Notes et croquis
Des idées de backend expliquées comme je les explique au tableau blanc : quelques cases, des flèches, et aucun terme technique laissé sans schéma.
Instructions IA cachées dans les pages : le cas de l'aide WhatsApp
Redact a trouvé sur les pages d'aide de WhatsApp du texte que personne ne voyait mais que les machines recevaient. Ce que dit le rapport, ce que WhatsApp a dit à WIRED, et comment vérifier vos propres pages.
Lire l'articleHTML-in-Canvas : Chrome dessine du vrai DOM dans canvas et WebGL
L'origin trial HTML-in-Canvas de Chrome permet de dessiner du DOM dans un canvas 2D ou une texture WebGL/WebGPU, tout en restant cliquable, sélectionnable et lisible par les lecteurs d'écran. Le fonctionnement en trois étapes et ses deux limites.
Lire l'articleInterop 2027 : les nouveautés CSS à utiliser dès aujourd'hui
Interop 2027 se prépare en ce moment, et le CSS de la liste tourne déjà dans Chrome et Edge. Cinq des choix de Josh W. Comeau, leur support en octobre 2026, et ceux qu'on peut livrer dès aujourd'hui en amélioration progressive.
Lire l'articleRéplicas Laravel : l'ancienne valeur revient après l'enregistrement
Un utilisateur enregistre une modification, est redirigé, et voit l'ancienne valeur, parce que la lecture est partie vers un réplica pas encore à jour. Pourquoi sticky ne suffit pas, et ce que Laravel 13.38 apporte.
Lire l'articleLet's Encrypt ajoute deux perspectives de validation : qui le verra
Dès novembre 2026, Let's Encrypt vérifie votre domaine depuis sept points au lieu de cinq avant d'émettre un certificat. Pour la plupart des sites, rien ne change. Si vous filtrez l'accès au chemin du challenge par pays ou par IP, lisez ceci d'abord.
Lire l'articlePourquoi le score de confiance d'un LLM n'est pas une mesure
Demandez à un LLM à quel point il est sûr et il écrira un nombre comme 0,85. Ce nombre est du texte, pas une mesure. Ce qu'est la calibration, comment la vérifier, et comment construire un score fiable.
Lire l'articleLes prix des LLM ont chuté en 2026, et la lecture de cache compte le plus
OpenAI et Anthropic ont baissé leurs prix à répétition entre juin et octobre 2026. La chronologie de Max Woolf, et son constat : en code agentique, le prix des lectures de cache fait l'essentiel de la facture.
Lire l'articleLLM et vérification formelle : ce que « prouvé » veut dire ici
Anthropic et Theorem ont utilisé Claude pour prouver que des fuzz tests de 123 bibliothèques open source ne plantent jamais sur des entrées de moins de 64 Mo. Ce qu'est la vérification formelle, ce que couvrent les preuves, ce qu'elles ne couvrent pas, et ce qu'une équipe ordinaire peut en retenir.
Lire l'articletsrs : un portage de TypeScript en Rust, et ce que ça change pour vous
Cloudflare et VoidZero ont annoncé tsrs, un portage du compilateur TypeScript en Rust qui suit l'équipe TypeScript au lieu de la forker. Ce que disent les benchmarks, pourquoi Rust plutôt que Go, et si un projet normal doit agir dès maintenant.
Lire l'articleL'horodatage des UUIDv7 n'est pas ce que vous croyez
UUIDv7 promet des identifiants uniques, triés dans le temps et porteurs de leur date de création. Seule la première promesse est garantie. Ce que la RFC autorise, ce que fait une horloge qui recule, et ce qu'une app Laravel avec HasUuids doit encore stocker.
Lire l'articleDeux RCE critiques dans PHP : qui est exposé et dans quel ordre patcher
PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35 corrigent deux failles qui peuvent permettre une exécution de code à distance sans authentification. Les configurations les plus exposées, comment retrouver chaque version de PHP en service, et pourquoi les mesures d'atténuation ne sont pas un correctif.
Lire l'articleUn tiers des sites PHP tournent sans correctifs, et 8.2 est le suivant
W3Techs compte 34,7 % des sites PHP sur PHP 7 ou plus ancien, tous en fin de vie, et PHP 8.2 perd son support de sécurité le 31 décembre 2026. Ce que veut dire un support limité à la sécurité, un calendrier de migration daté, et trois questions à poser à votre hébergeur.
Lire l'articleSécurité Node.js, octobre 2026 : quoi mettre à jour et pourquoi
Node.js 26.12.1, 24.22.1 et 22.23.4 corrigent dix vulnérabilités, dont quatre jugées élevées : un bug mémoire dans le décodeur Brotli, deux vérifications de nom d'hôte TLS et un bug sur les noms DNS. Quel code les atteint, et comment vérifier le Node qui tourne vraiment.
Lire l'articleNode.js : randomUUID() répété dans les snapshots, permissions contournées
Deux petits correctifs de la version Node.js d'octobre 2026 corrigent des suppositions plutôt que des plantages : des valeurs aléatoires identiques entre processus lancés depuis un même snapshot, et un modèle de permissions contournable. Qui est concerné, et qui ne l'est pas.
Lire l'articleUne CA a perdu la confiance du web. Votre app Node le sait-elle ?
Huit CA intermédiaires d'eMudhra ont été révoquées en octobre 2026 et les navigateurs les ont bloquées en quelques jours. Une app côté serveur fait confiance à la liste avec laquelle elle a été construite : la correction, c'est à vous de la déployer.
Lire l'articleNext.js hors calendrier : la RCE des images SVG et trois vérifications
Une RCE critique sans authentification dans l'API Image Optimization de Next.js, atteignable via des fichiers SVG sur Linux à base de glibc. Corrigée en 15.5.28 et 16.4.1. Trois vérifications disent où vous en êtes : next, sharp et l'utilisateur du conteneur.
Lire l'articleLa provenance npm n'est pas un gage de sûreté : le ver tensorlake
Un tracker signale une version npm construite depuis le vrai dépôt, avec une provenance valide, qui lançait un ver voleur d'identifiants à l'installation. Ce que prouve la provenance, ce qu'elle ne prouve pas, et où couper le chemin vers vos secrets.
Lire l'articleUn paquet, toutes vos clés : la compromission d'une release de LiteLLM
Un tracker signale une release malveillante de LiteLLM sur PyPI et Docker, qui volait des identifiants à chaque démarrage de Python. Pourquoi une passerelle IA est une cible idéale, et comment contenir une bibliothèque qui détient toutes vos clés de fournisseurs.
Lire l'articleVotre hébergeur a été piraté : renouvelez vos variables dans le bon ordre
Railway indique qu'un tiers non autorisé a pu lire des variables d'environnement déchiffrées et demande à tous ses utilisateurs de les renouveler. Voici l'inventaire à tenir et l'ordre créer, déployer, révoquer qui ramène la rotation à une heure de travail.
Lire l'articleUne semaine, quatre écosystèmes : PHP, Node et Python, octobre 2026
Des versions critiques de PHP et de Node.js le même jour, une autorité de certification aux clés faibles, le coffre à secrets d'un hébergeur et deux paquets piégés. Ce que les incidents du 14 au 22 octobre ont en commun, et la courte checklist qui répond à l'essentiel.
Lire l'articleContournement du TokenGuard de Laravel : êtes-vous exposé, que lancer ?
Une faille critique dans le guard à jeton de Laravel permettait à un identifiant qui n'est pas une chaîne de correspondre au mauvais utilisateur sur MySQL et MariaDB. Comment savoir en ouvrant un seul fichier si votre application utilise ce guard, et les deux commandes à lancer.
Lire l'articleLe tag relu n'est pas le code exécuté : lockfiles GitHub Actions
Un workflow qui contient uses: some/action@v4 peut exécuter un autre code le mois prochain sans le moindre changement dans votre dépôt. Les nouveaux lockfiles de workflow de GitHub figent les commits exacts, y compris les transitifs.
Lire l'articleMalware à l'installation : ce que vérifie le pare-feu de GitHub
Certains paquets malveillants volent des identifiants pendant leur installation, avant même que votre code les importe. GitHub propose désormais un pare-feu devant npm pour Enterprise Cloud. Ce qu'il vérifie, ce qu'il ne couvre pas, et ce que vous pouvez faire sur n'importe quel plan.
Lire l'articlePR empilées sur GitHub : des revues plus petites, une seule fusion
Une pull request de 1 500 lignes se fait survoler puis approuver. Le 6 octobre 2026, GitHub a rendu les pull requests empilées disponibles pour tous : une chaîne de petites PR, chacune relue seule, qui fusionnent ensemble. Ce qui change, et quand une pile est le mauvais outil.
Lire l'articleVotre agent de code peut lire vos clés SSH. Voici comment le cloisonner
Un agent de code exécute les commandes sous votre compte : ce que vous pouvez lire, il peut le lire. Ce que restreint le bac à sable local de GitHub pour Copilot, et les couches de défense à reprendre pour n'importe quel agent.
Lire l'articleVous avez poussé une clé d'API : les dix premières minutes, dans l'ordre
Supprimer le commit ne rend pas la clé secrète à nouveau. Révoquez-la d'abord chez le fournisseur, vérifiez son usage, passez-la dans .env et config(), et seulement ensuite pensez à réécrire l'historique.
Lire l'articleServeurs MCP en PHP : ce que donne le SDK officiel, et quand s'en passer
Le Model Context Protocol a désormais un SDK PHP officiel. Ce qu'il apporte à un développeur PHP ou Laravel, quand un serveur MCP vaut la peine d'être écrit, et pourquoi chaque argument d'outil est une entrée non fiable.
Lire l'articlellms.txt et citations par l'IA : ce que l'on sait, et ce qu'on ignore
Un mainteneur de paquet dit que llms.txt ne l'a presque pas aidé. Un éditeur dit qu'un site rempli de chiffres inventés a continué d'être récupéré par ChatGPT après que Google l'a lâché. Ce que cela signifie, et ce que ce site sait vraiment de son propre llms.txt.
Lire l'articlePHP 8.5 dans Laravel : ce qui mérite sa place, ce qu'il faut vérifier
PHP 8.5 apporte l'opérateur pipe, clone with, array_first() et un vrai parseur d'URL. Une partie change la lecture du code d'une app Laravel, une autre est déjà couverte par Laravel. Plus les dépréciations à chercher avant de migrer.
Lire l'articlePourquoi votre API semble lente : l'idée en deux croquis
Votre endpoint est rapide. L'e-mail qu'il envoie ne l'est pas. Une file d'attente résout ça, et deux croquis expliquent l'idée.
Lire l'articleIndex de bases de données, expliqués avec un annuaire
Une requête, deux façons de l'exécuter : vérifier un million de lignes une par une, ou descendre un arbre en trois sauts. Deux croquis montrent la différence.
Lire l'articleAnatomie d'une réservation de taxi en temps réel
Signaux GPS, WebSockets, et un appel vocal qui ne touche jamais votre serveur. Un croquis de tout ce qui se passe entre "réserver" et "bonjour".
Lire l'article