Contexte et méthodologie

L’étude, publiée sur Sheets.works sous le titre The People Holding Up the Internet, a examiné l’historique complet de 23 projets open source considérés comme fondamentaux pour les téléphones, navigateurs et serveurs. L’auteur a retenu les contributions réalisées entre le 7 octobre 2025 et le 7 octobre 2026, en excluant les merges et les bots. Tout contributeur ayant effectué au moins dix changements pendant cette période a été comptabilisé comme « contributeur régulier ». Le comptage a également cherché les financements publics (Sovereign Tech Agency, Alpha‑Omega, Open Collective, GitHub Sponsors) afin de distinguer les projets soutenus financièrement des projets purement bénévoles.

Projets à un ou deux contributeurs

Onze des vingt‑trois projets étudiés ne comptaient que un ou deux contributeurs réguliers. Parmi eux, xz était dominé à 97 % par Lasse Collin en 2025, tandis que Jia Tan, intervenant depuis 2023, a réalisé 304 changements contre 172 de Collin. En février 2024, une porte dérobée a été introduite dans les versions liblzma d’un composant de xz, découverte par Andres Freund (Microsoft) le 29 mars grâce à une consommation anormale de CPU lors de connexions SSH. Le projet n’a reçu aucun financement public après cet incident, à l’inverse d’OpenSSL après Heartbleed.

Le Time Zone Database (tzdata) repose presque exclusivement sur Paul Eggert (UCLA) qui a effectué 218 des 251 changements de l’année écoulée, le reste étant attribué à Tim Parenti (28 changements). Eggert, coordinateur officiel depuis 2012, a désigné Parenti comme suppléant en 2020 pour pallier un éventuel départ. Le projet a fait l’objet d’un litige en 2011 lorsqu’une société d’astrologie a réclamé des droits sur une partie de la base de données ; l’EFF a défendu les mainteneurs et le cas a été abandonné en 2012. Aucun financement public n’a été identifié pour tzdata.

sudo représente le cas le mieux financé parmi les projets à un seul contributeur. Todd C. Miller a réalisé 5 408 des 5 409 changements entre 2008 et 2018. En février 2026, il a publié une demande de sponsor, ce qui a conduit à un financement via Open Collective d’environ 61 700 USD par an et à 30 contributeurs sur GitHub Sponsors.

Le shell Bash est maintenu par Chet Ramey depuis les débuts des années 1990, en parallèle de son poste à la Case Western Reserve University. Ramey apparaît sur chaque modification de l’historique public, y compris les correctifs du bug Shellshock découvert en 2014, qui avait affecté des centaines de millions de machines pendant plus de deux décennies.

Financement, risques et limites

Le contraste entre sudo (financement public visible) et xz ou tzdata (absence de financement) illustre la dépendance de l’infrastructure numérique à des bénévoles isolés. Les incidents de sécurité – porte dérobée dans xz, Shellshock dans Bash – montrent que la concentration de connaissances entre peu de personnes augmente le risque de vulnérabilités non détectées ou de retards de correction. Le modèle de comptage, basé sur le seuil de dix changements, exclut les contributeurs effectuant de petites corrections mais critiques, ainsi que les contributions indirectes via des forks ou des revues de code. De plus, les financements privés non déclarés (employeurs, contrats) ne sont pas pris en compte, ce qui peut sous‑estimer le soutien réel de certains projets.

Implications pour l’écosystème open source

Ces résultats soulignent la fragilité de la chaîne d’approvisionnement logicielle lorsqu’une poignée d’individus porte la charge de composants omniprésents. La visibilité accrue des besoins de financement, comme le montre le cas de sudo, pourrait inciter les organisations à établir des programmes de soutien plus structurés. En parallèle, la communauté pourrait envisager des mécanismes de redondance – par exemple, la désignation officielle de suppléants – afin de réduire la dépendance à un seul mainteneur et d’atténuer les impacts potentiels d’une interruption de contribution.