- Le matin du 15 novembre 2024, les signalements d’onduleurs de marque Deye rendus inutilisables se sont multipliés sur le DIY Solar Power Forum, certains écrans affichant un message indiquant qu’ils ne pouvaient pas être utilisés dans certains pays ainsi qu’une demande de code d’accès à 5 chiffres
- Deye est le fabricant sous contrat des onduleurs hybrides Sol-Ark, et Sol-Ark détient depuis 2018 l’exclusivité de leur vente aux États-Unis, qu’elle a fait valoir à travers plusieurs procédures judiciaires
- Des cas ont été signalés non seulement à Puerto Rico et en Arizona, mais aussi au Panama et au Canada, laissant penser que le problème n’était peut-être pas limité au territoire américain
- Tout en affirmant ne pas contrôler les actions de Deye, Sol-Ark a mis en place, du 15 novembre au 31 décembre 2024, un programme permettant aux consommateurs résidentiels affectés d’acheter à prix réduit un onduleur Sol-Ark équivalent
- Cette affaire montre que les onduleurs solaires connectés à Internet peuvent être configurés et contrôlés à distance, ce qui oblige installateurs et utilisateurs à examiner à la fois la disponibilité d’un support officiel et une architecture réseau plus sûre
Signalements d’onduleurs Deye rendus inutilisables
- Le vendredi matin 15 novembre 2024, des signalements ont indiqué que des onduleurs de marque Deye à travers les États-Unis avaient été volontairement rendus inutilisables
- Certains écrans d’onduleurs affichaient les messages suivants
- cet onduleur ne peut pas être utilisé au Pakistan/aux États-Unis/au Royaume-Uni
- consigne de contacter Inverex pour le Pakistan, Sol-Ark pour les États-Unis et Sunsynk pour le Royaume-Uni
- mention demandant de retourner l’appareil au fournisseur
- mention indiquant qu’un code d’accès à 5 chiffres est nécessaire pour passer à l’écran suivant, ce code étant généré automatiquement à l’étranger
- James Showalter, fondateur et propriétaire de EG4 Electronics et Signature Solar, a critiqué sur le DIY Solar Power Forum le fait de couper un équipement acheté et utilisé par des propriétaires pour des raisons de stratégie commerciale, estimant cela contraire à l’éthique
Des cas signalés dans plusieurs régions
- Le fil du DIY Solar Power Forum a vu s’accumuler les signalements d’utilisateurs touchés
- capture d’écran d’une publication dans un groupe Facebook d’un installateur à Puerto Rico
webbbn, en Arizona, a signalé un onduleur rendu inutilisablePanGirl, au Panama, a signalé que sur ses deux onduleurs Deye, seul celui équipé d’un dongle avait été rendu inutilisablevan-traveler86, à Puerto Rico, a indiqué avoir deux clients touchés par le même problèmenewageddrywall, au Canada, a également signalé qu’un onduleur avait été rendu inutilisable
- Un utilisateur du forum ayant appelé Sol-Ark a indiqué que le technicien joint semblait ne pas connaître le problème, tout en précisant que des appels étaient également arrivés du Canada pour le même motif
- Les cas du Panama et du Canada laissent penser que le problème pourrait ne pas se limiter aux onduleurs situés sur le territoire américain
La relation d’exclusivité commerciale entre Sol-Ark et Deye
- Deye est le fabricant sous contrat des onduleurs hybrides Sol-Ark
- Depuis 2018, Sol-Ark détient les droits exclusifs de vente de ces onduleurs aux États-Unis, un point confirmé dans plusieurs années de contentieux
- Certaines entreprises ont vendu des onduleurs de marque Deye pour installation, ce qui semble contrevenir à l’accord d’exclusivité entre Sol-Ark et Deye
- Sol-Ark a fait valoir cette exclusivité par voie judiciaire
- Le déclencheur direct de cette désactivation, la raison de son apparition à ce moment précis et l’absence d’action plus tôt restent flous
Le programme de support limité de Sol-Ark
- Après les premiers articles, Deye a publié le 30 novembre 2024 une prise de position distincte sur l’affaire
- Sol-Ark a indiqué avoir connaissance de la situation provoquée par des onduleurs de marque Deye vendus sans autorisation à Puerto Rico et aux États-Unis
- Sol-Ark a affirmé ne pas contrôler les actions de Deye et a précisé que le message affiché sur les écrans des onduleurs Deye pouvait donner l’impression que Sol-Ark pouvait fournir une garantie ou un service, alors qu’en réalité ce n’est pas le cas
- Sol-Ark a toutefois présenté une solution limitée au motif que l’action de Deye pouvait affecter directement certains foyers
- période : du 15 novembre 2024 au 31 décembre 2024
- éligibilité : consommateurs résidentiels ayant installé un onduleur de marque Deye et dont les fonctions ont été désactivées par Deye
- offre : possibilité d’acheter à un prix fortement remisé un nouvel onduleur Sol-Ark aux performances équivalentes
- Sol-Ark prend en charge les frais d’expédition de son équipement vers une adresse à Puerto Rico
- l’offre ne sera plus disponible après le 31 décembre 2024
- les sites commerciaux et les entités commerciales ne sont pas éligibles
- Sol-Ark ne prend pas en charge les frais d’installation, de retrait de l’onduleur Deye, ni les coûts liés aux dommages causés par l’onduleur Deye ou par l’action de Deye
- Les demandeurs doivent prendre une photo du numéro de série et du numéro de modèle de l’onduleur Deye, puis contacter Adriana Navarro chez Sol-Ark
- Sol-Ark conserve le droit de décision finale et le pouvoir discrétionnaire sur la disponibilité et les conditions d’exploitation du programme
MySolArk et l’architecture de gestion à distance
- Simon McLean, vice-président marketing de Sol-Ark, a indiqué que les onduleurs Sol-Ark étaient gérés, mis à jour et entretenus via la plateforme propriétaire MySolArk
- MySolArk a été conçue et mise en œuvre pour protéger la sécurité et la confidentialité des clients de Sol-Ark
- Les données obtenues via la plateforme sont traitées et conservées par Sol-Ark aux États-Unis et utilisées conformément à la politique de confidentialité de Sol-Ark
- Sol-Ark a déclaré qu’elle développerait et déploierait MySolArk en s’appuyant sur les principes clés de sécurité énergétique, de résilience et de protection de la vie privée des clients
Les questions qui restent pour les installateurs et les utilisateurs
- Certains utilisateurs pourraient actuellement ne plus avoir accès à leur production solaire ni à leur alimentation de secours
- Le fait qu’une entreprise chinoise semble avoir coupé à distance des onduleurs pour interrompre la production d’électricité renforce aussi les inquiétudes
- Une grande partie des installations solaires aux États-Unis produit son électricité avec des onduleurs fabriqués en Chine, et dans un contexte de tensions et de conflits commerciaux croissants avec la Chine, cela pourrait représenter un niveau d’influence inconfortable
- Même en dehors des questions politiques entre États, la connectivité Internet des installations solaires déployées au cours des 5 à 10 dernières années apparaît comme un important problème potentiel
- La plupart des fabricants d’onduleurs disposent par défaut d’un moyen de configurer leurs appareils à distance, et ces systèmes internes peuvent constituer des cibles de choix pour des cyberattaquants
- Les installateurs devraient choisir avec prudence des onduleurs bénéficiant d’un support officiel et direct aux États-Unis
- Les systèmes utilisés comme alimentation de secours en cas de panne ou comme onduleurs totalement off-grid nécessitent une architecture réseau plus sûre
- La solution finale pour les clients touchés reste inconnue, et comme Deye n’a pas effectué de vérification géographique lors de l’installation initiale, il existe un risque élevé que les mauvaises personnes subissent les conséquences
1 commentaires
Avis sur Hacker News
Le problème de fond, comme toujours, c’est qu’on a normalisé le fait que des appareils situés à la maison et auxquels on accède depuis la maison aient besoin d’un accès au cloud pour faire ce genre de choses, voire simplement pour fonctionner.
Autrefois, les mesures de l’onduleur auraient été fournies par un serveur web local intégré à l’appareil. On aurait même pu coller un QR code sur l’appareil pour le rendre accessible aux utilisateurs de smartphones ordinaires. Les mises à jour du firmware devraient relever d’une application optionnelle physique, par exemple en insérant une clé USB ou une carte MicroSD et en appuyant sur un bouton.
Pas d’un cloud louche capable de modifier ou supprimer des fonctionnalités sans avertissement pour des raisons juridiques, par malveillance ou par pure incompétence. Mon lave-vaisselle a encore un petit voyant qui m’indique qu’il n’est pas connecté au Wi‑Fi, et je ne le connecterai jamais. Il lave toujours très bien la vaisselle.
Il suffit de le brancher à un PC avec un adaptateur USB-série à 5 dollars, directement à un Raspberry Pi, ou à l’un de ces dongles cloud à 20 dollars. Si l’on rend obligatoire une interface série, l’onduleur lui-même n’a absolument pas besoin d’interface web.
[0] : https://en.wikipedia.org/wiki/IEC_62056
[1] : https://jensd.be/1183/linux/read-data-from-the-belgian-digit...
Rendre optionnels les changements majeurs de fonctionnalités, en revanche, c’est acceptable.
Ce genre de chose ne cessera que lorsqu’on commencera à le traiter comme une attaque malveillante. Comme pour les rançongiciels, il faudrait rechercher les auteurs, et s’ils sont arrêtés, leur infliger de lourdes peines de prison.
Cela vaut pour le fait de briquer volontairement des appareils grand public, et aussi pour ce type d’attaque contre des infrastructures critiques. Évidemment, dans le second cas, la peine devrait être proportionnellement plus lourde.
https://pemc.coop/bill-protecting-critical-infrastructure-si...
D’après l’article, le titre semble incorrect. Ce ne serait pas le distributeur américain Sol-Ark qui aurait fait cela, mais le fabricant Deye.
Parce qu’il est difficile de demander des comptes à Deye ou à des entreprises chinoises. Plus largement, il faut y voir un signal d’alarme : continuer à faire tourner des fournisseurs internationaux pour des infrastructures critiques peut devenir un problème de sécurité nationale. Il est inacceptable qu’ils aient tous la capacité de couper l’électricité aux États-Unis.
Il n’y a aucune raison d’importer ce genre de matériel.
Deye a sans doute répondu quelque chose du genre : « nous avons une obligation contractuelle ». À mon avis, les deux sont en tort.
J’ai le sentiment que ce genre d’équipement ne devrait même pas s’approcher d’Internet. Pas seulement parce que le fabricant peut soudainement le désactiver, mais aussi parce que, en général, le logiciel est truffé de failles.
La connexion Internet devrait se limiter au fait que l’appareil contacte de temps en temps un serveur pour demander des mises à jour, sans jamais être directement accessible depuis l’extérieur. Tant que le serveur de mise à jour n’est pas compromis, je ne vois pas très bien ce qui pourrait réellement se passer.
J’utilise un onduleur SolarEdge, et je ne l’ai pas connecté à Internet précisément parce que je craignais que ce genre de chose soit possible. C’est une autre marque, mais j’ai l’impression que cette inquiétude était justifiée.
Je ne comprends pas vraiment pourquoi Sol-Ark est blâmé.
Des gens ont acheté des onduleurs chinois destinés au marché chinois sur le marché gris, via des sites comme AliExpress, puis les ont importés dans d’autres pays, et Deye a décidé de sévir contre cette pratique. Pour l’instant, rien ne prouve que Sol-Ark soit impliqué, hormis le fait qu’il est le distributeur agréé aux États-Unis des onduleurs Deye rebadgés.
Les gens se sont donc naturellement tournés vers des onduleurs Deye non listés à cause des combines de Sol-Ark. Maintenant, ils se retrouvent sans électricité, et pour rétablir la situation, ils devront probablement passer par Sol-Ark et payer très cher.
Si Deye a détruit des produits achetés légalement aux États-Unis, j’estime qu’elle a violé la loi américaine. J’aimerais que les propriétaires d’onduleurs intentent une action collective contre Deye aux États-Unis. Le tribunal pourrait même bloquer la vente des produits de l’entreprise aux États-Unis jusqu’à ce que les onduleurs soient restaurés et que des dommages et intérêts soient versés.
Quelqu’un qui possède un onduleur solaire peut-il expliquer pourquoi ces appareils sont connectés à Internet ?
Mais en pratique, cela veut presque toujours dire une connexion Internet. Parce que l’interface la plus simple est le Wi‑Fi, et que la collecte et l’affichage des données se font sur les serveurs du fabricant. Donc les fonctionnalités supplémentaires impliquent une connexion Internet.
Il devait y avoir un différend financier entre eux, car le sous-traitant m’a demandé de leur régler la facture directement. Sinon, ils menaçaient d’éteindre l’installation solaire tout juste installée. Pendant l’appel, en demandant « c’est possible, ça ? », j’ai évidemment changé le mot de passe Wi‑Fi.
Cette appli permet aussi le contrôle à distance et la surveillance de l’onduleur via des serveurs cloud inconnus. Comme je fais tout fonctionner en local uniquement, cela n’arrivera jamais chez moi.
Ce fabricant a mis les deux dans la même « boîte » pour réduire les coûts, et il est possible qu’un état d’erreur du contrôleur ait entraîné l’arrêt de la partie onduleur. Certains systèmes, comme le mien chez Enphase, sont bien conçus : l’onduleur fonctionne indépendamment du logiciel de surveillance/contrôle. En revanche, pour cela, il faut sans doute ajouter du stockage de données dans l’onduleur lui-même, afin qu’il puisse enregistrer les données pendant une « panne » du contrôleur.
Toutes les interfaces web qui affichent la consommation collectent aussi des informations utiles pour les modèles de prévision. L’un des chercheurs avec qui j’ai travaillé a écrit un article utilisant des mesures de production solaire résidentielle distribuées pour aider à produire des prévisions d’irradiance à plus haute résolution et des estimations des valeurs réelles/observées. Pour rendre cela fiable, il faut faire beaucoup de nettoyage de données. De mémoire, ce type de données était acheté et revendu pour divers modèles météo, de recherche comme commerciaux.
Cette doctrine juridique existait déjà il y a 10 ans.
https://www.finnegan.com/en/insights/articles/u-s-supreme-co...
« La Cour suprême des États-Unis a jugé que les livres imprimés et vendus à l’étranger pouvaient être librement revendus aux États-Unis, le droit d’auteur étant épuisé en vertu de la doctrine de la première vente… La décision Kirtsaeng est importante pour les titulaires de droits d’auteur, et pourrait avoir des répercussions importantes pour les titulaires de brevets qui fabriquent et vendent à l’étranger des produits mettant en œuvre des brevets américains. »
https://www.iveticlaw.com/owning-vs-controlling-understandin...
La doctrine de la première vente est un principe juridique qui limite le contrôle du titulaire du droit d’auteur sur un exemplaire particulier d’une œuvre après sa vente légale. Plus concrètement, après avoir acheté un livre, un CD, un DVD, une œuvre d’art ou une autre copie autorisée d’une œuvre protégée, vous n’avez généralement pas besoin de l’autorisation du titulaire du droit d’auteur pour revendre, prêter, donner, ou même détruire cet objet précis.
Le briquage à distance nécessite du logiciel, et le logiciel est vendu sous le régime du droit d’auteur.
Et cela n’a rien à voir avec un contrat d’exclusivité entre entreprises, ce qui semble être le cas ici.
J’utilise Deye depuis 2019. J’avais un onduleur réseau bleu avec limiteur pour fonctionner sans injection, et il portait un autocollant du fabricant Deye. J’ai donc cherché, je l’ai trouvé sur Alibaba, et j’en ai acheté quelques-uns directement. Ce n’est que plus tard que j’ai appris qu’il y avait un lien avec Sol-Ark. Heureusement, je n’ai jamais fait confiance à leur dongle/solution cloud : je ne le branchais que lorsque je demandais une mise à jour de firmware.
À un moment, j’ai appris que le produit avait été conçu avec Sol-Ark, que Sol-Ark avait fait pression sur Deye pour arrêter les ventes sur le marché américain, et que Deye avait effectivement cessé ses ventes directes aux États-Unis. Je comprends la position de Sol-Ark, mais beaucoup de gens l’ont acheté sans rien savoir de cette relation, ou sans même imaginer que l’achat direct de produits en Chine — tellement courant — serait considéré comme du marché gris. Et, comme presque tous ceux qui bricolent ce genre de matériel, nous trouvions Sol-Ark trop cher : nous n’aurions de toute façon jamais envisagé d’en acheter, et nous ne connaissions pas vraiment la marque.
Même si cette décision venait entièrement de Deye, elle est une conséquence directe de la pression exercée par Sol-Ark pour empêcher les onduleurs d’être vendus sur le marché américain. Quand les intermédiaires ont suffisamment contourné cela, ils ont estimé devoir en arriver là.
Encore une fois, je comprends la position de Sol-Ark, mais cela donne une très mauvaise image. Je vois cela un peu comme certains cas de piratage de médias. Les gens n’auraient de toute façon pas payé pour l’offre telle que vous la proposez, et ce que vous faites maintenant ne fait que pousser de potentiels futurs clients à vous détester. Il serait certainement plus rentable de concentrer ces ressources ailleurs.
Sol-Ark semble vraiment illustrer le principe « ne jamais gaspiller une crise ».
Même si Sol-Ark n’a peut-être pas appuyé directement sur la gâchette qui a briqué les onduleurs, on dirait que leurs actions en justice ont mis Deye sous pression. Et c’est encore plus le cas quand ils agitent devant les particuliers dont les onduleurs ont été cassés une offre à durée limitée pour acheter un nouveau produit chez eux.
Sol-Ark n’a pas forcé Deye à faire cela ; ils semblent au contraire surpris. Dire le contraire paraît assez malhonnête.