Contexte et déclaration de l'auteur
L'auteur du logiciel XScreenSaver, connu sous le pseudonyme jwz, affirme explicitement ne pas disposer d'un dépôt public sur GitHub ou toute autre plateforme de versionnage. Cette affirmation constitue le point de départ de l'analyse : aucune référence officielle ne pointe vers un référentiel partagé, contrairement à la pratique courante dans la plupart des projets open source.
Méthode de distribution des sources
Selon l'auteur, les versions du logiciel sont uniquement diffusées sous forme d'archives tar hébergées sur le site web officiel de XScreenSaver. Aucun mécanisme de push automatisé, de pull request ou de suivi de tickets n'est mentionné. Les contributions sont acceptées exclusivement par courriel, ce qui implique un processus de révision manuel et asynchrone.
Conséquences pour la communauté et la sécurité
Cette absence de dépôt public a plusieurs implications mesurables. Premièrement, l'auditabilité du code source dépend entièrement de la disponibilité des archives tar ; il n'existe pas d'historique de commits, de diff ou de métadonnées de contribution. Deuxièmement, la traçabilité des changements est réduite, ce qui complique la détection d'éventuelles vulnérabilités introduites entre deux versions. Enfin, la confiance accordée aux utilisateurs repose sur la réputation de l'auteur plutôt que sur un processus de revue communautaire transparent.
Alternatives et bonnes pratiques
Dans un écosystème où la plupart des projets open source utilisent des plateformes comme GitHub, GitLab ou Bitbucket, l'absence de tel référentiel constitue une déviation notable. Les bonnes pratiques recommandent la mise à disposition d'un historique complet des commits, la gestion des issues via un tracker intégré, et la possibilité de forker le projet pour tester des correctifs. L'auteur indique toutefois que les modifications peuvent être soumises par email, ce qui reste fonctionnel mais moins efficace pour la collaboration à grande échelle. Les utilisateurs qui rencontrent des dépôts tiers non officiels sont invités à les ignorer, car ils ne sont pas liés à l'auteur et ne bénéficient d'aucune garantie d'authenticité.
