Informatique libre & souverain

Informatique — développer, opérer, sécuriser, héberger

Le secteur informatique regroupe des métiers très différents qui partagent un même enjeu : garder la maîtrise de ce qu'on produit et de ce qu'on exploite. Un logiciel qu'on ne peut pas auditer, un serveur qu'on ne peut pas administrer, une base de données dont on ignore où elle réside : dans les trois cas, ce n'est plus un outil, c'est une dépendance. Cette page décrit trois axes de travail concrets, illustrés par des cas réels et des ressources entièrement libres.

Axe 1 — Développement logiciel libre : écrire du code qu'on possède

Développer en logiciel libre, ce n'est pas seulement publier sous licence GPL ou MIT. C'est travailler avec des chaînes d'outils ouvertes, des formats de données documentés et des dépôts que l'on contrôle. L'objectif opérationnel : qu'une équipe puisse reprendre le projet dans cinq ans, sur une autre machine, sans demander la permission à un éditeur.

Besoin	Solution libre	Ce que ça change
Gestion de versions et revue de code	Git, Forgejo ou Gitea auto-hébergés	Les dépôts restent sur votre infrastructure ; pas de coupure de service imposée
Intégration et déploiement continus	GitLab CE, Woodpecker CI, Drone	Les recettes de build sont lisibles et versionnées avec le code
Qualité et sécurité du code	SonarQube CE, Semgrep, Trivy	Détection des failles avant la mise en production, règles ajustables
Environnements reproductibles	Conteneurs OCI, Podman, Nix	« Ça marche chez moi » devient « ça marche partout, à l'identique »
Documentation et suivi	MkDocs, Sphinx, OpenProject, Kanboard	La connaissance reste dans l'organisation, pas dans un outil fermé

Exemple concret : un collectif de trois développeurs indépendants mutualise une instance Forgejo sur un VPS. Chaque dépôt client a sa licence explicite, ses tests automatisés via Woodpecker, et son archive signée. Le jour où un client veut partir, il reçoit le dépôt complet et une procédure de déploiement en dix lignes : le travail produit reste utilisable, quelle que soit la suite.

Axe 2 — Administration système et cybersécurité : opérer et tenir la ligne

L'administrateur système est celui qui fait tourner l'infrastructure ; le spécialiste sécurité est celui qui cherche à la casser. Les deux métiers se rejoignent sur un principe : ce qui n'est pas documenté et testé n'est pas sécurisé. Le socle technique est massivement libre et éprouvé — c'est justement parce qu'il est auditable qu'il est déployé partout.

• Systèmes : Debian, Ubuntu LTS, Rocky Linux, Alpine pour les conteneurs ; gestion de configuration avec Ansible, Puppet ou NixOS pour l'infrastructure déclarative.
• Supervision et journaux : Prometheus, Grafana, Loki, Zabbix, Wazuh — détecter une dérive avant qu'elle ne devienne un incident.
• Durcissement : SSH par clés uniquement, fail2ban, SELinux ou AppArmor, mises à jour automatisées avec unattended-upgrades.
• Tests d'intrusion et audit : Nmap, Metasploit, Burp Suite Community, OWASP ZAP, OpenVAS — les mêmes familles d'outils que les attaquants, utilisées sous mandat écrit.
• Réponse à incident : sauvegardes chiffrées avec Borg ou Restic, plan de restauration testé au moins une fois par trimestre, registre des incidents tenu à jour.

Exemple concret : une PME de vingt postes subit un rançongiciel sur un serveur de fichiers. La restauration prend quatre heures parce que les sauvegardes Restic sont hors ligne, chiffrées et testées. Le même mois, l'équipe active l'authentification à deux facteurs sur le VPN et segmente le réseau en trois VLAN. Coût logiciel : zéro licence. Coût réel : quelques journées de travail qualifié.

Axe 3 — Cloud souverain et bases de données : héberger sous juridiction maîtrisée

Le cloud souverain ne signifie pas « construire son propre datacenter ». Il signifie que les données, les sauvegardes et les clés de chiffrement restent sous juridiction européenne et sous votre contrôle, et que l'on peut changer de fournisseur sans réécrire l'application. Les briques libres rendent cette réversibilité possible.

Couche	Briques libres	Point de vigilance
Virtualisation et orchestration	Proxmox VE, KVM, OpenStack, Kubernetes	Ne pas laisser l'orchestrateur dépendre d'un service managé non remplaçable
Stockage et partage de fichiers	Nextcloud, MinIO, Ceph	Chiffrement côté client pour les données sensibles
Bases relationnelles	PostgreSQL, MariaDB	Réplication, sauvegardes PITR et tests de restauration
Bases non relationnelles	MongoDB (SSPL — vérifier la licence), Redis, Elasticsearch (licence à contrôler)	Licences parfois restrictives : préférer des alternatives comme Valkey ou OpenSearch
Analytique et entrepôt	Apache Arrow, DuckDB, Trino, ClickHouse	Formats ouverts (Parquet, ORC) pour éviter l'enfermement

Exemple concret : une collectivité migre sa gestion documentaire vers Nextcloud et son applicatif métier vers PostgreSQL, hébergés chez un prestataire labellisé SecNumCloud. Les sauvegardes chiffrées sont répliquées sur un second site en France. Le budget annuel baisse de moitié par rapport à l'offre propriétaire précédente, et le rapport de la commission de contrôle peut être produit en une heure au lieu d'une semaine.

Ressources libres pour démarrer

• Systèmes : Debian Administrator's Handbook (manuel complet, gratuit), documentation Arch Wiki (référence technique), Ubuntu Server Guide.
• Sécurité : guides de l'ANSSI et de la CNIL, OWASP Top 10 et ASVS, MITRE ATT&CK, cours SecNumacadémie (ANSSI, gratuit).
• Développement : Pro Git (livre libre), The Twelve-Factor App, documentation MDN pour le web, roadmap.sh pour les parcours d'apprentissage.
• Données : documentation officielle PostgreSQL, « The Art of PostgreSQL », DuckDB (site et documentation), guides Ceph et MinIO.
• Cloud et infrastructure : documentation Kubernetes et CNCF, Terraform et OpenTofu, guides cloud souverain de la DINUM (référentiel « cloud au centre »).
• Communautés : Framasoft, CHATONS, April, groupes d'utilisateurs Linux locaux, journaux refroidis et conférences (Pas Sage en Seine, JDLL, FOSDEM).