[RudeOps] Newsletter du 02.11.2026

RudeOps #88 : l use Arch btw.

Je le précise d’entrée parce que c’est la tradition. Un utilisateur d’Arch qui ne le mentionne pas dans les trente premières secondes d’une conversation se voit retirer sa licence et son prochain pacman -Syu casse le boot par principe.

Depuis que j’ai quitté Debian je lis le wiki le soir comme d’autres lisent leur bréviaire, j’installe des paquets de l’AUR maintenus par un inconnu qui n’a plus donné signe de vie depuis 2019 et je regarde les utilisateurs de Mac avec la tendresse qu’un sommelier réserve aux buveurs de rosé pamplemousse.

Le DevOps devait abattre le mur entre les devs et les ops. Mission accomplie, les murs sont désormais entre Terraform et OpenTofu, entre la team Kubernetes et les trois survivants de Nomad, entre GitHub et GitLab et entre vim et le reste de l’humanité. Chaque outil a sa paroisse ses croisades et ses conférences où les fidèles s’expliquent mutuellement qu’ils ont raison et des migrations entières se décident parce qu’un lead a lu un post de blog dans le train.

Pendant ce temps l’utilisateur n’a jamais demandé sur quelle distrib tournait le service qu’il n’arrive pas à joindre, il ne part pas parce que c’est déployé avec Helm plutôt qu’avec Kustomize, il part parce que c’est tombé. La meilleure stack est celle que votre équipe sait réparer pendant que la seule personne qui la comprend est en vacances à Montargis.

Je propose donc une trêve. Que chacun garde ses outils, son wiki et ses convictions et que tout le monde s’unisse enfin contre le seul ennemi commun : les gens qui mettent des putains d'espaces dans les noms de fichiers.

Cyril

> Le coeur de la veille

OWASP top ten K8s security risks explained GitGuardian passe en revue l’OWASP Kubernetes Top 10 et s’attarde sur le K03, la gestion des secrets. Au menu, 44 clusters accessibles grâce à des secrets qui traînent en ligne, dont 30 % depuis plus de deux ans, un token de service account oublié dans une image Docker publique qui ouvre un cluster rempli d’autres secrets et la campagne GhostAction qui a visé ceux de 772 dépôts via GitHub Actions. Mention spéciale à la CISA, l’agence américaine de cybersécurité, qui a laissé 844 Mo de mots de passe en clair et de tokens AWS dans un dépôt GitHub public baptisé Private-CISA, le nom du dépôt faisant visiblement office de politique de sécurité. L’article recense aussi les six façons les plus courantes de faire fuir un secret, et je parie que vous en pratiquez au moins deux.

The case for OpenTelemetry maintership OpenTelemetry c’est le standard open source qui collecte traces, métriques et logs sans vous enchaîner à un éditeur d’observabilité. Jack Berg, l’un de ses mainteneurs, chiffre son vrai problème : en deux ans, les PR entrantes ont bondi de 153% et les reviewers actifs de seulement 62%, d’où les semaines d’attente pour une review. Il plaide pour que les entreprises financent du temps de maintenance, sachant que plus de 75% des mainteneurs bossent déjà pour des éditeurs d’observabilité. L’indépendance vis-à-vis des éditeurs, maintenue par les éditeurs.

Git isn't a diff tracker Non, Git ne stocke pas des diffs, c’est une base clé-valeur adressée par hash, les fichiers sont des blobs identifiés par leur seul contenu, sans nom, les dossiers des trees, et chaque commit pointe vers un snapshot complet qui réutilise tout ce qui n’a pas bougé, les deltas n’arrivant qu’à la compression des packfiles. De là, l’article déroule le reste : l’index qui n’est qu’un brouillon du prochain tree, git reset vu comme un curseur entre trois arbres, le detached HEAD, le rebase qui fabrique de nouveaux commits au lieu de modifier les anciens et le reflog qui rattrape à peu près tout ce que vous pensiez avoir détruit. Il finit sur trois pièges classiques, dont le secret qu’un git rm ne retire pas de l’historique et le --force à remplacer par --force-with-lease. Et une branche n’est qu’un fichier texte de 41 octets ce qui relativise les deux heures de réunion sur la stratégie de branching.

> /usr/local/bin

Kernwatchkernwatch range le noyau Linux en quatorze vues dans un terminal : CPU, scheduler, mémoire, I/O disque, interruptions, eBPF et flame graphs. Le dashboard complet réclame 160 colonnes ce qui me donne enfin un argument vaguement crédible pour passer un écran ultrawide en note de frais.

Rudeping Le monde manquait cruellement d’un énième outil réseau en TUI, j’ai donc codé rudeping : une requête HTTP par seconde, découpée en direct entre DNS, TCP, TLS, serveur et transfert pour prouver que ce n’est pas le réseau. Version 0.1.0, testé uniquement sur mon laptop donc aussi prêt pour la prod que moi pour une astreinte. Je l’ai écrit avec un agent IA, donc techniquement j’ai surtout validé des diffs mais je signe quand même, c’est ça être directeur.

GramJe viens de découvrir Gram avec la sortie de la 3.4, un fork de Zed pour écrire du code à la main avec soin, hébergé sur Codeberg et dont la communauté se retrouve sur XMPP ce qui situe assez bien le niveau de radicalisation. Je l’installe dès que je retrouve comment taper du code moi-même.

Dagu Dagu orchestre les scripts existants en YAML, avec planification, retries, dépendances, historique et interface web, dans un seul binaire là où Airflow réclame un scheduler, des workers, un PostgreSQL et un Redis. Il lance aussi bien du shell que des conteneurs Docker, des Jobs Kubernetes ou des commandes SSH, sait mettre un workflow en pause le temps qu’un humain valide, et n’oblige pas à réécrire une ligne des scripts, qui tourneront toujours tout seuls le jour où je m’en lasse. Un seul binaire, mais 180 variables d’environnement, la simplicité a ses limites.

Ghostty Ghostty sort en 1.4 après sept mois de travail et 2889 commits. Au menu, un scrollback compressé qui fait fondre la consommation mémoire de 70 à 90% aussitôt réinvestie dans une limite par défaut passée de 10 à 50 Mo, le parsing ASCII qui grimpe de 128 à 725 Mo/s et le protocole graphique de Kitty implémenté en entier. La version GTK ne tourne plus nativement sur Ubuntu 24.04 LTS et Windows disparaît de la roadmap, deux nouvelles qui me laissent de marbre parce que j’utilise Arch, btw.

> En bref

6 best Kubernetes preview environment tools Encore du Kubernetes je sais. Cette fois, un comparatif de six outils qui donnent à chaque pull request son propre environnement de preview pour arrêter de faire la queue devant le staging maintenant que les agents IA y poussent aussi leurs PR. Il est signé par l’éditeur de mirrord, qui, par un heureux hasard, arrive premier.

Vercel CI is now in beta Vercel lance sa CI en beta pour les monorepos Turborepo : un tag "ci" sur une tâche dans turbo.json et elle tourne à chaque push, en ne relançant que ce que le commit touche, avec cache des tâches et des dépendances. Vercel annonce des pipelines deux à six fois plus rapides en interne pour que sa CI arrive enfin à suivre ses propres agents de code. L’installation tient d’ailleurs en un prompt à coller dans votre agent, l’humain étant désormais promu responsable du copier-coller.

> Sous les pavés l'IA

Git worktrees Si vous faites bosser des agents en parallèle, vous avez forcément croisé le mot cette année, plusieurs branches du même repo dans des dossiers séparés, un seul historique Git. Chaque agent bosse dans son coin sans piétiner le voisin. Les coyotes de CircleCI ont pondu un très bon article sur le sujet, avec une stat qui calme : +40 % de branches actives depuis le T1, mais une vélocité qui stagne. Paralléliser c’est facile, merger beaucoup moins.

Dark-Moon DarkMoon c’est du pentest autonome open source et made in France : une ligne TARGET, et cinquante agents IA enchaînent 140 outils offensifs puis documentent chaque faille avec la commande exacte et la sortie brute. Le rêve humide de tout script kiddie, à lancer uniquement sur sa propre infra, je précise pour les h4ck3rs du fond de la salle.

"An ounce of prevention is worth a pound of cure, especially at 3 AM on a Sunday."
- Thomas Limoncelli, auteur de The Practice of Cloud System Administration