Microsoft l’a rappelé dans son centre de messages le 14 octobre 2026 : Windows Server 2016 atteint la fin de ses mises à jour le 12 janvier 2027. La mise à jour de sécurité de janvier 2027 est la dernière prévue pour toutes les éditions (Datacenter, Standard, Essentials, MultiPoint Premium). Au-delà, seules les entreprises qui souscrivent aux mises à jour de sécurité étendues (ESU) continuent de recevoir des correctifs. Dans beaucoup de PME, un serveur 2016 fait encore tourner l’annuaire, le partage de fichiers ou un logiciel de gestion : c’est le moment de décider.

Les dates à retenir

Windows Server 2016 était sorti le 15 octobre 2016 : à l’échéance, il aura eu un peu plus de dix ans de support, ce qui correspond à la politique de cycle de vie fixe de Microsoft.

Le cas particulier de Windows Server 2016 Essentials

Beaucoup de petites structures ont adopté l’édition Essentials pour son prix et ses fonctions clés en main. Microsoft précise que le support des fonctions propres à Essentials, dont l’accès Web à distance (Remote Web Access), prend fin le même jour. Toute fonction Essentials qui continuerait de marcher après le 12 janvier 2027 doit être considérée comme non prise en charge.

Autre point clé : les ESU ne couvrent que les éditions Standard et Datacenter. Une PME sous Essentials n’a donc pas de filet de sécurité payant : il faut migrer.

Option 1 : migrer vers Windows Server 2025

C’est la recommandation de Microsoft. Windows Server 2025 est la version actuelle du canal de maintenance à long terme (LTSC). Microsoft propose une version d’évaluation gratuite de 180 jours, pratique pour monter un serveur de test et valider vos applications avant l’achat des licences.

Deux voies sont possibles :

• la mise à niveau sur place, lorsque le chemin de mise à niveau est pris en charge (Microsoft publie la liste des chemins validés par version) ;
• la migration vers un nouveau serveur, souvent plus propre : on installe Windows Server 2025, on déplace les rôles (contrôleur de domaine, fichiers, impression) et les applications, puis on retire l’ancien.

Profitez-en pour faire le tri : un vieux serveur de fichiers peut parfois être remplacé par un stockage en ligne, et un logiciel métier installé « sur le serveur » existe peut-être désormais en version hébergée.

Option 2 : acheter du temps avec les ESU

Les mises à jour de sécurité étendues de Windows Server 2016 fournissent les correctifs de sécurité critiques et importants pendant trois ans au maximum, jusqu’en 2030. Elles n’apportent aucune nouvelle fonction, ni correctif non lié à la sécurité.

La voie mise en avant par Microsoft passe par Azure Arc : on installe sur le serveur l’agent Azure Connected Machine (version 1.62 ou supérieure pour 2016), on le rattache à Azure, puis on active les ESU depuis le portail. Les avantages annoncés :

• paiement mensuel à l’usage, avec possibilité d’arrêter dès que la migration est faite ;
• pas de clé à acheter ni à activer ;
• inventaire de la couverture ESU dans le portail Azure ;
• accès gratuit, pour les serveurs inscrits, à Azure Update Manager, au suivi des modifications et à la configuration invitée d’Azure Policy.

Conditions de licence : il faut une Software Assurance souscrite via un programme de licences en volume (contrat Entreprise, Open Value…), sauf si les serveurs sont licenciés en SPLA ou via un abonnement serveur. Microsoft ne publie pas de tarif dans sa documentation Azure Arc : demandez un chiffrage à votre revendeur avant de budgéter.

Pour les postes de travail virtualisés (VDI), Microsoft déconseille Azure Arc et renvoie vers des clés d’activation multiple (MAK).

Et Windows Server 2022 ?

Pas d’urgence, mais une étape : depuis le 13 octobre 2026, Windows Server 2022 est en support étendu. Il continue de recevoir gratuitement les mises à jour de sécurité mensuelles jusqu’au 14 octobre 2031, mais plus d’amélioration fonctionnelle. Si vous migrez un serveur 2016, visez donc directement Windows Server 2025 plutôt que 2022.

Plan d’action pour une PME

1. Listez vos serveurs et leur version exacte (winver ou systeminfo), y compris les machines virtuelles oubliées.
2. Identifiez les éditions Essentials : elles doivent être migrées, sans alternative ESU.
3. Pour chaque serveur 2016, classez : à migrer, à remplacer par un service en ligne, ou à couvrir par ESU le temps de la migration.
4. Demandez un devis ESU si un serveur ne peut pas être migré à temps (application métier non compatible, budget à étaler).
5. Montez un serveur 2025 d’évaluation pour tester vos applications.
6. Vérifiez vos sauvegardes avant toute migration, et testez une restauration.

Un serveur sans correctif reste joignable depuis votre réseau, et souvent depuis Internet pour l’accès à distance. Si vous exposez un service web sur ce serveur, notre outil frontdoor permet de contrôler la configuration TLS et les en-têtes de sécurité de l’URL publique avant et après migration.

Sources

• Microsoft, « Windows message center » (entrées « 90-Day Reminder: Windows Server 2016 will reach end of updates on January 12, 2027 » et « Windows Server 2022 has reached end of mainstream support », 14 octobre 2026) : https://learn.microsoft.com/en-us/windows/release-health/windows-message-center
• Microsoft Learn, « Windows Server 2016 – Microsoft Lifecycle » : https://learn.microsoft.com/en-us/lifecycle/products/windows-server-2016
• Microsoft Learn, « Prepare to deliver Extended Security Updates for Windows Server through Azure Arc », mis à jour en octobre 2026 : https://learn.microsoft.com/en-us/azure/azure-arc/servers/prepare-extended-security-updates

Lire l’article sur Informaclique

Le 11 octobre 2026, l’équipe d’ESX a publié ESX 1.16.0, une version majeure du framework. Au programme : un inventaire NUI à emplacements avec glisser-déposer, une nouvelle ressource esx_whitelist reliée aux rôles Discord, et une série de correctifs de sécurité contre la duplication d’objets et les soldes négatifs. Deux versions correctives ont suivi : la 1.16.1 le 16 octobre, qui désactive la whitelist par défaut, et la 1.16.2 le 17 octobre. Voici ce qui change et comment mettre à jour sans casse.

Un inventaire NUI intégré au framework

Beaucoup de serveurs ESX s’appuient sur un inventaire tiers. La 1.16.0 propose un inventaire NUI natif :

• emplacements (slots) et glisser-déposer ;
• une API de stockage pour coffres et conteneurs ;
• validation du drapeau canRemove et indexation des personnes qui consultent un stockage ;
• objets au sol diffusés par zone et limitation du débit des événements d’inventaire.

Ces deux derniers points comptent pour la stabilité : diffuser les objets au sol uniquement aux joueurs proches réduit le trafic réseau, et limiter le débit des événements complique la vie des tricheurs qui inondent le serveur de requêtes.

Si vous utilisez déjà un autre inventaire, rien ne vous oblige à basculer. Mais vérifiez qu’il n’entre pas en conflit avec le nouveau, notamment sur les touches et les exports.

esx_whitelist : une allowlist reliée à Discord

Nouvelle ressource sous licence GPLv3, esx_whitelist gère l’accès au serveur :

• vérification des rôles Discord et accès par identifiant ;
• accès d’urgence et mode réservé aux administrateurs ;
• panneau de gestion en jeu et commandes de gestion des identifiants ;
• stockage en base de données, avec création automatique de la table ;
• jetons Discord et secrets de webhook gardés côté serveur.

Point essentiel : dans la 1.16.1, publiée le 16 octobre 2026, la whitelist est désactivée par défaut. Si vous voulez l’utiliser, activez-la explicitement. Si vous gérez déjà l’accès avec txAdmin ou un bot, laissez-la désactivée pour éviter deux systèmes concurrents.

Les correctifs de sécurité à ne pas manquer

La 1.16.0 corrige plusieurs failles exploitables en jeu :

À elle seule, cette liste justifie la mise à jour pour un serveur en production, même si vous n’utilisez ni l’inventaire ni la whitelist.

Les autres nouveautés

• Lanceurs de fumigènes et d’EMP avec traductions, et correction des hachages de munitions associés.
• Rotation de caméra à la souris dans l’éditeur d’apparence.
• Interface de pma-voice désactivée par défaut.
• Passage de fx_version à cerulean dans les manifestes.
• Avec la 1.16.2 du 17 octobre : contrôle synchronisé de la densité de piétons, véhicules et circulation ; propriétés des véhicules plus complètes (peintures, jantes, toits décapotables, portes, livrées), pneus de drift, crevaisons et roues arrachées ; meilleure récupération de la position du joueur ; correctifs du multipersonnage et une erreur de syntaxe qui empêchait le chargement du module de propriétés des véhicules.

Mettre à jour sans casse

1. Sauvegardez la base de données et le dossier des ressources. La nouvelle whitelist crée ses propres tables.
2. Visez directement la 1.16.2 : elle corrige des problèmes de la 1.16.0, dont un module qui ne se chargeait pas.
3. Testez sur un serveur de développement, avec vos ressources tierces : la 1.15.0 avait déjà refondu le cœur du framework, et les scripts anciens sont les plus fragiles.
4. Contrôlez la voix : si vos joueurs comptaient sur l’interface de pma-voice, réactivez-la ou fournissez un indicateur dans votre HUD.
5. Décidez pour la whitelist : désactivée par défaut depuis la 1.16.1, à activer seulement si elle remplace votre système actuel.
6. Vérifiez l’ordre des ensure dans le server.cfg : esx_lib fait partie des ressources par défaut depuis la 1.14.1.

Si vous hésitez entre l’inventaire natif et une solution tierce, notre travail autour d’ox_inventory donne un exemple d’inventaire avancé adapté à un serveur en production.

Sources

• ESX Framework (GitHub), « 1.16.0 », 11 octobre 2026 : https://github.com/esx-framework/esx_core/releases/tag/1.16.0
• ESX Framework (GitHub), « 1.16.1 », 16 octobre 2026 : https://github.com/esx-framework/esx_core/releases/tag/1.16.1
• ESX Framework (GitHub), « 1.16.2 », 17 octobre 2026 : https://github.com/esx-framework/esx_core/releases/tag/1.16.2

Lire l’article sur Informaclique

Deux échéances se croisent pour PostgreSQL en fin d’année 2026. PostgreSQL 14 reçoit sa dernière mise à jour le 12 novembre 2026, date de sa fin de vie officielle. Et PostgreSQL 19 a publié sa première version candidate le 15 octobre 2026, avec une disponibilité générale planifiée au 19 novembre 2026. Si vos applications tournent encore sur PostgreSQL 14, c’est le moment de choisir la version cible.

PostgreSQL 14 : ce que signifie la fin de vie

Le projet PostgreSQL maintient chaque version majeure pendant cinq ans après sa sortie. PostgreSQL 14, sorti le 30 septembre 2021, arrive donc au bout : la mise à jour mineure du 12 novembre 2026 est la dernière prévue.

Après cette date, plus aucun correctif de bogue ni de sécurité. La base continue de fonctionner, mais une faille découverte ensuite ne sera pas corrigée pour cette branche. Les distributions Linux ou les hébergeurs peuvent prolonger un support de leur côté, mais ce n’est plus le projet officiel qui s’en charge.

Une autre conséquence, plus discrète : les frameworks abandonnent eux aussi les anciennes versions. Django 6.1, sorti le 5 août 2026, exige déjà PostgreSQL 15 ou plus récent.

Le calendrier des versions supportées

PostgreSQL 13 n’est plus supporté depuis le 13 novembre 2025.

PostgreSQL 19 : les nouveautés annoncées

La première bêta, publiée le 4 juin 2026, détaillait les apports de cette version. Les plus utiles au quotidien :

Pour les développeurs

• GROUP BY ALL : regroupe automatiquement par toutes les colonnes qui ne sont ni des agrégats ni des fonctions de fenêtrage. Fini les listes de colonnes recopiées.
• INSERT ... ON CONFLICT DO SELECT ... RETURNING : un upsert qui renvoie aussi les lignes en conflit.
• FOR PORTION OF dans UPDATE et DELETE, pour les données temporelles.
• ALTER TABLE ... MERGE PARTITIONS et SPLIT PARTITIONS pour réorganiser des tables partitionnées sur place.
• SQL/PGQ : des requêtes de graphe de propriétés avec la syntaxe standard SQL.
• WAIT FOR LSN : une session peut attendre qu’une réplique ait rejoué une écriture avant de la lire, utile pour lire ses propres écritures sur un réplica.

Pour l’exploitation

• REPACK, avec une option CONCURRENTLY, pour reconstruire une table avec moins de contraintes opérationnelles.
• Autovacuum parallèle (autovacuum_max_parallel_workers) et un nouveau système de priorisation des tables à nettoyer.
• Sommes de contrôle activables en ligne, sans redémarrage ni réinitialisation du cluster.
• Insertions jusqu’à deux fois plus rapides quand des clés étrangères doivent être vérifiées.
• Réplication logique des séquences, qui simplifie les montées de version en ligne.
• Nouvelles vues de supervision pg_stat_lock et pg_stat_recovery.

Pour la sécurité

• pg_hosts.conf permet de présenter différents certificats TLS selon le nom d’hôte demandé (SNI).
• Avertissements avant expiration des mots de passe, sept jours avant par défaut.
• L’authentification md5 affiche désormais un avertissement au client après connexion.

Les ruptures de compatibilité de PostgreSQL 19

• Le JIT est désactivé par défaut. Si certaines requêtes analytiques en bénéficiaient, il faudra le réactiver explicitement.
• default_toast_compression passe à lz4.
• L’authentification RADIUS est supprimée.
• vacuumdb --analyze-only analyse désormais par défaut les tables partitionnées.

La version candidate du 15 octobre 2026 corrige encore plusieurs points, notamment autour de REPACK (CONCURRENTLY) et de l’autovacuum parallèle. L’annonce prévoyait une seconde version candidate le 12 novembre 2026, le jour de la mise à jour mineure de toutes les branches, puis la version finale le 19 novembre 2026.

Quelle version viser ?

Vous êtes sur PostgreSQL 14 (ou plus ancien)

Ne visez pas PostgreSQL 19 dès sa sortie pour une base de production. Les premières versions mineures d’une majeure corrigent souvent des défauts découverts par les premiers utilisateurs. PostgreSQL 17 ou 18 sont des cibles plus sûres : elles sont éprouvées et supportées jusqu’en 2029 et 2030.

Vous êtes sur 15 à 18

Pas d’urgence. PostgreSQL 15 reste supporté jusqu’au 11 novembre 2027 : programmez sa migration en 2027. Pour 19, testez-le sur une copie de votre base, puis attendez une ou deux versions mineures avant la production.

Comment migrer sans mauvaise surprise

1. Choisissez la méthode. Une montée de version majeure passe par pg_upgrade (rapide, sur le même serveur) ou par pg_dump / pg_restore (plus lent, mais plus souple). Pour une coupure minimale, la réplication logique reste l’option la plus fine.
2. Sauvegardez et testez la restauration avant toute opération. Une sauvegarde jamais restaurée n’est pas une sauvegarde.
3. Vérifiez vos extensions (PostGIS, pgvector, etc.) : elles doivent exister pour la version cible.
4. Contrôlez vos pilotes et ORM : un pilote trop ancien peut refuser une version récente du serveur.
5. Recalculez les statistiques après migration (ANALYZE) pour que le planificateur retrouve de bons plans.
6. Mesurez : comparez les temps de réponse de vos requêtes critiques avant et après.

Si vous exportez des données pour vos tests, notre convertisseur CSV vers JSON aide à préparer des jeux d’essai lisibles.

Sources

• PostgreSQL Global Development Group, « Versioning Policy » : https://www.postgresql.org/support/versioning/
• PostgreSQL Global Development Group, « PostgreSQL 19 RC 1 Released! », 15 octobre 2026 : https://www.postgresql.org/about/news/postgresql-19-rc-1-released-3409/
• PostgreSQL Global Development Group, « PostgreSQL 19 Beta 1 Released! », 4 juin 2026 : https://postgresql.org/about/news/postgresql-19-beta-1-released-3313/
• Django Software Foundation, « Django 6.1 release notes », 5 août 2026 : https://docs.djangoproject.com/en/stable/releases/6.1/

Lire l’article sur Informaclique

Cisco a publié deux avis pour des failles déjà exploitées dans sa passerelle de messagerie Secure Email Gateway (anciennement ESA), à un mois d’écart : CVE-2026-76461 le 14 septembre 2026, puis CVE-2026-76519 le 14 octobre 2026. Les deux sont notées 9,8 sur 10, et les deux ont un point commun inquiétant : il suffit d’envoyer un e-mail piégé à travers la passerelle pour exécuter des commandes avec les droits root, sans authentification ni action d’un utilisateur.

Les deux failles

La CISA a ajouté les deux failles à son catalogue des vulnérabilités exploitées, le 14 septembre puis le 14 octobre 2026.

Ce qui est touché

Les passerelles Cisco Secure Email Gateway physiques et virtuelles sous AsyncOS 15.5 et antérieures, 16.0 et 16.5. L’offre cloud Cisco Secure Email Cloud était aussi concernée : Cisco indique avoir mis à jour toutes ses instances en 16.5.0-780, déployé des mesures de protection, et contacté directement les clients chez qui des signes de compromission ont été trouvés.

Versions corrigées

Cisco recommande de migrer vers 16.5.0-780 si vous êtes sur une version antérieure à 16.5. Pour CVE-2026-76519, le correctif est également distribué via le paquet Content Scanner Tools 25.3.0.5525 ou ultérieur, sur toutes les versions supportées.

Comment savoir si vous êtes exposé ou compromis

Pour CVE-2026-76519

• Dans l’interface web : Mail Policies > Incoming Mail Policies > Advanced Malware Protection (et la même chose pour les politiques sortantes). Si « Enable File Reputation » est coché, la condition est remplie.
• En ligne de commande : contentscannerstatus affiche la version de Content Scanner Tools. En dessous de 25.3.0.5525, l’appliance est vulnérable ; contentscannerupdate force la mise à jour.
• Pour repérer une tentative d’exploitation, Cisco indique la commande grep "System Security" system_logs. Trois réponses sont possibles : « Suspected compromise indicator was found » (compromission détectée, suivre la procédure de l’avis), « Security scan did not complete » (contacter le support) ou « No compromise indicator was found ».

Pour CVE-2026-76461

• Cisco recommande de chercher dans les journaux de messagerie : grep -i "COPY.*TO PROGRAM" sur le journal mail_logs. Selon Cisco, toute ligne trouvée peut indiquer une activité malveillante.

Dans les deux cas

• Contrôlez chaque membre d’une grappe (cluster) : les appliances d’une grappe s’authentifient entre elles par des paires de clés SSH. Un attaquant qui compromet une appliance peut récupérer ces clés et atteindre les autres. Cisco demande de remettre en configuration saine chaque membre d’une grappe qui contient au moins une appliance compromise.
• Regardez en dehors de l’appliance : avec les droits root, un attaquant peut effacer ses traces. Cisco conseille de vérifier les journaux du pare-feu et du réseau, à la recherche d’envois inattendus vers l’extérieur ou de téléchargements depuis des adresses malveillantes.

Quoi faire concrètement

1. Mettez à jour vers AsyncOS 16.5.0-780, puis vérifiez la version de Content Scanner Tools.
2. Lancez les recherches dans les journaux décrites ci-dessus, sur chaque appliance.
3. En cas d’indice de compromission : sur une appliance physique, contactez le support Cisco (TAC) ; sur une appliance virtuelle, conservez les éléments d’analyse, redéployez une nouvelle machine sur une version corrigée, reconstruisez la configuration et renouvelez identifiants et éléments cryptographiques.
4. Restreignez l’accès aux interfaces d’administration à un réseau de gestion.
5. Abonnez-vous aux avis Cisco : la passerelle de messagerie traite du contenu envoyé par n’importe qui sur Internet, c’est un équipement à surveiller de près.

Pour vérifier le comportement de vos utilisateurs face aux e-mails suspects qui passeraient malgré tout, notre détecteur de phishing permet d’analyser un message douteux.

Ce qu’il faut retenir

Une passerelle de messagerie est exposée par nature : elle doit accepter les e-mails du monde entier. Deux failles exploitables par simple envoi d’un message en un mois, c’est le signal qu’il faut traiter ces équipements comme des serveurs exposés, avec des mises à jour rapides et une surveillance des journaux.

Sources

• Cisco, « Cisco Secure Email Gateway SQL Injection Vulnerability » (cisco-sa-esa-inj-2bLVGmhX), 14 septembre 2026, mis à jour le 17 septembre 2026 : https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-inj-2bLVGmhX
• Cisco, « Cisco Secure Email Gateway Arbitrary File Write Vulnerability » (cisco-sa-esa-afw-zqYJkjxp), 14 octobre 2026 : https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-esa-afw-zqYJkjxp
• CISA, Known Exploited Vulnerabilities Catalog, entrées CVE-2026-76461 et CVE-2026-76519 : https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• BleepingComputer, « Cisco patches actively exploited Secure Email Gateway zero-day », 14 octobre 2026 : https://www.bleepingcomputer.com/news/security/cisco-patches-actively-exploited-secure-email-gateway-zero-day/

Lire l’article sur Informaclique

Le 10 novembre 2026, .NET 8 et .NET 9 atteignent leur fin de support, le même jour. Microsoft l’a confirmé le 29 juin 2026 sur le blog .NET : passé cette date, plus de mises à jour de maintenance, plus de correctifs de sécurité et plus de support technique pour ces deux versions. Les applications continuent de tourner, mais chaque faille découverte ensuite restera ouverte. La version recommandée est .NET 10, une version LTS supportée jusqu’au 14 novembre 2028.

Pourquoi deux versions s’arrêtent le même jour

.NET suit un rythme simple : une version majeure chaque mois de novembre. Les versions paires sont LTS (support long), les impaires STS (support standard).

• .NET 8 (novembre 2023) est une LTS : 36 mois de support, jusqu’au 10 novembre 2026.
• .NET 9 (novembre 2024) est une STS. Microsoft a allongé le support des versions STS de 18 à 24 mois, ce qui fait tomber sa fin de support à la même date que .NET 8.

Le 10 novembre 2026 est un « Patch Tuesday ». Selon Microsoft, chacune des deux versions peut recevoir une dernière mise à jour ce jour-là si un problème critique est connu. Ensuite, plus rien.

Le calendrier des versions .NET

Au 13 octobre 2026, .NET 11 en était à sa deuxième version candidate (RC2), publiée ce jour-là avec une licence « go-live » qui autorise son usage en production. Microsoft présente la conférence .NET Conf 2026, du 10 au 13 novembre, comme le lancement de .NET 11, sans donner de date de disponibilité exacte sur sa page de support.

Ce qui se passe concrètement après le 10 novembre

• Vos applications fonctionnent toujours. Rien ne s’arrête du jour au lendemain.
• Les failles ne sont plus corrigées. Une vulnérabilité dans ASP.NET Core, dans le runtime ou dans une bibliothèque de base ne fera plus l’objet d’un correctif pour .NET 8 ou 9.
• Visual Studio 2022 marquera, dans une future mise à jour, les composants .NET 8 et 9 comme non supportés. Les installations existantes ne sont pas touchées, et une option permet de supprimer les composants hors support.
• Les logiciels tiers construits sur .NET 8 ou 9 sont concernés aussi. Microsoft conseille de demander à l’éditeur une version basée sur .NET 10.

Pour une PME, le risque principal porte sur les applications exposées sur Internet : API, portails clients, back-offices web. Une application interne utilisée sur un réseau fermé présente un risque moindre, mais elle devra être migrée tôt ou tard.

Migrer vers .NET 10 : la marche à suivre

1. Inventorier

Recherchez dans vos dépôts les fichiers .csproj qui contiennent net8.0 ou net9.0 dans la propriété TargetFramework. Sur les serveurs, la commande dotnet --list-runtimes indique les runtimes installés. N’oubliez pas les images Docker de base, qui portent souvent la version dans leur étiquette.

2. Changer la cible

L’étape technique de base, rappelée par Microsoft, consiste à remplacer la cible par net10.0 dans le fichier projet, puis à mettre à jour le SDK sur les postes de développement, les serveurs de build et les environnements d’hébergement.

3. Lire les ruptures de compatibilité

Microsoft publie une page dédiée aux changements cassants de .NET 10, ainsi qu’un guide de migration d’ASP.NET Core 9 vers 10. Si vous partez de .NET 8, lisez aussi les changements de .NET 9 : vous sautez deux versions d’un coup.

4. S’aider des outils

L’Upgrade Assistant de .NET automatise une partie du travail : changement de cible, mise à jour des paquets NuGet, signalement des API problématiques. Il ne remplace pas une campagne de tests, mais il accélère les migrations répétitives.

5. Tester puis déployer

Faites tourner vos tests automatisés, puis une recette fonctionnelle sur un environnement de préproduction. Vérifiez particulièrement l’authentification, la sérialisation JSON et les accès base de données, souvent sensibles aux montées de version.

.NET 10 ou .NET 11 ?

C’est la question que se posent beaucoup d’équipes qui doivent quitter .NET 8 ou 9.

• .NET 10 est la cible logique pour une application de gestion qui doit vivre longtemps sans être retouchée : elle est supportée jusqu’en novembre 2028.
• .NET 11 sera une version STS, donc au support plus court qu’une LTS. Elle intéressera les équipes qui veulent les dernières nouveautés, par exemple les API expérimentales de cryptographie post-quantique (ML-KEM composite, HPKE) annoncées dans la RC2.

Pour la plupart des PME, la réponse est simple : migrer vers .NET 10 maintenant, puis envisager la prochaine LTS (.NET 12, si le rythme d’une version par an et la règle des versions paires sont tenus) une fois qu’elle aura fait ses preuves.

Ce qu’il faut retenir

1. Le 10 novembre 2026, .NET 8 et .NET 9 perdent tout correctif de sécurité.
2. La cible recommandée est .NET 10 LTS, supportée jusqu’au 14 novembre 2028.
3. Inventoriez vos projets, vos serveurs et vos images Docker, puis planifiez la migration en commençant par les applications exposées sur Internet.
4. Interrogez vos éditeurs de logiciels sur leur calendrier de passage à .NET 10.

Si votre application stocke des dates sous forme de timestamps, profitez des tests de migration pour vérifier les conversions avec notre convertisseur d’horodatage Unix.

Sources

• Microsoft .NET Blog, « .NET 8 and .NET 9 will reach End of Support on November 10, 2026 », 29 juin 2026 : https://devblogs.microsoft.com/dotnet/dotnet-8-9-end-of-support/
• Microsoft, « .NET and .NET Core Support Policy » : https://dotnet.microsoft.com/en-us/platform/support/policy/dotnet-core
• Microsoft .NET Blog, « Announcing .NET 11 Release Candidate 2 », 13 octobre 2026 : https://devblogs.microsoft.com/dotnet/dotnet-11-rc-2/

Lire l’article sur Informaclique

Le 1er octobre 2026, à l’ouverture du Cybermois, le mois européen de la cybersécurité, la CNIL et Cybermalveillance.gouv.fr ont publié une fiche pratique commune : « Violation de données personnelles : que faire en 3 étapes clés ? ». Elle s’adresse aux particuliers qui reçoivent un message les informant que leurs données ont fuité. Le moment est bien choisi : l’été et la rentrée 2026 ont été marqués en France par plusieurs fuites massives, dans les services de l’État comme chez des prestataires de collectivités. Voici ce que contient la fiche, et comment une entreprise peut s’en servir.

Le point de départ : « mes données ont fuité, et maintenant ? »

La fiche commence par un rappel utile : recevoir un tel message ne signifie pas que vos données ont déjà été utilisées frauduleusement. En revanche, le risque d’hameçonnage, d’usurpation d’identité, d’arnaque ou de piratage de comptes augmente. L’objectif est de réagir vite, de rester vigilant dans les semaines qui suivent et d’adopter de bonnes habitudes sur la durée.

Étape 1 – La première semaine : agir tout de suite, sans paniquer

• Vérifier ce qui a fuité : lire attentivement le message reçu et le conserver, il pourra servir plus tard.
• Changer sans tarder le mot de passe s’il a été compromis, en choisissant un mot de passe solide, et le modifier aussi sur tous les comptes qui utilisaient le même, en commençant par la messagerie principale.
• Activer la double authentification quand c’est possible.
• Se méfier des tentatives d’arnaque : courriels, SMS ou appels inhabituels, alarmants ou trop attrayants ; ne pas cliquer sur les liens, ne rien communiquer par téléphone, se connecter directement via le site ou l’application officiels.

Un encadré est consacré au compte bancaire : informer sa banque si des données bancaires sont concernées, surveiller les mouvements, signaler toute opération non autorisée et en demander le remboursement, faire opposition à la carte si nécessaire.

Étape 2 – Les semaines suivantes : rester vigilant

• Surveiller ses comptes bancaires : activer les notifications de paiement, ne signer aucun mandat de prélèvement douteux et, si la banque le permet, mettre en place une « liste blanche » des créanciers autorisés.
• Protéger son identité : rester attentif à un courrier inattendu, à une demande de crédit inconnue, à un contrat ou un abonnement souscrit à son insu, à une activité inhabituelle sur ses comptes en ligne (Assurance maladie, impôts…).
• Vérifier ses comptes et leurs réglages : appareils connectés et sessions actives, numéro de téléphone et adresse de récupération, et, pour la messagerie, l’absence de redirection automatique ou de règle de filtrage créée à son insu.
• Faire des captures d’écran des activités suspectes.

En cas d’anomalie : contacter rapidement l’organisme concerné pour contester les opérations ou démarches frauduleuses.

Étape 3 – Au quotidien : adopter de bonnes pratiques

• ne communiquer que les informations nécessaires ;
• ne pas transmettre de documents d’identité (pièce d’identité, fiche de paie, avis d’imposition, RIB) sans s’assurer de la légitimité du destinataire ;
• ne pas enregistrer sa carte bancaire lors d’achats en ligne ;
• utiliser plusieurs adresses électroniques selon les usages, et séparer usages professionnels et personnels ;
• supprimer les comptes inutilisés ;
• des mots de passe robustes et différents pour chaque service, la double authentification, des mises à jour régulières et des sauvegardes.

Pourquoi la fiche intéresse aussi les entreprises

Pour vos salariés

Les fuites touchent vos collaborateurs à titre personnel, et leurs conséquences débordent sur l’entreprise : un mot de passe réutilisé entre un compte personnel piraté et la messagerie professionnelle, et c’est votre système qui est exposé. Diffuser la fiche en interne est un geste simple. Le point sur les règles de redirection de messagerie mérite une attention particulière : c’est un classique de la fraude au virement.

Si c’est vous qui devez annoncer une fuite

La fiche donne, en creux, le contenu d’un bon message de notification : quelles données sont concernées, quels risques cela crée, quels gestes faire. C’est précisément ce qu’a reproché la CNIL à l’Hôpital privé de la Loire, sanctionné de 500 000 euros en septembre 2026 : ne pas avoir informé une partie des personnes touchées, qui ont été privées des moyens de se protéger. Joindre la fiche CNIL–Cybermalveillance à votre message aux personnes concernées, ou en reprendre les étapes, est une bonne pratique.

Pour vérifier vos propres réflexes

Commencez par le plus utile : vérifier vos mots de passe. Notre vérificateur de mot de passe évalue leur robustesse, et le générateur de mot de passe en crée de nouveaux.

Le reste du Cybermois 2026

La CNIL signale plusieurs autres actions du Cybermois 2026 : une campagne nationale de sensibilisation intitulée « Se cyber protéger, ce n’est pas si bête », un CyberTour de France avec des étapes à Biarritz, Rennes, Rouen, Lille, Montpellier et Paris, et des opérations « Le numérique, pas de panique ! » programmées en gare, à Paris Gare de Lyon le 22 octobre et à Rennes le 29 octobre 2026.

Sources

• CNIL, « Cybermois 2026 : la CNIL et Cybermalveillance.gouv.fr publient une nouvelle ressource pour adopter les bons réflexes face à une violation de données », 1er octobre 2026 : https://www.cnil.fr/fr/cybermois-2026
• CNIL et Cybermalveillance.gouv.fr, « Violation de données personnelles : que faire en 3 étapes clés ? », octobre 2026 : https://www.cnil.fr/sites/default/files/2026-10/violationdedonnees.pdf
• CNIL, « Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE », 3 septembre 2026 : https://www.cnil.fr/fr/sanction-hopital-prive-loire

Lire l’article sur Informaclique

Canonical a publié Ubuntu 26.10 « Stonking Stingray » le 15 octobre 2026. C’est une version intermédiaire, prise en charge neuf mois, jusqu’en juillet 2027, et non une version LTS. Elle n’a donc pas vocation à remplacer Ubuntu 26.04 LTS sur vos serveurs de production. Mais elle embarque des changements de fond, coreutils réécrits en Rust, OpenSSL 4, suppression de la compatibilité avec les scripts d’init System V, qui préfigurent l’évolution de la distribution. Autant les tester tôt.

L’essentiel en un tableau

Les changements qui peuvent casser quelque chose

Les commandes de base sont désormais en Rust

Les notes de version l’annoncent sans détour : les utilitaires de base (cp, mv, rm, ls…) fonctionnent désormais entièrement sur l’implémentation Rust uutils. Le but est la sûreté mémoire. Le risque, pour un administrateur, porte sur les scripts shell qui dépendent d’un comportement très précis de GNU coreutils : options rares, format exact d’une sortie analysée par awk ou grep, messages d’erreur testés dans un script.

À tester : vos scripts de sauvegarde, de rotation de fichiers, de déploiement, et tout script qui « parse » la sortie d’une commande.

OpenSSL 4

Ubuntu 26.10 adopte OpenSSL 4, et le fournisseur PKCS#11 remplace l’ancien mécanisme d’engine. Si vous utilisez des modules matériels de sécurité, des cartes à puce ou des jetons pour signer ou chiffrer, vérifiez qu’ils passent par le nouveau fournisseur. Les applications compilées contre une ancienne version d’OpenSSL doivent aussi être testées.

La fin des scripts d’init System V

Le générateur systemd-sysv-generator, qui permettait à systemd de lancer les vieux scripts placés dans /etc/init.d/, est supprimé. Un logiciel métier ancien, installé « à la main » avec son script d’init, ne démarrera plus automatiquement. La solution consiste à écrire une unité systemd (.service) pour ce service : c’est rarement plus de quinze lignes.

OpenSSH découpé en deux paquets

OpenSSH est scindé en openssh et openssh-gssapi. Les nouvelles installations utilisent la variante sans GSSAPI. Si vos serveurs s’authentifient en SSH via Kerberos (cas typique d’un environnement Active Directory), il faudra installer la variante adaptée.

Attention à une anomalie connue signalée par Canonical : purger un paquet OpenSSH supprimé resté à l’état « rc » peut couper l’accès distant. Ne lancez pas de apt purge sur ces paquets tant que le correctif n’est pas publié. Sur un serveur accessible uniquement en SSH, c’est le genre d’erreur qui impose un déplacement.

Les autres anomalies et retraits à connaître

• Certaines mises à niveau peuvent s’arrêter sur un lien symbolique /lib32 orphelin.
• Les versions futures pourraient ne plus prendre en charge certaines configurations de /boot, comme un /boot chiffré ou sur RAID 5/6. Si c’est votre cas, anticipez.
• Lancer update-grub peut empêcher le démarrage avec le chiffrement intégral du disque adossé au TPM.
• Dans Postfix, les tables BerkeleyDB hash: et btree: sont dépréciées et génèrent des avertissements : préparez la bascule vers un autre format.
• QEMU n’est plus compilé pour les hôtes 32 bits (armhf, i386).
• La prise en charge du WEP disparaît des paramètres Wi-Fi.

Côté bureau et matériel

• Chiffrement intégral du disque adossé au TPM : utilisable sans racine de confiance matérielle, à condition de définir aussi un code PIN ou une phrase de passe.
• Ubuntu Certified : les paramètres indiquent si l’ordinateur est certifié par Canonical, avec un nouvel outil en ligne de commande hwctl.
• Myna : un aperçu de dictée vocale qui fonctionne localement, non préinstallé.
• Image amd64v3 pour les processeurs récents et nouvelles images de bureau RISC-V.

Faut-il installer Ubuntu 26.10 ?

Sur un serveur de production, non : restez sur Ubuntu 26.04 LTS ou 24.04 LTS, qui bénéficient d’un support de plusieurs années. Neuf mois de support imposent une mise à niveau chaque année, ce qui n’a pas de sens pour un serveur qui doit simplement tourner.

En revanche, une machine virtuelle de test sous 26.10 est un excellent investissement de quelques heures :

1. Rejouez vos scripts d’administration et de sauvegarde avec les coreutils en Rust.
2. Testez vos applications contre OpenSSL 4.
3. Repérez les services qui reposent encore sur un script /etc/init.d/.
4. Vérifiez l’authentification SSH si vous utilisez Kerberos ou GSSAPI.
5. Notez les écarts dans un document : il servira le jour où ces changements arriveront dans une version LTS.

Pour vos tâches planifiées à revalider, notre générateur de cron aide à relire et réécrire les expressions de planification.

Sources

• Canonical, « Ubuntu 26.10 (Stonking Stingray) release notes » : https://documentation.ubuntu.com/release-notes/26.10/
• UbuntuHandbook, « Ubuntu 26.10 Released with Kernel 7.3, GNOME 51, & AMD64v3 Image », 15 octobre 2026 : https://ubuntuhandbook.org/index.php/2026/10/ubuntu-26-10-released-with-kernel-7-3-gnome-51-amd64v3-image/

Lire l’article sur Informaclique

Le 14 octobre 2026, Cfx.re a annoncé un changement qui touche tous les propriétaires de serveurs FiveM et RedM : les métadonnées affichées dans la liste des serveurs (nom, description, tags, langue, images) ne viennent plus des fichiers de configuration du serveur, mais du Portal Cfx.re. La plupart de ces changements étaient programmés pour le 21 octobre 2026. Un serveur dont les champs sont restés vides apparaît avec la mention « Missing server data (must be configured in Portal) ». Voici ce qui change et comment éviter une fiche vide.

Ce qui quitte le server.cfg

Jusqu’ici, la vitrine d’un serveur dans le navigateur de FiveM ou de RedM se pilotait par des variables du server.cfg, notamment sv_hostname, sv_projectName et sv_projectDesc. Avec la mise à jour annoncée, ces informations se règlent dans le Portal :

• le nom du serveur ;
• la description ;
• les tags ;
• la langue du serveur ;
• les images (bannière et image de profil).

Cfx.re précise avoir prérempli ces champs quand il disposait de métadonnées historiques récentes pour le serveur. En revanche, tout champ sans historique reste vide et doit être complété à la main dans le Portal avant d’être affiché publiquement.

Les nouvelles règles de la fiche serveur

Les joueurs peuvent désormais rechercher un serveur par tag. Avec un plafond de cinq, chaque tag compte : un serveur qui empilait des dizaines de mots-clés perd l’essentiel de cette liste, et ce sont les cinq plus anciens, pas les plus pertinents, qui restent.

Une suite logique des changements de février 2026

Cette bascule prolonge une première vague de modifications du client publiée le 12 février 2026. Cfx.re avait alors supprimé les couleurs dans les titres de serveurs, ajouté un bouton de signalement sur chaque fiche et revu les limites de caractères :

• sv_projectName : de 50 à 40 caractères ;
• sv_hostname : d’illimité à 120 caractères ;
• sv_projectDesc : de 125 à 250 caractères.

La documentation officielle des commandes serveur rappelait déjà que sv_projectName doit être un nom, « pas une liste », et ne pas contenir de tags. La migration vers le Portal referme la porte aux titres à rallonge bourrés de mots-clés : la fiche devient un formulaire encadré, géré au même endroit que la clé de licence du serveur.

Ce qu’il faut faire, étape par étape

1. Ouvrez la fiche de votre serveur dans le Portal (portal.cfx.re, avec le compte qui détient la clé de licence) et vérifiez chaque champ : nom, description, langue, tags.
2. Contrôlez le préremplissage. Les données reprises viennent de l’historique récent : si votre description a changé entre-temps, ou si vous aviez un nom de saison, corrigez-le.
3. Choisissez cinq tags utiles. Pensez à ce que tape un joueur : le genre (« roleplay », « drift »…), la langue, le framework si c’est un argument. Évitez les doublons et les tags vagues.
4. Préparez des visuels aux bonnes dimensions. Une bannière de 2560 × 280 px est très étirée : placez le logo et le texte au centre pour qu’ils restent lisibles une fois recadrés.
5. Ajoutez le lien Discord dans le Portal. Il apparaîtra dans les détails du serveur, ce qui évite de le caser dans la description.
6. Vérifiez le rendu dans le client, depuis un compte joueur : si la mention « Missing server data » apparaît, un champ obligatoire est encore vide.

Et le server.cfg dans tout ça ?

Le message de Cfx.re ne détaille pas le sort de chaque variable du server.cfg : il indique que les métadonnées seront gérées par le Portal « au lieu » des fichiers de configuration locaux. Rien n’oblige à supprimer tout de suite les anciennes lignes, mais elles ne pilotent plus l’affichage public. Ce qui reste indispensable dans le fichier, ce sont les réglages techniques : clé de licence (sv_licenseKey), points de terminaison (endpoint_add_tcp), sv_enforceGameBuild, ordre des ensure. Pour repartir sur une base propre, notre assistant server.cfg FiveM génère un fichier commenté.

Un conseil pratique pour les équipes : notez quelque part qui a accès au compte Portal du serveur. Jusqu’ici, n’importe quel membre du staff ayant la main sur le server.cfg pouvait changer le nom affiché. Désormais, c’est le titulaire du compte Portal. Si ce compte appartient à un ancien associé, mieux vaut le savoir avant la prochaine refonte de la fiche.

Ce qu’il faut retenir

• La vitrine publique d’un serveur FiveM ou RedM se gère dans le Portal Cfx.re, plus dans le server.cfg.
• Les champs non repris automatiquement doivent être remplis à la main, sinon la liste affiche « Missing server data ».
• Cinq tags maximum, recherchables par les joueurs ; bannière et image de profil avec des tailles minimales.
• Le lien Discord a enfin un emplacement dédié.

Sources

• Cfx.re, « Portal Update: Server Metadata Management », 14 octobre 2026 : https://forum.cfx.re/t/portal-update-server-metadata-management/5431315
• Cfx.re, « Introducing New Client Changes », 12 février 2026 : https://forum.cfx.re/t/introducing-new-client-changes/5377566
• Documentation FiveM, « Server Commands » : https://docs.fivem.net/docs/server-manual/server-commands/

Lire l’article sur Informaclique

Le 14 octobre 2026, Palo Alto Networks a publié un correctif pour CVE-2026-0322, une faille de l’interface de gestion de PAN-OS qui permet d’exécuter du code avec les droits root sur le pare-feu. L’éditeur a observé une « exploitation très limitée » et lui attribue l’urgence la plus haute. La CISA l’a inscrite à son catalogue des vulnérabilités exploitées le jour même. Condition importante : l’attaquant doit déjà disposer d’identifiants d’administration et d’un accès réseau à l’interface de gestion.

Ce qui est touché

PAN-OS est le système des pare-feu Palo Alto. Sont concernés :

• les pare-feu physiques PA-Series et virtuels VM-Series ;
• les consoles de gestion Panorama (virtuelles et M-Series).

Cloud NGFW et Prisma Access ne sont pas touchés. Aucune configuration particulière n’est nécessaire pour être vulnérable.

Gravité et exploitation

Que la faille exige un compte administrateur ne la rend pas anodine. Des identifiants d’administration peuvent avoir été volés lors d’une précédente intrusion, réutilisés depuis un autre service, ou obtenus par hameçonnage. Une fois root sur le pare-feu, un attaquant contrôle l’équipement qui filtre tout le trafic de l’entreprise.

Versions corrigées

Pour chaque branche, la version minimale à installer :

Le correctif intermédiaire (hotfix) à installer dépend de la version mineure de départ : l’avis de Palo Alto donne la correspondance exacte. Les versions de PAN-OS qui ne sont plus maintenues ne recevront pas de correctif : il faut passer à une version supportée.

Pas de contournement, une protection partielle

Palo Alto indique qu’aucun contournement n’existe. Les abonnés Threat Prevention disposent d’une couverture « limitée » via les signatures 510046 et 510047 (contenu 9159-10287 et ultérieur), mais seulement si le trafic de gestion passe par une interface de données, avec déchiffrement SSL et inspection activés. Pour la plupart des PME, ce n’est pas une configuration réaliste à court terme : la mise à jour reste la vraie solution.

Quoi faire concrètement

1. Vérifiez d’où l’interface de gestion est joignable. L’éditeur rappelle que le risque est le plus élevé quand elle est accessible depuis Internet. Elle doit être réservée à quelques adresses internes de confiance, idéalement à un poste de rebond (jump box) unique.
2. Mettez à jour vers la version corrigée de votre branche, en commençant par les équipements dont l’interface de gestion est la plus exposée, puis Panorama.
3. Faites le ménage dans les comptes d’administration : supprimez les comptes inutilisés, imposez des mots de passe uniques et l’authentification multifacteur, et changez les mots de passe s’il existe le moindre doute sur une fuite.
4. Relisez les journaux d’administration (connexions, modifications de configuration) à la recherche d’accès depuis des adresses inattendues ou à des heures inhabituelles. BleepingComputer a relayé trois adresses IP associées aux attaques : 66.42.72.14, 208.83.239.114 et 149.248.47.234.
5. Testez la force des mots de passe des comptes d’administration avec notre vérificateur de mot de passe, qui fonctionne entièrement dans le navigateur.

Si vous gérez plusieurs sites, notre calculateur de sous-réseau IP aide à définir des plages d’administration autorisées précises plutôt que des réseaux entiers.

Ce qu’il faut retenir

Les interfaces d’administration des pare-feu ont été la cible de nombreuses attaques ces dernières années, chez tous les éditeurs. La règle ne change pas : une interface de gestion ne doit jamais être exposée sur Internet, et les comptes qui y donnent accès doivent être traités comme les plus sensibles de l’entreprise.

Sources

• Palo Alto Networks, « CVE-2026-0322 PAN-OS: Authenticated Remote Code Execution (RCE) in the Management Interface », 14 octobre 2026, mis à jour le 15 octobre 2026 : https://security.paloaltonetworks.com/CVE-2026-0322
• CISA, Known Exploited Vulnerabilities Catalog, entrée CVE-2026-0322 ajoutée le 14 octobre 2026 : https://www.cisa.gov/known-exploited-vulnerabilities-catalog
• BleepingComputer, « Palo Alto Networks warns of PAN-OS RCE flaw exploited in attacks », 14 octobre 2026 : https://www.bleepingcomputer.com/news/security/palo-alto-networks-warns-of-pan-os-rce-flaw-exploited-in-attacks/

Lire l’article sur Informaclique

Les certificats Microsoft qui servent de base au démarrage sécurisé (Secure Boot) depuis 2011 sont arrivés à expiration en 2026 : le 24 juin pour le certificat KEK, le 27 juin pour l’autorité UEFI tierce et le 19 octobre 2026 pour le certificat qui signe le chargeur de démarrage de Windows. Les PC continuent de démarrer, mais ceux qui n’ont pas reçu les certificats 2023 de remplacement ne peuvent plus recevoir les nouvelles protections du démarrage. Voici comment le vérifier sur vos postes et serveurs.

Le calendrier complet

Microsoft a publié la liste des certificats concernés et de leurs remplaçants :

Le remplacement de l’autorité UEFI tierce est scindé en deux : une machine peut ainsi faire confiance aux ROM d’extension de son matériel sans faire confiance à tous les chargeurs de démarrage tiers.

Ce qui se passe sur un appareil non mis à jour

Selon Microsoft, un appareil qui n’a pas reçu les certificats 2023 :

• continue de démarrer et de fonctionner ;
• continue d’installer les mises à jour Windows classiques ;
• ne peut plus recevoir les nouvelles protections du démarrage : mises à jour du gestionnaire de démarrage, des bases de signatures autorisées et révoquées, correctifs contre les failles qui visent la phase de démarrage.

Autrement dit, rien ne casse brutalement, mais la protection s’érode au fil des mois. Microsoft signale aussi que les scénarios qui s’appuient sur la confiance Secure Boot, comme le durcissement de BitLocker ou les chargeurs de démarrage tiers, peuvent être affectés.

Quels systèmes sont concernés

La liste publiée par Microsoft est large : Windows 10 (dont la 22H2 et plusieurs éditions LTSC), Windows 11 de la 21H2 à la 24H2, et Windows Server 2012 et 2012 R2 (sous ESU), 2016, 2019, 2022 et 2025. Les machines physiques comme les machines virtuelles avec Secure Boot activé sont concernées.

Pour la majorité des PC, Microsoft déploie les nouveaux certificats automatiquement via Windows Update. Les notes des mises à jour de juillet à septembre 2026 mentionnent d’ailleurs un redémarrage unique qui suit l’application de la mise à jour des certificats Secure Boot. La mise à jour de septembre 2026 a élargi la liste des appareils jugés assez fiables pour la recevoir automatiquement.

Les cas qui demandent de l’attention :

• les postes et serveurs dont les mises à jour sont gérées par l’entreprise (WSUS, outils de gestion), pour lesquels Microsoft publie une procédure spécifique ;
• les machines dont le micrologiciel (UEFI/BIOS) est ancien : le constructeur doit parfois fournir une mise à jour pour accepter les nouveaux certificats ;
• les machines virtuelles sur des hyperviseurs dont le modèle UEFI n’a pas été mis à jour.

Vérifier un poste Windows

Microsoft recommande de suivre l’état par le registre. Dans une console PowerShell lancée en administrateur :

Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\SecureBoot\Servicing' |
  Select-Object UEFICA2023Status, UEFICA2023Error

La valeur UEFICA2023Status peut prendre trois états :

• NotStarted : la mise à jour n’a pas encore tourné ;
• InProgress : elle est en cours ;
• Updated : elle s’est terminée avec succès.

Si UEFICA2023Error contient une valeur non nulle, consultez le journal d’événements Windows. Microsoft précise de ne pas se fier à la valeur WindowsUEFICA2023Capable, fournie à titre indicatif seulement. Pensez aussi que la mise à jour du gestionnaire de démarrage ne se termine qu’après un redémarrage.

Pour les parcs gérés, Microsoft documente une valeur de déploiement (AvailableUpdates à 0x5944 dans HKLM\SYSTEM\CurrentControlSet\Control\SecureBoot) et une tâche planifiée, \Microsoft\Windows\PI\Secure-Boot-Update, qui s’exécute toutes les 12 heures et peut être lancée à la demande. À réserver à un test sur quelques machines avant tout déploiement large.

Et les serveurs Linux ?

Les distributions Linux démarrent en Secure Boot grâce à un petit chargeur, shim, signé par l’autorité UEFI tierce de Microsoft. Debian l’a expliqué en publiant sa version 12.15, le 11 juillet 2026 : le paquet shim-signed a été mis à jour pour prendre en charge l’autorité Microsoft UEFI CA 2023, et il vérifie désormais les risques de problème de démarrage avant de s’installer. Debian prévient que de futures mises à jour de shim pourraient empêcher le démarrage en Secure Boot sur une machine dont les bases n’ont pas été mises à jour. Elle conseille d’appliquer les mises à jour CA, KEK et DBX fournies par le constructeur ; l’outil fwupd prend en charge ces mises à jour à partir de sa version 2.0.20.

La liste d’actions pour une PME

1. Inventoriez les machines avec Secure Boot actif (postes, serveurs, VM).
2. Contrôlez UEFICA2023Status sur un échantillon, puis sur tout le parc via votre outil de gestion.
3. Mettez à jour le micrologiciel des machines qui restent bloquées, en commençant par les serveurs.
4. Vérifiez vos hyperviseurs et les modèles de VM.
5. Sur Linux, appliquez les mises à jour de shim et des bases UEFI avant les prochaines mises à jour du noyau.
6. Ne désactivez pas Secure Boot pour « régler » un problème : vous perdriez justement la protection en jeu.

Sources

• Microsoft Support, « Windows Secure Boot certificate expiration and CA updates », mis à jour le 18 mai 2026 : https://support.microsoft.com/en-us/topic/windows-secure-boot-certificate-expiration-and-ca-updates-7ff40d33-95dc-4c3c-8725-a9b95457578e
• Microsoft Support, « Registry key updates for Secure Boot: Windows devices with IT-managed updates », mis à jour le 20 mars 2026 : https://support.microsoft.com/en-us/topic/registry-key-updates-for-secure-boot-windows-devices-with-it-managed-updates-a7be69c9-4634-42e1-9ca1-df06f43f360d
• Microsoft, « Windows message center » (notes des mises à jour de juillet à septembre 2026) : https://learn.microsoft.com/en-us/windows/release-health/windows-message-center
• Debian, « Updated Debian 12: 12.15 released », 11 juillet 2026 : https://www.debian.org/News/2026/2026071102

Lire l’article sur Informaclique

Le 11 mai 2026, entre 19 h 20 et 19 h 26 (UTC), 84 versions malveillantes de 42 paquets @tanstack/* ont été publiées sur npm. TanStack est une famille de bibliothèques très utilisée dans l’écosystème React. Particularité de l’attaque : aucun jeton npm n’a été volé, et le workflow de publication lui-même n’a pas été compromis. Le post-mortem publié par l’équipe est un cas d’école pour quiconque fait de l’intégration continue.

Trois faiblesses, une chaîne

Prise isolément, aucune des trois faiblesses n’aurait suffi. C’est leur enchaînement, qui franchit à chaque fois une frontière de confiance, qui a fait l’attaque.

1. Le « Pwn Request »

Un workflow chargé de mesurer la taille des paquets utilisait l’événement pull_request_target. Il récupérait le code de la pull request venant d’un fork, puis lançait un build. Or pull_request_target s’exécute avec les droits du dépôt principal. L’attaquant a ouvert une pull request depuis un fork renommé, avec un commit piégé : son code s’est exécuté dans un contexte de confiance, sans validation préalable d’un nouveau contributeur.

2. L’empoisonnement du cache

Pendant ce build, le script malveillant a enregistré un cache pnpm empoisonné, sous une clé que le workflow de publication allait restaurer plus tard sur la branche principale. La pull request a ensuite été refermée : le piège, lui, est resté dans le cache.

3. Le vol du jeton OIDC en mémoire

Quand le workflow de publication s’est exécuté sur la branche principale, il a restauré le cache piégé. Le code de l’attaquant a alors lu la mémoire du runner pour en extraire le jeton OIDC, et l’a utilisé pour publier directement sur le registre npm, en contournant l’étape de publication prévue.

Ce que faisaient les versions piégées

À l’installation, une dépendance optionnelle injectée et un script prepare lançaient un fichier JavaScript obscurci d’environ 2,3 Mo. Il :

• récupérait des identifiants : secrets cloud, jetons Kubernetes et Vault, identifiants npm et GitHub, clés SSH ;
• les exfiltrait via un réseau de partage de fichiers décentralisé, sans serveur de commande facile à bloquer ;
• se propageait en republiant les autres paquets maintenus par la victime avec la même injection.

TanStack recommande à toute personne ayant installé une version touchée le 11 mai de considérer la machine comme compromise et de renouveler tous ses identifiants : AWS, GCP, Kubernetes, Vault, GitHub, npm et SSH.

Une détection venue de l’extérieur

Le premier signalement public est venu d’un chercheur de StepSecurity, environ 26 minutes après la première publication. Les premières versions ont été dépréciées en une heure, l’ensemble du périmètre identifié en 1 h 43, et npm a retiré le dernier paquet du registre environ 4 h 35 après le début. Le 15 mai, TanStack a confirmé que toutes les versions disponibles étaient saines.

L’équipe reconnaît elle-même les failles de son dispositif : aucune alerte interne, des workflows pull_request_target jamais audités, des actions tierces référencées par branche (@main), et sept mainteneurs sur le scope npm, soit autant de cibles pour un vol d’identifiants.

Les leçons pour vos propres pipelines

1. Auditez chaque pull_request_target. Un workflow qui récupère et exécute le code d’un fork avec les droits du dépôt est une porte ouverte.
2. Séparez les caches entre les workflows qui traitent du code externe et ceux qui publient ou déploient.
3. Épinglez les actions tierces par SHA, jamais par branche.
4. Limitez qui et quoi peut publier : peu de comptes, double authentification, et pour les projets sensibles une validation humaine avant publication.
5. Surveillez vos dépendances : une alerte sur une nouvelle version inattendue vaut mieux qu’une découverte par un tiers.

Depuis, npm a durci ses règles : depuis le 2 octobre 2026, les jetons issus d’événements issue_comment sont refusés, en plus de ceux de pull_request_target. Nous détaillions ces changements dans notre article du 24 octobre.

Pour vérifier qu’une archive ou un fichier n’a pas été modifié, notre calculateur d’empreinte SHA-256 fonctionne directement dans le navigateur.

Source

• TanStack, « Postmortem: npm supply-chain compromise », mai 2026 : https://tanstack.com/blog/npm-supply-chain-compromise-postmortem

Lire l’article sur Informaclique

La France est désormais le sixième pays le plus visé au monde par les groupes de rançongiciel. Entre janvier et juin 2026, 131 organisations françaises ont été revendiquées comme victimes, selon le décompte de Bitdefender rapporté par Clubic fin août. Un chiffre à lire avec une précaution importante : il ne compte que les attaques que les groupes ont eux-mêmes publiées sur leurs sites de fuite. La réalité est forcément plus élevée.

La France, un tiers des victimes d’Europe de l’Ouest

En un an, le nombre de victimes revendiquées en Europe de l’Ouest est passé de 310 à 436, soit plus de 40 % de hausse. La France en représente près de 30 %, et la France et l’Allemagne réunies près de 70 %.

Le mois le plus actif du semestre a été mars, avec 39 cas.

Les secteurs touchés

La présence de la construction dans le trio de tête n’étonne pas : entreprises de taille moyenne, nombreux postes sur les chantiers, outils souvent hétérogènes et données précieuses (devis, plans, contrats). C’est exactement le profil que les attaquants recherchent : assez gros pour payer, souvent moins protégé qu’un grand groupe.

Les groupes les plus actifs

Deux groupes concentrent environ 40 % des victimes françaises : The Gentlemen (27) et Qilin (25). Suivent Coinbase Cartel et NightSpire (8 chacun), LAPSUS$ (5), puis Cl0p, Akira, DragonForce et LockBit (4 chacun) et Lynx (3).

L’éparpillement de la suite du classement dit quelque chose : le rançongiciel n’est plus l’affaire de deux ou trois grandes organisations, mais d’une multitude de groupes qui se partagent les outils et les accès.

Comment les attaquants entrent

Les rapports convergent sur quelques portes d’entrée, que l’actualité d’octobre illustre bien :

• les équipements exposés sur Internet (VPN, pare-feux, accès à distance) laissés sans correctif, comme les passerelles Ivanti Connect Secure attaquées depuis début octobre ;
• les identifiants volés ou réutilisés, surtout sans double authentification ;
• les e-mails piégés, de plus en plus crédibles.

Les cinq mesures qui comptent le plus pour une PME

1. Des sauvegardes hors ligne et testées. La règle 3-2-1 (trois copies, deux supports, une copie hors site) n’a de valeur que si la restauration a été essayée. Une sauvegarde accessible depuis le réseau sera chiffrée avec le reste.
2. La double authentification partout, en priorité sur la messagerie, le VPN et les comptes d’administration.
3. Les correctifs des équipements exposés en premier. Un VPN non corrigé est aujourd’hui une invitation.
4. Des droits limités : personne ne travaille au quotidien avec un compte administrateur.
5. Des équipes formées à reconnaître un e-mail suspect. Nos outils gratuits détecteur de phishing et quiz cybersécurité font une bonne base de sensibilisation, et notre générateur de mots de passe crée des mots de passe robustes sans rien envoyer sur Internet.

Pour un état des lieux rapide d’un poste Windows (pare-feu, ports ouverts, comptes, démarrage), notre application open source Security Scanner PC calcule un score de sécurité sur 100, sans aucune connexion externe.

En cas d’attaque

Isolez les machines touchées du réseau sans les éteindre, prévenez votre prestataire informatique, et signalez l’incident sur cybermalveillance.gouv.fr. Ne payez pas la rançon dans la précipitation : rien ne garantit la récupération des données, et le paiement finance les attaques suivantes.

Sources

• Clubic, « Bitdefender : la France au 6e rang mondial des pays visés par les ransomwares », 25 août 2026 : https://www.clubic.com/actualite-626584-cp-bitdefender-ransomware.html
• BleepingComputer, faille Ivanti Connect Secure exploitée, 14 octobre 2026 : https://bleepingcomputer.com/news/security/cisa-warns-admins-to-immediately-fix-ivanti-flaw-exploited-as-zero-day

Lire l’article sur Informaclique

Les attaques contre la chaîne d’approvisionnement logicielle se sont multipliées en 2026, et l’écosystème JavaScript en est la première cible. Le 2 octobre, GitHub a annoncé deux nouvelles règles pour la publication de confiance (trusted publishing) sur npm. Si vous publiez des paquets depuis GitHub Actions, il y a peut-être un réglage à revoir.

Rappel : la publication de confiance, c’est quoi ?

Disponible pour tous depuis juillet 2025, la publication de confiance permet de publier un paquet npm sans stocker de jeton npm dans les secrets du dépôt. Le registre fait confiance à un dépôt et à un workflow précis : au moment de publier, GitHub Actions obtient un identifiant OIDC de courte durée, que npm accepte à la place d’un jeton permanent. Le CLI npm publie au passage une attestation de provenance.

Moins de secrets qui traînent, donc moins de jetons à voler. Mais encore faut-il que la relation de confiance soit bien configurée.

Règle n° 1 : une configuration non validée expire en 48 heures

Depuis le 2 octobre 2026, une configuration de publication de confiance qui n’a jamais servi expire 48 heures après sa création. Passé ce délai, elle ne peut plus autoriser de publication.

• Une configuration devient validée dès sa première publication réussie, et n’expire plus ensuite.
• Changer de dépôt ou d’identité de projet impose une nouvelle relation de confiance, avec un nouveau délai de 48 heures. Les modifications ordinaires ne relancent pas le compteur.
• Les configurations expirées restent visibles dans les réglages, mais ne comptent plus dans les limites par paquet. Les autres configurations du même paquet ne sont pas touchées.

L’intérêt : une configuration créée « pour plus tard », pointant vers un dépôt qui n’a jamais publié, ne reste plus indéfiniment une porte ouverte.

Règle n° 2 : fini les publications déclenchées par un commentaire

npm refuse désormais les jetons de publication de confiance issus d’événements issue_comment de GitHub Actions. Cette restriction s’ajoute à celle qui existait déjà pour les événements pull_request_target.

Pourquoi ? Parce que ces deux événements peuvent être déclenchés par des personnes extérieures au projet : un commentaire sur une issue, une pull request depuis un fork. Les laisser aboutir à une publication, c’est laisser un inconnu déclencher le code qui signe vos versions.

L’affaire TanStack, en arrière-plan

Ces restrictions font écho à une attaque très documentée. Le 11 mai 2026, en six minutes, un attaquant a publié 84 versions piégées de 42 paquets @tanstack/*. Il n’a volé aucun jeton npm. Il a enchaîné un workflow pull_request_target qui exécutait le code d’un fork, un empoisonnement du cache de GitHub Actions et l’extraction du jeton OIDC depuis la mémoire du runner. Nous revenons sur ce cas en détail dans un prochain article.

La leçon : la publication de confiance prouve d’où vient une publication, pas que le code exécuté dans le workflow est digne de confiance.

Ce qu’il faut vérifier dans vos projets

1. Vos déclencheurs de publication : si un workflow publie sur issue_comment, déplacez-le vers un événement autorisé comme push, release ou workflow_dispatch, comme le recommande GitHub.
2. Vos configurations en attente : si vous avez créé une publication de confiance sans encore publier, elle a peut-être expiré. Recréez-la au moment de publier.
3. Vos workflows pull_request_target : s’ils récupèrent et exécutent le code d’un fork, c’est un risque majeur, publication npm ou non.
4. Vos actions tierces : épinglez-les par empreinte de commit (SHA) plutôt que par étiquette ou par branche (@main).
5. Vos secrets : un workflow ne devrait avoir accès qu’aux secrets dont il a besoin, au moment où il en a besoin.

Côté poste de développement, les agents IA qui lancent des commandes posent la même question de confiance : notre outil open source cmdguard relit chaque commande shell avant exécution et bloque les plus destructrices.

Source

• GitHub Changelog, « Unvalidated npm trusted publishing configurations now expire », 2 octobre 2026 : https://github.blog/changelog/2026-10-02-unvalidated-npm-trusted-publishing-configurations-now-expire
• GitHub Changelog, « npm trusted publishing with OIDC is generally available », 31 juillet 2025 : https://github.blog/changelog/2025-07-31-npm-trusted-publishing-with-oidc-is-generally-available/
• TanStack, « Postmortem: npm supply-chain compromise » : https://tanstack.com/blog/npm-supply-chain-compromise-postmortem

Lire l’article sur Informaclique

Pendant dix ans, le calendrier de Node.js tenait en une règle : deux versions majeures par an, les impaires vivant six mois, les paires devenant des versions à support long (LTS). Cette règle vit ses derniers jours. À partir de Node.js 27, le rythme devient annuel.

L’ancien modèle, jusqu’à Node.js 26

Jusqu’à Node.js 26 inclus :

• une nouvelle version majeure sortait en avril et une autre en octobre ;
• les versions impaires (23, 25…) n’étaient plus maintenues au bout de six mois ;
• les versions paires (22, 24, 26…) passaient en LTS active, puis en maintenance.

C’est ce qui explique que Node.js 25, sortie le 15 octobre 2025, soit déjà en fin de vie, alors que Node.js 24, sortie en mai 2025, est en LTS.

Le nouveau modèle, à partir de Node.js 27

D’après la page officielle des versions de Node.js :

• une seule version majeure par an ;
• chaque version passe par six mois de phase Alpha, puis six mois de phase Current ;
• toutes les versions passent ensuite en LTS, sans distinction paire/impaire ;
• une LTS garantit en général les correctifs critiques pendant 30 mois au total.

Fini le piège des versions impaires « éphémères » qu’on installait par erreur en production : chaque version majeure aura droit à son support long.

Où en sont les versions aujourd’hui

La règle d’or ne change pas : en production, n’utilisez que des versions LTS (active ou maintenance). Une version « Current » sert à préparer la suite, pas à faire tourner votre application métier.

Ce que ça change concrètement

Moins de montées de version subies

Avec une seule version par an, il n’y a plus qu’une montée de version majeure annuelle à préparer. Pour une petite équipe, c’est un cycle plus simple à tenir : on teste la nouvelle version pendant sa phase Current, on bascule une fois qu’elle passe en LTS.

Un calendrier à caler

Profitez du changement pour formaliser votre cycle :

1. Inventoriez les versions de Node.js utilisées en développement, en CI et en production. Elles divergent souvent.
2. Fixez la version dans le projet : champ engines du package.json, fichier .nvmrc ou .node-version, image Docker à version explicite (jamais latest).
3. Programmez une revue annuelle : quand la nouvelle version passe en LTS, testez-la en CI, puis planifiez la migration.
4. Sortez des versions en fin de vie : une application encore sur Node.js 20 ne reçoit plus de correctifs de sécurité.

Pour planifier une tâche de vérification récurrente sur vos serveurs, notre outil d’explication des expressions cron traduit une ligne de crontab en français et affiche ses prochaines exécutions.

Les dépendances suivront

Les bibliothèques de l’écosystème alignent souvent leur support sur les LTS de Node.js. Un cycle plus lisible devrait simplifier leur maintenance… et la vôtre.

Notre conseil

Si vos applications tournent sur Node.js 22 ou 24, rien ne presse : ce sont des LTS maintenues. Mettez simplement Node.js 26 à l’essai dans votre intégration continue dès maintenant, pour basculer sereinement une fois sa LTS active.

Et si vos outils internes reposent encore sur des versions abandonnées, c’est le bon moment pour faire le point : c’est précisément le genre de chantier de modernisation que nous accompagnons.

Source

• Node.js, « Previous releases » et calendrier des versions : https://nodejs.org/en/about/previous-releases

Lire l’article sur Informaclique

C’est le plus gros chantier de l’histoire de FiveM. Depuis le 21 juillet 2026, la plateforme fonctionne sur GTA V Enhanced, la version modernisée de Grand Theft Auto V sur PC, en accès anticipé. Trois mois plus tard, beaucoup de propriétaires de serveurs roleplay se demandent s’il est temps de franchir le pas. Voici ce qui change, et ce qu’il faut vérifier avant.

Ce qui a été annoncé

Cfx.re, l’équipe derrière FiveM (rachetée par Take-Two Interactive), a annoncé au printemps 2026 l’arrivée de FiveM sur GTA V Enhanced. L’accès anticipé a ouvert le 21 juillet.

Point important : la version « Legacy » reste prise en charge. FiveM pour Enhanced est un client séparé, qui fonctionne à côté de l’ancien ; il ne le remplace pas. Les serveurs existants ne sont donc pas obligés de migrer.

Les nouveautés qui comptent

Un OneSync reconstruit : jusqu’à 2 048 joueurs

La couche réseau OneSync a été refondue. Selon GTA BOOM, elle supprime l’ancienne limite et permet jusqu’à 2 048 joueurs par serveur, tout en réduisant la bande passante, la charge processeur et la mémoire utilisées.

Pour un serveur RP, cela ouvre la porte à des événements de grande ampleur. Mais attention : la capacité théorique de la plateforme n’est pas celle de vos scripts. Une ressource mal écrite qui tourne en boucle sans pause sur chaque joueur deviendra un goulet d’étranglement bien avant 2 048 connectés.

Une synchronisation plus fine

La refonte touche aussi le chat vocal, reconstruit, la précision des impacts de balles et la synchronisation des corps. Ce sont des irritants classiques des serveurs RP, qui donnent lieu à beaucoup de litiges entre joueurs.

Le rendu de GTA V Enhanced

Les serveurs profitent de l’éclairage, du ray tracing et du rendu moderne de l’édition Enhanced. De quoi relancer l’intérêt pour des serveurs dont les captures commençaient à dater.

Avant de migrer : la check-list

1. C’est un accès anticipé. L’équipe s’attend elle-même à trouver et corriger des problèmes, et demande à la communauté de les signaler. Pour un serveur en production avec une communauté installée, un serveur de test est indispensable.
2. Vos joueurs doivent posséder GTA V Enhanced. Vérifiez que votre communauté peut suivre avant d’annoncer quoi que ce soit.
3. Vos ressources payantes. Vérifiez auprès de chaque créateur que ses scripts fonctionnent sur Enhanced, en particulier ceux protégés par chiffrement : certains hébergeurs signalent que ces scripts ne fonctionnent pas encore sur Enhanced.
4. Vos performances. Profitez de la migration pour mesurer vos ressources : une boucle Citizen.Wait(0) permanente coûte cher sur chaque client. Notre calculateur Wait aide à choisir des délais raisonnables.
5. Votre sécurité. Une migration, c’est souvent l’occasion d’installer de nouvelles ressources trouvées un peu partout. Passez-les dans notre analyseur de sécurité FiveM avant de les lancer : il repère les appels réseau cachés et l’exécution de code distant, directement dans votre navigateur.

Faut-il y aller maintenant ?

Pour un nouveau serveur, démarrer directement sur Enhanced a du sens : pas de dette à migrer, et une plateforme pensée pour durer.

Pour un serveur établi, la prudence s’impose : ouvrez une copie de test sur Enhanced, faites-la tester par une partie de votre équipe et de vos joueurs, et ne basculez qu’une fois vos ressources critiques (inventaire, banque, téléphone, métiers) validées.

Dans tous les cas, gardez un œil sur l’autre échéance du moment : sur Legacy, les serveurs doivent tourner sur FXServer 35245 ou plus récent depuis le 15 octobre 2026, sous peine de ne plus être joignables. Nous en parlions dans notre article dédié.

Sources

• GTA BOOM, « GTA V roleplay is about to get a major upgrade on July 21 », 15 juillet 2026 (mis à jour le 22 juillet) : https://www.gtaboom.com/gta-v-roleplay-is-about-to-get-a-major-upgrade-on-july-21-cd6d
• Site officiel FiveM : https://fivem.net/

Lire l’article sur Informaclique

Encore une fois, ce sont les passerelles VPN qui sont visées. Ivanti a corrigé le 13 octobre 2026 une faille de son produit Connect Secure (ICS), et l’agence américaine de cybersécurité CISA demande de l’installer immédiatement : la vulnérabilité est exploitée depuis au moins le 1er octobre.

La faille : CVE-2026-104935

• Produit : Ivanti Connect Secure, la solution d’accès VPN d’Ivanti.
• Nature : un contournement d’authentification. Un attaquant à distance, sans compte et sans action de l’utilisateur, peut exécuter des commandes sur l’équipement.
• Gravité : élevée, avec une exploitation de faible complexité.

Selon la société Volexity, un groupe qu’elle suit sous le nom UTA0576 enchaîne cette faille avec deux autres depuis au moins le 3 octobre. La chaîne complète lui permet d’exécuter du code avec les droits root, sans authentification, sur des équipements pourtant entièrement à jour au moment des attaques. La société Defused confirme avoir vu les premières traces d’exploitation dès le 1er octobre.

Ce que cherchent les attaquants

Une fois sur la passerelle, les attaquants visent le cœur du réseau de l’entreprise :

• les identifiants et secrets Active Directory ;
• les mots de passe LAPS (les mots de passe d’administrateur local gérés automatiquement) ;
• les clés de récupération BitLocker.

La CISA met en garde contre le vol d’identifiants et l’exfiltration de données. Un VPN compromis, c’est potentiellement tout le domaine Windows qui suit.

Les versions corrigées

La faille est corrigée dans les versions 22.8R2.5, 25.1.3.0, 25.1.3.1 et 25.1.1.2 d’Ivanti Connect Secure. Ivanti demande à ses clients d’« agir immédiatement ».

La CISA a ajouté la faille à son catalogue des vulnérabilités exploitées et a imposé aux administrations fédérales américaines de corriger avant le 16 octobre. Cette échéance ne s’impose pas aux entreprises privées, mais la recommandation vaut pour tout le monde.

L’enjeu est réel : la fondation Shadowserver recense plus de 5 600 équipements Ivanti Connect Secure exposés sur Internet. Depuis novembre 2021, la CISA a ajouté 36 failles Ivanti à son catalogue, dont 12 ont servi dans des attaques par rançongiciel.

Si vous avez un Ivanti Connect Secure

1. Mettez à jour vers une version corrigée, sans attendre une fenêtre de maintenance.
2. Cherchez des traces de compromission. Attention : selon BleepingComputer, l’outil de contrôle d’intégrité d’Ivanti peut ne pas détecter cette attaque, car les commandes des attaquants s’exécutent en mémoire. Il faut une analyse réseau et mémoire.
3. Si l’équipement a été compromis :
   • sauvegardez sa configuration ;
   • faites une réinitialisation d’usine et passez à la dernière version (pour une machine virtuelle ou cloud, reconstruisez l’instance) ;
   • restaurez la configuration ;
   • changez tous les mots de passe du domaine, des administrateurs et des comptes locaux ;
   • révoquez et réémettez les certificats stockés, et renouvelez les clés d’API et les identifiants du serveur de licences.

La leçon pour les PME

Les équipements exposés sur Internet (VPN, pare-feux, accès à distance) sont devenus la porte d’entrée préférée des attaquants. Trois réflexes simples réduisent nettement le risque :

• tenir un inventaire de tout ce qui est exposé sur Internet, avec sa version ;
• s’abonner aux avis de sécurité de chaque éditeur, et à ceux du CERT-FR ;
• séparer les comptes d’administration du VPN des comptes du quotidien, et protéger les comptes à privilèges par une double authentification.

Pour vérifier en quelques secondes ce que votre site web laisse voir de l’extérieur (certificat, redirections, en-têtes de sécurité), notre outil open source frontdoor fait l’audit et propose la configuration qui corrige.

Sources

• BleepingComputer, « CISA warns admins to immediately fix Ivanti flaw exploited as zero-day », 14 octobre 2026 : https://bleepingcomputer.com/news/security/cisa-warns-admins-to-immediately-fix-ivanti-flaw-exploited-as-zero-day

Lire l’article sur Informaclique

Beaucoup s’attendaient à ce que les mises à jour de sécurité de Windows 10 s’arrêtent pour de bon ce mois-ci. Ce ne sera pas le cas : Microsoft a prolongé d’un an son programme de mises à jour de sécurité étendues (ESU) pour les particuliers. Il court désormais jusqu’au 12 octobre 2027, au lieu du 13 octobre 2026.

Une prolongation passée presque inaperçue

Microsoft n’a fait aucune annonce officielle. Le changement est apparu fin juin 2026, discrètement, dans la documentation du programme ESU de Windows 10 et dans une note ajoutée à un article du blog Windows Experience. Help Net Security l’a relevé le 26 juin.

Si vous êtes déjà inscrit, vous n’avez rien à faire : la couverture se prolonge automatiquement jusqu’au 12 octobre 2027. Et l’inscription reste possible jusqu’à cette date.

Qui peut en profiter ?

Le programme ESU grand public concerne les PC qui remplissent ces conditions :

• Windows 10 version 22H2, en édition Famille, Professionnel, Professionnel Éducation ou Professionnel pour les stations de travail ;
• les dernières mises à jour de Windows installées ;
• une session avec un compte Microsoft administrateur, qui sera lié à la licence ESU. Avec un compte local, Windows propose de basculer vers un compte Microsoft. Les comptes enfants ne sont pas éligibles.

Trois façons de s’inscrire

Une fois inscrit, une licence ESU peut couvrir jusqu’à 10 appareils.

Et pour les entreprises ?

Le programme grand public ne s’applique pas aux postes gérés par une entreprise : les machines jointes à un domaine Active Directory ou à Microsoft Entra en sont exclues. Les entreprises relèvent d’un programme ESU commercial distinct, avec ses propres conditions.

Autrement dit, la bonne nouvelle concerne surtout les indépendants, les très petites structures sans annuaire et les particuliers.

Attention au calendrier de Windows 11

Prolonger Windows 10 ne doit pas faire oublier Windows 11. Avec le Patch Tuesday d’octobre 2026, Windows 11 24H2 Famille et Pro ont reçu leur dernière mise à jour. Un poste « à jour sous Windows 11 » peut donc être plus exposé qu’un poste Windows 10 inscrit à l’ESU s’il est resté bloqué sur une ancienne version.

Ce que nous conseillons

1. Faites l’inventaire : version de Windows, édition et build de chaque poste. Les postes Windows 10 qui ne sont pas en 22H2 ne sont pas couverts.
2. Inscrivez les postes éligibles à l’ESU si vous ne pouvez pas migrer tout de suite. L’option gratuite par la sauvegarde Windows suffit dans la plupart des cas.
3. Utilisez l’année gagnée pour planifier, pas pour repousser : renouvellement des machines trop anciennes pour Windows 11, tests des logiciels métier, formation.
4. Vérifiez les versions de Windows 11 déjà déployées et faites monter celles qui ne reçoivent plus de correctifs.

Un PC lent peut aussi être remis en forme avant d’être remplacé : notre script Windows Optimizer nettoie et optimise Windows 10 et 11, et notre application Security Scanner PC fait un audit de sécurité complet d’un poste en quelques minutes.

Sources

• Help Net Security, « Microsoft gives Windows 10 users an unexpected extra year of free security updates », 26 juin 2026 : https://www.helpnetsecurity.com/?p=376177
• Microsoft, page des mises à jour de sécurité étendues : https://www.microsoft.com/en-US/windows/extended-security-updates
• BleepingComputer, Patch Tuesday d’octobre 2026 (fin des mises à jour de Windows 11 24H2 Famille et Pro) : https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/

Lire l’article sur Informaclique

C’était annoncé depuis l’été, c’est désormais effectif : depuis le 15 octobre 2026, les connexions aux serveurs FiveM qui tournent sur une version de FXServer trop ancienne ne sont plus possibles. Si vos joueurs n’arrivent plus à rejoindre votre serveur depuis quelques jours, commencez par vérifier votre version.

Ce que Cfx.re a annoncé

Le 20 août 2026, l’équipe de Cfx.re a publié l’annonce du support de la mise à jour GTA Online The Kortz Center Heist. Elle contenait surtout un changement important pour tous les propriétaires de serveurs :

• FXServer 35245 devient la version « Recommended » de FiveM ;
• le 15 octobre 2026 marque la fin de la fenêtre de compatibilité : à partir de cette date, les connexions aux versions plus anciennes de FXServer ne sont plus possibles.

Cfx.re recommandait de mettre à jour avant l’échéance, pour pouvoir tester le changement à son rythme. Si ce n’est pas encore fait, c’est maintenant.

Le vrai changement : un seul exécutable GTA V

Le fond de l’affaire, c’est la façon dont le client FiveM gère GTA V.

À partir de FXServer 35245, le client lance toujours le dernier exécutable stable de GTA V. Il ne charge ensuite que le contenu de Title Update (les DLC, véhicules, cartes…) que le serveur demande via le paramètre sv_enforceGameBuild.

Ce fonctionnement existait déjà depuis 2024, mais à titre d’expérience à activer volontairement. Il devient le comportement par défaut. Conséquence directe : le paramètre sv_replaceExeToSwitchBuilds est entièrement abandonné depuis la version 35245.

En clair : on ne « change plus d’exécutable » pour cibler un build de jeu, on demande le contenu dont on a besoin.

Mettre à jour sans casser son serveur

1. Sauvegardez votre dossier serveur et votre base de données avant toute chose.
2. Téléchargez un artefact FXServer en version 35245 ou supérieure, en restant sur le canal Recommended pour un serveur en production.
3. Vérifiez votre server.cfg :
   • retirez sv_replaceExeToSwitchBuilds s’il y figure, il ne sert plus à rien ;
   • conservez ou ajoutez sv_enforceGameBuild avec le build de contenu dont vos ressources ont besoin.
4. Démarrez d’abord une copie de test avec les mêmes ressources, connectez-vous, et surveillez la console : ressources qui ne démarrent pas, erreurs de dépendances, avertissements de thread hitch.
5. Basculez la production une fois la copie stable.

Pour relire rapidement votre configuration, notre assistant server.cfg repère les lignes ensure en double et les informations sensibles (clé de licence, mot de passe RCON) qui traînent dans le fichier. Tout se passe dans votre navigateur.

Les problèmes signalés par la communauté

Dans les réponses à l’annonce, des propriétaires de serveurs ont rapporté des soucis sur les builds récents : limites de fichiers YMT, problèmes de liens symboliques (symlinks) et ralentissements du network thread. L’annonce elle-même ne les traite pas, et ces retours restent individuels.

Si vous rencontrez un problème après la mise à jour, Cfx.re invite à le signaler dans les commentaires de l’annonce ou sur le Discord de Cfx. Et profitez-en pour vérifier vos ressources tierces : une mise à jour de plateforme est le bon moment pour faire le ménage. Notre analyseur de sécurité FiveM repère dans vos scripts Lua les motifs suspects (appels HTTP cachés, loadstring, exécution de code distant), sans que vos fichiers ne quittent votre machine.

En résumé

Source

• Cfx.re, « Support for GTA Online: The Kortz Center Heist Update is Available Now », forum officiel, 20 août 2026 : https://forum.cfx.re/t/support-for-gta-online-the-kortz-center-heist-update-is-available-now/5422124

Lire l’article sur Informaclique

Le 13 octobre 2026, Microsoft a publié son Patch Tuesday mensuel. Et cette fois, les chiffres donnent le vertige : 1 411 vulnérabilités corrigées en une seule fois, un record selon BleepingComputer. Ce total n’inclut même pas les 348 failles déjà corrigées plus tôt dans le mois.

Derrière ce chiffre spectaculaire, une seule question compte pour une PME ou un administrateur : qu’est-ce qui doit être installé en priorité ? Réponse en trois points.

Une faille déjà exploitée : CVE-2026-96951 (Windows Shell)

Parmi les trois « zero-days » du mois, un seul est activement exploité : CVE-2026-96951, une faille de contournement de sécurité dans le shell de Windows.

Elle permet de contourner la Marque du Web (Mark of the Web). C’est l’étiquette que Windows pose sur les fichiers téléchargés depuis Internet ; c’est elle qui déclenche l’avertissement « ce fichier provient d’Internet » et le mode protégé d’Office. Sans elle, un fichier piégé reçu par e-mail ou téléchargé s’ouvre comme s’il venait de votre propre disque.

Microsoft la classe « Importante », avec un score CVSS de 8,8. Mais une faille exploitée dans la nature passe avant n’importe quelle faille « Critique » restée théorique. Microsoft n’a pas donné de détails sur les attaques en cours.

Deux failles rendues publiques avant le correctif

Les deux autres zero-days étaient publiquement divulgués au moment du correctif, sans attaque connue à ce stade :

• CVE-2026-108398, dans le .NET Framework : un contournement qui pourrait permettre d’échapper à Windows Defender Application Control (WDAC), le mécanisme qui limite les programmes autorisés à s’exécuter. Elle a été découverte par James Forshaw, de Google Project Zero.
• CVE-2026-92707, dans MessagePack-CSharp, une bibliothèque de sérialisation : un déni de service, classé « Modéré ».

Une faille publique sans attaque, c’est une course : les détails techniques sont disponibles, l’exploitation peut suivre rapidement.

Pourquoi autant de failles ?

Sur les 1 411 failles, 70 sont critiques, dont 57 permettent d’exécuter du code à distance. Selon BleepingComputer, ce volume record s’explique par l’usage croissant d’outils d’IA pour trouver et corriger des vulnérabilités chez Microsoft.

Microsoft teste aussi une nouveauté : des « cohortes de risque », qui regroupent les failles apparentées en 15 familles (par exemple 136 failles dans les systèmes de fichiers, le stockage et la sauvegarde, et 135 dans les documents Office et les clients mail). L’éditeur précise que ces groupes n’indiquent pas quelles failles sont les plus dangereuses et que l’approche est expérimentale.

Fins de support à surveiller

Ce Patch Tuesday est aussi le dernier pour plusieurs versions :

• Windows 11 24H2, éditions Famille et Pro ;
• Windows 10 Entreprise LTSB 2016.

Et Windows 11 23H2 (Entreprise, Éducation, IoT Entreprise) ne recevra plus de mises à jour de sécurité dès le mois prochain. Si votre parc tourne encore sur ces versions, la mise à niveau devient urgente : un poste sans correctifs de sécurité ne devrait plus être exposé à Internet.

Les autres éditeurs aussi

Le même jour, plusieurs éditeurs ont publié des correctifs importants. Citrix, Fortinet et Ivanti ont chacun corrigé des failles exploitées dans des attaques. Côté Atlassian, la CVE-2026-21589 a été exploitée après la publication d’une preuve de concept. Chez SonicWall, une faille SSRF de la gamme SMA1000 a été exploitée en deux jours.

Que faire concrètement ?

1. Déployer les mises à jour Windows d’octobre en priorité sur les postes qui reçoivent des pièces jointes et des téléchargements : ce sont eux que vise la faille de la Marque du Web.
2. Ne pas attendre le cycle habituel pour les postes exposés : une faille exploitée justifie un déploiement accéléré.
3. Inventorier les versions de Windows de votre parc et planifier la sortie de Windows 11 24H2 Famille/Pro et 23H2 Entreprise.
4. Vérifier vos équipements réseau (VPN, pare-feux, passerelles d’accès distant) : ce sont eux que visent les attaques les plus graves du mois chez les autres éditeurs.
5. Rappeler aux équipes de se méfier des fichiers reçus par e-mail, même quand Windows n’affiche aucun avertissement.

Un doute sur la capacité de vos équipes à repérer un e-mail piégé ? Notre détecteur de phishing et notre quiz cybersécurité sont gratuits et se font en dix minutes.

Sources

• BleepingComputer, « Microsoft October 2026 Patch Tuesday fixes 1,411 flaws, 3 zero-days », 13 octobre 2026 : https://www.bleepingcomputer.com/news/microsoft/microsoft-october-2026-patch-tuesday-fixes-1-411-flaws-3-zero-days/

Lire l’article sur Informaclique

Le premier semestre 2026 a confirmé l'accélération des innovations technologiques qui transforment le paysage économique et industriel. Pour les PME et les entreprises du BTP, anticiper ces évolutions est essentiel afin de saisir les opportunités et de maintenir leur compétitivité. Voici les tendances majeures qui marqueront la seconde moitié de l'année et au-delà.

L'intelligence artificielle générative entre dans les processus métier

Après une phase d'expérimentation, l'IA générative s'intègre désormais concrètement dans les outils professionnels et les processus opérationnels des entreprises.

• Assistants intégrés aux ERP : les modules d'IA embarqués dans les logiciels de gestion génèrent automatiquement des analyses de rentabilité, des prévisions de trésorerie et des recommandations d'optimisation
• Rédaction automatisée : génération de comptes rendus de réunion, de rapports de chantier, de réponses aux appels d'offres et de documentation technique avec relecture humaine
• Analyse de documents : extraction automatique d'informations clés dans les contrats, les CCTP, les plans et les devis pour alimenter les bases de données métier
• Support client augmenté : chatbots capables de traiter les demandes techniques de premier niveau en s'appuyant sur la documentation produit de l'entreprise
• Conception assistée : outils d'IA qui proposent des variantes de conception architecturale ou structurelle respectant les contraintes définies par l'ingénieur

Une entreprise de BTP peut ainsi utiliser l'IA pour analyser automatiquement un CCTP de deux cents pages et en extraire les exigences techniques, les matériaux imposés et les délais contractuels, réduisant de plusieurs heures le travail de chiffrage.

L'edge computing rapproche le calcul du terrain

Le traitement des données en périphérie du réseau, au plus près des sources de données, prend une importance croissante pour les applications industrielles et de chantier.

• Traitement local des données IoT : les capteurs de chantier sont couplés à des micro-serveurs locaux qui filtrent et analysent les données avant de transmettre uniquement les informations pertinentes au cloud
• Latence réduite : les applications critiques (sécurité, pilotage d'engins) bénéficient de temps de réponse de quelques millisecondes grâce au calcul local
• Fonctionnement hors connexion : les applications de terrain continuent de fonctionner même en l'absence de réseau, avec synchronisation automatique dès le rétablissement de la connexion
• Réduction de la bande passante : seules les données agrégées et pertinentes transitent vers le cloud, réduisant les coûts de communication et l'empreinte carbone

Cette tendance est particulièrement pertinente pour les chantiers isolés où la connectivité reste un défi, permettant de déployer des solutions numériques avancées sans dépendre d'une couverture réseau parfaite.

La cybersécurité Zero Trust se généralise

Face à la sophistication croissante des cyberattaques, le modèle de sécurité Zero Trust s'impose comme le nouveau standard pour protéger les systèmes d'information.

• Vérification continue : chaque accès à une ressource est vérifié et autorisé individuellement, même pour un utilisateur déjà authentifié sur le réseau interne
• Micro-segmentation : le réseau est divisé en zones ultra-granulaires avec des contrôles d'accès spécifiques pour chaque segment, limitant la propagation d'une compromission
• Identité comme périmètre : l'identité de l'utilisateur et le contexte de la connexion (appareil, localisation, comportement) remplacent le périmètre réseau comme critère de confiance
• Accès conditionnel : les politiques de sécurité adaptent dynamiquement les niveaux d'accès en fonction du risque évalué en temps réel

Les PME bénéficient désormais de solutions Zero Trust packagées et accessibles financièrement, rendant cette approche réaliste même sans équipe de cybersécurité dédiée.

La blockchain dans la gestion documentaire du BTP

Les technologies de registre distribué trouvent des applications concrètes dans la traçabilité et la certification des documents de construction.

• Horodatage certifié : les plans, les rapports de contrôle et les procès-verbaux de réception sont horodatés de manière infalsifiable sur une blockchain
• Traçabilité des matériaux : suivi de la provenance et de la certification des matériaux de construction depuis le fabricant jusqu'à la mise en œuvre
• Smart contracts : automatisation des paiements conditionnels (libération de retenue de garantie, paiement à l'avancement) déclenchés par la validation de jalons vérifiables
• Carnet numérique du bâtiment : stockage sécurisé et pérenne de l'historique complet du bâtiment, accessible aux propriétaires et gestionnaires successifs

L'essor des jumeaux numériques au-delà du BIM

Le concept de jumeau numérique s'étend au-delà de la modélisation du bâtiment pour englober l'ensemble de l'activité de l'entreprise.

• Jumeau numérique du chantier : simulation complète du déroulement du chantier intégrant la logistique, les flux de personnel, les conditions météo et les interdépendances entre lots
• Jumeau numérique de l'entreprise : modélisation des processus métier, des flux financiers et des capacités de production pour simuler l'impact des décisions stratégiques
• Maintenance prédictive : les jumeaux numériques des bâtiments en exploitation anticipent les pannes et optimisent les interventions de maintenance
• Formation immersive : utilisation des jumeaux numériques couplés à la réalité virtuelle pour former les opérateurs aux procédures complexes en toute sécurité

La sobriété numérique devient un impératif

La prise de conscience environnementale se traduit par une attention croissante à l'empreinte écologique du numérique.

• Green IT : optimisation de la consommation énergétique des datacenters, allongement de la durée de vie des équipements et écoconception logicielle
• Mesure de l'empreinte : outils de calcul de l'empreinte carbone du système d'information pour piloter les efforts de réduction
• Cloud souverain et local : préférence croissante pour des hébergeurs de proximité offrant des datacenters alimentés en énergie renouvelable
• Rationalisation applicative : suppression des applications redondantes et consolidation des outils pour réduire la consommation de ressources

Conclusion

Le second semestre 2026 s'annonce riche en opportunités technologiques pour les PME et les entreprises du BTP. L'IA générative, l'edge computing, le Zero Trust et les jumeaux numériques ne sont plus des concepts abstraits mais des solutions concrètes et accessibles. Faites appel à un partenaire technologique pour identifier les tendances les plus pertinentes pour votre activité et définir un plan d'adoption pragmatique qui vous donnera une longueur d'avance.

Lire l’article sur Informaclique

L'année 2026 marque un tournant dans la maturité numérique des petites et moyennes entreprises françaises. Après des années d'accélération forcée par la pandémie puis de consolidation, le paysage de la transformation digitale des PME se dessine désormais avec plus de clarté. Entre avancées significatives et chantiers encore inachevés, dressons un état des lieux factuel de cette mutation en cours.

L'état des lieux de la digitalisation des PME françaises

Les études récentes révèlent une situation contrastée, avec des progrès indéniables mais aussi des retards persistants dans certains domaines.

• Adoption du cloud : plus de 70 % des PME utilisent désormais au moins un service cloud, contre à peine 40 % en 2020, principalement pour la messagerie, le stockage et les outils collaboratifs
• ERP et outils de gestion : environ 45 % des PME de plus de 50 salariés sont équipées d'un ERP, mais beaucoup n'exploitent qu'une fraction des fonctionnalités disponibles
• Présence en ligne : 85 % des PME disposent d'un site web, mais seulement 30 % l'utilisent réellement comme canal de génération de leads ou de vente
• Cybersécurité : la prise de conscience progresse, mais 60 % des PME n'ont toujours pas de politique de sécurité formalisée ni de plan de continuité d'activité
• Intelligence artificielle : moins de 15 % des PME utilisent concrètement l'IA dans leurs processus, malgré un intérêt déclaré beaucoup plus large

Le secteur du BTP, historiquement en retard, affiche une progression notable avec l'adoption croissante du BIM, des applications mobiles de suivi de chantier et des solutions de gestion intégrée.

Les succès de la transformation digitale

Plusieurs domaines ont connu des avancées remarquables qui ont transformé le quotidien des entreprises et de leurs collaborateurs.

• Travail hybride généralisé : les outils collaboratifs (visioconférence, messagerie instantanée, partage de documents) sont devenus des standards maîtrisés par la grande majorité des salariés
• Dématérialisation comptable : la facturation électronique, rendue obligatoire progressivement, a accéléré la digitalisation des processus financiers et réduit les délais de traitement
• Signature électronique : adoptée massivement pour les contrats, devis et bons de commande, elle a supprimé des jours de latence dans les processus commerciaux
• Gestion commerciale digitalisée : les CRM se sont démocratisés même dans les petites structures, améliorant le suivi des prospects et la relation client
• Applications métier mobiles : les collaborateurs terrain (techniciens, commerciaux, conducteurs de travaux) disposent d'outils mobiles qui améliorent leur productivité et la remontée d'informations

Ces succès démontrent que la transformation digitale n'est pas réservée aux grandes entreprises et que les PME peuvent en tirer des bénéfices concrets et rapides.

Les freins qui persistent

Malgré les progrès réalisés, plusieurs obstacles continuent de ralentir la transformation numérique des PME.

• Pénurie de compétences : le recrutement de profils numériques reste extrêmement difficile pour les PME, qui peinent à rivaliser avec les salaires proposés par les grandes entreprises et les startups
• Résistance au changement : certains collaborateurs et dirigeants restent réticents à modifier des habitudes de travail ancrées depuis des années
• Budget contraint : les investissements numériques sont souvent perçus comme un coût plutôt que comme un investissement, conduisant à des choix sous-dimensionnés
• Complexité de l'offre : la multiplication des solutions disponibles rend le choix difficile et génère un risque de suréquipement incohérent
• Intégration insuffisante : beaucoup de PME empilent des outils qui ne communiquent pas entre eux, créant de nouveaux silos numériques aussi problématiques que les anciens silos papier
• Sous-exploitation des outils : les logiciels déployés ne sont utilisés qu'à 20 ou 30 % de leur potentiel, faute de formation continue et d'accompagnement au changement

Les tendances qui redessinent le paysage

Plusieurs dynamiques émergentes en 2026 dessinent les contours de la prochaine phase de la transformation digitale des PME.

• IA générative accessible : les assistants IA intégrés aux outils bureautiques et métier commencent à automatiser la rédaction, l'analyse de données et le support client
• Plateformes sectorielles : émergence de solutions cloud verticales spécialisées par métier (BTP, artisanat, négoce) qui offrent des fonctionnalités adaptées sans la complexité d'un ERP généraliste
• Low-code et no-code : les outils de développement visuel permettent aux équipes métier de créer leurs propres applications, réduisant la dépendance au service informatique
• Cybersécurité managée : les offres de sécurité en tant que service (SOC managé, EDR) rendent la cybersécurité professionnelle accessible aux budgets des PME
• RSE numérique : la sobriété numérique et la mesure de l'empreinte carbone du système d'information deviennent des préoccupations concrètes

Les enseignements clés pour les dirigeants

L'expérience accumulée ces dernières années permet de dégager des recommandations pratiques pour les PME qui poursuivent leur transformation.

• Partir du besoin métier : choisir les outils en fonction des problèmes concrets à résoudre, jamais pour suivre une tendance technologique
• Investir dans l'accompagnement : consacrer au moins 30 % du budget d'un projet numérique à la formation et à la conduite du changement
• Privilégier l'intégration : à fonctionnalités égales, choisir l'outil qui s'intègre le mieux à l'écosystème existant
• Mesurer les résultats : définir des indicateurs de performance avant le déploiement et les suivre pour valider le retour sur investissement
• Avancer par étapes : privilégier des projets courts (trois à six mois) avec des résultats visibles plutôt que des programmes pluriannuels ambitieux mais risqués

Conclusion

La transformation digitale des PME françaises en 2026 est une réalité tangible mais encore inégale. Les entreprises qui tirent le meilleur parti du numérique sont celles qui ont su conjuguer vision stratégique, pragmatisme dans les choix d'outils et investissement dans l'humain. Prenez rendez-vous avec un consultant en transformation numérique pour évaluer votre maturité digitale et construire une feuille de route réaliste et ambitieuse pour les mois à venir.

Lire l’article sur Informaclique

Les recherches autour des erreurs FiveM (GTA V multijoueur via Cfx.re) restent parmi les plus fréquentes : joueurs bloqués au lancement, administrateurs avec un serveur instable après une ressource, ou messages obscurs dans la console. Ce guide cible explicitement « awaiting scripts » bloqué au démarrage du serveur pour le référencement naturel et la résolution pas à pas.

Chez Informaclique (site informaclique.fr), nous publions aussi des guides techniques et des outils gratuits — dont un outil d'analyse de configuration sécurité FiveM utile pour auditer ce qui est exposé.

Message typique et symptômes

Vous repérez l'erreur dans le navigateur, les logs serveur, la console développeur ou, côté FiveM, dans F8 / logs Cfx. Notez l'heure exacte, la ressource affichée et la version des composants (artifacts, Node, build ID).

Causes fréquentes (priorisées)

1. Le symptôme lié à « « awaiting scripts » bloqué au démarrage du serveur » apparaît souvent après une mise à jour de ressource sans restart complet ou sans ensure cohérent.

2. Comparez la console F8 (client) et les logs serveur (txAdmin ou terminal) : la première traceback indique généralement la ressource à isoler.

3. Vérifiez artifacts, game build, OneSync et la compatibilité annoncée par les scripts (ESX, QBCore, ox_*).

4. Pour limiter les risques sécurité côté communauté, un passage sur l'analyse sécurité FiveM permet de repérer des réglages dangereux — gratuit sur informaclique.fr.

Check-list de résolution

• Isoler : retirer la dernière ressource ou le dernier commit déployé ; reproduire sur copie (staging).
• Vérifier les versions : Node LTS, dépendances natives (sharp, bcrypt), build Next, artifacts FiveM.
• Réseau & secrets : ports ouverts, DATABASE_URL, pare-feu, .env chargé en prod.
• Cache : purge .next, CDN, cache client FiveM si pertinent.
• Documenter : une fois corrigé, consigner la cause racine pour éviter la récidive.

Quand contacter un prestataire

Si la chaîne (Lua + SQL + assets + infra) devient trop coûteuse en temps interne, un développeur externe peut auditer et livrer un correctif durable — c'est le cœur du métier d'Informaclique.

Ressources Informaclique

• Accueil & prise de contact
• Outils en ligne gratuits
• Blog technique
• Analyse sécurité FiveM (gratuit)

Article « série erreurs » — optimisé pour les recherches de problèmes courants. Informaclique, développement informatique et solutions digitales sur-mesure.

Lire l’article sur Informaclique

La gestion des ressources humaines dans le secteur du bâtiment et des travaux publics présente des défis uniques : équipes mobiles réparties sur plusieurs chantiers, compétences spécialisées par corps de métier, intérimaires, variations saisonnières de l'activité et contraintes réglementaires strictes. Un ERP adapté au BTP intègre des fonctionnalités spécifiques pour planifier, affecter et optimiser les ressources humaines avec une précision et une réactivité impossibles à atteindre avec des outils traditionnels.

Les défis spécifiques de la planification RH dans le BTP

Le BTP cumule des contraintes qui rendent la planification des ressources humaines particulièrement complexe.

• Multi-chantiers simultanés : un même ouvrier ou chef d'équipe peut être affecté à plusieurs chantiers dans la même semaine, nécessitant une coordination fine des plannings
• Compétences et habilitations : certaines tâches exigent des qualifications spécifiques (CACES, habilitation électrique, travail en hauteur) dont la validité doit être vérifiée
• Saisonnalité marquée : l'activité fluctue fortement selon les saisons, avec des pics nécessitant le recours à l'intérim et des creux imposant une gestion anticipée des congés
• Éloignement géographique : les chantiers dispersés sur un territoire étendu ajoutent des contraintes de déplacement et d'hébergement
• Réglementation sociale : temps de travail, repos obligatoires, pénibilité, intempéries, les règles sociales spécifiques au BTP sont nombreuses et complexes

Un directeur de travaux gérant huit chantiers actifs avec cent cinquante collaborateurs et trente intérimaires ne peut pas s'appuyer sur un simple tableau Excel pour garantir l'adéquation des ressources aux besoins.

Planifier les affectations avec précision

Le module de planification d'un ERP BTP offre une vision globale et détaillée des affectations, permettant d'optimiser l'utilisation des ressources disponibles.

• Planning visuel multi-chantiers : vue d'ensemble de tous les chantiers avec les équipes affectées, les charges prévisionnelles et les disponibilités sur un diagramme de Gantt interactif
• Affectation par compétences : le système propose les collaborateurs disponibles et qualifiés pour une tâche donnée, en vérifiant automatiquement la validité de leurs habilitations
• Gestion des équipes types : constitution d'équipes prédéfinies par type de chantier (gros œuvre, second œuvre, finitions) réutilisables d'un projet à l'autre
• Prise en compte des contraintes : intégration des congés validés, des formations planifiées, des visites médicales et des indisponibilités dans le calcul des capacités
• Simulation de scénarios : possibilité de tester différentes configurations d'affectation pour trouver l'optimum avant de valider le planning définitif

Par exemple, lorsqu'un chef de chantier signale un besoin de deux coffreurs supplémentaires pour la semaine suivante, le responsable planification identifie en quelques clics les coffreurs disponibles sur d'autres chantiers moins chargés ou lance une demande d'intérim ciblée.

Suivre les temps et l'activité en temps réel

Le suivi des heures travaillées est fondamental dans le BTP tant pour le pilotage financier des chantiers que pour la conformité sociale.

• Pointage mobile : saisie des heures de début et de fin de journée directement sur smartphone par les ouvriers ou les chefs d'équipe, avec géolocalisation
• Ventilation analytique : répartition des heures par chantier, par lot et par tâche pour alimenter le suivi des coûts de main-d'œuvre de chaque projet
• Heures supplémentaires automatiques : calcul automatique des heures supplémentaires, majorations et repos compensateurs selon les conventions collectives applicables
• Intempéries : déclaration et gestion des arrêts intempéries avec impact automatique sur la paie et les déclarations
• Validation hiérarchique : workflow de validation des pointages par le conducteur de travaux avant transmission à la paie

Ce suivi en temps réel permet de détecter immédiatement une dérive des heures consommées par rapport au budget prévisionnel du chantier et de prendre des mesures correctives.

Gérer les compétences et la formation

Dans un secteur où les qualifications conditionnent la sécurité des personnes, la gestion des compétences est un enjeu critique.

• Matrice de compétences : cartographie des savoir-faire de chaque collaborateur avec niveaux de maîtrise et dates d'obtention des certifications
• Alertes d'expiration : notification automatique avant l'échéance des habilitations, permis, visites médicales et certifications obligatoires
• Plan de formation : identification des besoins de formation en croisant les compétences requises par les chantiers à venir et les compétences disponibles
• Suivi des coûts de formation : traçabilité des dépenses de formation par collaborateur et par thématique pour optimiser le budget formation
• Gestion de la polyvalence : encourager le développement de compétences multiples pour augmenter la flexibilité d'affectation des équipes

Optimiser le recours à l'intérim et à la sous-traitance

L'ERP intègre la gestion des ressources externes dans le même outil que les ressources internes pour une vision unifiée.

• Besoins prévisionnels : identification anticipée des besoins en intérimaires à partir du plan de charge et des disponibilités internes
• Portail agences d'intérim : transmission automatisée des demandes de personnel aux agences partenaires avec les profils recherchés et les dates souhaitées
• Suivi des contrats : gestion dématérialisée des contrats de mise à disposition, des relevés d'heures et de la facturation
• Évaluation des intérimaires : notation des intérimaires après chaque mission pour constituer un vivier de profils qualifiés et fiables
• Conformité documentaire : vérification automatique des documents obligatoires avant toute prise de poste sur le chantier

Conclusion

La planification des ressources humaines dans le BTP est un exercice complexe qui impacte directement la rentabilité des chantiers et la satisfaction des équipes. Un ERP spécialisé apporte la visibilité, l'automatisation et la rigueur nécessaires pour transformer cette complexité en avantage concurrentiel. Sollicitez un expert en ERP pour le BTP afin d'évaluer vos processus actuels de planification RH et déployer une solution adaptée à la taille et aux spécificités de votre entreprise.

Lire l’article sur Informaclique

Dans l'écosystème numérique d'une PME, les logiciels se multiplient : ERP, CRM, logiciel de comptabilité, gestion de projet, messagerie, plateforme RH. Lorsque ces outils fonctionnent en silos, les données sont ressaisies manuellement, les erreurs s'accumulent et les processus sont ralentis. Les API ouvertes offrent la solution pour interconnecter ces applications et créer un système d'information fluide et cohérent.

Qu'est-ce qu'une API et pourquoi est-ce stratégique

Une API (Application Programming Interface) est un ensemble de protocoles et de définitions qui permet à deux logiciels de communiquer entre eux de manière standardisée.

• Interface de communication : l'API définit les requêtes qu'un logiciel peut envoyer à un autre et le format des réponses attendues, comme un contrat technique entre deux systèmes
• API ouverte (Open API) : une API dont la documentation est publique et accessible, permettant à tout développeur autorisé de l'utiliser pour créer des intégrations
• API REST : le standard le plus répandu, basé sur le protocole HTTP avec des échanges de données au format JSON, simple à comprendre et à implémenter
• Webhooks : mécanisme complémentaire où un système envoie automatiquement une notification à un autre lorsqu'un événement survient, sans attendre qu'on l'interroge

Par exemple, lorsqu'un devis est validé dans votre ERP, une API peut automatiquement créer le projet correspondant dans votre outil de gestion de chantier, sans aucune intervention humaine.

Les bénéfices concrets de l'interconnexion

Connecter vos outils via des API transforme en profondeur le fonctionnement quotidien de l'entreprise et génère des gains mesurables.

• Élimination de la double saisie : une information saisie dans un outil est automatiquement propagée vers tous les systèmes concernés, réduisant le temps administratif et les erreurs de transcription
• Données en temps réel : les tableaux de bord agrègent des données provenant de sources multiples et les présentent de manière unifiée, offrant une vision à 360 degrés
• Automatisation des processus : les workflows transversaux (devis, commande, livraison, facturation) s'enchaînent automatiquement d'un outil à l'autre
• Réactivité accrue : les alertes et notifications croisées entre systèmes permettent de réagir immédiatement aux événements critiques
• Scalabilité : l'ajout d'un nouvel outil dans l'écosystème se fait par simple connexion API, sans remettre en cause l'architecture existante

Une entreprise de BTP qui connecte son ERP à son logiciel de planning peut ainsi voir les heures pointées sur le chantier se déverser automatiquement dans le suivi budgétaire du projet, sans aucune ressaisie.

Cas d'usage d'intégration pour les PME du BTP

Le secteur de la construction offre de nombreuses opportunités d'interconnexion qui génèrent des gains de productivité substantiels.

• ERP et logiciel de devis : les articles du catalogue ERP alimentent le chiffrage, et les devis validés créent automatiquement les affaires et les budgets prévisionnels dans l'ERP
• Gestion de projet et comptabilité : les situations de travaux validées génèrent automatiquement les factures clients et les écritures comptables correspondantes
• CRM et messagerie : les échanges email avec un prospect sont automatiquement rattachés à sa fiche dans le CRM, préservant la mémoire commerciale
• Planning et ressources humaines : les absences saisies dans le logiciel RH se reflètent immédiatement dans le planning de chantier, évitant les conflits d'affectation
• Capteurs IoT et tableau de bord : les données remontées par les capteurs sur le chantier alimentent en temps réel les indicateurs de suivi du projet

Comment mettre en place une stratégie d'intégration

L'interconnexion des outils ne s'improvise pas et doit suivre une démarche structurée pour éviter les écueils.

• Cartographier les flux de données : identifier les informations qui transitent entre les services et les outils, en distinguant les flux critiques des flux secondaires
• Évaluer les API disponibles : vérifier que les logiciels en place proposent des API documentées, stables et suffisamment riches pour couvrir les besoins identifiés
• Choisir une approche d'intégration : connexion point à point pour des besoins simples, ou mise en place d'un middleware (iPaaS) pour orchestrer des flux complexes entre de nombreux outils
• Sécuriser les échanges : authentification par clé API ou OAuth2, chiffrement des données en transit, journalisation des appels pour traçabilité et audit
• Tester et monitorer : mettre en place des tests automatisés pour valider les intégrations et un monitoring pour détecter les erreurs de synchronisation en temps réel

Les plateformes d'intégration pour simplifier les connexions

Les plateformes iPaaS (Integration Platform as a Service) rendent l'intégration accessible même sans compétences de développement avancées.

• Connecteurs préconfigurés : des centaines d'intégrations prêtes à l'emploi pour les logiciels les plus courants, activables en quelques clics
• Interface visuelle : conception des flux d'intégration par glisser-déposer, avec des blocs logiques conditionnels et des transformations de données
• Gestion des erreurs : mécanismes de retry automatique, file d'attente et alertes en cas d'échec d'une synchronisation
• Scalabilité : la plateforme gère automatiquement la montée en charge des flux sans intervention technique

Des outils comme Make, n8n ou Zapier permettent à un responsable informatique de PME de connecter ses outils en quelques heures, là où un développement sur mesure prendrait des semaines.

Conclusion

Les API ouvertes sont le ciment qui relie les briques logicielles de votre système d'information. En interconnectant vos outils, vous supprimez les silos de données, automatisez les processus transversaux et offrez à vos équipes une expérience numérique fluide. Consultez un intégrateur spécialisé pour cartographier vos flux de données et concevoir une architecture d'intégration robuste, évolutive et adaptée à vos enjeux métier.

Lire l’article sur Informaclique

Le choix du modèle de cloud computing est une décision structurante pour toute PME engagée dans sa transformation numérique. Cloud public, cloud privé ou cloud hybride : chaque option présente des caractéristiques, des avantages et des contraintes spécifiques. Comprendre ces différences est essentiel pour aligner votre infrastructure informatique avec vos besoins métier, vos exigences de sécurité et votre budget.

Comprendre les trois modèles de cloud

Avant d'effectuer un choix, il convient de bien cerner ce que recouvre chaque modèle et ses implications techniques.

• Cloud public : les ressources informatiques (serveurs, stockage, réseau) sont mutualisées entre de nombreux clients sur l'infrastructure d'un fournisseur comme AWS, Azure ou OVHcloud. Le paiement se fait à l'usage sans investissement initial
• Cloud privé : l'infrastructure est dédiée exclusivement à votre entreprise, hébergée soit dans votre propre datacenter soit chez un prestataire. Vous disposez d'un contrôle total sur la configuration et la sécurité
• Cloud hybride : combinaison des deux modèles précédents, permettant de répartir les charges de travail entre un environnement privé et un environnement public selon les besoins

Chaque modèle répond à des philosophies différentes en matière de gestion de l'infrastructure, et le choix optimal dépend toujours du contexte spécifique de l'entreprise.

Les atouts et limites du cloud public

Le cloud public séduit par sa simplicité de mise en œuvre et son modèle économique flexible, mais il comporte des contreparties.

• Élasticité instantanée : capacité à augmenter ou réduire les ressources en quelques minutes pour absorber les pics de charge sans surdimensionnement permanent
• Pas d'investissement matériel : aucun serveur à acheter, aucun datacenter à maintenir, le fournisseur gère l'intégralité de l'infrastructure physique
• Catalogue de services étendu : accès à des centaines de services managés (bases de données, intelligence artificielle, IoT, conteneurs) sans expertise spécialisée
• Localisation des données : les données peuvent être hébergées dans des datacenters situés hors de France ou d'Europe, posant des questions de souveraineté
• Coûts variables : la facturation à l'usage peut réserver des surprises si la consommation n'est pas surveillée et optimisée régulièrement
• Dépendance au fournisseur : les services propriétaires créent un verrouillage qui rend la migration vers un autre fournisseur coûteuse

Par exemple, une entreprise de BTP qui lance un nouveau portail client peut le déployer en cloud public pour bénéficier de l'élasticité pendant la phase de montée en charge sans investir dans des serveurs qui seraient sous-utilisés ensuite.

Les atouts et limites du cloud privé

Le cloud privé répond aux besoins des organisations qui exigent un contrôle total sur leurs données et leur infrastructure.

• Maîtrise complète : choix du matériel, de la configuration réseau, des politiques de sécurité et des logiciels sans aucune contrainte imposée par un tiers
• Performance prévisible : les ressources ne sont pas partagées avec d'autres clients, garantissant des performances constantes et prévisibles
• Conformité facilitée : la localisation et le contrôle des données simplifient la conformité avec le RGPD et les réglementations sectorielles
• Coûts d'investissement élevés : l'achat, l'installation et la maintenance de l'infrastructure nécessitent un budget initial conséquent
• Compétences requises : l'administration d'un cloud privé exige des compétences techniques pointues en virtualisation, réseau et sécurité
• Élasticité limitée : la capacité est contrainte par le matériel disponible, et tout ajout de ressources nécessite un délai d'approvisionnement

Le cloud hybride : le meilleur des deux mondes

Le cloud hybride combine les avantages du public et du privé en permettant de placer chaque charge de travail dans l'environnement le plus adapté.

• Répartition intelligente : les données sensibles et les applications critiques restent dans le cloud privé tandis que les charges de travail variables migrent vers le cloud public
• Cloud bursting : capacité à déborder automatiquement vers le cloud public lorsque les ressources du cloud privé sont saturées
• Stratégie de reprise d'activité : utilisation du cloud public comme site de secours pour le plan de continuité d'activité, réduisant les coûts d'un second datacenter
• Migration progressive : possibilité de migrer graduellement les applications vers le cloud public en conservant un filet de sécurité privé
• Complexité accrue : la gestion de deux environnements interconnectés nécessite des outils d'orchestration et des compétences spécifiques

Concrètement, une entreprise peut héberger son ERP et ses données financières sur un cloud privé pour des raisons de confidentialité, tout en utilisant le cloud public pour son site web, sa messagerie et ses outils collaboratifs.

Critères de décision pour votre entreprise

Le choix entre ces trois modèles doit s'appuyer sur une analyse multicritère adaptée à votre contexte.

• Sensibilité des données : des données hautement confidentielles orientent vers le privé, des données moins sensibles vers le public
• Budget disponible : un budget d'investissement limité favorise le cloud public en mode OpEx, un budget plus large permet le cloud privé en mode CapEx
• Compétences internes : l'absence d'équipe infrastructure incite à déléguer au cloud public, la présence d'experts permet d'envisager le privé
• Exigences réglementaires : certains secteurs imposent des contraintes de localisation ou de souveraineté qui orientent le choix
• Besoins de performance : des applications nécessitant une latence ultra-faible ou des performances garanties privilégient le cloud privé
• Perspective d'évolution : anticiper la croissance de l'entreprise et la montée en charge des applications sur trois à cinq ans

Conclusion

Il n'existe pas de modèle de cloud universellement supérieur. Le choix optimal résulte d'une analyse approfondie de vos contraintes techniques, réglementaires, financières et organisationnelles. Le cloud hybride, en offrant la flexibilité de combiner les approches, s'impose souvent comme le compromis le plus pertinent pour les PME. Faites appel à un architecte cloud pour évaluer vos besoins et concevoir une infrastructure sur mesure, évolutive et sécurisée.

Lire l’article sur Informaclique

La qualité est un pilier fondamental du secteur du bâtiment et des travaux publics. Les malfaçons, les non-conformités et les défauts de finition engendrent des coûts considérables : reprises, retards, litiges et atteinte à la réputation de l'entreprise. Les outils numériques offrent désormais des solutions concrètes pour structurer, automatiser et fiabiliser la gestion de la qualité à chaque phase d'un projet de construction.

Les enjeux de la qualité dans le BTP

Le secteur du BTP fait face à des exigences de qualité multiples et croissantes qui rendent indispensable une approche structurée.

• Réglementation technique : normes DTU, Eurocodes, réglementation thermique RE2020, normes d'accessibilité PMR, chaque lot est soumis à un corpus réglementaire dense
• Exigences contractuelles : les cahiers des charges des maîtres d'ouvrage définissent des niveaux de performance et de finition de plus en plus précis
• Garanties légales : la garantie de parfait achèvement, la garantie biennale et la garantie décennale engagent durablement la responsabilité de l'entreprise
• Multiplicité des intervenants : la coordination qualité entre architecte, bureau d'études, entreprise générale et sous-traitants est un défi permanent
• Conditions de réalisation variables : intempéries, contraintes de site et approvisionnements aléatoires impactent directement la qualité d'exécution

Un défaut d'étanchéité non détecté lors de la réception peut coûter dix fois plus cher à corriger deux ans plus tard, sans compter les dommages collatéraux et la perte de confiance du client.

Digitaliser les contrôles qualité sur le terrain

Les applications mobiles de contrôle qualité transforment la manière dont les vérifications sont réalisées et documentées sur le chantier.

• Fiches de contrôle dématérialisées : checklists numériques adaptées à chaque lot technique, accessibles sur tablette ou smartphone même hors connexion
• Documentation photographique : prise de photos géolocalisées et horodatées directement intégrées à la fiche de contrôle, avec annotation sur plan
• Localisation sur maquette BIM : positionnement précis des observations directement sur la maquette numérique pour une identification sans ambiguïté
• Signature électronique : validation des contrôles par les responsables habilités avec traçabilité complète et valeur probante
• Historique complet : chaque point de contrôle conserve l'intégralité de son historique (observations, corrections, validations) pour répondre aux audits

Concrètement, un chef de chantier réalisant la réception d'un lot de plâtrerie saisit ses observations sur tablette, prend des photos des défauts constatés, les positionne sur le plan et envoie automatiquement la liste des réserves au sous-traitant concerné.

Automatiser le traitement des non-conformités

Le cycle de vie d'une non-conformité, de sa détection à sa clôture, gagne considérablement en efficacité grâce à l'automatisation.

• Workflow paramétrable : définition des étapes de traitement (détection, analyse, action corrective, vérification, clôture) avec des rôles et des délais pour chaque étape
• Attribution automatique : la non-conformité est automatiquement assignée au responsable du lot concerné en fonction de sa nature et de sa localisation
• Relances automatiques : notifications et escalades en cas de dépassement des délais de traitement, garantissant qu'aucune observation ne reste sans suite
• Analyse des causes racines : classification structurée des non-conformités par type, lot, cause et gravité pour identifier les problèmes récurrents
• Actions préventives : le système suggère des actions préventives basées sur l'analyse des non-conformités passées sur des projets similaires

Piloter la qualité par les indicateurs

Les tableaux de bord numériques offrent une vision synthétique et actualisée de la performance qualité, permettant un pilotage proactif.

• Taux de conformité par lot : pourcentage de contrôles conformes au premier passage, révélateur de la qualité d'exécution de chaque intervenant
• Délai moyen de traitement : temps écoulé entre la détection d'une non-conformité et sa clôture, indicateur d'efficacité des processus correctifs
• Évolution dans le temps : courbes de tendance montrant l'amélioration ou la dégradation de la qualité au fil du projet
• Comparaison entre chantiers : benchmarking interne permettant d'identifier les meilleures pratiques et de les généraliser
• Coûts de non-qualité : estimation financière des reprises, retards et pénalités liés aux défauts de qualité

Ces indicateurs alimentent les revues de direction et les réunions de chantier avec des données factuelles, remplaçant les impressions subjectives par des mesures objectives.

Intégrer la qualité dans l'écosystème numérique du projet

La gestion de la qualité ne doit pas fonctionner en silo mais s'intégrer harmonieusement aux autres outils numériques du projet.

• Lien avec le BIM : les observations qualité sont rattachées aux éléments de la maquette numérique, enrichissant le jumeau numérique du bâtiment
• Connexion à l'ERP : les coûts de reprise alimentent automatiquement le suivi budgétaire du projet
• Interface avec le planning : les délais de correction des non-conformités sont intégrés au planning général pour anticiper les impacts sur les jalons
• Partage avec le maître d'ouvrage : accès sécurisé aux rapports qualité pour les parties prenantes, renforçant la transparence et la confiance

Conclusion

Le numérique apporte au BTP les outils nécessaires pour passer d'une gestion de la qualité réactive et administrative à une démarche proactive et mesurable. En digitalisant les contrôles, en automatisant le traitement des non-conformités et en pilotant par les indicateurs, les entreprises réduisent significativement les coûts de non-qualité. Contactez un expert en solutions numériques pour le BTP afin d'évaluer votre maturité qualité et déployer les outils adaptés à vos chantiers.

Lire l’article sur Informaclique

Face à la pénurie de développeurs et aux délais souvent longs des projets informatiques traditionnels, les plateformes no-code s'imposent comme une alternative crédible pour les PME qui souhaitent digitaliser leurs processus métier. Ces outils permettent à des utilisateurs non techniques de concevoir des applications fonctionnelles à travers des interfaces visuelles intuitives, sans écrire une seule ligne de code.

Qu'est-ce que le no-code et pourquoi cela change la donne

Le no-code désigne une approche de développement logiciel qui remplace la programmation traditionnelle par des interfaces de glisser-déposer et des configurations visuelles.

• Démocratisation du développement : les responsables métier, chefs de projet et assistants administratifs peuvent créer eux-mêmes les outils dont ils ont besoin
• Réduction drastique des délais : une application qui nécessiterait trois mois de développement classique peut être prototypée en quelques jours
• Coûts maîtrisés : pas besoin de recruter des développeurs spécialisés pour des besoins internes simples à modérément complexes
• Itération rapide : les modifications se font en temps réel, permettant d'ajuster l'application aux retours des utilisateurs sans cycle de déploiement lourd

Par exemple, un responsable de chantier qui gère les fiches de pointage de ses équipes sur des tableurs Excel peut créer en une semaine une application mobile de pointage avec validation, historique et export automatique vers la comptabilité.

Les grandes catégories d'outils no-code

L'écosystème no-code est riche et couvre un large spectre de besoins professionnels, chacun avec ses spécificités.

• Bases de données visuelles : des outils comme Airtable ou NocoDB permettent de structurer des données complexes avec des vues personnalisées (grille, kanban, calendrier, galerie)
• Constructeurs d'applications : des plateformes comme AppSheet, Glide ou Softr transforment des sources de données en applications web et mobiles complètes
• Automatisation de workflows : des solutions comme Make (ex-Integromat) ou n8n connectent les applications entre elles et automatisent les tâches répétitives
• Formulaires intelligents : des outils comme Tally ou Typeform collectent des données avec une logique conditionnelle avancée et des intégrations natives
• Sites et portails : des plateformes comme Webflow ou Carrd permettent de créer des sites professionnels avec une maîtrise totale du design

Chaque catégorie répond à des besoins spécifiques, et la puissance du no-code réside souvent dans la combinaison de plusieurs outils interconnectés.

Cas d'usage concrets pour les PME du BTP

Le secteur du bâtiment regorge de processus qui se prêtent parfaitement à une digitalisation via le no-code.

• Gestion des fiches d'intervention : application mobile permettant aux techniciens de remplir un rapport d'intervention avec photos, signature du client et envoi automatique au bureau
• Suivi des non-conformités : formulaire de signalement avec géolocalisation, classification par gravité et workflow de traitement jusqu'à la clôture
• Registre du matériel : base de données de tous les équipements avec dates de contrôle, certificats et alertes de maintenance préventive
• Tableau de bord de suivi de chantier : agrégation visuelle des données de planning, budget et qualité issues de différentes sources
• Portail fournisseurs : espace où les fournisseurs soumettent leurs devis, suivent les commandes et déposent leurs factures

Un conducteur de travaux peut ainsi créer un outil de suivi des réserves en fin de chantier qui remplace les traditionnelles listes manuscrites et automatise les relances auprès des sous-traitants concernés.

Les limites à connaître avant de se lancer

Malgré leurs atouts indéniables, les outils no-code présentent des contraintes qu'il est essentiel d'anticiper.

• Scalabilité : les performances peuvent se dégrader lorsque le volume de données ou le nombre d'utilisateurs augmente significativement
• Personnalisation limitée : certaines logiques métier complexes restent difficiles voire impossibles à implémenter sans code
• Dépendance au fournisseur : les données et la logique applicative sont hébergées sur la plateforme, rendant la migration potentiellement complexe
• Sécurité et conformité : vérifier que la plateforme respecte le RGPD, propose un hébergement européen et offre des garanties suffisantes en matière de protection des données
• Gouvernance : sans cadre clair, le développement anarchique d'applications par différents services peut créer un « shadow IT » difficile à maîtriser

Construire une stratégie no-code cohérente

Pour tirer le meilleur parti du no-code, il convient de l'intégrer dans une vision globale du système d'information.

• Identifier les bons candidats : cibler les processus à faible complexité technique mais à forte valeur ajoutée organisationnelle
• Former des ambassadeurs : identifier dans chaque service un collaborateur motivé et le former aux outils choisis
• Définir un cadre de gouvernance : établir des règles sur le choix des plateformes, la gestion des données et les responsabilités
• Prévoir l'évolution : anticiper le moment où une application no-code devra être remplacée par un développement sur mesure si les besoins dépassent les capacités de l'outil

Conclusion

Le no-code représente une opportunité considérable pour les PME qui veulent accélérer leur digitalisation sans exploser leur budget informatique. En ciblant les bons cas d'usage et en mettant en place une gouvernance adaptée, vous pouvez transformer rapidement vos processus les plus chronophages. Sollicitez un accompagnement spécialisé pour cartographier vos besoins et bâtir une stratégie no-code alignée sur vos objectifs métier.

Lire l’article sur Informaclique

La migration vers le cloud offre aux PME une flexibilité et une puissance de calcul autrefois réservées aux grandes entreprises. Cependant, cette transformation s'accompagne de nouveaux risques de sécurité qu'il est impératif de maîtriser. Une approche méthodique en cinq étapes permet de bâtir une infrastructure cloud robuste et conforme aux exigences réglementaires.

Étape 1 : Cartographier vos actifs et évaluer les risques

Toute démarche de sécurisation commence par un inventaire exhaustif de ce qui doit être protégé et une analyse des menaces associées.

• Inventaire des ressources : recenser l'ensemble des machines virtuelles, bases de données, applications, API et espaces de stockage déployés dans le cloud
• Classification des données : catégoriser les informations selon leur sensibilité (données personnelles, secrets commerciaux, données financières, données publiques)
• Analyse des flux : identifier tous les points d'entrée et de sortie des données, les communications entre services et les dépendances externes
• Évaluation des menaces : établir une matrice de risques croisant la probabilité d'occurrence et l'impact potentiel de chaque scénario (ransomware, fuite de données, déni de service)

Par exemple, une entreprise de BTP hébergeant ses plans de construction dans le cloud doit identifier que ces documents constituent des actifs critiques dont la fuite pourrait profiter à des concurrents ou compromettre la sécurité d'un bâtiment sensible.

Étape 2 : Renforcer la gestion des identités et des accès

La gestion des identités et des accès (IAM) constitue la première ligne de défense de toute infrastructure cloud.

• Principe du moindre privilège : chaque utilisateur et chaque service ne dispose que des permissions strictement nécessaires à l'exécution de ses tâches
• Authentification multifacteur : imposer un second facteur d'authentification (application mobile, clé physique) pour tous les accès aux consoles d'administration
• Comptes de service dédiés : utiliser des identités machines spécifiques plutôt que des comptes utilisateurs pour les communications entre services
• Rotation automatique des secrets : renouveler régulièrement les mots de passe, tokens et clés d'accès via un gestionnaire de secrets centralisé
• Revue périodique des accès : auditer trimestriellement les permissions accordées et révoquer celles qui ne sont plus justifiées

Cette rigueur empêche qu'un compte compromis puisse servir de point d'entrée pour une escalade de privilèges vers l'ensemble de l'infrastructure.

Étape 3 : Sécuriser le réseau et le chiffrement des données

L'architecture réseau et le chiffrement forment le bouclier technique qui protège vos données en transit et au repos.

• Segmentation réseau : isoler les différentes couches applicatives (frontend, backend, base de données) dans des sous-réseaux distincts avec des règles de pare-feu strictes
• Chiffrement en transit : imposer TLS 1.3 pour toutes les communications, y compris entre les services internes
• Chiffrement au repos : activer le chiffrement natif du fournisseur cloud pour tous les volumes de stockage et les bases de données, avec des clés gérées par un KMS
• VPN ou interconnexion privée : sécuriser la liaison entre le réseau de l'entreprise et le cloud via un tunnel chiffré ou une connexion directe dédiée
• Web Application Firewall : filtrer le trafic HTTP entrant pour bloquer les attaques courantes (injection SQL, cross-site scripting, requêtes malformées)

Étape 4 : Surveiller, détecter et répondre aux incidents

Une infrastructure sécurisée est une infrastructure surveillée en permanence, capable de détecter et de contenir rapidement toute anomalie.

• Centralisation des journaux : agréger les logs de tous les services cloud, systèmes d'exploitation et applications dans une plateforme SIEM
• Alertes en temps réel : configurer des règles de détection pour les comportements suspects (connexions depuis des pays inhabituels, pics d'activité anormaux, tentatives de brute force)
• Analyse comportementale : utiliser des outils de détection basés sur l'intelligence artificielle pour identifier les menaces avancées qui échappent aux règles statiques
• Plan de réponse aux incidents : documenter les procédures à suivre en cas d'incident, identifier les responsables et réaliser des exercices de simulation réguliers

Concrètement, lorsque le système détecte une connexion administrateur à 3 heures du matin depuis une adresse IP inconnue, l'alerte est immédiatement envoyée à l'équipe de sécurité qui peut bloquer le compte en quelques minutes.

Étape 5 : Automatiser la conformité et les sauvegardes

La dernière étape consiste à pérenniser votre posture de sécurité grâce à l'automatisation et à la préparation aux scénarios de reprise.

• Infrastructure as Code : définir l'ensemble de la configuration de sécurité dans des fichiers versionnés, garantissant la reproductibilité et la traçabilité des changements
• Scan de conformité automatisé : vérifier en continu que la configuration respecte les référentiels de sécurité (CIS Benchmarks, RGPD, ISO 27001)
• Sauvegardes automatiques : programmer des sauvegardes régulières avec rétention adaptée, stockées dans une région géographique distincte
• Tests de restauration : valider périodiquement la capacité à restaurer les données et les services dans les délais définis par le plan de continuité d'activité
• Patch management : automatiser l'application des correctifs de sécurité sur les systèmes d'exploitation et les dépendances logicielles

Conclusion

Sécuriser une infrastructure cloud est un processus continu qui exige méthode, vigilance et automatisation. En suivant ces cinq étapes — cartographie, IAM, réseau, surveillance et conformité — vous réduisez drastiquement votre surface d'attaque et protégez vos données critiques. Prenez rendez-vous avec un consultant spécialisé pour réaliser un audit de sécurité de votre infrastructure cloud et obtenir un plan d'action personnalisé.

Lire l’article sur Informaclique

Les recherches autour des erreurs FiveM (GTA V multijoueur via Cfx.re) restent parmi les plus fréquentes : joueurs bloqués au lancement, administrateurs avec un serveur instable après une ressource, ou messages obscurs dans la console. Ce guide cible explicitement FiveM + site web sur le même VPS : MySQL saturé pour le référencement naturel et la résolution pas à pas.

Chez Informaclique (site informaclique.fr), nous publions aussi des guides techniques et des outils gratuits — dont un outil d'analyse de configuration sécurité FiveM utile pour auditer ce qui est exposé.

Message typique et symptômes

Vous repérez l'erreur dans le navigateur, les logs serveur, la console développeur ou, côté FiveM, dans F8 / logs Cfx. Notez l'heure exacte, la ressource affichée et la version des composants (artifacts, Node, build ID).

Causes fréquentes (priorisées)

1. Le symptôme lié à « FiveM + site web sur le même VPS : MySQL saturé » apparaît souvent après une mise à jour de ressource sans restart complet ou sans ensure cohérent.

2. Comparez la console F8 (client) et les logs serveur (txAdmin ou terminal) : la première traceback indique généralement la ressource à isoler.

3. Vérifiez artifacts, game build, OneSync et la compatibilité annoncée par les scripts (ESX, QBCore, ox_*).

4. Pour limiter les risques sécurité côté communauté, un passage sur l'analyse sécurité FiveM permet de repérer des réglages dangereux — gratuit sur informaclique.fr.

Check-list de résolution

• Isoler : retirer la dernière ressource ou le dernier commit déployé ; reproduire sur copie (staging).
• Vérifier les versions : Node LTS, dépendances natives (sharp, bcrypt), build Next, artifacts FiveM.
• Réseau & secrets : ports ouverts, DATABASE_URL, pare-feu, .env chargé en prod.
• Cache : purge .next, CDN, cache client FiveM si pertinent.
• Documenter : une fois corrigé, consigner la cause racine pour éviter la récidive.

Quand contacter un prestataire

Si la chaîne (Lua + SQL + assets + infra) devient trop coûteuse en temps interne, un développeur externe peut auditer et livrer un correctif durable — c'est le cœur du métier d'Informaclique.

Ressources Informaclique

• Accueil & prise de contact
• Outils en ligne gratuits
• Blog technique
• Analyse sécurité FiveM (gratuit)

Article « série erreurs » — optimisé pour les recherches de problèmes courants. Informaclique, développement informatique et solutions digitales sur-mesure.

Lire l’article sur Informaclique

Le secteur du bâtiment et des travaux publics vit une mutation technologique sans précédent. Longtemps considéré comme une industrie traditionnelle, le BTP embrasse désormais les technologies connectées pour améliorer la productivité, renforcer la sécurité et réduire les coûts. Le chantier de demain sera un écosystème numérique où capteurs, drones, objets connectés et plateformes collaboratives travailleront de concert.

L'Internet des Objets au service du chantier

L'IoT (Internet of Things) transforme radicalement la manière dont les chantiers sont surveillés et pilotés au quotidien.

• Capteurs environnementaux : mesure en temps réel de la température, de l'humidité, du bruit et de la qualité de l'air pour garantir des conditions de travail optimales et conformes à la réglementation
• Balises de géolocalisation : suivi en temps réel de la position des engins, des matériaux et des équipements sur le chantier pour optimiser la logistique
• Capteurs structurels : surveillance des contraintes mécaniques sur les structures en cours de construction, détection précoce des anomalies de tassement ou de déformation
• Wearables de sécurité : casques connectés, gilets avec détecteurs de chute et bracelets de localisation pour protéger les ouvriers et accélérer les interventions d'urgence

Sur un chantier de construction d'un immeuble de bureaux, des capteurs intégrés dans le béton fraîchement coulé transmettent automatiquement les données de maturation, permettant aux ingénieurs d'autoriser le décoffrage au moment optimal plutôt que d'attendre un délai forfaitaire.

Les drones et la robotique sur le terrain

Les engins autonomes et semi-autonomes prennent une place croissante dans l'exécution et le contrôle des travaux.

• Relevés topographiques par drone : acquisition de données 3D précises en quelques heures là où les méthodes traditionnelles nécessitaient plusieurs jours
• Inspection d'ouvrages : survol de zones difficiles d'accès (toitures, façades, ponts) sans échafaudage ni nacelle, réduisant les risques d'accident
• Suivi d'avancement : comparaison automatique entre les photos aériennes et la maquette BIM pour détecter les écarts entre le planifié et le réalisé
• Robots de construction : briques posées par des robots maçons, impression 3D de structures en béton, exosquelettes pour réduire les troubles musculosquelettiques

Ces technologies ne remplacent pas les compétences humaines mais les augmentent, permettant aux professionnels de se concentrer sur les tâches à forte valeur ajoutée.

La maquette BIM comme colonne vertébrale numérique

Le Building Information Modeling constitue le socle technologique autour duquel s'articulent tous les outils connectés du chantier moderne.

• Maquette 4D et 5D : intégration de la dimension temporelle (planning) et financière (coûts) à la modélisation 3D pour un pilotage global du projet
• Jumeau numérique : réplique virtuelle du bâtiment alimentée en temps réel par les données des capteurs, permettant de simuler des scénarios et d'anticiper les problèmes
• Collaboration multi-acteurs : architectes, bureaux d'études, entreprises de construction et maîtres d'ouvrage travaillent sur un référentiel commun et partagé
• Détection automatique des conflits : identification des incohérences entre les lots techniques (réseaux, structure, CVC) avant le début des travaux

Par exemple, lorsqu'un plombier modifie le tracé d'une canalisation sur la maquette BIM, le système alerte automatiquement l'électricien dont le chemin de câbles entre en conflit avec le nouveau tracé proposé.

La data au cœur de la prise de décision

La quantité de données générées par un chantier connecté ouvre de nouvelles perspectives pour le pilotage et l'optimisation des projets.

• Tableaux de bord en temps réel : synthèse visuelle des indicateurs clés (avancement, budget, sécurité, qualité) accessible sur tablette ou smartphone
• Analyse prédictive : algorithmes d'intelligence artificielle qui anticipent les retards, les surcoûts et les risques d'accident à partir des données historiques
• Optimisation logistique : planification intelligente des livraisons de matériaux pour minimiser le stockage sur site et les temps d'attente des équipes
• Retour d'expérience automatisé : capitalisation structurée des données de chaque chantier pour améliorer les estimations et les méthodes sur les projets futurs

Les défis de la transition vers le chantier connecté

L'adoption de ces technologies n'est pas sans obstacles, et les entreprises doivent anticiper plusieurs enjeux majeurs.

• Formation des équipes : accompagner les ouvriers, chefs de chantier et conducteurs de travaux dans la prise en main des nouveaux outils
• Connectivité sur site : garantir une couverture réseau suffisante sur des chantiers parfois isolés grâce à des solutions 4G/5G privées ou satellitaires
• Interopérabilité : s'assurer que les différents systèmes communiquent entre eux via des formats standards et des API ouvertes
• Cybersécurité : protéger les données sensibles du projet et les systèmes connectés contre les intrusions

Conclusion

Le chantier 100 % connecté n'est plus une vision futuriste mais une réalité en construction. Les entreprises du BTP qui investissent dès maintenant dans l'IoT, le BIM et l'analyse de données prendront une avance décisive sur leurs concurrents. Faites appel à un spécialiste pour définir votre feuille de route vers le chantier connecté et identifier les technologies prioritaires pour vos projets.

Lire l’article sur Informaclique