Cloudflare a rendu la plateforme Void entièrement disponible sous forme de projet open source, quatre mois après avoir acquis la société VoidZero, afin de transformer un outil initialement destiné à devenir un produit commercial en une plateforme que les entreprises peuvent installer et auto-héberger sur l’infrastructure de Cloudflare. Cette évolution intervient alors que se répand ce que l’on appelle le « vibe coding », c’est-à-dire la création d’applications par des employés avec l’aide de l’intelligence artificielle, même sans expérience approfondie en programmation.
Le problème ciblé par Cloudflare n’est pas la création d’applications en elle-même, mais ce qui se produit ensuite : des applications internes peuvent accéder aux données de l’entreprise ou être déployées sans que l’équipe informatique sache qui les gère ni qui en examine la sécurité. Selon l’entreprise, ces applications représentent une nouvelle forme d’informatique fantôme, mais avec un cycle de développement plus rapide et moins transparent.
Que comprend Void ?
Void se compose de trois éléments principaux. Le Void SDK fournit des composants permettant de créer des applications complètes avec Vite, notamment des fonctions côté serveur ainsi que l’intégration avec des bases de données et d’autres services. Le Void CLI gère quant à lui le processus de déploiement, notamment la compilation de l’application, la préparation des ressources Cloudflare et l’application des migrations de bases de données si nécessaire.
Void Platform fournit un environnement partagé pour héberger et gérer les applications au moyen d’un tableau de bord administratif. Le code de la plateforme, ainsi que le SDK et le CLI, est désormais accessible au public avec la version Void 1.0, sous licence MIT. Les administrateurs peuvent installer une instance privée à l’aide de la commande void platform install, qui les guide dans la configuration de l’authentification, des connexions aux bases de données et du stockage.
Qu’est-ce qui change concrètement pour les équipes informatiques ?
La plateforme permet de définir qui peut déployer des applications et qui peut y accéder, d’examiner les déploiements, de consulter les journaux, de surveiller la consommation de ressources et d’imposer des limites d’utilisation. Elle s’intègre également aux fournisseurs d’identité et à Cloudflare Access afin de restreindre l’accès aux applications aux employés autorisés. Les développeurs peuvent consulter les journaux d’erreurs en ligne de commande et annuler les déploiements défectueux.
Michael Dong, qui a rejoint Cloudflare depuis VoidZero et occupe un poste de direction dans le domaine de la stratégie, a déclaré que l’entreprise avait reconstruit la plateforme de zéro afin qu’elle fonctionne selon un modèle auto-hébergé. Cloudflare utilise la plateforme en interne avec une authentification d’entreprise, de sorte que les applications sont limitées par défaut aux employés, selon Dong.
Selon l’entreprise, plus de 100 utilisateurs expérimentaux ont déployé des applications via le Void SDK, sans préciser si ces déploiements ont été effectués au moyen du service Void Cloud ou directement sur Cloudflare. Le service Void Cloud d’origine reste privé et limité à l’équipe de Cloudflare ainsi qu’à un petit groupe de testeurs invités.
Limites des protections et responsabilités restantes
Les restrictions d’accès ne signifient pas que l’application est incapable de lire des données sensibles ou de les envoyer à une autre partie. La documentation de Void indique également que les administrateurs peuvent rendre les applications publiques par défaut et que les propriétaires des projets peuvent ensuite les rendre accessibles au public. Le processus de déploiement documenté ne comprend pas d’examen de sécurité obligatoire par l’équipe informatique avant la mise en service de l’application.
Les entreprises peuvent modifier Void open source afin d’ajouter des mécanismes d’approbation ou des politiques plus strictes, mais ces contrôles ne seront pas intégrés automatiquement et chaque organisation devra les concevoir et les mettre en œuvre. Void offre donc aux équipes informatiques un point central de visibilité et de contrôle, mais ne transforme pas les applications créées par les employés avec l’IA en logiciels fiables du seul fait qu’elles sont hébergées sur la plateforme.
Le contexte plus large
Cette initiative s’inscrit dans l’expansion de Cloudflare dans l’écosystème JavaScript : l’entreprise a acquis l’équipe d’Astro en janvier et VoidZero en juin, et a également annoncé l’acquisition de Deno, la société qui développe l’environnement d’exécution fondé par Ryan Dahl, le créateur de Node.js. En octobre 2024, VoidZero avait présenté un projet réunissant des outils JavaScript, notamment Vite, Vitest, Rolldown et Oxc.