Et tant pis pour l'adaptation climatique

Malgré les dispositions de la directive relative à l’efficacité énergétique, un consortium de journalistes démontre l’incapacité, voire la mauvaise volonté de la Commission européenne et des États membres à faire la transparence sur les impacts environnementaux des centres de données. Lighthouse Reports se tourne désormais vers la Convention d’Aarhus, qui impose des obligations juridiques de transparence à ses signataires.

Quel est l’impact environnemental des centres de données installés en Europe ? La question est répétée, de manière lancinante, auprès des opérateurs européens ou internationaux, auprès des géants numériques qui multiplient les projets, y compris en France : en Alsace, dans le Centre Val-De-Loire, en Seine-et-Marne, auprès des administrations.

Et, quand bien même les règlements européens prévoient que les centres de données envoient les données relatives à leur usage en eau, en électricité, leur recours aux énergies renouvelables ou leur réutilisation de chaleur fatale à la Commission européenne, seulement 36 % les transmettent effectivement. Comme Next le détaillait récemment, sur ces données finalement récupérées, seulement 70,1 % sont jugées fiables. Ne parlons même pas des bilans volontaires des géants du Net qui ne sont loin de donner toutes les informations importantes et contiennent en plus des erreurs.

Alors que l’Europe vient de proposer officiellement un barème de notation des centres de données de A à G, en fonction de leurs impacts, le consortium Investigate Europe révélait au mois d’avril que les pratiques de confidentialité adoptées par Bruxelles correspondent directement aux demandes formulées par Microsoft et Digital Europe, le lobby du numérique dont Meta, CapGemini, NVIDIA et Google comptent parmi les membres.

Pour obtenir malgré tout des informations plus précises, un autre consortium d’investigation, Lighthouse Reports, s’est tourné vers la justice. Au fil de plusieurs mois d’enquête, celui-ci constate, dans les pages de Mediapart, d’El Confidencial, d’Il Manifesto et d’autres médias européens, qu’un voile de silence s’oppose à la publication d’informations précises sur les impacts environnementaux des centres de données.

• UE : la Commission a copié/collé les lobbys pour cacher les données sur les datacenters

Face aux refus d’accéder aux demandes d’information, la Convention d’Aarhus

Son réseau d’enquêteurs a soumis des demandes d’accès aux documents administratifs des 27 États membres pour demander la publication des informations relatives à tous les indicateurs prévus par la directive relative à l’efficacité énergétique (DEE).

Ce texte a été révisé en septembre 2023, moins d’un an après le lancement public de ChatGPT (OpenAI), à peine six mois après celui de Claude (Anthropic). C’est en vertu de ces dispositions que les citoyennes et citoyens européens peuvent demander l’accès aux données relatives à la consommation énergétique et d’eau des centres de données, à leurs émissions de chaleur fatale, à l’énergie nécessaire pour refroidir les bâtiments, au type de réfrigérants et de systèmes d’air conditionné utilisés, etc.

• Datacenters : 0,1 % de la chaleur fatale réutilisée en France, moins de 2 % en Europe

En octobre 2025, alors qu’un rapport technique de la Commission décrivait le reporting et la transparence des consommations énergétiques comme « fondamentalement important pour l’estimation correcte de la soutenabilité », Lighthouse reports indique avoir constaté un refus global de transmettre ces éléments.

Dans un courrier échangé avec la Commission, la Slovénie indique par exemple n’avoir « rien reçu » et demande conseil sur la manière de faire. Au total, dix pays indiquent ne pas disposer des informations en question – ce qui signifie qu’ils ne contrôlent pas les impacts environnementaux des centres de données de leur territoire.

Et si plusieurs pays, dont la France, voient leurs commissions chargées de la transparence rendre des avis positifs sur la diffusion de ces informations, plusieurs entreprises citent le secret des affaires pour éviter de les partager.

Faute de meilleur résultat, de la part des États membres comme de la Commission, Lighthouse Reports a entrepris d’interroger le comité de conformité à la Convention d’Aarhus. Signé en 1998, ce traité international garantit en effet que le public accède aux informations environnementales.

Données environnementales contre protection des intérêts commerciaux

En France, l’entité chargée de collecter et de transmettre ces données à la Commission européenne est l’Autorité de régulation des communications électroniques, des postes et de la distribution de la presse (Arcep). Auprès de Mediapart, le ministère de la Transition écologique n’en souligne pas moins la nécessaire « mise en balance » à effectuer entre l’intérêt de diffuser les informations environnementales relatives à ces établissements et la « protection des intérêts commerciaux ainsi que la confidentialité des informations des exploitants ».

• Datacenters : l’Europe agite son barème de A à G… sans avoir toutes les copies

Concrètement, cela signifie que l’Arcep peut fournir les « données relatives aux performances énergétiques et environnementales », mais pas les informations administratives qui permettraient de les relier aux bons bâtiments. En l’espèce, le journal français indique avoir finalement reçu un tableau de « près de 163 lignes et 28 colonnes », mais dont « tous les indicateurs sont mélangés, selon un ordre aléatoire ». Impossible, dans ces conditions, d’attribuer correctement les impacts énergétiques, de température ou de consommation d’eau.

Cette logique kafkaïenne est d’ailleurs loin de ne concerner que les médias : présidente du groupe Les Écologistes à l’Assemblée nationale, rapporteur de la commission d’enquête parlementaire sur les vulnérabilités du système numérique, Cyrielle Chatelain indique avoir elle aussi eu maille à partir avec le secret des affaires. Citant les commandes réalisées par les administrations auprès de fournisseurs états-uniens comme Microsoft ou Oracle, elle qualifie la situation de « délirante », dans la mesure où il devient impossible de publier des informations relatives à l’usage de l’argent public.

Dans les autres pays, la situation n’est pas meilleure : l’Allemagne a ainsi mis neuf mois avant d’envoyer sa réponse, qui renvoyait les journalistes vers une base de données publique, par ailleurs incomplète. L’Italie a déclaré ne pas disposer des éléments demandés, quand bien même le pays les avait transmis à Bruxelles. Aux Pays-Bas, l’Agence néerlandaise des entreprises, chargée de collecter les informations, a transmis une liste de 104 bâtiments, alors que l’association locale des data centers déclarait compter 185 centres de données commerciaux d’une capacité de 500 kW minimum sur le territoire.

« Nous ne pensons pas que ce mur de silence soit le fruit du hasard, écrit Lighthouse Reports dans le mémoire soumis ce 28 septembre à la commission de la transparence de la Convention d’Aarhus. Au contraire, on observe chez les décideurs politiques de toute l’Union européenne une volonté claire et constante de nier ou d’entraver l’accès aux informations relatives aux performances des centres de données et à leurs impacts environnementaux, et d’en brouiller la compréhension. » Depuis 2023, relève le consortium d’enquêteurs, le budget du principal lobby des centres de données en Europe, la European Data Centre Association, a été multiplié par huit.

Alors qu’au début des années 2020, l’essentiel des géants numériques avaient pris des engagements pour lutter contre leurs impacts environnementaux, six ans et une vague de l’IA plus tard, même les financiers des sociétés spécialisées dans les technologies climatiques ne s’en cachent plus : « la décarbonation est morte ». C’est du moins ce qu’a lancé Sophie Purdom, fondatrice de la société de capital-risque Planeteer, au Wall Street Journal. Plutôt que de se concentrer sur le financement de solutions dédiées à lutter contre les émissions carbone, son secteur se focalise, lui aussi, sur l’IA. Autrement dit, dans ce cas précis : sur les manières de fournir son infrastructure, en particulier les centres de données, en énergie.

À Cannes, lors du sommet DataCloud qui réunissait les pontes de l’industrie des centres de données, le PDG de la société américaine QTS DataCenter, Thomas Greason, s’est de son côté moqué des « hommes des cavernes » (« Citizens against virtually everything », dont les initiales forment, en anglais, le mot CAVE, caverne). L’idée : faire passer les citoyens qui seraient « contre tout », et surtout contre les data centers, pour des gens du passé.

• Face aux projets de centres de données, des résistances s’organisent

"They're not loot boxes, they're surprise mechanics"

Placé sous l’égide de Bruxelles, le réseau européen des autorités nationales de protection des consommateurs lance une série d’actions coordonnées contre dix éditeurs de jeux vidéo dont Blizzard, Ubisoft, Riot et Supercell. Elles ciblent principalement les monnaies virtuelles et cherchent à aboutir à l’application de principes tels que la transparence sur les prix, le respect du droit de rétractation ou la protection des joueurs vulnérables.

Après les tentatives de persuasion et les guides de bonnes pratiques, place à des démarches plus vindicatives : le réseau de coopération en matière de protection des consommateurs (CPC), coordonné par la Commission européenne, a annoncé mercredi le lancement d’une série d’actions coordonnées visant à assainir les pratiques des éditeurs de jeux vidéo en matière de monnaies virtuelles.

Une action coordonnée pour assainir les pratiques

Le réseau CPC rappelle qu’il a déjà tenté d’initier un échange avec les éditeurs de jeux vidéo au sujet des monnaies virtuelles. À cette fin et en parallèle d’une action déjà engagée contre l’éditeur du jeu Star Stable Online (simulateur d’équitation), il avait notamment publié au printemps 2025 un guide des « principes clés des monnaies virtuelles dans les jeux ».

Problème : selon le réseau CPC, « le dialogue n’a pas donné de résultats satisfaisants », ce qui a conduit ses membres à analyser les pratiques des éditeurs en la matière. Il en tire une liste de jeux qui devraient, selon lui, faire l’objet d’une évaluation plus approfondie. Sur cette base, le réseau annonce l’ouverture d’actions contre neuf éditeurs, chacun d’entre eux étant visé pour au moins un jeu.

Dans le lot figurent Riot Games (Valorant), Mojang (Minecraft), Ubisoft (For Honor), King.com (Candy Crush), Supercell (Clash of Clans), Crytek (Hunt : Showdown 1896), InnoGames (Forge of Empires), Plarium Europe (Mech Arena) et PLR Worldwide Sales (Gardenscapes).

Le réseau CPC indique par ailleurs mener une action spécifique à l’encontre d’Activision Blizzard (via sa filiale britannique) « afin de garantir le respect de la législation de l’UE en matière de protection des consommateurs dans les jeux Diablo Immortal et Call of Duty Mobile ».

Ces actions visent, selon le réseau CPC, à garantir l’application des principes qu’il prônait dans son guide de 2025, à savoir principalement la transparence des prix (montrer le prix réel d’un objet en jeu, ne pas masquer les coûts associés, fournir une information claire et complète).

Ils appellent également à renforcer la lutte contre les mécaniques d’incitation (qui poussent à acheter de grandes quantités de monnaie virtuelle), le respect du droit de rétractation de 14 jours (y compris pour les monnaies non utilisées) et la protection des consommateurs vulnérables, notamment les enfants.

Dans une déclaration conjointe, les membres du réseau ajoutent vouloir vérifier la conformité de certaines techniques susceptibles d’être qualifiées de trompeuses (dark patterns) telles que les comptes à rebours, la fausse rareté des objets virtuels, ou les systèmes de récompense variable (les fameuses loot boxes).

Un coup de semonce, en attendant des procédures nationales ?

Reste à voir quelle sera la portée réelle de cette action conjointe qui, pour l’instant, fait surtout office de nouveau coup de semonce.

Le réseau CPC s’appuie en effet sur le règlement du même nom (2017/2394) qui permet aux autorités nationales (dont la DGCCRF pour la France) d’agir ensemble contre des infractions généralisées, qui touchent tout ou partie des États membres. Dans ce contexte, la Commission européenne coordonne l’ensemble, mais c’est tout de même aux autorités nationales qu’il revient « d’ouvrir des enquêtes ou des procédures de leur propre initiative si elles apprennent l’existence d’infractions couvertes par le présent règlement ».

« Environ la moitié des Européens jouent à des jeux vidéo, remarque dans un communiqué Michael McGrath, commissaire européen à la démocratie, à la justice, à l’état de droit et à la protection des consommateurs. Avec cette portée vient la responsabilité. L’industrie doit veiller à ce que ses jeux n’exposent pas les joueurs – en particulier les enfants – à des pratiques néfastes ou déloyales ».

Le sujet a notamment été porté à l’attention de l’exécutif européen par les associations de consommateurs. Que Choisir Ensemble (qui s’appelait alors UFC-Que Choisir) a par exemple saisi la DGCCRF et la Commission européenne contre la présence et l’usage de monnaies virtuelles dans des jeux vidéo comme Diablo IV, Fortnite ou encore Minecraft en septembre 2024.

Ce 29 septembre, Canonical a officiellement ouvert la mise à niveau directe d’Ubuntu 24.04 LTS (Noble Numbat) vers Ubuntu 26.04.1 LTS (Resolute Raccoon). L’information peut surprendre, Ubuntu 26.04 ayant près de six mois déjà. Pourtant, ce chemin de migration n’a en réalité qu’un mois de retard sur le calendrier habituel.

Pour rappel, les versions printanières sortant les années paires comme 24.04 et 26.04 sont étiquetées LTS, pour Long Term Support. Chez Canonical, cela signifie un support de cinq ans, extensible via l’offre Ubuntu Pro. Par défaut, ces versions ne se mettent pas à jour vers les versions intérimaires (c’est-à-dire autres que LTS). Si l’on ne touche à rien, les seules évolutions possibles sont vers les nouvelles LTS.

Souvent, les personnes choisissant ces versions privilégient la stabilité au détriment des nouveautés. En entreprise ou dans d’autres organisations, Ubuntu peut par exemple être utilisé sur des appareils de production, des serveurs, etc. Le choix de migration est donc prudent : le chemin ne s’ouvre qu’une fois que Canonical s’est assuré que les principaux problèmes ont été réglés.

Dans une annonce, Canonical indique que le chemin de migration commence à être ouvert. L’entreprise y explique que la version 26.04.1 va être proposée dans les jours qui viennent à l’ensemble des ordinateurs équipés de 24.04, via le gestionnaire de mises à jour. Le déploiement étant progressif, la notification peut ne pas apparaître tout de suite.

Signalons quand même plusieurs éléments. D’une part, rien n’oblige à installer cette nouvelle version, qui peut être refusée : Ubuntu 24.04 est supportée jusqu’en 2029, ou 2034 avec Ubuntu Pro. D’autre part, les personnes qui n’ont pas envie d’attendre la notification peuvent lancer la commande « do-release-upgrade » dans le terminal. Enfin, la migration ne peut se faire que si toutes les mises à jour en attente sont installées, que ce soit dans le gestionnaire graphique ou en ligne de commande avec apt.

En outre, attention à la migration, car ce type d’installation n’est jamais anodin. Canonical souligne plusieurs points de vigilance, dont la fin de la session GNOME sous Xorg. Le serveur graphique n’est ainsi pas supprimé, mais l’option disparait de l’écran de connexion. La session par défaut repose sur Wayland, les applications X11 passant par XWayland depuis Ubuntu 25.10. En revanche, Xfce, LXQt, Cinnamon et MATE prennent toujours en charge Xorg. Autre point de vigilance, la quantité de mémoire recommandée : 6 Go, contre 4 Go pour Ubuntu 24.04. L’installation n’est pas bloquée sur une machine avec 4 Go de mémoire, mais l’ensemble fonctionnera sans doute moins bien.

Rappelons qu’Ubuntu 26.10 arrivera le 15 octobre. Pour les personnes utilisant Ubuntu 26.04 (ou 24.04 et sur le point de migrer), la situation est celle que nous décrivions : cette mise à jour ne vous sera pas proposée. Pour recevoir cette mise à jour, il faudra soit avoir déjà une version intérimaire (semestrielle), soit avoir une version LTS configurée pour les recevoir. Si vous voulez changer ce réglage sur Ubuntu 26.04 par exemple, il faut vous rendre l’application « Logiciels et mises à jour », dans l’onglet « Mises à jour ». Dans le champ « Me notifier des nouvelles versions d’Ubuntu » choisissez alors « Pour toute nouvelle version ».

• Ubuntu 26.10 : du retard pour la bêta et un « snapping » à la Windows 11

À défaut de bouger en France, les lignes entre droit d’auteur et intelligence artificielle générative pourraient-elles se déplacer à l’échelle européenne ? Bruxelles vient de donner un signe allant dans le sens d’une possible évolution du cadre réglementaire. La Commission européenne a en effet lancé, mardi 29 septembre, une consultation visant à recueillir des « commentaires sur les défis et les perspectives d’avenir concernant l’impact des technologies sur le droit d’auteur ».

Bien que le droit communautaire protège déjà le droit d’auteur (notamment via la directive de 2019 sur le droit d’auteur dans le marché unique numérique), Bruxelles estime que « les nouveaux défis et l’évolution du marché soulèvent la question de savoir si ce cadre devrait être renforcé par d’éventuelles mesures supplémentaires ».

Entre autres sujets d’étude, la consultation se concentre notamment sur « l’utilisation de contenus protégés par le droit d’auteur en intelligence artificielle ».

À ce sujet, la Commission indique, dans l’avant-propos du questionnaire dédié, vouloir étudier « des moyens de faciliter l’octroi de licences et l’application du droit d’auteur et des droits connexes dans le contexte de l’IA et d’améliorer les conditions de rémunération des créateurs, tout en permettant aux fournisseurs de modèles et de systèmes d’IA, y compris les start-up, d’accéder légalement au contenu protégé par le droit d’auteur et de l’utiliser pour l’innovation en matière d’intelligence artificielle ».

La consultation ne se limite cependant pas à l’IA. Elle interroge aussi la « lutte contre le piratage en ligne de contenus tels que les événements en direct », « l’application du droit à une rémunération équitable unique pour les artistes-interprètes et les producteurs de musique » et « le droit d’auteur sur la recherche scientifique ».

Ouverte jusqu’au 3 novembre prochain, cette démarche qui vise donc à explorer des solutions s’adresse notamment aux titulaires de droits d’auteur et droits voisins, aux acteurs de l’IA générative, aux organismes de gestion collective, mais aussi aux organismes de recherche, aux associations de consommateurs et aux autorités nationales ou organisations non gouvernementales.

Bruxelles avait déjà procédé à une phase de cadrage (call for evidence) entre le 18 mai et le 25 juin 2026. À l’époque, l’exécutif européen évoquait explicitement la possibilité de faire évoluer la directive de 2019.

Rappelons qu’en France, la proposition de loi qui souhaitait instaurer la présomption d’utilisation des contenus culturels par les acteurs de l’IA au nom de la défense du droit d’auteur a achoppé en juillet dernier à l’Assemblée nationale, alors qu’elle avait été votée à l’unanimité au Sénat.

Supercalifragilisticexpialidocintelligence !

Donald Trump veut assurer à l’écosystème de la tech états-unienne qu’il n’y aura pas de régulation juridique de l’IA. Rassemblant les CEO milliardaires de la tech pour un déjeuner, il leur a fait signer à la place un accord « contraignant moralement » mais pas légalement. Au passage, le dirigeant américain officialise le remplacement du terme « intelligence artificielle » par « super intelligence » dans toutes les communications officielles fédérales des États-Unis.

Donald Trump a réuni une vingtaine de CEO du numérique états-unien pour un déjeuner ce mardi 29 septembre et en est ressorti avec la promesse qu’il avait déjà martelée de ne pas ajouter de loi contraignant les entreprises d’IA, mais aussi un accord qu’il qualifie de « contraignant moralement ».

Autour de lui, le dirigeant des États-Unis avait notamment rassemblé les dirigeants milliardaires des principales entreprises de l’IA : Elon Musk, bien sûr, mais aussi Jeff Bezos, Mark Zuckerberg, Jensen Huang, Satya Nadella, Sundar Pichai, Alex Karp et même Dario Amodei (avec lequel il s’est confronté médiatiquement en début d’année). OpenAI était aussi présente, représentée par son président Greg Brockman et non son CEO Sam Altman.

Droit dans ses bottes contre de nouvelles lois

Face à une contestation croissante aux États-Unis contre la construction de data centers sur le territoire pour supporter les besoins de l’IA et à des demandes venant des deux camps politiques de réguler, Donald Trump a réaffirmé son opposition à tout renfort légal sur le sujet.

Pourtant son ancien conseiller Steve Bannon s’est même affiché récemment dans une alliance baroque au côté du sénateur de gauche Bernie Sanders pour dénoncer les milliardaires cités plus haut et exhorter les Américains à exiger des lois plus strictes pour encadrer l’intelligence artificielle.

• Les datacenters IA, un sujet électoral incontournable aux États-Unis

Donald Trump s’est au contraire affiché très solidaire des dirigeants de ces entreprises tout en mettant en scène son pouvoir sur eux, les faisant défiler devant les caméras après le déjeuner et qualifiant, par exemple, de façon ironique le CEO de Google, Sundar Pichai de « monstre » que « personne ne connaît », comme le raconte le Financial Times.

Trump soutient une autorégulation des entreprises d’IA

Au lieu de nouvelles lois, le dirigeant des États-Unis préfère laisser ces entreprises à une autorégulation qu’il qualifie de « formidable ». Rappelons que ces entreprises ont revendiqué avoir laissé plusieurs fois leur IA attaquer des sites du gouvernement états-unien, australien ou d’autres entreprises. Concernant l’environnement, leur autorégulation semble aussi défaillante. Ainsi, par exemple, xAI (maintenant nommé SpaceXAI) a outrepassé les réglementations locales en utilisant des générateurs illégaux au gaz pour alimenter ses centres de données. Sans parler de leurs rapports environnementaux au mieux incomplets et faux, au pire sans données utiles.

Donald Trump a voulu quand même faire signer à ces dirigeants d’entreprises du numérique un accord dont il a diffusé le texte sur son réseau social.

Interrogé lors de sa conférence de presse par une journaliste sur la possibilité que cet accord soit « contraignant d’une quelconque manière », Donald Trump a affirmé qu’il était « moralement contraignant », signifiant en creux que les dirigeants ne s’étaient pas engagés de façon juridique sur le sujet.

Dans ce texte, les signataires « [estiment] que chaque entreprise devrait mettre en œuvre les quatre niveaux de contrôles et d’audits suivants :

• Mettre en œuvre des contrôles internes robustes pour surveiller les capacités et la conformité des modèles lors de la formation et du déploiement dans des domaines tels que la cybersécurité, la biosécurité et les menaces chimiques, et pour garantir que ces modèles ne piratent pas les systèmes techniques ou n’y accèdent pas de manière non autorisée.

• Constituer une équipe interne chargée de veiller au bon fonctionnement de l’ensemble des contrôles, de la surveillance et de la détection, et de corriger tout problème rencontré.

• Collaborer avec un auditeur ou un évaluateur externe indépendant pour réaliser des évaluations indépendantes du bon fonctionnement des contrôles, de la surveillance et de la détection.

• Désigner un comité indépendant du conseil d’administration chargé de superviser les équipes chargées des contrôles, de recevoir les rapports des auditeurs et évaluateurs internes et externes, et de veiller à la résolution de tout problème identifié ».

Trump veut imposer un nouveau terme pour parler d’intelligence artificielle

En parallèle, Donald Trump en a profité pour publier son texte officiel qui met en pratique l’annonce du remplacement du terme « intelligence artificielle » par « super intelligence » dans tous les documents officiels fédéraux pour représenter ce qu’il considère être une « nouvelle ère » dans laquelle ce terme mettrait « en lumière la promesse, le potentiel et les capacités en constante évolution de ces technologies ».

La Maison Blanche a aussi accompagné ces annonces d’un nouveau chatbot officiel sur America.gov qui doit être le « portail numérique unifié vers le gouvernement fédéral pour chaque individu aux États-Unis recherchant des informations ou des services fédéraux », selon l’executive order qui le rend officiel.

L’agence de presse Associated Press a déjà remarqué que ce chatbot, qui s’appuie sur des sources gouvernementales et qui est animé par Gemini de Google, contredit bon nombre des déclarations du dirigeant.

La grande loterie des nouveautés

Microsoft a lancé ce 29 septembre sa nouvelle mise à jour annuelle. Contrairement aux années précédentes cependant, la 26H2 est surtout là pour prolonger le support, Microsoft ayant choisi une approche plus souple.

L’automne est toujours pour Windows synonyme de mise à jour majeure, d’autant que Microsoft n’en propose désormais plus qu’une par an, le reste étant fourni en continu au fil des mois. Si les versions 24H2 et 25H2 ont apporté de longues listes de nouveautés, la 26H2 est cependant d’un genre nouveau. Ses apports ont en fait été disséminés dans les mises à jour mensuelles depuis quelques mois.

En clair, pour une machine actuellement à jour en 25H2, la 26H2 ne va pas apporter grand-chose. Son rôle premier est de relancer un cycle de support technique : 24 mois pour les éditions Famille et Professionnelle, 36 mois pour Entreprise et Éducation. Ce cycle de deux ans pour le grand public signifie que l’heure de la fin est proche pour la 24H2. Si vous avez encore une machine sur cette version, il est temps de passer à la 25H2 ou 26H2, car vous n’aurez plus de mises à jour mensuelles de sécurité après le 13 octobre.

Le déploiement de cette version 26H2 est dit « contrôlé ». Un comportement habituel chez Microsoft, qui propose d’abord ses versions majeures aux machines jugées les plus compatibles. Ensuite, au fur et à mesure des installations, la télémétrie permet à l’éditeur de voir l’état du déploiement et des bugs rencontrés. Le téléchargement est ensuite proposé à un nombre croissant d’ordinateurs au cours des mois suivants. Toutefois, il est possible de court-circuiter ce mécanisme en allant dans Windows Update pour cliquer sur le bouton « Rechercher des mises à jour », ou chez les personnes qui ont activé l’option « Recevez les dernières mises à jour dès qu’elles sont disponibles ».

Et donc, c’est tout ? Pas tout à fait. La situation va être très variable selon les configurations. Les fonctions ajoutées au cours des derniers mois ne sont pas activées chez tout le monde. Ce fonctionnement flou est une marque de fabrique de Microsoft depuis longtemps. En revanche, l’arrivée de la 26H2 signifie dans la plupart des cas l’activation des nouveautés « dormantes », et elles peuvent être nombreuses.

Côté interface, beaucoup de bonnes choses

Si vous n’avez pas suivi l’actualité des derniers mois, la 26H2 peut être synonyme de bonne surprise, surtout dans les fonctions du quotidien. La barre des tâches récupère ainsi la possibilité d’être placée sur n’importe quel bord de l’écran, avec en plus une option pour réduire sa taille. Des fonctions présentes depuis longtemps dans les systèmes de Microsoft mais que Windows 11 avait supprimées.

Le menu Démarrer a droit à une refonte qui le rend nettement plus personnalisable. On peut désormais choisir précisément les sections à afficher, supprimer les catégories et les applications recommandées, avoir uniquement la liste alphabétique des applications installées, etc. Autre nouveauté, la possibilité de choisir entre des versions petite et grande du menu.

Autre gros morceau, la recherche est enfin à la hauteur. On peut ainsi désactiver les résultats web dans les options pour n’afficher que les contenus locaux. La recherche tolère maintenant les fautes de frappe (il était temps), affiche un aperçu des résultats et indexe automatiquement les dossiers fréquemment utilisés. On peut également supprimer la recherche dans le Microsoft Store.

L’Explorateur a reçu de son côté bon nombre d’améliorations. Il s’ouvre nettement plus vite et l’affichage de l’Accueil est plus rapide. On y trouve aussi la prise en charge d’autres types d’archives (uu, cpio, xar et nupkg), la conservation des préférences d’affichage et de tri (enfin !) ou encore la possibilité d’utiliser la dictée vocale pour renommer un fichier ou un dossier. En revanche, certains travaux arriveront plus tard, dont le menu contextuel remanié et personnalisable. Dans ce dernier, on peut quand même signaler le regroupement des actions OneDrive dans un sous-menu dédié.

Ces apports ont été répartis sur l’été et ne sont pas encore présents chez tout le monde. Si certains ne vous disent rien, l’installation de la 26H2 devrait changer la donne, la mise à jour étant surtout un « Enablement Package », pour reprendre la terminologie de Microsoft.

Du neuf pour la sécurité

L’un des plus gros apports de ces derniers mois est la protection Administrateur, dont le rôle est de remplacer les droits d’administration permanents. Les droits sont maintenant accordés au moment du besoin, avec séparation des profils pour renforcer le système contre l’élévation de privilèges. Dans les entreprises, cette fonction s’active via Intune ou une stratégie de groupe. Pour le grand public, l’option doit apparaitre dans le centre de sécurité, dans la section Protection du compte. Si elle n’est pas là, c’est qu’elle fait l’objet d’un déploiement progressif. Dans notre cas, elle est absente pour le moment.

Parmi les autres apports, signalons l’intégration native de Sysmon pour la capture des évènements système, que l’on peut ensuite utiliser pour de la détection de menaces. Smart App Control peut à présent être activé ou désactivé à la volée, sans plus nécessiter une réinstallation propre du système. Un changement majeur, car si la protection permet de surveiller le comportement des applications pour bloquer les comportements douteux, elle peut entrainer des soucis de compatibilité dans certains scénarios.

Voici d’autres nouveautés dans le domaine de la sécurité :

• Windows accepte désormais les gestionnaires de mots de passe tiers pour les clés d’accès, s’ils sont compatibles avec cette nouvelle intégration à l’échelle du système
• Windows Hello Enhanced Sign-in Security (ESS) prend en charge les lecteurs d’empreintes périphériques compatibles, et plus uniquement ceux intégrés dans les ordinateurs
• Windows ne fait plus confiance par défaut aux pilotes à signature croisée, seuls restant admis les pilotes du programme WHCP et une liste de pilotes historiques de confiance
• Prise en charge des algorithmes de cryptographie post-quantique ML-KEM et ML-DSA

Un peu de tout

Les modifications ajoutées au cours des derniers mois sont nombreuses. Voici une liste pêle-mêle de ce que vous pourriez avoir avec la version 26H2 si ces fonctions n’étaient pas déjà présentes.

Parmi les dernières nouveautés, on note un renforcement important de la fiabilité et des performances pour le Bluetooth, surtout dans des scénarios comme les appels, la reconnexion après veille prolongée, l’écoute via LE Audio, ou encore la synchronisation de la mise en sourdine. On trouve également du mieux pour l’USB, dont une connexion plus fiable des écrans via des docks et hubs USB4.

Windows Update se veut en outre plus léger sur ses procédures d’installations, avec moins de redémarrages. Les mises à jour éligibles sont installées en même temps que celles de sécurité et le mécanisme est capable de restaurer certains comportements. Par exemple, Windows Update peut sortir un PC de veille pour installer des correctifs et le remettre ensuite en veille. Ce cas ne survient que pour les machines configurées pour ne jamais se mettre en veille automatiquement, mais quand même plongées en veille manuellement. Microsoft ne donne pas d’autres précisions sur ce fonctionnement, qui reste en partie mystérieux.

Le gestionnaire des tâches récupère plusieurs nouvelles colonnes optionnelles : NPU, moteur NPU, mémoire NPU dédiée ou partagée, et « Isolation » pour pointer les applications exécutées dans un AppContainer.

Enfin, côté accessibilité, la Loupe accepte un pourcentage de zoom précis ainsi qu’un niveau de zoom distinct par écran en mode étendu. Le Narrateur intègre maintenant Braille Viewer et améliore la navigation dans Word. L’accès vocal comprend le langage naturel sur les PC Copilot+ et ajoute le français, l’allemand, l’espagnol et le coréen.

Installation et problèmes connus

Avant de vous lancer, sachez que plusieurs problèmes sont déjà connus et que cette liste peut évoluer fortement dans les prochaines semaines. Par exemple, les problèmes de son signalés apparus avec les derniers correctifs du Patch Tuesday sont considérés comme « atténués », mais pas complètement corrigés. Idem pour les soucis déjà signalés de perte d’approbation à des domaines en entreprise ou d’écran noir après connexion dans certains environnements de bureau virtuel.

Quant à l’installation, selon votre configuration, elle peut se révéler très rapide. Sur une machine en 25H2 à jour, la 26H2 ne va servir que de module d’activation pour les nouveautés des derniers mois. Elle ne sera pas plus lourde qu’une mise à jour mensuelle et ne devrait donc pas immobiliser longtemps la machine. Comme toujours, le temps dépend de la configuration logicielle et de la puissance de la machine.

À moins d’être passé au travers des déploiements progressifs des derniers mois, nous recommandons d’attendre que Windows Update propose de lui-même cette nouvelle version. Le déclenchement manuel de l’installation peut révéler des incompatibilités.

Enfin, la page de téléchargement de l’image ISO de Windows 11 a été mise à jour. Si vous avez envie ou besoin de réinstaller proprement le système, l’image fournie correspond bien désormais à la version 26H2 (build 26300).

Nouvelle diversification inattendue pour Opera : dans sa version Android, le navigateur permet désormais d’acheter une carte SIM virtuelle (eSIM) dédiée aux données mobiles lors des séjours à l’étranger (roaming).

L’option s’active directement depuis l’interface du navigateur. L’utilisateur est alors invité à ajouter une carte SIM virtuelle à son système, qui servira ensuite à se connecter a Internet une fois le téléphone connecté à un réseau étranger éligible.

« Vous n’avez donc pas besoin d’une application supplémentaire, fini les files d’attente aux guichets des aéroports pour obtenir une nouvelle carte SIM et les factures d’itinérance exorbitantes. Vous pouvez configurer l’eSIM chez vous ; elle ne sera décomptée qu’à votre arrivée à destination. L’eSIM est dédiée aux données et ne remplace pas votre numéro de téléphone actuel », décrit l’éditeur.

Opera revendique 47 destinations disponibles pour ce service opéré par l’intermédiaire d’un prestataire spécialisé, Holiday.com. Le principal prérequis technique consiste à disposer d’un téléphone compatible eSIM, sous Android 10 ou version ultérieure.

Pour séduire les nouveaux utilisateurs, l’éditeur propose une offre de bienvenue gratuite qui permet de profiter de 3 Go de données pendant trois jours, sans enregistrement préalable (ni email, ni carte bancaire nécessaire).

Au-delà, il faudra en passer par les packs payants. Opera et Holiday fonctionnent sur une logique de packs à l’achat unique, qui ouvrent droit respectivement à 3 Go, 5 Go et 10 Go à consommer sur 30 jours. Le prix dépend de la destination visée.

Les pays couverts par le service sont les suivants : Albanie, Australie, Autriche, Belgique, Bulgarie, Croatie, Chypre, République tchèque, Danemark, Égypte, Estonie, Finlande, France, Géorgie, Allemagne, Grèce, Hong Kong, Hongrie, Islande, Irlande, Italie, Lettonie, Liechtenstein, Lituanie, Luxembourg, Malaisie, Malte, Monténégro, Pays-Bas, Nouvelle-Zélande, Norvège, Pologne, Portugal, Roumanie, Singapour, Slovaquie, Slovénie, Corée du Sud, Espagne, Sri Lanka, Suède, Suisse, Taïwan, Thaïlande, Turquie, Royaume-Uni et États-Unis.

• L’Europe envisage d’étendre le « roaming comme à la maison » à six pays des Balkans

BYOD nouvelle version : Bring Your Own... Désastre

Cet été, la Direction générale des Finances publiques (DGFiP) reconnaissait une intrusion dans ses systèmes informatiques avec l’accès à des données concernant pas moins de 678 000 contribuables et entreprises. Deux suspects de 16 et 18 ans ont été interpellés fin août, dont un mis en examen et placé en détention provisoire.

L’attaquant disposait de mots de passe de dizaines de comptes

Ce piratage a fait grand bruit, d’autant qu’il s’inscrit dans une longue liste de sites et institutions publiques piratés ces dernières semaines, mois et même années. Plusieurs enquêtes ont été lancées, dont une du cyberpompier français, l’ANSSI (Agence nationale de la sécurité des systèmes d’information). Elle vient de publier son rapport d’incident (pdf).

• Troisième fuite confirmée aux impôts, Bercy détaille sa réponse aux attaques

S’il fallait résumer l’affaire en une phrase : « La compromission des SI de la DGFiP n’est pas la conséquence d’une attaque sophistiquée, mais de l’exploitation de faiblesses dans trois domaines ». Il s’agit de l’identité, de l’architecture réseau et de la détection des signaux.

Premier point, la volumétrie : les données volées concernent « près de 353 000 particuliers et 252 000 professionnels, obtenues à partir d’un outil de gestion de la relation avec les usagers de la DGFiP ». Les infiltrations dans la DGFiP ont commencé dès le mois de mai 2026.

• Piratage du fisc : 678 000 usagers touchés, enquête de l’Office anticybercriminalité

L’ANSSI revient tout d’abord sur la sécurité des comptes et le volume important de ceux auxquels le pirate pouvait accéder car il disposait des couples identifiant et mot de passe. En effet, « aucune tentative d’attaque par force brute ou credential stuffing n’a été identifiée, ce qui signifie que l’attaquant disposait de mots de passe pour ces comptes (pouvant être valides ou expirés) ».

Dans son rapport, l’ANSSI anonymise les comptes compromis et utilise la dénomination suivante : compte-dgfip-X pour ceux internes à la DFGIP, et compte-dgfip-xt-Y pour les externes. Les X et Y sont incrémentés pour différencier chaque compte. Voici le bilan officiel : compte-dgfip-X va jusqu’à 22 et compte-dgfip-xt-X jusqu’à 7… soit presque une trentaine de comptes compromis par infostealer.

Pour les comptes externes, « les investigations de la DGFiP mettront en évidence que la compromission du poste d’un géomètre-expert au sein d’un cabinet privé a permis de contourner la double authentification par messagerie, puis l’accès et l’exfiltration des données entre le 27 juillet 2026 et le 8 août 2026 ».

La réinitialisation des mots de passe n’a pas servi à grand-chose.

Une des pistes évoquées pour obtenir ses informations est « la fuite d’identifiants de connexion fréquente et consécutive à l’utilisation d’appareils personnels ». La DGFiP a procédé à la réinitialisation des mots de passe, mais si des machines restent infectées et/ou que les sessions actives ne sont pas coupées, cela n’est pas d’une grande utilité.

Preuve en est : la réinitialisation du 24 juin 2026 « n’interrompt pas la session et l’exfiltration en cours qui se poursuivent », précise l’ANSSI dans le détail de la chronologie des faits. Ajoutez à cela « l’absence d’authentification forte sur deux portails dont l’un donnant accès à des ressources sensibles » et vous avez un combo explosif.

Des indices en pagaille : IP en Inde, des Go téléchargés, connexions nocturnes

Autre problème pour l’ANSSI, le manque de détection : « Les sessions d’exfiltration menées par l’attaquant n’ont pas été détectées en temps réel par les mécanismes de contrôle implémentés sur les applicatifs métiers ni sur les équipements de sécurité de la DGFiP ».

Il y avait pourtant des indices élémentaires facile à identifier : « la volumétrie d’informations échangées lors des connexions (11Go entre le 22 et 25 juin, 3Go entre le 21 et 23 juillet) », ainsi que « le nombre de requêtes par utilisateur sur une plage temporelle ».

L’Agence prend soin de préciser que « la technique de scraping utilisée par les attaquants impose de devoir initier autant de requêtes que de pages accédées ». Cela aurait dû déclencher des alertes. Une technique connue depuis la nuit des temps aurait dû être mise en place : un rate-limiting. Le but est de bloquer un nombre trop important de requêtes, permettant aussi de limiter des attaques par force brute.

Ce n’est pas le seul problème. La DGFiP n’analysait pas les adresses IP puisque des connexions ont été réalisées « depuis des adresses de VPN, depuis des adresses localisées en Inde et pour plusieurs catégorisées comme malveillantes ». Ajoutez à cela des adresses IP déjà identifiées comme liées à un compte compromis qui peuvent revenir en toute impunité et des heures de connexions nocturnes ; vous avez un beau tableau de ce qu’il ne faut pas faire.

« Ces paramètres pris individuellement ne permettent généralement pas d’identifier des comportements suspects sans générer d’importants volumes de faux positifs, néanmoins la corrélation de plusieurs d’entre eux aurait pu permettre de lever des alertes », ajoute l’ANSSI.

Après « le besoin d’en connaître », le besoin d’y avoir accès

Troisième point de faiblesse : le RIE ou Réseau Interministériel de l’État, utilisé par les pirates pour accéder « au portail ADER [Accès Distant aux Échanges Réseau, ndlr] de la DGFiP ». Opérationnel depuis 2013, il raccorde les services de l’État. L’ANSSI note que « plusieurs accès illégitimes identifiés proviennent du RIE [la suite est caviardée, ndlr], à partir de localisations n’ayant pas de besoins apparents d’accéder à des infrastructures de la DGFiP ».

« Pendant l’incident, le SOC [Security Operation Center, ndlr] de la DGFiP ne supervisait pas le portail ADER, utilisé par l’attaquant pour exfiltrer les informations E-Contact », contrairement au portail PIGP (Portail internet de la gestion publique) qui était bien surveillé. Ce trou dans la raquette a permis aux pirates de s’infiltrer, mais a aussi empêché « de corréler des activités malveillantes avec le reste du SI ou en provenance du RIE suite à un signalement d’un autre ministère ».

• Le Réseau Interministériel de l’État (RIE) fête ses 10 ans et se modernise

Là encore on retrouve un basique de la cybersécurité : la segmentation réseau avec le cloisonnement des « accès aux seules populations et zones logiques qui en ont le besoin ». L’Agence recommande de mettre en place « un filtrage plus fin des accès réseau entre ministères et au sein du RIE ».

Comment les pirates sont rentrés dans le RIE ? Par la porte ouverte d’un autre piratage : « L’utilisation du RIE lui a été rendue possible à cause de la compromission d’infrastructures appartenant au ministère de l’Éducation nationale elles-mêmes raccordées au RIE ». Pour l’ANSSI, cela illustre parfaitement le « risque de latéralisation depuis des ressources d’organismes tiers » et le besoin de cloisonner.

Des signalements en pagaille

L’ANSSI fait son mea culpa sur sa supervision. « Les acteurs malveillants utilisaient des comptes légitimes pour accéder aux applications et la supervision réseau de l’Agence n’a pas permis de les voir ». De plus, « le volume cumulé de requêtes que l’attaquant a dû générer pour orchestrer l’exfiltration de données aurait dû déclencher des alertes ».

Dans la même veine, elle explique qu’un partenaire l’a informé le 15 juin de la compromission de deux comptes DGFIP. Cette dernière « ne répond pas et n’est pas relancée par l’Agence ». Nouveau signalement le 22 juin, suivi d’une action cette fois-ci : « un partenaire informe l’ANSSI de la compromission d’un compte. La DGFIP répond le jour même à l’ANSSI avoir réinitialisé ce compte et sensibilisé leur agent ».

D’autres signalements sont remontés dans la chronologie, notamment le 29 juin 2026 avec un bel acte manqué : « un partenaire informe l’ANSSI de la compromission du compte. Il s’agit du compte utilisé pour l’exfiltration de données le 24 juin 2026, or cette compromission n’était pas connue à cette date et les analyses menées par le SOC de la DGFIP ne l’identifient pas. La DGFIP répond le jour même à l’ANSSI avoir déjà connaissance de ce fait et confirme l’avoir réinitialisé ».

D’autres signalements ? Le 1ᵉʳ juillet, la « DGFIP est informée par son prestataire de la vente de deux comptes ». Là aussi le pot aux roses aurait pu être découvert : « les investigations montreront, à posteriori, des échecs de connexion sur le PIGP le même jour et le jour précédent avec ces comptes à partir d’une des adresses IP utilisées pour l’exfiltration du 24 juin 2026 ».

Plein de mesures de remédiation, ça fait pas de mal de les relire !

Enfin, l’ANSSI propose des mesures de remédiation (page 10) afin « d’assurer que le même chemin de compromission ne puisse être emprunté de nouveau, par le même acteur ou un nouveau ». Elles couvrent toutes les lacunes précédentes et ouvrent aussi de nouvelles pistes.

Cela va des restrictions d’accès aux ressources métiers à la protection contre les vols d’identifiants. On y retrouve notamment des propositions sur le matériel. « L’usage d’appareils personnels pour accéder à des ressources professionnelles doit être proscrit », et les machines professionnelles doivent être durcies. Évidemment, l’authentification multifacteurs doit être généralisée.

Pour les applications à usage interne, l’accessibilité ne doit se faire « que depuis des postes administrés par la DGFiP. Dans ce cas, l’accès à l’application ne doit pas être possible depuis Internet, sauf à travers un VPN dédié aux agents de la DGFiP ». Les VPN ne servent pas uniquement à contourner des restrictions, ils permettent aussi de renforcer la sécurité, mais attention aux promesses de certains !

• [Édito] Au pays des VPN menteurs…

Dans sa synthèse, l’ANSSI rappelle que l’exfiltration des données s’est produite sept semaines avant la revendication des pirates le 12 août, et « qu’elle a été précédée de plusieurs semaines d’exploration sur des applicatifs de la DGFIP ».

Des indices étaient bien présents, mais pas correctement pris en compte, c’est un rappel important pour toute la communauté cyber. En effet, ces recommandations peuvent s’appliquer bien au-delà de la DGFiP. Il est toujours bon de les lire et de vérifier qu’elles sont bien appliquées.

Pour trois fois rien, on n’a pas toujours quelque chose…

Gemini, l’intelligence artificielle de Google, consomme bien moins de tokens que ses concurrents, tout en coûtant moins cher. Le prix moyen d’une requête sur les derniers modèles n’est que de 1,2 centime environ. Que des bonnes nouvelles ? Non, car elle ne parvient pas à répondre correctement au prompt Extension.

Après Claude d’Anthropic et ChatGPT d’OpenAI, place à Gemini de Google. L’intelligence artificielle du moteur de recherche infuse dans de nombreux produits, à commencer par Android. Elle est donc largement utilisée à travers le monde et, contrairement à ses deux concurrents, la question du coût est plus secondaire à cause de cette profonde intégration.

• Le vrai prix de Claude : notre analyse de 11 modèles, avec 3 prompts et 200 requêtes
• Le vrai prix de ChatGPT : notre analyse complète, de GPT-3.5 à GPT-6

Des tokens à moitié prix jusqu’à fin 2026

Comme dans les deux précédents articles, nous passons par l’API pour connaître le nombre de tokens en entrée et en sortie, qui comprend aussi ceux utilisés pendant le raisonnement, le cas échéant. Nous avons testé plusieurs modèles différents, de Gemini 3.1 à 3.8 flash, la dernière version en date. Google propose quatre niveaux de réflexion avec Gemini 3.1 à 3.6, avec minimal, low, medium et high. Avec les 3.1 Pro, 3.7 et 3.8 seuls les trois derniers (low, medium et high) sont possibles.

Via l’API, Gemini 3.6 à 3.8 ont un tarif de 0,75 dollar par million de tokens en entrée… mais jusqu’au 31 décembre 2026 seulement. Idem en sortie avec 3,75 dollars par million de tokens. À partir du 1ᵉʳ janvier 2027, les deux prix doubleront, pour atteindre respectivement 1,5 et 7,5 dollars.

La version 3.5 Flash est la plus chère, avec 1,5 et 9 dollars respectivement, tandis que la 3.1 Flash Lite est moins chère avec 0,25 et 1,5 dollar. La palme revient à Gemini 3.1 Pro avec 2 et 12 dollars par millions respectivement.

Nous avons repris exactement les mêmes prompts que pour Claude et ChatGPT avec, en gras, le petit nom que nous leur avons attribué. Les voici pour mémoire :

Devinette : « Ô frère, fils de ma mère, ton père est le frère de mon enfant. Qui suis-je ? »

Carnet de voyage : « L’été prochain je vais avoir trois semaines de vacances. Je suis avec ma petite voiture électrique Sprind (charge à 30 kW max) et je voudrais visiter le sud de Bayonne à Montpellier en prenant mon temps. Propose-moi un carnet de voyage »

Extension : « Je veux une extension pour Chrome et Firefox qui me permet d’inverser les titres et les sous-titres sur le site d’actualité Next.ink. S’il n’y a pas de sous-titre, c’est que c’est un brief. Alors fais en sorte d’en inventer un à partir du titre du brief. L’extension doit avoir un sélecteur pour activer/désactiver l’inversion en direct sur la page »

Nouveauté de notre protocole : la vérification des extensions !

Pour ce nouvel article, une nouveauté que vous avez demandée à plusieurs reprises dans les commentaires : une estimation de la validité des résultats. C’est désormais le cas pour les extensions. Les deux autres prompts sont en cours de validation, nous y reviendrons dans un prochain article.

Nous avons mis au point et utilisé un protocole de vérification avec Playwright et le navigateur Chromium. Les fichiers de l’extension sont générés automatiquement à partir de la réponse du modèle, puis elle est chargée dans le navigateur via Playwright. L’extension est lancée sur une fausse page (fichier html local) reprenant la structure de Next, puis en live sur Next.ink.

Nvidia veut tenir les agents ia en laisse, grand bien leur fasse : ils font bien plus que grignoter nos vieilles charentaises !

Demain c'est trop tard

La place de marché française de Rakuten (ex PriceMinister) fermera ses portes le 30 septembre à 23h59. Les acheteurs ou vendeurs conserveront un accès leur permettant de récupérer les sommes dues ou l’historique de leurs transactions jusqu’au 10 novembre.

Fin de parcours pour l’un des pionniers de l’e-commerce français. Après l’échec du processus de recherche d’un repreneur, la direction de l’antenne française du géant japonais du commerce en ligne Rakuten a signé mercredi l’acte de décès de la plateforme Rakuten France.

Baroud d’honneur

À la connexion sur le site, un bandeau informe que le site fait l’objet d’une cessation d’activité programmée au 30 septembre à 23h59. « Rakuten France cessera toute activité de mise en relation entre acheteurs et vendeurs le 30 septembre 2026. À partir de cette date, il ne sera plus possible d’y effectuer de nouveaux achats ou ventes », indique le panneau d’information associé.

Ce dernier renvoie vers un document plus formel (PDF), qui informe « de l’arrêt définitif de nos services de mise en relation entre acheteurs et vendeurs » et par conséquent de « l’impossibilité d’y effectuer des ventes ou des achats auprès de vendeurs, tant professionnels que non-professionnels, à compter du 30 septembre 2026, 23h59 ».

En page d’accueil, Rakuten France affiche une ultime promotion titrée « jour de fermeture », avec 30 euros offerts sur un panier d’au moins 300 euros.

Les clients ont intérêt à récupérer leurs informations d’achats

Dans son document contractuel, la place de marché se veut rassurante quant au service après-vente relatif aux produits vendus par son intermédiaire, mais elle ne s’engage à rien, se contentant de renvoyer vers la responsabilité du vendeur : « vous pourrez contacter directement nos vendeurs professionnels en particulier, ceux-ci restant directement tenus des garanties légales, notamment celles de conformité et de vices cachés, couvrant les produits vendus par l’intermédiaire de notre Plateforme ».

Elle indique par ailleurs qu’un accès aux comptes utilisateurs, comprenant à la fois attestations d’achats et coordonnées des vendeurs professionnels le cas échéant, reste ouvert « jusqu’au 10 novembre 2026, 23h59, date à laquelle celui-ci sera rendu définitivement inaccessible ».

L’équipe française conclut sur un mot de remerciements. « De PriceMinister à Rakuten France, vous avez contribué à l’évolution et à l’histoire de notre plateforme. Merci d’avoir fait partie de cette aventure à nos côtés ».

Reprise manquée

La fin était programmée : Rakuten France avait en effet annoncé mi-juillet que sa fermeture interviendrait avant la fin de l’année, faute d’avoir trouvé un repreneur suite au processus de cession lancé en avril dernier.

« Malgré les efforts déployés par le Groupe pour mener à bien une cession de l’activité, les discussions approfondies menées avec les repreneurs potentiels n’ont pas permis d’aboutir à une solution viable permettant d’assurer la poursuite de l’activité de manière pérenne », déclarait alors Rakuten France.

Plusieurs candidats à la reprise s’étaient pourtant manifestés. Dans le lot figurait notamment Pierre Kosciusko-Morizet, fondateur de PriceMinister en 2000, accompagné d’autres anciens dirigeants et d’un fonds d’investissement. Rappelons que le site Priceminister a été racheté en 2010 par le géant japonais Rakuten avant d’être rebaptisé Rakuten France en 2018. Autres figures du e-commerce français, les frères Rosenblum, fondateurs de Pixmania, s’étaient aussi positionnés.

Aucune des offres n’a cependant été retenue. « Chaque offre reçue a été rigoureusement évaluée, notamment à l’aune des critères suivants : la préservation des emplois, les conditions financières de l’offre et les risques qui y sont associés, ainsi que la capacité du plan de redressement à assurer la pérennité de l’activité à long terme. Aucune des offres reçues ne remplissait ces trois critères », justifiait Rakuten France en juillet.

Le 28 juillet, Rakuten France avait fait évoluer ses conditions générales d’utilisation pour interdire l’inscription de nouveaux vendeurs, particuliers ou professionnels.

Coup de froid dans l'App Store

Apple n’a pas supprimé l’application ICEBlock sous la pression de l’administration Trump, affirme l’entreprise. Il s’agissait, selon elle, de protéger les agents de la police de l’immigration américaine après une fusillade dans un centre de détention de l’ICE. Un argument crédible ?

Droit dans ses bottes. La décision de supprimer ICEBlock (et d’autres applications du même genre) de l’App Store était motivée par des préoccupations concernant la sécurité des agents de la police de l’immigration américaine. C’est ce qu’affirme Apple dans un courrier envoyé à Jamie Raskin, représentant démocrate et membre de la commission judiciaire de la Chambre des représentants américains. Un courrier partagé par CNN.

Raskin a lancé une enquête au mois de juin sur le rôle du ministère de la Justice (DoJ) dans la suppression de ces applications des boutiques d’Apple et de Google. Joshua Aaron, le développeur d’ICEBlock, avait porté plainte contre l’administration Trump en décembre dernier, deux mois après le retrait de son app de l’App Store.

Il accuse le gouvernement d’avoir fait pression sur Apple, ce que la procureure générale des États-Unis de l’époque, Pam Bondi, avait d’ailleurs confirmé dans une déclaration ne laissant planer guère de doute : « Nous avons contacté Apple aujourd’hui pour leur demander de retirer l’application ICEBlock de leur App Store, et Apple l’a fait ».

• États-Unis : procès contre les pressions sur Apple pour enlever ICEBlock de l’App Store

La fusillade de Dallas au cœur de la justification d’Apple

Dans cette lettre, qui remonte au mois de juillet, Apple explique qu’ICEBlock a été autorisée en avril 2025, après que le développeur a serré les boulons sur des fonctions de confidentialité. Pour rappel, l’app permettait à quiconque d’alerter les utilisateurs d’une descente de la tristement célèbre police de l’ICE dans les parages.

En septembre 2025, une fusillade a lieu dans un centre de détention de l’ICE à Dallas (Texas), faisant trois morts : deux détenus et l’auteur des tirs. Selon Apple, c’est après cet événement que Pam Bondi a fait part de ses inquiétudes concernant ICEBlock, une app qui « représente une menace pour la sécurité des agents fédéraux ». Kash Patel, le directeur du FBI, avait également affirmé que le tireur avait recherché des apps permettant de connaître la localisation des agents.

Apple indique aussi avoir relevé une hausse importante des activités de l’ICE et des menaces visant l’agence. La situation pouvait mettre en danger aussi bien les agents que les personnes détenues, écrit Timothy Powderly, directeur principal des affaires gouvernementales de l’entreprise. Ce sont tous ces éléments qui l’ont conduit à un nouvel examen de l’application.

Apple a déterminé qu’ICEBlock et les autres plateformes de localisation des agents de la police de l’immigration enfreignaient ses politiques, « et, par conséquent, d’autres personnes susceptibles de se trouver à proximité, comme des manifestants ou des personnes détenues —, offrant ainsi une possible feuille de route pour des violences ciblées et créant un risque important de préjudice ».

Un « risque important » de violences ciblées

L’opérateur de l’App Store assure ne pas prendre à la légère la décision de retirer des applications, mais qu’il intervient quand c’est nécessaire, « en particulier lorsqu’il existe de sérieuses raisons de penser qu’une application crée des risques pour la sécurité ». Des explications qui exonèrent l’administration Trump des accusations de pression politique, mais qui ne convainquent pas Jamie Raskin.

Dans sa réponse envoyée ce lundi à Timothy Powderly, le représentant écrit qu’Apple porterait atteinte aux droits garantis par le premier amendement de la Constitution américaine, « notamment celui de documenter les activités de leur propre gouvernement et d’en rendre compte ». Selon Raskin, il n’existe aucune preuve que ces apps aient été utilisées pour commettre la fusillade de Dallas.

Même si le tireur a pu rechercher des apps pour localiser les agents de l’ICE, « il n’avait pas besoin d’une application de suivi pour localiser un bâtiment gouvernemental dont l’emplacement est fixe ». Le tireur aurait tout simplement trouvé l’adresse du centre à l’aide d’une app « installée par défaut sur les appareils Apple » (probablement Apple Plans).

Pour Jamie Raskin, il n’existe aucun lien direct entre ce qui s’est passé à Dallas et les applications retirées de la boutique. Le représentant demande au constructeur de procéder à un nouvel examen indépendant pour décider si ces applications enfreignent réellement les règles de l’App Store.

Critiquer les conditions de travail dans les entrepôts d’Amazon, pour l’art, trop clivant ? C’est l’avis de Yannick Le Roux, maire d’extrême droite de la ville de Vierzon, dans le Cher.

Le 1^er avril 2027, le comédien Aurélien Labruyère, coauteur du seul en scène Amazonia, devait jouer son spectacle au théâtre Mac-Nab, la salle municipale de Vierzon. Mais en ce mois de septembre, la programmatrice de la salle annonce à son équipe que le spectacle est déprogrammé. 
La justification ? « La commande politique du maire, c’est de dépolitiser au maximum les spectacles et de mettre l’accent sur le beau », selon les termes du cabinet du maire rapportés par Mediapart.

Exit, donc, ce spectacle inspiré de l’histoire du syndicaliste Christian Porta : une partie du seul en scène s’intéresse à son arrivée chez Amazon pour tenter d’y organiser les travailleurs d’un entrepôt subissant des conditions de travail difficiles, une autre, le combat du syndicaliste aux prud’hommes, contre le géant de la livraison.

Pour Aurélien Labruyère, cette décision constitue une « grave atteinte à la liberté de création », ce que conteste le cabinet du maire. Toujours auprès de Médiapart, ce dernier rétorque : « Vous avez tout à fait la possibilité de continuer à créer et de vous produire, ailleurs ».

Pour la compagnie, la décision illustre aussi l’hypocrisie du Rassemblement National, qui « prétend défendre les ouvriers, les petites gens », mais décide d’empêcher les spectacles qui évoquent leur vie, rythmes chronométrés et accidents du travail compris.

En 2024, la filiale française d’Amazon avait été condamnée à 32 millions d’euros par la CNIL pour avoir surveillé de manière disproportionnée les cadences de ses salariés.

• Surveillance des salariés : la CNIL inflige une amende de 32 millions d’euros à Amazon

La mairie de Vierzon l’assure : sa décision n’implique aucune prise de parti « pour ou contre Amazon », mais simplement le refus de voir le théâtre Mac-Nab produire des « choses politiques ». Nul doute qu’Amazon, dont la messagerie interne interdisait, en 2022, les termes « syndicat » et « injuste », appréciera.

À une trentaine de kilomètres de Vierzon, le maire divers gauche de la ville de Bourges, qui sera Capitale européenne de la culture en 2028, a indiqué ouvrir ses portes pour accueillir Amazonia.

• Black Friday, Cyber Monday : des travailleurs d’Amazon en grève partout sur la planète