Cette semaine : File Browser annonce sa fin, vaultwarden continue d’absorber les changements des clients Bitwarden, HestiaCP publie une release sécurité, GitHub pousse les pull requests empilées, et SilverBullet devient plus simple à exploiter avec plusieurs espaces.
Le thème général est assez concret : maintenance de projets, compatibilité client, surfaces d’administration exposées et automatisation. Rien de très spectaculaire, mais plusieurs sujets qui méritent une action ou au moins une note dans le backlog.
File Browser : dernière release avant archivage#
File Browser 2.63.22 est annoncé comme la dernière release planifiée. Le dépôt doit être archivé le 1er septembre 2026. Après cette date, le projet indique qu’il n’y aura plus de releases, de correctifs de bugs ou de correctifs de sécurité.
Les images Docker et releases existantes doivent rester disponibles. Ça ne veut pas dire que l’outil cesse de fonctionner le lendemain. Mais pour un composant qui expose une interface de gestion de fichiers, la fin des correctifs de sécurité change clairement l’analyse de risque.
Le point important : File Browser est souvent déployé avec accès à des volumes sensibles.
Selon les installations, il peut exposer :
- des backups ;
- des fichiers de configuration ;
- des médias personnels ;
- des répertoires de partage ;
- parfois trop de choses parce que le volume monté était pratique au moment du
docker compose.
À court terme, je ferais deux choses.
D’abord, mettre à jour vers la 2.63.22 si vous restez dessus, car la release corrige notamment l’application des règles sur certaines opérations récursives et les tokens proxy expirés.
Ensuite, réduire l’exposition :
docker compose ps filebrowser
docker compose logs --tail=100 filebrowserPuis vérifier les volumes réellement montés :
docker inspect filebrowser --format '{{ json .Mounts }}'Si l’instance est exposée sur Internet, je planifierais une migration. Pas forcément dans l’heure, mais avant que le projet archivé devienne une dette oubliée.
vaultwarden 1.37.1 : compatibilité Bitwarden et correctif d’invitations#
vaultwarden a eu une semaine assez chargée.
La 1.37.0 était déjà importante : elle rétablissait la compatibilité avec les clients Bitwarden 2026.7.0 et plus récents, et embarquait plusieurs correctifs de sécurité. La 1.37.1 corrige ensuite les problèmes d’invitations apparus après cette mise à jour, ainsi qu’un souci autour des images Alpine liées à la compilation OpenSSL.
Pour une instance personnelle, l’impact se voit surtout quand les clients mobiles ou desktop commencent à refuser certaines opérations. Pour une instance d’équipe, les invitations cassées peuvent vite bloquer l’onboarding.
Si vous aviez appliqué un contournement local pour les invitations, la note de release demande explicitement de le retirer avant ou après mise à jour pour éviter d’autres effets de bord.
À vérifier :
docker compose ps vaultwarden
docker compose logs --tail=100 vaultwardenPuis tester les chemins qui cassent souvent après ce type de release :
- connexion web ;
- client mobile ;
- client desktop ;
- extension navigateur ;
- invitation d’un nouvel utilisateur ;
- accès organisation ;
- envoi et réception d’un secret via Send.
Vu le contenu de la 1.37.0, je traiterais cette mise à jour comme prioritaire pour toute instance exposée.
vaultwarden 1.37.0
vaultwarden 1.37.1
HestiaCP 1.9.8 : plusieurs correctifs sécurité#
HestiaCP 1.9.8 corrige plusieurs problèmes de sécurité sur une surface qui, par nature, doit être prise au sérieux : un panneau d’administration web.
La release mentionne notamment :
- restriction des modifications du compte
ROOT_USERà la sessionROOT_USER; - correction autour de la sortie du debug panel et du bouton de suppression de clé SSH ;
- validation pour éviter une injection XSS via
v-add-user-notification; - validation d’un argument dans
v-schedule-user-restore-resticpour éviter une injection dans le fichier de queue de backup.
Le risque réel dépend de l’exposition du panel, des comptes autorisés et des fonctions activées. Mais un panel d’hébergement exposé, avec gestion de comptes, SSH, mail, bases et backups, n’est pas un service qu’on laisse plusieurs semaines derrière quand une release sécurité sort.
Contrôles simples :
v-list-sys-info
v-list-usersEt côté service :
systemctl status hestia
journalctl -u hestia --since todaySi le panel est accessible publiquement, vérifiez aussi les restrictions réseau, le MFA si disponible, et les comptes administrateurs réellement nécessaires. Une mise à jour applicative ne remplace pas une exposition raisonnable.
GitHub : les stacked pull requests arrivent en préversion publique#
GitHub ouvre les stacked pull requests en préversion publique.
Le principe est connu dans certaines équipes : découper un changement large en une pile de petites PR dépendantes, chacune ciblant la couche précédente. On peut relire chaque couche séparément, faire tourner les checks existants et fusionner tout ou partie de la pile.
Ce n’est pas juste une commodité UI. C’est une réponse à un problème qui devient plus visible avec les assistants de code : les PR grossissent plus vite que la capacité de review humaine.
Une stack bien tenue aide à :
- isoler une migration mécanique ;
- séparer refactor et changement de comportement ;
- faire relire des morceaux plus petits ;
- garder l’historique plus lisible ;
- éviter les grosses branches qui vieillissent trop longtemps.
Le risque, c’est de créer une pile incompréhensible où chaque PR dépend d’une intention non documentée. Pour que ça marche, il faut garder des titres explicites, des descriptions courtes et une logique de découpage lisible.
GitHub fournit une extension CLI :
gh extension install github/gh-stackJe ne l’activerais pas comme nouvelle règle d’équipe sans essai sur un dépôt peu risqué. Mais pour les migrations longues, c’est probablement un bon outil à évaluer.
GitHub Changelog - Stacked pull requests are now in public preview
SilverBullet 2.10 : multi-space, multi-compte et backend Rust#
SilverBullet 2.10 ajoute le support multi-space dans une seule instance, avec plusieurs comptes et un assistant de première configuration.
Jusqu’ici, le modèle conseillé pour plusieurs espaces était souvent de déployer plusieurs instances. Ça fonctionne, mais c’est vite pénible : variables d’environnement, reverse proxy, chemins, comptes et sauvegardes à répéter.
Avec la 2.10, une instance peut gérer plusieurs espaces, liés à des préfixes d’URL ou des hostnames. SilverBullet ajoute aussi un système de comptes plus propre : l’ancien modèle basé sur SB_USER avec mot de passe en clair dans une variable d’environnement n’est plus le seul chemin.
À noter : il n’y a toujours pas de collaboration temps réel. Si deux clients modifient la même page en même temps, les conflits restent possibles.
La release ajoute aussi :
- les Baked Sections pour produire du Markdown plus lisible hors SilverBullet ;
- un backend et une CLI réécrits en Rust ;
- du folding pour les frontmatters ;
- des correctifs de performance sur les gros espaces ;
- de meilleures règles de cache côté client.
Pour une instance existante, la compatibilité est annoncée : SilverBullet doit détecter le mode single-space et conserver le comportement existant. Je ferais quand même une sauvegarde de l’espace avant upgrade.
Ce que la veille remonte en plus#
Obsidian LiveSync 1.0.0 améliore fortement l’onboarding, les connexions CouchDB/Object Storage/P2P, la gestion des conflits, la récupération et les validations. La release mentionne aussi des corrections sécurité : génération de secrets avec une source cryptographique sûre pour Fly.io, dépendances mises à jour, et rejet de traversées de chemins ou symlinks côté CLI.
Pangolin 1.21.1 corrige plusieurs points après la 1.21, notamment autour de l’IdP, des connexions newt et de l’expérience du dashboard. Si vous avez sauté sur la 1.21.0 pour la détection de même réseau, la 1.21.1 semble être la version à prendre.
Les certificats TLS publics continuent de raccourcir. Le CA/Browser Forum prévoit une validité maximale de 200 jours depuis le 15 mars 2026, 100 jours à partir du 15 mars 2027, puis 47 jours à partir du 15 mars 2029. Pour les admins qui renouvellent encore à la main, le message opérationnel est simple : il faut automatiser.
Open Home Foundation passe ses analytics web vers Plausible avec dashboards publics. Le choix est intéressant : analytics agrégées, pas de cookies, pas de profils individuels, hébergement sous contrôle de la fondation, et possibilité de bloquer Plausible côté utilisateur. C’est une approche plus propre que beaucoup de setups marketing classiques.
Libera.Chat formalise une politique LLM. La tendance continue : les communautés techniques écrivent leurs règles sur les contributions, bots, contenus générés et comportements automatisés. Ce n’est pas seulement un débat sur l’IA, c’est aussi une question de charge de modération et de qualité du signal.
Obsidian LiveSync 1.0.0
Pangolin 1.21.1
CA/Browser Forum - Ballot SC081v3
Open Home Foundation - Making our web analytics open source with Plausible
Libera.Chat - Policies
Les pépites de la semaine#
BookBridge synchronise la progression de lecture entre ebooks et audiobooks. C’est typiquement le genre d’outil personnel qui a du sens en self-hosting : il ne remplace pas une grosse plateforme, il couvre un besoin précis autour de sa propre bibliothèque.
OpenTogetherTube permet de créer des rooms de visionnage synchronisé à distance, avec chat, liens de partage, SponsorBlock, votes et plusieurs sources vidéo. Le projet demande PostgreSQL et Redis, donc ce n’est pas juste un petit conteneur isolé.
Hammer vise l’écriture longue, notamment roman et fiction, avec une approche auto-hébergeable. À regarder si vous voulez une alternative web spécialisée plutôt qu’un simple éditeur Markdown générique.
3DSfin est un client Jellyfin pour Nintendo 3DS. Pas forcément utile en production, mais intéressant comme rappel : la force d’un serveur média vient aussi de la diversité de ses clients.
BookBridge
OpenTogetherTube
Hammer
3DSfin
Commande du jour#
fcDans Bash, fc permet d’ouvrir la dernière commande dans l’éditeur configuré par EDITOR ou VISUAL, puis de l’exécuter après sauvegarde.
C’est utile quand une commande devient trop longue pour être corrigée proprement dans l’historique interactif.
Variante pratique :
fc -l -5Elle liste les cinq dernières commandes avec leur numéro. Ensuite, on peut éditer une entrée précise :
fc 1234Même idée que Ctrl+x Ctrl+e, mais plus explicite quand on veut reprendre une commande précise de l’historique.
Sources#
- File Browser v2.63.22
- vaultwarden 1.37.0
- vaultwarden 1.37.1
- HestiaCP 1.9.8
- GitHub Changelog - Stacked pull requests are now in public preview
- SilverBullet 2.10
- Obsidian LiveSync 1.0.0
- Pangolin 1.21.1
- CA/Browser Forum - Ballot SC081v3
- Open Home Foundation - Making our web analytics open source with Plausible
- Libera.Chat - Policies
- BookBridge
- OpenTogetherTube
- Hammer
- 3DSfin