Avertissement: ne téléchargez pas de logiciel de SourceForge si vous pouvez l’aider [Mise à jour]

2024 Auteur: Geoffrey Carr | [email protected]. Dernière modifié: 2023-12-17 11:01

Mettre à jourDepuis la rédaction de cet article, SourceForge a été vendu à une nouvelle société qui a mis fin au programme DevShare décrit dans cet article. Nous laissons cet article ici pour référence historique, mais il a depuis lors mis fin à ces pratiques sombres.

Ne téléchargez pas de logiciel à partir de SourceForge si vous pouvez l’aider. De nombreux projets open-source hébergent maintenant leurs installateurs ailleurs, et les versions de SourceForge peuvent inclure du junkware. Si vous devez absolument télécharger quelque chose de SourceForge, soyez très prudent.

Oui, SourceForge est l’un des mauvais sites de téléchargement

Dans le passé, SourceForge avait accumulé beaucoup de bonne volonté et était un lieu centralisé pour le téléchargement de logiciels à source ouverte et les référentiels de logiciels d’hébergement. Au fil des années, de plus en plus de projets ont migré vers d'autres services d'hébergement de référentiels, tels que GitHub.

En 2012, Dice Holdings a acheté SourceForge (et Slashdot) à Geeknet. En 2013, SourceForge a activé une fonctionnalité appelée «DevShare». DevShare est une fonctionnalité que les développeurs peuvent activer pour leurs propres projets. Si un développeur active cette fonctionnalité, vous devrez télécharger son logiciel à partir de SourceForge pour découvrir qu’il a été intégré à son propre programme d’installation, qui propulse les intrusifs sur votre système. SourceForge et les développeurs gagnent de l’argent en vous imposant ce logiciel, comme pratiquement tous les autres sites de téléchargement et distributeurs de logiciels gratuits sur Windows.

DevShare exige que le propriétaire du projet «accepte» pour activer cette fonctionnalité sur son projet, bien qu’ils hébergent actuellement une variété de projets fournis avec du junkware contre les souhaits de leurs développeurs.

Certains projets ont choisi de monter à bord du train DevShare par eux-mêmes, et c’est leur propre choix. FIleZilla a été un des premiers participants et le développeur de FileZilla a répondu aux préoccupations suivantes:

“This is intentional. The installer does not install any spyware and clearly offers you a choice whether to install the offered software.”

Chrome nous a empêché de télécharger FileZilla depuis le site Web de SourceForge, en avertissant que cela «pourrait nuire à votre expérience de navigation».

SourceForge et GIMP

GIMP est un éditeur d’images open source populaire. Il s’agit essentiellement de la réponse de la communauté open source à Photoshop. En 2013, les développeurs de GIMP ont extrait les téléchargements GIMP sous Windows de SourceForge. SourceForge était plein de publicités trompeuses se faisant passer pour des boutons «Télécharger» - un problème qui se pose partout sur le Web. SourceForge a ensuite lancé son propre programme d’installation Windows rempli de junkware, c’est la goutte qui a fait déborder le vase. En réponse, le projet GIMP a abandonné SourceForge et a commencé à héberger ses téléchargements ailleurs.

En 2015, SourceForge a reculé. Considérant que l'ancien compte GIMP sur SourceForge était «abandonné», ils en ont pris le contrôle, verrouillant ainsi le mainteneur d'origine. Ils ont ensuite sauvegardé les téléchargements GIMP sur SourceForge, en les intégrant dans son propre programme d’installation rempli de junkware. Si vous téléchargez GIMP depuis SourceForge, vous obtenez une version remplie de junkware, une version que les développeurs de GIMP ne souhaitent pas que vous utilisiez. SourceForge a déclaré qu’ils fournissaient un service précieux aux personnes souhaitant télécharger des logiciels à code source ouvert, mais les développeurs de GIMP ne sont pas du même avis.

Après beaucoup de presse négative, SourceForge a plus tard changé de position. «À l'heure actuelle, nous ne présentons des offres tierces qu'avec quelques projets pour lesquels cela a été explicitement approuvé par le développeur de projet», a écrit SourceForge dans un communiqué. Compte tenu de leurs actions passées et du libellé "pour le moment" dans leur déclaration, nous vous recommandons de vous tenir à l'écart de SourceForge de toute façon. Ils ne méritent plus la confiance de la communauté open source.

Ce n’est pas que GIMP

D’autres développeurs n’ont pas choisi d’activer DevShare. GIMP est actuellement répertorié comme «présenté par: sf-editor1» sur SourceForge. Cliquez sur la liste des projets de sf-editor1 et vous verrez plusieurs projets hébergés par SourceForge lui-même, d’Audacity à OpenOffice.

Cliquez sur le site Web officiel du projet pour trouver les liens de téléchargement réels. Par exemple, la page d’accueil d’Audacity vous redirige vers FOSSHUB pour télécharger Audacity, et non pas SourceForge. Mais la recherche de «Audacity» sur Google affiche toujours la page SourceForge en tête de liste.

Bien que SourceForge n'associe plus pour le moment ces logiciels avec du junkware, le site Web de SourceForge est toujours rempli d'annonces trompeuses qui vous dirigent vers des installateurs remplis de junkware.

Évitez les téléchargements SourceForge

Évitez d’utiliser SourceForge pour télécharger des logiciels. Même s’il apparaît en premier dans une recherche Google, ignorez SourceForge et rendez-vous sur la page de téléchargement officielle du projet. Suivez les liens pour télécharger le programme ailleurs: il y a de bonnes chances que le projet se soit éloigné de SourceForge et propose des liens de téléchargement clairs ailleurs.

Ou, mieux encore, évitez tous les téléchargements habituels et installez les applications les plus utiles avec Ninite.Ninite est le seul site sécurisé de téléchargement de logiciels gratuits Windows que nous ayons trouvé.

Si vous devez télécharger à partir de SourceForge, veillez à éviter les téléchargements comprenant le programme d'installation de SourceForge. Faites tout votre possible pour récupérer les téléchargements directs à la place.

Et, soit dit en passant, SourceForge regroupe désormais les logiciels malveillants avec leurs téléchargements Mac - tout comme Download.com et d’autres sites Web. Même les utilisateurs de Mac ne sont pas en sécurité, bien que DevShare n’ait pas encore été étendu aux PC Linux. Tout le monde devrait éviter les téléchargements SourceForge, que vous utilisiez Windows ou non.

Lors de nos tests, nous avons constaté que le téléchargeur de SourceForge se comporte mieux dans une machine virtuelle. Si vous voulez voir ce qu'il fait réellement, assurez-vous de le tester dans un système Windows réel sur une machine physique, pas une machine virtuelle.

Il s’agit du même type de comportement que les applications malveillantes utilisent de plus en plus pour éviter la détection et l’analyse.