URL: https://linuxfr.org/news/sourceforge-de-pire-en-pire-usurpation-d-identite-du-projet-gimp Title: Sourceforge de pire en pire: usurpation d'identité du projet GIMP Authors: Jehan palm123 et Florent Zara Date: 2015年05月29日T10:35:35+02:00 License: CC By-SA Tags: gimp, sourceforge, malware, adware et firefox Score: 77 Souvenez-vous, en novembre 2013, [Gimp envoyait bouler Sourceforge](https://linuxfr.org/users/bassiste/journaux/gimp-envoie-bouler-sourceforge) suite aux dérives prublicitaires croissantes de ce dernier. Les fichiers d'installations pour la plate-forme Windows ont été déplacés sur le propre serveur de Gimp : [download.gimp.org](http://download.gimp.org). ![](http://i.imgur.com/M3irI0r.png) Cependant, comme un paquet de liens pointaient toujours sur SF, ils ont conservé cet espace pour ne pas les "casser". Les dérives continuant, l'histoire ne pouvait pas s'arrêter là. [Jehan](https://linuxfr.org/users/jehan), membre francophone du projet et LinuxFrisé, nous raconte la suite ci-dessous. ---- [Journal à l'origine de la dépêche](http://linuxfr.org/users/jehan/journaux/sourceforge-de-pire-en-pire-usurpation-d-identite-du-projet-gimp) [The Gimp](http://gimp.org) ---- ![eeek](http://www.gimp.org/images/news-icons/wilber-eeek.png) # Dans les épisodes précédents # ## Il y a bien longtemps ... ## Vous vous en rappelez peut-être, [GIMP](http://gimp.org) fut hébergé sur Sourceforge, il fut un temps, comme beaucoup de projets. Sourceforge était alors une référence pour l'hébergement de sources, binaires et même sites web de projets du Libre. Puis les choses ont changé. ## C'est alors que... la pub est arrivée! ## Sourceforge est d'abord devenu un nid à pub, c'est à dire vraiment multicolore, clignotant, et quand on clique, on n'est plus trop sûr si c'est sur l'interface du site ou sur une pub. Le pire est surtout de laisser passer toutes sortes de pubs, ce qui est en général le cas lorsque tout ce qui importe est dorénavant le revenu généré par la pub. Il y avait donc des pubs très répandues avec de gros boutons download verts/bleus/rouges, comme on en voit régulièrement sur les sites de logiciel pour le téléchargement. Sauf qu'on se retrouvait non pas à charger le logiciel voulu, mais quelque chose de tout autre (en général des malwares ou adwares). En tous les cas, c'était une forme d'arnaque, avec un but clair et malveillant de se faire passer pour partie de l'interface d'un site où on peut télécharger quelque chose, d'autant plus amplifié que Sourceforge fait attendre plusieurs secondes (avec décompte écrit en petit) pour lancer un téléchargement, laissant le visiteur insoupçonneux tout le temps pour cliquer sur une pub en forme de bouton de téléchargement (autrement ne comprenant pas pourquoi il ne commence pas). ![Pub Sourceforge](http://regmedia.co.uk/2013/11/08/sourceforge_scary_ads.jpg) Notez que nous avions régulièrement des rapports d'utilisateurs en colère sur les listes de diffusion qui avaient téléchargé quelque chose d'autre sur Sourceforge et étaient persuadés que GIMP en était la cause. ## ... puis les bundles... ## Puis sont venus les "bundles" de logiciels. Sourceforge s'est mis à remplacer les installeurs Windows par un installeur intermédiaire qui installe d'autres programmes (en plus du programme voulu). Ce fut la goutte d'eau qui a fait déborder le vase, et [GIMP a officiellement quitté Sourceforge avec fracas](http://www.theregister.co.uk/2013/11/08/gimp_dumps_sourceforge_over_dodgy_ads_and_installer/) pour s'auto-héberger. ## À la revoyure! ## Comme je disais, GIMP n'appréciait pas ces pratiques et nous avions décidé de quitter Sourceforge comme source principale de téléchargement du programme en novembre 2013. [Sourceforge a rapidement réagi](https://sourceforge.net/blog/advertising-bundling-community-and-criticism/), prétextant que tout cela n'était qu'un malentendu. Il se serait agi d'un pilote test pour un nouveau programme de rémunération des projets Libres, pour lequel le choix était laissé aux développeurs (_opt-in_). Sur son blog, Sourceforge avait alors dit verbatim:> This is a 100% opt-in program for the developer, and we want to reassure you that we will NEVER bundle offers with any project without the developers consent. ![Sourceforge blog screenshot](http://pix.toile-libre.org/upload/original/1432735294.png) Mais on était déjà (presque, comme on le verra) parti. # De nos jours # ## Promesses brisées ## Ce que je ne savais pas, c'est qu'on continuait à fournir une copie de l'installeur Windows (mais nous ne donnions dorénavant officiellement que le lien sur notre propre serveur) sur Sourceforge, pour la raison que trop de liens pointaient sur Sourceforge. Bien sûr, je pense personnellement que c'était une erreur. Nous aurions dû juste vider notre compte et mettre un gros texte en CAPS-LOCK du genre "_compte abandonné par l'équipe de GIMP, veuillez télécharger GIMP sur gimp.org_" (ou similaire). Mais passons, ce qui est fait est fait. Et voilà qu'hier, [sur la liste de diffusion, on nous prévient](https://mail.gnome.org/archives/gimp-developer-list/2015-May/msg00097.html) qu'en cliquant sur le lien **gimp-2.8.14-setup-1.exe** de 91.9 MB, Sourceforge lance un téléchargement d'un fichier avec exactement le même nom, de 730kb, qui n'est évidemment pas notre installeur officiel. ![Faux installeur Sourceforge](http://i.imgur.com/ImWKmHN.png) Et non, ce n'est pas en cliquant sur une pub cette fois, mais bien un bundle dont le téléchargement démarre en cliquant sur le vrai installeur, ce qu'ils avaient pourtant promis en Novembre 2013 de ne jamais faire. Je cite à nouveau: « we will NEVER bundle offers with any project without the developers consent ». Notez que la majuscule sur "NEVER" ("JAMAIS" pour ceux qui ne comprennent vraiment pas l'anglais) pour une emphase n'est **pas** de moi. C'est écrit tel quel sur le blog de Sourceforge, allez voir le lien donné plus haut. Il faut donc croire que leur parole n'a pas beaucoup de valeur. Je pense ceci dit que la raison est 2 paragraphes plus bas dans le même article de blog:> Having said that, we believe we should do more to make sure all our stakeholders are pleased with the program and how it works. Ah bah oui, si le but est de plaire aux actionnaires de la boîte, c'est sûr, là les promesses aux ~~projets du Libre~~ ~~clients~~ produits humains, hein... voilà quoi... ## Usurpation d'identité ## Mais cela ne s'arrête pas là! [Sourceforge a pris le contrôle de notre compte GIMP pour Windows](https://mail.gnome.org/archives/gimp-developer-list/2015-May/msg00098.html) avec le prétexte d'inactivité, alors que comme je l'expliquais, le compte n'était même pas inactif. On a des installeurs de septembre 2014, ce qui dans le monde du Libre n'est pas considéré comme projet inactif (beaucoup de projets font des mises à jour tous les ans ou 2 ans!). J'ai d'ailleurs encore un compte Sourceforge que je n'utilise presque jamais (c'est à dire désormais uniquement si j'ai besoin de faire un rapport de bug sur un projet qui utilise encore cette plateforme, ce qui doit arriver moins d'une fois pas an), et j'ai testé, il marche encore, bien que je ne l'ai pas utilisé depuis probablement plus longtemps. Je suis aussi avec des droits sur un projet qui n'a plus de mises à jour depuis 2012! Et pourtant ils prétextent que le projet GIMP était inactif? Forcément si on voit que GIMP sur Sourceforge fait encore plus de 6000 téléchargements par semaine, d'après le petit widget de statistiques sur le site, c'est une bonne vache à lait, je comprends que les actionnaires ne veuillent pas redonner la main pour grappiller des derniers sous. Et bien entendu, Sourceforge ne répond pas aux requêtes du mainteneur du paquetage de GIMP pour Windows, et de manière générale aux requêtes officielle du projet GIMP. En fait, en fouillant plus loin, quelqu'un s'est rendu compte que le projet GIMP sur Sourceforge appartient désormais à l'utilisateur _sf-editor1_ dont le nom complet, en cliquant dessus est "SourceForge Editorial Staff", avec une liste faramineuse de logiciels. On y trouve notamment [VLC, qui avait aussi quitté Sourceforge](https://blog.l0cal.com/2013/05/02/rethinking-vlc-mirrors-infrastructure/), et énormément de gros noms (Firefox, Apache, etc.). D'ailleurs c'est assez marrant, on peut lire que le projet GIMP a été modifié il y a deux minutes!! ![profile de sf-editor-1](http://i.imgur.com/U3wuRC5.png) Donc ils ignorent les messages, mais a priori ils réagissent. Peut-être essaient-ils de cacher toute trace du "délit" avant de répondre en jouant les innocents? # Et maintenant, on fait quoi? # ## Pour GIMP ## On discute cela en ce moment avec le reste de l'équipe GIMP, mais j'espère que ça ne finira pas en eau de boudin avec Sourceforge prétendant que c'était juste une fausse manip... ou autre erreur technique. Et surtout si cela arrive, je pousserai pour qu'on sorte complètement de Sourceforge, sans le garder en lien secondaire (et tant pis pour tous les liens existants qui seraient cassés! Les gens savent — ou peuvent apprendre à — utiliser un moteur de recherche !), qu'on demande à Sourceforge de ne plus nous lister (oui le Logiciel Libre autorise quiconque à faire un dépôt secondaire. D'ailleurs on a plusieurs personnes qui font leurs propres installeurs et on les liste même sur notre page officielle de téléchargement! Par contre cela n'autorise pas l'usurpation d'identité, ce qui est clairement ce que Sourceforge est en train de faire en reprenant un compte qui appartenait originellement au projet de base et en nous retirant le contrôle dessus), et qu'on fasse du bruit à ce propos. Certains pensent aussi qu'on pourrait peut-être demander à GNOME de nous épauler juridiquement si besoin, mais je ne sais pas s'il faut aller jusque là. Je ne suis pas juriste. Mais si certains pensent qu'il y a suffisamment légalement pour aller en choc frontal, je laisse faire les pros de la loi. ## Pour tous ## Dans tous les cas, conclusion de l'histoire? Il faut quitter Sourceforge! Si vous y êtes encore pour un projet, je ne saurais que trop vous conseiller de bouger vos données, de vider votre compte, et de juste y laisser un message avec un lien vers le nouvel hébergeur. En tous les cas, je disais justement que j'ai des droits sur un autre projet sur Sourceforge, et j'ai envoyé un message sur notre liste pour qu'on déménage. On verra si les mainteneurs seront d'accord pour bouger (puisque le projet est un peu endormi depuis quelques années). Ensuite si vous n'avez pas la possibilité ou l'envie de vous auto-héberger (ce que je peux tout à fait comprendre. Cela prend beaucoup de temps), je vous conseillerais d'aller chez un hébergeur non commercial. Je ne saurais que trop conseiller [TuxFamily](http://tuxfamily.org) qui est mon hébergeur préféré pour tous mes projets persos où je ne souhaite pas auto-héberger. Ils sont associatifs, français (perso je m'en fous complètement, mais je sais que c'est un plus pour certains), répondent rapidement et personnellement aux emails et questions. Sinon vous pouvez aller chez [Savannah GNU](http://savannah.gnu.org/) ou [Savannah Non-GNU](http://savannah.nongnu.org/). Les projets qui ont un rapport avec de l'intéropérabilité (oui c'est plutôt générique: des technologies de bureaux, de partage de données, etc.) peuvent demander à être hébergé par [FreeDesktop](http://www.freedesktop.org/wiki/). Bien sûr, vous pouvez aussi vous faire héberger par un projet chapeau, par exemple [GNOME](http://gnome.org) (qui héberge aussi des projets tiers, non "cœur", mais qui ont un rapport avec leurs technologies). Je ne connais pas bien [KDE](https://www.kde.org/), mais j'imagine qu'ils peuvent aussi héberger des projets amis. Etc. Mon propos n'est absolument pas d'aller sur Github ou autre silo d'entreprise. Github va bien en ce moment, mais c'était aussi le cas de Sourceforge, il y a pas mal d'années, et on voit où ils en sont de nos jours (un cimetière de projets qui essaie de grapiller des sous par ci par là avant le chant du cygne). Et y a encore pas si longtemps, je suis sûr que beaucoup auraient dit que Google Code aurait duré longtemps. [Au moins eux ont terminé honorablement, mais ils ont quand même fermé](http://linuxfr.org/users/haypo/journaux/fermeture-progressive-de-google-code). Bien sûr, rien ne dit qu'un hébergeur associatif ou un projet chapeau ne termineront pas mal non plus, mais le Logiciel Libre a tout de même prouvé être vachement résilient, bien plus que la plupart des boîtes. Et si ça finit mal, il y a beaucoup moins de chances que des contributeurs d'un projet avec une mission claire et précise fassent des conneries comparé à une bande de vautours-actionnaires. Alors... «_So Long, and Thanks for All the Fish_»?

AltStyle によって変換されたページ (->オリジナル) /