Changement d’heure : votre smartphone dépend d’un fichier maintenu par une poignée de bénévoles

Quand votre smartphone change d’heure, quelqu’un a travaillé dans l’ombre

Dimanche 25 octobre 2026, à 3 heures du matin, il sera de nouveau 2 heures en France métropolitaine. Votre smartphone effectuera normalement la manipulation tout seul, comme votre ordinateur, votre tablette et une bonne partie des appareils connectés de la maison. Pendant ce temps, quelques réveils un peu anciens continueront probablement à sonner à la mauvaise heure, mais c'est une autre histoire.

Derrière cette opération apparemment simple se cache une base de données mondiale qui recense les règles des fuseaux horaires. Elle permet aux systèmes informatiques de connaître l'heure applicable dans chaque région, en tenant compte des décisions politiques, des changements saisonniers et des particularités locales. Le site officiel Service-Public rappelle les modalités du passage à l'heure d'hiver, mais ce sont des composants logiciels beaucoup moins visibles qui permettent à nos appareils d'appliquer correctement ces règles.

Le plus surprenant, c'est que l'un des rouages essentiels de cette mécanique mondiale repose en grande partie sur un enseignant de l'université de Californie à Los Angeles.

Il s'appelle Paul Eggert, il coordonne la base de données des fuseaux horaires depuis 2012 et il participe à sa maintenance pendant son temps libre. Autrement dit, une infrastructure utilisée par plusieurs milliards de téléphones dépend largement du travail d'une personne dont ce n'est même pas l'activité professionnelle principale.

Ce constat figure dans une enquête publiée par The Data Drop, qui s'est intéressée aux personnes faisant réellement fonctionner les logiciels open source les plus utilisés au monde. Et lorsqu'on regarde les chiffres de plus près, Paul Eggert est loin d'être un cas isolé.

Le fichier qui permet à quatre milliards de téléphones de rester à l’heure

Cette base de données possède un nom assez peu vendeur : IANA Time Zone Database, également appelée tzdb ou tzdata. Elle rassemble les informations permettant de convertir une date et une heure en heure locale, en fonction du pays et des règles applicables à une période donnée. On la retrouve directement ou indirectement dans de nombreux systèmes, bibliothèques et applications.

L'enquête de The Data Drop estime qu'au moins quatre milliards de smartphones Android et iPhone s'appuient sur ces données. Et encore, ce chiffre ne tient pas compte des serveurs, des ordinateurs ou des innombrables équipements connectés qui utilisent également cette infrastructure. La base elle-même est maintenue par une petite communauté, avec Paul Eggert comme principal coordinateur et contributeur. Sur les 251 modifications recensées au cours de la période étudiée, 218 lui sont attribuées, contre 28 pour Tim Parenti.

Le travail ne consiste pas simplement à avancer ou reculer une horloge deux fois par an. Les gouvernements modifient régulièrement leurs règles horaires, parfois avec très peu de préavis. Les logiciels doivent alors intégrer ces décisions et les distribuer suffisamment rapidement pour éviter des erreurs dans les calendriers, les réservations, les transactions ou les systèmes informatiques.

Dernier exemple en date : le 29 septembre 2026, l'IANA a publié la version 2026e de sa base de données afin de prendre en compte la décision du Manitoba, au Canada, de conserver un décalage horaire permanent de cinq heures par rapport à UTC. La documentation officielle de l'IANA confirme cette modification et les ajustements nécessaires.

Évidemment, Paul Eggert ne décide pas personnellement de l'heure affichée sur chaque téléphone. Les fabricants et éditeurs de systèmes doivent intégrer puis distribuer les mises à jour. Mais son travail et celui des autres contributeurs constituent une pièce essentielle de cette chaîne.

Et c'est précisément ce qui rend la situation aussi fascinante : nos infrastructures numériques semblent gigantesques, industrielles et parfaitement organisées, alors que certaines de leurs fondations restent étonnamment artisanales.

Onze projets sur vingt-trois reposent sur une ou deux personnes

Pour comprendre l'ampleur du phénomène, The Data Drop a étudié l'historique public de 23 projets open source particulièrement importants. Les auteurs ont analysé les contributions effectuées entre le 7 octobre 2025 et le 7 octobre 2026, en excluant les robots et les opérations de fusion de code. Ils ont ensuite comptabilisé les personnes ayant réalisé au moins dix modifications pendant cette période.

Le résultat mérite qu'on s'y arrête : 11 des 23 projets examinés ne comptaient qu'une ou deux personnes atteignant ce seuil d'activité régulière. Cela ne signifie pas que personne d'autre ne participe à leur développement, ni que cette proportion s'applique à tous les logiciels libres. Il s'agit d'un échantillon de composants sélectionnés pour leur importance, avec une méthode permettant de mesurer la concentration des contributions.

Infographie GeekParadize réalisée à partir des données de The Data Drop, octobre 2026.

Parmi les exemples étudiés, on retrouve Bash, l'interpréteur de commandes utilisé sur Linux et d'autres systèmes Unix, mais aussi zlib, qui intervient dans la compression des données, et libjpeg-turbo, qui participe au traitement des images JPEG. HarfBuzz, indispensable au rendu correct des caractères de nombreuses langues, fait également partie de ces briques logicielles largement utilisées.

Prenons libjpeg-turbo. Vous ne connaissez probablement pas ce nom, mais cette bibliothèque se trouve notamment derrière le décodage d'images dans Android et plusieurs navigateurs. Selon les données compilées par l'enquête, son principal développeur, connu sous les initiales DRC, a réalisé environ 98 % des modifications sur la période étudiée. Voilà une quantité de travail considérable pour un composant que des millions de personnes utilisent quotidiennement sans jamais connaître son existence.

Il existe heureusement des contre-exemples. SQLite, la célèbre base de données embarquée dans quantité d'applications, bénéficie d'une petite équipe professionnelle et d'un modèle économique reposant notamment sur le support commercial. Le projet curl, utilisé pour transférer des données sur Internet, dispose également de plusieurs contributeurs réguliers et de différentes sources de financement.

Le problème n'est donc pas intrinsèque au logiciel libre. Il tient plutôt aux moyens dont disposent certains projets par rapport à leur importance réelle.

Des composants indispensables, mais pas toujours de quoi payer leur maintenance

C'est probablement l'aspect le plus dérangeant de cette enquête. Des entreprises qui réalisent des milliards de dollars de chiffre d'affaires utilisent quotidiennement des logiciels libres dont certaines parties sont entretenues par des bénévoles ou de très petites équipes.

Le modèle open source permet à chacun d'étudier, de modifier et de redistribuer du code selon les conditions de sa licence. Mais il ne garantit évidemment pas que quelqu'un sera rémunéré pour corriger les bugs, traiter les alertes de sécurité ou assurer la compatibilité avec les nouvelles plateformes.

The Data Drop met ainsi en évidence de fortes différences de financement. Plusieurs projets bénéficient de subventions importantes, notamment grâce à la Sovereign Tech Agency allemande, qui a soutenu OpenSSL, OpenSSH, FFmpeg ou encore curl. D'autres ne disposent d'aucune subvention publique identifiable dans les programmes et plateformes examinés. Cela ne veut pas dire qu'ils ne reçoivent jamais d'argent, mais simplement que leurs ressources sont parfois difficiles à établir.

L'histoire de libxml2 illustre également les difficultés du modèle. Cette bibliothèque sert à lire et manipuler des fichiers XML, un format présent dans d'innombrables logiciels. Le 15 septembre 2025, son mainteneur Nick Wellnhofer avait annoncé sur le forum GNOME qu'il abandonnait cette responsabilité, laissant temporairement le projet sans véritable responsable principal. De nouveaux mainteneurs ont finalement pris le relais en décembre.

La transmission s'est donc organisée, mais cet épisode rappelle qu'une bibliothèque largement déployée peut traverser une période d'incertitude simplement parce qu'une personne décide, légitimement, de passer à autre chose.

Après tout, maintenir un logiciel libre ne constitue pas une obligation à vie.

Le précédent xz a montré jusqu'où pouvait aller le problème

Cette concentration des responsabilités peut également avoir des conséquences en matière de cybersécurité. Le cas le plus marquant reste celui de xz Utils, un outil de compression présent dans de nombreux environnements Linux.

En mars 2024, une porte dérobée particulièrement sophistiquée avait été découverte dans des versions récentes du projet. L'attaque reposait sur une infiltration progressive de son développement, au cours de laquelle un contributeur avait gagné la confiance de l'équipe avant d'introduire du code malveillant. Heureusement, le problème avait été identifié avant une diffusion généralisée dans les principales distributions stables.

L'affaire avait mis en lumière les risques auxquels peuvent être exposés des mainteneurs isolés, parfois surchargés et contraints de déléguer une partie de leur travail. L'enquête de The Data Drop revient sur le rôle de Lasse Collin, mainteneur historique de xz, et sur la manière dont un contributeur malveillant avait progressivement obtenu davantage de responsabilités.

Il serait néanmoins excessif d'affirmer qu'un projet entretenu par une seule personne est automatiquement vulnérable, ou que le manque de financement explique à lui seul l'attaque contre xz. Des équipes importantes peuvent elles aussi commettre des erreurs de sécurité. Ce que montre cet incident, c'est surtout qu'une dépendance critique mérite une gouvernance, des vérifications et une capacité de remplacement adaptées à son importance.

Et la situation ne devient pas nécessairement plus simple avec l'arrivée des assistants de programmation utilisant l'intelligence artificielle.

Le 20 octobre 2026, la Linux Foundation a publié une nouvelle étude montrant que les outils d'IA peuvent accélérer le travail des développeurs, mais qu'ils entraînent également davantage de contributions à examiner. D'après les estimations recueillies auprès des personnes interrogées, environ un quart des demandes de modification reçues seraient de faible qualité et assimilables à de l'« AI slop ». Ce chiffre reflète une perception issue de l'enquête, et non un audit exhaustif de toutes les contributions open source.

Autrement dit, les outils permettant de produire davantage de code ne résolvent pas automatiquement le problème du nombre de personnes disponibles pour vérifier ce code.

L'open source a besoin d'autre chose que de remerciements

Il existe heureusement des initiatives destinées à améliorer la situation. La Sovereign Tech Agency en Allemagne, les programmes de financement de la Linux Foundation et différentes plateformes de mécénat permettent déjà de rémunérer des mainteneurs ou de financer des audits de sécurité.

Mais ces dispositifs ne couvrent pas l'ensemble des besoins. Certains composants sont tellement discrets que les entreprises qui les utilisent ignorent parfois jusqu'au nom des personnes responsables de leur maintenance. Et lorsqu'un projet fonctionne parfaitement depuis vingt ans, il devient facile d'oublier que cette stabilité repose sur un travail permanent.

Il faudrait probablement commencer par considérer la maintenance comme une composante essentielle du coût d'un logiciel. Une entreprise capable de financer plusieurs dizaines de développeurs pour construire un service pourrait aussi consacrer une fraction de son budget aux bibliothèques sur lesquelles ce service repose.

Il ne s'agit pas forcément de transformer chaque projet communautaire en petite entreprise. Certains développeurs souhaitent conserver leur indépendance, d'autres préfèrent contribuer pendant leur temps libre. En revanche, leur donner les moyens de financer des audits, de recruter de nouveaux participants ou de préparer leur succession pourrait limiter les situations dans lesquelles tout repose sur une seule personne.

Le logiciel libre constitue l'une des plus grandes réussites collectives de l'informatique moderne. Il permet à de petites équipes de bâtir des produits complexes sans réinventer chaque composant, favorise l'interopérabilité et évite que toutes les infrastructures numériques appartiennent à quelques fournisseurs privés. Mais cette réussite possède un coût humain qu'il serait temps de rendre plus visible.

Dimanche matin, pensez à ceux qui font tourner les horloges

Dans la nuit du 24 au 25 octobre, nos appareils devraient donc passer tranquillement à l'heure d'hiver. Certains continueront de fonctionner grâce à des mises à jour publiées plusieurs semaines auparavant, d'autres utiliseront des règles horaires déjà intégrées depuis longtemps. Pour la majorité des utilisateurs, le changement passera totalement inaperçu.

C'est précisément le signe que ces infrastructures fonctionnent bien. On ne pense jamais à une bibliothèque de compression lorsqu'une image s'affiche correctement, pas plus qu'on ne remercie un développeur inconnu lorsqu'un rendez-vous apparaît à la bonne heure dans son calendrier.

L'enquête de The Data Drop permet pourtant de regarder ces outils autrement. Derrière chaque navigateur, chaque smartphone et chaque serveur se trouvent parfois des composants dont la maintenance dépend beaucoup plus de la persévérance de quelques personnes que de gigantesques organisations.

Le constat n'appelle pas à se méfier de l'open source. Il devrait plutôt nous inciter à reconnaître sa valeur et à mieux soutenir les personnes qui le font vivre.

Dimanche matin, lorsque votre téléphone affichera automatiquement la bonne heure, vous saurez qu'il ne s'agit pas simplement d'une fonction parmi d'autres. Quelque part, des développeurs ont passé du temps à vérifier que les règles nécessaires étaient correctes et accessibles à votre système.

Et franchement, ils méritent bien qu'on leur accorde une petite minute.