La bascule de la clé racine DNSSEC est prévue ce dimanche 11 octobre, Vaultwarden publie sept correctifs de sécurité et Let’s Encrypt prépare des certificats de 64 jours. La sélection du 4 au 11 octobre comprend aussi Headplane, pour administrer Headscale, et Carbure, pour suivre un budget familial sur son propre serveur.
En bref#
- DNSSEC : la nouvelle clé racine KSK-2024 doit être approuvée par les résolveurs qui valident eux-mêmes les réponses.
- Vaultwarden 1.37.4 : sept avis de sécurité répertoriés, avec une mise à jour rapide recommandée par le projet.
- Let’s Encrypt : certificats de 64 jours à partir du 10 février 2027 ; l’environnement de test bascule dès le 14 octobre.
- Hemmelig : le dépôt public est archivé, tandis que le service hébergé poursuit son développement séparément.
- FreshRSS et Portainer : des correctifs pour les jetons des comptes désactivés et les restrictions d’accès aux fichiers de l’hôte.
- Headplane et Carbure : une interface pour son réseau Headscale, un budget partagé pour son foyer.
DNSSEC : vérifier la nouvelle clé racine ce dimanche#
L’ICANN prévoit la bascule vers KSK-2024 ce 11 octobre 2026. Son identifiant est 38696. Un résolveur qui valide DNSSEC et ne fait confiance qu’à l’ancienne clé ne pourra plus vérifier la chaîne de confiance après la bascule et l’expiration des données en cache. Cela concerne notamment un Unbound ou un BIND récursif entretenu dans le homelab. Calendrier et vérifications ICANN
Si vous utilisez un résolveur public sans validation supplémentaire chez vous, la maintenance revient à son opérateur. Les clés DNSSEC de votre propre nom de domaine ne sont pas à remplacer pour cette opération. Guide ICANN
Sur un serveur BIND 9 avec gestion automatique des ancres, cette commande lit leur état. Elle suppose un accès administrateur au serveur et un canal rndc configuré :
sudo rndc managed-keys statusVérifiez que la clé 38696 est approuvée, pas seulement en cours d’initialisation. Avec des ancres statiques, examinez aussi la configuration : cette commande porte sur les clés gérées automatiquement. Télécharger le jeu de clés DNS ne prouve pas que votre résolveur leur fait confiance. Référence ISC
Vaultwarden 1.37.4 : sept correctifs de sécurité#
La 1.37.4 répertorie sept correctifs de sécurité, dont un classé élevé, CVSS 8,1, concernant la révocation des membres d’une organisation. D’autres touchent la double authentification, les invitations, les pièces jointes et les partages. Le projet recommande une mise à jour rapide. Notes de version
Au 11 octobre, les avis liés restent non publics. Les notes ne permettent donc pas d’établir une plage complète de versions affectées ni les conditions précises d’exploitation.
Avec IP_HEADER=X-Forwarded-For, l’adresse retenue devient celle située le plus à droite qui n’appartient pas à IP_HEADER_TRUSTED_PROXIES. Une chaîne CDN puis nginx doit déclarer ses proxies, sinon les journaux et limitations de débit peuvent utiliser leur adresse.
Les administrateurs pouvaient auparavant consulter la clé API de leur organisation. Si vous ne leur faites plus confiance, le projet conseille de la renouveler via Admin Console → Settings → Rotate API key.
Let’s Encrypt : 64 jours, et des scripts à relire#
À partir du 10 février 2027, les certificats émis ou renouvelés auront une durée de 64 jours par défaut, contre 90 actuellement. Les profils plus courts restent possibles, et les certificats déjà valides ne seront pas révoqués. L’environnement de test passera à 64 jours dès le 14 octobre 2026. Annonce Let’s Encrypt
Vérifiez les scripts qui déclenchent le renouvellement après un nombre de jours fixe. Un script qui attend le soixantième jour laissera peu de marge. Let’s Encrypt recommande un renouvellement vers les deux tiers de la durée de vie, ou l’utilisation d’ACME Renewal Info, si le client le prend en charge, pour suivre la fenêtre indiquée par l’autorité.
Relisez les tâches cron et scripts qui contiennent des seuils comme 60, 80 ou 83 jours. Vérifiez aussi le déploiement du certificat renouvelé, le rechargement du service et l’alerte en cas d’échec.
Hemmelig archive son dépôt, pas son service hébergé#
Le dépôt Hemmelig.app a été archivé le 5 octobre. Son README précise qu’il ne recevra plus de correctifs, de nouvelles fonctions ni de nouvelles versions. Le service sur hemmelig.app continue d’être développé séparément. Annonce dans le dépôt
Le projet autorise les forks sous les conditions de sa licence O’Saasy. Si vous cherchez un remplaçant, relevez les fonctions utilisées : chiffrement côté navigateur, expiration, nombre de lectures. Vérifiez aussi la compatibilité de son API avec vos scripts.
PhotoSuite : le développeur de Photopea accuse le projet de copie#
PhotoSuite se présente comme un éditeur de fichiers PSD et indique désormais utiliser PhotoCraft comme fondation, sous licences MIT ou Apache 2.0. Mais le développeur de Photopea a publié le 4 octobre un signalement accusant PhotoSuite de copier son travail. README de PhotoSuite, signalement archivé
Le signalement ne suffit pas à prouver la copie. J’attendrais une explication vérifiable sur l’origine du code et des ressources avant de l’adopter.
Trois mises à jour à retenir#
FreshRSS 1.30.1 poursuit le durcissement de la 1.30 présentée dans le Weekly #31. Les jetons d’export et de rafraîchissement sont refusés pour les comptes désactivés, les opérations de mise à jour interne exigent POST et une protection CSRF, et l’import ZIP est borné contre les bombes de décompression. La version corrige aussi des régressions de liens de partage et de proxies HTTPS. Release 1.30.1
Portainer 2.45.2 LTS, publiée le 8 octobre, corrige un contournement de l’option qui masque les bind mounts aux non-administrateurs. Lorsque cette option est active, leurs fichiers Compose ne peuvent plus référencer des fichiers de l’hôte hors du répertoire de la stack, notamment via configs, secrets ou env_file ; include est désactivé pour eux. La version rétablit aussi la vérification des certificats TLS lors de certaines opérations vers l’API Kubernetes. Release 2.45.2
Uptime Kuma 2.5.6, publiée le 9 octobre, corrige le calcul du temps de réponse moyen affiché par le badge et met à jour des dépendances dans sa rubrique sécurité. Les notes sont brèves et ne décrivent pas de scénario d’exploitation. Release 2.5.6
Deux projets à découvrir#
Headplane : administrer Headscale depuis une interface web#
Headplane ajoute à Headscale une console pour gérer les machines, les routes, les ACL et les réglages DNS. Il propose aussi une connexion OpenID Connect et du SSH dans le navigateur, avec un agent et Tailscale SSH configurés sur les machines. Pratique si plusieurs personnes administrent le même réseau. Présentation, documentation Docker
La documentation demande Headscale 0.26.0 ou ultérieur. Pour la gestion complète de la configuration en Docker, les deux services partagent le fichier de configuration et Headplane accède au socket Docker, éventuellement via un proxy. Cet accès donne des capacités d’administration de l’hôte : gardez la console sur votre réseau d’administration et choisissez les permissions du proxy en conséquence. Sécurité du démon Docker
Un mode limité permet d’essayer les fonctions de base sans toute cette intégration. Il n’inclut pas la gestion réseau avancée ni le SSH web, et le projet le réserve aux tests et au développement. Mode limité
Carbure : un budget familial sans agrégateur bancaire tiers#
Carbure, présenté cette semaine par son auteur, combine transactions, règles de catégorisation, budgets mensuels et comptes partagés entre plusieurs utilisateurs. Le projet est sous licence MIT, écrit en PHP avec une base MariaDB, et propose une installation Docker. La synchronisation bancaire passe par Woob et s’exécute sur votre serveur, sans compte chez un agrégateur. Présentation de Ludovic Toinel
Les modules Woob couvrent principalement les banques françaises. Pour une banque absente ou pour reprendre un historique, l’import OFX, QIF, CSV ou CAMT.053 reste disponible. Vérifiez que Woob dispose d’un connecteur pour votre banque avant de configurer la synchronisation.
Le portail est disponible en français et en anglais, avec des montants en euros. L’application iPhone est annoncée pour plus tard. En attendant, l’accès se fait depuis le portail web.
Sources#
- ICANN - calendrier de la bascule KSK-2024 et identifiant 38696
- ICANN - guide du roulement de clé, en français
- ISC - référence de rndc et des clés gérées
- Vaultwarden - correctifs et migration vers la 1.37.4
- Let’s Encrypt - certificats de 64 jours et calendrier
- Hemmelig - dépôt archivé et devenir du service hébergé
- PhotoSuite - présentation et attributions
- Photopea - signalement du 4 octobre dans PhotoSuite, archive
- FreshRSS - release 1.30.1
- Portainer - release 2.45.2 LTS
- Uptime Kuma - release 2.5.6
- Headplane - code et fonctions
- Headplane - présentation
- Headplane - installation Docker et intégrations
- Headplane - mode limité
- Docker - sécurité du démon et de son API
- Carbure - code, licence et fonctions
- Carbure - présentation par son auteur le 10 octobre