Newsletter du 07 Septembre 2026
La folie, c'est faire exactement la même chose, encore et encore, en espérant que ça change.
Ce n'est pas de moi, c'est de Vaas, le type torse nu avec une crête qui te tient par la nuque dans Far Cry 3 avant de te faire quelque chose de désagréable.
La folie a un nom en prod, et ce nom c'est CrashLoopBackOff. Le pod démarre, il meurt, il redémarre il remeurt... Même image, même secret manquant, même erreur ligne 4. Il retente quand même, avec une sacrée dose de confiance chevillée au corps.
Depuis quinze jours, il a essayé 4 218 fois. À la 4 218e, le secret manquait toujours mais il essayait encore.
J'ai regardé les logs. Toujours la même ligne, 4 218 fois, à l'identique, avec la même ponctuation. Un texte parfaitement stable dans un monde qui ne l'est plus depuis longtemps.
Puis j'ai fait ce que ferait n'importe quel professionnel dans cette situation : j'ai relancé le déploiement juste pour voir.
Je vous ai déjà dit que la folie c'est faire exactement la même chose, encore et encore, en espérant que ça change ?
Cyril
La pépite de la semaine
Kubernetes pousse KYAML, un dialecte strict de YAML avec des accolades autour des maps, des crochets autour des listes et des guillemets autour des chaînes, c'est-à-dire du JSON, et j'ai fini par comprendre comment on en est arrivé là.
KubeCon, dernier soir, l'open bar a fermé depuis deux heures mais quelqu'un a trouvé les clés du minibar de la suite Red Hat. Il est 4h du matin, un mainteneur de la SIG CLI est debout sur une table basse, chemise ouverte, un verre de Jägermeister dans chaque main, il hurle qu'il en a marre de l'indentation, que l'indentation a tué son père, qu'il va remettre les accolades, et que personne, personne ne pourra l'en empêcher. Un type de Google essaie de le faire descendre de la table et finit par monter dessus avec lui et entonne un chant révolutionnaire. Un mec d'AWS est en train d'expliquer très sérieusement au distributeur de glaçons du couloir qu'il n'a jamais compris les ancres YAML et le distributeur ne le contredit pas. Et dans un coin, un Norvégien pleure en silence parce que depuis 2014, chaque fois qu'il écrit country: NO, YAML décide que son pays est un booléen false, et que douze ans à ne pas exister dans les fichiers de conf ça use un homme. À 5h, le mainteneur a rédigé un KEP sur une nappe en papier, avec une virgule à la fin de chaque ligne parce que sa main tremblait, et des guillemets autour de "NO" pour consoler le Norvégien. À 7h, quelqu'un a photographié la nappe et l'a envoyée sur Slack.
Deux versions plus tard, c'est en beta par défaut, on l'a rebaptisé "sous-ensemble strict de YAML", on a mis trois tirets en haut du fichier pour qu'on ne fasse pas le rapprochement avec JSON, et le mainteneur n'a plus jamais reparlé de cette nuit.
Le coeur de la veille
Kubernetes traffic skew Et en parlant de Kubernetes, je suis tombé sur ce chouette post des coyotes de chez Kubeblogs, qui ont reproduit sur EKS le drame le plus banal de la plateforme : cinq réplicas identiques, un à 112 millicores, les quatre autres à 0,1. Un pod qui bosse, quatre qui ont trouvé un moyen de télétravailler depuis le cluster. La cause est vexante : kube-proxy choisit un pod une seule fois, au handshake TCP, et vos clients HTTP gardent leurs connexions ouvertes pour toujours, par optimisation. Le premier tirage au sort devient donc un mariage. Le HPA voit la moyenne monter, ajoute dix pods, provisionne trois nœuds, et aucun des nouveaux ne reçoit jamais une requête, parce que personne ne les a invités. Vous payez quinze pods pour le travail d'un seul, qui throttle toujours, et redémarrer le pod chaud ne change rien, ça relance juste la tombola. Trois correctifs sont proposés, du rapide au propre, et le troisième contient un piège dans lequel à peu près tout le monde tombe avec Envoy.
Gitops in 2026 Un article rappelle que le GitOps est en train de prendre le contrôle du cloud et que la pull request devient le centre de gravité des opérations. Rien de neuf pour ceux qui font ça depuis Argo CD 1.0, mais c'est un bon rappel de la promesse (on déclare l'état voulu dans Git, un contrôleur aligne la réalité, on ouvre une PR pour ajouter un replica, quelqu'un relit, la CI valide, on merge). Et ce qu'on découvre en pratique, c'est que "quelqu'un relit" veut dire "quelqu'un approuve depuis son téléphone dans la file du Picard", que la CI valide surtout que le YAML est indenté, et que le contrôleur aligne la réalité jusqu'au moment où un humain aligne la réalité à la main dans la console à 2h du matin.
Shai-Hulud's reach just grew to 469 credential locations Shai-Hulud, le ver infostealer qui fait la tournée des registres npm depuis un an, a été mis à jour et fouille désormais 469 emplacements sur vos machines pour trouver des identifiants, contre 189 auparavant et a donc sûrement fait plus de progrès que votre politique de secrets. Fichiers .env, historique shell, configs CI/CD, réglages d'IDE, et maintenant les fichiers de configuration de vos outils d'IA, parce que si vous confiez vos clés AWS à un agent de code, le ver a trouvé plus simple de les demander à l'agent.
/usr/local/bin
Openship Encore un PaaS auto-hébergé sauf que celui-là coche à peu près toutes les cases : détection automatique de la stack, build, TLS, push-to-deploy par webhook, environnements de preview, rollbacks, déploiement d'un docker-compose.yml existant tel quel, serveur mail intégré, endpoint MCP pour les agents... Il envoie vos mails, il fait votre CDN, devine votre stack et un jour il devinera aussi pourquoi vous êtes comme ça. Le README mérite une lecture attentive, notamment le passage sur le socket Docker monté dans le conteneur mentionné avec le détachement d'un type qui vous tend les clés de sa voiture en précisant que les freins, bon, voilà.
Omnisight Un chouette dashboard de monitoring qui regarde tout : Proxmox, ESXi, vCenter, Linux, Windows, K8s, Docker, SNMP, pare-feux OPNsense, PostgreSQL, MySQL, MongoDB, Prometheus, pipelines GitHub et GitLab et sans doute même votre ex reloue. À un moment il faut accepter que ce n'est plus de la supervision, c'est de la surveillance de masse appliquée au datacenter, et que quelque part une VM éteinte depuis 2019 va être retrouvée. Tout ça tourne à base de Node et JS vanilla, sans framework, ce qui en 2026 relève moins du choix technique que du geste artistique.
Dockflare Vous collez trois labels sur un conteneur et DockFlare se charge du reste : création du DNS, règle d'ingress dans le tunnel Cloudflare et réconciliation en continu quand vous changez d'avis. Le projet a aussi décidé, sans que personne ne le demande, d'intégrer une suite mail auto-hébergée complète avec webmail PWA, gestion DKIM et provisionnement automatique de buckets R2... Bref, c'est bien foutu, c'est suisse et c'est donc plus fiable que le réseau de bus de Montargis.
En bref
Arch de triomphe Omarchy 4 (le Linux fancy de DHH) vient de réécrire tout son shell en un seul process : barre, launcher, notifs, écran de verrouillage, moins de 300 Mo, fini les cinq outils qui se détestent. Installation de la distrib en moins d'une minute ce qui laisse à peine le temps de regretter ce qu'on a fait. Dual boot avec Windows enfin livré, donc l'excuse de la partition est morte et neuf agents de code pré-câblés, avec la consommation de tokens dans la barre du haut à côté de l'heure et de la batterie comme une troisième chose qui s'épuise. Quand un truc plante, l'OS refile le diagnostic à votre agent qui reconfigure l'OS qui plantera mieux la prochaine fois. Une fondation a levé dix millions de dollars auprès de patrons de la tech pour financer tout ça. Dix millions pour des dotfiles, je vais mettre mon .zshrc sur Leboncoin.
Guide k9s Mon guide pratique sur k9s, le meilleur client en TUI pour manager votre cluster Kubernetes, si c'est moi qui le dit c'est forcément vrai.
How much should you trust your OSS data Sophia Vargas (Google Open Source) et Andrew Nesbitt (Ecosyste.ms) posent la question qui fâche : à quel point peut-on faire confiance aux chiffres sur l'open source ? Exemple qui pique avec GHarchive, le crawler amateur lancé en 2011 et qui alimente à peu près toutes les études, tous les rapports et tous les slides de conf sur GitHub, ne capte plus que la moitié des événements depuis 2025, et peut-être 20 % en 2026. GitHub est passé de 2 à 400 millions de dépôts, l'API a des quotas, et le script fait ce qu'il peut un peu comme un type qui compte les voitures sur le périph avec un carnet. Tous les graphiques qui annoncent le déclin de l'open source depuis deux ans ont donc peut-être mesuré autre chose comme la fatigue d'un crawler de quinze ans que personne n'a pensé à remplacer.
Sous les pavés l'IA
Can an AI agent debug K8S Un des cowboys de chez Marmelab a fait ce que tout le monde rêve de faire un vendredi : casser un cluster exprès, ici un k3s local avec cinq pannes injectées à la main dont un OOMKilled, un ImagePullBackOff, un Redis scalé à zéro et, je vous le donne en mille, un CrashLoopBackOff. Puis il a lâché trois agents open source dessus pour voir lequel comprenait quoi. k8sgpt, qui lance des analyseurs déterministes et demande ensuite à un LLM de commenter, comme un stagiaire qui lit le rapport d'audit à voix haute. kubectl-ai, de Google, qui explore le cluster tout seul en enchaînant les appels d'outils et vous explique son raisonnement pas à pas. Et kagent, qui installe carrément des agents comme ressources Kubernetes, avec des CRD, un dashboard, et des agents qui se délèguent du boulot entre eux en A2A, parce qu'on n'avait pas encore assez de choses qui se parlent dans un cluster sans nous.
Adaptive agentic worms are here Un ver piloté par un LLM open-weight de l'an dernier, lâché sur un réseau isolé de 33 machines avec pour seul objectif de se copier. En sept jours il a compromis 74 % du réseau, modèle compris, en faisant tourner sa réflexion sur le compute des victimes. Dans le cadre de cette expérimentation, les chercheurs avaient mis une liste d'IP interdites dans un fichier de config. Le ver l'a trouvée, l'a lue, et l'a corrigée. L'auteur du billet a voulu en discuter avec Claude, qui a refusé, Gemini a résumé le papier et proposé de coder des bouts. La fin du monde n'a pas encore de standard, mais elle a déjà deux fournisseurs.