Les clés d’API de Demozoo se justifient, tant que la mémoire de la scène reste ouverte

Une porte verrouillée est-elle toujours un mur ? Quand l’archive de toute une sous-culture vous demande de vous connecter avant de l’interroger, le réflexe est de se hérisser. Ce réflexe mérite selon nous un second regard, car le problème n’est pas la serrure. C’est celui qui secoue la poignée.

Ce qui change, en deux paragraphes

Demozoo, qui se présente comme la plus grande base de données de productions, d’événements, de groupes et d’autres entités de la demoscene, a annoncé sur sa page d’actualités qu’un « trafic de bots intenable » l’oblige à fermer l’accès public non authentifié à son API. À partir du 1er novembre, voire plus tôt si les bots s’emballent, les requêtes devront comporter une clé d’API.

La mécanique est modeste. D’après la pull request qui l’a mise en œuvre, les utilisateurs disposent d’une entrée « API » dans le menu de leur compte pour configurer des clés, et le code prévoit la révocation des clés. La documentation donne des conseils sur des limites de débit acceptables et renvoie vers le dump SQL public. Les requêtes faites dans le navigateur lorsqu’on est connecté continuent de fonctionner, et un point d’accès de test permet aux développeurs de vérifier leur configuration avant la bascule.

Une archive de bénévoles a le droit de se défendre

À la lecture de cette pull request, on sent la lassitude. Le mainteneur met en cause le trafic de bots et, sans détour, les « AI bros ». Nous atténuerions le ton, pas le diagnostic. Demozoo nous paraît être une base de données communautaire plutôt qu’une entreprise dotée d’un budget d’infrastructure, et quand des scrapers automatiques martèlent un point d’accès, quelqu’un paie: en argent, en temps ou en sommeil. Demander une clé identifiable est, à notre avis, l’outil le moins coûteux et le moins intrusif: il permet aux mainteneurs de voir qui appelle et de révoquer les fauteurs de trouble sans fermer la porte à tout le monde.

Il faut aussi noter ce qu’ils n’ont pas fait. Ils n’ont pas supprimé l’API ni masqué les données. La clé est rattachée à un compte ordinaire, et la documentation renvoie vers un dump SQL public, ce qui laisse penser que l’accès en masse reste possible pour ceux qui ont besoin de tout. À nos yeux, ce détail compte plus que la clé elle-même.

Le coût retombe sur les petits outils, et c’est là que l’ouverture se vérifie

Les premiers à le sentir sont probablement des amateurs, pas des fermes de bots. Prenons le projet communautaire livecode.demozoo.org. Ses mainteneurs ont signalé dans un ticket que sa commande de mise à jour appelle l’API chaque fois qu’elle rencontre un identifiant inconnu de scener ou de party, et que les contributeurs qui l’exécutent en local auraient chacun besoin de leur propre clé dans un fichier de configuration local. S’ils veulent aussi que le déploiement automatisé gère des fichiers de cache périmés, il faudrait en plus stocker une clé comme secret du dépôt. Une pull request couvrant la partie locale a été ouverte puis fusionnée en quelques jours.

C’est une petite taxe, vite acquittée. Apple2TS, un projet d’émulateur, a lui aussi fusionné la prise en charge de l’authentification par clé Demozoo le 21 octobre, avant l’échéance. Ce sont ces outils qui rendent une archive de démos utile plutôt que simplement stockée: des émulateurs qui lancent les productions, des index qui les relient à des sessions de live coding. Leur adaptation rapide laisse penser que la communauté joue le jeu.

Mais la bonne volonté ne tient pas lieu de règle. La documentation dont nous disposons ne dit pas quelles seront les conditions d’utilisation, si les clés seront un jour limitées ou refusées, ni comment doivent procéder les chercheurs menant un travail légitime à grande échelle. Nous ne spéculerons pas. Nous dirons en revanche ce que nous souhaiterions.

Ce que nous demanderions à Demozoo, et à tous les autres

Premièrement, les clés devraient rester gratuites et immédiates pour toute personne disposant d’un compte. Dès qu’une clé exige une justification ou une validation, une mesure de sécurité devient un portier. Deuxièmement, les conditions devraient être écrites clairement: quel débit est acceptable, ce qui constitue un abus, ce qui se passe si l’on dépasse la limite. Troisièmement, le dump SQL devrait rester public et à jour, car c’est la réponse honnête pour quiconque veut tout récupérer sans marteler un serveur en production.

Et nous avons tous un rôle à jouer. Si vous maintenez un outil qui touche à Demozoo, mettez-le à jour dès maintenant et testez-le avec le point d’accès d’authentification. Utilisez le dump pour les traitements en masse. Mettez en cache ce que vous récupérez. La mémoire collective de la scène est un bien commun, et les biens communs survivent quand les utilisateurs prennent moins que le maximum.

Notre verdict: cela ressemble à une réponse proportionnée à une menace réelle, pas à une clôture autour de l’histoire de la scène. Jugeons Demozoo à ce qu’il fera ensuite. Si les clés restent gratuites et les règles claires, on s’en souviendra probablement comme d’une note de bas de page. Sinon, nous serons les premiers à le dire.