Newsletter du 12 Octobre 2026

SOPS tutorial, encrypt secrets in Git, CI/CD and K8S Si vous avez déjà collé un mot de passe dans un chat en vous promettant de faire le ménage plus tard ce guide est pour vous. SOPS chiffre les valeurs de vos fichiers YAML, JSON, ENV ou INI en laissant les clés lisibles, ce qui permet de versionner vos secrets dans Git et de voir dans une PR que le mot de passe a changé sans savoir lequel. Les clés maîtresses restent où vous voulez (age, PGP, KMS des clouds ou Vault), et le guide déroule chaque option, la CI, Flux, helm-secrets et la différence avec un vrai gestionnaire de secrets. J’en retiens deux pépites. La panne la plus courante n’a rien de ouf, c’est le dev qui déchiffre un fichier, l’édite et oublie de le rechiffrer avant de commiter. Et le module d’audit crée une base PG dont le mot de passe par défaut est, je vous le donne en mille, sops.

gVisor is being donated to CNCF Google confie gVisor à la CNCF, nom et marque compris, comme Kubernetes avant lui. Pour mémoire, gVisor est une implémentation de Linux en user space que ses auteurs présentent modestement comme la deuxième plus mature au monde, juste après Linux. Au programme, des mainteneurs hors Google, un dépôt qui quitte l’organisation google et un vote par organisation pour que Google ne décide plus seul.

Pod stuck in terminating Un pod en Terminating n’est pas mourant, il est en préavis. kubectl delete ne tue rien, il écrit une date, puis chaque couche demande poliment à la suivante d’arrêter quelque chose et le pod attend que tout le monde ait répondu. Un tech lead de chez Wix déroule les quatre suspects à interroger dans l’ordre : la période de grâce, parfois gonflée à une heure par un collègue, un finalizer orphelin, un nœud mort et le runtime en dessous, avec en bonus un SIGKILL resté coincé cinq jours dans gVisor. Quant au --force, il supprime le dossier RH, pas le salarié : les conteneurs peuvent continuer à tourner sur le nœud, et sur un StatefulSet, deux pods avec la même identité peuvent se croiser à la machine à café.

DBackup Mon ex qui m’a toujours reproché de ne rien savoir jeter n’a heureusement jamais vu ma politique de rétention, ni DBackup qui l’aurait achevée : un conteneur Docker sans agent qui sauvegarde vos databases et leurs fichiers, chiffre le tout et l’envoie où vous voulez, dans des formats standards restaurables sans lui. Bref, un outil qui détient les identifiants de toutes vos bases et vos clés de chiffrement, et dont le meilleur argument reste qu’il est possible de s’en passer, c'est exactement ce que disait mon ex de moi tiens.

Ldap-manager Pour les derniers babas cool de l’annuaire, ceux qui refusent Active Directory comme d’autres refusent les pesticides et tiennent encore leurs comptes dans un OpenLDAP qu’ils arrosent au LDIF tiède, voici enfin une interface web. Arborescence du DIT, édition d’entrées, opérations en masse, éditeur LDIF avec validation à blanc, bref ça a l'air archi-complet, le tout écrit avec des technos bien hype pour un protocole né en 1993, un peu comme poser un écran tactile sur un combi Volkswagen.

Neko-master Un chouette dashboard qui se branche sur vos passerelles Clash, Mihomo ou Surge pour afficher en temps réel tout ce qui transite par votre réseau : trafic par domaine, IP avec ASN et géolocalisation, répartition par nœud de proxy et tendances sur 24 heures, avec des agents pour surveiller plusieurs passerelles à distance et ClickHouse en option pour les réseaux bavards. Neko veut dire chat en japonais, et le README explique que, comme un chat, l’outil observe le trafic en silence et avec précision. Je confirme, le mien dort à côté du routeur. Le README précise aussi, dès le préambule, que l’outil ne fournit aucun abonnement proxy ni connectivité inter-réseaux, et qu’il doit être utilisé dans le respect des lois en vigueur. Sans préciser lesquelles.

Bpftop Un top qui débusque tous les programmes eBPF tapis dans les profondeurs de votre noyau, avec pour chacun le temps d’exécution moyen, les événements par seconde, le CPU estimé, les processus rattachés et des graphes dans le temps, le tout dans un seul terminal pour les gouverner tous. Les stats eBPF coûtant cher, bpftop n’ouvre l’œil que le temps de son passage et le referme en partant ce qui le rend nettement plus discret que celui de Sauron. Lâché en chemin par Netflix, le projet poursuit sa quête en indé.

Python 3.15.0 rc3 is here La star de Python 3.15 c’est la PEP 810 et son mot-clé lazy, qui permet de déclarer un import sans charger le module tant que personne n’en a besoin. Le concept a tellement convaincu que la release se l’est appliqué : des bugs bloquants de dernière minute sur les lazy imports ont repoussé la version finale d’une semaine, avec une RC3 "surprise" qui relève, selon l’équipe elle-même, d’une "tradition récente".

64-day certificate lifetimes coming A partir du 10 février 2027, Let’s Encrypt délivrera par défaut des certificats de 64 jours au lieu de 90, en attendant les 45 jours prévus pour 2028. Le staging bascule dès le 14 octobre pour ceux qui aiment tester avant de pleurer. Si votre client ACME gère ARI, il saura tout seul quand renouveler. Sinon, Let’s Encrypt qui connaît visiblement très bien ses utilisateurs conseille de grepper 83, 80 ou 60 dans vos crons, vos scripts et vos runbooks pour débusquer les dates codées en dur, celles qu’un collègue parti depuis longtemps a gravées dans le marbre. Et pour les plus pressés, l’option à 6 jours existe déjà. À ce rythme, un certificat durera bientôt moins longtemps que le ticket ouvert pour le renouveler.

Why junior devs might know more about IA than seniors Les coyotes de chez Real Python ont remarqué que beaucoup de devs seniors, coincés entre les code reviews et une migration qui a trois sprints de retard, n’ont jamais pris le temps de tester sérieusement les outils de code IA, et qu’un junior qui bidouille depuis quelques mois en sait parfois plus qu’eux. Leur conseil aux juniors : profiter de ce que leur side project n’a pas de service conformité pour donner la même tâche à ChatGPT, Cursor et Claude Code, comparer, et arriver au prochain job avec un petit sac à dos de compétences IA. Le senior a le sien aussi, nettement plus lourd, rempli de jugement, de contexte et de rancune, d’où l’échange idéal selon l’auteur : le junior montre un workflow qui fait gagner une heure, le senior explique pourquoi le code qui en sort ne doit surtout pas être mergé.