6 mois payés par une ville pour réparer une brique invisible d’Internet

Vous ouvrez un navigateur, une box internet ou une application qui échange des données : quelque part dans la pile, un petit programme lit du XML. Très souvent, c’est libexpat. Ce composant a été entretenu pendant dix ans par une seule personne, bénévolement. Depuis le 1er août 2026, cette personne est payée, et son employeur est une mairie.

Sebastian Pipping, mainteneur du projet, l’a annoncé sur son blog : il travaillera jusqu’à six mois sur libexpat dans le cadre du programme « Open Source Sabbatical » de la ville de Munich. Trois priorités sont posées noir sur blanc : corriger les cinq vulnérabilités connues et toujours non corrigées, ajouter la prise en charge de la cinquième édition de XML 1.0, puis renforcer la robustesse et la maintenabilité du code. L’une de ces failles a été remontée par Mozilla.

Ce que Munich achète, exactement

Ce n’est pas une subvention, c’est un contrat de travail. La page officielle du dispositif vise des développeurs expérimentés, de préférence déjà passés par des projets open source, et l’ouvre aux agents de la ville comme aux développeurs extérieurs. Pour ces derniers, la municipalité passe par digital@M, sa société informatique, sur un poste d’au moins six mois, avec un objectif affiché de 60 % du salaire habituel du candidat. La candidature tient dans un courriel à opensource@muenchen.de mentionnant le projet visé et la date de début souhaitée. Les candidatures de femmes sont explicitement encouragées.

Le sabbatique en est à son deuxième tour. Le premier, au premier semestre 2025, portait sur Integreat-Chat, un outil que la ville utilise directement. Le deuxième, au second semestre 2026, porte sur libexpat, que Munich n’a pas écrit et ne contrôle pas. C’est tout l’intérêt du montage : une collectivité finance une dépendance, pas un produit maison.

Une brique de 1997 que personne ne regarde

Concrètement, libexpat est une bibliothèque écrite en C99 qui analyse le XML en flux, c’est-à-dire au fil de la lecture, sans charger le document entier en mémoire. Le projet est né en 1997 et vit sous licence MIT. Sa fiche GitHub affiche plus de 90 % de couverture de tests, environ 1 400 étoiles et 526 forks. Elle affiche aussi une mention que peu de projets assument : le projet est en sous-effectif et sans financement.

Ce contraste résume la dette d’entretien du logiciel libre. Plus de 90 % de couverture de tests, c’est un niveau d’exigence que beaucoup de logiciels commerciaux n’atteignent jamais. Et pourtant cinq failles identifiées attendaient un correctif, faute de temps disponible. Une brique de ce type ne tombe pas en panne bruyamment : elle prend du retard, et ce retard voyage ensuite avec chaque logiciel qui embarque la bibliothèque. Le même angle mort explique qu’un incident puisse courir plusieurs jours avant sa détection tardive.

Après LiMux, un pari beaucoup plus petit

Munich a un passé chargé sur ce terrain. Lancé en 2004, le projet LiMux avait fait basculer les postes de travail municipaux vers Linux : plus de 15 000 PC sur environ 18 000 en octobre 2013, et 11,7 millions d’euros d’économies revendiquées par la ville, selon l’historique du projet. En novembre 2017, le conseil municipal votait le retour à Windows à l’horizon 2020. En mai 2020, nouveau virage : priorité aux standards ouverts quand c’est technologiquement et financièrement possible. En octobre 2024, un plan open source en cinq points dotait le bureau open source de la ville de 200 000 euros.

Le changement d’échelle saute aux yeux. LiMux voulait remplacer un système d’exploitation entier sur des milliers de postes. Le sabbatique paie une personne, six mois, sur un composant. Pour mesurer l’écart, nous avons croisé les trois documents publics du dossier : six mois payés autour de 60 % du salaire habituel, cinq vulnérabilités en attente sur une bibliothèque à plus de 90 % de couverture de tests, et 200 000 euros alloués en 2024 à l’ensemble du bureau open source municipal. Le budget d’un projet de migration, non. Le coût d’un développeur, oui.

La limite est évidente. Six mois ne créent pas un poste pérenne, et rien n’indique ce qui se passe une fois le contrat terminé. La ville reconnaît elle-même que les montages contractuels sont compliqués à mettre en place pour les profils extérieurs. Et un composant financé, c’est un composant sur les milliers que fait tourner n’importe quelle administration européenne, en France comme ailleurs.

Pour vous, rien ne changera visiblement. Les correctifs partiront dans une version de libexpat, qui descendra dans les distributions Linux, les navigateurs et les objets connectés, sans notification ni écran de mise à jour. C’est exactement ce qui rend ce travail invisible, donc difficile à financer. Si vous voulez savoir ce que vous embarquez déjà sans le savoir, commencez par regarder votre propre équipement.

Article créé en collaboration avec l’IA.