[image: 1775731322502-59a75018-559c-43e8-a908-ee7b8bb7d48f-image-resized.jpeg]

J’adore Nextcloud, ça fait plein de choses et quand on doit gérer une équipe c’est vraiment pratique. Mais franchement des fois je ne comprends pas que ça soit aussi lourd et lent. Ils devraient s’inspirer de la philosophie d’Opencloud

La promesse : légèreté et rapidité avant tout

Opencloud se positionne comme une alternative minimaliste et rapide aux solutions de stockage cloud auto-hébergées. Contrairement à Nextcloud qui propose une suite complète d’outils (emails, tâches, contacts, notes), Opencloud se concentre sur l’essentiel : la gestion de fichiers.
Et sur ce point précis, la différence est bluffante.

Une navigation instantanée

La première impression est saisissante : aucun temps de chargement perceptible. La navigation entre les dossiers est instantanée, les menus s’affichent sans délai, et l’ouverture des fichiers est quasi immédiate.

Pour comprendre l’écart de performance, la comparaison avec Nextcloud (même optimisé) est édifiante :

• Sur Nextcloud : chaque clic entraîne un temps de chargement visible
• Sur Opencloud : l’interface réagit comme une application native

Cette fluidité s’explique par une architecture technique différente : Opencloud gère l’organisation des dossiers via des métadonnées, sans base de données. C’est la même philosophie que les sites statiques, qui privilégient la rapidité au détriment de certaines fonctionnalités avancées.

Gestion des fichiers : une expérience desktop

Copier-coller natif

Opencloud brille par sa gestion intuitive des fichiers, qui rappelle l’expérience d’un explorateur de fichiers classique :

• Sélection multiple avec Shift + clic
• Copier-coller avec Ctrl+C / Ctrl+V ou clic droit
• Couper-coller pour déplacer des fichiers
• Drag & drop ultra-réactif

Les opérations de glisser-déposer fonctionnent sans friction, même avec des fichiers volumineux (700 Mo dans le test). Pas besoin de viser une zone spécifique : vous déposez le fichier n’importe où dans l’interface et il se charge immédiatement.

Comparaison avec Nextcloud

Sur Nextcloud, ces mêmes opérations sont plus lourdes :

• Le clic droit natif du navigateur n’offre pas de fonctionnalités avancées
• Pour copier ou déplacer un fichier, il faut passer par un menu qui ouvre une fenêtre de sélection
• Le drag & drop nécessite de viser précisément la zone de dépôt
• Chaque action s’accompagne d’un temps de chargement

Recherche plain-texte native

Une fonctionnalité particulièrement appréciable : la recherche dans le contenu des fichiers est activée par défaut.

Comment ça fonctionne

Créez un fichier Markdown, ajoutez-y du contenu, et lancez une recherche sur un mot présent dans le document : Opencloud retrouve immédiatement le fichier concerné. La recherche ne se limite pas aux noms de fichiers, elle indexe le contenu textuel.

L’écart avec Nextcloud

Sur Nextcloud, cette fonctionnalité existe mais n’est pas activée par défaut :

• Elle nécessite une configuration manuelle
• L’activation consomme davantage de RAM
• Sans cette configuration, la recherche se limite aux noms de fichiers

Édition collaborative avec Collabora

Opencloud intègre Collabora Online (basé sur LibreOffice), permettant l’édition collaborative de documents bureautiques.

Fonctionnalités testées

• Création de documents texte, tableurs, présentations
• Édition en temps réel avec plusieurs utilisateurs
• Prévisualisation Markdown (code à gauche, rendu à droite)
• Partage via lien public avec mot de passe optionnel
• Permissions granulaires (lecture seule ou modification)

Édition collaborative en pratique

Le test montre deux utilisateurs travaillant simultanément sur le même document :

• Indication visuelle des utilisateurs connectés
• Synchronisation fluide des modifications
• Possibilité de “prendre la main” pour éditer

Cette fonctionnalité n’est pas exclusive à Opencloud (Nextcloud propose également Collabora), mais son intégration est fluide et l’expérience reste rapide.

Espaces partagés : gestion centralisée

Opencloud permet de créer des espaces partagés qui n’appartiennent pas à un utilisateur spécifique mais à l’organisation. C’est l’équivalent des drives partagés sur d’autres plateformes cloud.

Configuration des espaces

• Création d’espaces thématiques (Marketing, RH, etc.)
• Attribution de membres avec permissions
• Définition de quotas de stockage par espace
• Personnalisation de l’image de l’espace

Cette approche permet d’éviter qu’un seul utilisateur monopolise l’espace de stockage et facilite la gestion collaborative.

Synchronisation desktop

Un client de synchronisation est disponible pour Mac (et probablement Windows/Linux), offrant une synchronisation bidirectionnelle entre le cloud et le système local.

Fonctionnalités de synchronisation

• Synchronisation sélective des espaces
• Choix des dossiers à synchroniser
• Gestion des espaces partagés et personnels
• Synchronisation en temps réel

L’application se présente sous forme de plugin système, permettant de choisir précisément quels espaces synchroniser localement.

Quelques limitations

Le projet étant relativement récent, quelques effets de bord subsistent dans l’expérience de synchronisation. Rien de bloquant, mais l’outil continue d’évoluer.

Stockage objet S3

Opencloud supporte nativement le stockage S3-compatible, permettant une architecture optimisée en termes de coûts :

• Serveur VPS pour l’application
• Stockage des fichiers sur un bucket S3 externe

Avantages de cette approche

Le stockage objet coûte généralement moins cher que le stockage sur VPS. Cette séparation permet de dimensionner le serveur applicatif en fonction des besoins de calcul, tout en externalisant le stockage sur une infrastructure dédiée (AWS S3, Scaleway, OVH Object Storage, etc.).

Compatibilité CalDAV/CardDAV

Bien qu’Opencloud ne propose pas nativement de gestion de calendriers et contacts, il est compatible avec Radicale, un serveur CalDAV/CardDAV dédié.

Fonctionnement

• Installation de Radicale en parallèle d’Opencloud
• Utilisation des identifiants Opencloud pour l’authentification
• Génération d’URLs CalDAV pour synchronisation avec clients externes
• Gestion centralisée des utilisateurs

Cette approche modulaire permet de compléter les fonctionnalités d’Opencloud sans alourdir le système principal.

Magasin d’applications

Un store d’applications commence à émerger, bien que beaucoup plus limité que celui de Nextcloud.

Applications disponibles

• Positionnement de photos sur carte
• Draw.io pour les diagrammes
• Quelques extensions supplémentaires en cours de développement

Le catalogue reste modeste, mais c’est cohérent avec la philosophie du projet : rester léger et focalisé sur l’essentiel.

Installation et déploiement

Opencloud propose plusieurs méthodes d’installation :

Docker Compose (recommandé)

La méthode officiellement supportée, offrant la meilleure expérience de déploiement et de maintenance.

Docker standard

Version conteneurisée classique pour ceux qui préfèrent une approche Docker traditionnelle.

Bare metal

Installation directe sur le système, possible mais non recommandée officiellement. Contrairement à certains projets où le bare metal est privilégié, Opencloud favorise clairement Docker.

Temps d’installation

L’installation est décrite comme rapide : 10 minutes suffisent pour avoir une instance fonctionnelle, sans configuration complexe de cache, de limites PHP ou de génération d’aperçus (contrairement à Nextcloud qui nécessite ces optimisations).

Contexte du projet : un fork d’ownCloud Infinite Scale

Origines

Opencloud n’est pas un projet parti de zéro. Il s’agit d’un fork d’ownCloud Infinite Scale, créé par d’anciens membres de cette équipe qui ont quitté le projet pour des raisons diverses (discutées sur Reddit pour ceux qui veulent creuser).

Implications

• Base de code éprouvée
• Architecture déjà mature sur certains aspects
• Communauté en construction
• Évolution rapide du projet

Le projet est donc relativement récent en tant qu’entité indépendante, mais il ne part pas de rien techniquement.

Best-of-breed vs tout-en-un : quelle approche choisir ?

L’approche Nextcloud (tout-en-un)

• Avantages : interface unifiée, un seul outil à gérer, écosystème riche
• Inconvénients : lourdeur, temps de chargement, complexité croissante

L’approche Opencloud (best-of-breed)

• Avantages : légèreté, rapidité, chaque outil excellent dans son domaine
• Inconvénients : multiplication des outils, gestion de plusieurs services

La philosophie d’Opencloud consiste à se concentrer sur la gestion de fichiers et à laisser d’autres outils spécialisés (comme Radicale pour les calendriers) gérer les autres besoins.

Alternative à explorer : CopyParty

Dans le même esprit de légèreté, CopyParty représente une autre alternative ultra-rapide pour la gestion de fichiers, avec une approche encore plus minimaliste qu’Opencloud.

Pour qui est fait Opencloud ?

Cas d’usage idéaux

• Besoin prioritaire de gestion de fichiers rapide et fluide
• Équipes nécessitant des espaces partagés avec quotas
• Utilisateurs frustrés par la lourdeur de Nextcloud
• Infrastructures où la rapidité prime sur l’exhaustivité fonctionnelle

Quand préférer Nextcloud

• Besoin d’une suite complète (emails, tâches, notes, etc.)
• Préférence pour un écosystème tout-en-un
• Dépendance à des applications spécifiques du store Nextcloud
• Besoin de fonctionnalités avancées de groupware

Verdict

Opencloud ne remplace pas Nextcloud sur tous les aspects, mais il excelle dans son domaine de prédilection : la gestion de fichiers rapide et efficace. Si vous cherchez avant tout un outil de partage et de synchronisation de fichiers qui ne vous fasse pas sentir que vous naviguez sur un paquebot, Opencloud mérite clairement votre attention.

La rapidité d’installation, l’absence de configuration complexe, et surtout la fluidité d’utilisation au quotidien en font une option très séduisante pour qui privilégie la simplicité et la performance à l’exhaustivité fonctionnelle.

Points forts

• Rapidité et fluidité exceptionnelles
• Gestion de fichiers intuitive (copier-coller, drag & drop)
• Recherche plain-texte native
• Installation simple et rapide
• Support S3 natif
• Espaces partagés avec quotas

Points d’attention

• Fonctionnalités limitées à la gestion de fichiers
• Magasin d’applications encore restreint
• Projet relativement récent
• Nécessite des outils complémentaires pour certains usages (calendrier, contacts)

– Sources :

https://opencloud.eu/en

https://docs.opencloud.eu/docs/admin/getting-started/

https://www.stackgui.de/lab/opencloud-alternative-ultra-rapide-a-nextcloud/

–> Perso, je n’ai pas testé, je partage. Je sais juste que c’est un Fork d’ownCloud, créé par les devs originaux après leur départ et que si Nextcloud te gonfle avec sa lourdeur PHP et ses 47 tables MySQL (merci Korben), ça peut être une bonne solution alternative.

Encore des évolutions. Je ne sais plus à quelle version de BookHub j’en suis ^^
Le projet est presque reparti de 0, car débugguer des scripts Python qui se lancent à la chaine et une interface web, certes jolies, mais pas si fonctionnelle… J’ai changé de fusil d’épaule. Les outils ont aussi changés :

• de ChatGPT à Claude pour le dev
• de Excel à Baserow auto-hébergé pour la wishlist
• de scripts Python à n8n pour automatiser

L’idée était aussi d’automatiser encore plus. Plutôt que d’intégrer manuellement les données dans la wishlist (synopsis, ISBN, etc…), j’envoie via Talk (ordi ou smartphone) Titre - Nom auteur, Prénom auteur et tout le reste se fait automatiquement. Après plus de 200 tests, ça tourne assez bien.

Je laisse tomber pour le moment l’UI, qui est certes jolies, mais moins pratique que Baserow. Je gagne encore un peu de temps avec ce fonctionnement, qui va être améliorer.

BookHub — Automatisation complète de ma bibliothèque d’ebooks

Projet perso que je partage : une pipeline qui transforme un simple message en fiche livre complète, entièrement automatisée sur mon NAS.

Stack technique

L’idée

Envoyer un message depuis mon téléphone, et que tout le reste soit automatique.

Moi (Nextcloud Talk) :  "Perfect enemies - Eilema Decker"
BookHub :               ✅ Fiche créée — Hillmore University #1 — ISBN 9782017258421

Comment ça marche

1. Déclenchement

J’envoie un message dans Nextcloud Talk avec le format Titre - Auteur. Un webhook n8n capte le message et lance le pipeline.

2. Recherche parallèle

Le pipeline interroge simultanément plusieurs sources : Google Books, OpenLibrary, Wikidata, et un scraper maison. Chacune excelle dans un domaine différent, ce qui permet de croiser les résultats.

3. Fusion intelligente

Chaque champ est renseigné depuis la meilleure source disponible :

Si aucune source ne trouve le synopsis, Ollama prend le relais et en génère un localement.

4. Enregistrement

La fiche complète est enregistrée dans Baserow, prête pour le workflow de téléchargement.

Résultats sur ~200 livres testés

Workflow n8n

[image: 1773311505761-capture-d-e-cran-2026-03-12-a-11.30.41-resized.png]

pour ceux qui possèdent un NAS, il est possible de partager facilement un fichier ou un dossier à l’aide de l’application pour synology File Browser, développé par Sebastian Schmidt parmi les applications Syncommunity

Si ça fait du webRTC, c’est du SIP over websocket… ce n’est donc carrément pas mieux que Zoom ou Teams…

[image: npm-shai-hulud-scanner-attaque-supply-chain-1.png]

En bref :

– CrowdStrike, l’entreprise qui a planté le monde entier, se fait pirater par un ver informatique prenonant le nom d’uen créature de Dune.

– Le premier ver auto-répliquant de l’histoire JavaScript transforme vos dépôts privés en repos publics pour humilier votre RSSI.

– Un développeur français crée l’antidote au chaos npm pendant que les géants de la cybersécurité se font ridiculiser.

Romain, fidèle lecteur de korben.info a développé un scanner pour détecter l’attaque Shai-Hulud qui a secoué l’écosystème npm dernièrement ! L’occasion parfaite pour moi de vous raconter cette histoire complètement dingue.

Vous vous souvenez de CrowdStrike ? Cette entreprise de cybersécurité qui a provoqué la plus grande panne informatique mondiale en juillet 2024 avec une mise à jour défaillante ? Celle qui a cloué au sol des milliers d’avions et fait planter des millions de PC Windows ? Eh bien figurez-vous qu’en septembre 2025, des packages npm mis à disposition par CrowdStrike ont été touchés. Et si Crowdstrike n’a pas été directement piraté, ces packages publics (qui n’étaient pas utilisés dans leurs solutions de sécurité, ni en interne chez eux) utilisaient ces dépendances qui ont été compromises par l’attaque.

C’est ce qu’on appelle une supply chain attack et l’attaque Shai-Hulud (oui, comme le ver des sables dans Dune) n’est pas juste un malware de plus. C’est le premier ver informatique qui s’est propagé de manière autonome dans l’écosystème npm, infectant des centaines de paquets en quelques heures.

Le ver utilise TruffleHog, un outil de sécurité normalement conçu pour DÉTECTER les secrets dans le code, c’est à dire les tokens GitHub, npm, AWS et GCP.

Puis quand il trouve des credentials valides, le ver fait les trois choses suivantes : D’abord, il crée un dépôt GitHub public nommé “Shai-Hulud” où il balance toutes les données volées. Ensuite, il pousse une GitHub Action malicieuse dans tous les repos accessibles pour exfiltrer encore plus de secrets. Et le pompon c’est que parfois, il transforme même les repos privés d’entreprise en repos publics personnels. J’vous laisse imaginer la tête du RSSI qui découvre que tout le code proprio de sa boîte est accessible à tout le monde sur GitHub…

[image: npm-shai-hulud-scanner-attaque-supply-chain-1.jpg]

Et quand le ver trouve des tokens npm dans son environnement, il publie automatiquement des versions infectées de tous les paquets auxquels il a accès. C’est d’ailleurs la première fois qu’on voit ce comportement de ver auto-répliquant dans l’écosystème JavaScript. Par exemple, le paquet @ctrl/tinycolor, téléchargé 2 millions de fois par semaine, a été l’un des premiers touchés.

Face à ce bordel monumental, Romain a donc développé npm-shai-hulud-scanner , un outil qui détecte non seulement les paquets connus comme compromis, mais aussi les tentatives de typosquatting et les patterns de code malicieux. Il utilise notamment la distance de Levenshtein pour identifier les variations suspectes de noms de paquets (du genre lodash vs lodash_ ou react vs raect).

Quand vous le lancez, le scanner de Romain vérifie d’abord si vous avez des paquets de la liste des 500+ compromis. Ensuite il analyse votre code à la recherche de patterns suspects : tentatives d’exfiltration de credentials, exécution de code à distance, obfuscation, communications réseau louches. Il peut même tourner en mode monitoring continu pour surveiller votre CI/CD. Et cerise sur le gâteau, il peut mettre en quarantaine les paquets suspects automatiquement. C’est top non ?

Shai-Hulud est l’un des attaques les plus sévères jamais vue sur la supply chain JavaScript et si même CrowdStrike se fait avoir, je me dit que personne n’est à l’abri. Donc soyez hyper vigilants et utilisez des outils de contrôle comme celui de Romain !

On ne sait jamais !

– Sources : Github

https://korben.info/npm-shai-hulud-scanner-attaque-supply-chain.html

[image: rsyncy-barre-progression-visuelle-rsync-1.png]

En bref :

– Fini de mentir à votre boss : cette barre de progression pour rsync révèle ENFIN où en sont vos transferts de téraoctets.

– Les admins système cachaient ce secret : comment transformer rsync muet en tableau de bord professionnel avec rsyncy.

– Pendant que vous galérez avec rsync aveugle, cette alternative libre affiche vitesse, ETA et progression en temps réel.

Vous venez de lancer un bon gros rsync en prod pour migrer 3 téraoctets de données et votre boss vous sur-saoule toutes les 10 minutes avec des : “Alors, ça en est où ?” en boucle et vous, en bonne victime, vous répondez “Ça avance chef, ça avance…”.

On peut faire mieux non ? Et oui, avec rsyncy qui vous permet au lieu d’avoir un rsync muet qui vous laisse dans le noir, de profiter d’une vraie barre de progression visuelle. Comme ça, vous voyez le pourcentage d’avancement, la vitesse de transfert, le volume copié, le temps écoulé, l’ETA, le nombre de fichiers traités… Bref, toutes les infos pour répondre factuellement à votre hiérarchie et prendre des décisions éclairées de grand professionnel qui aura bientôt une augmentation de salaire ^^.

L’installation est super simple. Vous avez plusieurs options selon votre setup :

# One-liner universel
curl https://laktak.github.io/rsyncy.sh|bash

# Sur macOS avec Homebrewbrew 
install rsyncy

# Avec Gogo 
install github.com/laktak/rsyncy/v2@latest

# Avec pipx (version Python)
pipx install rsyncy

– Et une fois installé, vous pouvez soit lancer rsyncy directement avec les mêmes arguments que rsync :

rsyncy -a /source/ /destination/

– Soit piper la sortie de votre rsync habituel vers rsyncy :

rsync -a --info=progress2 -hv /source/ /destination/ | rsyncy

Ce qui est top, c’est qu’avec ce paramètre, rsyncy ajoute automatiquement les arguments nécessaires pour avoir le maximum d’informations comme ça y’a plus besoin de vous rappeler des bonnes options.

– La barre de progression affichera quelque chose comme ça :

[image: rsyncy-barre-progression-visuelle-rsync-1.gif]

Et là, vous avez tout… la barre visuelle, le pourcentage, les données transférées, la vitesse actuelle, le temps écoulé et le nombre de fichiers traités. C’est clair, net et précis.

– Pour les environnements où les couleurs posent problème (certains logs, scripts automatisés), vous pouvez les désactiver avec :

NO_COLOR=1 rsyncy /source/ /destination/

Pour les devs qui veulent debugger ou enregistrer leurs transferts rsync, l’auteur recommande d’utiliser “ pipevcr ”, un autre de ses outils qui permet d’enregistrer et rejouer des flux de données. Pratique pour tester rsyncy sans lancer de vrais transferts.

Voilà, comme ça avec rsyncy, vous savez exactement où vous en êtes et vous pouvez estimer si vous allez respecter votre fenêtre de maintenance, prévenir si ça va déborder, ou rassurer tout le monde que tout se passe bien.

– Sources : Laurent-Biagiotti-linkedin

https://github.com/laktak/rsyncy

https://korben.info/rsyncy-barre-progression-visuelle-rsync.html

[image: manu23_Cyberpunk_terminal_interface_showing_dark_web_explorat_0a32ab07-9adb-46b9-91f8-d1b88ba88ec2_3.webp]

Si vous avez toujours voulu fouiller le dark web sans y passer 3 heures à chercher dans le noir, j’ai déniché un outil Python qui fait le boulot pour vous : Darkdump.

Créé par Josh Schiavone, Darkdump est une interface OSINT (Open Source Intelligence) qui permet de mener des investigations sur le deep web. En gros, vous tapez un mot-clé, et l’outil va scraper les sites .onion correspondants pour en extraire des emails, des métadonnées, des mots-clés, des images, des liens vers les réseaux sociaux, et j’en passe.

Darkdump utilise Ahmia.fi (un moteur de recherche pour le dark web) pour trouver les sites .onion pertinents, puis il les scrape quand vous êtes connecté via Tor. Bref, c’est Google pour le dark web, en ligne de commande et avec des super-pouvoirs.

– Pour l’installer, rien de plus simple :

git clone https://github.com/josh0xA/darkdumpcd darkdumppython3 -m pip install -r requirements.txtpython3 darkdump.py --help

[image: SCR-20250722-rcos.webp]

Mais attention, avant de vous lancer, il faut configurer Tor correctement. Sur Linux ou Mac, installez Tor (sudo apt install tor ou brew install tor), puis éditez votre fichier /etc/tor/torrc pour ajouter :

ControlPort 9051HashedControlPassword [VotreMotDePasseHashé]

Pour générer le hash du mot de passe, utilisez tor --hash-password "mon_mot_de_passe". Ensuite, démarrez le service Tor et vous êtes prêt à explorer les profondeurs du web.

Ce qui est cool avec Darkdump, c’est sa flexibilité. Vous pouvez l’utiliser de plusieurs façons. Voici quelques exemples données dans la doc officielle :

• Rechercher 10 liens et scraper chaque site : python3 darkdump.py -q "hacking" -a 10 --scrape --proxy
• Juste récupérer 25 liens sans scraper (pas besoin de Tor) : python3 darkdump.py -q "free movies" -a 25
• Chercher et télécharger les images : python3 darkdump.py -q "marketplaces" -a 15 --scrape --proxy -i

L’outil peut extraire pas mal de trucs intéressants comme des documents (PDF, DOC, XLS, PPT…), des adresses email, des métadonnées, et même des liens vers des profils de réseaux sociaux. C’est super pour les chercheurs en sécurité ou encore les journalistes d’investigation.

Maintenant, parlons un peu d’Ahmia.fi, le moteur qui fait tourner tout ça. Contrairement à ce qu’on pourrait croire, vous n’avez pas besoin de Tor pour accéder à l’interface d’Ahmia… vous pouvez y aller directement depuis votre navigateur normal. Par contre, pour visiter les sites .onion qu’il trouve, là il vous faudra Tor Browser.

[image: SCR-20250722-rkvm-1024x492.webp]

Le moteur de recherche Ahmia

Ce qui est bien avec Ahmia, c’est qu’ils filtrent le contenu illégal comme ça c’est pas le far west total. Ils essaient tant bien que mal de garder ça propre et légal.

En 2025, Ahmia reste donc l’un des moteurs de recherche du dark web les plus fiables, aux côtés de Torch, DuckDuckGo (version Tor), Haystak et Not Evil. Chacun a ses spécificités, mais Ahmia reste le préféré pour sa politique de filtrage du contenu illégal.

Bon, évidemment, je dois faire mon speech de prévention et Josh Schiavone lui-même précise : Il n’est pas responsable de l’utilisation que vous faites de son outil. Ne l’utilisez donc pas pour naviguer sur des sites illégaux selon les lois de votre pays. C’est un outil pour la recherche légitime, l’OSINT, la cybersécurité, pas pour faire n’importe quoi.

D’ailleurs, petite anecdote, la v3 de Darkdump a été mise à jour récemment, et apparemment il y a même des forks qui commencent à apparaître avec des mises à jour complètes. La communauté OSINT est active sur ce projet, ce qui est bon signe pour sa pérennité. Voilà, donc pour ceux qui veulent aller plus loin dans l’OSINT sur le dark web, Darkdump n’est qu’un logiciel parmi d’autres et fait partie d’une boîte à outils plus large qui comprend des trucs comme OnionScan, TorBot, ou encore Dark Web OSINT Tools. Mais pour débuter, c’est vraiment l’un des plus simples et des plus efficaces.

Ça ne transformera pas le dark web en votre terrain de jeu, mais au moins vous verrez où vous mettez les pieds. Et dans un monde où l’information est de plus en plus fragmentée et cachée, c’est pratique, mais souvenez-vous, avec un grand pouvoir vient une grande responsabilité donc utilisez-le à bon escient !

– Sources :

https://github.com/josh0xA/darkdump

https://korben.info/darkdump-outil-osint-fouille-dark-web.html

@michmich a dit dans [Multi Apps] Deskflow : Un logiciel Open Source pour partager votre souris et clavier entre plusieurs PC :

Question pour le bêtisier de Noël

ça marche avec un clavier filaire?

[image: torserv-serveur-web-anonyme-tor-zero-config-banner.webp]

Vos serveurs web classiques, les censeurs les trouvent en 3 clics. Même avec un VPN foireux, même caché derrière CloudFlare, même en priant très fort, alors imaginez que vous voulez publier un truc sur le web sans que personne ne puisse remonter jusqu’à vous ? Et bien en fait c’est hyper simple avec torserv qui lance automatiquement votre site comme service caché Tor.

Il s’agit d’un serveur web statique durci qui intègre nativement Tor. Pas de base de données MySQL qui traîne, pas de PHP qui fuite, juste vos fichiers HTML, CSS et JavaScript servis proprement. Le truc génial, c’est la configuration zéro. Vous lancez le binaire et hop, votre site devient accessible via une adresse .onion automatiquement générée.

J’ai découvert torserv après avoir passé 2 heures à galérer avec une config manuelle d’Apache + Tor pour un petit projet perso car configurer un service caché à la main, c’est pas de la tarte. Faut éditer torrc, créer les bons répertoires, gérer les permissions, redémarrer les services… Avec torserv, tout ça disparaît. Vous pointez sur votre dossier web et c’est parti.

Et le pire dans tout ça ? C’est que même après avoir fait votre config manuelle parfaite, vous êtes jamais sûr à 100% de pas avoir laissé trainer une faille. Un header Apache qui balance votre version, un module PHP mal configuré, un log qui enregistre les requêtes… Avec torserv, ces soucis n’existent pas. Le code est minimaliste par design.

Pour comprendre l’intérêt, faut savoir comment fonctionnent les services cachés Tor. Contrairement à un site normal où votre serveur a une IP publique visible, un service .onion reste planqué dans le réseau Tor. Les visiteurs passent alors par plusieurs relais chiffrés, et même eux ne connaissent pas votre vraie localisation.

Mais torserv va plus loin.

Il embarque directement le binaire Tor, donc pas besoin d’installer quoi que ce soit sur votre machine. Et le serveur intégré écrit en Go gère tout : il lance Tor en tâche de fond, génère les clés cryptographiques pour votre .onion, et sert vos fichiers avec les bons headers de sécurité. Tout ça dans un seul exécutable de moins de 20 Mo.

Le petit bonus sympa c’est que torserv ajoute du jitter temporel sur les réponses (50-200ms aléatoires) et du padding sur la taille des fichiers. Ça complique sérieusement l’analyse de trafic pour ceux qui voudraient identifier votre site par ses caractéristiques réseau.

Et les cas d’usage sont nombreux. Vous pouvez par exemple héberger des documents sensibles sans passer par un cloud public. Parfait pour le journalisme d’investigation, l’activisme dans certains pays, ou même pour une entreprise qui veut éviter les fuites via des plateformes externes.

– Mais y’a d’autres trucs cools à faire :

• Partage temporaire de fichiers : Vous lancez torserv le temps de partager des docs, puis vous coupez tout. Aucune trace.
• Blog personnel vraiment privé : Pour publier vos pensées sans que Google indexe tout
• Backup décentralisé : Pour héberger vos sauvegardes chiffrées accessibles uniquement via Tor

Maintenant, si vous voulez tester, vous devez télécharger le binaire depuis GitHub, vous le lancez dans le dossier contenant vos fichiers web, et torserv génère automatiquement votre adresse .onion. En 5 minutes chrono vous avez un site web invisible.

– Concrètement, ça donne ça :

wget https://github.com/torserv/torserv/releases/download/latest/torserv-linux-amd64.zip
unzip torserv-linux-amd64.zip
cd TorServ
./torserv

Et boom, vous avez un truc du genre : http://xxxxxxxxxx.onion qui s’affiche dans votre terminal. Copiez-collez dans Tor Browser et voilà.

Ce qui m’a surpris pendant mes tests, c’est la performance. J’avais des aprioris sur la lenteur du réseau Tor, mais pour du contenu statique, ça reste très correct. Évidemment, on est pas sur de l’hébergement classique, mais pour des documents, des pages simples, ça fait le taf. Et puis l’avantage, c’est que votre bande passante n’est pas plombée puisque le trafic transite par les relais Tor.

Et la sécurité intégré à torserv, ce n’est pas que du marketing. Le serveur limite les requêtes, filtre les tentatives d’exploitation, et expose le minimum de surface d’attaque. Bref, contrairement à Apache ou nginx avec leurs 50 000 modules, torserv fait juste ce qu’il doit faire : servir des fichiers statiques de manière sécurisée. Moins de complexité, moins de failles potentielles.

– Voici ce qu’il propose :

• Scrubbing EXIF automatique : Vos photos sont nettoyées de toutes métadonnées avant d’être servies
• Headers durcis : Pas de User-Agent, pas de Referer, pas d’ETag qui traîne
• Localhost only : Le serveur n’écoute que sur 127.0.0.1, impossible d’y accéder depuis ailleurs que votre propre machine
• Pas de logs : Rien, nada, que dalle. Même sous la torture, votre serveur ne balance rien

Après vous l’aurez compris, c’est du statique uniquement, donc oubliez WordPress, les formulaires dynamiques ou les API. Si vous avez besoin d’interactivité, faudra regarder ailleurs. Et puis, c’est plutôt récent comme projet, donc ça n’a pas encore la maturité d’un Apache.

– Autres trucs chiants :

• Pas de HTTPS : Mais bon, avec Tor c’est déjà chiffré de bout en bout, donc on s’en fout
• Pas de compression : Gzip et compagnie sont désactivés pour éviter les attaques BREACH
• PDF bloqués : Par sécurité, torserv refuse de servir des PDF (trop de métadonnées potentielles)
• Taille max des fichiers : Évitez les vidéos de 2 GB, ça va ramer sévère

Comparé aux autres solutions, torserv a ses avantages. OnionShare c’est bien pour du partage ponctuel, mais c’est GUI only et moins flexible et SecureDrop c’est overkill pour la plupart des usages.

Je trouve donc que Torserv trouve le bon équilibre car il est assez simple pour être utilisé par n’importe qui, et assez sécurisé pour tenir la route face aux menaces courantes. Et pour du professionnel avec de gros besoins, partez plutôt sur une infrastructure dédiée mais pour 90% des cas d’usage (partage de docs, mini-site personnel…etc) c’est exactement ce qu’il vous faut.

Attention quand même, l’anonymat total n’existe pas. Même avec Tor et torserv, vos habitudes de rédaction, vos heures de publication, le style de vos contenus peuvent vous trahir. L’OPSEC (operational security) reste crucial. Et évidemment, côté légalité, respectez les lois de votre pays car Tor c’est pas un permis pour tout faire.

Un dernier conseil, si vous êtes vraiment parano (et vous avez peut-être raison), utilisez l’option --new-key qui génère une nouvelle adresse .onion à chaque lancement. Comme ça, même si quelqu’un trouve votre site, il pourra plus y accéder la prochaine fois. C’est radical mais efficace.

– Sources :

https://github.com/torserv/torserv

https://korben.info/torserv-serveur-web-anonyme-tor-zero-config.html

[image: ChatGPT-Image-May-16-2025-11_35_45-AM.webp]

Si votre site web est devenu le buffet à volonté préféré des bots de sociétés IA, débarquant par milliers, se servant dans votre bande passante et repartant sans même dire vous laisser un mot sur l’oreiller, alors j’ai une solution pour vous ! Ça s’appelle Anubis et c’est un outil qui vérifie si vos visiteurs sont de vrais humains ou des aspirateurs à données déguisés.

Car oui, personne n’est épargné ! Par exemple, le bon vieux site kernel.org a dû mettre en place une protection contre ces scrapers qui menaçaient sa disponibilité et ce n’est pas un cas isolé. Codeberg, ScummVM, FreeCAD et même certains sites de l’ONU ont adopté la même solution pour rester en ligne face à cette nouvelle forme de DDoS “légitime”.

Bref, pendant que vous lisez ces lignes, une bataille fait rage avec d’un côté, les développeurs qui maintiennent des sites utiles à la communauté et de l’autre, des armées de robots envoyés par les géants de l’IA pour aspirer tout le contenu possible afin d’entraîner leurs modèles.

Bien sûr, Cloudflare et autres services similaires peuvent vous aider, mais ils créent une dépendance à des intermédiaires centralisés, contraires à l’esprit même du web. Et franchement, si vous hébergez un petit projet open-source, vous n’avez probablement pas envie de payer pour une protection contre un problème que vous avez pas créé.

Heureusement, Anubis est là et s’inspire d’une idée plutôt ancienne : Hashcash
Il s’agit d’une idée remontant aux années 2000 pour lutter contre le spam email. Le principe est simple et génial à la fois : imposer un petit coût “computationnel” à chaque requête. Grosso merdo, comme mettre un péage sur une route qui serait insignifiant pour un conducteur occasionnel, mais super ruineux pour une entreprise qui fait passer des milliers de camions par jour.

[image: SCR-20250516-klqu-1024x295.webp]

Voici comment ça marche concrètement :

1. Un visiteur arrive sur votre site protégé par Anubis
2. Le serveur lui présente un challenge mathématique à savoir trouver un nombre qui, ajouté à une chaîne de caractères spécifique et passé dans une fonction SHA-256, donne un hash avec un certain nombre de zéros au début
3. Le navigateur du visiteur calcule alors ce hash en parallèle grâce aux Web Workers (du JavaScript qui travaille en arrière-plan sans bloquer l’interface)
4. Une fois trouvé, le résultat est envoyé au serveur qui vérifie sa validité
5. Si c’est bon, un cookie spécial est généré pour autoriser les visites futures sans avoir à repasser le test

Pour un navigateur moderne sur un PC normal, ce calcul prend quelques secondes, ce qui en fait une petite friction acceptable. Mais pour un scraper industriel qui doit traiter des millions de pages… c’est une autre histoire. Et ce système est totalement configurable puisqu’il permet d’ajuster la difficulté (nombre de zéros requis, par défaut 4-5), d’utiliser un algorithme intentionnellement lent pour punir les bots identifiés, et de créer des règles personnalisées via des expressions régulières et un langage d’expression appelé CEL.

Voici par exemple une règle permettant d’autoriser les requêtes API tout en bloquant le reste :

- name: allow-api-requests
action: ALLOW
expression:
all:
- '"Accept" in headers'
- 'headers["Accept"] == "application/json"'
- 'path.startsWith("/api/")'

Ou encore, bloquer spécifiquement les bots d’Amazon :

- name: amazonbot
user_agent_regex: Amazonbot
action: DENY

La bonne nouvelle, c’est qu’Anubis est ridiculement simple à mettre en place. Un VPS basique avec Docker suffit amplement et l’outil consommera moins de 32 Mo de RAM en moyenne, autant dire rien du tout à l’échelle d’un serveur récent.

La méthode la plus simple pour mettre Anubis en place, c’est comme d’hab : Docker Compose. 5 lignes de config et vous êtes protégé :

services:
anubis-nginx:
image: ghcr.io/techarohq/anubis:latest
environment:
BIND: ":8080"
DIFFICULTY: "4"
TARGET: "http://nginx"
SERVE_ROBOTS_TXT: "true"
ports:
- 8080:8080
nginx:
image: nginx
volumes:
- "./www:/usr/share/nginx/html"

Et si vous préférez les packages natifs, sachez qu’Anubis est disponible pour Debian, Ubuntu, RHEL et autres distributions populaires. Les plus bidouilleurs peuvent même l’installer depuis les sources.

La configuration avec les serveurs web les plus courants est bien documentée :

• Nginx : ajoutez Anubis comme un upstream et redirigez tout le trafic à travers lui
• Apache : similaire à Nginx, avec quelques spécificités liées à Apache
• Et même Traefik ou Caddy pour les plus modernes d’entre vous

Une fois tout configuré, vérifiez quand même que tout fonctionne correctement en visitant votre site. Et si vous voyez la jolie page de challenge la première fois, puis accédez normalement au site après, c’est que tout est bon !

Si vous hésitez, sachez que avantages d’Anubis sont nombreux :

• C’est gratuit et open-source, contrairement aux solutions payantes qui vous factureront à la requête
• Ultra-léger, avec une consommation minimale de ressources
• Vous gardez le contrôle total : pas d’intermédiaire entre vous et vos visiteurs
• Personnalisable à l’extrême : ajustez précisément les règles selon vos besoins
• Respectueux de la vie privée : aucun partage de données avec des tiers

Mais il y a aussi des arguments plus émotionnels, et tout aussi valables :

• L’indépendance : vous restez maître de votre infrastructure
• La résistance : vous participez à un mouvement de défense du web ouvert
• La communauté : vous soutenez un projet porté par des valeurs éthiques
• La satisfaction intellectuelle : c’est quand même une solution élégante à un problème complexe, avouez-le

Par contre, sachez que :

• Anubis nécessite JavaScript côté client
• Et qu’il peut potentiellement bloquer certains bots ou utilisateurs légitimes si mal configuré

Mais comparé aux alternatives commerciales, le rapport bénéfice/contrainte penche largement en faveur d’Anubis.

Bref, si vous en avez marre de voir votre bande passante dévorée par des bots trop gourmands, c’est le moment d’agir. Quelques minutes de configuration aujourd’hui pourraient vous épargner des heures de maintenance demain.

Et si vous avez des questions sur l’installation ou la configuration, n’hésitez pas à consulter la documentation officielle. Et un grand merci à Lorenper pour le partage !

– Source :

https://korben.info/anubis-protection-site-web-bots-ia.html

Heu 2022 la dernière maj github pour la version stable, sinon faut passer en beta

Qui la tester ? Ça ralenti pas trop le système ?

@Violence On y est bien, c’est tout doux, et pour ne pas totalement dépayser les nouveaux il y a quelques petits bugs tout mignons.

Mises à jours, même pas peur.

merci pour l’article @Violence perso j’attends avec impatience que l’appli soit disponible sur mon synology (j’ai cherché partout mais pour le moment il semblerait que rien n’a été prévu pour les détenteurs de nas).

[image: SCR-20231127-lp3-1024x610.webp]

À cause de la guerre en Ukraine, de Bruno Le Maire et de l’inflation galopante, tout le monde, n’a malheureusement, pas les moyens de s’offrir un abonnement Spotify à 10,99 euros par mois. Mais plutôt que de se galérer avec des moyens illégaux pour télécharger de la musique, je vous propose de tester Nuclear.

Ce player au design proche de Spotify et similaire à mps-youtube, vous permet de chercher des morceaux sur différentes sources telles que Bandcamp, Soundcloud, Youtube, de voir les pochettes des albums, d’écouter la musique, de faire des playlists et même de la télécharger dans certains cas (quand c’est sur Youtube surtout).

Nuclear est dispo pour Linux, macOS et Windows, et propose également d’avoir les paroles des chansons, un égalisateur pour régler le son, et même un visualiseur pour se faire un petit moment psychédélique.

[image: SCR-20231127-ls3-1024x610.webp]

Bref, c’est le feu parce qu’on y trouve tous les artistes, les albums, des plus connus aux plus obscurs. Nuclear propose également des playlists du moment (comme sur Spotify), des artistes similaires et même un mode « folie » pour se laisser surprendre par les musiques.

Vous pouvez le télécharger ici :

https://github.com/nukeop/nuclear/releases

– Source

https://korben.info/nuclear-player-musical-multi-source.html

–> Je ne l’ai pas testé mais le bazar a à l’air pas trop mal