Le Rayon UX : Le Rayon UX | La radiographie du Web en temps presque réel / thème en chantier (je m'appelle Teuse)

2 millions de commentaires en 48 heures : analyse d'une attaque de spam massive

Sat, 05 May 2012 19:00:00 -0000

Les attaques de spam de commentaires sont devenues si courantes que le moindre site publiant son premier article sous Wordpress est à peu près certain de se retrouver ajouté dans les bases exploitées par des botnets dans les minutes qui suivent. Même si elles ont évolué avec les années, devenant de plus en plus violentes et industrialisées, elles ont toutefois toujours le même objectif : améliorer le positionnement de sites – pas toujours liés au viagra, poker, et autres emprunts toxiques – dans les moteurs de recherche.

Les attaques massives et réellement ciblées sont un peu plus rares, mais elles peuvent arriver sur des pages bien positionnées dans les moteurs de recherche. J’ai subi l’une d’entre-elles durant les deux derniers jours : 2.316.822 commentaires ont été postés sur un seul et même article par 1013 hôtes différents.

Comme le sujet m’intéresse, j’ai effectué une analyse post mortem de l’attaque que je vous propose de découvrir ici avant d’aborder les différentes manières de vous protéger, en fonction de vos possibilités.

La cible

En dix ans de blogging, c’est la première fois que je subis à une attaque aussi violente et ciblée sur un de mes sites. Je ne m’en suis aperçu qu’à la suite de la publication de certains commentaires. Le site n’a connu aucun pic de charge, et je ne me suis rendu compte de rien durant l’attaque. Ceci était un message adressé à ceux qui pensent que Rails ne scale pas et que Typo est un bloatware. Ça s’est dit.

L’attaque n’a ciblé qu’un seul article du site, sur plus de 1000 publiés. Ironie du sort, il s’agit de La sécurité du Web passera-t-elle par vous ?, un article sur les développements Web sécurisés. L’article avait eu pas mal d’échos et avait été bien relayé, au point de disposer pendant assez longtemps d’un Page Rank 6 jusqu’à la dernière Google Dance.

Je n’utilise pas Wordpress, ni un des outils de blogging les plus répandus, ce qui implique un scan préalable de la page afin de trouver les champs – particulièrement évidents – du formulaire de commentaires.

Analyse technique

L’attaque a commencé la 2 mai 2012 à 02:15 du matin, pour s’achever le 3 mai à 23:00, quand j’ai fermé les commentaires sur l’article ciblé. Sur plus de deux millions de commentaires, seule une cinquantaine a réussi à passer Akismet. Si une telle attaque vous arrive, n’essayez pas d’accéder à la page des commentaires via l’interface de votre outil de blog : avec une telle quantité de données, tout ce que vous obtiendrez sera une page blanche pour timeout ou pour avoir atteint le memory limit.

Supprimez simplement les commentaires en SQL dans la base de données. Nettoyez d’ailleurs régulièrement le spam de votre blog, cela limitera le nombre d’enregistrements sur lequel votre outil de blog doit travailler. Vous gagnerez ainsi en performances.

Vous obtiendrez la plupart des informations sur l’attaque en analysant les logs de votre serveur Web. Pas besoin d’aller chercher midi à quatorze heures, les outils UNIX de base sont largement suffisants.

Une fois la tempête passée, isolez les logs de l’attaque. Pour cela, j’ai concaténé les logs des trois derniers jours et lancé :

grep "la-securite-du-web-passera-t-elle-par-vous.html" access.log > evil.log

Pour être encore plus précis, limitez-vous aux requêtes POST, qui correspondent à l’envoi effectif des commentaires :

grep POST evil.log > even-more-evil.log

Vous obtiendrez un fichier dont toutes les lignes ressemblent à :

123.30.183.119 - - [03/May/2012:07:07:27 +0200] "POST /comments?article_id=7446 HTTP/1.1" 302 139 "http://t37.net/la-securite-du-web-passera-t-elle-par-vous.html" "Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)"

Chaque ligne des logs est divisée en plusieurs parties qu’il est intéressant d’analyser.

123.30.183.119 : l’adresse de la machine depuis laquelle l’attaque est menée. Elle permet de récupérer des informations utiles : nombre de machines utilisées, localisation géographique…

[03/May/2012:07:07:27 +0200] : la date à laquelle la requête HTTP a été effectuée. Cela permet d’analyser le nombre de commentaires par minute, et l’évolution de l’intensité de l’attaque dans le temps. J’ai un peu la flemme de sortir les chiffres exacts et de faire un zouli graphique, mais le flux a été à peu près constant d’un bout à l’autre de l’attaque.

"POST /comments?article_id=7446 HTTP/1.1" : le type de requête HTTP, la page appelée et la version de HTTP utilisée.

302 : le statut HTTP obtenu. Après appel à l’URL de publication du commentaire, l’utilisateur est redirigé vers l’article sur lequel ce dernier a été publié.

http://t37.net/la-securite-du-web-passera-t-elle-par-vous.html : le referrer, c’est à dire la page dont vient le visiteur. Il nous apprend que la page a été systématiquement chargée avant de publier le commentaire. L’attaquant aurait simplement pu envoyer des requêtes POST avec les bonnes données, mais ce n’est pas le cas. Cela signifie probablement qu’il s’agissait d’une page parmi une liste d’autres, et pas d’une attaque spécifiquement contre mon site.

"Mozilla/4.0 (compatible; MSIE 6.0; Windows NT 5.1; SV1)" : le user agent. Il s’agit d’une trace laissée par chaque navigateur permettant de savoir à qui on à affaire. Un tour sur Google permet de savoir qu’il s’agit du user agent d’un botnet. Rien de très surprenant.

Pour extraire les adresses IP utilisées, un petit : cat eve-more-evil.log | cut -f 1 -d ' ' | sort -u vous permettra d’en récupérer la liste exhaustive. Un petit coup de GéoIP ou autre base de données permet de savoir que les attaques proviennent de Chine, du Viet Nam, de Thaïlande et d’Indonésie. Cela vous permettra du même coup de savoir combien d’hôtes différents vous ont attaqué.

Il pourrait être intéressant de suivre de près le comportement de chacun des hôtes dans le temps, les variations des attaques etc… mais là, franchement j’ai la flemme. Tout ce que je peux dire, c’est que l’attaque était soutenue, mais que chaque hôte ne devait pas attaquer trop violemment puisque les commentaires sont passés au compte goutte d’un bout à l’autre de l’attaque. Il n’y a donc pas eu de blacklist de ces hôtes, ou alors pas assez.

The Internet is for porn

L’attaque concernait des sites pornographiques montrant des jeunes filles pas vraiment en age de pratiquer ce genre de métier, du moins pas sous nos latitudes. Contrairement à ce que j’ai pu voir ces dernières années, les commentaires ne visaient pas à faire ranker directement le money site, mais des sites satellites installés sur des fermes de blogs gratuites un peu partout dans le monde proposant des liens en dofollow. La plate-forme de blogs de Free fait partie de ces sites relais.

Chacun des sites relais ne comporte qu’un seul article, un lien d’une ligne dans un h1 vers le money site avec les mots clés qui vont bien (et sur lesquels je ne tiens pas particulièrement à me positionner).

La majorité des commentaires était en anglais, mais une partie d’entre eux était en indonésien, bien que les ancres des liens fussent en anglais. Toute la sémantique du thème abordé est utilisé dans du texte visiblement généré avec un outil de spinning.

On distingue à ce propos deux types de contenus :

Des contenus directement liés à la thématique abordée avec un certain sens, même si ce dernier se trouve alteré par le spinning.
Des contenus mélangés avec des extraits de spams plus classiques dans d’autres thématiques : emprunts, voyages, diplômes, banque… avec le vocabulaire qui va bien au milieu.

Comment se protéger

~~Avec une capote pas percée.~~ Il existe différentes manières de se protéger d’une attaque, en fonction de vos compétences techniques, et des possibilités que vous laisse votre hébergeur. J’avoue avoir fait simple et efficace : il était tard et j’étais crevé, donc j’ai fermé les commentaires sur l’article visé.

La solution globale la plus simple consiste à utiliser un anti spam, installé localement comme Spam Karma, ou hébergé comme Akismet. Notez que ces outils ne sont pas infaillibles : il arrive qu’ils laissent passer des commentaires visiblement spammy, on parlera de faux négatifs, ou bloquent au contraire des commentaires tout à fait légitimes, et on parlera de faux positifs. Une vérification manuelle régulière est donc recommandée.

La solution la plus extrême consiste à bloquer les blocs IP des pays posant problème, en considérant nulle ou quasi nulle le fait qu’une personne de ce pays puisse être un visiteur légitime. Elle exige que vous ayez les droits d’administration sur votre machine, et je ne suis pas du tout fan de bloquer l’accès à un site à une partie du monde si aucune règle juridique ne l’exige.

Une bonne solution intermédiaire consiste à utiliser Fail2Ban. Fail2Ban bloque temporairement les indélicats en fonction d’un certain nombre de règles, à partir de l’analyse de vos fichiers de logs. En pratique, il peut être utilisé pour faire à peu près n’importe quoi dès que les conditions spécifiées sont réunies.

Il reste que, tout comme la lutte contre les virus, la lutte contre le spam est une course sans fin passée à courir derrière les spammeurs. Même s’il est possible de tentre de prévoir les comportements et les thématiques à venir, ils auront toujours une longueur d’avance sur les outils chargés de les contrer, et ils s’y connaissent pour innover.

Cet article a été originellement publié par Frédéric de Villamil sur Ergonomie Web, Expérience Utilisateur et Ruby On Rails | Si vous l'avez lu ailleurs sans qu'un lien ait été fait vers l'article original, c'est qu'il a été reproduit illégalement.

L'appel à orateurs de Paris Web 2012 est ouvert (ou tout bleu pour les daltonien)

Thu, 03 May 2012 06:36:00 -0000

J’étais un peu passé à côté de l’annonce, mais Paris Web a lancé son traditionnel appel à orateurs pour la prochaine édition de la conférence qui se déroulera du 18 au 20 octobre prochain. Si vous ne connaissez toujours pas Paris Web, c’est la conférence francophone de référence consacrée au développement, à l’accessibilité, à la qualité, au design, et à tout ce qui donne au Web l’oeil brillant, la truffe humide et le poil soyeux. J’avais eu la chance d’y animer un atelier sur les Microformats et RDFA en compagnie de David Larlet, et c’est une expérience que je ne suis pas prêt d’oublier.

La thématique choisie cette année, “Et si 2012 était l’année de la fin d’un monde, celui d’Internet tel que nous le connaissons et tel que nous le réalisons ?” fait la part belle aux sujets chauds du moment : responsive design, mobile first, single page application, perte de vitesse des supports traditionnels face au mobile, nouveaux navigateurs… et j’en oublie certainement pas mal.

Je ne serai probablement pas à cette édition de Paris Web, mon emploi du temps et mes préoccupations professionnelles du moment s’étant un peu éloignés des thématiques premières de la conférence, mais si vous vous sentez l’âme d’un grand orateur et digne de figurer au panthéon de la conférence, il ne vous reste qu’un mois pour soumettre un sujet au grand jury qui saura se montrer aussi sévère qu’impartial, qualité oblige.

Autopsie d'une opération de link building avec du linkbait dedans : le blog Usabilis

Sun, 29 Apr 2012 21:36:00 -0000

Usaddict, le blog de l’agence Usabilis a mis en ligne la semaine dernière une liste de 13 blogs et sites francophones sur l’ergonomie. On y trouve de nombreux classiques du genre, à commencer par celui-ci, et je ne peux que vous en recommander la lecture.

Cette introduction liminaire© terminée, entrons vite dans le vif du sujet.

Cette publication fut précédée et suivie d’un e-mail du directeur de l’agence annonçant l’opération, et demandant aux éditeurs des sites mentionnés de bien vouloir publier un petit article, histoire promouvoir les initiatives dans notre domaine. Je récapitule de mémoire, mais c’était plutôt bien dit, et plutôt incitatif comme il faut, limite insistant pour le second.

Rien n’est gratuit dans la vie, ou alors, c’est vous qui êtes à vendre. Le quémandage de liens m’horripilant profondément depuis que j’ai mis mon premier site en ligne, je n’ai pas donné suite. Je sais que c’est fort discourtois de ma part, mais ni le mail façon “Si tu veux bien être mon ami je serai aussi ton ami”, ni le ton employé ne m’ont plu. Je dois être un connard de blogueur influent ©®™ à l’ego surdimensionné ou quelque chose dans ce goût là, mais passons.

Ce week-end, en rangeant ma boite mail un peu délaissée depuis une semaine, je suis retombé sur le mail de relance, et suis finalement allé jeter un oeil à ce fameux article. Le fait d’être en première position au milieu de sites de grande qualité n’a pu que satisfaire mon ego surdimensionné de blogueur influent ©®™, donc jusque là, rien à dire. Ou presque.

Le treizième blog cité est celui sur lequel l’article est publié, accompagné d’une pile de liens aux ancres bien optimisées vers les rubriques importantes du site de l’agence, à la limite de ce qu’on appelle du keyword stuffing dans les milieux autorisés.

Nous avons gardé le meilleur pour la fin ;) Notre blog vise à diffuser les bonnes pratiques de l’ergonomie des IHM et à promouvoir la conception centrée utilisateur. A ce titre, il se veut complémentaire à nos formations en Ergonomie des interfaces, Ergonomie web, Ergonomie mobile et tactile et Architecture de l’information.

Je vous laisse deviner où se situent les liens.

“Ho ho !”, dit-il en portugais, et en riant, car n’oublions pas que c’était sa langue maternelle, et qu’il parlait couramment les deux langues. Un clic droit plus tard, j’avais la confirmation de ce que je pensais : nous avons bel et bien affaire à une opération de SEO rondement menée. Les référenceurs qui me lisent me diront ce qu’ils en pensent, mais personnellement j’hésite entre de l’art et du spam (donc du cochon).

Récapitulons pour ceux qui voudraient faire pareil :

Écrivez un article sur un blog A liée à votre activité commerciale, mais située sur un domaine différent de votre site institutionnel. C’est ce site que l’opération va chercher à positionner. Cet article parlera des 12~~meilleurs~~ sites traitant des thématique sur lesquelles vous voulez travailler, aussi s’ils ont une réelle autorité (au sens Googlien du terme) sur le sujet, c’est encore mieux. N’hésitez pas à y mettre tous les termes qui vont bien, et à faire un article de qualité afin d’appâter le chaland, sinon ça marchera beaucoup moins bien, forcément.
Choisissez soigneusement le titre : il doit être alléchant pour donner envie de lire votre article et contenir des mots clés sur lesquels vous positionner. Les listes marchent toujours très bien, c’est un classique du linkbaiting, facile à lire, et facile à relayer.
À la fin de l’article, ajoutez un bloc de texte truffé de liens vers le domaine B, celui que vous souhaitez positionner. Faites les pointer sur des page intérieures, tant qu’à faire, avec des ancres parfaitement optimisées. Par exemple, si vous êtes dans la triperie, vous pourrez travailler le boudin noir, les andouillettes AAAAA, le tripoux etc…
Demandez gentiment (ou en insistant un peu si ça ne marche pas du premier coup) aux sites cités dans 1. de faire un petit article parlant de votre initiative. Après tout, vous leur faites de la pub et leur apportez du trafic, ils peuvent bien fous faire ça en retour. Le tour est joué, vous venez de vous faire une jolie petite pyramide de liens profonds depuis des sites hyper pertinents avec des mots clés tout beaux tout jolis. Évidemment ça aurait été encore mieux si le site que vous voulez positionner n’affichait pas un lien vers le blog A, mais bon, nul n’est parfait.
Cerise sur le gateau, vous récupérez également tout le “jus” des média sociaux, Twitter, Facebook, Google+, et j’en oublie puisque votre linkbait aura été largement rediffusé.

On va encore dire que je vois le mal partout (plutôt la femelle en fait). Pour ma part, je trouve que cela se rapproche du cas d’école, si on excepte le lien de B vers A, d’autant que les ressources sur lesquelles pointent l’article sont vraiment intéressantes. Du coup, je joue le jeu, d’autant que ça vaut bien un 8/10.

Hojoki, le lifestream d'entreprise se dote d'une version mobile

Fri, 27 Apr 2012 20:21:00 -0000

Hojoki, le lifestream d’entreprise que je vous avais présenté l’hivers dernier vient d’annoncer sa version Web doublée de la disponibilité prochaine d’applications natives. Si la mobilité ne s’impose pas à toutes les applications en ligne, elle s’avère nécessaire dès lors qu’il s’agit de suivre un flux d’activité on the go.

Hojoki a bien évolué depuis ma rencontre avec son fondateur Martin Böhringer en décembre dernier. Le service a gagné un grand nombre de connecteurs là où le choix se limitait à Google Docs, Twitter et Delicious. Vous pouvez désormais suivre votre activité sur Cloudapp, Dropbox, Evernote, Highrise, Github, Google Calendar, Google Contacts, Mendeley, Pivotal Tracker, TaDa List et Zendesk. La liste des applications, très orientée gestion de projets et développement montre que Hojoki suit la démarche de Phil Libin avec Evernote : créer une application qui résolve les problèmes d’une boite de 3, 10, 100, puis… employés : la sienne.

Si j’aime beaucoup Hojoki sur le principe, je ne parviens pas à l’utiliser quotidiennement : l’application est en lecture seule, et ne me permet pas d’interagir directement sur les mises à jour de mon flux d’activité. Si je commente un push sur Github depuis Hojoki, ma contribution reste dans Hojoki, elle n’est pas ajoutée au fil de discussion sur Github. Je suis obligé d’effectuer un copier / coller dans un nouvel onglet, et je perds le temps que rassembler mon flux d’activité me fait gagner. Quand vous travaillez depuis quatre ans sur un réseau social d’entreprise, vos attentes sont forcément élevées en la matière.

La version mobile est encore plus limitée, puisque les commentaires ne sont pas disponibles. C’est d’autant plus troublant qu’il est en revanche possible de supprimer des connecteurs, et même supprimer son compte depuis la version mobile.

L’affichage reprend les informations importantes du life stream Web et les espaces de travail, même si on se heurte à un très gros – et double – problème de lisibilité :

37% de l’écran est consacré à l’affichage des contrôles du navigateur mobile, des contrôles de l’application Web et du titre de l’espace de travail en cours, ce qui laisse la place à seulement 3 éléments. On sent ici une tentative de copier l’application native, avec des éléments de contrôle fixes qui empêchent de profiter de l’écran de l’iPhone.

L’affichage des informations n’est pas du tout optimisé et prend beaucoup trop de place. À ce sujet, le flux d’activité fourni par défaut sur iOS et des applications comme Tweetbot sont deux très bons exemples d’inspiration, même si je connais par ailleurs les difficultés causées par le format choisi.

Ce n’est pourtant pas le plus gênant. Plusieurs défauts fonctionnels rendent la version mobile d’Hojoki peu utilisable, voire inutile, et c’est bien dommage.

Le premier est l’impossibilité d’envoyer les liens ouverts dans une application type Read It Later, ou de les enregistrer localement pour une lecture hors ligne. Je passe près de deux heures par jour dans les trains de banlieue, et les fréquentes coupures de réseau rendent les applications en ligne très pénible à utiliser, voire totalement inutilisables.

Le second est l’absence d’un système de push. À quoi cela me sert-il de suivre un flux d’activités sur un terminal mobile si c’est pour ne pas recevoir d’alertes ? Si je dois me rendre sur le service pour obtenir les mises à jour de mon activité dans le cloud, avant de me connecter aux services nécessaires, j’ai plus vite fait de bookmarker les différends service que j’utilise.

Ces deux problèmes relancent pour moi le débat entre application Web et application native. Les deux fonctionnalités manquantes sont aujourd’hui l’apanage des App Stores, et montrent finalement que toutes les applications n’ont pas besoin de version Web, le parallèle étant également vrai pour les applications natives.

LeWeb Londres : Plus rapide que le temps réel

Fri, 20 Apr 2012 21:40:00 -0000

J’aurai le plaisir de pouvoir assister à la conférence LeWeb Londres, à la fin du mois de juin, et je suis particulièrement excité à l’idée de pouvoir retrouver la crème des startups européennes dans cette ville dans laquelle j’ai travaillé de manière éphémère il y a déjà 10 ans. Je le suis d’autant plus que la conférence gravitera autour d’un thème passionnant : faster than real time, plus rapide que le temps réel.

L’idée d’un Web temps réel, annoncé en 2009 comme la nouvelle révolution technologique et informationnelle, m’avait laissé plus que circonspect.

D’abord parce que le Web est par nature temps réel. Il y a un slow Web, qui reste, et un fast Web, associé à l’instant présent, tout comme les choses qui nous entourent peuvent être liées aux événements présents ou perdurer. De ce point de vue, la frontière entre le Web et “la vie réelle”, comme on avait coutume de l’appeler devient chaque jour plus ténue, et cela fait quotidiennement émerger de nouvelles problématiques. La diffusion d’informations relatives aux résultats des prochaines présidentielles avant l’heure de fermeture des bureaux de votes n’est qu’un exemple parmi d’autres, mais la manière dont il sera traité aura des conséquences non négligeables sur l’avenir.

Ensuite parce que l’idée d’un Web temps réel vu comme un flux permanent d’informations à ne manquer sous aucun prétexte parce que caduques au bout de quelques instants est juste inconcevable de mon point de vue. L’être humain n’est pas fait pour digérer constamment de l’information brute, et l’invention du “curateur” – mot à la mode en 2010 qui m’a toujours fait hurler – pour régler le problème a eu peu ou prou l’effet d’un cataplasme sur une jambe de bois.

Si le Web temps réel relève du pléonasme, aller plus vite que le temps réel peut sembler complètement stupide. Je pourrai facilement vous expliquer que c’est le cas avant d’utiliser les mêmes arguments tournés de manière différente pour vous démontrer le contraire, mais en dehors de l’exercice de style, cela n’aurait pas grand intérêt.

L’idée derrière faster than realtime, c’est le Web prédictif, c’est la possibilité de prévoir ce que nous voulons, ce que nous allons faire, comment nous allons réagir, à partir des centaines de milliards de données que nous générons chaque jour, dont l’utilisation potentielle inquiète, et à juste titre, mais que nous sommes aujourd’hui incapables d’utiliser correctement. Amazon propose des articles liés à nos achats précédents avec une précision souvent étonnante, mais ce n’est absolument rien à côté des informations que nous envoyons quotidiennement à Google, Facebook, Foursquare, etc…

En 1941, Nat Schachner inventait la Psychohistoire, une science fictive popularisée par Isaac Asimov dans Fondation, qui permettait de prévoir le futur à long terme à partir d’analyses statistiques de la psychologie humaine et des phénomènes sociaux. Nous en sommes encore très loin, mais ce que nous voyons arriver entre API ouvertes et Big Data me donne particulièrement envie d’avancer de quelques années pour voir ce que l’avenir nous réserve… plus vite que le temps réel.

Autisme Infantile a 3 ans et cherche des sponsors pour rendre la fête encore plus belle

Thu, 19 Apr 2012 06:47:00 -0000

Je m’arrête dans ma pause blog involontaire pour vous parler d’une initiative qui me tient à coeur : la communauté Autisme Infantile, qui fêtera ses trois ans au mois de mai. Lancé sous forme de blog par mon amie Nathalie Hamidi (et pas à 14 heures) pour rassembler les écrits et ressources qu’elle avait écrites entre deux articles sur la meilleure manière de survivre en cas d’invasion de zombies, Autisme infantile est depuis devenu la plus grande plate-forme et d’entraide sur le sujet, grace aux efforts de quelques bénévoles révoltés par la manière dont les autistes sont considérés et traités en France.

Pour fêter dignement les 3 ans d’Autisme Infantile, Nathalie a décidé de lancer une série de concours durant tout le mois de mai. Pour cela, elle a besoin de deux choses : de participants – elle en a – et de sponsors. Nathalie voulait initialement offrir un voyage aux Maldives chaque jour, mais elle a rapidement revu ses ambitions à la baisse, cela afin que vous puissiez l’aider avec les moyens dont vous disposez :

Nous avons déjà des places de théâtre, des livres dédicacés, jeux, bons cadeaux à faire gagner. En attendant, nous cherchons d’autres sponsors, pour que la fête soit encore plus belle, donc n’hésitez pas à m’envoyer un petit mot sur mon e-mail nathalie@autismeinfantile.com pour me dire si vous souhaitez participer!

Promis, la prochaine fois, je vous parlerai de choses plus glamour, mais certainement pas aussi importantes.

Mon départ chez Microsoft et autres poissons d'avril

Mon, 02 Apr 2012 11:10:00 -0000

J’adore les poissons d’avril sur Internet depuis que j’ai découvert les RFC créés spécialement pour l’occasion, comme IP over Avian Carriers with Quality of Service en 2001 (littéralement IP sur pigeon) ou le Security Flag in the IPv4 Header en 2003. Depuis, je m’efforce d’en faire un, plus ou moins crédible, chaque année. La preuve, vous êtes très nombreux – pas forcément bien réveillés – à avoir cru à mon départ chez Microsoft, au moins jusqu’à ma diatribe sur les logiciels libres, même si cette dernière n’est pas totalement infondée.

En 2005, sur un autre blog, j’avais annoncé mon départ pour Pékin. L’année d’avant, nous étions passés à deux doigts de partir nous installer au Viet Nam, aussi l’annonce n’avait-elle rien d’extraordinaire. Ma propre mère s’y était d’ailleurs fait prendre. Le plus drôle fut qu’un pot de départ avait été improvisé le lendemain à l’occasion du Paris Carnet d’avril, jusqu’au moment où les organisateurs se sont rendus compte de la supercherie.

En 2006, je plaquais tout pour rejoindre les équipes de PC Soft (Windev et Webdev), notamment pour prendre en charge leur blog d’entreprise.

En 2008, Sebastien Courtes et moi frappions très fort en lançant Vaporware, l’autorité de certification de votre identité numérique, un clin d’oeil à Ziki et Myid.is toujours annoncé et toujours repoussé, avec site Web, communiqué de presse et tout et tout… et de loin mon meilleur poisson d’avril.

En 2009, j’avais relayé le procès intenté par Fedex à Topify pour violation de copyright, tout en annonçant par ailleurs que je ne ferais pas de poisson d’avril cette année là.

Du bleu kiwis au bleu Azure, mon départ chez Microsoft

Sun, 01 Apr 2012 00:10:00 -0000

Pas trop de news ces derniers temps malgré une actualité chargée, et pour cause, mon emploi du temps a connu quelque chamboulements : après quatre ans et demi chez blueKiwi Software, j’ai décidé d’accepter la proposition qui m’a été faite de rejoindre les équipes de Microsoft afin de travailler sur leur offre Sharepoint dans le cloud. C’est donc une nouvelle aventure qui s’annonce, et je suis impatient de commencer.

Pourquoi Sharepoint ?

En quatre ans et demi chez blueKiwi Software, il m’aurait été difficile, pour ne pas dire impossible de passer à côté de l’importance qu’ont pris les RSE tant dans la mutation de la gouvernance des entreprises que de l’intégration de la génération Y dans un monde du travail marqué par l’aplanissement des paradigmes hérarchiques et la mise en réseau globale de leur environnement.

Ce nouveau projet est donc pour moi l’occasion de poursuivre dans cette voie ô combien passionnante qui est de fournir des outils et des solutions à une révolution du travail comme on n’en a pas vu depuis la seconde révolution industrielle.

De l’admin Windows, mer il et fou !

Évidemment, tout cela passe par l’administration de plates-formes sous Windows Server. Pour être honnête, l’administration Windows n’a pas été ma matière de prédilection, loin s’en faut, mais les solutions ont évolué, et moi aussi.

Le passage sous Mac OS X en 2006 a été un premier pas, avec la prise de conscience de l’importance de disposer d’interfaces graphiques efficaces afin d’optimiser le travail. Le terminal, ça va bien un moment, mais c’est à la fois trop spartiate et trop souvent à l’origine d’erreurs. Une interface graphique aux choix limités permet d’optimiser largement le travail tout en diminuant le risque d’erreurs.

Quant aux trolleurs qui se lancent dans de longues diatribes sur la soi disant supériorité de Linux (ou BSD) en matière de sécurité ou de stabilité, ils n’ont probablement jamais approché une machine sous Windows de leur existence. Je ne connais pas plus robuste et efficace qu’un Active Directory, mais je m’arrête sur le sujet, le but de ce billet n’est pas de troller gratuitement.

Et le libre dans tout ça ?

C’est une bonne question. J’ai été un fervent militant du logiciel libre depuis 1996, et c’est une cause qui me tient toujours à coeur. Mais la liberté ça va bien jusqu’au moment où il faut payer le loyer.

Je crois que le fait d’avoir une famille de trois enfants à nourrir m’a forcé à un certain pragmatisme : ce n’est pas en faisant du logiciel libre que vous allez gagner de l’argent, il suffit de voir des exemples comme Microsoft, évidemment, Apple, Oracle ou SAP. Vient un moment où il faut décider si on a envie de travailler pour gagner de l’argent ou si on veut ressembler à un clochard doublé d’un étudiant attardé toute son existence. J’ai choisi même si l’idée de porter à nouveau une cravatte ne m’enchante guère.

Cela dit, ce n’est pas tant l’argent qui m’a peu à peu éloigné du libre, mais le sectarisme outrancier (et trollifère) de ses acteurs. J’en avais marre de cette agressivité déjà ressentie en tant qu’utilisateur de produits Apple. Les méthodes d’évangélisation utilisées par les chantres du libre sont à la fois inefficaces et désagréables, et me font furieusement penser à celles utilisées dans certaines sectes. Les méthodologies anglo-saxonnes utilisées par les protestants sont de ce point de vue beaucoup plus efficaces.

Mais je vous laisse, j’ai quelques années de sommeil à rattrapper.

Sortie de Typo 6.1 "Rémi Ochlik"

Sat, 17 Mar 2012 18:34:00 -0000

Après quelques mois passés à glander, travailler, procrastiner… nous sommes fiers de vous annoncer la sortie de Typo 6.1 “Rémi Ochlik”, du nom de ce photographe de guerre français tué en Syrie quelques jours après avoir reçu un World Press Photo, l’Oscar du photo journalisme.

Typo 6.1 est la première version supportant Ruby 1.9 uniquement, et la dernière à supporter la série 3.0 du framework Ruby on Rails. Accessoirement, elle n’est toujours pas faite pour tourner sur Heroku, même si un de nos contributeurs a réussi à l’utiliser partiellement sur cette plate-forme.

Vous pouvez télécharger Typo 6.1 sous forme d’archive aux formats zip ou tarball, et le tester sur notre plate-forme de démonstration.

Quoi de neuf docteur ?

Cette version améliore principalement des choses sous le capot et corrige de nombreux bugs, mais elle apporte également son lot de fonctionnalités.

Bootstraped, le nouveau thème par défaut

Je vous avais déjà parlé de Bootstraped lors de notre dernier état des lieux. Bootstraped est un thème basé sur Twitter Bootstrap. Il se veut un framework pour les développeurs qui souhaiteraient créer leur propre thème. Comme aucun d’entre-nous n’est designer, le choix de Bootstrap s’est rapidement imposé.

Un nouveau back office

C’est également sous Bootstrap que nous avons passé notre back office. Ce dernier utilise pour l’instant Bootstrap 1.4, la version 2.0 étant sortie après que nous ayons terminé cette partie. Une mise à jour aurait retardé la release, ce sera donc pour la prochaine fois.

Le nouvel éditeur, plus simple et clair.

Le listing des commentaires. Les pastilles de couleurs facilitent le tri.

Les autres nouveautés

Chargement du modèle de données : les utilisateurs n’ont plus besoin de lancer rake db:migrate quand ils installent Typo. Se connecter au site suffit à charger le modèle de données.

CKEditor a été mis à jour avec la version 3.6.2. Il supporte les derniers navigateurs et est un peu plus stable.

Les rédacteurs peuvent désormais créer des catégories depuis l’éditeur.

Les pages 404 sont maintenant personnalisables.

L’URL shortener peut être utilisé pour des liens externes, par exemple pour utiliser sur Twitter.

Des options de filtrage ont été ajoutées sur les articles : défaut (tout sauf les brouillons), articles publiés, brouillons, à publier et articles retirés.

Ajout de permaliens personnalisés sur les catégories.

R.I.P

Si vous ne les utilisez pas, supprimez les ! Nous avons suivi cet adage, et supprimé un certain nombre de fonctionnalités de Typo. Certaines reviendront probablement sous une autre forme.

Adieu Typogarden, et merci pour le poisson

Typogarden, notre catalogue de thènmes, n’est plus. Nous avons perdu – OK j’ai oublié de renouveler – le nom de domaine. Il meurt après une longue agonie, et cette mort nous retire une sacré épine du pied. En effet, les thèmes dataient pour la plupart de 2005, n’étaient plus portés d’une version de Typo à l’autre, et personne n’avait le temps de vraiment s’en occuper. Un catalogue de thèmes reviendra certainement un jour ou l’autre, sur un sous domaine de typosphere.org.

Du coup, le catalogue de thèmes a été supprimé de l’administration.

Suppression de l’interface de tri des catégories

L’interface de tri des catégories a été supprimée. Ces dernières seront désormais affichées dans l’ordre alphabétique, ce qui est la manière la plus logique de le faire. Cela nous permettra d’ajouter des sous catégories, ce que cette interface nous empêchait de faire.

Plus d’éditeur de thèmes

Un éditeur de thèmes, c’est top, à condition que ce dernier soit fonctionnel et vraiment utilisable. Il n’était ni l’un ni l’autre, et personne n’avait envie de travailler dessus. Du coup il reviendra peut être une autre fois, sous une autre forme.

Corrections de bugs

Pour la liste des bugs corrigés, je vous invite à jeter un oeil à notre release note en anglais.

Pour le reste, je vous invite à installer Typo, le tester, contribuer… happy hacking !

Comment j'ai atteint l'Inbox zero (et comment vous allez y arriver)

Wed, 14 Mar 2012 12:25:00 -0000

Quand j’ai créé ma première adresse e-mail, chez Hotmail bien avant que le service soit racheté par Microsoft, j’étais un peu comme un gamin devant un train électrique le jour de Noël. Je la donnais à tout le monde, j’allais la relever toutes les 5 minutes dès que je trouvais un accès à Internet, sauf que personne autour de moi n’avait d’adresse e-mail… Je suis arrivé à Paris fin 2001. L’e-mail était devenu la norme, les Powerpoint débiles aussi. J’étais abonné à une trentaine de listes de diffusion, et de désespérément vide, ma boite était devenue désespérément pleine. J’ai fini par cesser de répondre à mon courrier, puis simplement de le lire.

En 2005 ou 2006, j’ai commencé à lire pas mal de choses sur les méthodes de productivité de type GTD, et notamment sur l’INBOX zéro. L’INBOX zéro, c’est le fait d’avoir zéro mails dans votre boite principale, parce que vous aurez tout lu, tout archivé, et répondu à tout ce qui nécessitait une réponse.

Il m’a fallu un moment pour y parvenir, je vous propose d’essayer à votre tour.

Pourquoi l’INBOX zéro ?

La principale raison de se mettre à l’INBOX zéro, c’est de regagner le temps que vous passez à vérifier que votre boite mail ne contient rien d’urgent.

Être interrompu quand vous travaillez parce que quelqu’un entre dans votre bureau et commence à vous parler sans vérifier que vous soyez disponible vous agace ? C’est normal. Vous perdez le fil de vos pensées, devez vous focaliser sur autre chose, et perdez du temps à revenir à ce que vous faisiez auparavant.

L’arrivée d’un email dans votre boite à lettres provoque également le même effet. Votre client mail vous notifie d’un nouveau message à lire, et ce dernier reste dans votre champ de vision jusqu’à ce que vous l’ayez marqué comme lu. Cela détourne votre attention de ce que vous faisiez, et vous pouvez facilement faire l’aller retour une dizaine de fois par heure, pour un message ou deux. C’est absolument insupportable.

Il y a désormais pire : avec le push, ce n’est plus vous qui allez relever vos e-mails, ce sont les e-mails qui viennent à vous et se signalent à votre attention, faisant encore diminuer votre productivité.

Il est temps de faire quelque chose.

Passer à l’INBOX zéro, c’est juste perdre une mauvaise habitude

En 1997, j’ai arrêté de fumer, du jour au lendemain, sans patches ni coaching coûteux. Je fumais alors une trentaine de cigarettes brunes roulées depuis trois ans, et avant cela, j’avais fumé deux ans de manière plus épisodique. À l’époque, je ne m’étais jamais posé la question de savoir comment j’allais faire, j’ai juste arrêté, et j’en ai bavé comme ce n’est pas permis parce que je ne m’y étais pas préparé. Pour l’INBOX zéro, j’ai fait exactement comme lorsque j’ai arrêté de fumer, à ceci près que je savais ce qu’il fallait que je fasse.

La dépendance (compulsive) à votre client mail, c’est simplement une mauvaise habitude que vous avez prise, et que vous avez décidé de perdre.

L’habitude est une disposition acquise, relativement permanente et stable, qui devient une sorte de seconde nature.

Pour arriver à l’INBOX zéro, vous allez devoir changer vos habitudes de travail, et la première d’entre elles, c’est la manière dont vous gérez vos mails.

1. Les mails, c’est le matin, à 14h et à 18h

Quand j’ai arrêté de fumer, j’ai complètement réorganisé mon rythme quotidien pour remplacer toutes mes pauses cigarette par… autre chose : j’ai remplacé l’attente à l’arrêt de bus et la première cigarette du matin par un quart d’heure de marche, la pause clope dans la cour de la récréation par un bon livre dans la classe, ou les cigarettes pendant les parties de Civilization ou d’Elite II enfermé dans ma chambre par de la lecture dans le salon (peuplé de trois fumeurs qui n’ont rien fait pour m’aider).

À votre tour de casser votre rythme quotidien. Pour cela, vous allez vous fixer des moments dans la journée où vous relèverez vos mails, par exemple le matin en arrivant, juste après le déjeuner, et à 18 heures. Le reste du temps, coupez votre client mail, la terre ne s’arrêtera pas de tourner pour autant.

Je vais vous apprendre quelque chose : rien de ce qui arrive dans votre boite mail n’est critique au point de ne pouvoir attendre 4 heures. Il existe tout un tas d’autres moyens de vous faire parvenir une information : téléphone, SMS, visite dans votre bureau, pigeon voyageur… Le reste peut attendre, et vous allez voir, c’est merveilleux de pouvoir ainsi redéfinir vos priorités au lieu de laisser votre boite mail le faire pour vous.

2. Traitez tout ce qui peut l’être immédiatement

Lisez, supprimez et archivez tout ce qui peut l’être immédiatement. Dans mon cas, cela représente près de 99% du volume de mails reçus. Temps estimé : 1 à 2 minutes.

Puis, répondez à tous les mails qui ne peuvent pas attendre, et qui ne demandent aucun travail supplémentaire de votre part. Temps estimé : 5 à 10 minutes selon le volume.

Tout le reste va nécessiter du travail de votre part, et donc reporter le moment où vous y répondrez. Notez dans un coin tout ce que vous devez faire pour les honorer. Ces tâches vont entrer dans le flux habituel de votre travail.

Vous pouvez utiliser un outil de gestion de tâches, ou le vieux couple papier / crayon. Je suis revenu à ce dernier pour une raison toute bête : chaque fois que je termine quelque chose, j’éprouve un sentiment d’accomplissement à le rayer sur ma feuille.

3. Fixez-vous des objectifs accessibles

Perdre une habitude, c’est vous contraindre à ne plus faire quelque chose qui était devenu machinal. Le meilleur moyen d’y parvenir, c’est de vous fixer des objectifs accessibles.

Quand j’ai arrêté de fumer, mes parents m’avaient promis de m’offrir un lecteur de CD quadruple vitesse – le must à l’époque – si je tenais 2 mois sans toucher à une cigarette. Si je m’étais fixé cet objectif, je n’y serai jamais parvenu, c’était beaucoup trop loin pour que je puisse me le matérialiser. Pour réussir, je me suis donné des échéances très courtes : la récréation, la pause déjeuner, la soirée…

Au début, donnez-vous de tels objectifs : une heure, deux heures… chaque fois que vous allez lever la tête et avoir le reflex de vouloir regarder ce que contient votre boite mail, regardez où vous en êtes, et si vous avez validé cette étape.

Au fur et à mesure, vous allez pouvoir vous fixer des jalons plus éloignés dans le temps : une journée, deux jours, une semaine, surtout ne brûlez pas les étapes, ce serait dommage de ne pas y arriver.

Et si la tentation de lancer votre client mail devient trop forte, levez-vous de votre chaise, allez vous faire un café, boire un verre d’eau, vous laver les mains… juste pour casser le rythme.

4. Attention aux pièges !

Le pire qui puisse vous arriver n’est pas d’échouer. C’est de perdre une mauvaise habitude pour en prendre une autre.

Quand j’ai arrêté de fumer, j’ai tenté de remplacer la cigarette par des Carambars et des chewing gum. J’en avais en permanence trois ou quatre dans la bouche, et j’étais sur les nerfs, au bord de l’explosion. Au bout d’une semaine, je commençais à devenir accro aux chewing gum, et ce n’était vraiment pas la bonne solution. J’ai immédiatement du trouver quelque chose d’autre.

Ne tombez pas dans une mauvaise habitude qui vous fera perdre tout le temps que l’INBOX zéro vous aura fait gagner : checker votre compte Twitter, votre timeline Facebook, votre client IRC… Votre objectif n’est pas de ne plus lire vos mails, c’est de ne plus perdre de temps à le faire.

Conclusion

À vous maintenant. Je vous rappelle les principales étapes pour parvenir à l’INBOX zéro.

Fermez votre client mail.
Fixez-vous un planning de relève de vos mails.
Traitez tout ce qui peut l’être immédiatement en commençant par ce qui ne nécessitera pas de réponse de votre part.
Fixez-vous des objectifs accessibles, et tenez les. Vous n’êtes pas un super héros.
Ne remplacez pas une mauvaise habitude par une autre.

Et si vous avez d’autres trucs pour y parvenir, que vous avez réussi ou échoué, n’hésitez pas à en parler, les commentaires sont là pour ça.