Éclair 1.10.3 : premier audit de sécurité, 15 failles corrigées
Actualités
Par Thierry Gustin
Publié le
Mis à jour le
6 min de lecture
Sommaire
- Qu’est-ce qui change avec Éclair 1.10.3 ?
- Comment l’audit a-t-il été mené ?
- Quelles failles ont été corrigées ?
- Qu’est-ce qui change dans ton administration ?
- Que corrigeait la 1.10.2, sortie la veille ?
- Comment passer à Éclair 1.10.3 ?
- Où lire le rapport d’audit complet ?
- Questions fréquentes sur Éclair 1.10.3
Éclair 1.10.3, sortie le 3 novembre 2026, corrige tout ce qu’a trouvé le premier audit de sécurité complet du code d’Éclair : 15 failles confirmées, dont 3 moyennes, aucune critique ni haute, et 8 pistes qui dépendaient du serveur ou du navigateur. Tout est corrigé dans le code. Si ton site tourne en 1.10, la mise à jour se fait en un clic.
Qu’est-ce qui change avec Éclair 1.10.3 ?
| Point | Ce qu’il faut retenir |
|---|---|
| Audit n° 1 | Tout le code de la 1.10.2 relu par 86 agents, 50 zones couvertes |
| Failles confirmées | 15 : 3 moyennes, 12 basses, 0 haute, 0 critique |
| Pistes à valider | 8, liées à l’hébergement ou au navigateur, toutes fermées dans le code |
| Durcissements | Plus de 50 recommandations de l’audit appliquées |
| Vérifications automatiques | De 620 à 918, avec un vrai passage de 1.10.2 à 1.10.3 testé depuis GitHub |
| Archive | 619 Ko (602 Ko en 1.10.2) |
| Ton site public | Inchangé : les pages publiées restent identiques, octet pour octet |
Les corrections viennent après la 1.10.2, sortie la veille, que je te présente plus bas. Le rapport complet de l’audit est en ligne : il est en anglais, au format PDF, et compte 18 pages.
Comment l’audit a-t-il été mené ?
L’audit suit la méthode publique security-audit de Cloudflare. Elle découpe le logiciel en zones à couvrir, puis lance des vagues d’agents « chasseurs » indépendants. Chaque piste trouvée est ensuite revérifiée par d’autres agents, qui ne l’ont pas vue naître, avant d’entrer dans le rapport. Une piste finit confirmée, à valider, ou rejetée.
Pour la 1.10.2, cela donne :
- 86 agents : 4 pour la reconnaissance, 22 chasseurs en 5 vagues, 6 critiques de couverture et 54 vérificateurs ;
- 50 zones couvertes, et une dernière revue qui n’a trouvé aucun trou ;
- 24 constats finaux : 15 failles confirmées, 8 pistes à valider, 1 piste rejetée.
Tout s’est fait en lisant le code et en le testant en local, dans un bac à sable isolé par le système : aucun accès au réseau, des données et des clés factices, et aucun site réel sondé. Ton site n’a donc jamais servi de terrain d’essai.
L’audit conclut que le code est défensif dans l’ensemble : la cryptographie, la signature des mises à jour, le nettoyage des contenus, les sessions et la protection des formulaires tiennent sur la plupart de leurs chemins.
Quelles failles ont été corrigées ?
Les trois failles moyennes, d’abord :
- Les boutons de déconnexion « Déconnecter mes autres appareils » et « Déconnecter tout le monde » renouvelaient sans le vouloir la confirmation du mot de passe. Ce n’est plus le cas.
- Les redirections réservées : un rédacteur ne peut plus rediriger les adresses
/.well-known/ni les adresses internes/_eclair/. Celles qui existaient sont désactivées, et tu peux les supprimer. Un administrateur peut toujours rediriger d’autres adresses/.well-known/, commechange-password. - Un plafond pour les contenus : un site garde au plus 3 000 contenus, l’IA arrête de créer des brouillons à 500, et l’index de recherche ne garde que le texte publié, jusqu’à 16 Mo. Tes contenus existants restent toujours modifiables.
Les 12 failles basses touchent surtout des copies dérivées et des limites qui ne tenaient pas leur promesse. Un compte supprimé disparaît désormais du cache des pages. Une sauvegarde ne contient plus jamais le coffre (clés d’API, connexion Google Drive), même avec un réglage mal écrit. Les limites d’envoi du formulaire de contact et du connecteur MCP sont maintenant strictes. Enfin, les annonces de mise à jour portent un numéro et une date d’expiration signés.
Les 8 pistes dépendaient d’un fait impossible à observer hors ligne, comme le comportement d’un hébergeur. Elles sont pourtant toutes fermées dans le code. Le rapport ne donne aucun détail d’exploitation : pour chaque point, il dit ce qui n’allait pas et comment c’est corrigé.
Qu’est-ce qui change dans ton administration ?
La plupart des corrections sont invisibles. Quelques-unes changent tes gestes :
- 🔒 Double authentification : pour changer de téléphone, désactive la 2FA avec ton mot de passe actuel, puis réactive-la. Cela se fait dans Mon profil.
- 🔑 Appareils habituels : après la mise à jour, chaque appareil redevient « habituel » à sa prochaine connexion réussie.
- ☁️ Google Drive : une connexion faite avant la 1.10.3 est signalée. Déconnecte-la puis reconnecte-la, pour qu’Éclair note qui l’a créée.
- 🤖 Connecteur MCP : une app autre que Claude ou ChatGPT demande toujours ton mot de passe, et le bouton Autoriser s’active après un court instant, une fois que tu bouges la souris ou touches l’écran.
- ✍️ Éditeur : la copie locale de ton travail non enregistré appartient au compte connecté et s’efface à la déconnexion.
- 💾 Formulaire de contact : une fois atteints les 100 messages par jour pour tout le site, il refuse tout le monde pendant 24 heures.
Si tu utilises Nginx, mets à jour tes règles avec le guide : media/ ne sert plus de fichiers .js ni .mjs.
Que corrigeait la 1.10.2, sortie la veille ?
La 1.10.2, sortie le 2 novembre 2026, réglait deux problèmes concrets.
- L’antivirus d’o2switch bloquait l’archive dans le gestionnaire de fichiers. C’était un faux positif sur le code de la mise à jour en un clic. Les opérations sur les fichiers vivent maintenant dans une petite classe à part, et un test vérifie qu’aucun fichier livré ne reproduit la séquence suspecte. Ton site ne voit aucune différence.
- Google Drive s’ouvre à chaque site. La connexion comptait sur des identifiants Google intégrés à l’archive, jamais configurés : la carte restait fermée. Chaque site peut désormais utiliser sa propre app Google. Sécurité › Sauvegardes sur Google Drive te guide pas à pas (gratuit, une dizaine de minutes, une seule fois), puis tu colles l’ID client et le code secret. Le secret est chiffré sur ton serveur.
Comment passer à Éclair 1.10.3 ?
Depuis la 1.10.0 ou plus, la mise à jour se fait dans l’administration :
- Si plusieurs comptes travaillent sur ton site, enregistre les modifications en cours : les copies non enregistrées de la 1.10.2 ne sont pas gardées.
- Fais une sauvegarde : Télécharger une sauvegarde, ou une sauvegarde sur Google Drive.
- Ouvre Administration › Mises à jour, coche la case de sauvegarde, puis clique sur Mettre à jour.
La mise à jour installe la dernière version disponible, qui contient ces corrections. Tu es en 1.9 ou avant ? Passe par FTP une dernière fois, avec l’archive de la page Télécharger et le guide Mettre à jour, sauvegarder, déménager.
Où lire le rapport d’audit complet ?
Le rapport complet est en anglais, au format PDF, sur 18 pages. Il décrit la méthode, le bac à sable, chaque faille avec sa correction, et les limites de l’exercice. Il couvre aussi le second audit, mené sur la 1.10.3, et la version 1.10.4 qui l’a suivi : lis l’article sur Éclair 1.10.4.
Télécharger le rapport d’audit (PDF en anglais, 18 pages)
Le rapport reste honnête sur ses limites : il ne prétend pas qu’Éclair est sans défaut. Le détail des protections est aussi expliqué dans la sécurité d’Éclair, et toutes les versions sont dans le journal des modifications.
Questions fréquentes sur Éclair 1.10.3
Mon site a-t-il été attaqué ?
L’audit ne porte pas sur ton site : il a examiné le code source d’Éclair, dans un bac à sable, avec des données factices, et aucun site réel n’a été sondé. Les failles qu’il a trouvées sont corrigées dans la 1.10.3.
Dois-je installer Éclair 1.10.3 tout de suite ?
Oui, c’est une version de sécurité. Fais une sauvegarde, puis ouvre Administration › Mises à jour : la dernière version contient ces corrections. Si plusieurs comptes travaillent sur ton site, enregistre d’abord les modifications en cours.
Où trouver le rapport d’audit, et dans quelle langue est-il ?
Le rapport est en anglais, en PDF de 18 pages. Tu le télécharges à l’adresse /assets/site/eclair-cms-security-report-2026-11.pdf. Il ne contient aucun détail d’exploitation.
Que dois-je faire pour Google Drive ?
Si tu l’as connecté avant la 1.10.3, la page Sécurité le signale : déconnecte-le, puis reconnecte-le. Éclair note alors qui a créé la connexion, et la retire si ce compte est supprimé ou perd son rôle d’administrateur.
Combien coûte cette mise à jour ?
Rien : Éclair reste gratuit, sous licence libre AGPL-3.0, et la mise à jour n’utilise pas l’IA. L’archive pèse 619 Ko, et ton site public reste identique.
À lire aussi
Éclair 2.3 et Eclair Export 1.1 : migrer de WordPress devient facile
Éclair 2.3 et Eclair Export 1.1 migrent un site WordPress en un seul transfert : une clé, un clic, sans téléchargement ni FTP. Schémas et guide pas à pas.
Le noyau Éclair 2.0 et ses 57 skills : des fonctions à la carte
Pourquoi Éclair 2.0 garde un noyau léger et confie le reste à 57 skills : avantages, fondations, ce qui marche déjà, limites et création de tes skills.
Éclair 2.0 : un noyau léger, des skills et l’import WordPress
Éclair 2.0 est sorti : thème protégé des mises à jour, fonctions optionnelles, import WordPress automatique et fondations des skills. La vision et le détail.