DNS4EU dont je vous ai causé y'a pas longtemps, c'est le service de DNS co-financé par l'UE et opéré par une société tchèque nommée Whalebone. Et bizarrement, depuis des mois, cette société récupère auprès de l'organisation anti-piratage néerlandaise (la BREIN) des listes de sites pirates.

Du coup, les utilisateurs commencent à se poser des questions... Pourquoi faire ?

Et bien d'après les dernières nouvelles, ils ne s'en servent pas.

La BREIN envoie automatiquement sa liste contenant +300 sites bloqués vers DNS4EU comme ils le font déjà avec les FAI, et je pense qu'ils voyaient ça comme une bonne astuce pour bloquer un maximum de sites illégaux.

Mais pas de bol, Whalebone a fini par expliquer que comme la BREIN n'était pas une vraie autorité de régulation, bah y'avait aucune raison qu'ils utilisent leur liste pour faire du DNS filtrant. Hé ouiiii.

Vous allez voir la nuance... En fait dans le cadre de l'appel d'offre de la Commission européenne en 2022, il était demandé à ce que le prestataire filtre le contenu illégal "sur base légale", donc sur ordonnance d'un tribunal. Par exemple, ça a déjà été le cas avec la France, qui a ordonné par décision de justice de bloquer certains sites sur DNS4EU .

Mais cette liste de la BREIN s'appuie uniquement sur des décisions de justice obtenues CONTRE les FAI néerlandais et pas contre DNS4EU. Ah ils sont trop malins !

Après côté usage, ça reste un DNS classique avec cinq profils au choix, un qui bloque juste le malware et le phishing, un qui ajoute le blocage des pubs, un avec protection des enfants, la combinaison des deux, et un "unfiltered" sans le moindre filtre (86.54.11.100 si ça vous tente). Le filtrage, c'est vous qui choisissez, les blocages imposés par la justice mis à part.

Et sur les 63 millions de blocages décidés par DNS4EU lui-même, l'écrasante majorité c'est du phishing et des arnaques, pas du téléchargement. On est donc trèèèès loin de ces cinglés de flics du copyright. Pour l'instant en tout cas...

Je dis "pour l'instant" parce qu'actuellement, on est dans un contexte où la justice européenne serre la vis partout, avec par exemple la France qui ordonne aux VPN de filtrer ou encore l' Italie avec son Piracy Shield qui veut faire plier Cloudflare. Mais bon, pour le moment, ce DNS souverain a su dire qui dit "nee" (c'est comme ça qu'on dit "non" en néerlandais) à ces fifous d'ayants droit et pour ça, je les remercie.

Après, un DNS qui propose en option de bloquer ou non les pubs, ça ne me gêne pas une seconde. Mais si un jour c'est pour faire du DNS menteur histoire de faire plaisir aux ayants droit, là ce sera boycott direct pour moi. Bref, je surveille ça de près et je ne manquerai pas de vous tenir au courant.

Source

Amazon Q, l'assistant de programmation dopé à l'IA que propose Amazon, pouvait se faire piéger d'une manière aussi simple qu'embarrassante.

Petit rappel pour situer. Amazon Q se greffe dans Visual Studio Code, l'éditeur de code de Microsoft que les développeurs utilisent au quotidien, et sert à écrire ou corriger du code à votre place.

Des chercheurs de Wiz, une société spécialisée dans la sécurité du cloud, ont découvert que cet assistant exécutait des commandes cachées à la simple ouverture d'un projet. La faille a reçu un identifiant officiel, CVE-2026-12957, et une note de gravité de 8,5 sur 10, ce qui est sérieux.

Le problème venait d'un fichier de configuration un peu particulier. Pour fonctionner, Amazon Q lit un fichier nommé .amazonq/mcp.json, qui s'appuie sur le MCP, pour Model Context Protocol, une sorte de prise standardisée qui permet de brancher une IA sur des outils extérieurs.

Sauf qu'il suffisait d'ouvrir un dépôt de code et d'activer Amazon Q pour que l'extension aille lire ce fichier et exécute son contenu. Sans fenêtre de confirmation, sans demander votre avis, et sans vérifier si vous faisiez confiance au dossier que vous veniez d'ouvrir.

Et c'est là que ça devient vraiment fourbe. Ces commandes héritaient de tout votre environnement de travail. Du coup, elles pouvaient récupérer au passage vos clés d'accès au cloud d'Amazon, vos jetons de connexion, vos secrets d'API et même l'accès à votre agent SSH, ce trousseau qui garde en mémoire vos connexions aux serveurs distants. En clair, tout ce qu'un développeur laisse ouvert pendant qu'il travaille.

Le plus gênant, c'est que Visual Studio Code possède justement une sécurité prévue pour ça, la confiance d'espace de travail, qui vous demande si vous validez un dossier avant de le laisser agir. L'extension d'Amazon passait tout bonnement par-dessus.

Pour un pirate, le piège était facile à tendre. Il suffisait de glisser ce fichier dans un projet open source d'apparence anodine, ou dans un bout de code partagé sur un forum, et d'attendre qu'un développeur qui récupère un projet l'ouvre pour voir comment il fonctionne.

Amazon a corrigé le tir dans la version 1.65.0 de son serveur de langage et a confirmé la correction. Wiz note d'ailleurs que des failles très proches ont déjà touché d'autres outils de code boostés à l'IA.

Donner autant de pouvoir à une IA sans le moindre garde-fou, et laisser filer les clés du cloud avec, ça reste une erreur de débutant pour un géant comme Amazon.

Source : The Register

Pour ma voiture, je change d’assurance assez régulièrement. C’est la seule solution ne pas trop subir les augmentations successives, la fidélité d’une année sur l’autre étant rarement récompensée.

Pour 2025-2026, j’avais choisi l’assurance Léocare. Eh bien… quelle erreur.

Je vais être bref et décrire pourquoi c’est de très loin la pire expérience en matière d’assurance auto que j’ai jamais eu, du début à la fin.

Ils oublient de m’inscrire au FVA

Une quinzaine de jours après la souscription, je me fais repérer par les gendarmes qui me font signe de sortir de l’autoroute. Je m’exécute (car je ne suis pas un petit merdeux qui refuse d’obtempérer).

L’agente me signale que mon véhicule apparaît en rouge sur leur système embarqué de lecture automatisé des plaques d’immatriculation (LAPI), leur signifiant que mon véhicule n’est pas dans le fichier des véhicules assurés (FVA).

Je leur dis que je suis pourtant bien assuré et je montre mon mémo assuré que j’avais imprimé. Je leur précise que j’ai changé d’assureur il n’y a pas très longtemps.
L’agente comprend alors la situation : le nouvel assureur n’a pas fait son boulot. Elle me dit d’engueuler (sic) mon assureur car normalement c’est fait en 2-3 jours. On me laisse repartir.

J’ai contacté Léocare le soir même et ils font le nécessaire dès le lendemain après. Je n’ai plus eu ce problème depuis. Je suppose donc qu’ils avaient « juste oublié » de faire leur boulot.

Remarques :

• Ils ont un seul job et ne le font pas. S’excuser n’ayant jamais réparé un dégât, une remise de 5 % (environ 15 jours sur une année) aurait été normal. Je rappelle que si moi j’avais « oublié » de faire le nécessaire en matière d’assurance, je risque 3 750 € d’amende, immobilisation et confiscation du véhicule, 5 ans d’interdiction de conduire, obligation d’un stage de sensibilisation… la liste peut être longue ;
• Je suis quelqu’un de prévoyant : j’avais imprimé mon mémo assuré bien que ça ne soit pas obligatoire. J’avais bien fait, car sur le coup c’est la seule preuve de mon assurance. Je conseille donc de le faire. Faites-le.
• Léocare a réagi très vite ici : signalé vers 18 h, problème réglé à 9 h le lendemain (soit 1 à 2 heures ouvrées). Je le note, car c’est important pour la suite.

Leur assistance est nulle

En septembre 2025, la batterie 12 V de ma voiture arrive en fin de vie. Ce sont des choses qui arrivent et je détaille tout ça dans cet article. J’appelle donc l’assistance 24 h/24, et il est 06 h 30 du matin.

À 07 h, toujours rien.

J’appelle moi-même un dépanneur qui arrive en 20 minutes, démarre ma voiture et me permet de repartir dès 7 h 30 environ. Ce simple démarrage et déplacement me coûtera 170 € tout de même.

À 12 h 30, je reçois un SMS de confirmation de prise en compte de ma demande par Léocare. Sept heures pour répondre à une urgence ? C’est une blague ?
De plus, après ce SMS, je n’ai plus rien entendu de leur part : aucun dépanneur n’est jamais venu, aucun message, aucun appel. Bref, leur assistance n’a servi strictement à rien.

Quand je leur ai envoyé la facture du dépannage, on m’a envoyé balader : le fameux « spanous® ». Là aussi, l’on m’a répondu promptement.

Remarques :

• Ma batterie 12 V sera changée par mes soins peu après. C’est pas plus compliqué que de changer une pile dans un réveil, si ce n’est que les contacteurs sont tenus par des écrous.
• J’ai acheté un booster. Je transporte un garage dans mon sous-coffre parce que les assistances sont des incapables. Un booster, même un truc à 30 €, peut vous éviter d’avoir à payer un dépanneur.

Que des bots/IA, zéro humains

Il m’est arrivé, au printemps 2026, de les contacter pour des demandes spécifiques. Notamment une demande d’assurer un trajet professionnel avec ma voiture perso (vu que mon contrat normal ne couvre pas cela). Leur réponse ? Nope. Pareil pour d’autres questions : Nope.

Nope. Toujours Nope. Que dalle. Ils ne savent rien, ne font rien, ne veulent rien savoir, et rien n’est possible.

La forme des réponses données par le tchat de Léocare me fait penser que c’est une IA qui répond ; pas un humain qui comprend la situation et fait son travail en m’expliquant les raisons de ces refus catégoriques. À défaut, j’aurais accepté une solution alternative, une piste à étudier : le conseil c’est aussi leur travail, non, aux « conseillers » ?

Les assurances temporaires, les dérogations, les avenants, les transferts d’assurance… ce sont des pratiques qui se font dans le milieu. À la place, ils refusent, sans me dire pourquoi. Ce sont leurs méthodes.

Qu’on refuse, c’est une chose que je peux accepter (tout en restant une raison valable pour moi de me barrer de chez eux), mais l’opacité, elle, ne l’est pas. J’estime qu’ils auraient pu dire s’ils ont pour politique de ne jamais faire de dérogation, ou si c’est juste moi le problème.
Bien-sûr, les agents virtuels à la con ne savent pas faire ça, et c’est ça qui ne fait croire qu’il n’y a plus que des bots chez eux.

Remarque :

• Après en avoir discuté avec une compagnie d’assurance physique, il apparaît que les assurances en ligne sont très fermées à tout aménagement ponctuel du contrat.
• À nouveau, Léocare m’avait répondu dans un délai très court.

Difficile d’obtenir le relevé d’information

À la fin de l’année de souscription, juste avant de changer d’assureur, il me faut donc mon relevé d’information.
Bah devinez quoi ? Léocare refuse de le mettre en ligne. C’est une pratique courante : ils donnent tous les documents en PDF (conditions générales, devis, conditions particulières…), sauf le relevé.

Généralement les gens veulent ce document pour changer d’assurance. Ils ne lâchent donc pas le PDF sans s’agiter pour essayer de vous retenir.
Pour avoir le relevé d’information, il faut leur demander via le tchat. Chose que j’ai donc faite.

J’ai insisté au-dessus sur leur réactivité. Ici, curieusement (ou pas), ils mettront deux jours ouvrés pour me le donner. Et encore : je n’ai eu le PDF qu’après leur avoir envoyé un e-mail de réclamation leur sommant de m’envoyer le fichu papier (le tchat m’a répondu 5 minutes après avoir envoyé l’e-mail ; mais c’est sûrement une coïncidence). Les menaces, y a que ça qui marche, c’est fatiguant. Fatiguant et honteux de leur part.

Il faut savoir que chaque jour où ça traîne, ça fait traîner des trucs en cascade derrière pour le client.
On parle de procédures où les dates font foi et où chaque jour est important et décompté.

Ils savent très bien ce qu’ils font : chaque jour de retard pour moi est un jour de gagné pour eux.

Ils font la sourde oreille aux LRAR

Comme si ça ne suffisait pas, lorsque j’ai mandaté un nouvel assureur pour prendre le relais après les 1 an chez Léocare, le nouvel assureur a envoyé un recommandé (électronique) pour informer Léocare que mon contrat sera résilié à l’échéance. Je reçois l’accusé de réception le lendemain. Donc Léocare est réputé informé (le principe de la LRAR).

Une semaine après, Léocare m’envoie un nouvel échéancier de paiement pour l’année à venir, ainsi qu’un appel à cotisation pour 2026-2027. Pardon ?

Après avoir pu tant bien que mal leur arracher une réponse sur leur tchat (après 2 jours à nouveau…), ils me disent qu’ils n’ont « malheureusement pas eu connaissance de [ma] demande de résiliation ».

Quel bordel.

Après une énième discussion (ils ne répondent pas, donc le ticket est fermé — top stratégie client, dites-moi !), ils me disent que je dois attendre la fin de la période d’engagement pour envoyer ma demande.

Ceci est évidemment FAUX. La loi Chatel dispose que la demande de résiliation peut intervenir jusqu’à 2 mois avant, du moment que la date de fin du contrat reste bien la fin de la période d’engagement d’un an (voir là, là, là).
Dans mon cas, la date de fin d’engagement est le 19 juin. Mon nouvel assureur a envoyé le courrier début mai. On est parfaitement dans les délais. Je resterai assuré chez Léocare jusqu’au 19 juin, et dès le 19 juin c’est mon nouvel assureur qui prend le relais.

ÉDIT : j’apprendrais plus tard, après avoir saisi la répression des fraudes (via Signal Conso), que le courrier mentionnait Loi Hamon, pas Loi Chatel, d’où ce refus (le premier est à appliquer après l’échéance, le second avant, pour prise d’effet à l’échéance).
Fait « amusant » : quand il s’agissait de souscrire chez Léocare en 2025, ils avaient très bien envoyé la lettre à mon assureur précédent avant la date d’échéance, en mentionnant « Loi Hamon ».

Pour ça je maintiens : ils savent exactement ce qu’ils font pour faire traîner les procédures et gagner du temps en pinaillant volontairement sur des détails qu’ils savent très bien ignorer quand ça les arrange. C’est comme la souscription : elle se fait en 2 clics, mais pour résilier, c’est la croix et la bannière : LRAR, délais, refus…

Quoi qu’il en soit, mon nouvel assureur leur envoi une nouvelle e-LRAR mentionnant « Loi Chatel ».

(Ajoutons que ce n’est pas ce nouveau courrier qui m’a fait obtenir la résiliation, mais le fait d’être passé par SignalConso (la DGCCRF), où je dénonce ces pratiques ridicules, et où quelqu’un — pas un bot, visiblement — prend note de façon intelligente de ma volonté de résilier et la met en place : bref, il faut passer par le gendarme de la répression des fraudes pour que nos démarches soient prises au sérieux. À nouveau, ce n’est pas normal.)

Ils ne respectent pas les délais d’envoi des lettres d’information

Désormais, en France, pour tous les contrats à reconduction tacite, l’assureur doit envoyer au moins 2 mois avant un courrier ou un e-mail décrivant notre droit de résilier. Aucun format n’est imposé : cette indication peut être inscrite dans l’appel des cotisations pour l’année à venir, par exemple. Lisez donc bien tout, car ça sera forcément caché. On a alors 20 jours pour y répondre, par exemple en envoyant une LRAR pour résilier à l’échéance.

Là où Léocare sont « malins », c’est que pour une date d’échéance au 19 juin, ils m’ont adressé un document en PDF par e-mail daté du 16 avril. J’ai donc jusqu’au 6 mai pour répondre. Ce « 16 avril » est la date écrite sur le PDF. Le PDF en question, je l’ai reçu… le 15 mai ! Autrement dit, bien après l’expiration des 20 jours.

Vous voyez le truc ?

Par un heureux hasard — vraiment un hasard — j’avais souscrit chez mon nouvel assureur le 6 mai, et ces derniers avaient envoyé la LRAR le 6 mai également. J’étais donc dans les délais. Mais vous trouvez normal que mes droits dépendent du hasard ? Le 6 mai, je n’avais pas encore reçu leur PDF du 16 avril, je rappel.

ÉDIT : toujours après leur réponse suite au signalement via la répression des fraudes, j’apprends que la date en bas du courrier est une date « technique », celle de l’édition du courrier, mais que le délai court à la réception du courrier. Soit.

Sachant que ceci est envoyé par e-mail, j’aimerais bien savoir comment ils font pour savoir si oui ou non je suis dans les délais, sachant qu’ils ne savent pas quand je vais recevoir mon e-mail !

Dans le cas d’un litige, si je gère une demande avec ce courriel, déjà cela prouvera que je l’ai lu, et donc effectivement reçu, mais aussi la seule date dont je peux attester, c’est celle du courrier, le 16 avril. Je n’ai aucune preuve de l’avoir reçue seulement un mois après. Leur explication « le délai cours à partir de la date où vous recevez l’e-mail » est donc du flan : ils savent que je ne pourrais rien prouver du tout.

Oui, je peux fournir les entêtes de l’e-mail reçu — et je l’ai fait via Signal Conso — mais ce n’est pas une preuve, sauf peut-être une preuve de ma bonne foi. Leur défense pourrait très bien dire que j’ai altéré les en-têtes, d’autant que je ne suis pas chez GMail ou Outlook qui pourraient servir des tiers de confiance, mais sur un serveur où je peux à peu près tout modifier. Donc nope : pour moi, la seule date à retenir, c’est celle du courrier, c’est uniquement celle-là qui est prouvable.

Remarques :

• je suis sérieux : la seule chose qui compte, c’est ce qui est écrit dans un contrat. Tout le reste — TOUT LE RESTE — n’existe pas. La date en bas du courrier, elle est écrite. La date de réception du mail, elle ne l’est pas, et ne fait pas partie du contrat. Gardez toujours ça en tête, avec toutes vos démarches.
• de façon étonnante (et révoltante), la loi Chatel prévoit le cas où les assureurs n’envoient pas le courrier à temps, en m’octroyant un délai supplémentaire. En d’autres termes : il parait normal qu’un assureur choisisse de ne pas respecter les délais légaux, sans même qu’ils risquent quoi que ce soit. Donc on oblige, mais le manquement n’est pas puni et est même prévu ! Une loi que l’on peut enfreindre sans conséquences, pour moi, c’est une loi inutile.

En résumé sur Léocare

Chez Léocare, on te prend le pognon de ton assurance auto pour l’année, mais :

• on ne t’inscrit pas dans le FVA ;
• on ignore les demandes de prestations ;
• le seul contact se fait par le biais d’un robot qui ne sait que dire non (et encore, quand ça répond) ;
• on fait les chieurs pour envoyer les documents qu’ils me doivent (RI) ;
• on ignore les LRAR ;
• on n’envoie pas les courriers que la loi oblige à envoyer (mais on utilise la même loi quand il s’agit de souscrit).

… et on me raconte des salades.

Donc : Léocare, plus jamais.
Je déconseille cette assurance.

C’est clairement la pire expérience que j’ai eue avec n’importe quelle société (sauf avec VendreDVD, peut-être).

C’est à un point suffisamment négatif pour partager l’expérience ici.

Où aller ?

Où vais-je aller m’assurer ?

Carapass de Boursorama : pas mieux

Je pensais aller chez l’assurance « Carapass » proposée par ma banque (BoursoBank, anciennement Boursorama) par le biais de Sogessur (groupe Société Générale), qui propose un tarif plutôt attractif pour mes besoins.

J’initie donc le truc en ligne. Quelques jours après, ils modifient le contrat initial par des avenants à coucher dehors. Notamment :

• hausse du tarif initial de plus de 40 % ;
• exigence de documents à la con ;
• changement de certaines franchises ;
• Ah oui, aussi, ils ont rejeté un des relevés d’informations d’un assureur précédent, qui avait été édité à J−32 avant l’échéance, disant qu’ils veulent du J−30.

Soit. Mais les autres assurances ne m’ont jamais fait chier pour exactement le même document (et à vrai dire je n’avais même vu ce détail). Bref, un e-mail à l’assurance de l’époque pour obtenir le RI et je l’ai en 15 minutes et leur transmet.
Vous voyez que les dates sont importantes pour eux, quand ça les arrange ? Vous comprenez maintenant pourquoi moi aussi je les trouve importantes ?

Concernant le « document à la con » qu’ils exigent : ils veulent une attestation que ma voiture possède un mécanisme antivol de niveau SRA4, sans quoi je perds ma couverture vol.
Déjà : WTF ? C’est la première fois que j’entends parler de ça de ma vie. Ensuite, j’apprends que la protection SRA4 est un dispositif de série sur toutes les voitures depuis 30 ans (désormais on est même à SRA7, au moins).

Un document qui atteste de cette protection, c’est donc comme produire une attestation que ma voiture possède bien un moteur et des roues : c’est ubuesque. À qui je demande ça, franchement ? Le SAV de Hyundai France ayant un service client similaire à Léocare, c’est peine perdue d’essayer de leur demander quoi que ce soit. Je connais mieux la voiture qu’eux.

L’opérateur de Sogessur au bout du fil ne comprenait pas non plus cette demande, qui n’est jamais demandé habituellement. Ça ne l’empêche pas de bosser pour la société qui la demande noir sur blanc dans un document contractuel, ni d’annuler cet avenant (problème, donc, qui ne sera jamais résolu).

Je leur envoie un e-mail pour dire que je refuse l’avenant. Cinq jours après, toujours pas de nouvelles.

Excédé, je leur envoie une LRAR en disant que je résilie le contrat (en plus d’un e-mail ; en plus d’avoir essayé de résilier le truc en ligne, mais qui me sort la fameuse « erreur technique, veuillez réessayer », je ne l’invente pas). Les conditions générales stipulent que je peux le faire en cas de désaccord avec une hausse de la prime d’assurance, ce qui est exactement le cas ici. Il s’agit d’un motif légitime. Ajoutons qu’ici, la couverture n’a même pas commencé.

Quinze jours après, la LRAR et mes e-mails ne sont toujours pas pris en compte et je n’ai aucune nouvelle.
À J+16, je reçois un mail disant qu’un document m’attend. Je vais voir dans l’espace client : que dalle. Rien de neuf.

C’est n’importe quoi. L’opérateur au téléphone me dit 24 à 48 h pour prendre en compte les documents. On est à 2 semaines. Je ne veux pas travailler avec des gens comme ça.

Après 3 semaines, je les appelle pour la troisième fois. Lors des autres appels, l’opérateur m’avait dit ne pas avoir accès aux e-mails que j’ai envoyé. Étrangement, cet opérateur-ci a tout sous les yeux.
Je résilie enfin le truc. L’on me dit que je recevrai immédiatement après un e-mail validant la résiliation. Évidemment, je ne reçois rien immédiatement après : j’ai reçu la notif le lendemain — puisque je vous dit qu’ils font tout traîner.

Ah, et début juin, soit bien après tout ça, je reçois un courrier papier de la part de Sogessur où ils disent avoir reçu ma LRAR (c’était il y a un mois, hein). Ils résument mon courrier afin d’y répondre. Ils expliquent le coup de la prime d’assurance de +40 % par le fait qu’un de mes relevés d’information de mes assureurs précédent n’avait pas été pris en compte, car il manquait deux jours dessus. Pour rappel, j’avais reçu un e-mail expliquant le refus du document, mais j’avais alors aussitôt envoyé un RI conforme ; nouvel RI qui n’a jamais été pris en compte par Sogessur, et la prime d’assurance n’a jamais été remis au tarif pour lequel j’ai signé.

Pour moi, donc, leur courrier est inutile : ils ne reconnaissent pas leur erreur pour ne pas l’avoir corrigé, n’ont jamais pris en compte mes documents, ont toujours un délai de réponse qui se chiffre en semaines.
Trois raisons de ne pas rester.

L’on me confirme, enfin, dans ce courrier, que ma résiliation est prise en compte. Ça c’est important, et il faut le conserver.

Gros lol final : ils regrettent de me voir partir.

Heu vous savez… si je rentre dans un restaurant, que je commande un burger à 10 €, que le serveur arrive pour me dire que finalement c’est 14 €, qu’il se casse quand je demande pourquoi, qu’après 2 heures j’attends toujours, faut pas « regretter » que je quitte l’établissement. Ni que je partage cette expérience de merde.

Ici c’est pareil.

Bon, il me faut tout de même une autre assurance. Laquelle ? Bah c’est assez simple : une agence physique. Celle chez qui j’étais il y a quelques années, et de qui j’ai reçu le RI en moins de 15 minutes par e-mail et sans broncher. Celle qui, de mémoire, a toujours été rapide.

Ouais ils sont plus chers, et pas qu’un peu : +20 % environ. Raison d’être parti par le passé.
Mais quitte à payer plus cher, au moins que ça soit justifié par un service client impeccable. J’imagine que c’est le prix des choses.

Cela reste révoltant qu’il faut choisir entre un tarif accessible et un service convenable. Oui, les assureurs en ligne sont bien moins chères, mais je sais maintenant pourquoi. Et tout ça, c’est uniquement pour du bullshit administratif : il n’a jamais été question d’un quelconque sinistre. Je n’ose pas imaginer avoir à faire à Léocare ou Sogessur dans un cas pareil.

Non, je n’ai pas choisi les procédures les plus simples, avec de multiples assureurs à gérer en même temps. Mais si Sogessur n’avait pas augmenté mon tarif par rapport au devis et l’offre de prix, s’ils n’avaient pas mis 3 semaines pour prendre en compte mes documents (et encore, après 3 semaines, je ne sais toujours pas s’ils sont pris en compte), je serais peut-être client chez eux.

L’assurance chez qui j’ai signé a pris en compte les documents en 5 minutes. Je leur ai envoyé, le temps d’aller à l’agence en sortie du travail, ils avaient préparé le dossier, m’avait fait une offre de prix et après lecture, quelques clics, un SMS de validation, tout était signé et validé. Et la LRAR envoyée le soir même. Y a quand-même une sacrée différence, non ?

La Steam Machine de Valve vient à peine d'arriver dans les salons que le youtubeur ETA Prime l'a déjà éventrée sur son établi. Et je sais pas vous, mais moi j'ai bien envie de voir ça avant de lâcher les 1039 euros qu'elle va couter. Ce petit cube vient de sortir d'usine avec ses 16 Go de mémoire et un SSD de 512 Go ou 2 To, et la vraie question que tous les geeks se posent c'est ... roulements de tambour ... : Est-ce qu'on peut l'ouvrir et bidouiller dedans ?

ET BIEN OUI ! Et c'est même plus facile que ce que vous pensez !!!

Tout commence donc avec deux vis T8 à l'arrière (qui ne tombent pas, elles restent solidaires du châssis, c'est qualiiii) et quatre autres sous les pieds. La façade avant, elle, tient juste avec des aimants.

Un coup de spudger , on fait coulisser tout le bloc hors de sa coque en plastique, et là vous tombez sur un gros radiateur en aluminium avec ses caloducs en cuivre, une alimentation intégrée, et la carte mère prise en sandwich au milieu. C'est propre et ça permet d'éviter le gros bloc d'alim qui traine sous la TV.

Le slot M.2, les ports USB avant, le lecteur SD, les USB arrière et l'Ethernet sont montés sur des petites cartes filles reliées par des nappes, ce qui rend le tout très modulaire. Ainsi, si le connecteur USB vous lâche dans 2 ans, bah y'a juste qu'à remplacer le module concerné et basta !

Même le Wi-Fi et le Bluetooth, soudés sur la carte d'entrées-sorties avant, se changent en remplaçant ce seul bloc. Notez que le seul élément un peu fermé, c'est le ventilateur car il est custom, dessiné spécifiquement pour la machine, donc oubliez votre rêve de coller un Noctua à la place. Et pour accéder à la RAM, par contre, il faut sortir le ventilateur et son carénage, débrancher les antennes Wi-Fi, puis dégager le radiateur.

Bonne nouvelle aussi, y'aura pas besoin de refaire la pâte thermique puisque la carte mère se soulève d'un bloc pour libérer les deux emplacements SO-DIMM en dessous. Valve n'en utilise qu'un seul d'origine, avec une barrette de 16 Go en DDR5 à 5600 MT/s, en single channel. ETA Prime a viré ça pour deux barrettes Crucial de 32 Go, soit 64 Go au total.

Au reboot, SteamOS Holo lui a par contre affiché 62 Go de mémoire système (?). Et pour le stockage, le SSD d'origine est un format court 2230 , mais il y a la place pour un 2280 classique. Du coup notre Youtubeur y a mis un Kingston Fury Renegade de 4 To, cloné depuis le disque d'usine avec Etcher pour garder ses jeux et son compte.

La barrette SO-DIMM DDR5 d'origine, à côté des Crucial de 32 Go

Côté tripes, le menu système le confirme bien... La bête contient un AMD Custom CPU 1772 en architecture Zen 4, six cœurs et douze threads à 4,86 GHz, accompagné d'un GPU RDNA 3 (un Navi 33, pour les curieux) avec 8 Go de VRAM. Malheureusement (et là, vous allez chialer), ces 8 Go de mémoire vidéo sont soudés et donc non extensibles. Donc même avec 64 Go de RAM système, vous ne gagnerez quasiment rien en jeu, puisque c'est la VRAM qui fait le boulot graphique. C'est couillon...

Le menu système après upgrade : 62 Go de RAM, mais toujours 8 Go de VRAM

Cela signifie que vu les prix de la RAM en ce moment, ça ne vaut pas le coup de l'upgrader sur la Steam Machine. Les 16 Go d'origine suffisent largement pour la plupart des gens (Le prix de la mémoire était justement une des raisons pour lesquelles la Steam Machine coûte plus cher qu'une PS5 Pro, haha).

Pareil pour le SSD, payer un M.2 4 To, c'est se faire mal au portefeuille pour rien alors qu'un disque dur externe USB de 5 To coûte trois fois moins cher. Un peu plus lent au chargement, certes, mais c'est largement suffisant pour stocker votre ludothèque.

Mais je suis quand même content de voir que Valve a sorti une vraie machine ouverte, réparable avec un simple tournevis, là où la concurrence nous soude tout comme des déglingos et interdit le moindre accès.

Merci à ETA Prime pour le démontage en règle !!

Source : la vidéo d'ETA Prime

Dropbox vient de sortir un plugin pour Claude Code , et leur idée c'est de pouvoir brancher vos fichiers Dropbox directement dans vos sessions de dev Claude Code / Cowork.

Alors je me suis demandé à quoi ça pouvait bien servir et voici ce que j'ai compris. Une fois que le plugin est en place, ça permet à Claude Code d'aller piocher dans votre Dropbox vos docs techniques, vos cahiers des charges, votre code...etc pour s'en faire du contexte. Tout devient de la matière fraiche pour corriger ou générer du code et quand c'est fini, ce qui est produit peut être à son tour stocké sur Dropbox.

Le plugin sait récupérer les fichiers en fonction de leur nom, de mots clés, de leur emplacement et bien sûr en fonction de leurs méta données. Même vos liens partagés il sait comment les gérer. Bref, il fait tout simplement le passe-plats entre tout le bordel que vous stockez sur Dropbox et Claude Code.

Cela dit, gardez la tête froide parce que tout ce que l'IA lit part sur les serveurs d'Anthropic pour être traité. Donc évitez quand même de le lâcher sur le dossier qui contient vos contrats, vos mots de passe ou vos données clients. Lui autoriser juste un dossier dédié avec ce que vous acceptez de partager, ce sera plus sain.

Pour l'installer, ça se passe dans Claude Code sur le web. Vous filez dans le menu Personnaliser, Connecteurs puis vous cherchez Dropbox en parcourant les plugins et vous cliquez sur ajouter. Une auth OAuth plus tard (vos identifiants Dropbox habituels), c'est branché. Un petit /reload-plugins et le plugin s'active alors dans la session en cours.

En plus de ce plugin, Dropbox propose également un serveur MCP classique en ligne de commande qui est un peu plus souple et surtout peut se brancher dans Cursor, Claude Desktop ou Devin.

Un bémol quand même, c'est pas open bar... sniiif. Eh oui, Dropbox plafonne tout ça à 5 Mo par fichier lu ou créé via l'intégration, et le contenu pondu par Claude ne se sauvegarde qu'en texte (.txt, .md, .html, .py), et pas en image ni en PDF. Quant aux limites de débit de l'API, on ne les connaît pas.

Bref, pour les gros fichiers ou les binaires, faudra donc passer par autre chose.

Si vous vivez dans Claude Code et que votre vie est rangée dans Dropbox, ça vaut peut-être le coup de jeter un œil ici.

Les développeurs de Dolphin viennent de mettre un point final à un truc qu'ils se traînaient depuis 16 ans : leur émulateur GameCube et Wii sait maintenant émuler le Game Boy Player.

Pour tester ça, faut charger une ROM Game Boy via le réglage "Game Boy Player ROM" planqué dans les paramètres GameCube de Dolphin, puis vous lancez le Start-Up disc officiel du Game Boy Player ou le homebrew Game Boy Interface, et c'est parti ! L'émulateur attache alors automatiquement le matériel quand il le faut. Annoncée sous forme de blague le 1er avril, cette version est enfin dispo depuis le 25 juin pour Windows, macOS, Linux et Android.

Maintenant pour ceux qui débarquent et qui ne sont pas très au fait de l'univers de la GameCube, le Game Boy Player c'était un petit boîtier qu'on clipsait sous la GameCube pour jouer à ses cartouches Game Boy Advance sur la télé. En gros c'est une Game Boy sans écran quoi, et ça envoyait l'image et le son à la console et récupérait les inputs de la manette. Nintendo avait même choisi d'y coller une vraie puce GBA plutôt que de coder un émulateur, parce qu'émuler proprement une GBA à l'époque, c'était mission quasi impossible.

Votre navigateur ne supporte pas la lecture de vidéos HTML5. Voici un
<a href="/dolphin-emulator-2606-game-boy-player/dolphin-emulator-2606-game-boy-player-1.mp4">lien vers la vidéo</a>.

Monter une vraie IA à la maison, c'est vite une galère. Vous achetez une super machine puis vous collez dessus toute votre liste au père Noël (Chat local, reco vocale, génération d'image, RAG et compagnie) et vous voilà à empiler des dockers à n'en plus finir. Eh bien Light Heart Labs en a eu marre de ces bricolages et nous a pondu Dream Server, un outil qui câble tout ce petit monde à votre place !

Une seule commande et c'est parti mon kiki (Linux et macOS) :

curl -fsSL https://raw.githubusercontent.com/Light-Heart-Labs/DreamServer/main/dream-server/get-dream-server.sh | bash

Ou Windows :

Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass
git clone https://github.com/Light-Heart-Labs/DreamServer.git
cd DreamServer
.install.ps1

Ça va lancer le script qui va ensuite tout paramétrer tout seul et choisir le modèle d'IA qui collera le plus à votre matériel, et cela que vous ayez une RTX 4090, un Mac M4 avec mémoire unifiée ou encore une puce AMD Strix Halo voire un vieux PC sans GPU.

Ensuite, pendant que le LLM se télécharge à fond les ballons, un autre petit modèle de 1,5 milliards de paramètres en backup afin que vous puissiez quand même "discuter" avec votre Dreamserver.

Le rôle de Dreamserver c'est donc juste de prendre toutes les briques de l'IA pour vous en faire un truc clé en main. Open WebUI pour le chat, llama-server pour l'inférence, Whisper et Kokoro pour la voix, ComfyUI pour les images, Qdrant pour le RAG, SearXNG pour la recherche web sans mouchard, et bien sûr n8n pour brancher tout ça à vos automatisations.

Et une fois que c'est en route, suffit de lancer la commande dream et là vous pourrez tout faire.

Par exemple dream status pour visualiser l'état des services et du GPU, dream model swap T3 pour changer de "palier" sur votre matos, dream enable n8n pour activer une extension ou encore dream mode hybrid pour avoir de l'inférence en local avec possibilité de basculer sur une IA dans le cloud via une API.

Dreamserver reste un orchestrateur, et pas un moteur IA magique, donc si vous adorez tout assembler vous-même, vous n'avez clairement pas besoin de ça. Par contre, si vous vous en foutez, et que vous voulez juste votre IA qui tourne ce soir, ça vous fera gagner des heures de bidouille.

Faut dire qu'à mesure que l'IA devient une infrastructure de base, dépendre à 100% d'un abonnement cloud qui peut tripler ses tarifs ou couper votre accès du jour au lendemain, ça craint un peu. Donc je pense qu'on est tous bien contents d'avoir des solutions clé en main comme celle-ci.

Si ça vous tente, c'est sur le dépôt de Dream Server .

Y'a un truc dont on parle pas assez dans le milieu tech je trouve, et pourtant tout le monde le constate : Une grande partie des communautés autour du logiciel libre, de Linux, du dev...etc sont devenues des endroits franchement hostiles. Des clubs fermés, peuplés quasi exclusivement de mecs, qui passent leur temps à expliquer aux autres qu'ils sont de gros nuls, qu'ils posent des questions de noobs, ou encore qu'ils ne tapent pas sur leur clavier comme il faut et j'en passe... Oui je parle bien entre autres du fameux barbu Linux qui vous toise parce que vous utilisez Ubuntu et pas Arch que vous avez compilé à la main.

Et le pire, c'est que tout ça est documenté et chiffré, et même reconnu par les pontes du milieu eux-mêmes ! Vous allez voir...

Prenez Linus Torvalds par exemple. C'est le créateur de Linux et pendant des années, il a insulté publiquement des développeurs sur la mailing list du kernel, leur balançant que leur code était une honte et compagnie. En septembre 2018, il a toutefois fini par mettre les choses à plat dans un mail d'excuses où il écrit noir sur blanc que ses attaques étaient "non professionnelles et injustifiées", et qu'il voulait s'excuser auprès des gens que son comportement avait blessés et je cite, "possiblement complètement chassés du développement du kernel". Il a même pris une pause pour aller se faire aider à comprendre ses émotions. Si même le mec au sommet de la pyramide reconnaît qu'il a fait fuir des contributeurs à coups de mépris, vous imaginez un peu l'ambiance qui grouille en dessous...

D'ailleurs, trois ans plus tôt, en 2015, une développeuse majeure du kernel avait déjà claqué la porte. Sarah Sharp, celle qui maintenait le pilote USB 3.0, était pourtant loin d'être une débutante. Dans son billet Closing a door , elle explique notamment qu'elle n'arrive plus à contribuer à une communauté où elle était respectée pour ses compétences mais jamais respectée en tant que personne.

Violence verbale, blagues sexistes et homophobes, voilà tout ce qu'elle subissait. Et en 2015, malheureusement, elle criait vraiment dans le désert. Personne ne l'a écouté et il aura fallu attendre 2018 et les excuses de M. Torvalds pour capter qu'il y avait un sérieux problème.

Je vous ai dit aussi que j'avais des chiffres, alors les voilà... En 2017, une étude publiée dans PeerJ a analysé plus de 3 millions de pull requests sur GitHub et le résultat bien que fascinant m'a déprimé. Le code proposé par des femmes est accepté à un taux plus élevé que celui des hommes, environ 79% contre 75%. SAUF quand leur genre est identifiable. Cela veut dire que quand on sait que c'est une femme, on accepte moins son code, alors même qu'en moyenne il est meilleur. Affreux non ?

La même année, l'enquête Open Source Survey de GitHub plantait également le décor en annonçant qu'il y avait environ 95% d'hommes, 3% de femmes et 1% non binaire parmi les contributeurs (le 1% restant c'est l'arrondi, btw). Et tristement, les femmes rapportaient bien plus souvent du langage qui les mettait mal à l'aise, et des remarques stéréotypées ("Pas mal pour une femme !", "T'es blonde ou quoi ?", ce genre de saloperies sexistes).

Voilà où en est la belle méritocratie du logiciel libre !

Et du côté de l'entraide soi-disant légendaire, c'est pas plus glorieux. Stack Overflow, le site où des millions de devs vont chercher de l'aide tous les jours, a carrément publié en 2018 un mea culpa officiel . Leur responsable "culture" y écrit que trop de gens vivent Stack Overflow comme un endroit hostile ou élitiste, en particulier les codeurs débutants, les femmes et les personnes de couleur.

Le vrai problème, selon lui, ce n'est pas la communauté, c'est qu'on a appris aux utilisateurs à dire aux autres ce qu'ils font de travers sans jamais leur apprendre à le faire correctement. C'est ce bon vieux RTFM de connard balancé à la gueule des débutants qui après n'osent plus poser de question.

Et tout ça, ça coûte cher, figurez-vous. Oui, oui, la Tech Leavers Study du Kapor Center , en 2017, a chiffré à 16 milliards de dollars par an le coût du turnover provoqué par une culture de travail injuste dans la tech. Les femmes, les minorités, les gens qui ne rentrent pas dans le moule, bah ils se barrent. Une autre enquête, Elephant in the Valley , montrait même que 60% des femmes de la Silicon Valley qui avaient +10 ans d'expérience avaient subi des avances sexuelles non désirées.

Bon, maintenant je vais quand même vous parler de moi, parce que tout ça, je le constate aussi depuis vingt ans.

Pour ma part, si je me suis retiré des réseaux sociaux, et je parle même des réseaux plus barbus, les Mastodon et compagnie censés être plus sains, c'est à cause de ça. Cette hostilité permanente, ce besoin maladif de certains de vous expliquer pourquoi vous avez tort, pourquoi votre choix technique est nul, pourquoi vous n'êtes pas un "vrai". Et si j'ai fermé mes commentaires il y a des années, c'est exactement pour la même raison. Pas parce que je ne voulais plus discuter avec vous, mais parce que je ne voulais plus servir de défouloir à une poignée de types qui confondent intelligence et agressivité.

Sachez que sur cette planète, 100% des problèmes que j'ai eus (et que j'ai encore) dans ma vie perso comme dans ma vie pro, ont été causés par des hommes. Pas 90%. 100% ! Et à chaque fois que quelqu'un m'a défendu, m'a tendu la main, m'a aidé quand j'étais au sol, c'était dans 80% des cas des femmes. Alors je le dis tout simplement, merci à elles, vraiment, du fond du cœur.

Donc voilà, messieurs les toxiques de la tech, sachez-le, je vous évite du mieux que je peux, parce que vous n'êtes pas les personnes ouvertes et sympathiques que vous pensez être. J'ai toujours refusé de rentrer dans vos cases et je pense que pour votre bien et celui du Monde en général, ce serait chouette à un moment d'arrêter de vous comporter en boy's club de connards, et surtout arrêter de croire que la tech vous appartient et que tous ceux qui ne pensent pas comme vous méritent de se faire détruire en place publique.

Et aux femmes, aux noobs, aux curieux, et à tous ceux qui ne sont pas ces clones qui se marrent à chaque blague sexiste, sachez que la tech, elle est à tout le monde.

Elle l'a toujours été d'ailleurs.

Franchement, je vous le dis, moi je trouve ça triste parce que ce milieu, moi je l'aime, j'y suis depuis le tout début, probablement bien avant eux et le voir se transformer en cour de récré pour mecs aigris incapables de gérer leurs émotions, et voir surtout que ça empire d'année en année, bah ça me fout le cafard.

Ah et si mon article vous a donné la rage et que vous voulez me casser la gueule, c'est probablement parce que vous vous êtes bien bien reconnu en 4K UHD Dolby Atmos avec les sous-titres et que vous venez de comprendre que vous n'êtes pas ce gars altruiste que vous pensez être... Déso / pas déso 😘 hein.

Il y a deux ans, Apple lâchait le Game Porting Toolkit en jurant ses grands dieux qu'on pourrait faire tourner des jeux Windows sur un Mac Apple Silicon. À l'époque je vous disais que le gaming Windows sur Mac, c'était donc plié. Hé bien la version 4.0 vient de sortir en bêta, et cette fois les chiffres donnent raison à cette promesse !

La nouvelle version du traducteur maison de GPTK (baptisé D3DMetal 4) transforme dorénavant le DirectX 12 des jeux en Metal 4, le moteur graphique d'Apple.

Le youtubeur Andrew Tsai, dont j'ai mis le test dans cet article, a donc benchmarké 20 gros titres Windows pour mesurer le gain, et certains résultats piquent fort.

Black Myth Wukong passe par exemple de 60 à 80 fps sur un MacBook Pro M3 Max, juste en changeant de système et de version de traduction ! Red Dead Redemption 2 gagne 25% de perfs sur le MacBook Neo, la petite machine d'Apple à 600 balles avec sa puce A18 Pro et ses tout petits 8 Go de RAM (le chip de l'iPhone 16 Pro, quoi).

Black Myth Wukong : à gauche GPTK 3.0 sur macOS 26 (~60 fps), à droite GPTK 4.0 sur macOS 27 bêta (~80 fps).

Et le phénomène c'est 007 First Light, un AAA tout récent que personne ne pensait voir démarrer sur Mac, qui tranquillou nous crache du 70 fps en 1080p sur le M3 Max. Mais bien sûr, y'a un petit piège caché quand même pour celui-là. En fait, à chaque lancement, comptez 20 bonnes minutes de compilation de shaders avant de pouvoir jouer. Mais une fois dans le jeu c'est nickel. CodeWeavers finira sûrement par corriger ça, cela dit...

D'ailleurs, petit ajout, Alexandre, un lecteur, m'a signalé qu'un utilisateur de Reddit a pondu un outil open source pour contourner ça, 007 Shader Commander . Le principe, sauvegarder le cache de shaders D3DMetal une fois qu'il est constitué, puis le restaurer avant chaque lancement histoire de ne pas tout recompiler. Résultat chez lui, on passe de 20 minutes à 3 secondes au démarrage. Le projet est tout jeune (v0.0.1) et pensé pour CrossOver, mais si vous galérez sur 007, ça vaut le coup d'œil. Merci à lui !

007 First Light en 1080p sur un MacBook Pro M3 Max, environ 73 fps via GPTK 4.0 et le chemin DirectX 12 vers Metal 4.

Mais alors pourquoi ça va plus vite, ma chère Micheline ?

Hé bien ("ma chère Maïté", allez, on joue le jeu !!) parce que GPTK 4 est taillé pour Apple Silicon et ne traîne plus ce boulet qu'est la compatibilité Intel. Ça débloque donc des trucs comme l'interpolation d'images de MetalFX. Notez qu'en dessous, c'est toujours CrossOver et ce bon vieux Wine qui font le sale boulot de traduction, comme depuis le début.

Autre bonne surprise, les fameuses fuites mémoire des jeux Naughty Dog. Avant, Uncharted 4 ou The Last of Us 2 qui vous bouffaient 34 Go de RAM en quelques minutes, ben maintenant il vous faudra des heures pour atteindre le même niveau de conso RAM. C'est donc pas encore parfait, mais c'est largement jouable.

De son côté, comme on peut le voir dans la vidéo, Spider-Man 2 nous colle un magnifique bug de T-pose si vous n'avez pas une puce M5, parce que le jeu réclame des fonctions GPU absentes des puces précédentes. Et de leur côté, Monster Hunter Wilds bégaie, Street Fighter 6 plante une fois sur deux.

Spiderman en T-Pose

Bref, on est sur de la bêta, faut le savoir.

Mais quand ça marche, ça marche fort ! Rien que Tekken 8 qui tourne à 60 fps en ligne, c'est le plus fluide que ce jeu ait jamais eu sur un Mac. Star Wars Battlefront 2 dépasse aussi les 120 fps et Hellblade 2, Expedition 33 ou Resident Evil 9 tournent sans broncher.

Pour jouer correctement, prévoyez quand même un Mac avec de la RAM et de quoi installer la bêta de macOS 27.

En tout cas, voir un James Bond next-gen tourner sur un MacBook, moi ça me plait !

Source (les 20 benchmarks d'Andrew Tsai) et AppleInsider .

Decrazyo vient de sortir ANES , un mod hardware qui transforme votre vieille NES en lui collant un deuxième PPU, la puce graphique de la console.

Résultat, plus de couleurs à l'écran, plus de sprites, et même du parallax scrolling, ces décors qui défilent sur plusieurs plans comme sur les bornes d'arcade. Que des trucs que la petite Nintendo de 1985 n'a jamais su faire, la miskine.

Le hic, c'est qu'il vous faut deux NES pour ça. Une qu'on garde, et une qu'on démonte pour lui piquer son PPU (le fameux RP2C02) pour ensuite le greffer sur la première via une carte maison bardée de logique. Ensuite (et attention, ça devient technique), un démultiplexeur 74LS139 aiguille le processeur vers l'un ou l'autre PPU selon l'adresse mémoire, un latch 74LS373 verrouille les signaux, et 8 Ko de RAM statique dédiée alimentent le second PPU.

En gros, le CPU jongle entre deux cartes graphiques au lieu d'une. C'est tout ce que vous devez savoir.

Pour comprendre pourquoi c'est énorme comme news, faut bien se rappeler les limites de la bestiole. La NES affiche 25 couleurs à l'écran maximum, piochées dans une palette de 64. Et elle ne dessine que 8 sprites par ligne horizontale, d'où le clignotement légendaire des persos quand ça se bouscule (les vétérans de Mega Man voient de quoi je parle). Alors qu'avec deux PPU qui bossent en parallèle, vous doublez le budget graphique d'un coup.

Decrazyo est le premier à reconnaître que personne ne va se lancer là-dedans parce que c'est bien relou à faire. Faut déjà sacrifier deux consoles, sortir le fer à souder, dessouder des puces et se taper du wire-wrap sur une carte prototype. On est dans de la bidouille de l'extrême, celle qu'on fait pour la beauté du geste .

Sauf que, bonne nouvelle les amis, vous allez pouvoir goûter au résultat sans flinguer la moindre console puisque decrazyo a forké l'émulateur Mesen2 pour simuler le double PPU. C'est dispo en build "Dual PPU Mesen 2.1.1" sur Windows, Linux et macOS, Intel comme Apple Silicon. Vous chargez la démo, et vous voyez de vos yeux ce que donnerait une NES dopée.

Ça me rappelle vraiment pourquoi j'adore toujours la scène homebrew NES , 40 ans après. Ces gens sans amis, ni famille (je plaisante, humour, humour, pas taper !) qui continuent de tordre ce hardware dans tous les sens juste pour voir jusqu'où il peut aller, c'est fou ! Les schémas KiCad et le code sont sur le GitHub de Decrazyo , sous licence GPL, si vous voulez fouiller.

Contrairement à ce que dit Yann Barthès, on n'est pas tous égaux face à la canicule. Et l'autre truc face auquel on n'est pas tous égaux non plus, c'est le déverrouillage biométrique de son ordi. On les connaît les Linuxiens qui regardent avec jalousie leur collègue sous Windows qui déverrouille sa machine d'un simple coup d'œil à la webcam. Eux, ils sont obligés de taper leur mot de passe de 56 caractères et ça leur fout la rage, alors ils vont sur Reddit pour dire du mal de tous ceux qui n'ont pas de restes de frites collés dans la barbe.

Mais je vais apaiser cette haine en vous parlant aujourd'hui de BioPass , un projet open source signé thaitran24 et phucvinh57, deux devs réunis sous la bannière TickLabVN.

Ce qu'ils veulent faire, c'est amener enfin sous Linux l'équivalent de Windows Hello. BioPass vous connecte à votre session, à un sudo ou à tout service qui passe par PAM avec votre visage ET votre empreinte digitale.

Jusqu'ici la référence sur Linux c'était Howdy , qui fait du visage uniquement, en ligne de commande, et que les développeurs eux-mêmes décrivent comme un peu à l'abandon (sur openSUSE le paquet n'est carrément plus maintenu). C'était chiant à configurer en plus, alors que BioPass lui, propose une vraie interface graphique pour gérer tout ça.

Le module qui parle à PAM est écrit en C++17 et fait tourner trois modèles en local via ONNX Runtime : YOLO pour détecter le visage, EdgeFace pour le reconnaître, et MobileNetV3 pour l'anti-spoofing. Les devs ont d'ailleurs viré les grosses dépendances type PyTorch et OpenCV au profit d'ONNX, histoire de garder un truc léger.

Au moment où votre OS réclame une authentification, BioPass le voit et démarre un processus isolé nommé biopass-helper qui s'occupe de la capture de votre minois et de l'inférence derrière pour vous reconnaître.

Et puis surtout, le point qui compte vraiment quand on parle biométrie c'est que tout reste en local. Y'a vraiment aucune empreinte de votre doigt ou cartographie de nos tronches de cakes qui partent faire du tourisme chez AWS ou Azure.

BioPass gère bien la détection de fausse présence avec une caméra infrarouge (supportée depuis la version 1.1), et la dernière mouture exige même que toutes les méthodes anti-spoofing activées valident, mais sans caméra IR, en se reposant sur le seul modèle d'IA, un visage peut potentiellement se laisser amadouer par une photo bien placée.

Ça reste le talon d'Achille classique de la biométrie, et on a déjà vu pire ailleurs, genre Windows Hello dont le visage devenait copiable sur une clé USB , ou ce laptop Dell qu'on déverrouillait avec un oignon , donc prenez-le plutôt comme un outil de confort plutôt que pour quelque chose qui renforce la sécu de votre Linux.

Pour tester, il y a des paquets .deb et .rpm sur les releases GitHub, et un paquet AUR biopass-bin pour les gens sous Arch. Ah et il vous faudra un capteur d'empreintes pour la partie doigt. Une webcam classique suffit pour la reconnaissance faciale, mais sans caméra infrarouge l'anti-spoofing reste encore une fois, fragile donc gardez ça en tête.

Le projet est sous licence MIT, et la prochaine grosse étape annoncée c'est carrément l'authentification vocale.

Krystian Pierz, un développeur polonais qui se planque derrière le pseudo Kruszoneq, en a eu marre de se galérer à chaque fois pour faire des clés USB bootable pour Mac, alors il a sorti macUSB , une app Mac native (du vrai Swift, pas un machin Electron quoi) qui fait tout le sale boulot à votre place. C'est gratuit, le code est ouvert, et surtout c'est notarisé par Apple, donc pas besoin de bidouiller la sécurité de votre Mac avec Sentinel pour la lancer.

Et ça se fait en trois clics. Vous balancez votre image (un .dmg, un .app d'installation macOS, ou même un .iso), vous désignez votre clé USB, et macUSB se débrouille pour calculer le checksum, détecter la version et l'architecture, formater le support dans le bon système de fichiers et écrire le tout en vous affichant la vitesse en temps réel. Pas de Terminal, pas de commande à rallonge à recopier sans se tromper d'un espace, et surtout l'Utilitaire de disque qu'on déteste tous reste fermé.

Le vrai exploit de Kruszoneq c'est surtout qu'il a réussi à régler les cas de figure où createinstallmedia, l'outil officiel d'Apple, se crashait comme une merde. Je pense que si vous avez déjà essayé de vous faire une clé Monterey ou Big Sur depuis un Mac Silicon par exemple, pour réparer un autre Mac Intel, vous avez dû vous galérer avec des erreurs de validation et autres messages d'erreur pour cause d'architecture incompatible.

Bah macUSB contourne tout ça tout seul comme un grand, et répare même les certificats expirés des installeurs High Sierra et Mojave sans rien vous demander.

Pour situer le progrès, la méthode "propre" côté Apple ressemble à ça :

sudo /Applications/Install macOS Sequoia.app/Contents/Resources/createinstallmedia --volume /Volumes/MaCle

...et encore, à condition d'avoir déjà récupéré le bon installeur dans l'App Store. Je ne vous parle même pas de l'époque où il fallait extraire à la main le fichier InstallESD.dmg planqué dans le paquet de l'installeur (j'expliquais déjà ce bricolage en 2011 pour OSX Lion ). Alors que macUSB, lui, embarque un téléchargeur qui va chercher les installeurs directement sur les serveurs d'Apple. Vous n'avez plus rien à préparer en amont.

L'outil sait donc préparer des clés USB de macOS Tahoe (la version 26, celle de cette année) jusqu'à Tiger 10.4 sorti en 2005, PowerPC compris. Oui, vous pouvez ressusciter un iMac G5 depuis votre MacBook M4. Pour les collectionneurs de vieilles machines, les labos qui gardent des Macs d'époque, ou juste pour remettre d'aplomb un ordi que vous comptez revendre, c'est du bonbon ^^.

Et la v2.3, sortie hier, en remet une couche côté Windows puisqu'elle sait également préparer des clés Windows 10 et 11 en contournant le check TPM 2.0 (le compte Microsoft obligatoire avec la connexion Wi-Fi forcée pendant l'installation, argh !). Et elle écrit aussi les images Linux en .iso et en .img. Après si c'est juste faire une clé Windows depuis votre Mac que vous cherchez, WinDiskWriter fait déjà très bien le job, mais macUSB a l'avantage de tout regrouper au même endroit.

Côté prérequis, votre Mac doit donc tourner au minimum sous Sonoma 14.6 (Apple Silicon ou Intel), et il faudra lui accorder l'accès complet au disque dans les réglages système, rien d'anormal puisqu'il écrit directement sur vos volumes. Une fois ça réglé, vous récupérez le .dmg sur la page des releases GitHub , ou vous l'installez en une ligne avec Homebrew :

brew install --cask macusb

C'est super impressionnant pour un projet développé par une seule personne et qui plus est n'a que 6 mois d'existence. Bref, si vous avez un Mac à réinstaller, un vieux coucou à dépanner ou une machine à remettre d'aplomb avant de la revendre, foncez !

Pour la première fois, on connaît le titre exact d'un livre antique sans avoir ouvert le livre. Les chercheurs de la Vesuvius Challenge ont lu, écrit en plein milieu d'un papyrus carbonisé, la mention "Sur les vices, livre 1", un traité de philosophie grecque signé Philodème, un penseur épicurien actif au Ier siècle avant notre ère, dont le rouleau était resté soudé sur lui-même depuis l'éruption du Vésuve en l'an 79.

Ce rouleau, baptisé PHerc. 1667, vient d'être déchiffré d'un bout à l'autre. C'est le premier lu en entier.

Pour comprendre l'exploit, il faut imaginer l'état de ces documents : retrouvés en 1752 dans une luxueuse villa d'Herculanum, probablement celle du beau-père de Jules César, les quelque 1 800 rouleaux ont été changés en bâtons de charbon par la chaleur de l'éruption, au point que les dérouler à la main revient encore aujourd'hui à les réduire en miettes.

D'où l'idée, mise au point en vingt ans par Brent Seales, informaticien à l'université du Kentucky, de ne jamais y toucher. On glisse le rouleau dans un accélérateur de particules qui en réalise un scanner à rayons X d'une finesse extrême, on reconstitue en 3D chacune des couches enroulées à l'intérieur, puis on les déplie virtuellement à l'écran comme on aplatirait une viennoiserie feuilletée sans la déchirer.

Restait le pire. L'encre de l'époque est faite de carbone, exactement comme le papyrus brûlé qui la porte, donc elle est quasiment invisible sur les scans, et c'est là qu'intervient une IA entraînée à repérer les infimes différences de texture laissées par les lettres pour redessiner peu à peu un texte que l'œil humain ne voit pas.

Le résultat est franchement fort, avec 70 nouvelles colonnes de texte exhumées et, sur un autre rouleau, la mention "Philodème, Sur les dieux, livre 8" qui révèle aux historiens que cet ouvrage comptait plusieurs tomes, ce que personne ne soupçonnait jusqu'ici.

Et pour les spécialistes de l'Antiquité, ça compte vraiment, parce que la bibliothèque carbonisée d'Herculanum est la seule de tout le monde gréco-romain à nous être parvenue à peu près complète, et non en fragments recopiés au Moyen Âge par des moines.

Honnêtement, lire 2 000 caractères tracés par un Romain juste avant que tout brûle, ça vaut largement tous les chatbots qui écrivent des e-mails à votre place.

Source : The Register , Scrollprize

Matt Sephton, alias gingerbeardman, a passé une nuit d'avril à arracher un parcours de golf des entrailles d'un vieux jeu, et il en est ressorti avec une idée bien plus tordue. Vous connaissez New 3D Golf Simulation, la série de T&E Soft qui tournait sur PC-9801 dès 1989 ?

La Mega Drive en avait déjà eu quatre épisodes japonais à l'époque. Sauf que Matt a trouvé le moyen d'y faire entrer des parcours qui n'y avaient jamais mis les pieds puisqu'il a reverse-engineeré le format des données de terrain du jeu. Une fois ce format compris, vous ne lisez donc plus une cartouche, vous lisez une carte. Il a ensuite balancé tout ça dans un visualiseur Three.js dans son navigateur, et en une semaine son petit bricolage ressemblait déjà à un vrai jeu de golf 3D jouable.

À partir de là, il a pu extraire trois parcours nés ailleurs et les patcher direct dans la ROM Mega Drive. T&E Selection et Eight Lakes étaient planqués sur des disquettes additionnelles du PC-9801, et Papillon C.C. dormait carrément dans T&E Virtual Golf sorti sur le Virtual Boy de Nintendo. Des parcours Virtual Boy qui tournent sur Mega Drive, c'est pas quelque chose que j'aurais pensé voir un jour, j'avoue.

Et surtout, côté technique, c'est une jolie leçon de débrouille ambiance années 80 car la Mega Drive n'a pas de depth buffer pour gérer quel polygone passe devant quel autre. Du coup l'ordre de dessin est gravé à l'avance dans les données du parcours, du fond vers l'avant (le bon vieil algorithme des peintres ^^).

Sur un disque audio classique, il restait depuis toujours quelques canaux de données inutilisés, glissés juste à côté des informations qui affichent le numéro de piste ou le temps écoulé, et c'est précisément dans ces recoins que Philips et Sony avaient logé en 1985 le CD+G, une extension capable d'afficher des images en 288 sur 192 pixels avec une maigre palette de 16 couleurs.

Vous l'avez forcément croisé sans le savoir, puisque ce format a surtout servi à faire défiler les paroles synchronisées sur les machines de karaoké pendant des décennies, avant de tomber dans l'oubli, à mesure que le CD physique déclinait.

Pour situer l'objet, le tout premier disque commercial à exploiter le CD+G remonte à 1985, avec l'album Eat or Be Eaten de la troupe américaine Firesign Theatre, et depuis, la feature n'a jamais vraiment dépassé le stade du gadget réservé aux bornes de karaoké et quelques rares appareils.

Sauf que voilà, deux artistes, Aizysse Baga et Adelaide, ont décidé de le déterrer pour de bon en pressant un mini-CD baptisé Divacore qui embarque de vraies illustrations à côté de la musique.

Et elles ne se sont pas contentées du strict minimum. Pour caser des visuels à peu près corrects dans seulement 16 couleurs, elles ont misé sur le tramage, cette vieille astuce qui mélange des points de teintes différentes pour donner l'illusion de couleurs qui n'existent pas vraiment dans la palette proposée.

Il faut dire que la marge de manœuvre était franchement limitée, avec à peine 28,8 kilobits par seconde réservés aux graphismes, de quoi peindre l'écran par petites tuiles de 6 sur 12 pixels et pas grand-chose d'autre.

Afska, le développeur derrière une flopée d'outils pour Game Boy Advance, a eu avec son studio [r]labs une idée géniale ! Ça s'appelle EmuDevz, et c'est un jeu vidéo dans lequel vous devez coder votre propre émulateur NES. Et pas en cliquant sur des boutons comme un loser, hein mais en pissant du vrai code pour le processeur, la puce graphique et la puce audio de la console de Nintendo.

En 1981, Casio sortait le VL-1, un drôle d'objet vendu autour de 70 dollars, à mi-chemin entre la calculatrice de poche et le synthétiseur monophonique, avec un séquenceur de cent notes planqué dedans et un afficheur à huit caractères. Un jouet, en apparence. Sauf qu'il s'en est vendu près d'un million entre 1979 et 1984, ce qui pour un machin pareil reste assez dingue.

Vous l'avez déjà entendu, c'est sûr. C'est lui qui balance la rythmique du tube "Da Da Da" du groupe allemand Trio, en 1982, sur le preset Rock-1 et une voix piano d'un kitsch parfaitement assumé. De quoi lui offrir un statut culte malgré sa réputation de gadget pour enfants.

Le bidouilleur Starlarkus vient de sortir son nouveau projet, le GB-Link USB V2 qui n'est ni plus ni moins qu'un petit adaptateur permettant de brancher une VRAIE Game Boy sur le net.

Le truc se fait passer pour un câble link tout ce qu'il y a de plus normal, et la console n'y voit que du feu. D'un côté y'a le port link de la Game Boy, de l'autre un port USB-C que vous branchez sur un ordi ou un smartphone Android. Et là, tout passe ensuite par le navigateur en WebUSB. Vous ouvrez une page web et vous pouvez retrouver un autre joueur et enfin échanger des Pokemon comme en 1999 ou vous mettre sur la gueule avec un Tetris, tout ça à distance.

Un dev prénommé Yllan vient de sortir OS9Map , une application qui affiche OpenStreetMap directement sur Mac OS 9. Oui, je parle bien du système d'exploitation de 1999 qui ronronnait sur nos vieux PowerPC.

Pour l'installer, c'est un bon vieux fichier .sit à décompresser (StuffIt Expander sur la machine d'époque, The Unarchiver si vous passez par un Mac moderne), et il vous faudra un PowerPC sous OS 9 avec 16 Mo de RAM (32 recommandés) et une connexion qui passe par Open Transport. Une fois lancé, vous avez alors une recherche d'adresses qui tape dans Nominatim, le moteur de géocodage d'OpenStreetMap, et vous pouvez mettre vos endroits favoris en signets pour y revenir d'un clic depuis le menu. Bref, un vrai petit client carto !

Et c'est là que je trouve ça beau puisque 16 Mo de RAM pour afficher une carte mondiale interactive, c'est très peu. Pour vous situer, un seul onglet Chrome aujourd'hui c'est plusieurs centaines de Mo, donc faut saluer l'exploit d'Yllan.

Maintenant si l'idée d'une carte minimaliste vous parle, dans le genre bien dépouillé j'avais aussi joué avec MapSCII qui balance le monde entier en ASCII dans un terminal. OS9Map joue dans une autre cour, mais on retrouve un peu la même philosophie.

Le truc qui rend tout ça possible, c'est évidemment OpenStreetMap qui propose toutes ses données en accès libre ! Alors rien que pour ça, merci à OpenStreetMap et ses contributeurs.

Et puis si vous n'avez plus de PowerPC qui traîne au grenier, vous pouvez quand même goûter à OS 9 dans votre navigateur via Infinite Mac .

OS9Map est en version 1.0.0 et se télécharge gratuitement sur le site de yllan .

Vous vous souvenez de la première fois que vous avez lancé Half-Life 2 et que vous avez attrapé une caisse avec le gravity gun ? Eh bien un lycéen qui se fait appeler slqnt vient de remettre tout ça dans votre navigateur, gratuitement, sans avoir à installer Steam ni à télécharger le moindre gros paquet. Ça se passe sur hl2.slqnt.dev , c'est en ligne depuis hier, et le jeu tourne tout en fluidité, largement au-dessus des 60 images par seconde directement sous Chrome.

Sur mobile par contre, il vous faudra un clavier branché parce que les contrôles tactiles sont quasi inexistants pour l'instant, mais sur un PC, vous lancez la page et vous voilà à Black Mesa East.

Maintenant, le plus intéressant c'est comment il s'y est pris, parce que porter un jeu bâti sur le moteur Source de Valve (le même que celui de 2004, successeur de GoldSrc) dans un onglet, ça ne se fait pas en claquant des doigts.

Et slqnt n'est pas parti de zéro puisque c'est un copain qui lui a montré un portage de Portal fait par un autre dev nommé weliveinhell. Ce projet open source était d'ailleurs lui-même un fork de nillerusr/source-engine , c'est-à-dire une version modifiée de la fuite du code du moteur Source de Team Fortress 2 qui a circulé en 2020. Voilà pour la base du truc qui n'est ni plus ni moins que le moteur leaké patiemment retapé par la communauté.

L'astuce de ce portage tient dans un mode de rendu appelé ToGLES. En gros le moteur sait parler OpenGLES, le truc qu'on utilise d'habitude pour les applis Android, sauf qu'Emscripten sait traduire ces appels en WebGL2 dans le navigateur. Résultat, slqnt n'a eu quasiment aucun travail à faire côté affichage, le plus dur étant déjà fait.

Le casse-tête par contre, ça a été d'abord les assets, parce que cette version du moteur date d'avant la réédition anniversaire de HL2 et ne supportait pas ses fichiers. Il a donc fallu basculer sur la branche steam_legacy de Steam, puis dépaqueter tous les VPK du jeu et les redécouper en fichiers .data, un par carte, pour que le navigateur les charge au fur et à mesure.

Et puis il y a eu les animations faciales. C'était l'une des grandes fiertés techniques de HL2 à sa sortie, la façon dont les visages bougeaient en parlant. Sauf que ça faisait tellement planter le portage que slqnt a fini par désactiver complètement le système pour avoir quelque chose de stable.

Du coup le G-Man vous fait son monologue d'intro avec un visage figé, mais au moins ça tourne. Le reste de son journal de bord est également une jolie liste de galères de bidouilleur, vu de l'intérieur avec au hasard, les sauvegardes à recâbler sur le système de fichiers d'Emscripten, les batteries et medkits qui ne fonctionnaient pas, le gravity gun qu'Alyx vous tend mais qui n'arrivait jamais dans l'inventaire, les PNJ qui s'effondraient et mouraient au hasard, les headcrabs qui ne faisaient aucun dégât, l'eau toute noire et j'en passe...

Petit détail qui parle à quiconque a déjà bidouillé un jeu, il a dû remapper l'accroupissement sur la touche C, parce que CTRL déclenchait des raccourcis du navigateur qui pourrissent la partie.

Reste maintenant la question que tout le monde se pose : Est-ce que Valve est au courant ? Parce qu'un portage qui repose sur du code moteur leaké et sur les assets du jeu, légalement, c'est une zone grise bien grise qui tire vers le noir.

Valve a toujours été plutôt cool avec sa communauté de moddeurs, mais ça pourrait disparaître du jour au lendemain. Après si l'idée d'un jeu Source qui tourne dans un onglet vous fait marrer, c'est exactement le même esprit que ce Portal 2 transformé en serveur web , ou que ce Doom qui tourne avec juste du CSS . Mettre les vieux FPS dans le navigateur, c'est presque devenu un sport, je vous en parlais déjà avec Wolfenstein 3D .

Bref, foncez essayer tant que c'est en ligne. Et si vous y arrivez sur mobile sans clavier, écrivez vite un bouquin pour raconter comment vous avez fait !

Source

Mise à jour du 26 juin 2026 : Mathias Rochus, le fondateur d'AdBlock Ltd qui édite l'extension, m'a contacté pour réagir. Il souligne que cette capacité n'a jamais servi (le rapport Island le confirme) et que le scriptlet en cause, trusted-create-element, n'est pas maison : il vient de la bibliothèque open-source de scriptlets d'AdGuard que beaucoup de bloqueurs embarquent. Surtout, il annonce corriger les deux problèmes dès aujourd'hui : suppression pure et simple du scriptlet inutilisé pour qu'aucune config serveur ne puisse l'appeler, et vérification du vrai domaine youtube.com au lieu d'une chaîne posée n'importe où dans l'URL. La nouvelle version doit encore passer la revue de Google.

Une précision quand même, parce que c'est le cœur du sujet : selon le rapport Island, quand le serveur renvoie certains paramètres, l'élément créé est une balise <script> dont le contenu est fourni directement par le serveur. Autrement dit, le verrou qu'on retire servait bien à faire tourner du code venu d'ailleurs. Le correctif, lui, est une bonne nouvelle pour les 10 millions d'utilisateurs. Je reviendrai vérifier une fois la mise à jour en ligne.

Si vous avez installé une extension qui s'appelle "Adblock for YouTube" pour virer les pubs de vos vidéos, prenez deux minutes pour lire mon article.

Les chercheurs Oleg Zaytsev et Shachar Gritzman, de la boîte de sécurité Island, viennent de passer au peigne fin une de ces extensions installée par plus de 10 millions de personnes, et ce qu'ils ont trouvé dedans n'est pas très joli joli. Le truc affiche fièrement un badge "Featured" sur le Chrome Web Store, fait bien le boulot promis (il bloque les pubs), mais il embarque aussi de quoi exécuter n'importe quel bout de JavaScript sur n'importe quel site que vous visitez.

Et ça, ça craint !

Mais avant que vous fermiez l'onglet en panique, sachez tout d'abord qu'il existe plusieurs extensions qui portent ce nom. Celle qui pose problème a un identifiant précis, cmedhionkhpnakcndndgjdbohmhepckk. Donc pour vérifier, tapez chrome://extensions dans votre barre d'adresse, activez le "Mode développeur" en haut à droite, et regardez l'ID affiché sous chaque extension. Si vous tombez sur celui-là, virez-la sans réfléchir. Si c'est un autre identifiant, ce n'est pas l'extension visée par cette analyse, ce qui ne veut pas dire pour autant que tous les bloqueurs du store sont blancs comme neige, hein...

Ce qui inquiète Island, ce n'est pas une ligne de code qui vole vos données là, maintenant mais plutôt une capacité en sommeil. L'extension contient ce que les chercheurs appellent les ingrédients architecturaux pour faire tourner du code arbitraire, et la mèche peut être allumée par un simple changement côté serveur sans que cela se voit.

En clair, du jour au lendemain, le bidule pourrait se mettre à lire vos pages, aspirer vos données et à agir à votre place dans vos comptes perso, vos applis de boulot ou vos panneaux d'admin. Au moment de l'analyse, le mécanisme dormait. Il n'était pas absent.

Et le détail qui fait sourire jaune, c'est quand même ce garde-fou censé limiter l'extension à YouTube. En théorie elle ne s'active que sur le site de Google mais en pratique, elle tourne sur absolument tous les sites, avec une vérification qui regarde juste si la chaîne "youtube.com" apparaît quelque part dans l'URL.

Oui n'importe où, du coup une adresse comme bank.example.com/search?q=youtube.com passe le test sans problème donc autant vous dire que le verrou ne verrouille pas grand chose...

Cette extension traîne sur le store depuis 2014. Au départ c'était donc un bête bloqueur de pub YouTube, jusqu'à un changement de propriétaire en 2018. Les premières versions embarquaient carrément un SDK d'injection de pub baptisé Unistream, finalement retiré en juin 2024, et les chemins d'injection de script pilotables à distance sont présents depuis février 2025. 3 autres extensions de blocage de pub liées au même écosystème ont déjà été dégagées du Chrome Web Store pour cause de malware.

Toutefois, pour le moment, il n'y a aucune preuve qu'un payload malveillant ait réellement été poussé aux utilisateurs, mais c'est la combinaison de plusieurs de ces facteurs qui pue : une extension à 10 millions d'installs, un accès à tous les sites, un canal d'injection téléguidé, un passé d'injection de pub et des cousines déjà bannies. Gloups !

Donc je vous conseille vivement de faire le tour de vos extensions. CRXplorer vous aidera à débusquer celles qui sont louches, et si vous cherchez à bloquer les pubs proprement, j'avais fait le point sur les bonnes méthodes pour ça . Petit rappel au passage, sur Chrome le uBlock Origin complet a été débranché par le passage à Manifest V3, et il ne reste que sa version Lite, forcément moins fortiche.

Donc si vous voulez le vrai, c'est sur Firefox que ça se passe maintenant.

Bref, méfiez-vous des bloqueurs de pub qui réclament la lune et au moindre doute sur l'ID, désinstallez cette merde !

Source