvez utiliser ces modèles commercialement, les redistribuer, et les intégrer dans vos propres projets.
Pour plus d’infos, consultez le dépôt GitHub officiel ou la page Ollama dédiée. Allez-y, téléchargez, testez, et surtout, amusez-vous bien avec ces nouveaux modèles. Le futur de l’IA locale commence maintenant, et il est entre vos mains.
Imaginez pouvoir scanner votre propre installation Odoo comme un hacker éthique pour y débusquer toutes les failles en quelques minutes. Et bien c’est exactement ce que fait OdooMap créé par Mohamed Karrab et dispo sur GitHub. Avec plus de 7 millions d’entreprises qui utilisent Odoo dans le monde, les failles de sécurité peuvent coûter très cher, donc c’est super de s’y intéresser un minimum.
Pour ceux qui ne connaissent pas, Odoo c’est cet ERP open source hyper populaire qui gère tout dans une entreprise : ventes, stocks, comptabilité, RH, site web, et j’en passe. Le problème, c’est que beaucoup d’installations Odoo sont mal configurées ou pas à jour, ce qui les rend vulnérables. Et quand on sait que cet ERP contient littéralement toutes les données sensibles d’une boîte, ça fait froid dans le dos.
C’est là qu’OdooMap entre en jeu. Mohamed Karrab a développé cet outil de reconnaissance et de test de sécurité spécialement pour Odoo. Et c’est du sérieux car l’outil fait tout : détection de version, énumération des bases de données, vérification des permissions CRUD (Create, Read, Update, Delete), extraction de données, et même du brute-force sur les logins et le master password.
Ce qui est vraiment bien pensé, c’est que OdooMap couvre toutes les phases d’un test de sécurité. D’abord la reconnaissance pour identifier la version d’Odoo et récupérer les métadonnées. Ensuite l’énumération pour lister les bases de données accessibles et les modèles exposés. Puis l’authentification et la vérification des permissions pour voir ce qu’un utilisateur peut vraiment faire. Et enfin l’extraction de données depuis des modèles spécifiques si vous avez les droits.
L’installation est super simple. Vous clonez le repo GitHub, vous installez avec pipx (ou pip si vous préférez), et c’est parti. Le développeur recommande d’utiliser pipx pour éviter de polluer votre système Python, ce qui est une bonne pratique :
Les fonctionnalités de brute-force sont particulièrement intéressantes. Par exemple, OdooMap peut tester des credentials par défaut, utiliser vos propres listes de mots de passe, ou même attaquer le master password de la base de données. C’est exactement le genre d’attaques que les vrais hackers utiliseraient, donc autant les tester vous-même avant eux.
Pour un scan de base, c’est aussi simple que :
odoomap -u https://example.com
Mais la vraie puissance se révèle quand vous commencez à combiner les options. Par exemple, pour authentifier et énumérer les modèles :
L’outil a également la capacité d’extraire des données depuis des modèles spécifiques. Si vous avez accès à res.users ou res.partner par exemple, vous pouvez dumper toutes les infos comme ceci :
D’après mes recherches, les vulnérabilités les plus courantes dans Odoo incluent les failles XSS (Cross-Site Scripting), les problèmes de contrôle d’accès, les IDOR (Insecure Direct Object References) et les SSRF (Server-Side Request Forgery). OdooMap permet donc de tester une bonne partie de ces vulnérabilités, notamment les problèmes d’accès et d’authentification.
Ce qui est intéressant aussi, c’est que l’outil peut faire du brute-force sur les noms de modèles internes. Odoo a des centaines de modèles, et parfois certains sont exposés alors qu’ils ne devraient pas l’être. OdooMap peut les découvrir automatiquement :
Bien sûr, comme tout outil de sécurité, OdooMap doit être utilisé de manière responsable. Mohamed Karrab le rappelle clairement : c’est fait pour des tests autorisés uniquement. Utiliser cet outil sans permission, c’est illégal et vous risquez de gros problèmes avec la police (et pas la Municipale, hein ^^) !! Mais si vous gérez une installation Odoo ou si vous êtes mandaté pour faire un audit, c’est un must-have.
L’outil est sous licence Apache 2.0, donc totalement open source et gratuit et le code est en Python 3.9+, donc accessible si vous voulez comprendre comment ça fonctionne ou l’adapter à vos besoins.
Pour aller plus loin dans la sécurisation d’Odoo, je vous conseille de jeter un œil à la page officielle de sécurité d’Odoo. Ils prennent la sécurité au sérieux et encouragent la divulgation responsable des vulnérabilités.
Pour ceux qui cherchent d’autres outils de pentest, il y a évidemment les classiques comme Metasploit, Burp Suite ou Nessus mais l’avantage d’OdooMap, c’est qu’il est spécialisé pour Odoo. Il connaît les spécificités de cet ERP et peut donc aller beaucoup plus loin qu’un scanner générique.
Pour finir, un grand bravo à Mohamed Karrab pour cet outil !
Vous codez seul la nuit comme un petit lutin tout triste, paria de la société ? Et bien si je vous disais que vos collègues peuvent éditer vos fichiers en temps réel, directement dans votre Neovim ? Ce serait pas le feu ça ?
Ethersync vient de débarquer et c’est exactement ce qu’il propose à savoir transformer n’importe quel éditeur de texte en espace de collaboration instantané. Comme un Google Docs mais en local, peer-to-peer et chiffré.
Le projet a été présenté au FOSDEM 2025 par blinry, et la démo m’a scotché. En gros, vous tapez ethersync share dans votre terminal, un code apparaît du style “5-hamburger-endorse”, et de son côté, votre collègue tape ethersync join 5-hamburger-endorse et boom, vous éditez les mêmes fichiers en temps réel. Pas de serveur, pas de cloud, juste une connexion P2P chiffrée entre vos machines.
Ce qui rend Ethersync génial, c’est qu’il fonctionne avec VOTRE éditeur préféré. Neovim, VS Code, et bientôt Emacs et JetBrains grâce aux plugins communautaires en développement comme ça plus besoin de forcer tout le monde sur le même outil. Chacun garde ses habitudes, ses raccourcis, ses configurations. L’interopérabilité est totale !
Le secret technique derrière cette magie ce sont les CRDT (Conflict-free Replicated Data Types) via Automerge. En gros, c’est une structure de données qui permet à plusieurs personnes de modifier le même document sans créer de conflits. Chaque modification est enregistrée comme une opération, et l’algorithme sait comment les fusionner intelligemment. Même si vous travaillez hors ligne et que vous vous reconnectez plus tard, tout se synchronise nickel.
Mais Ethersync va plus loin qu’Etherpad ou Google Docs car il ne se contente pas d’un seul fichier mais synchronise des projets entiers ! Vous partagez un dossier, et tout ce qui s’y trouve devient collaboratif. Fichiers sources, documentation, configs… tout est synchronisé en temps réel ce qui en fait le complément parfait à Git pour la collaboration instantanée.
L’architecture est d’ailleurs brillante. Il y a un daemon qui tourne en arrière-plan et gère la synchronisation via Iroh (une bibliothèque Rust qui permet d’établir des connexions directes entre pairs via QUIC, avec du hole-punching et des relais de secours) ainsi que Magic Wormhole (que vous connaissez, pour l’établissement de connexion facile avec des codes courts).
Les éditeurs communiquent alors avec le daemon via un protocole JSON-RPC tout simple. Du coup, créer un nouveau plugin est relativement facile si vous voulez supporter votre éditeur exotique préféré.
Et surtout, niveau sécurité, c’est du solide. Comme, je vous le disais, toutes les connexions sont chiffrées de bout en bout, et y’a pas de serveur central qui pourrait être compromis. Comme ça, VOS données restent sur VOS machines et si même internet tombe parce que c’est la fin du monde, vous pourrez continuer à collaborer en local sur le même réseau.
Pour l’installer sous Linux/macOS, vous récupérez le binaire statique depuis GitHub, vous le mettez dans votre PATH, et c’est parti. Les utilisateurs d’Arch ont même un paquet AUR (yay -S ethersync-bin). Pour Android, ça marche dans Termux et pour les amateurs de Nix, il y a un flake officiel.
Ce projet est encore jeune et en développement actif mais l’équipe l’utilise au quotidien donc ça se bonifie avec le temps. D’ailleurs, la bonne nouvelle c’est que ça a été financé par NLNet via leur fonds NGI0 Core pour 2024, et par le Prototype Fund allemand pour 2025. Ça garantit comme ça un développement sérieux et en continu.
Bref, que ce soit pour du pair programming, mais aussi de la prise de notes collaborative, de la rédaction de documentation à plusieurs, de la sessions de debug en équipe…etc, ça devrait bien faire le taf et contrairement aux partages d’écran, chacun garde le contrôle de son environnement.
Si vous voulez tester, c’est le moment car le projet recherche des retours, des testeurs, et des contributeurs pour créer de nouveaux plugins. La documentation est claire, le code est propre et l’équipe est réactive !
De la collaboration fluide et instantanée, directement dans votre environnement de travail habituel, comme on aime !
Le fait que la plupart des caméras IP qu’on achète sur Amazon ou AliExpress soient potentiellement truffées de backdoors, ça ne vous empêche pas de dormir ? Genre, vous installez une caméra pour surveiller votre maison et au final c’est vous qui êtes surveillé. Sympa, non ? Et bien sur Hackernews, j’ai découvert un projet qui va vous redonner le sourire : OpenIPC.
Il s’agit d’un firmware alternatif open source pour vos caméras IP. En gros, c’est un système d’exploitation créé par la communauté qui remplace le firmware pourri, opaque et souvent abandonné que les fabricants installent par défaut. Et le meilleur dans tout ça c’est que ça fonctionne sur une tonne de puces différentes : ARM, MIPS, et des processeurs de chez Hisilicon, Ingenic, Sigmastar, et j’en passe.
Ça permet de reprendre le contrôle total de vos streams comme ça plus de backdoors, plus de botnets, plus de malware de crypto-mining planqué dans votre caméra. C’est vous le seul maître à bord. Et vu le nombre de scandales qu’on a eus ces dernières années avec des caméras chinoises qui envoient des données on ne sait où, c’est plutôt rassurant.
Le projet utilise Buildroot pour construire sa distribution Linux et propose plusieurs streamers selon vos besoins : Majestic (le plus performant mais pas encore open source), Divinus (totalement open source), Mini ou Venc. Majestic, même s’il n’est pas encore ouvert, offre des performances de malade pour un large éventail de matériel. D’ailleurs, l’auteur cherche à l’open-sourcer dès qu’il aura sécurisé assez de fonds pour continuer le développement.
Ce qui est génial, c’est surtout que ce firmware supporte plein de fonctionnalités sympas comme le stockage cloud IPEYE externe, le streaming vers YouTube et Telegram, les proxys SOCKS5, la configuration de tunnels VPN… Bref, tout ce qu’il faut pour faire de votre caméra un vrai petit serveur multimédia sécurisé.
D’ailleurs, la communauté FPV est complètement fan du projet car des marques comme Runcam, Emax et Eachine ont déjà intégré le firmware dans leurs produits. Pour les pilotes de drones, c’est donc la révolution niveau transmission vidéo et les projets spécialisés fleurissent : caméras pour drones, casques de chantier, outils de surveillance, recherche médicale, pêche sous-marine… Les possibilités sont infinies.
Pour installer Openpic sur vos caméras, il y a deux méthodes principales. La première, c’est d’utiliser Coupler, un projet qui crée des images firmware installables via les mécanismes de mise à jour intégrés dans le firmware d’origine. Super pratique si vous ne voulez pas ouvrir votre caméra.
Et la deuxième méthode, c’est plus hardcore puisqu’il faut ouvrir la caméra, connecter un adaptateur UART sur le port série de debug, et flasher via TFTP. Ça demande de mettre les mains dans le cambouis, mais c’est pas si compliqué. Il faut juste identifier votre SoC (System on Chip), configurer un serveur TFTP, interrompre le bootloader au démarrage, et envoyer le nouveau firmware. Ahaha, je sais dit comme ça, ça fait peur, mais rassurez-vous, le projet fournit des guides détaillés pour chaque étape.
Un point important, avant de flasher, sauvegardez toujours votre firmware d’origine. On ne sait jamais, vous pourriez vouloir revenir en arrière (même si franchement, une fois qu’on a goûté à la liberté d’OpenIPC, difficile de faire marche arrière).
Le projet est distribué sous licence MIT, ce qui signifie que vous pouvez faire à peu près ce que vous voulez avec le code, même l’utiliser dans des projets commerciaux. La seule restriction, c’est l’usage militaire qui n’est pas autorisé.
Et niveau support matériel, c’est impressionnant puisque aujourd’hui, OpenIPC supporte des puces d’Ambarella, Anyka, Fullhan, Goke, GrainMedia, Ingenic, MStar, Novatek, SigmaStar, XiongMai… et la liste continue de s’allonger. Bref, si vous avez une vieille caméra qui traîne et qui n’est plus supportée par le fabricant, il y a de fortes chances qu’OpenIPC puisse lui donner une seconde vie.
Pour les développeurs, il y a même des outils sympas comme un Dashboard multi-plateforme (Linux/Mac/Windows) construit avec Avalonia UI qui permet de gérer et monitorer facilement vos caméras OpenIPC. C’est totalement pensé pour simplifier la vie des utilisateurs.
Voilà, donc au lieu de jeter votre vieille caméra chinoise, vous pouvez la revitaliser avec un firmware moderne et sécurisé. C’est bon pour votre portefeuille et pour la planète et qui sait, peut-être que ça poussera les fabricants traditionnels à être plus transparents sur leurs firmwares.
Le dépôt GitHub du projet est ici et si vous voulez approfondir, la documentation officielle est très complète et accessible même pour les débutants.
Vous connaissez les fortunes ? Mais siii, ce sont petites citations aléatoires qui s’affichent dans le terminal ! Eh bien figurez-vous que Debian a décidé de faire le grand ménage dans les versions “offensantes” de ces paquets. Et forcément, ça fait des vagues.
L’histoire a commencé avec deux bug reports (#1109166 et #1109167) déposés par Andrew M.A. Cater qui a tout simplement demandé la suppression pure et simple des paquets fortunes-es-off (la version espagnole) et fortunes-it-off (la version italienne), arguant que ces blagues n’avaient “aucune place dans Debian”. Et c’est là, que c’est parti en cacahuète.
D’un côté, il y a donc Agustin Martin qui maintient le paquet espagnol depuis des années et qui nous explique qu’il a déjà fait un sacré tri en virant les trucs vraiment violents, et que ce qui reste c’est de l’humour qui peut choquer certaines personnes “avec un seuil de tolérance bas”. Et de l’autre, Salvo Tomaselli qui gère la version italienne et qui n’était vraiment pas content qu’on lui demande de supprimer son paquet en pleine période de freeze.
Alors quand le contributeur NoisyCoil a analysé le contenu du paquet italien et y a trouvé des citations qui appellent explicitement à la violence contre les femmes, du genre, des trucs qui disent que les femmes devraient être battues régulièrement, c’était plus possible !
Là, on n’était clairement plus dans l’humour douteux mais dans quelque chose de beaucoup plus problématique.
Paul Gevers de l’équipe de release Debian a donc tranché en déclarant que “les versions offensantes des paquets fortune n’ont plus leur place dans Debian”. Une décision qui fait écho à ce qui s’était déjà passé avec la version anglaise fortunes-off, supprimée il y a déjà quelques années.
Ce qui est intéressant, je trouve, dans cette histoire, c’est de voir comment une communauté open source gère ce genre de tensions car d’un côté, vous avez cette “tradition” de la liberté totale, et de l’autre, la volonté de créer un environnement inclusif.
Mais bon, au final, Tomaselli a cédé et supprimé les paquets offensants notant avec une pointe d’ironie dans le changelog que c’était dû à des “bug reports bien synchronisés de l’équipe de release pendant la période de freeze”.
Alors est-ce qu’on doit tout accepter au nom de la liberté ? Ou est-ce qu’il y a des limites à ne pas franchir ?
Perso, je pense qu’entre une blague de mauvais goût et un appel à la violence contre les femmes, il y a quand même une sacrée différence. Mais bon visiblement, tout le monde n’est pas d’accord là-dessus… Certes les mentalités évoluent dans le bon sens, mais il y en a qui évoluent moins vite que les autres (voire qui sont encore bloqués dans les années 50…).
Bref, ce qui est sûr, c’est que tant que certains n’auront pas compris que discriminer des gens déjà fortement discriminés, ce n’est pas de l’humour mais de la violence, alors ce genre de débat continuera à agiter le monde du libre !
Dans une étude publiée fin juillet 2025, les chercheurs de Sonatype annoncent avoir détecté une vaste campagne d’espionnage menée au sein des écosystèmes open source. Aux commandes : Lazarus, un groupe cybercriminel affilié à l’État nord-coréen, connu depuis plus d’une décennie pour des détournements spectaculaires de crypto-monnaies au profit du régime de Pyongyang.
Dans une étude publiée fin juillet 2025, les chercheurs de Sonatype annoncent avoir détecté une vaste campagne d’espionnage menée au sein des écosystèmes open source. Aux commandes : Lazarus, un groupe cybercriminel affilié à l’État nord-coréen, connu depuis plus d’une décennie pour des détournements spectaculaires de crypto-monnaies au profit du régime de Pyongyang.
C’est l’histoire d’un développeur polonais a quitté son job il y a plus d’un an pour créer un éditeur graphique et il s’est dit que ce serait cool de le donner gratuitement !
Krzysztof Krysiński et son équipe viennent de sortir PixiEditor 2, et c’est une claque monumentale. Fini l’époque où il fallait jongler entre Photoshop, Illustrator et Aseprite car cette petite équipe européenne a créé le premier véritable “éditeur 2D universel”.
Car oui, pourquoi avoir 10 logiciels différents quand un seul peut tout faire ? PixiEditor 2.0 fusionne pixel art, graphisme vectoriel, retouche photo, animation frame par frame et même art procédural avec un système de nodes. C’est comme si Photoshop, After Effects et Blender avaient eu un bébé open source.
Jusqu’à présent, PixiEditor était surtout connu comme un éditeur de pixel art sympa mais limité. Cette version 2.0 change complètement la donne puisque l’équipe a construit un pipeline de rendu raster/vectoriel ultra configurable qui s’adapte à n’importe quel workflow. Vous pouvez littéralement switcher entre trois modes de travail : Painting (pour le dessin classique), Pixel Art (avec des outils pixel-perfect) et Vector (pour les logos et illustrations scalables).
Le truc dingue, c’est que ces trois modes peuvent cohabiter sur le même canvas. Vous dessinez un sprite en pixel art, vous ajoutez du texte vectoriel par-dessus, et vous balancez des effets procéduraux avec les nodes. Tout ça dans un seul fichier .pixi, comme ça plus besoin d’exporter/importer entre différents logiciels.
Mais parlons surtout du Node Graph, parce que c’est là que PixiEditor devient vraiment foufou. Grâce à ce truc, vous allez pouvoir créer des effets visuels complexes juste en connectant des boîtes entre elles. Chaque layer devient ainsi un node, et vous pouvez les combiner pour créer des trucs impossibles dans un éditeur classique. L’équipe a même réussi à créer un workspace de texturing 3D avec preview en temps réel. Je vous rappelle que c’est un éditeur 2D à la base !
Dans les démos, j’ai vu des exemples hallucinants comme des îles générées procéduralement avec des saisons qui changent automatiquement, du feu entièrement créé avec des nodes, des animations de sprites réutilisables basées sur l’UV indexing. On ferait tourner Doom là dedans que ça ne m’étonnerait pas !
Les animations ont également été ajoutées après des années de demandes et surtout PixiEditor ne s’est pas contenté du minimum. Vous avez le frame par frame classique pour vos sprites de jeu, mais aussi la possibilité d’animer vos nodes pour créer des effets procéduraux. Y’a aussi de l’export en GIF, MP4 ou spritesheet pour vos jeux… Toutefois, il manque encore les animations vectorielles avec keyframes, mais c’est prévu pour après cette mouture.
Pour les pixel artists, c’est aussi Noël car le mode Pixel Art propose un brush avec option pixel-perfect (plus de pixels baveux !), des outils de transformation qui préservent le style pixel (scale, rotate, skew sans antialiasing), et même un outil texte non-destructif qui reste pixel-perfect lui aussi. Les palettes sont gérées nativement avec import / export vers tous les formats populaires, s’il vous plait !
Il y beaucoup d’attention aux détails dans cette release. Les vecteurs supportent le high DPI natif, donc vos logos restent nets même sur un document basse résolution. Le système de preview permet d’avoir plusieurs viewports sur le même fichier ce qui est super pratique pour voir différentes sorties de votre node graph en simultané. Et cerise sur le gâteau, tout fonctionne offline, pas besoin de connexion internet.
Comparé à la concurrence, PixiEditor se démarque donc vraiment, Aseprite reste excellent pour le pixel art pur mais coûte 20$ et n’a pas de vectoriel, LibreSprite est gratuit mais basé sur une vieille version d’Aseprite, Piskel est limité au navigateur et Pixelorama est prometteur mais moins complet. PixiEditor est donc le seul à proposer cette approche “universelle” tout en restant 100% gratuit et open source.
Notez que l’équipe a créé Pixi Labs Sp. z o.o., une entité légale polonaise pour gérer le projet, mais pas de panique car PixiEditor reste libre et gratuit. Leur modèle économique est transparent et malin puisqu’ils maintiennent et développent PixiEditor gratuitement tout en vendant des extensions et assets optionnels.
Par exemple, le Founder’s Pack inclut des workspaces spécialisés (card builder pour créer des cartes de jeu, texturing 3D, animations réutilisables) et 21 palettes exclusives. C’est du win-win comme ça vous soutenez le développement et vous récupérez des outils sympas.
Niveau config, il vous faudra un GPU compatible Vulkan (la plupart des cartes récentes) et un système 64 bits. Et si votre machine est trop vieille, vous pouvez toujours utiliser PixiEditor 1.0 via Steam. Linux est même maintenant officiellement supporté, ce qui manquait cruellement à la v1. Les développeurs bossent dur pour supporter plus de configurations, mais désolé de vous le dire, le 32 bits c’est fini.
Pour la petite histoire, le créateur Krzysztof Krysiński, développeur .NET spécialisé en desktop et développement de jeux, a tout commencé en 2017 comme projet d’apprentissage. Finaliste Google Code-In 2018 et runner-up 2019, il a rebaptisé son projet “Pixi” en PixiEditor lors de sa première sortie publique en octobre 2018.
Son but initial était de construire un éditeur libre qui peut gérer TOUTE la 2D et la mission est accomplie… PixiEditor 2.0 n’est pas “encore un clone de Photoshop” mais plutôt une nouvelle vision de ce que devrait être un éditeur graphique moderne.
Si ça vous tente, c’est disponible sur Steam, le Microsoft Store, ou directement sur leur site. Le code source est sur GitHub si vous voulez contribuer ou compiler vous-même.
Et l’avenir s’annonce radieux avec une roadmap ambitieuse : version web, marketplace d’assets, CLI pour l’automatisation, format de fichier interactif, et surtout une API d’extensions avec store intégré façon Visual Studio Code.
Le but étant de permettre le développement d’extensions dans presque n’importe quel langage grâce aux composants WASI. Grâce à toutes ses fonctionnalités, PixiEditor a les épaules pour devenir LE standard de la création 2D libre. En attendant, c’est déjà un outil incroyablement puissant qui ridiculise pas mal de solutions payantes.
Connexion
