Le financement de l'open source a pris une couleur idéologique. Votre stack, elle, n'a pas voté.
L'argent qui maintient en vie les briques logicielles de base porte de plus en plus une vision du monde. Résultat : le financement devient un mécanisme de scission, et « sur quelle branche suis-je ? » une question que votre registre des risques n'a jamais posée.
L'hypothèse la plus dangereuse concernant votre stack technique, c'est de croire que les briques ennuyeuses sont figées une fois pour toutes. Au cours des trois dernières années, la couche de cache, l'index de recherche et l'outil d'infrastructure-as-code, trois composants sur lesquels des entreprises entières se sont alignées précisément parce qu'ils semblaient immuables, se sont chacun scindés en branches rivales, financées séparément. Le financement de l'open source était autrefois un sujet trop terne pour qu'on s'y intéresse. Il détermine désormais quelle branche de votre propre plateforme survit, et personne n'a prévenu vos équipes achats.
Commençons par la couche d'infrastructure. En août 2023, HashiCorp a fait basculer Terraform et le reste de sa gamme phare de la licence ouverte Mozilla Public License vers la Business Source License, qui interdit son usage en production aux concurrents. En quelques jours, des éditeurs dont les produits dépendent de Terraform ont publié le manifeste OpenTofu, et dès septembre le fork trouvait refuge à la Linux Foundation, ses soutiens s'engageant à y affecter des ingénieurs à temps plein pendant au moins cinq ans. La licence de Terraform et la communauté de Terraform vivent désormais dans deux maisons différentes.
Le cache a rejoué la même partie, en plus rapide. En mars 2024, Redis a abandonné la licence permissive BSD qu'il portait depuis sa toute première version, au profit de conditions duales « source disponible ». En quelques jours, la Linux Foundation annonçait Valkey, un fork de la dernière version BSD, avec AWS, Google Cloud et Oracle parmi ses soutiens. Quatorze mois plus tard, Redis 8 réintroduisait l'AGPLv3, une licence ouverte reconnue par l'OSI, parmi ses options.
L'index de recherche a parcouru le cycle complet en premier. Elastic a fait sortir Elasticsearch et Kibana de la licence Apache 2.0 en janvier 2021, un geste visant directement AWS. AWS a répliqué en forkant les deux projets sous le nom d'OpenSearch, désormais logé au sein de sa propre fondation, elle-même sous l'ombrelle de la Linux Foundation. En août 2024, Elastic a réintégré l'AGPLv3 et déclaré qu'Elasticsearch redevenait open source.
Ces reculs sont révélateurs. Par deux fois, un projet relicencié a fini par restaurer une licence ouverte une fois que son fork avait trouvé un financement institutionnel. Ni l'une ni l'autre entreprise ne présente la séquence comme une capitulation, et le lien de cause à effet relève de la lecture de cette rédaction, pas d'un document officiel. Mais si les forks financés ne fonctionnaient pas comme un levier de négociation, on voit mal à quoi ces revirements auraient servi.
D'où vient vraiment l'argent de l'open source aujourd'hui ?
La vieille réponse couvre toujours l'essentiel des flux : des éditeurs qui emploient des mainteneurs, des fondations qui mutualisent des cotisations d'entreprises, deux mécanismes qui récompensent globalement la pertinence commerciale. L'argent nouveau, lui, n'a rien d'homogène. Au moins trois logiques distinctes signent désormais des chèques, et elles ne veulent pas du même monde.
D'abord, l'argent de consortium défensif : des entreprises qui financent un fork parce que leurs propres produits dépendent de conditions que l'original a abandonnées. C'est exactement le profil des soutiens de Valkey, et celui des engagements d'ingénierie sur cinq ans d'OpenTofu. Nul besoin d'inférence ici : les annonces des fondations énoncent le motif sans détour. Ces financeurs protègent leur approvisionnement.
Ensuite, les programmes de souveraineté étatique. En Allemagne, la Sovereign Tech Agency, financée par le ministère fédéral de l'Économie, paie l'entretien de composants que presque personne d'autre ne veut financer. Son portefeuille d'investissements publié recensait, début 2025, plus de 23 millions d'euros engagés sur plus de 60 technologies fondamentales depuis le lancement du financement fin 2022, curl et WireGuard compris, explicitement au nom de la souveraineté numérique européenne. Une catégorie de financeurs qui n'existait pas il y a cinq ans divulgue aujourd'hui des montants à huit chiffres, une logique qui trouve un écho direct dans les débats français sur la souveraineté numérique et le cloud de confiance.
Troisième logique, le mécénat idéologique, plus ancien que les deux précédents et généralement d'un montant plus modeste. Devuan maintient un fork de Debian dépourvu de systemd depuis que le comité technique de Debian a adopté systemd en 2014, un projet entretenu grâce aux dons qu'il sollicite précisément pour préserver cette indépendance. XLibre a forké le serveur d'affichage X.Org en juin 2025, se présentant auprès des bénévoles et des mécènes comme un refuge face à la gouvernance amont. Quant aux GNU coreutils, sous licence GPL et rattachés au projet GNU depuis le début des années 1990, ils sont désormais concurrencés par uutils, une réécriture en Rust sous licence MIT lancée en 2013 et dirigée aujourd'hui par le Français Sylvestre Ledru, qu'Ubuntu 25.10 a adoptée par défaut en octobre dernier. Les donateurs de ces projets achètent-ils une dissidence de gouvernance ou simplement un logiciel qu'ils préfèrent ? Aucune enquête auprès des mécènes ne permet de trancher ; leurs propres appels aux dons mettent en avant des principes, et cette rédaction lit l'argent en conséquence, comme une inférence et non comme un fait établi.
Notez ce que ces trois logiques ne partagent pas : un avenir souhaité commun. L'argent de consortium veut la continuité des conditions. L'argent de souveraineté veut moins de composants partagés, mais mieux entretenus. Le mécénat existe pour maintenir la dissidence en vie. Elles tirent dans des directions incompatibles, chacune prête à financer sa propre trajectoire indéfiniment, et parler de « financement de l'open source » comme s'il s'agissait d'un flux unique, c'est exactement la manière dont le risque se dissimule.
Pourquoi les projets relicenciés continuent-ils de se scinder ?
Parce que les forks ne meurent plus de faim. Quand l'argent suivait le mérite commercial, le camp perdant d'un schisme manquait généralement de ressources pour durer, et les désaccords finissaient par se résorber. Aujourd'hui, un fork crédible peut trouver un mécène dont l'intérêt est précisément que le fork existe, que ce mécène soit un hyperscaler protégeant un service managé ou une base de donateurs finançant l'indépendance. Devuan démontre la solidité du mécénat modeste depuis plus d'une décennie ; Valkey a démontré la rapidité du mécénat massif en une quinzaine de jours. La viabilité d'un fork était autrefois une question de capacité d'ingénierie. À la lecture des cas ci-dessus, elle devient une question de qui est prêt à payer, et pourquoi.
Ce qui pose une question de continuité qu'à peu près aucune checklist achats ne contient : sur quelle branche financée de ce composant sommes-nous réellement, qui la finance, et l'autre branche reçoit-elle encore des correctifs de sécurité ? Vous n'avez probablement pas choisi votre branche. Votre distribution ou votre fournisseur cloud l'a choisie à votre place, et ils changent de camp : la bascule des coreutils sous Ubuntu est arrivée dans une note de version, pas dans votre changelog interne.
Que doit vérifier votre due diligence désormais ?
Traitez la branche financée, et non le nom du projet, comme unité d'analyse. Pour chaque composant structurant : sur quelle branche sommes-nous, et sur décision de qui ? Qui la finance, et que veut ce financeur ? Que se passe-t-il si le mécène principal se retire, ou si la licence change à nouveau ? Les correctifs de sécurité circulent-ils entre les branches, et à quelle vitesse ? Et que coûterait une migration vers la branche jumelle si notre camp du fork perdait la partie ?
Rien de tout cela ne figure dans une nomenclature logicielle (SBOM), qui documente ce que vous faites tourner, pas qui paie pour que cela continue d'exister. Cartographier cela relève d'un travail de dépendances peu glamour : exactement ce qu'une stratégie technique délibérée sert à révéler avant que cela ne devienne un incident, et ce qu'un audit indépendant révèle plus vite qu'une équipe interne qui a toujours supposé que la couche de base était le problème de quelqu'un d'autre.
Le commun sur lequel votre entreprise est bâtie existe toujours. Simplement, ce n'est plus une chose unique, et ceux qui financent ses différentes pièces ne veulent plus du même avenir. Découvrez de quel avenir vous financez la construction par défaut. Puis décidez si c'est vraiment votre intention.
Questions fréquentes
Comment savoir qui finance un projet open source dont mon entreprise dépend ?
Commencez par la page de gouvernance du projet lui-même, la liste de ses membres au sein d'une fondation et tout sponsor publié, puis regardez qui emploie les mainteneurs les plus actifs, car l'emploi est la forme de financement la plus discrète. Si ces réponses sont difficiles à trouver, l'opacité elle-même mérite sa place sur votre registre des risques.
Est-il risqué de dépendre d'un fork d'un projet open source ?
Pas en soi. Un fork durablement financé, doté de plusieurs mainteneurs actifs et d'un processus de sécurité qui fonctionne, peut être plus sûr que l'original s'il est négligé. Le vrai risque se situe dans les périodes de transition, quand les correctifs arrivent sur une branche et mettent du temps, voire n'arrivent jamais, sur l'autre. Jugez chaque branche sur ses preuves opérationnelles, pas sur le camp du débat qu'elle occupe.
Mon entreprise devrait-elle financer les logiciels open source qu'elle utilise ?
Si la défaillance d'un composant arrêtait votre produit, rémunérer ses mainteneurs n'est pas de la charité, c'est une assurance bon marché. Une petite part du chiffre d'affaires reversée en amont achète de l'alerte précoce, de l'influence et de la bienveillance. Sachez simplement que, dans le climat actuel, votre argent constitue aussi un vote pour un modèle de gouvernance, que vous le vouliez ou non.
À lire aussi
- Epic contre Google : la clause qui offre aux rivaux les clés du Play Store
- Les prix de la mémoire se retournent : renégociez le contrat avant le prochain renouvellement de parc
- L'IA n'invente pas les mauvais chefs, elle les arme
- Digital Business
Rédigé par un persona éditorial IA du système éditorial propriétaire d'Abyshire et relu par notre équipe.