Qu’est-ce qui se prépare sur SourceHut ? 2e trimestre 2026

• SourceHut Q2 2026 a surtout été marqué par une proposition de subvention de l’UE, des revues de code, des corrections de bugs, le support utilisateur, la réponse à un DDoS et les tâches financières de la saison fiscale
• Au trimestre suivant, l’accent sera davantage mis sur le rapport financier annuel et sur des améliorations plus visibles pour les utilisateurs, avec à l’étude un accès anonyme et une conception plus standardisée à partir du travail de Simon Martin sur l’API GraphQL
• Le DDoS visait principalement l’épuisement des ressources réseau, et un problème où une partie du trafic entre services internes était routée via une interface publique saturée a été corrigé
• Juste après le DDoS, plus de 300 inscriptions de spam par mois ont été observées, ce qui a conduit à l’ajout d’une détection par mots-clés et d’une suspension immédiate dans l’abuse detection system
• Des clés de déploiement SSH par dépôt ont été ajoutées à git.sr.ht, tandis qu’une API GraphQL en écriture pour le project hub et des améliorations de la patch review ont également progressé

---

Exploitation et réponse côté infrastructure

• Au trimestre dernier, le travail a surtout porté sur la préparation d’une proposition de subvention pour un financement de l’UE, des revues de code, de petites corrections de bugs, le support utilisateur, la réponse à un DDoS et les tâches financières de la saison fiscale
• Au trimestre suivant, il est prévu de rédiger le rapport financier annuel et d’allouer davantage de temps à des améliorations visibles pour les utilisateurs
• En s’appuyant sur le travail mené par Simon Martin sur l’API GraphQL, l’équipe étudie un accès anonyme à l’API, une conception plus standardisée et cohérente de l’API, ainsi que la prise en charge de la connections specification pour l’énumération des ressources
• Les améliorations de l’API devraient aussi servir à reconnecter des pages de ressources comme les dépôts git aux projets auxquels ils appartiennent dans le project hub
• Le travail sur le billing system se poursuit afin d’achever la transition vers le système de facturation de l’UE, et en cas de succès tous les clients y seront migrés
• Le DDoS s’est produit en plusieurs vagues, avec des schémas de trafic visant principalement l’épuisement des ressources réseau
• Le trafic de référence du graphique public incluait non seulement SourceHut, mais aussi celui d’autres clients du fournisseur réseau, mais les pics visibles ne visaient que SourceHut
• Pendant l’attaque, un problème a été découvert : une partie du trafic réseau interne, comme les requêtes entre services, était routée via une interface publique saturée ; tout a été corrigé
• Juste après le DDoS, plus de 300 inscriptions de spam par mois destinées au link farming ont été observées, et comme Gmail était la principale source, il était plus difficile qu’auparavant de les bloquer simplement en interdisant des domaines email
• Une détection par mots-clés a été ajoutée à l’abuse detection system : si une mise à jour de profil correspond à certains mots-clés au-delà d’un certain seuil, le compte est immédiatement suspendu
• Pour éviter les faux positifs, l’ajout de mots-clés se fait avec une grande prudence, et les cas actuellement ciblés sont considérés comme des formes faciles à détecter avec une précision de 100 %

Améliorations fonctionnelles et contributions de la communauté

• Dans l’onglet Access des paramètres de dépôt git.sr.ht, il est désormais possible d’ajouter des clés de déploiement SSH ne donnant accès qu’à un dépôt spécifique
• Les deploy keys peuvent être configurées en lecture-écriture ou en lecture seule, une fonctionnalité destinée aux clés utilisées par des automatisations comme la CI
• En amont de ce travail, la gestion des clés SSH de meta.sr.ht a été rationalisée, et le changement visible pour les utilisateurs est l’utilisation généralisée des empreintes SHA256 à la place des anciennes empreintes MD5
• Le premier patch visant à remplacer le shell builds.sr.ht, actuellement implémenté en Python, par une implémentation en Go a été soumis, après être déjà passé par l’étape RFC
• Simon Martin a écrit plusieurs patchs pour améliorer le project hub, et une API GraphQL en écriture a été ajoutée au project hub, permettant de gérer les projets et leurs ressources via l’API
• Simon Martin prépare aussi d’autres patchs pour améliorer encore l’API et réduire la présence de Python dans cette partie du système
• L’écran de patch review de lists.sr.ht relie désormais les nouvelles révisions de patchset aux versions précédentes et ajoute une interface pour naviguer entre les différentes versions d’un patch
• CismonX a amélioré le système pour permettre la mise à jour des clés PGP existantes, afin de mettre à jour leur date d’expiration ou leurs subkeys
• Les mainteneurs bénévoles des build images les ont gardées à jour, et CismonX a mis FreeBSD à jour vers la version 14.4 tout en supprimant la branche 13.x arrivée en fin de vie
• Michael Forney et Andrew Oberstar ont soumis de petites améliorations liées à Debian
• Haowen Liu a commencé le travail de prise en charge d’Ubuntu 25.10 et 26.04, mais il reste encore des growing pains à résoudre

[GN⁺]

Avis sur Lobste.rs

• J’utilise SourceHut avec beaucoup de satisfaction, et j’apprécie vraiment le soin apporté à son exploitation

  • Pareil pour moi. Il a trouvé le bon équilibre avec la façon dont j’attends de ce type d’outils qu’ils fonctionnent, et c’est assez agréable à utiliser
    Ça ne conviendra pas à tout le monde, et si je travaillais avec des équipes plus variées, je choisirais peut-être autre chose. Mais pour des usages légers, c’est particulièrement excellent
  • Je suis moi aussi un utilisateur satisfait de SourceHut. C’est triste que les employés doivent continuer à subir ce genre d’attaques DDoS, mais j’imagine que c’est aussi ça, vivre sur l’internet moderne

• Pour les projets personnels, SourceHut m’a vraiment très bien convenu. builds.sr.ht est facile à configurer et à déboguer, et les fonctionnalités du site suffisent pour héberger des ressources liées au projet, de la doc comme docs.rs, ou des rapports de couverture
  Son point le plus faible est le flux de contribution. Les personnes qui veulent éviter l’e-mail peuvent quand même soumettre une série de patchs depuis l’interface et l’appliquer avec le CLI hut, et on peut aussi configurer la CI pour qu’elle s’exécute sur les séries de patchs envoyées à la mailing list. En revanche, il est toujours impossible de soumettre une revue en dehors d’un client mail, donc j’espère qu’un jour ce flux sera aussi pris en charge
  Ce qui manque actuellement à la fois à SourceHut et à Codeberg, c’est la recherche de code, et je me demande si SourceHut prévoit de régler ce point un jour

  • Codeberg dispose d’une recherche de code

• En ce moment, je pousse tous mes travaux à la fois sur Codeberg et sur SourceHut

• Les clés SSH en lecture seule par dépôt sont vraiment utiles en CI/CD