La Sovereign Tech Agency allemande investit 508 640 euros dans Flatpak sur deux ans, avec des travaux qui courent jusqu'à la fin 2027. L'argent achète du temps d'ingénierie sur la couche des portails, la partie de Flatpak qui décide de ce qu'une application empaquetée peut atteindre sur la machine hôte. Quatre nouveaux portails sont prévus : audio via PipeWire, restrictions de portée et de ports réseau, gestion des connexions VPN calquée sur les interfaces Android et iOS, et aide à la rédaction pour la correction orthographique et grammaticale. Deux briques structurantes les accompagnent : les entitlements pour déclarer des permissions statiques, et les intents pour déclarer les services offerts.
The short answer
La Sovereign Tech Agency allemande met 508 640 euros dans Flatpak sur deux ans, avec une livraison courant jusqu'à la fin 2027. L'argent finance la couche des portails : nouveaux portails audio via PipeWire, portée et ports réseau, gestion des connexions VPN calquée sur les interfaces Android et iOS, et aide à la rédaction pour la correction orthographique et grammaticale, le remplissage automatique des mots de passe restant au stade de la conception. Deux briques structurantes accompagnent le tout, les entitlements pour déclarer des permissions statiques et les intents pour déclarer les services offerts, plus la maintenance des portails existants.
Un demi million d'euros n'est pas un chiffre marquant dans une année d'annonces de centres de données en gigawatts. Dépensé sur la plomberie des portails, que personne ne vend, il va plus loin que la plupart d'entre elles.
Où va l'argent
La subvention est de 508 640 euros venant du Sovereign Tech Fund, étalés sur deux ans et attendus pour la fin 2027. Elle est co-organisée par le Modal Collective, avec Para-Real Ltd. comme organisation de soutien, et rémunère un groupe de prestataires nommés qui travaillent déjà dans l'espace des portails et de GNOME plutôt qu'une équipe créée pour l'occasion.
Le travail se concentre sur les portails, ce qui est le bon endroit où dépenser de l'argent sur Flatpak. Un portail est l'interface médiée entre une application empaquetée et l'hôte : l'application demande, un service extérieur au bac à sable décide, et l'utilisateur voit une boîte de dialogue que l'application ne peut pas contrefaire. Tout ce que Flatpak affirme sur la limitation de ce qu'une application peut atteindre passe en définitive par cette couche.
Les quatre nouveaux portails
Le portail audio est celui qui pèse le plus immédiatement en pratique. Aujourd'hui, une application qui a besoin de son reçoit en général un accès large au socket PipeWire, ce qui est grossier. Le travail financé couvre les permissions du socket et la politique WirePlumber pour que cet accès puisse être délimité, et ajoute une gestion des permissions autour. Si vous vous êtes déjà demandé pourquoi un Flatpak avec accès au microphone est une chose plus brutale qu'une permission de téléphone, c'est cet écart qui se referme.
Le portail réseau introduit des permissions statiques pour des portées et des ports précis. C'est un déplacement significatif pour l'empaquetage bureautique, car l'accès réseau est aujourd'hui presque binaire : l'application l'a ou ne l'a pas. Pouvoir déclarer qu'une application parle à une imprimante sur le segment local et à rien d'autre, c'est la granularité dont les exploitants de serveurs disposent depuis des années et que l'empaquetage bureautique n'a pas.
Le portail VPN couvre la gestion des connexions au niveau système, explicitement calquée sur les interfaces équivalentes d'Android et d'iOS. Emprunter une conception que deux plateformes mobiles ont déjà éprouvée pendant une décennie est ici le choix sensé.
Le portail d'aide à la rédaction est le discret, couvrant la correction orthographique et grammaticale comme service médié. Il existe parce que les dictionnaires et l'outillage linguistique sont volumineux, partagés et pénibles à embarquer application par application, et parce qu'une application qui demande une correction à l'hôte est un meilleur arrangement que chaque bac à sable livrant sa propre copie.
Le remplissage automatique des mots de passe est listé séparément et honnêtement, comme phase de conception architecturale et non comme livrable.
Entitlements et intents
Les deux briques structurantes comptent davantage pour les empaqueteurs que n'importe quel portail pris isolément.
Les entitlements introduisent un système de déclaration de permissions statiques rattachées à des portails précis. Le modèle de permissions actuel de Flatpak mêle drapeaux de manifeste et invites à l'exécution, ce qui fonctionne mais se compose mal et se raisonne difficilement au moment de la relecture. Une liste déclarative d'entitlements est quelque chose qu'un magasin d'applications, une distribution ou un exploitant peut inspecter avant l'installation plutôt que de le découvrir à l'exécution.
Les intents vont dans l'autre sens : une application déclare les services qu'elle offre et pas seulement les ressources qu'elle veut. C'est ainsi que des applications coopèrent à travers une couche médiée plutôt que par accès direct les unes aux autres, et c'est le socle du genre d'intégration bureautique qui exige aujourd'hui de percer le bac à sable.
À côté des deux, la subvention finance la maintenance ordinaire des portails existants, dont le portage vers libdex et la construction de tests d'intégration. Peu à la mode, et la partie qui aura le plus de chances de rapporter encore en 2030.
Pourquoi ce modèle de financement produit des résultats
L'approche de la Sovereign Tech Agency consiste à payer la maintenance des infrastructures sur lesquelles tout le reste repose, plutôt que de nouveaux produits. Elle avait déjà financé dans le projet GNOME des travaux qui touchaient indirectement Flatpak ; cette subvention vise directement la couche des portails.
La raison pour laquelle cela fonctionne est peu spectaculaire. Les portails sont une plomberie partagée : aucune distribution ne les possède, aucun éditeur ne les vend, et les personnes qui les maintiennent le font largement à côté d'autre chose. C'est le profil classique d'un composant qui se dégrade discrètement jusqu'à ce que quelque chose casse. Payer des mainteneurs existants pour du travail reporté sur du code qu'ils connaissent déjà est à peu près le meilleur effet de levier disponible dans le financement de l'open source, et cela tranche avec le schéma où une subvention finance une équipe parallèle dont la production atterrit ensuite comme charge de relecture sur les bénévoles.
Pour qui construit des images de postes de travail ou gère un parc, la conclusion pratique est un horizon de deux ans. Rien ne change dans vos manifestes Flatpak ce mois ci. D'ici fin 2027, il devrait exister une manière plus structurée de déclarer ce qu'une application peut atteindre, ce qui mérite d'être suivi maintenant plutôt que subi plus tard. Cela accompagne le mouvement plus large des applications de bureau vers l'empaquetage Flatpak, dont la réécriture de GNOME Boxes livrée en bêta sous Flatpak.
Sources et pour aller plus loin
- Announcing Sovereign Tech Agency Investment in Flatpak, Modal Collective
- Sovereign Tech Agency Providing Massive Investment Into Flatpak, Phoronix, 28 août 2026
- Flatpak Secures 508K Euros to Bring Stronger Sandboxing to Linux Apps, Linuxiac
- Sovereign Tech Agency, site officiel
Questions fréquentes
Qu'est ce qu'un portail Flatpak, concrètement ?
Un portail est la porte médiée entre une application empaquetée et le reste de la machine. Une application Flatpak n'ouvre pas directement votre sélecteur de fichiers, votre caméra ou votre écran. Elle sollicite un portail, c'est à dire un service qui tourne hors du bac à sable, et ce portail décide de ce qui se passe réellement, souvent en affichant une boîte de dialogue que l'application ne peut ni contrefaire ni contourner. C'est cette conception qui permet de donner à un Flatpak un accès étroit plutôt que la libre circulation dans votre dossier personnel. Les portails financés ici étendent ce modèle au routage audio, à la portée réseau, aux connexions VPN et à l'aide à la rédaction.
Qu'est ce que cela change à ma façon d'empaqueter ou de livrer des applications ?
Sur les deux prochaines années, une partie du sujet vous concernera. Le travail sur les entitlements est la pièce à surveiller : il introduit une manière de déclarer des permissions statiques pour des portails précis, réponse plus structurée que l'actuel mélange de drapeaux de manifeste et d'invites à l'exécution. Les intents sont l'autre pièce, permettant à une application de déclarer les services qu'elle offre et pas seulement les ressources qu'elle veut. Les deux sont des ajouts et non des remplacements, donc les manifestes existants continuent de fonctionner, mais si vous maintenez un Flatpak il vaut mieux suivre les dépôts des portails que découvrir ces déclarations fin 2027.
Qui réalise réellement le travail ?
Le projet est co-organisé par le Modal Collective avec Para-Real Ltd. comme organisation de soutien, et le financement rémunère un ensemble de prestataires nommés issus en grande partie de la communauté GNOME et des portails, plutôt qu'une équipe montée pour l'occasion. Cela compte pour le résultat. L'argent destiné à l'infrastructure produit le plus d'effet quand il rémunère des gens qui connaissent déjà le code et portent déjà la charge de relecture, alors que l'alternative, financer une équipe parallèle dont le travail devra être relu par des bénévoles, ajoute en général du travail au lieu d'en retirer.
Qu'est ce que la Sovereign Tech Agency et d'où vient l'argent ?
La Sovereign Tech Agency est un organisme public allemand qui investit dans la maintenance des infrastructures open source dont dépendent les systèmes publics et privés, à travers son Sovereign Tech Fund. Le modèle est volontairement peu spectaculaire : plutôt que de financer de nouveaux produits, il paie la maintenance, la consolidation et le travail longtemps reporté sur des composants qui se trouvent déjà sous tout le reste. L'agence avait déjà investi dans le projet GNOME, et une partie de ce travail touchait Flatpak. Cette subvention ci vise directement la couche des portails.
Le portail de remplissage automatique des mots de passe est il vraiment en construction ?
Pas encore, et l'annonce est soigneuse sur la distinction. Le remplissage automatique est décrit comme une phase de conception architecturale et non comme un livrable, ce qui signifie que le travail financé consiste à explorer si un portail est la bonne forme pour ce besoin et à quoi il ressemblerait. Les quatre autres portails, audio, réseau, VPN et aide à la rédaction, sont cadrés comme des développements. Prendre une exploration de conception pour une fonctionnalité livrée est la manière habituelle dont une feuille de route se lit de travers, donc mieux vaut garder les deux séparés dans vos plans.