ICANN’t stop them now

L’ICANN vient de confirmer que 1 616 demandes ont été payées pour de nouvelles extensions de premier niveau sur Internet. La liste n’est pas encore connue, mais devrait l’être dans les prochaines semaines, ce qui permettra de savoir quelles sont les extensions demandées plusieurs fois. Un long processus s’engagera alors… mais certains n’ont pas attendu pour déjà s’attaquer aux tribunaux.

Cela fait déjà 14 ans que les dernières extensions ont été ajoutées sur Internet, on parle des extensions de premier niveau, comme les .alsace, .best, .sncf et .xyz pour ne citer qu’elles. Les propriétaires de ces extensions peuvent ensuite vendre des domaines de deuxième niveau.

1 663 demandes, 1 616 payées

L’ICANN a rouvert les vannes cette année, avec le « round 2 » (ou série 2026) qui a suscité un engouement certain. Au total, 1 663 demandes ont été envoyées. Pour valider leur participation, les candidats avaient jusqu’au 19 août pour payer des frais de 227 000 dollars minimum par candidature, sauf dans le cadre du Applicant Support Program qui permet d’avoir des réductions sur la facture. Fin aout, l’ICANN annonçait que 56 entités étaient éligibles, mais sans indiquer combien ont réellement déposé des demandes.

• gTLD : de nouvelles extensions arrivent : .gram, .coin, .agent ou peut-être .meta ?

Sur les 1 663, 1 616 se sont acquittés des frais nécessaires pour continuer, ce qui représenterait donc plus de 360 millions de dollars. Il y en avait un peu moins de 2 000 lors de la précédente campagne en 2012, pour un montant de 350 millions de dollars, selon l’ICANN.

Le détail des candidats sera annoncé au plus tard le 14 octobre, à l’occasion du Reveal Day. De plus amples détails sur le calendrier seront donnés en début de semaine prochaine. L’ICANN en profite pour lancer un avertissement :

« Ces dernières semaines, plusieurs candidats au Round 2026 ont décidé de divulguer publiquement à quelle(s) extension(s) ils auraient postulé. L’ICANN encourage les candidats et les parties intéressées à rester méfiants de toute information ne provenant pas directement de l’ICANN. Elle est la seule source pour des informations complètes et vérifiées sur les candidatures du Round 2026, y compris les entités qui ont postulé et pour quelle extension (ou extensions) ».

.easy : déjà des attaques devant les tribunaux

Comme nous le rappelions, « si plusieurs ont déposé les mêmes termes, les litiges pourraient bien se régler aux enchères au cas où les discussions à l’amiable sous l’égide de l’ICANN n’ont pas abouti ». Cette fois-ci, l’ICANN interdit aux candidats de régler directement entre eux (arrangement, accord financier…) un litige sur une extension. Pas besoin d’attendre le Reveal Day pour que les combats autour d’une extension commencent, comme le rapporte Domainnamewire. Le litige concerne l’extension .easy.

EasyGroup, qui a notamment EasyJet, « a menacé les candidats au domaine de premier niveau .easy, et l’un d’eux riposte désormais en justice », comme l’expliquent nos confrères. EasyGroup a en effet mis en demeure Link Freedom Group (LFG) de retirer sa candidature au plus tard le 9 septembre. Un troisième larron, Aruba, aurait aussi déposé une candidature pour cette extension.

De son côté, LFG demande à un juge de préciser que « tout litige concernant l’extension « .easy » doit se régler via la procédure d’arbitrage de l’ICANN, ou bien que l’extension de premier niveau « .easy » qu’elle projette de lancer ne portera pas atteinte aux marques d’easyGroup ». Le 10 septembre, LFG a aussi demandé à l’ICANN de disqualifier (la demande est publiée par Domainnamewire) EasyGroup pour ne pas avoir, selon elle, respecté les règles (notamment la communication interdite entre candidats) de ce deuxième round.

Le Texas « s’oppose à la candidature pour l’extension gTLD ".texas" »

Sur le .texas, l’État a pris les devants dans une lettre publiée par l’ICANN : « Je crois comprendre que des personnes n’ayant aucun lien avec le gouvernement de l’État du Texas pourraient déposer, ou auraient déjà déposé, une candidature pour la chaîne gTLD « .texas » dans le cadre du cycle 2026 du programme gTLD de l’ICANN […] Sur instruction du gouverneur, je vous informe par la présente que l’État du Texas ne soutient pas et s’oppose à la candidature pour l’extension gTLD « .texas », ainsi qu’à toute extension qui en serait dérivée ». L’État ne précise pas s’il est candidat, mais le ton de la lettre laisse penser que non. En tout cas, aucune candidature tierce pour le .texas ne pourra être validée par l’ICANN.

L’ICANN n’a rien publié pour le moment concernant le .easy. La dernière correspondance concerne bien les nouveaux gTLD ; il s’agit d’une lettre de l’avocat Jeff Neuman (fondateur et CEO de JJN) qui demande à l’ICANN de publier au plus vite la suite du calendrier et les modalités afin que chacun puisse se préparer.

Il rappelle notamment que « les candidats n’auront par ailleurs que 14 jours pour décider s’ils optent pour une extension de remplacement désignée à l’avance. Cette décision est irréversible » et nécessite donc un certain délai de réflexion, affirme-t-il. Les extensions de remplacement sont nombreuses, comme l’expliquait l’ICANN cet été dans un premier bilan : « plus de 1 600 candidatures primaires, dont plus de 1 100 incluent des candidatures pour des extensions de remplacement (candidatures secondaires) ».

De plus, « si le Reveal Day a lieu avant ou pendant l’ICANN 87 [du 17 au 22 octobre 2026 à Bali, ndlr], les candidats doivent être prêts, dès ce jour-là, à respecter les restrictions de communication » qui s’appliquent à ceux ayant postulé pour une même extension. C’est d’ailleurs sur ce point que porte la demande de LFG à l’ICANN, mais sur une zone grise : les discussions/attaques sont réalisées en amont du Reveal Day.

ICANN’t stop them now

L’ICANN vient de confirmer que 1 616 demandes ont été payées pour de nouvelles extensions de premier niveau sur Internet. La liste n’est pas encore connue, mais devrait l’être dans les prochaines semaines, ce qui permettra de savoir quelles sont les extensions demandées plusieurs fois. Un long processus s’engagera alors… mais certains n’ont pas attendu pour déjà s’attaquer aux tribunaux.

Cela fait déjà 14 ans que les dernières extensions ont été ajoutées sur Internet, on parle des extensions de premier niveau, comme les .alsace, .best, .sncf et .xyz pour ne citer qu’elles. Les propriétaires de ces extensions peuvent ensuite vendre des domaines de deuxième niveau.

1 663 demandes, 1 616 payées

L’ICANN a rouvert les vannes cette année, avec le « round 2 » (ou série 2026) qui a suscité un engouement certain. Au total, 1 663 demandes ont été envoyées. Pour valider leur participation, les candidats avaient jusqu’au 19 août pour payer des frais de 227 000 dollars minimum par candidature, sauf dans le cadre du Applicant Support Program qui permet d’avoir des réductions sur la facture. Fin aout, l’ICANN annonçait que 56 entités étaient éligibles, mais sans indiquer combien ont réellement déposé des demandes.

• gTLD : de nouvelles extensions arrivent : .gram, .coin, .agent ou peut-être .meta ?

Sur les 1 663, 1 616 se sont acquittés des frais nécessaires pour continuer, ce qui représenterait donc plus de 360 millions de dollars. Il y en avait un peu moins de 2 000 lors de la précédente campagne en 2012, pour un montant de 350 millions de dollars, selon l’ICANN.

Le détail des candidats sera annoncé au plus tard le 14 octobre, à l’occasion du Reveal Day. De plus amples détails sur le calendrier seront donnés en début de semaine prochaine. L’ICANN en profite pour lancer un avertissement :

« Ces dernières semaines, plusieurs candidats au Round 2026 ont décidé de divulguer publiquement à quelle(s) extension(s) ils auraient postulé. L’ICANN encourage les candidats et les parties intéressées à rester méfiants de toute information ne provenant pas directement de l’ICANN. Elle est la seule source pour des informations complètes et vérifiées sur les candidatures du Round 2026, y compris les entités qui ont postulé et pour quelle extension (ou extensions) ».

.easy : déjà des attaques devant les tribunaux

Comme nous le rappelions, « si plusieurs ont déposé les mêmes termes, les litiges pourraient bien se régler aux enchères au cas où les discussions à l’amiable sous l’égide de l’ICANN n’ont pas abouti ». Cette fois-ci, l’ICANN interdit aux candidats de régler directement entre eux (arrangement, accord financier…) un litige sur une extension. Pas besoin d’attendre le Reveal Day pour que les combats autour d’une extension commencent, comme le rapporte Domainnamewire. Le litige concerne l’extension .easy.

EasyGroup, qui a notamment EasyJet, « a menacé les candidats au domaine de premier niveau .easy, et l’un d’eux riposte désormais en justice », comme l’expliquent nos confrères. EasyGroup a en effet mis en demeure Link Freedom Group (LFG) de retirer sa candidature au plus tard le 9 septembre. Un troisième larron, Aruba, aurait aussi déposé une candidature pour cette extension.

De son côté, LFG demande à un juge de préciser que « tout litige concernant l’extension « .easy » doit se régler via la procédure d’arbitrage de l’ICANN, ou bien que l’extension de premier niveau « .easy » qu’elle projette de lancer ne portera pas atteinte aux marques d’easyGroup ». Le 10 septembre, LFG a aussi demandé à l’ICANN de disqualifier (la demande est publiée par Domainnamewire) EasyGroup pour ne pas avoir, selon elle, respecté les règles (notamment la communication interdite entre candidats) de ce deuxième round.

Le Texas « s’oppose à la candidature pour l’extension gTLD ".texas" »

Sur le .texas, l’État a pris les devants dans une lettre publiée par l’ICANN : « Je crois comprendre que des personnes n’ayant aucun lien avec le gouvernement de l’État du Texas pourraient déposer, ou auraient déjà déposé, une candidature pour la chaîne gTLD « .texas » dans le cadre du cycle 2026 du programme gTLD de l’ICANN […] Sur instruction du gouverneur, je vous informe par la présente que l’État du Texas ne soutient pas et s’oppose à la candidature pour l’extension gTLD « .texas », ainsi qu’à toute extension qui en serait dérivée ». L’État ne précise pas s’il est candidat, mais le ton de la lettre laisse penser que non. En tout cas, aucune candidature tierce pour le .texas ne pourra être validée par l’ICANN.

L’ICANN n’a rien publié pour le moment concernant le .easy. La dernière correspondance concerne bien les nouveaux gTLD ; il s’agit d’une lettre de l’avocat Jeff Neuman (fondateur et CEO de JJN) qui demande à l’ICANN de publier au plus vite la suite du calendrier et les modalités afin que chacun puisse se préparer.

Il rappelle notamment que « les candidats n’auront par ailleurs que 14 jours pour décider s’ils optent pour une extension de remplacement désignée à l’avance. Cette décision est irréversible » et nécessite donc un certain délai de réflexion, affirme-t-il. Les extensions de remplacement sont nombreuses, comme l’expliquait l’ICANN cet été dans un premier bilan : « plus de 1 600 candidatures primaires, dont plus de 1 100 incluent des candidatures pour des extensions de remplacement (candidatures secondaires) ».

De plus, « si le Reveal Day a lieu avant ou pendant l’ICANN 87 [du 17 au 22 octobre 2026 à Bali, ndlr], les candidats doivent être prêts, dès ce jour-là, à respecter les restrictions de communication » qui s’appliquent à ceux ayant postulé pour une même extension. C’est d’ailleurs sur ce point que porte la demande de LFG à l’ICANN, mais sur une zone grise : les discussions/attaques sont réalisées en amont du Reveal Day.

Quand les datacenters boivent, qui trinque

La Commission européenne propose un bilan des indicateurs environnementaux des datacenters en Europe… Du moins des 36 % qui ont répondu au questionnaire, pourtant obligatoire. On y trouve de fortes disparités suivant les pays, notamment en Belgique… où Google pourrait peser très lourd. La France est plutôt un bon élève sur l’usage de l’eau, mais pas sur l’efficacité électrique.

Dans l’Union européenne, les datacenters de 500 kW (puissance informatique installée) ou plus doivent envoyer des données à la Commission sur leurs usages : eau, électricité, énergie renouvelable et réutilisation de la chaleur fatale. Cette dernière est dégagée par les serveurs et peut servir pour chauffer des logements ou des bâtiments, par exemple. Nous en avons déjà parlé, c’est une catastrophe niveau réutilisation pour le moment…

• Datacenters : 0,1 % de la chaleur fatale réutilisée en France, moins de 2 % en Europe

Ces quatre critères permettent, selon la Commission, d’évaluer « l’efficacité énergétique et la durabilité » des datacenters. Problème, sur 2 161 datacenters devant répondre à cette enquête, seuls 770 ont envoyé des données (soit 36 % seulement). Sur l’ensemble des données, seulement 70,1 % sont jugées comme « fiables ».

La Commission continue d’avancer et vient d’adopter son barème avec des notes de A à G sur l’efficacité des usages de l’eau et de l’électricité. Le Parlement et le Conseil ont deux mois pour s’y opposer s’ils le souhaitent, mais sans pouvoir le modifier.

• Datacenters : l’Europe agite son barème de A à G… sans avoir toutes les copies

Les informations sont publiées dans ce rapport de 22 pages (PDF), mais de manière agrégée : au niveau de l’Union européenne et par État. Rien sur les datacenters en eux-mêmes, permettant ainsi aux plus mauvais de se cacher dans la masse et de ne pas être pointés du doigt.

La Belgique explose les compteurs sur l’usage de l’eau… Merci Google ?

Un exemple ? La Belgique avec le WUE. Cet indicateur mesure « le rapport entre l’apport total d’eau et la consommation d’énergie des équipements informatiques ». Plus il est élevé, plus un datacenter consomme de l’eau par kWh d’électricité. La Belgique crève le plafond avec 1,28 m³ d’eau par MWh d’électricité, alors que la moyenne est à 0,58 m³/MWh.

• Carte mondiale datacenters et ressources associées

Sans détails par datacenter, impossible de savoir qui est responsable de cette très mauvaise performance… Des indices tout de même : « dans certains États membres, les chiffres de la WUE sont dominés par ceux de quelques grands opérateurs disposant d’une seule installation, qui déclarent un apport d’eau plus élevé ». Pour la Belgique, l’éléphant dans la pièce pourrait bien être… Google. On vous explique, calculatrice à la main.

À quand un écoscore sur la gestion des données personnelles ?

Les datacenters en Europe vont avoir droit à deux notes, de A à G. Une pour l’électricité et le PUE, l’autre pour l’eau et le WUE. La Commission consulte aussi sur des critères minimums à respecter, avant de présenter une proposition en 2027. De leur côté, les datacenters (et/ou les États) rechignent à envoyer des données (fiables), alors qu’ils sont normalement obligés de le faire.

Après plusieurs mois de travaux, la Commission européenne propose officiellement « un système commun de notation des centres de données » sur leurs consommations de ressources. Le but de l’opération est de « garantir la transparence des informations sur l’utilisation effective des ressources (énergie, eau) ». Pour le moment, c’est loin d’être le cas, mais la Commission continue d’avancer.

Déclarations obligatoires… mais seulement 36 % répondent présents

Le système de notation concerne l’ensemble des datacenters « d’une capacité supérieure à 500 kW ». Ces datacenters doivent, en théorie, déjà communiquer des données sur leurs consommations à la Commission et/ou aux autorités nationales, comme le ministère de la Transition écologique en France. L’Arcep aussi récolte des données afin de nourrir son observatoire pour un numérique soutenable.

En théorie seulement, car en pratique les comptes ne sont pas bons : « Au total, 770 centres de données ont transmis leurs données au cours de la première période de déclaration [de mai à septembre 2024, ndlr], ce qui représente environ 36 % du total estimé des centres de données de l’UE soumis aux exigences en matière de communication d’informations ».

Six États membres n’ont déclaré aucun datacenter, cinq États n’en indiquent qu’un ou deux. L’Allemagne est largement en tête avec, en théorie, plus de 450 datacenters à déclarer, la France en seconde position avec plus de 250. Les Pays-Bas, l’Italie et l’Espagne sont entre 150 et 200. Dans les faits, un peu moins de 350 sont déclarés en Allemagne, moins de 150 en France, moins de 100 aux Pays-Bas, moins de 50 en Espagne, etc.

La Commission précise avoir reçu des « données préliminaires provenant d’au moins 30 % de centres de données supplémentaires ». Dans tous les cas, elle invite donc « les États membres à mettre en œuvre intégralement et rapidement l’article 12 de la DEE et veillera à ce que le nombre de centres de données déclarants augmente à l’avenir ».

Pire encore, « 70,1 % des données déclarées sont jugées fiables »

Mais ce n’est pas le seul problème. Sur les données récupérées, une « évaluation de la qualité […] a été
réalisée afin de vérifier la plausibilité, l’exactitude et la cohérence des indicateurs ». Comme nous l’avons remarqué avec l’étiquette énergie des smartphones et tablettes, c’est important tant il y a parfois du n’importe quoi remonté par les fabricants. 48 ans de mises à jour de sécurité ou 20 minutes maximum d’autonomie sont de parfaits exemples.

• Étiquette énergie des smartphones et tablettes : quel bordel !

Là encore, les comptes ne sont pas bons : « Dans l’ensemble, 70,1 % des données déclarées sont jugées fiables, ce qui signifie que des chiffres cohérents ont été communiqués pour l’ensemble des indicateurs donnés ». Fiables, pas exactes car c’est encore un autre souci…

Mise à jour du 6 octobre 2026 à 14h42. Prévu pour demain, l’examen du projet de loi résilience des infrastructures critiques (NIS2, REC et DORA) est de nouveau repoussé. La décision a été actée lors de la conférence des présidents ce mardi 6 octobre. La raison tient officiellement au calendrier chargé, notamment avec la loi intégrale contre les violences sexistes et sexuelles.

« J’ai bon espoir qu’on pourra réinscrire le texte d’ici quinze jours ou trois semaines », explique Éric Bothorel, rapporteur du projet de loi, à notre consœur de Projet Arcardie. Aucune date n’est pour le moment arrêtée.

---

Article original du 22 septembre. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est programmé à l’Assemblée nationale à partir du mercredi 7 octobre 2026. Il s’agit, pour rappel, de transposer en France les directives européennes NIS2, DORA et REC.

• Cybersécurité : la transposition de NIS2 continue de traîner des pieds

La France est largement en retard sur le calendrier puisque la date limite était fixée au 17 octobre 2024. Avec la dissolution de l’Assemblée nationale le 9 juin 2024, le texte n’était plus la priorité du moment. Début 2025, la transposition passait l’étape du Sénat.

Le texte était ensuite bloqué à cause « d’un point de clivage politique : l’article 16 bis, introduit au Sénat », comme l’expliquait la Commission supérieure du numérique et des postes (CSNP). Le texte a été adopté en commission spéciale en septembre 2025 et attend sagement depuis.

L’article 16 bis est le suivant :

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».

La CSNP espérait « un examen du texte en juillet 2026, et ce sous réserve de la convocation d’une session extraordinaire ». Raté, mais cette fois, c’est normalement la bonne : le texte est bien à l’agenda législatif, à partir du mercredi 7 octobre… soit deux ans après que le « Gouvernement a engagé la procédure accélérée sur ce texte le mardi 15 octobre 2024 ».

L’article 16 bis devrait de nouveau faire parler de lui…

Mise à jour du 6 octobre 2026 à 14h42. Prévu pour demain, l’examen du projet de loi résilience des infrastructures critiques (NIS2, REC et DORA) est de nouveau repoussé. La décision a été actée lors de la conférence des présidents ce mardi 6 octobre. La raison tient officiellement au calendrier chargé, notamment avec la loi intégrale contre les violences sexistes et sexuelles.

« J’ai bon espoir qu’on pourra réinscrire le texte d’ici quinze jours ou trois semaines », explique Éric Bothorel, rapporteur du projet de loi, à notre consœur de Projet Arcardie. Aucune date n’est pour le moment arrêtée.

---

Article original du 22 septembre. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité est programmé à l’Assemblée nationale à partir du mercredi 7 octobre 2026. Il s’agit, pour rappel, de transposer en France les directives européennes NIS2, DORA et REC.

• Cybersécurité : la transposition de NIS2 continue de traîner des pieds

La France est largement en retard sur le calendrier puisque la date limite était fixée au 17 octobre 2024. Avec la dissolution de l’Assemblée nationale le 9 juin 2024, le texte n’était plus la priorité du moment. Début 2025, la transposition passait l’étape du Sénat.

Le texte était ensuite bloqué à cause « d’un point de clivage politique : l’article 16 bis, introduit au Sénat », comme l’expliquait la Commission supérieure du numérique et des postes (CSNP). Le texte a été adopté en commission spéciale en septembre 2025 et attend sagement depuis.

L’article 16 bis est le suivant :

« Il ne peut être imposé aux fournisseurs de services de chiffrement, y compris aux prestataires de services de confiance qualifiés, l’intégration de dispositifs techniques visant à affaiblir volontairement la sécurité des systèmes d’information et des communications électroniques tels que des clés de déchiffrement maîtresses ou tout autre mécanisme ou processus permettant un accès non consenti aux données protégées ».

La CSNP espérait « un examen du texte en juillet 2026, et ce sous réserve de la convocation d’une session extraordinaire ». Raté, mais cette fois, c’est normalement la bonne : le texte est bien à l’agenda législatif, à partir du mercredi 7 octobre… soit deux ans après que le « Gouvernement a engagé la procédure accélérée sur ce texte le mardi 15 octobre 2024 ».

L’article 16 bis devrait de nouveau faire parler de lui…

Toujours plus de vidéos de chats par seconde !

Au lieu de doubler les fibres dans les câbles sous-marins, Meta double le nombre de cœurs dans chaque fibre. Résultat des courses, en 2029, un nouveau câble transatlantique de 7 000 km avec 24 paires de fibre optique proposera une bande passante de 1 Pb/s (ou 1 000 Tb/s).

Ce nouveau câble sous-marin de 7 000 km va relier les États-Unis à la France, avec Orange aux commandes pour l’atterrissement sur les côtes atlantiques. Le réseau social affirme que c’est « le premier câble sous-marin d’une capacité de pétabits à être déployé à travers un océan », soit le double de « la capacité des câbles transocéaniques les plus avancés d’aujourd’hui ».

• [Dossier] Internet, mode d’emploi : fibres optiques et câbles sous-marins (partie 6)

Meta explique qu’il s’agit du « premier système de câble utilisant la technologie des fibres multicœurs déployé sur des distances transocéaniques ». Il faut comprendre en creux que ce n’est pas la première fois que plusieurs cœurs sont intégrés dans une fibre, pas plus que c’est une première dans un câble sous-marin. Idem, il existe déjà, au moins en laboratoire, des fibres avec plus de deux cœurs, voire des dizaines de cœurs. La différence ici : le procédé est industrialisé et sera opérationnel en 2029, selon Meta.

Deux cœurs dans un brin de 125 μm de diamètre

Le serveur n’a rien demandé à personne !

Assourdissant, c’est le mot : un serveur privé fraîchement installé et branché à Internet reçoit près de 100 000 visites par jour. Le chiffre est vertigineux et montre bien ce que l’on appelle le « bruit de fond d’Internet », c’est-à-dire ce qui se passe même quand on n’a rien demandé à personne.

La semaine dernière, nous expliquions qu’un de nos serveurs était attaqué un peu plus de 4 000 fois par jour. Attaqué sur le seul port 22, celui par défaut des connexions SSH pour prendre la main à distance. Mais ce n’était que la face visible de l’iceberg.

• Un de nos serveurs a subi 800 000 attaques en six mois, on vous raconte

Notre serveur « visité » 100 000 fois par jour

Nous avons pris un autre serveur privé virtuel (VPS) – un serveur avec des ressources CPU, mémoire et stockage partagées – chez OVHcloud cette fois. Nous avons installé T-Pot de Deutsche Telekom Security, un honeypot (pot de miel) open source captant toutes les demandes au serveur, pas seulement celles sur le port 22.

Consommez français… oui, c’est quoi français ?

Pour réduire l’empreinte environnementale des IA (génératives), un rapport du Sénat préconise une IA « française ». Pas tant dans le sens souverain (et respectueux), mais dans le sens d’implantation des datacenters et de consommation des ressources, notamment d’électricité bas carbone (nucléaire). Cela soulève toutefois des questions sur le foncier et l’acceptation sociale.

La commission de l’aménagement du territoire et du développement durable du Sénat vient de présenter le rapport d’une mission d’information sur l’empreinte environnementale de l’intelligence artificielle. Comme nous, le Sénat se heurte à un problème de taille : les données disponibles sont encore et toujours « lacunaires », aussi bien sur la consommation en eau qu’en électricité.

Pourtant, l’enjeu est important puisque l’empreinte environnementale de l’IA est présentée comme « un défi pour la planète », mais il se heurte aux géants (principalement américains). Malgré de belles promesses sur leur empreinte environnementale, ils consomment toujours plus.

Les rapporteurs ont une solution qui ne plaira pas à tout le monde : venez en France. « L’empreinte environnementale de l’IA, qui renforce les constats établis par notre commission en 2020, constitue à la fois un défi pour la planète et une opportunité pour la France et pour l’Europe », affirme le rapporteur Damien Michallet.

Consommation en eau : voir au-delà des m³

Le rapport rappelle à juste titre que « la consommation d’eau destinée au refroidissement dépend cependant des technologies utilisées ». Les tours aéroréfrigérantes ont l’empreinte hydrique la plus élevée, avec « l’évaporation d’environ 80 % de l’eau prélevée ». C’est encore plus problématique « dans les pays, comme les États-Unis, où certains centres sont implantés dans des régions déjà soumises à un fort stress hydrique ».

• Tout savoir de la consommation en eau des datacenters, le WUE et ses limites
• Plongée dans les datacenters : Google prélève autant d’eau en 30 h qu’OVHcloud en un an

Vous pouvez retrouver les zones de stress hydrique définies par l’ONG World Resources Institute (WRI) dans son Aqueduct Water Risk Atlas directement sur notre carte mondiale des datacenters et des ressources associées. Nous avons aussi ajouté les prévisions à 2030, 2050 et 2080.

• Carte mondiale datacenters et ressources associées

En France, d’autres technologies sont utilisées et « les prélèvements d’eau destinés aux centres de données restent très limités ». Le Sénat reprend les derniers chiffres de l’Arcep sur l’année 2023 : 681 000 m³ d’eau en consommation directe, mais laisse de côté (dans la version condensée de son analyse) la consommation indirecte liée notamment à l’électricité.

O.D.I.L… ? LIDO, c'est peut-être une danseuse !

Parfois il suffit de peu : un lien et deux trois clics plus tard, voilà que votre boîte email est compromise. Comment fonctionnent les kits de phishing livrés clés en main par certains groupes de pirates ? Nous en avons récupéré et analysé un, conçu pour attaquer des comptes Outlook protégés par une double authentification.

Il y a quelques mois, Hexastrike dévoilait une nouvelle attaque baptisée CodeStorm. Il s’agit d’une attaque de l’homme du milieu ou adversary-in-the-middle (AiTM) visant les utilisateurs Microsoft 365. Son but ? Obtenir un accès aux comptes protégés par une authentification à deux facteurs. La technique n’est pas nouvelle, on en parlait déjà en 2022.

Lors de différents tests de cybersécurité, nous avons récupéré dans nos filets le code malveillant d’un kit fonctionnant sur le même principe que cette attaque. Nous n’allons évidemment pas diffuser la charge malveillante, mais son analyse permet de comprendre le fonctionnement et comment le programme malveillant se cache des antivirus et autres systèmes de détection.

Une page de 10 ko avec du code malveillant qui joue à cache-cache

Sans foi ni poids

Ablitérer un modèle de langage permet de supprimer une (plus ou moins grande) partie des protections contre des demandes qu’il juge déplacées, dangereuses ou malveillantes. Mais comment ça fonctionne exactement ? Quelles sont les conséquences ? Next vous explique.

L’entraînement des IA génératives se fait en plusieurs étapes. La première consiste à lui donner des tonnes de documents et données à ingurgiter ; typiquement les modèles récents sont entrainés sur l’intégralité du web.

Cette phase permet d’ajuster les centaines de milliards de paramètres (ou poids) des neurones. Pour schématiser à l’extrême, plus il y a de paramètres, plus le modèle peut emmagasiner de connaissances, et plus il devient performant. C’est le principe de fonctionnement dans les grandes lignes des grands modèles de langage (LLM).

Fine-tuning et alignement, vous avez les bases ?

Il y a ensuite une phase de fine-tuning et d’alignement, ce sont les derniers réglages en fin de parcours. Les modèles sont soumis à des exemples de comportements acceptables et d’autres non. Il s’agit de séparer dans les prompts et les réponses l’intention et le contexte.

Par exemple, se renseigner sur le chlore et ses effets néfastes est acceptable, donner une recette pour produire un gaz mortel, non. Demander comment se protéger d’une cyberattaque est acceptable, demander un tuto pour en créer une ne l’est pas. Les mots peuvent être les mêmes, pas l’intention ; c’est ce que les IA génératives doivent distinguer.

Les modèles d’intelligence artificielle sont donc ajustés après leur entrainement, là encore via une adaptation des poids des neurones. Comme nous venons de l’expliquer, il ne s’agit pas d’apporter un refus explicite de type oui ou non, mais plutôt une sorte de vecteur qui traverse toutes les couches du modèle, comme l’expliquaient des chercheurs en 2024. Est-ce que la question et/ou la réponse sortent du cadre ? Si le risque estimé dépasse un certain seuil, alors le modèle refusera de répondre.

Lorsqu’un utilisateur pose une question à un modèle, le chemin peut ressembler à cela : le prompt est envoyé à un autre modèle ou un classificateur pour détecter les risques. Shieldstral de Mistral par exemple, peut servir de classificateur (un algorithme de machine learning qui attribue automatiquement une étiquette ou une catégorie à des données d’entrée).

Le prompt, s’il n’est pas recalé, passe ensuite dans le cœur du LLM (qui a lui-même des protections internes via son alignement), puis une nouvelle détection des risques est réalisée sur la réponse avant qu’elle soit transmise à l’utilisateur. Cela dépend du harnais de l’intelligence artificielle générative – le modèle et tout ce qui l’entoure pour son bon fonctionnement –, une notion sur laquelle nous reviendrons prochainement.

Suivant les cas, cela peut concerner la fabrication d’armes ou de substances chimiques, la santé (automutilation), la fraude, les cyberattaques, la création de malwares, etc. Mais, est-il possible de contourner les protections ?

Oui, avec trois grandes familles que nous allons détailler. La première, le jailbreak : on ne touche à rien sur le modèle, on ajuste le prompt pour ne pas éveiller des soupçons. La deuxième, l’ablitération : on modifie le modèle de manière ciblée pour qu’il perde ses inhibitions. La dernière, plus lourde, consiste à réentraîner le modèle sur des données sans notion de refus.

Contourner les refus de ChatGPT, uniquement par le prompt

170 tentatives par heure, 24/7

Sur Internet, les serveurs subissent des attaques non stop, 24/7. Nous en avons laissé un pendant six mois en enregistrant – heure par heure – toutes les tentatives de connexion à distance : plus de 800 000 au total. Nous avons également compilé la liste des mots de passe et des identifiants les plus utilisés par les bots.

Un serveur fraîchement installé et connecté à Internet est attaqué en à peine quelques minutes en moyenne, comme nous l’avions expliqué en mars. Les tentatives de connexions sont nombreuses, de l’ordre de plusieurs milliers par jour selon nos tests chez Helloserv, Hetzner, Ionos, LWS, OVHcloud, Pulse et York.

Notre pot de miel virtuel est attaqué non stop

Nous avons depuis laissé un serveur virtuel (VPS) tourner avec Cowrie, un serveur SSH volontairement vulnérable. C’est un logiciel qui écoute sur le port 22 et fait semblant de laisser passer tout le monde, avec n’importe quel nom d’utilisateur et mot de passe. Les robots et pirates sont alors dans un bac à sable leur faisant croire qu’ils sont passés. Dans tous les cas, le serveur n’a aucune donnée sensible.

Cowrie enregistre les identifiants dans une base de données, ainsi que les commandes lancées par les pirates. Nous n’avons donc dans notre besace que les robots les plus « bourrins ». En effet, certains peuvent détecter la présence de ce pot de miel et passer leur chemin pour ne pas perdre de temps.

• Nous avons laissé sept VPS sur Internet, ils sont attaqués 10 000 fois par jour en moyenne
• Suivez en direct des milliers de bots attaquer un de nos serveurs

Ce serveur, nous l’avons laissé branché dans sa configuration depuis notre actualité en mars, notamment pour vous permettre de suivre, en direct, les attaques dont il est victime. Six mois plus tard, il est temps de refaire un point sur le volume des tentatives, les identifiants et mots de passe les plus couramment utilisés, ainsi que les IP d’où viennent les attaques.

Record le 31 mai : 36 000 attaques sur cette seule journée

Jacqueline Bloch, directrice de recherche au Centre de nanosciences et de nanotechnologies, succède donc à Stéphane Mallat. En 2017, elle avait déjà obtenu la médaille d’argent du CNRS. « Elle est récompensée pour ses travaux pionniers consacrés aux polaritons, des particules hybrides résultant du couplage entre lumière et matière », explique le CNRS.

Ses travaux apportent la réponse à une question : « Qu’arrive-t-il lorsque la lumière et la matière interagissent fortement ? Cette interaction donne naissance, dans certaines structures semi-conductrices, à des polaritons, « quasi-particules hybrides » qui combinent à la fois des propriétés de la lumière et de la matière ».

« Ses travaux ouvrent par ailleurs des perspectives pour le développement de nouveaux types de lasers ou encore le traitement de l’information tout optique », ajoute le centre national pour la recherche scientifique. Le Journal du CNRS dresse le portrait de celle qu’il présente comme la « magicienne de la lumière ».

Elle y parle de ses recherches, qui « suscitent l’espoir de pouvoir par exemple traiter et transmettre l’information uniquement avec de la lumière (avec, à la clé, la possibilité de réduire fortement l’empreinte énergétique des technologies numériques, Ndlr). Nos recherches débouchent justement parfois sur des preuves de concept. Mais ce que j’aime surtout, conclut-elle dans l’un de ses lumineux sourires, c’est la recherche fondamentale ! Il y a encore tant à découvrir… ».

Jacqueline Bloch, directrice de recherche au Centre de nanosciences et de nanotechnologies, succède donc à Stéphane Mallat. En 2017, elle avait déjà obtenu la médaille d’argent du CNRS. « Elle est récompensée pour ses travaux pionniers consacrés aux polaritons, des particules hybrides résultant du couplage entre lumière et matière », explique le CNRS.

Ses travaux apportent la réponse à une question : « Qu’arrive-t-il lorsque la lumière et la matière interagissent fortement ? Cette interaction donne naissance, dans certaines structures semi-conductrices, à des polaritons, « quasi-particules hybrides » qui combinent à la fois des propriétés de la lumière et de la matière ».

« Ses travaux ouvrent par ailleurs des perspectives pour le développement de nouveaux types de lasers ou encore le traitement de l’information tout optique », ajoute le centre national pour la recherche scientifique. Le Journal du CNRS dresse le portrait de celle qu’il présente comme la « magicienne de la lumière ».

Elle y parle de ses recherches, qui « suscitent l’espoir de pouvoir par exemple traiter et transmettre l’information uniquement avec de la lumière (avec, à la clé, la possibilité de réduire fortement l’empreinte énergétique des technologies numériques, Ndlr). Nos recherches débouchent justement parfois sur des preuves de concept. Mais ce que j’aime surtout, conclut-elle dans l’un de ses lumineux sourires, c’est la recherche fondamentale ! Il y a encore tant à découvrir… ».

L'USB-IF n'était pas au courant

Nous avons acheté un câble « USB 5.0 ». Nous savons bien sûr que cette norme n’existe pas, mais nous étions curieux : que propose exactement ce câble ? Des choses supplémentaires par rapport à l’USB4 2.0 ?

La dernière version de la norme USB validée par l’USB-IF (le consortium en charge de son développement) date de 2022. Il s’agit de l’USB4 Version 2.0, souvent abrégée en USB4 2.0. Depuis cette quatrième génération, il n’y a plus d’espace entre le chiffre et USB.

Alors que l’USB4 poussait les débits jusqu’à 40 Gb/s (le double de l’USB 3.2 Gen 2×2), la version 2.0 double encore la mise jusqu’à 80 Gb/s. Ce sont des taux de transfert symétriques, mais la norme permet aussi de fonctionner avec un mode asymétrique : 120 Gb/s dans un sens, 40 Gb/s dans l’autre. Dans tous les cas, la bande passante cumulée dans les deux sens est de 160 Gb/s.

Depuis, pas de nouvelle version de l’USB à l’horizon. Pourtant, on croise parfois des câbles estampillés « USB 5.0 », ainsi que des articles sur l’USB 5.0 chez des fabricants OEM de câbles. De quoi s’agit-il ? Réponse courte : rien d’officiel. Nous en avons quand même commandé un pour voir ce qu’il en était. Proposent-ils des débits plus importants ? Supportent-ils une puissance plus élevée ?

Officiellement, Bloctel n’existe plus depuis le 11 août. Désormais, le démarchage téléphonique est interdit par défaut, sauf consentement explicite préalable. Cela ne signifie pas pour autant que cette pratique intempestive n’existe plus, loin de là. Ce n’est pas non plus la fin des appels frauduleux, toujours très nombreux, souvent mélangés avec le démarchage.

La fin de Bloctel ne signifie pas non plus la fin des sanctions d’entreprises pour non-respect de cette liste d’opposition au démarchage téléphonique. L’opérateur de téléphonie Syma Mobile, racheté en 2022 par SFR, vient ainsi d’écoper d’une « amende administrative de 1 101 228 d’euros prononcée par la direction départementale de la protection des populations de Paris ».

Trois pratiques illégales sont retenues. Pour commencer, Syma Mobile ne s’est pas correctement assuré « de la conformité des fichiers de prospection commerciale » avec la liste Bloctel. De plus, l’opérateur a démarché des consommateurs inscrits sur cette liste d’opposition. Enfin, il a procédé au « démarchage de consommateurs plus de 4 fois au cours d’une période de 30 jours calendaires ».

Avec l’interdiction du démarchage téléphonique par défaut, les sanctions prévues pour les contrevenants sont les mêmes qu’avec Bloctel : jusqu’à 75 000 euros pour une personne physique et 375 000 euros pour une personne morale… par infraction, c’est-à-dire par appel en dehors du cadre légal.

Il y a quelques jours, Neovia Environnement écopait de 801 020 euros d’amende pour « démarchage téléphonique et entrave à l’exercice du droit de rétractation ». Pas question de Bloctel cette fois-ci, mais de démarchage dans le « secteur de la rénovation énergétique alors que cela est interdit » depuis des années. Le Betef aussi a été condamnée pour « démarchage téléphonique abusif », à 92 107 euros d’amende.

Un mois après la fin de Bloctel, le bilan est amer, comme le rapporte TF1 : « la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) fait en effet état de 26 000 signalements concernant du démarchage téléphonique sur sa plateforme officielle SignalConso depuis le 11 août ». Sur les huit premiers mois de 2026, il y avait eu 64 000 signalements.

Officiellement, Bloctel n’existe plus depuis le 11 août. Désormais, le démarchage téléphonique est interdit par défaut, sauf consentement explicite préalable. Cela ne signifie pas pour autant que cette pratique intempestive n’existe plus, loin de là. Ce n’est pas non plus la fin des appels frauduleux, toujours très nombreux, souvent mélangés avec le démarchage.

La fin de Bloctel ne signifie pas non plus la fin des sanctions d’entreprises pour non-respect de cette liste d’opposition au démarchage téléphonique. L’opérateur de téléphonie Syma Mobile, racheté en 2022 par SFR, vient ainsi d’écoper d’une « amende administrative de 1 101 228 d’euros prononcée par la direction départementale de la protection des populations de Paris ».

Trois pratiques illégales sont retenues. Pour commencer, Syma Mobile ne s’est pas correctement assuré « de la conformité des fichiers de prospection commerciale » avec la liste Bloctel. De plus, l’opérateur a démarché des consommateurs inscrits sur cette liste d’opposition. Enfin, il a procédé au « démarchage de consommateurs plus de 4 fois au cours d’une période de 30 jours calendaires ».

Avec l’interdiction du démarchage téléphonique par défaut, les sanctions prévues pour les contrevenants sont les mêmes qu’avec Bloctel : jusqu’à 75 000 euros pour une personne physique et 375 000 euros pour une personne morale… par infraction, c’est-à-dire par appel en dehors du cadre légal.

Il y a quelques jours, Neovia Environnement écopait de 801 020 euros d’amende pour « démarchage téléphonique et entrave à l’exercice du droit de rétractation ». Pas question de Bloctel cette fois-ci, mais de démarchage dans le « secteur de la rénovation énergétique alors que cela est interdit » depuis des années. Le Betef aussi a été condamnée pour « démarchage téléphonique abusif », à 92 107 euros d’amende.

Un mois après la fin de Bloctel, le bilan est amer, comme le rapporte TF1 : « la Direction générale de la concurrence, de la consommation et de la répression des fraudes (DGCCRF) fait en effet état de 26 000 signalements concernant du démarchage téléphonique sur sa plateforme officielle SignalConso depuis le 11 août ». Sur les huit premiers mois de 2026, il y avait eu 64 000 signalements.

L’œil de Sauron

Des employés d’Anthropic et d’OpenAI – mais aussi certains de leurs partenaires – peuvent lire vos conversations avec les chatbots, c’est écrit noir sur blanc… à condition de bien lire toutes les petites lignes. Les entreprises ne s’en privent d’ailleurs pas, comme le montre une enquête récente.

Sur Internet, comme dans la vie réelle, nous avons parfois tendance à valider et à signer des contrats et des conditions d’utilisation à la va-vite, sans lire toutes les pages et donc comprendre tous les rouages des services. Il arrive par exemple régulièrement que des internautes s’étonnent de « découvrir » que Google Maps sait où ils sont allés… un service pourtant lancé en 2009 et régulièrement documenté.

Récemment, ce sont les intelligences artificielles génératives qui sont sur le banc des accusées : des humains liraient nos conversations. Oui, c’est même indiqué depuis des années, à condition d’aller fouiller et lire les conditions générales et les foires aux questions.

Certes le « Project Lily » dévoilé par 404 Media montre une quasi-industrialisation du procédé chez OpenAI, mais rien de neuf : l’entreprise de Sam Altman peut lire vos conversations, et ne s’en prive pas. Compte tenu de l’historique des entreprises qui n’ont que peu de considération pour les droits d’auteur, ce n’est pas surprenant.

Orbite basse, haute tension

Plus de 230 millions de débris « flottent » dans l’espace, un nombre en constante augmentation à cause des lancements et du nombre de satellites en orbite toujours plus nombreux. Les constellations de satellites changent le paysage. Cette année, l’ESA publie un nouvel indice : le risque de victime au sol.

Comme chaque année, l’Agence spatiale européenne publie son rapport annuel environnemental de l’espace (pdf de 152 pages). Et, comme chaque année, elle alerte sur l’augmentation du nombre de débris avec les risques que cela entraîne.

• Dans l’espace, les débris sont « une menace pour notre avenir »

4 000 satellites supplémentaires en 2025

« Les activités spatiales continuent de croître à un rythme remarquable. En 2025, plus de 300 lancements ont eu lieu avec plus de 4 000 nouvelles charges utiles mises en orbite ». Ils sont 324 exactement selon la Cité de l’Espace, dont 193 rien qu’aux États-Unis et 165 pour SpaceX à lui tout seul. 92 lancements pour la Chine et 17 pour la Russie. L’Europe est en quatrième position avec 8 lancements.

Fibr'o'magie

Selon l’Arcep, la France compte environ 45,2 millions de locaux, dont 95 % raccordables à la fibre. Sur ceux qui peuvent accéder au FTTH, 65 % ont effectivement sauté le pas. Ce chiffre progresse trimestre après trimestre, mais il est tiraillé entre deux mouvements contraires : toujours plus de locaux d’un côté, et toujours plus de fibre de l’autre, principalement poussé par les zones moins denses.

L’Arcep vient de mettre en ligne son dernier observatoire du marché des services fixes à haut et très haut débit (chiffres de fin juin 2026). Le régulateur des télécoms dénombre « 45,2 millions de locaux présents sur le territoire national », dont 95,3 % sont raccordables à la fibre optique, soit 275 000 locaux supplémentaires en trois mois.

Il reste donc 2,1 millions de locaux à rendre raccordables. Les raisons sont diverses, mais « pour plus d’un tiers d’entre eux, les opérateurs indiquent à date qu’il s’agit de locaux pour lesquels l’intervention de déploiement a été refusée par des tiers [des syndicats de copropriété sont cités en exemple, ndlr] ou de locaux encore en cours de construction ».

Cette volonté de déployer la fibre sur l’ensemble du territoire s’apprécie à la lumière de deux données complémentaires : le nombre de lignes déployées sur le trimestre, mais aussi le nombre de nouveaux locaux rendus éligibles.

Fibre vs locaux : cours après moi que je t’attrape

Avec 43,1 millions de locaux raccordables à la fibre optique, on serait à 100 % avec le nombre de locaux estimés par l’Arcep au troisième trimestre 2022. Dans le graphique ci-dessous, nous avons combiné le nombre de locaux en France et ceux raccordables à la fibre optique, à partir des données open data de l’Arcep :