WAX Conf 2025

Dev, cloud & sécu24 juin 2025Aix-en-Provence, thecamp, 550 rue Denis Papin5e édition

Thème : Cloud native, cybersécurité, numérique responsable (100 % REX)

Site archivé (nouvel onglet) ↗Programme (nouvel onglet) ↗Chaîne YouTube (nouvel onglet) ↗Synthèse de juin 2025 →

Environ 500 visiteurs annoncés, 18 conférences de 45 minutes (30 min de talk + 15 min de questions) réparties entre un amphi de 170 places et des salles de 80 places, organisées par Les Filles & Les Garçons de la Tech (FGTECH). La même année se tenait aussi la 9e et dernière édition connue du DevOps D-Day (30 janvier 2025, Orange Vélodrome, CFP https://conference-hall.io/devops-dday-2025), non créée séparément ; ensuite devopsdday.com redirige vers waxconf.fr et WAX s'installe au Vélodrome en 2026. À la clôture, l'édition 2026 était annoncée pour fin juin (« jeudi 25 juin 2026 » dans une salle, « 30 juin » dans une autre) ; elle a finalement été déplacée au Vélodrome.

Une journée 100 % retours d'expérience où l'on industrialise à l'échelle (2 000 clusters Kubernetes, 400 projets CI/CD, 200 applications OpenShift), où l'on mesure l'empreinte du cloud avant de la réduire, et où l'IA générative apparaît outillée et encadrée (assistant de code maison, revue de code par agent, transcription Whisper) plutôt que magique.

18 sessions résumées · 18 vidéos · mise à jour le samedi 3 octobre 2026 · synthèse à compléter

Sources lues et limites de cette synthèse

Corpus : Programme officiel archivé (Wayback Machine, waxconf.fr juillet 2025, 18 conférences avec descriptifs), page Conference Hall du CFP, les 18 vidéos de la playlist « WAX CONF 2025 » de la chaîne YouTube FGTECH (publiées les 7 et 8 juillet 2025) avec leurs transcripts automatiques, et un compte-rendu publié par Squad Group en octobre 2025.

Limites : Aucun post LinkedIn ni article de participant n'a été trouvé : la synthèse décrit surtout ce qui a été dit sur scène, pas ce qu'en a retenu le public (seules les questions-réponses filmées donnent un écho de la salle). Transcripts automatiques bruités (noms d'outils et d'entreprises corrigés quand c'était évident) ; le talk IDP, mi-anglais mi-français, n'a qu'un transcript anglais partiel. Biais de corpus : les speakers parlent de leurs propres projets, souvent sous l'angle de la réussite.

Synthèse globale

1. Industrialiser à l'échelle, sans réinventer la roue

Le fil rouge le plus net de la journée est le passage de l'artisanal à l'industriel. Rachid Zarouali vise des flottes de clusters Kubernetes pilotées par Cluster API ; Sébastien Longo raconte l'unification de 400 projets d'Enedis sur une seule usine GitLab CI ; l'équipe d'Airbus Helicopters (Gérard, Tritz, Boullier) remplace des scripts Python par du GitOps (Tekton, Argo CD, opérateurs Go) pour plus de 200 applications. Point commun : des briques standard et déclaratives, choisies pour la réversibilité (Zarouali) ou parce que les équipes les utilisaient déjà (Longo), plutôt qu'un outil maison. Le compte-rendu de Squad Group retient d'ailleurs ce thème comme question centrale de l'édition : standardiser et automatiser pour rendre les architectures gouvernables à l'échelle.

2. La plateforme comme produit, l'adoption comme mesure du succès

Plusieurs talks mesurent la réussite d'une plateforme à son adoption, pas à sa technique. Placide est jugée sur le nombre de projets embarqués et d'usines « shadow IT » fermées ; la documentation y est « partie du produit » et les templates sont ouverts en inner source (Longo). Engin Diri et Alexandre Nédélec listent les anti-patterns d'une plateforme interne : trop restrictive, sur-abstraite, sourde au feedback, portée par une équipe éphémère. Mélissa Pinon et Paul Vulliemin (Coder) rappellent le revers : une plateforme demande des compétences pour être maintenue, et « si un devcontainer suffit, n'allez pas plus loin ».

3. Mesurer l'empreinte du cloud avant de la réduire

Trois talks se répondent sur le numérique responsable. Elise Auvray (Scaleway) et Guillaume Michalag (Exoscale) racontent la construction de leurs calculatrices d'impact sur la même base, le PCR cloud de l'ADEME, avec les mêmes difficultés : allocation sur une infrastructure mutualisée, données constructeurs absentes, pas de standard entre fournisseurs. Leur message converge : la zone et la mutualisation pèsent bien plus que l'optimisation du code (facteur 16 entre Paris et Varsovie). Arthur Kuehn ramène le sujet au parc existant d'une DSI : un éco-score simple, des applications inutilisées à éteindre, et un projet rentable en moins de six mois. Le numérique responsable y est présenté comme compatible avec la réduction des coûts, voire porté par elle.

4. L'IA générative, outillée et encadrée

L'IA est présente, mais sous forme de retours d'expérience prudents plutôt que de promesses. Rafik Ferroukh décrit cinq mois de POC avant de retenir un assistant de code auto-hébergé, et une dépréciation de modèles qui a failli tout remettre en cause. Kenza Barnier et Oussama Abai montrent un agent de revue de code qui « n'est pas magique » et suppose une relecture humaine. Arnaud Hurel déploie Whisper pour M6 et avoue un partage de GPU qui a mélangé des transcriptions en production. Laurent Grangeau insiste sur les biais et le RGPD dans le recrutement. Côté plateformes, Engin Diri pousse l'idée d'IDP agentiques, avec des golden paths écrits comme des prompts système, et Airbus utilise déjà un LLM pour générer des fichiers de configuration.

5. Sécurité : se préparer, prioriser, surveiller en continu

Deux talks traitent la sécurité comme une affaire d'organisation autant que d'outils. Jean-Pierre Gil et Cyril Bouissou montrent comment un DDoS a servi de diversion à un rançongiciel, et insistent sur la préparation de la crise (cellule, rôles, sauvegardes vérifiées) pour limiter les biais de décision. Elisa Degobert, à partir de Log4Shell, plaide pour une surveillance continue des dépendances (Dependency-Track, SBOM) et une priorisation par probabilité d'exploitation plutôt que par seule criticité. Paul Pinault ajoute la vision d'un développeur indépendant : quand il y a de la valeur à gratter, même « pour 10 centimes », quelqu'un essaiera.

6. Tensions et critiques

  • Scepticisme sur l'IA dans le code : dans la salle, un participant estime que générer des tests unitaires par IA revient à ne pas en faire, d'autres demandent un coût financier et écologique que les speakers n'ont pas calculé (revue de code par agent). Les speakers eux-mêmes décrivent une adoption « contrastée » entre juniors et seniors.
  • Sécurité des architectures centralisées : un participant raconte le refus de Cluster API par son RSSI, le cluster de pilotage devenant une cible et un domaine de panne uniques.
  • Organisation et frameworks : Renaud Deconde critique durement SAFe tel qu'il l'a vécu, alors que Placide et Airbus évoluent dans des DSI organisées en SAFe.
  • Comparabilité des mesures carbone : sans méthodologie imposée, comparer les fournisseurs revient à comparer « des choux et des carottes » (Auvray).
  • Lecture critique du corpus : seul compte-rendu externe trouvé, le texte de Squad Group présente comme chiffre client un exemple d'attaque que les speakers donnaient comme simple illustration.

7. Format et vie de l'événement

WAX reste fidèle à son format « 100 % retours d'expérience » de 45 minutes, questions comprises, et la plupart des talks racontent un projet réel avec ses chiffres et ses erreurs (démo PyTorch ratée assumée chez Olea Medical, rollback du partage de GPU chez M6). Plusieurs speakers sont des habitués (troisième WAX pour Zarouali, suite du talk Tekton de 2023 pour Airbus) ou des consultants de l'organisateur FGTECH. Le talk IA et recrutement, porté en solo après une absence, est le plus descriptif de la journée. Les 18 vidéos ont été publiées deux semaines après l'événement. Biais du corpus : aucun retour de participant public n'a été trouvé ; cette synthèse reflète ce que les speakers ont dit et ce que la salle a demandé, pas l'accueil réel des talks.

Actions concrètes citées

  1. Pour une refonte, refuser le big bang : strangler fig pattern, nouvelle API à côté de l'ancienne, mise en production d'un « Hello World » dès le jour 3, suivi du décommissionnement par point d'entrée (Wegerich : 161 mises en production en 640 jours).
  2. Une plateforme interne se juge à son adoption : choisir l'outil déjà plébiscité par les développeurs, penser l'onboarding dès la conception, ouvrir les templates en inner source et traiter la documentation comme partie du produit (Placide : 400 projets, la moitié embarqués avec la seule doc).
  3. Le premier levier carbone du cloud est le choix de la zone (PUE et mix électrique : 0,065 kg CO2/kWh à Paris contre 1 kg à Varsovie), puis la mutualisation et le dimensionnement ; l'optimisation logicielle vient après (Auvray, Scaleway).
  4. Sur un parc existant, commencer simple : inventaire, score maison, priorisation impact × gain / effort ; éteindre les applications inutilisées rend le projet rentable en moins de six mois (Kuehn, REX Groupama).
  5. Pour piloter des dizaines ou des milliers de clusters, passer au déclaratif avec Cluster API, ClusterClass et control planes en pods (Kamaji, k0smotron), en gardant la réversibilité entre fournisseurs (Zarouali).
  6. Une crise cyber se prépare avant : sauvegardes vérifiées, cellule de crise et rôles définis à l'avance, documentation hors SI, priorités métier explicites ; un DDoS peut servir de diversion à un rançongiciel (Gil et Bouissou).
  7. Un assistant de code IA se choisit sur des cas d'usage précis, avec un POC long, des testeurs dédiés et une formation au prompting, jugé « 80 % du résultat » (Ferroukh, Harvest).
  8. Une revue de code par agent IA donne un premier retour instantané mais reste un point de départ : petites merge requests, prompt itératif, relecture humaine obligatoire (Barnier et Abai).
  9. Dependency-Track transforme l'inventaire SBOM en surveillance continue et priorise les vulnérabilités par CVSS et EPSS ; à très grande échelle, prévoir sa limite de scalabilité (Degobert).
  10. Organiser les équipes tech : pas d'organisation parfaite, décentraliser les décisions opérationnelles, simplifier sans cesse, et ne pas promouvoir le meilleur tech lead manager malgré lui (Deconde).

Session par session

Mardi 24 juin

Conférence▶ vidéo + transcript

Déploiement de clusters Kub à grande échelle, quels outils utiliser et comment ?

Rachid Zarouali — consultant indépendant

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène, conférence d'ouverture de la journée : plus d'une centaine de distributions Kubernetes certifiées existent ; le speaker conseille de ne pas commencer par le managé/SaaS mais par des distributions légères (k3s, k0s, kind, minikube) pour monter en compétence, avant de choisir entre interne, offre packagée (OpenShift, Tanzu) ou cloud.
  • Réversibilité technologique au premier plan (recommandation ANSSI citée) : se méfier du vendor lock-in et du « software lock-in » des outils qui masquent la complexité.
  • Limites de l'IaC classique pour des flottes de clusters : code à réécrire par fournisseur, gestion des states Terraform, Ansible « fire and forget » qui peut casser un etcd.
  • Cluster API comme réponse : spécification déclarative pilotée par Kubernetes, ClusterClass pour cloner des dizaines de clusters, gestion du drift (un nœud mort est remplacé), montées de version automatisées. Le REX vise « tu pars déjeuner, quand tu reviens 2 000 clusters sont montés » après un simple commit.
  • Control planes en pods (k0smotron, ou Kamaji) pour supprimer les VM de contrôle qui « 9 fois sur 10 ne font pas grand-chose » ; démo de 5 clusters puis montée de version 1.31 vers 1.33 sans intervention.
  • Questions de la salle : un participant raconte un refus de Cluster API par son RSSI (cluster de pilotage = cible unique, domaine de panne) ; réponse : durcissement (Kyverno, Gatekeeper), sauvegardes etcd et plusieurs clusters de gestion via le CAPI Operator.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Agentic AI : Et si c'était l'IA qui faisait ta code review ?

Kenza Barnier — FGTECH, Oussama Abai

  • Sur scène : un bot de revue de code branché sur GitLab. Un webhook de merge request déclenche un workflow n8n, qui extrait le diff, construit un prompt et interroge Codestral (Mistral) ; le résultat (acceptation ou rejet, score, recommandations, snippets, tests unitaires manquants) est posté en commentaire de la MR.
  • Mémoire des revues précédentes pour éviter de renvoyer tout le contexte, appel au modèle fichier par fichier (le multi-fichiers était mal géré au début).
  • Gains annoncés : retour quasi instantané, charge mentale réduite, retours standardisés et traçables, règles d'équipe appliquées à tous.
  • Limites assumées : hallucinations et faux négatifs, relecture humaine indispensable, coût en tokens proportionnel à la taille des MR, latence aux heures de pointe, vue limitée au diff, adoption « contrastée » (juniors enthousiastes, seniors sceptiques).
  • Ce qu'ils ont appris : le prompt « n'est pas magique », il se travaille en continu ; la solution suppose des petites MR.
  • Débat dans la salle : un participant juge que générer des tests unitaires par IA revient à ne pas en faire ; d'autres demandent le coût financier et écologique comparé à SonarQube ou GitLab Duo, non encore calculé. Testé pour l'instant en interne par une seule développeuse.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Développeur dans un écosystème blockchain, quelques défis à surmonter

Paul Pinault

  • Sur scène : REX d'un développeur indépendant (le soir et le week-end) qui fournit des services autour du réseau IoT LoRaWAN décentralisé Helium (environ 900 000 antennes déployées dans le monde).
  • ETL de la preuve de couverture : environ 3 000 événements par seconde à absorber, l'équivalent annoncé de 240 millions de pages web par jour. L'ancienne base PostgreSQL de 12 To mettait trois semaines à se remettre d'une panne.
  • Nouvelle architecture Java + MongoDB shardé, tout l'état des 500 000 hotspots en mémoire (environ 25 Go) avec flush asynchrone toutes les 15 minutes : de 300 à 10 000 beacons par minute. Le tout sur un serveur de 2012 remis à niveau, environ 375 € par mois contre 600 € pour acheter les données.
  • Anecdote d'exploitation : un swap fantôme causé par un paramètre de limite mémoire ignoré par Docker Compose ; « mettez des messages clairs ».
  • Sécurité : fraudes « pour 10 centimes » (bug Stripe sur le taux de change sans devise, comptes robots, paquets facturés mais rejetés, création puis suppression immédiate d'objets), d'où contrôles de cohérence facturé/refacturé et application des CGV.
  • Leçons sur la communauté : vision court terme liée au cours du token, conflit autour d'une licence open source avec prix plancher, d'où une version community limitée.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

La méthode simple pour réduire la consommation énergétique de votre parc applicatif

Arthur Kuehn

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : environ 70 % du numérique en entreprise est hérité ; l'enjeu n'est pas seulement l'écoconception du neuf mais l'existant. La fabrication représente environ 80 % de l'impact du numérique.
  • Méthode en boucle : mesurer (Scaphandre, Cloud Carbon Footprint, EcoIndex, Prometheus), prioriser (impact environnemental × gains de coût / complexité, pondérable selon la stratégie), réduire, recommencer. Pas besoin d'un équivalent CO2 parfait : un score maison stable suffit, à ne pas changer tous les trois jours pour garder l'historique.
  • Leviers concrets : éteindre les applications et crons inutiles, autoscaling et extinction la nuit, archiver données et logs, pagination et requêtes ciblées, mode production, dépendances mortes (Knip), décommissionner les fonctionnalités inutilisées.
  • REX chez G2S (Groupama Support et Services) : un éco-score de A à G par application calculé depuis Thanos, Prometheus, vROps et ServiceNow, avec tableau de bord et simulateur de redimensionnement ; projet rentable en moins de six mois, surtout grâce à l'arrêt d'applications inutilisées.
  • Questions : les gains indirects (maintenance) et l'impact de l'IA n'ont pas été mesurés ; garder un vieux serveur ou le remplacer dépend d'un point de bascule non chiffré.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Développe sur un toaster grâce à Coder

Mélissa Pinon — Sopra Steria, Paul Vulliemin — Sopra Steria

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : un pôle d'environ 200 personnes sondé : builds de 15 minutes en moyenne (jusqu'à 30 sur le legacy), installations de poste manuelles à 98 %, environnements hétérogènes signalés par 43 % des répondants.
  • Choix des Cloud Development Environments et de Coder (on-premise, sur Kubernetes RKE2, templates en Terraform déjà maîtrisé) face à CodeCanvas (environ 50 € par mois et par utilisateur), Gitpod et Eclipse Che. Fonctions de la version gratuite suffisantes pour quelques dizaines d'utilisateurs, pas forcément pour des centaines.
  • Démo : template Terraform, paramètres exposés en interface, workspace avec IntelliJ et VS Code distants, MongoDB par développeur via Helm, namespace par utilisateur.
  • Résultats : installation de poste ramenée de 2 ou 3 jours à environ 1 jour, builds de 10-15 min à 5 min, jusqu'à 30 min à 5 min sur un projet legacy, moins de crashs d'IDE.
  • Points de vigilance : dépendance au réseau, limiter les workspaces parallèles et faire le ménage, effort de création et de maintenance des templates et images, compétences Docker et Unix à accompagner. Et « deux PC » : si des scripts ou un devcontainer suffisent, n'allez pas plus loin.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

IA et Recrutement : un match parfait ou une partie de cache-cache avec les biais ?

Laurent Grangeau — Google, Magali De Labareyre — OVHcloud (absente)

  • Sur scène, en solo : Magali De Labareyre, talent acquisition manager chez OVHcloud, n'a pas pu venir, la partie recrutement est donc portée par Laurent Grangeau.
  • Usages de l'IA en RH passés en revue : analyse et indexation de CV, sourcing, relances et planification automatiques, comptes-rendus d'entretien générés, chatbot RH, détection d'épuisement ou de hauts potentiels, analyse des émotions en entretien vidéo.
  • Biais : l'outil de tri de CV d'Amazon abandonné car il reproduisait ses données d'entraînement ; « les algorithmes ne sont pas neutres » (Cathy O'Neil). Le RH de l'époque refusait d'automatiser : « dans RH il y a H ».
  • Cadre : RGPD (consentement, finalité, minimisation, anonymisation), analyse d'impact, IA explicable, alternative humaine si le candidat refuse, gouvernance éthique, pilote avant déploiement.
  • Questions : pas de protection aujourd'hui contre l'injection de prompt cachée dans un CV (texte blanc sur blanc), d'où la supervision humaine ; une participante craint des profils de plus en plus homogènes, le speaker rappelle le rôle de la diversité.
  • Lecture critique : talk surtout descriptif, plus proche du panorama que du retour d'expérience promis par le format WAX.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Placide, ou comment fédérer plus de 400 projets sur une CI/CD uniformisée et en adéquation avec la démarche SRE d'un grand opérateur énergétique français

Sébastien Longo — Klanik

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : l'opérateur nommé est Enedis. Après plusieurs années de transformation agile (SAFe), la DSI veut des infrastructures « aussi agiles que les développeurs » ; environ 300 développeurs internes et 200 externes, et des usines logicielles « shadow IT » éparpillées.
  • Dialogue compétitif d'environ un an et demi (maquettes, POC) remporté par Klanik en groupement avec Ippon : architecture validée en trois mois.
  • Solution volontairement standard : GitLab CI (l'outil le plus utilisé par les équipes existantes, un coup de chance), runners CI sur Kubernetes, runners CD séparés par zone réseau, instance on-premise et instance AWS, intégration à Artifactory, Sonar, Checkmarx et Vault ; empreinte minimale sur le SI.
  • Facteurs de succès : déranger le moins possible les développeurs, penser l'onboarding dès le début, « la documentation fait partie du produit », templates de jobs en inner source ouverts aux DevOps des équipes produit.
  • Chiffres : environ 400 projets embarqués fin 2024, plus d'un million de builds par mois on-premise, 10 à 15 projets accostés par mois, la moitié en autonomie avec la seule doc, satisfaction entre 8,5 et 9,5 sur 10, deux grosses usines shadow IT fermées. Une troisième instance est prévue en 2026 sur le réseau industriel isolé.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Internal Developer Platforms : Choisir la bonne voie pour votre organisation

Engin Diri — Pulumi, Alexandre Nédélec

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène, talk bilingue (anglais pour Engin Diri, français pour Alexandre Nédélec) ; seul le transcript anglais est exploitable.
  • IDP ≠ IDP : le portail développeur (Backstage) n'est qu'une interface d'une plateforme interne plus large ; référence au modèle de capacités du groupe de travail plateforme de la CNCF, qui ne prescrit aucun outil.
  • Bonnes pratiques : golden paths versionnés avec notes de version, observabilité intégrée au portail, sécurité et gouvernance validées une fois pour le golden path plutôt que projet par projet.
  • Anti-patterns : plateforme trop restrictive (prévoir des « escape hatches » non supportées), sur-abstraction, ignorer le feedback, ne pas traiter la plateforme comme un produit, équipe éphémère qui abandonne la plateforme après adoption.
  • Build ou buy (Backstage, Port, Pulumi Cloud) : démo du framework open source CNOE (idpbuilder, Argo CD, Backstage, Keycloak). Position « osée » du speaker : les IDP deviendront agentiques, avec des golden paths sous forme de prompts système.
  • Démarrer : partir des besoins communs, livrer vite une valeur visible à des équipes amies, mesurer l'impact (fréquence de déploiement, satisfaction).
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Surmonter les défis de la mesure de l'impact environnemental du cloud

Elise Auvray — Scaleway

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : le numérique pèse environ 4 % des émissions mondiales, en forte hausse avec l'IA (Google +48 % d'émissions en 2024, Microsoft près de +30 %).
  • Trois difficultés pour bâtir la calculatrice d'empreinte de Scaleway : allouer l'impact sur des infrastructures mutualisées, absence de méthodologie standard entre fournisseurs, absence de données des constructeurs (parc reconditionné avec des serveurs de plus de 10 ans).
  • Méthode : PCR cloud de l'ADEME, scopes 1 à 3 (plus de 80 % en scope 3), eau incluse, courbe consommation/CPU par modèle de processeur, données Boavizta. Estimations au catalogue et rapports mensuels carbone et eau, pour les serveurs dédiés puis les VM.
  • Leviers par ordre d'importance : la zone (0,065 kg CO2/kWh à Paris 2 contre 1 kg à Varsovie, soit un facteur 16), la mutualisation (VM 2,5 fois moins impactante qu'un dédié comparable ; 20 à 50 % de gain annoncé du Kubernetes au serverless selon des études), le dimensionnement, puis le logiciel, dont l'effet est bien plus faible dans une zone peu carbonée.
  • Questions : RAM et disques pas encore comptés, documentation des formules publique, changements de comportement clients encore impossibles à mesurer, comparaison entre fournisseurs « des choux et des carottes » faute de standard.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Refonte technique : la formule magique pour ne plus en souffrir

Mickael Wegerich — freelance

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : « il n'y a pas de silver bullet ». Contexte : une application B2B de planning en production, rentable, dont une nouvelle fonctionnalité devient trop difficile à implémenter après deux ans. Son sondage (une centaine de réponses) : le coût d'ajout d'une fonctionnalité déclenche 35 % des refontes et sert d'argument dans 45 % des cas.
  • Pas de big bang : refonte au fil de l'eau, en continuant à livrer fonctionnalités et correctifs ; « ralentir aujourd'hui pour accélérer demain », sans deadline, grâce à une relation de confiance et à des mises en production fréquentes.
  • Strangler fig pattern : nouvelle API (V6) dans un nouveau dépôt, en TypeScript avec DDD, monolithe modulaire, CQRS et événements ciblés, code métier en français ; synchronisation par triggers SQL dans un sens et projections d'événements dans l'autre. « Le projet sera plus crade pendant la refonte ».
  • Pratiques : environ 80 % du temps en mob programming, trunk-based avec environnement par branche pour recetter le seul ticket, livraison à la demande, no estimate, « bureau des Ops » en visio ouverte toute la journée.
  • Chiffres : premier « Hello World » en production trois jours après le démarrage (juillet 2020), 161 mises en production en 640 jours, environ 5 jours entre demande et production, une cinquantaine d'endpoints décommissionnés en deux ans, peu de bugs majeurs. Débat sur le financement : la mission était en régie, la question du coût ne s'est pas posée.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Déploiement d'une solution open-source de Speech-to-Text sur AWS

Arnaud Hurel — Devoteam

  • Sur scène : service de transcription interne pour les applications du groupe M6 (DAM, journalistes, documentalistes) ; la transcription alimente ensuite des LLM (métadonnées, contenus marketing, recherche, repérage de séquences, correction des noms propres).
  • Arbitrage entre service tiers, API SaaS (Whisper d'OpenAI, Transcribe) et open source selon coût, gouvernance des données, performance et facilité de déploiement : choix de WhisperX pour la qualité et pour garder les données chez M6.
  • Architecture : S3, SQS, Airflow, tâche ECS sur GPU (g5.xlarge préférées aux g4dn, deux fois plus rapides pour deux fois le prix), modèles copiés dans S3, API avec URL présignée, DynamoDB pour le statut, Athena et Power BI pour le suivi, identification des locuteurs par embeddings dans Aurora pgvector (au moins 15 secondes de voix).
  • Résultats : ratio de 0,08 au-delà de 30 minutes (45 minutes transcrites en 3), sous l'objectif métier de 0,15 ; démarrage à froid de 2 minutes (image de 7 Go). Plus de 1 000 heures transcrites par mois en mai 2025, nettement moins cher qu'un service tiers à environ 5 dollars de l'heure, ROI complet encore à calculer.
  • Erreur assumée : le partage de GPU entre tâches a mélangé des transcriptions en production, d'où un rollback. Faiblesses persistantes sur l'arabe dialectal et les noms propres.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

La recette d'un IA Coding Assistant fait maison !

Rafik Ferroukh — Harvest

  • Sur scène : chez Harvest (logiciels de gestion de patrimoine), un POC en deux phases de septembre 2024 à février 2025, avec 15 puis 10 testeurs (développeurs, architectes, QA) et des cas d'usage écrits avant de choisir, l'autocomplétion en tête.
  • Critères : flexibilité des modèles, intégration IDE, confidentialité (pouvoir rester en réseau local), suivi de l'adoption et des coûts. GitHub Copilot écarté, finale entre Continue.dev (plus riche) et TabbyML (auto-hébergé, statistiques d'équipe), Tabby retenu.
  • Imprévu : OpenAI puis Azure OpenAI ont déprécié leurs modèles d'autocomplétion juste après la décision ; un essai de proxy vers Bedrock a été abandonné, retour à Azure OpenAI hébergé en Europe.
  • Aujourd'hui plus de 50 développeurs l'utilisent, RAG nourri de dépôts GitHub et GitLab internes et de documentation, ateliers d'accompagnement de deux heures.
  • Règles d'or : définir les cas d'usage, raisonner en ROI plutôt qu'en coût, collecter du feedback, commencer avec un seul outil, et le prompting, « 80 % du résultat ». Regrets : ne pas avoir formé tout le monde à l'IA avant, ni impliqué plus tôt les équipes DevOps.
  • « Réussir à intégrer l'IA, c'est réussir à en prendre le contrôle. »
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Automatiser l'Analyse du Cycle de Vie pour le Cloud : l'innovation de CloudAssess et les défis des données environnementales

Guillaume Michalag — Exoscale

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène, par le RSSI d'Exoscale, qui a piloté sa calculatrice d'impact en écho direct au talk de Scaleway du matin. Pourquoi mesurer : la CSRD, même indirectement, car les clients qui y sont soumis demanderont l'impact des services achetés.
  • ACV ou bilan carbone : l'ACV est multicritère et porte sur un produit ; elle seule permet d'approcher le scope 3. Le PCR cloud de l'ADEME (janvier 2023, V2 en 2025) a été testé en action collective par Exoscale, Scaleway, Orange, OVH et AWS.
  • LCA as code : outils classiques trop manuels pour un cloud dynamique, d'où le DSL LCA as Code et CloudAssess, service open source qui embarque le PCR sous forme exécutable, déployable en interne pour garder l'inventaire confidentiel.
  • Données : consommation électrique (IPMI peu fiable, mieux vaut les relevés par baie de l'hébergeur), usage client précis (il a fallu ajouter la localisation aux données de facturation), inventaire NetBox et impact par équipement via Resilio DB (15 critères) ou Boavizta (gratuit, 3 critères), mix électrique via l'API Electricity Maps.
  • Message : ce qui a pris trois ans à Exoscale serait faisable en environ trois mois aujourd'hui. Rapport mensuel aux clients, ambition d'un calcul horaire.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Go Go Go (for ArgoCD, Golang, Golive)

Damien Gérard — Airbus Helicopters, François Tritz — Airbus Helicopters, Thomas Boullier — FGTECH

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : la plateforme OpenShift d'Airbus Helicopters (depuis 2018, équipe de 3 ou 4 personnes) est passée d'une dizaine à plus de 200 applications, soit environ 800 services ; les scripts Python de création d'applications ne tenaient plus.
  • Suite du talk WAX 2023 sur la migration de Jenkins vers Tekton. Pourquoi pas GitLab CI : un test d'intrusion avait permis une élévation de privilèges et un mouvement latéral dans le cluster.
  • GitOps : charts Helm de référence (CI Tekton et environnements), Argo CD en app of apps, opérateurs maison en Go pour configurer GitLab, Mattermost, SonarQube et Vault comme des ressources Kubernetes, secrets via External Secrets ; un LLM interne aide à générer les fichiers values.
  • Résultats : déploiement d'une application ramené d'une demi-journée à 20-30 minutes, une centaine de pipelines migrés en un mois avec Jenkins et Tekton en parallèle. Un participant témoigne : une verticale de 25 applications mise en production en moins d'un mois au lieu de six.
  • Mise en garde du product owner de la plateforme : en GitOps, une mauvaise synchronisation peut tout supprimer d'un coup, c'est arrivé une fois.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Réconciliez-vous avec la sécurité et surmontez ses défis avec Dependency-Track !

Elisa Degobert

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : REX de l'équipe qui maintenait la forge logicielle de Worldline, à partir de Log4Shell (décembre 2021) : « plus de 800 000 attaques en 72 heures », et encore plus de 10 % de versions vulnérables téléchargées en 2024 selon la speaker.
  • Dependency-Track (projet OWASP) : on lui envoie un SBOM CycloneDX par un simple curl en CI, il retrouve en quelques clics les projets touchés, affiche le graphe de dépendances et réanalyse chaque jour même les applications qui ne sont plus développées, avec notifications (mail, Slack, Jira).
  • Prioriser : croiser CVSS et EPSS (probabilité d'exploitation), tracer les décisions d'audit, définir des policies (licences, composants interdits). Worldline avait ajouté un échec de pipeline sur vulnérabilité critique et une décoration des merge requests GitLab.
  • Complémentarité : Dependency-Check donne un rapport ponctuel avec plus de faux positifs, Dependabot corrige mais ne surveille pas.
  • Run : outil devenu obligatoire, des milliers de projets, analyse quotidienne qui finit par dépasser 24 heures, d'où l'attente de Hyades, son successeur scalable basé sur Kafka. Les branches ne sont pas gérées, il faut nettoyer les versions inactives.
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Vous arrivez à organiser correctement les équipes Tech vous ?

Renaud Deconde — SaaS Office

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène, l'un des derniers talks de la journée, salle pleine pour un sujet « pas tech » : un manager de plus de 20 ans d'expérience (Orange, DSI d'ESN, aujourd'hui chief engineer d'une start-up passée de 7 à 54 personnes en un an).
  • Pas d'organisation parfaite (typologie de Mintzberg) : elle dépend de la taille, des métiers, des gens et surtout de la culture. Méthode : modéliser l'activité en couches, repérer les grands workflows, poser un cadre (Manifeste agile, Scrum Guide 2020 et ses équipes « autogérées »).
  • Toute organisation crée des silos : il faut les rendre poreux, pas les nier. Décentraliser les décisions opérationnelles, laisser les gens changer d'équipe en informant, transparence sur les contraintes (budget, recrutements).
  • Management : servant leader exigeant, « ne pas confondre complaisance et bienveillance », feedback permanent, droit à l'erreur et devoir de correction ; ne pas nommer manager le meilleur tech lead s'il n'en a pas envie.
  • Simplifier et mesurer : de 6 à 3 équipes, « l'automatisation sans la culture, c'est produire de la merde plus vite ».
  • Questions : les équipes transverses doivent être reliées à un produit et connaître leurs clients ; le speaker se dit très critique envers SAFe tel qu'il l'a vécu, « trop politique ».
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

Le Graal : survivre aux Pythons sur l'île de Java

Philippe Peter — Olea Medical, Virgil Calvez — Olea Medical, Nicolas Muller — Olea Medical

  • Sur scène : Olea Medical (imagerie médicale, filiale de Canon Medical) a une base de code Java d'environ un million de lignes, des algorithmes C/C++ en JNI et des « serveurs Python » pour les algorithmes de son équipe recherche ; toute réécriture coûte cher en certification FDA. Sujet de R&D confié à un stagiaire de l'école 42.
  • GraalVM native : sur une conversion DICOM vers JPEG, l'exécutable natif démarre plus vite et consomme environ 50 % de CPU et de RAM en moins, mais le JIT reprend l'avantage sur de gros volumes ; la PGO rapproche les performances et réduit le binaire (70 à 50 Mo). JavaFX passe via Gluon, avec des limites sous Windows et macOS.
  • GraalPy : Python dans Java, compilé en natif. Jeu de la vie jusqu'à 25 fois plus rapide que CPython après un démarrage de contexte d'environ 20 secondes, exécutable autonome de 800 Mo ; interopérabilité par interfaces Java et duck typing. Le stagiaire a fait accepter un patch de compatibilité GraalPy dans la bibliothèque ITK.
  • Honnêteté de démo : la segmentation PyTorch appelée depuis Java n'affichait pas de résultat, bug trouvé la veille et non masqué.
  • Bilan : prometteur en conteneur et en serverless, pas une silver bullet ; compiler GraalPy en natif demande au moins 20 Go de RAM et plusieurs heures (6 heures pour PyTorch).
Voir sur YouTube (nouvel onglet) ↗

Conférence▶ vidéo + transcript

De l'urgence à la résilience : retour d'expérience sur la sécurisation d'un site e-commerce après une attaque DDoS

Jean-Pierre Gil, Cyril Bouissou — Cloudflare

Retours : Blog Squad Group (compte-rendu, octobre 2025)

  • Sur scène : un intégrateur réseau et sécurité aixois et Cloudflare racontent l'attaque d'un transporteur maritime méditerranéen (plus de 3 millions de passagers par an, 85 % du chiffre d'affaires en ligne).
  • Chronologie : phishing Office 365 très bien fait, intrusion silencieuse par l'accès distant, puis DDoS d'une à deux semaines revendiqué par le groupe prorusse NoName057, préjudice estimé entre 900 000 et 1 million d'euros. Le DDoS servait de diversion : le lundi suivant, le SI était chiffré. Rançon demandée d'un million d'euros, non payée, données exfiltrées publiées.
  • Décider en crise : biais d'ancrage, effet tunnel, stress. Il a fallu 48 heures pour monter la cellule de crise ; d'où la préparation : sauvegardes vérifiées saines, rôles définis, documentation hors SI, priorités métier, plan de communication.
  • Anti-DDoS : l'équipement périmétrique sature le lien, le scrubbing hybride met 5 à 10 minutes à basculer ; réponse cloud anycast avec listes d'IP malveillantes, score de bot, challenges, empreintes JA3 et JA4, rate limiting et cache. Sur l'exemple présenté (41 millions de requêtes en 7 minutes, aucune IP au-delà de 230 requêtes), le blocage par IP ne fonctionne plus, notamment à cause des proxys résidentiels.
  • Suites : MFA, segmentation puis microsegmentation, EDR managé, corrélation de signaux faibles, ZTNA à la place du VPN.
  • Note de lecture : le compte-rendu Squad Group présente les 41 millions de requêtes comme des requêtes bloquées chez le client ; sur scène, il s'agit d'un exemple au profil similaire, « pas les chiffres exacts » du client.
Voir sur YouTube (nouvel onglet) ↗

Sources