TL;DR
Relevé du 1er octobre 2026. 98 projets au catalogue, 90 vérifiés par une mesure ; 6 dépôts distants vides ; 18 projets en doublon (39 copies) ; 3 forks ; 31 répertoires à fichiers sensibles versionnés (~153 entrées, surtout des gabarits d'exemple) ; 0 point d'outillage exposé sans authentification ; 4 sous-domaines injoignables et 5 en erreur ; 4 noms canoniques à trancher. La leçon tient dans un mot : distinguer ce qu'on a mesuré de ce qu'on avait supposé.
Pourquoi compter, plutôt que se souvenir
Un inventaire, au départ, c'est une impression : on croit savoir ce qu'on possède. Elle est presque toujours fausse, dans les deux sens — on oublie des choses vivantes, on garde en tête des choses mortes.
J'ai donc arrêté de me fier à ma mémoire et lancé une campagne de mesure : non pas une réunion d'état des lieux, mais des commandes exécutées à une date donnée, au résultat écrit noir sur blanc. Chaque ligne de cet article est un constat daté du 1er octobre 2026, rejouable.
Les chiffres, tels quels
98 projets figurent au catalogue ; 90 sont vérifiés — pour eux, une mesure a confirmé l'existence, l'état ou la joignabilité. Les autres sont recensés mais non constatés, et je les laisse dans cet état plutôt que de compléter au jugé.
Les dépôts distants vides sont 6 : des emplacements créés un jour d'enthousiasme, jamais remplis. Ils ne cassent rien, mais polluent chaque recensement tant qu'on ne les distingue pas des projets réels.
Les doublons sont le poste le plus lourd : 18 projets existent en plusieurs copies sur le disque, soit 39 exemplaires au total. Certains sont des clones multiples du même dépôt, d'autres des copies de travail dont l'origine s'est perdue.
3 dépôts sont des forks — des copies d'un projet externe, conservées pour référence. Un fork n'est pas un projet maison : il ne se range pas au même endroit.
Puis vient le point sensible. 31 répertoires contiennent des fichiers sensibles versionnés — environ 153 entrées. La grande majorité sont des gabarits d'exemple (le fichier qui montre quelles variables renseigner, sans en contenir aucune). C'est la bonne pratique, et c'est rassurant : la mesure ne dit pas « 153 secrets sont exposés », elle dit « 31 répertoires où il faut vérifier qu'un exemple n'est pas devenu un vrai secret ». La nuance, c'est exactement ce que la mesure permet et que la rumeur ne sait pas faire.
La vue besoins : l'inventaire ne sert pas seulement à regarder en arrière, il produit la liste de ce qu'il reste à faire.
Côté outillage, le résultat est net : 0 point d'exposition sans authentification. Tous les points d'accès recensés demandent une clé. C'est le chiffre dont je suis le plus satisfait, parce qu'une seule faille de ce type aurait suffi à invalider le reste.
Côté surfaces publiques, en revanche, toutes ne répondent pas : 4 sous-domaines de service sont injoignables et 5 répondent en erreur (page absente). Attention au piège : « injoignable » ne veut pas dire « éteint ». Un service peut vivre sous un autre nom, derrière un autre routage. La mesure constate un état, pas une intention.
Enfin, 4 noms canoniques restent à trancher : des projets connus sous plusieurs appellations, dont je n'ai pas décidé la bonne. Je les garde ouverts : décider trop vite créerait une divergence de plus.
Ce que la mesure a démenti
Trois chiffres m'ont surpris, et c'est tout l'intérêt. Je croyais avoir quelques doublons : il y en a dix-huit projets, trente-neuf copies. Je croyais certains dépôts actifs : six sont vides. Je croyais la surface publique rangée : quatre sous-domaines ne répondent pas. À chaque fois, ma mémoire était fausse dans le sens flatteur — elle sous-estimait le désordre.
Il y a une raison simple à ces surprises, et une parade tout aussi simple. La règle que j'ai fini par m'imposer tient en une phrase : « inconnu » vaut mieux qu'une réponse inventée. Quand je ne sais pas si un projet est vivant, je ne le devine pas — je marque « non vérifié » et je poursuis. Un inventaire qui se remplit de suppositions polies devient un inventaire qui ment ; un inventaire qui admet ses trous reste utilisable, parce qu'il signale exactement où aller vérifier.
C'est le seul contredit qui vaille : non pas « tout est propre », mais « voilà ce qui est prouvé, voilà ce qui reste à prouver ». Un chiffre vérifié, daté, se rejoue ; une impression ne se rejoue pas.
La suite
Mesurer a transformé ma liste de souhaits en liste de faits. Ce qui reste devant n'est plus une question de volume — quatre-vingt-dix projets vérifiés, ce n'est pas énorme — mais une question d'hygiène : nommer les doublons sans en perdre un, trancher les quatre noms en attente, et surveiller que les gabarits d'exemple ne deviennent jamais autre chose que des exemples.
La suite : refaire la mesure à date fixe. Un inventaire n'est jamais vrai une fois pour toutes — il est vrai à une date, et c'est en le rejouant qu'on voit ce qui bouge, ce qui pourrit, et ce qui a discrètement ressuscité.