N°87
Newsletter du 26 Octobre 2026
7 min de lecture
SommaireÉdito
Édito
Mercredi 21 octobre, en quelques heures, PHP, Node.js et GitLab ont publié des correctifs pour des failles d’exécution de code à distance. Aucune n’était dans du code applicatif : l’interpréteur PHP, la bibliothèque Brotli embarquée par Node, et Onigmo, le moteur de regex de Ruby vulnérable depuis GitLab 7.0 sorti en 2014.
Ce n’était pas une mauvaise semaine mais plutôt un aperçu du nouveau rythme qui va devenir la norme.
Les IA relisent aujourd’hui le code que des humains ont écrit il y a vingt ans sans jamais le relire. En ce moment, elles écrivent une bonne partie du code de demain que personne ne relit davantage, et dans vingt ans elles reliront leur propre travail, j’ai hâte de voir qui rédigera le post-mortem de tout ce bordel le siècle prochain.
Cyril
oxynote.io
La pépite de la semaine
J’ai eu la chance d’échanger cette semaine avec David, l’un des deux devs derrière Oxynote, et son histoire va parler à tous ceux qui ont déjà fait de l'astreinte. Première night-shift dans une nouvelle boîte, un incident qui part en vrille, et la métrique qui montrait la cause était là depuis le début sauf que rien n’expliquait ce que mesurait chaque graphe. Il a passé la nuit à tout recouper à la main et c’est finalement un agent IA branché sur Datadog qui l’a trouvée à sa place.
Le problème est connu : le graphe vit dans Grafana, son explication dans un Notion ou un Confluence, chacun avec son propre historique, et les deux divergent tranquillement sans que personne ne relise jamais l’un avec l’autre. Oxynote met tout sur la même page. Le graphe Prometheus ou SQL tourne en direct, et juste à côté, le paragraphe qui dit ce qu’il mesure, pourquoi le seuil est là et quoi faire quand il saute. Toute modification de la requête ou du texte passe par un draft, un diff et une validation, comme une PR, donc le graphe et son explication bougent ensemble, ça paraît con dit comme ça mais l'idée est géniale.
Le projet a démarré il y a un an et il est public depuis août. Aujourd’hui, Oxynote sait déjà aligner plusieurs graphes en grille, ce qui revient à glisser un dashboard dans une page, documenter une API interne façon Stripe avec la requête curl et le graphe en direct côte à côte, éditer à plusieurs en temps réel avec des commentaires accrochés à un mot ou à un graphe, et prévenir les mainteneurs d’une page quand le fichier GitHub ou l’image de conteneur dont elle dépend change. Rubber Duck, l’assistant intégré, édite les pages et lance les mêmes requêtes que les blocs avec le modèle de votre choix, Ollama compris, et Claude Code ou Codex y accèdent via MCP. La suite, ce sont les logs et l’alerting, avec l’ambition assumée de remplacer Grafana, puis les feature flags sur la même page que tout le reste. Auto-hébergé, licence Apache-2.0 avec un seul conteneur Docker, signé par nos deux devs Lituaniens déjà auteurs de ttlcache. Simon bosse dessus à plein temps, David garde son job à côté en attendant que vous lui donniez une bonne raison de le quitter.
Le coeur de la veille
K8s events and controller design
Les Events Kubernetes ce sont ces lignes que je lis en bas d’un pod quand plus rien ne marche avec à peu près la même foi que dans mon horoscope. Ils existent depuis avant la 1.0 quand un pod non schedulé pouvait vous annoncer qu’il n’avait pas d’hôte sans dire pourquoi, un peu comme un ado à qui vous demandez comment s’est passée sa journée. L’article explique ce qu’un contrôleur devrait y raconter (avec l’opérateur Postgres de Zalando en exemple) et surtout ce qu’il ne faut pas en faire. Déclencher un failover sur un Event, c’est suspendre le sort de votre base de prod à un message best-effort avec à peu près les garanties de livraison de la Poste de Montargis.
Make yourself replaceable
Chaque boîte a son Sam. Celui qui sait pourquoi il ne faut surtout pas toucher à ce if, quelle commande lancer deux fois en invoquant Shub-Niggurath sans que personne se souvienne pourquoi et quel client tape encore sur un endpoint déprécié depuis 2009. Sam est indispensable, donc Sam ne change jamais d’équipe, n’est jamais promu et répond aux messages depuis son transat. Les boîtes applaudissent celui qui éteint l’incendie à 2h du matin, ignorent celui qui a rendu le bâtiment ininflammable, et tout ce savoir maison se revend ensuite sur un marché d’un seul acheteur. Le remède : écrire, automatiser, et laisser un collègue galérer une heure sur ce que Sam règle en dix minutes. Et si vous ne voyez pas qui est le Sam de votre équipe, j’ai une mauvaise nouvelle.
Prometheus blackbox exporter
Les cowboys de chez Last9 ont pondu un guide complet sur le Blackbox Exporter de Prom, l’outil qui teste vos endpoints de l’extérieur pendant que vos métriques internes jurent que tout va bien et que vos utilisateurs contemplent une page d’erreur pour un certificat expiré ou un DNS en grève. Ça couvre les modules, les alertes et surtout la config de scrape qui piège tout le monde puisque les cibles que vous listez ne sont pas celles que Prometheus contacte. Mention spéciale aux timeouts, première source de fausses alertes, et à l’IPv6 préféré par défaut sur des réseaux qui n’en ont jamais vu la couleur.
Docker is weird
Un dev s’est mis en tête d’écrire son propre runtime de conteneurs pour le plaisir, ce qui est déjà une définition du plaisir assez personnelle mais ne jugeons pas, et en revient avec une liste de bizarreries sur Docker. Un conteneur n’existe pas vraiment, c’est un process avec des restrictions que vous pouvez retrouver dans /proc, bricolé à partir de namespaces, de cgroups et d’une couche réseau que l’auteur avoue ne pas comprendre. Une image, c’est un dossier sur lequel Docker fait un chroot. Et runc, écrit en Go, embarque un module C qui passe avant le runtime Go pour faire ses syscalls en mono-thread, puis se relance lui-même via /proc/self/exe pour mimer un fork que Go ne sait pas faire. Le tout piloté par un démon qui tourne généralement en root, mais ça, je suis sûr que vous le saviez.
/usr/local/bin
EnRoute
Un serveur Git construit comme une base de données moderne avec du compute, un ledger répliqué pour chaque mise à jour de ref et les repos dans de l’object storage. Résultat annoncé avec plus de 7 600 pushs par seconde sur un seul repo et des shallow clones deux à trois fois plus rapides qu’un serveur Git classique et vous codez vous-même les droits, la protection de branches ou la CI à coups de hooks et d’API gRPC. Le site propose deux boutons, "do it yourself" et "let your agent handle it" et je sais déjà sur lequel vous allez cliquer.
Terminal Text Editor
TTT, c’est un éditeur de texte qui tourne dans le terminal mais qui fait tout pour vous le faire oublier : clic droit avec menus contextuels, multi-curseurs, autocomplétion via LSP, recherche avec ripgrep, Git intégré avec diff coloré et blame, plugins Lua sandboxés et même un terminal intégré, soit un terminal dans votre terminal dans votre terminal. Un seul binaire avec zéro config, de quoi séduire tous ceux pour qui apprendre Vim ressemble trop à un engagement. Les vrais bonhommes eux ne se posent pas la question, ils sont sur Neovim, avec une config de 3 000 lignes qu’ils sont les seuls à comprendre et qu’ils refusent de commenter.
Keploy
Keploy enregistre le trafic réel de votre appli via eBPF, appels API et de votre ex, requêtes Postgres ou MySQL, messages Kafka ou RabbitMQ, puis le rejoue sous forme de tests et de mocks, sans toucher une ligne de code et quel que soit le langage. Vous obtenez ainsi la garantie absolue que votre appli fera demain exactement ce qu’elle faisait hier bugs compris.
En bref
How to schedule cron jobs on Linux and macOS
Le manuel de survie de ceux qui refusent encore les timers systemd. Une étoile oubliée et la sauvegarde de 2h tourne soixante fois, le vendredi 13 tombe tous les vendredis, le job démarre sans rien de votre environnement et une faute de frappe suffit à effacer toute la crontab sans confirmation. Le timer systemd, lui, logue dans le journal et rattrape les jobs ratés au prix exorbitant de deux fichiers au lieu d’une ligne.
HTTP concepts explained
Pourquoi votre site met plusieurs secondes à s’afficher alors que le serveur répond en quelques millisecondes ?Première partie d’un tour d’horizon de HTTP, du handshake TCP au head-of-line blocking en passant par le domain sharding, chaque concept servi avec une analogie que même votre chef de projet comprendra. HTTP/2 et HTTP/3 arrivent dans la partie 2 ce qui vous laisse le temps de digérer vingt ans de contournements.
Sous les pavés l'IA
How AI has changed my engineering leadership role
Un engineering manager raconte comment l’IA l’a remis au code grâce à un système de feature flags maison pondu en quelques heures avec son agent, des microservices qui ne lui font plus peur et un bus factor qui l’inquiète moins, soit à peu près tout ce que j’entends d’habitude juste avant un post-mortem.
Oh my mermaid
Une chouette app qui se branche sur Claude Code, Codex ou Cursor, scanne votre codebase et en tire une doc d’architecture en diagrammes Mermaid, découpée par angle de vue et creusée récursivement : chaque bloc un peu complexe a droit à son propre sous-diagramme, jusqu’à ce qu’il ne reste que des briques simples. Le tout se range dans un dossier du repo et s’explore dans un viewer interactif assez cool. Pour prouver que ça marche, l’outil s’est scanné lui-même ce qui fait déjà plus d’introspection que la plupart des devs que je connais.
Le prochain numéro
Ne rate pas le n° 88.
Pas besoin de revenir ici chaque semaine : il arrive dans ta boîte mail.
Un email par semaine, désinscription en un clic.