DEV Community: Neurau Tech

Reconversion développeur web : marché, formations, financement et plan réaliste (2026)

Neurau Tech — Sun, 01 Nov 2026 15:35:46 +0000

L'essentiel en une minute

Une reconversion développeur web reste possible en 2026, mais dans un marché plus étroit qu'il y a trois ans pour les débutants. Les entreprises annoncent moins de projets de recrutement dans l'informatique, et les profils expérimentés passent devant. Le titre professionnel le plus courant n'exige pas de diplôme, l'âge est un critère de discrimination interdit, mais aucune formation ne garantit un poste.

Ce guide s'adresse aux adultes qui changent de métier en France. Il repose sur des sources publiques consultées le 1er novembre 2026 : enquête de France Travail, fiches du répertoire national des certifications (RNCP), pages officielles sur le CPF et le projet de transition professionnelle, enquêtes de Stack Overflow et HackerRank. Nous n'avons suivi aucune formation et n'avons mené aucun test.

Points clés

Selon les résultats nationaux de l'enquête BMO de France Travail, les projets de recrutement de techniciens d'étude et de développement en informatique passent de 14 180 en 2025 à 9 500 en 2026.

Le titre professionnel « Développeur web et web mobile » (niveau 5, ministère du Travail) n'affiche aucun prérequis de diplôme sur sa fiche RNCP.

Chaque fiche RNCP publie des taux d'insertion : lisez-les avant de signer, en distinguant l'emploi « tout métier » et l'emploi « dans le métier visé ».

Depuis le 2 avril 2026, utiliser son CPF coûte 150 € de participation forfaitaire, sauf exceptions comme les demandeurs d'emploi.

Un démarchage qui promet une formation « 100 % gratuite » et demande vos identifiants CPF est le scénario d'arnaque décrit par France Travail.

Le marché des développeurs débutants en 2026

Le marché recrute encore, mais moins, et d'abord des profils expérimentés. C'est le constat commun des trois sources que nous avons pu lire.

En France, l'enquête BMO. France Travail annonce près de 2,3 millions d'intentions de recrutement pour 2026, en retrait de 6,5 % sur un an, tous métiers confondus (France Travail, 21 avril 2026). Dans l'informatique, la baisse est plus forte, d'après les résultats nationaux par métier publiés sur le site statistique de l'enquête (BMO 2026 et BMO 2025, consultés le 1er novembre 2026).

Pour les techniciens d'étude et de développement en informatique, selon nous la famille la plus proche d'un premier poste après un titre de niveau 5, on passe de 14 180 projets à 9 500, et la part jugée difficile par les employeurs de 50,4 % à 44,0 %. Pour les ingénieurs et cadres d'étude en informatique, de 22 670 à 18 330. L'enquête porte sur des intentions d'embauche, couvre tous les niveaux d'expérience et ne distingue pas les débutants.

Chez les cadres, l'Apec. Selon L'Étudiant, qui cite l'Apec, les entreprises ont recruté 57 000 cadres informaticiens en 2025, contre 71 920 en 2023. Tous secteurs confondus, les recrutements de cadres de moins de six ans d'expérience ont reculé de 5 % en 2025 après 9 % l'année précédente, et l'Apec ne prévoit que 1 % de hausse pour eux en 2026 (L'Étudiant, 2 avril 2026). Pour les cadres informaticiens, L'Étudiant annonce une reprise de 5 % en 2026, Le Monde Informatique de 4 %, avec une réserve de l'Apec sur le contexte économique (Le Monde Informatique, 13 avril 2026).

À l'international, HackerRank. Dans son rapport 2025, fondé sur l'activité de sa plateforme de tests, l'éditeur relève une hausse de 22 % pour les postes de lead, 19 % pour les seniors, 9 % pour les juniors et 7 % pour les débutants (HackerRank, rapport 2025). Un billet du même éditeur précise que la demande de juniors en front-end a encore baissé de 22 % en 2024 (HackerRank). Ce sont des chiffres d'éditeur, mondiaux.

Verdict : visez un poste de technicien ou de développeur junior plutôt qu'un poste de cadre, et prévoyez une recherche longue. Pour les rémunérations, notre comparatif des salaires de développeurs en France confronte six études.

Faut-il un diplôme pour devenir développeur web ?

Non pour la certification, pas toujours pour l'employeur. La fiche RNCP du titre professionnel « Développeur web et web mobile » laisse vides les champs de prérequis et indique six voies d'accès, dont la candidature individuelle et la validation des acquis de l'expérience (France Compétences, RNCP37674, consulté le 1er novembre 2026).

Ce titre du ministère du Travail est classé au niveau 5, celui d'un BTS. Il comprend deux blocs : développer la partie front-end, puis la partie back-end, d'une application web ou web mobile sécurisée. Son enregistrement court jusqu'au 1er septembre 2028.

Les développeurs en poste sont pourtant majoritairement diplômés. Dans l'enquête mondiale 2025 de Stack Overflow, 45,9 % des développeurs professionnels déclarent une licence (« bachelor »), 28 % un master, 11,5 % des études supérieures sans diplôme et 5,1 % le niveau du secondaire (Stack Overflow Developer Survey 2025). L'échantillon est volontaire et international. La même enquête indique que 5,2 % des répondants ont appris à coder en bootcamp, plusieurs réponses étant possibles.

Reconversion développeur web à 40 ans : ce que dit la loi

L'âge ne peut pas légalement vous être opposé à l'embauche, mais l'alternance a des limites d'âge. Service Public liste l'âge parmi les critères de discrimination interdits, et rappelle que la discrimination est punie de trois ans d'emprisonnement et 45 000 € d'amende au plus (Service Public, page vérifiée le 10 mars 2026).

La loi n'efface pas la pratique. Selon le 18e baromètre du Défenseur des droits et de l'Organisation internationale du travail, 14 % des personnes interrogées déclarent une discrimination lors d'une recherche d'emploi, et l'âge est le premier motif cité, par 42 % d'entre elles (Défenseur des droits et OIT, 4 décembre 2025).

Deux limites comptent pour une reconversion développeur web en alternance :

Le contrat d'apprentissage est ouvert jusqu'à 29 ans révolus, 35 ans dans quelques cas, et sans limite pour une personne reconnue travailleur handicapé (Service Public, page vérifiée le 8 septembre 2026).
Le contrat de professionnalisation reste accessible à partir de 26 ans aux demandeurs d'emploi et aux bénéficiaires du RSA, de l'ASS ou de l'AAH (Service Public, page vérifiée le 22 juillet 2026).

Aucune source lue ne fixe d'âge au-delà duquel une reconversion échouerait. Les témoignages publiés par des organismes sont des cas choisis, pas des taux.

Les cinq voies de formation, comparées

Aucune voie n'est à la fois gratuite, rapide et certifiée : chacune échange du temps, de l'argent ou de l'encadrement. Le tableau reprend ce que nous avons relevé le 1er novembre 2026.

Voie	Durée relevée	Coût relevé	Certification	Pour qui
Autodidacte	Libre	Ressources gratuites possibles	Aucune, sauf candidature individuelle au titre	Personnes très autonomes
Bootcamp (exemple : Le Wagon)	2 mois à temps plein ou 6 mois à temps partiel, selon l'éditeur	Prix non affiché sur la page consultée	RNCP39261, niveau 6, certificateur Le Wagon	Personnes disponibles, financement prévu
Titre pro DWWM (exemple : Afpa)	8 mois environ, 1 155 heures, dont 10 semaines en entreprise	11 512 € net de taxe, indicatif	RNCP37674, niveau 5, ministère du Travail	Reconversion encadrée et finançable
Alternance	Selon le contrat	Formation prise en charge, salaire versé	Diplôme ou titre RNCP	Apprentissage : moins de 30 ans, sauf exceptions. Contrat de professionnalisation après 26 ans : demandeurs d'emploi, bénéficiaires du RSA, de l'ASS ou de l'AAH
Université, formation continue	Variable	Variable	Diplôme national	Viser un niveau licence ou plus

Sources : page de l'Afpa, page de Le Wagon Paris, fiches RNCP37674 et RNCP39261.

La voie autodidacte coûte peu en argent, beaucoup en discipline. Nos guides pour apprendre JavaScript et pour apprendre Python proposent chacun un plan gratuit.

Le bootcamp promet de la vitesse : Le Wagon annonce 40 heures de travail préparatoire, puis 40 heures par semaine à temps plein ou 16 heures à temps partiel. La version intensive ne laisse pas de place à un emploi.

Le titre professionnel est la voie la plus lisible pour un recruteur français. L'Afpa détaille deux modules de 11 semaines, 10 semaines en entreprise et une semaine d'examen. Elle affiche, pour ses stagiaires et des données 2025, 69,80 % de réussite et 44 % d'accès à l'emploi dans les six mois : ce sont ses chiffres, selon sa méthode.

Lisez la fiche RNCP avant de signer. Pour le titre DWWM, promotion 2021 : 3 899 certifiés, 60 % en emploi à six mois, 55 % dans le métier visé à six mois, 83 % dans le métier visé à deux ans. Pour la certification RNCP39261, promotion 2022 : 606 certifiés, 74 %, 46 % et 47 %. Années, niveaux et publics diffèrent, donc ces chiffres ne se comparent pas directement. La fiche RNCP37674, publiée en 2023, remplace la RNCP31114 : la promotion 2021 a donc passé, selon toute vraisemblance, la version précédente du titre. Ces taux sont aussi antérieurs au repli des recrutements de 2025 et 2026. Ils montrent surtout l'écart possible entre « un emploi » et « un emploi de développeur ».

Financer la formation : CPF, PTP, AIF, démission

Le bon dispositif dépend de votre statut : salarié, demandeur d'emploi ou salarié qui veut démissionner.

Le CPF. Un salarié au moins à mi-temps acquiert 500 € par an, dans la limite de 5 000 €, ou 800 € par an jusqu'à 8 000 € sans qualification de niveau CAP ou BEP, ou pour un travailleur reconnu handicapé (Service Public, page vérifiée le 27 juin 2026). Une formation à 11 512 € dépasse donc le plafond d'un salarié qualifié : prévoyez un cofinancement.

La participation forfaitaire est de 150 € depuis le 2 avril 2026. Elle ne s'applique pas aux demandeurs d'emploi, ni quand l'employeur abonde la formation (Service Public, mise à jour du 2 avril 2026). Le projet de loi de finances pour 2027 pourrait la majorer, signale la page CPF de Service Public, vérifiée le 27 juin 2026.

Le projet de transition professionnelle (PTP). C'est le dispositif des salariés qui changent de métier sans démissionner. Il faut deux ans d'activité salariée, dont un an dans l'entreprise, et une formation certifiante. Pour une formation de six mois ou plus à temps plein, la demande à l'employeur part au plus tard 120 jours avant le début (Service Public, page vérifiée le 1er juin 2026).

Le salarié perçoit 100 % de son salaire moyen de référence si celui-ci ne dépasse pas 2 Smic, soit 3 734,04 € selon la page. Au-delà, il perçoit 90 % pour une formation d'un an ou de 1 200 heures au plus ; pour une formation plus longue, 90 % la première année puis 60 %, sans descendre sous 3 734,04 €. L'accord n'est pas automatique : Transitions Pro juge la cohérence du projet, la pertinence du parcours et les perspectives d'emploi dans la région (Transitions Pro). Un conseil en évolution professionnelle, gratuit, aide à monter le dossier.

L'AIF de France Travail. Elle s'adresse aux demandeurs d'emploi inscrits et prend en charge les frais pédagogiques, en totalité ou en complément, pour une formation validée avec votre conseiller, sur devis de l'organisme. Si la formation est éligible au CPF, la page indique de mobiliser d'abord votre CPF, puis de demander à France Travail de financer le reste à charge depuis Mon Compte Formation (France Travail).

La démission pour reconversion. Elle peut ouvrir droit au chômage, sous conditions strictes et après validation du projet avant de démissionner. Notre guide pour devenir développeur freelance en expose les conditions.

Notre plan indicatif sur 6 à 12 mois

Un plan de reconversion développeur web tient en quatre étapes, et sa durée dépend surtout du temps hebdomadaire disponible. Les durées ci-dessous sont nos repères, pas des moyennes mesurées.

Mois 1 : tester avant de payer. Faites quelques dizaines d'heures de bases gratuites en HTML, CSS et JavaScript. Si corriger une erreur pendant une heure vous rebute, mieux vaut le savoir avant de signer un devis. Prenez rendez-vous avec un conseiller en évolution professionnelle.
Mois 2 et 3 : choisir la voie et le financement. Comparez trois organismes, leurs fiches RNCP et leurs taux d'insertion. Déposez le dossier de PTP ou d'AIF dans les délais. Avec un PTP, la demande à l'employeur part au moins 120 jours avant une formation longue à temps plein, puis Transitions Pro examine le dossier : le début de la formation recule alors de plusieurs mois, et le parcours dépasse souvent douze mois.
Mois 4 à 10 : se former et produire. Visez un projet par mois, de plus en plus complet : une page statique, une application qui appelle une API, puis une application avec base de données. Les bases de SQL font partie du titre DWWM.
Mois 9 à 12 : chercher en parallèle. Postulez avant la fin de la formation. La période en entreprise prévue par le parcours, par exemple à l'Afpa, peut devenir une première porte d'entrée.

Six mois supposent une formation intensive à temps plein et un financement acquis. À temps partiel, en gardant son emploi, ou avec les délais d'un PTP, comptez plutôt douze mois ou plus.

Construire des preuves et chercher le premier poste

Sans diplôme d'informatique ni expérience, vos projets sont votre principale preuve : un recruteur ne peut pas vérifier une liste de technologies, il peut ouvrir un dépôt.

Peu de projets, mais finis. Trois applications en ligne, avec un README qui explique le problème, les choix et les limites, valent mieux que dix exercices de tutoriel.
Un historique lisible. Des commits réguliers sur GitHub montrent une méthode. Un pipeline de tests, comme dans notre tutoriel GitHub Actions, distingue un projet sérieux d'un exercice.
Votre ancien métier comme atout. Un outil qui résout un vrai problème de votre secteur précédent raconte une histoire qu'aucun autre candidat ne peut raconter.

Notre guide du portfolio de développeur détaille la structure d'une page projet. Utilisez l'IA comme aide, pas comme auteur : un recruteur vous fera expliquer votre code.

Pour la recherche, le CV tient sur une page, avec les projets avant l'ancien métier et des liens vérifiables : notre guide du CV de développeur junior inclut un exemple de reconversion. Ciblez les agences web, les entreprises de services du numérique et les PME de votre ancien secteur.

Ne changez pas de langage pour suivre un classement : notre article sur les langages les mieux payés montre ce que ces classements ne disent pas. Le freelance dès la sortie de formation cumule deux difficultés, trouver des clients et facturer sans références.

Les signaux d'alerte chez un organisme de formation

Commencez par deux vérifications administratives : la certification qualité, puis la fiche RNCP. La certification Qualiopi est obligatoire depuis le 1er janvier 2022 pour les prestataires qui veulent bénéficier de fonds publics et mutualisés (DREETS Provence-Alpes-Côte d'Azur, mise à jour du 26 mai 2026). La liste publique des organismes de formation du ministère du Travail indique ceux dont la certification est en cours de validité.

Méfiez-vous ensuite du démarchage. France Travail décrit le scénario type : un contact non sollicité propose une formation « gratuite », financée par le CPF, avec « emploi garanti », pour obtenir vos identifiants (France Travail). Le seul site officiel est moncompteformation.gouv.fr, et personne ne peut utiliser votre compte à votre place, même avec votre accord.

Les signaux d'alerte listés par France Travail :

un appel, un SMS ou un message que vous n'avez pas sollicité ;
une formation « 100 % gratuite » ou « entièrement prise en charge » sans conditions ;
une demande d'identifiants CPF, de numéro de sécurité sociale ou de code FranceConnect ;
une urgence artificielle : « votre crédit va expirer », « il reste peu de places » ;
un organisme absent du catalogue officiel, ou un faux logo Qualiopi.

En cas de doute, France Travail conseille de changer vos mots de passe, de signaler la fraude sur Mon Compte Formation et sur cybermalveillance.gouv.fr, et cite Info Escroqueries au 0 805 805 817. Notre guide sur le phishing détaille les bons réflexes. Enfin, un taux d'embauche sérieux a une année, une population et une définition : sinon, demandez la fiche RNCP.

Ce que nous n'avons pas pu vérifier

Les pages de l'Apec elles-mêmes, qui refusaient nos requêtes : les chiffres de l'Apec viennent de L'Étudiant et du Monde Informatique, qui ne concordent pas exactement sur la hausse attendue en 2026 dans l'informatique (4 % ou 5 %) ; Le Monde Informatique ne précise pas la base 2025.
La part des débutants dans les projets BMO. L'enquête ne distingue pas le niveau d'expérience recherché.
Le prix d'un bootcamp, absent de la page de Le Wagon consultée, et le montant maximal de l'AIF, absent de la page de France Travail.
Un taux de réussite des reconversions par âge ou par voie : nous n'en avons trouvé aucun de source publique fiable.
L'issue du projet de loi de finances pour 2027 sur la participation au CPF.

Questions fréquentes

Peut-on devenir développeur web sans diplôme ?

Oui pour la certification : la fiche RNCP37674 du titre « Développeur web et web mobile » n'affiche aucun prérequis de diplôme. Selon Stack Overflow, la majorité des développeurs professionnels sont toutefois diplômés : sans diplôme, vos projets doivent compenser.

Est-il trop tard pour une reconversion développeur web à 40 ans ?

Aucune source ne fixe d'âge limite, et l'âge est un critère de discrimination interdit selon Service Public. L'apprentissage est en principe limité à 29 ans révolus, mais le contrat de professionnalisation reste ouvert aux demandeurs d'emploi de 26 ans et plus.

Combien coûte une formation de développeur web ?

De presque rien en autodidacte à parfois plus de 10 000 € pour une formation certifiante : par exemple, l'Afpa affiche 11 512 € net de taxe, à titre indicatif, pour son parcours Développeur web et web mobile. Le CPF, le PTP ou l'AIF peuvent couvrir tout ou partie du coût selon votre statut.

Combien de temps faut-il pour se reconvertir ?

Environ huit mois pour un titre professionnel à l'Afpa, période en entreprise comprise, ou deux à six mois de bootcamp selon le rythme annoncé par Le Wagon. Avec un projet de transition professionnelle, comptez en plus au moins quatre mois de démarches avant le début de la formation. Il faut ajouter la recherche d'emploi, dont aucune source lue ne mesure la durée pour les personnes en reconversion.

À propos de l'auteur

Abdelilah Ourti est ingénieur IA et architecte logiciel. Il conçoit et déploie des applications web et des systèmes d'IA, et publie sur NeurauTech des guides et des comparatifs destinés aux développeurs francophones. Ses autres articles sont réunis sur sa page auteur.

Méthode. Synthèse fondée exclusivement sur des sources publiques : enquête Besoins en main-d'œuvre et pages de France Travail, fiches RNCP de France Compétences, pages de Service Public, de Transitions Pro et de la DREETS, baromètre du Défenseur des droits, enquêtes de Stack Overflow et de HackerRank, presse citant l'Apec, pages de l'Afpa et de Le Wagon. Les chiffres d'organismes et d'éditeurs sont signalés comme tels. Aucune formation n'a été suivie ni testée, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux organismes mentionnés.

Une erreur ou une règle périmée ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 1er novembre 2026.

Image : Julia M Cameron via Pexels (Pexels License).

Entretien technique développeur : les étapes, 18 questions et un exercice corrigé

Neurau Tech — Sun, 01 Nov 2026 15:35:43 +0000

L'essentiel en une minute

Un entretien technique développeur n'est presque jamais un examen unique : c'est une suite d'étapes, de la présélection téléphonique au live coding, et chacune se prépare différemment. Ce guide s'adresse aux développeurs juniors et confirmés qui postulent en France.

Il repose sur des sources publiques consultées le 1er novembre 2026, sans test auprès de recruteurs ; seul le code de l'exercice corrigé a été exécuté.

Points clés

Selon l'Apec, 71 % des entreprises ayant recruté au moins un cadre en 2025, tous métiers confondus, ont utilisé une présélection téléphonique et 48 % des tests. Préparez-vous aux deux.

Les questions techniques portent sur les fondamentaux : égalité en JavaScript, méthodes HTTP, jointures SQL, Git, Docker, sécurité, complexité. Les 18 réponses modèles ci-dessous tiennent en quelques lignes chacune.

En live coding, on évalue autant votre raisonnement que votre code : reformulez, donnez une solution simple, puis améliorez-la à voix haute.

Le Code du travail impose que les méthodes de recrutement vous soient annoncées à l'avance et qu'elles soient pertinentes pour le poste.

L'IA n'est pas interdite partout : Canva exige son usage dans certains entretiens, Anthropic l'interdit sauf indication contraire. Demandez toujours la règle.

Les étapes d'un recrutement de développeur en France

Aucune source ne fixe un modèle unique, mais le cours d'OpenClassrooms sur les tests techniques décrit une séquence type : tri du CV, appel de qualification non technique, tests techniques, puis entretien final avec un fondateur ou le futur manager, où le salaire est discuté (OpenClassrooms, consulté le 1er novembre 2026).

Les chiffres français les plus récents viennent du baromètre 2026 de l'Apec, mené auprès de 1 150 entreprises ayant recruté au moins un cadre en 2025, tous métiers confondus (Apec, Pratiques de recrutement de cadres 2026, mai 2026, PDF hébergé par la Banque des Territoires).

Ce qu'il relève pour 2025 :

La présélection téléphonique : 71 % des entreprises y ont recouru pour au moins un recrutement de cadre.
Les tests de recrutement : 48 % en ont utilisé, et 29 % de l'ensemble des entreprises ont eu recours à des mises en situation professionnelle.
Les compétences comportementales : 96 % des entreprises les jugent au moins aussi importantes que les compétences techniques.
La durée : le dernier recrutement de cadre a pris en moyenne 12 semaines, un niveau stable depuis deux ans.

Depuis 2019, la présélection téléphonique progresse et les tests restent proches de la moitié des entreprises, selon le graphique de la page 8 du rapport.

Les étapes les plus courantes, avec une durée seulement quand une source la donne :

Étape	Ce qui est évalué	Durée indiquée par une source	Qui vous reçoit
Présélection téléphonique	Motivation, parcours, adéquation au poste, salaire attendu	Non précisée	Recruteur ou RH
Discussion technique	Fondamentaux, projets passés, capacité à expliquer	Généralement 30 à 45 minutes, jusqu'à 1 h 30 (OpenClassrooms)	Un ou deux développeurs
Test technique en ligne ou à la maison	Code fonctionnel, lisibilité, tests	Fixée par l'entreprise	Correction par l'équipe
Live coding	Raisonnement, communication, gestion des cas limites	Fixée par l'entreprise	Un ou deux développeurs
Conception de système (profil confirmé)	Découpage, compromis, montée en charge	Fixée par l'entreprise	Développeur senior ou architecte
Entretien final	Adéquation à l'équipe, projet, rémunération	Non précisée	Manager ou fondateur

Préparer chaque étape de l'entretien technique développeur

Chaque étape d'un entretien technique développeur teste une chose différente, donc la préparation change d'une étape à l'autre.

La présélection téléphonique. Préparez une présentation de deux minutes : ce que vous savez faire, un projet concret, ce que vous cherchez. Ayez votre fourchette de salaire prête : notre comparatif des salaires des développeurs en France aide à la fixer. Votre CV doit raconter la même histoire ; pour sa structure, voir notre guide du CV développeur junior.

La discussion technique. Relisez vos propres projets : on vous demandera pourquoi vous avez choisi telle base de données ou telle bibliothèque. Un portfolio de développeur à jour sert de support. Le chapitre d'OpenClassrooms sur les discussions techniques conseille de faire des schémas et d'admettre ce que l'on ne sait pas.

Le test technique et le live coding. Avant un test technique, entraînez-vous sur des exercices courts, chronométrés, en parlant à voix haute. Révisez les bases de votre langage : notre parcours pour apprendre JavaScript et notre cours de SQL pour débutants couvrent la plupart des questions ci-dessous.

La conception de système, pour un poste confirmé. On vous demande de concevoir un service (raccourcisseur de liens, fil d'actualité, file de tâches). Une démarche claire compte plus que la bonne réponse :

Clarifier les besoins et le volume attendu.
Définir l'API et le modèle de données.
Dessiner les composants : serveur, base, cache, file de messages.
Repérer le point qui cassera en premier et proposer un compromis.

L'entretien final. Préparez deux ou trois situations vécues : un bug difficile, un désaccord technique, une erreur corrigée.

18 questions techniques classiques et leurs réponses

Ces questions techniques couvrent les bases d'un poste web. En entretien, donnez la réponse en une phrase, puis un exemple.

JavaScript

1. Quelle différence entre == et === ? === compare sans conversion de type ; == convertit d'abord les opérandes. Ainsi '1' == 1 vaut true, mais '1' === 1 \1\2, égalité stricte](https://developer.mozilla.org/fr/docs/Web/JavaScript/Reference/Operators/Strict_equality)).

2. var, let et const ? var a une portée de fonction ; let et const ont une portée de bloc. const interdit la réaffectation de la variable, pas la modification de l'objet qu'elle contient (MDN, let). Exemple classique : for (var i = 0; i < 3; i++) setTimeout(() => console.log(i)); affiche trois fois 3, car les trois rappels partagent la même variable ; avec let, chaque tour a la sienne et la boucle affiche 0, 1, 2.

3. Qu'est-ce qu'une closure (fermeture) ? Une fonction qui garde l'accès aux variables de la portée où elle a été créée, même après la fin de cette portée. Exemple : function compteur() { let n = 0; return () => ++n; } (MDN, closures).

4. Dans quel ordre s'affichent console.log('A'), un setTimeout à 0 ms, une promesse résolue puis console.log('B') ? A, B, puis la promesse, puis le setTimeout. Le code synchrone passe d'abord ; les rappels de promesses (microtâches) passent avant les tâches comme setTimeout (MDN, modèle d'exécution).

HTTP et API REST

5. GET, POST, PUT, DELETE : lesquelles sont idempotentes ? GET, PUT et DELETE : plusieurs requêtes identiques ont le même effet voulu qu'une seule. La réponse peut différer : un second DELETE peut renvoyer 404 sans que la méthode cesse d'être idempotente. POST ne l'est pas. GET, HEAD et OPTIONS sont en plus des méthodes sûres, en lecture seule (RFC 9110, section 9.2).

6. 401 ou 403 ? 401 signifie que la requête n'a pas d'identifiants valides ; le serveur doit alors indiquer comment s'authentifier. 403 signifie que le serveur a compris la requête mais refuse de l'exécuter. Selon la RFC 9110, le client ne devrait pas la répéter automatiquement avec les mêmes identifiants, peut réessayer avec d'autres, et le refus peut n'avoir aucun lien avec les identifiants (RFC 9110, section 15.5.4).

7. Quel code renvoyer après une création et après une suppression ? 201 Created après une création, avec l'adresse de la ressource dans l'en-tête Location. Après un DELETE réussi, la RFC 9110 prévoit 204 sans corps, 200 avec un corps décrivant le résultat, ou 202 si la suppression n'est pas encore faite (RFC 9110, section 9.3.5). Notre tutoriel pour créer une API REST avec Node.js et Express applique ces codes.

8. À quoi sert CORS ? La politique de même origine du navigateur empêche une page de lire les réponses d'une autre origine. CORS permet au serveur d'assouplir cette règle par des en-têtes HTTP, en désignant les origines autorisées. Ce n'est pas un contrôle d'accès à votre API : curl ou un autre serveur ignorent ces en-têtes (MDN, CORS).

SQL

9. INNER JOIN ou LEFT JOIN ? INNER JOIN ne garde que les lignes qui ont une correspondance des deux côtés. LEFT JOIN garde toutes les lignes de la table de gauche, avec des NULL quand il n'y a pas de correspondance. Pour trouver les clients sans commande : LEFT JOIN commandes ... WHERE commandes.id IS NULL (PostgreSQL, jointures).

10. WHERE ou HAVING ? WHERE filtre les lignes avant le regroupement ; HAVING filtre les groupes après le calcul des agrégats. GROUP BY client_id HAVING COUNT(*) >= 2 liste les clients qui ont au moins deux commandes (PostgreSQL, agrégats).

11. Pourquoi ne pas indexer toutes les colonnes ? Un index accélère la recherche, mais il occupe de l'espace et chaque insertion ou mise à jour doit aussi le maintenir ; on indexe donc les colonnes souvent filtrées, triées ou jointes (PostgreSQL, index).

Git

12. Merge ou rebase ? Merge conserve l'historique et ajoute un commit de fusion, sauf en cas d'avance rapide ; rebase rejoue vos commits sur la pointe d'une autre branche et donne un historique linéaire, en réécrivant ces commits. Le livre Pro Git recommande de ne jamais rebaser des commits déjà poussés sur un dépôt public (Pro Git, rebaser).

13. Comment annuler un commit déjà poussé ? Avec git revert, qui crée un nouveau commit inverse sans réécrire l'historique partagé (git revert). git reset déplace la branche et convient surtout aux commits encore locaux (git reset).

Docker et ligne de commande

14. Image ou conteneur ? Une image est un modèle en lecture seule, construit en couches ; un conteneur est une instance exécutable de cette image, isolée du reste de la machine, avec sa propre couche inscriptible (Docker, qu'est-ce qu'une image).

15. Comment garder les données d'une base dans Docker ? Avec un volume : les données écrites dans le système de fichiers du conteneur disparaissent avec lui, alors qu'un volume est géré par Docker et survit à la suppression du conteneur (Docker, volumes). Notre tutoriel Docker pour débutants le montre pas à pas. Pour les questions de terminal, révisez nos commandes Linux de base.

Sécurité

16. Comment éviter une injection SQL ? Avec des requêtes paramétrées (requêtes préparées), qui séparent le code SQL des données, plutôt qu'en concaténant des chaînes. C'est la première défense recommandée par l'OWASP (OWASP, injection SQL). L'injection figure toujours dans le Top 10 2025 de l'OWASP, en cinquième position.

17. Comment stocker un mot de passe ? Jamais en clair ni chiffré de façon réversible : on le hache avec un algorithme lent et salé. L'OWASP recommande Argon2id, puis scrypt si Argon2id est indisponible, bcrypt pour les systèmes existants et PBKDF2 quand la conformité FIPS-140 est exigée (OWASP, stockage des mots de passe).

Algorithmique

18. Pourquoi un Set est-il plus rapide qu'un tableau pour tester l'appartenance ? tableau.includes(x) parcourt les éléments un par un : O(n). La spécification impose à un Set un temps d'accès moyen sous-linéaire ; en pratique, les moteurs utilisent une table de hachage, avec une recherche en O(1) en moyenne, au prix de mémoire en plus (MDN, Set).

Penser à voix haute en live coding : un exemple corrigé

En live coding, l'intervieweur ne peut pas noter un raisonnement qu'il n'entend pas. Une méthode en six temps structure ce que vous dites :

Reformuler le problème et poser les questions de cadrage.
Donner des exemples, dont des cas limites : tableau vide, doublons, valeur absente.
Proposer une solution simple et annoncer sa complexité.
L'améliorer en expliquant le compromis.
Coder en commentant les choix.
Tester à la main sur les exemples, puis conclure sur la complexité.

L'énoncé. Un tableau de nombres et une cible sont donnés ; renvoyer les indices de deux éléments situés à des positions différentes dont la somme vaut la cible, ou null s'il n'y en a pas.

Ce que vous dites d'abord. « Je cherche deux positions différentes. Le tableau peut-il être vide ? Une seule paire suffit ? » Puis vos exemples : [2, 7, 11, 15] avec la cible 9 donne [0, 1] ; [3, 3] avec 6 donne [0, 1] ; [1, 2, 3] avec 7 donne null.

La solution simple. « Je peux tester toutes les paires avec deux boucles. C'est correct, mais en O(n²) ; sur un grand tableau, ce sera lent. »

L'amélioration. « En parcourant le tableau une fois, je peux mémoriser chaque valeur vue et son indice dans une Map. Pour chaque nombre, je cherche si son complément, cible moins nombre, a déjà été vu. »

function deuxSommes(nombres, cible) {
  const vus = new Map(); // valeur -> indice
  for (let i = 0; i < nombres.length; i++) {
    const complement = cible - nombres[i];
    if (vus.has(complement)) return [vus.get(complement), i];
    vus.set(nombres[i], i);
  }
  return null;
}

deuxSommes([2, 7, 11, 15], 9); // [0, 1]
deuxSommes([3, 2, 4], 6);      // [1, 2]
deuxSommes([1, 2, 3], 7);      // null

Le détail à dire à voix haute. On teste le complément avant d'ajouter le nombre courant. Sinon, [3, 2, 4] avec la cible 6 renverrait [0, 0], en utilisant deux fois le 3.

La conclusion. « Temps O(n) en moyenne, un seul parcours ; mémoire O(n) pour la Map. » Nous avons exécuté ce code et la version à deux boucles avec Node.js 22 sur six cas, dont un tableau vide, une paire en double et des nombres négatifs : les deux versions renvoient une paire valide, ou null, sur les six cas.

Si vous bloquez, dites-le et décrivez où : « Je vois la solution en O(n²), je cherche à éviter la seconde boucle. » Un intervieweur peut alors vous orienter, ce qu'il ne peut pas faire face au silence.

Le test à la maison : temps, consignes et droits sur votre code

Ce test technique à la maison, un mini-projet selon OpenClassrooms, mesure ce que vous livrez seul : un code propre, testé et documenté compte plus qu'une fonctionnalité de trop.

Le temps. Aucune source lue ne fixe de durée maximale : demandez le temps attendu et respectez-le. Dans le README, indiquez le temps passé, vos choix et ce que vous feriez avec plus de temps.

Vos droits de candidat. Le Code du travail encadre ces tests. Selon l'article L1221-6, les informations demandées au candidat « doivent présenter un lien direct et nécessaire avec l'emploi proposé ou avec l'évaluation des aptitudes professionnelles ». L'article L1221-8 prévoit que le candidat est « expressément informé, préalablement à leur mise en oeuvre, des méthodes et techniques d'aide au recrutement », que les résultats sont confidentiels et que ces méthodes doivent être pertinentes (Code du travail numérique, L1221-8, consulté le 1er novembre 2026 ; L1221-6).

Qui possède le code ? Le Code de la propriété intellectuelle protège les logiciels comme œuvres de l'esprit, et l'auteur a des droits sur son œuvre « du seul fait de sa création » (article L112-2 et article L111-1, consultés le 1er novembre 2026). Encore faut-il que le code soit original : la Cour de cassation exige un « apport intellectuel propre » et un « effort personnalisé » (Journal du Net, sur l'arrêt du 17 octobre 2012), ce qui est discutable pour un exercice court.

L'article L113-9 attribue à l'employeur les droits sur les logiciels créés par des employés dans l'exercice de leurs fonctions (article L113-9). Un candidat n'est pas encore un employé : à notre lecture, le code d'un test reste à son auteur, sauf contrat contraire. Ce n'est pas un avis juridique. Lisez ce que l'on vous fait accepter, demandez par écrit si votre code sera réutilisé, et vérifiez que l'énoncé n'est pas confidentiel avant de le publier sur GitHub.

L'IA pendant les tests : ce que disent les règles publiées

Certaines entreprises interdisent l'IA pendant un test technique, d'autres l'exigent ; HackerRank, éditeur de tests, note que les employeurs décident encore quand l'autoriser (HackerRank, Developer Skills Report 2025, consulté le 1er novembre 2026).

Entreprise	Test à la maison	Entretien en direct	Source
Anthropic	Sans Claude, sauf indication contraire	« Pas d'assistance par IA, sauf indication contraire » (notre traduction)	Conseils aux candidats
Canva (postes back-end, front-end et apprentissage automatique)	Non précisé dans le billet	Usage des outils d'IA attendu dans l'entretien de code assisté par IA	Blog d'ingénierie de Canva, 11 juin 2025

Chez Canva, les problèmes posés « ne peuvent pas être résolus avec un seul prompt » (notre traduction), et l'évaluation porte sur le découpage d'un besoin ambigu et la correction du code généré.

Dans le même rapport, une enquête mondiale auprès de 13 732 répondants, 76 % des développeurs pensent que l'IA facilite la triche.

La règle pratique : si la consigne ne dit rien, demandez au recruteur avant de commencer. Si l'IA est autorisée, montrez que vous relisez et testez ce qu'elle produit. Voir aussi notre article sur l'usage de l'IA pour coder.

Les questions à poser au recruteur

Préparez au moins une question précise pour chaque interlocuteur :

Au recruteur : quelles sont les prochaines étapes, et dans quels délais ? Quelle est la fourchette de salaire du poste ? Le télétravail est-il possible, et à quel rythme ?
Au manager technique : comment se passe l'intégration d'un nouveau développeur le premier mois ? Comment le code est-il relu avant d'être fusionné ? Comment déployez-vous en production ?
Aux futurs collègues : quelle est la part de tests automatisés ? Existe-t-il des astreintes ? Pour un poste junior, qui sera mon référent ?

Après l'entretien

Juste après l'entretien, notez les questions techniques posées et celles où vous avez hésité : c'est votre programme de révision.

Envoyez dans la journée un message court au recruteur : un remerciement et un point précis de l'échange. Puis attendez : le processus complet est souvent long, et le rapport de HackerRank note que beaucoup de candidats attendent des semaines ou ne reçoivent aucune réponse.

Sans nouvelles à la date annoncée, relancez poliment le recruteur. En cas de refus, demandez un retour sur le test technique.

Trois erreurs à éviter

En plus du silence en live coding et du bluff, trois erreurs se corrigent avant l'entretien :

Sur-concevoir. Une architecture à microservices pour un test de deux heures inquiète plus qu'elle ne rassure.
Ne pas connaître son propre CV. Chaque technologie citée peut devenir une question.
Critiquer un ancien employeur. L'entretien final évalue aussi votre manière de travailler en équipe.

Ce que nous n'avons pas pu vérifier

Plusieurs points restent incertains :

La fréquence du live coding et du test à la maison en France : aucune source chiffrée lue ne les distingue.
Les politiques sur l'IA des employeurs français. Nous n'en avons trouvé aucune publiée ; les exemples cités sont américain et australien.
La pratique actuelle de Canva. Le billet date de juin 2025 ; le format a pu évoluer depuis.

Questions fréquentes

Combien de temps dure un entretien technique développeur ?

La discussion technique dure généralement de 30 à 45 minutes et peut aller jusqu'à 1 h 30, selon le cours d'OpenClassrooms. Le processus complet prend plusieurs semaines : 12 en moyenne pour un recrutement de cadre en 2025, selon l'Apec.

Comment se préparer à un entretien technique de développeur junior ?

Révisez les fondamentaux (JavaScript, HTTP, SQL, Git), entraînez-vous à voix haute sur des exercices courts et relisez vos projets.

Peut-on utiliser ChatGPT pendant un test technique ?

Seulement si l'entreprise l'autorise. Les règles varient : Anthropic interdit l'IA sauf indication contraire, Canva l'attend dans un de ses entretiens. Sans consigne écrite, demandez avant de commencer.

Que faire si je ne connais pas la réponse à une question technique ?

Dites-le, puis expliquez comment vous trouveriez la réponse. OpenClassrooms recommande d'admettre ce que l'on ne sait pas.

À propos de l'auteur

Méthode. Synthèse fondée exclusivement sur des sources publiques : baromètre 2026 de l'Apec, rapport 2025 de HackerRank, cours d'OpenClassrooms, politiques publiées par Anthropic et Canva, Code du travail, Code de la propriété intellectuelle, documentation de MDN, PostgreSQL, Git, Docker, de l'IETF et de l'OWASP. Les chiffres d'éditeurs sont signalés comme tels et les citations en anglais sont traduites par nos soins. Seul le code de l'exercice de live coding a été exécuté. Aucun test n'a été mené auprès de recruteurs, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux entreprises mentionnées.

Limites. L'Apec porte sur l'ensemble des recrutements de cadres et HackerRank sur un échantillon mondial : aucune des deux enquêtes ne mesure spécifiquement les développeurs en France. Notre lecture du Code de la propriété intellectuelle sur le code d'un test n'est pas un avis juridique ; nous n'avons trouvé aucune décision de justice sur ce cas précis.

Une erreur ou une règle périmée ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 1er novembre 2026.

Image : Vitaly Gariev (Unsplash License).

Kubernetes vs Docker : Compose, Swarm ou cluster, que choisir en 2026 ?

Neurau Tech — Sun, 01 Nov 2026 15:35:05 +0000

L'essentiel en une minute

Kubernetes vs Docker est une comparaison trompeuse : Docker construit des images et lance des conteneurs, Kubernetes décide sur quelles machines ils tournent, les remplace quand ils tombent et les met à jour par étapes. La vraie question est ailleurs : Docker Compose sur un serveur suffit-il, ou faut-il un orchestrateur comme Docker Swarm, k3s ou un cluster Kubernetes géré ?

Cet article tranche avec un exemple concret : l'API de tâches de notre tutoriel Docker pour débutants, écrite une fois en compose.yaml et une fois en manifestes Kubernetes. Il s'appuie sur les documentations de Kubernetes, de Docker, de Kompose et de k3s, et sur les pages de tarifs d'AWS, de Google Cloud et d'Azure, consultées le 1er novembre 2026. Les fichiers YAML sont validés syntaxiquement, mais nous ne les avons pas exécutés sur un cluster.

Points clés

Docker et Kubernetes ne font pas le même travail. Depuis la version 1.24, Kubernetes ne prend plus en charge Docker Engine nativement comme moteur, mais les images construites avec docker build fonctionnent toujours.

Au 1er novembre 2026, la version courante est Kubernetes 1.37, maintenue jusqu'au 28 octobre 2027. La 1.38 est prévue le 16 décembre 2026.

Docker Compose reste l'outil officiel pour un seul serveur. Docker Swarm et Kubernetes servent à répartir les conteneurs sur plusieurs machines.

Kompose 1.38.0 convertit un compose.yaml en manifestes, mais ignore depends_on et place les variables d'environnement en clair : le résultat est un point de départ.

Un plan de contrôle géré coûte 0,10 $ par heure chez AWS, soit environ 73 $ par mois selon notre calcul. Google Cloud applique le même tarif, mais un crédit mensuel couvre un cluster zonal ou Autopilot par compte de facturation. Azure propose un niveau gratuit, sans SLA.

Pourquoi « Kubernetes vs Docker » est une fausse opposition

Les deux outils travaillent à des étages différents. Docker fabrique une image à partir d'un Dockerfile, la publie dans un registre et lance des conteneurs sur une machine. Kubernetes, selon sa documentation, est une plateforme qui gère des charges de travail conteneurisées sur un cluster : il redémarre les conteneurs défaillants, tue ceux qui ne répondent pas au test de santé et ne leur envoie pas de trafic tant qu'ils ne sont pas prêts (présentation de Kubernetes, consultée le 1er novembre 2026).

La même page précise ce que Kubernetes ne fait pas : il ne compile pas votre code et ne construit pas vos images. Dans une chaîne réelle, Docker construit l'image, un registre la stocke et Kubernetes la déploie. C'est ce que fait notre tutoriel GitHub Actions, qui publie l'image de l'API sur ghcr.io à chaque modification.

L'idée que « Kubernetes a abandonné Docker » vient d'un changement réel mais étroit. Pendant des années, Kubernetes s'est appuyé sur Docker Engine par l'intermédiaire d'un adaptateur intégré appelé dockershim. Ce composant a été retiré dans la version 1.24, car Docker Engine n'implémente pas l'interface CRI que Kubernetes utilise pour parler aux moteurs de conteneurs (FAQ sur le retrait de dockershim, blog de Kubernetes, 17 février 2022).

La même FAQ répond aux deux inquiétudes habituelles :

Vos images. Celles produites par docker build fonctionnent avec toutes les implémentations de CRI, comme containerd ou CRI-O.
Votre poste. Si vous utilisez Docker pour développer et tester, rien ne change. Pour garder Docker Engine sur les nœuds d'un cluster, Mirantis et Docker se sont engagés à maintenir un adaptateur séparé, cri-dockerd, selon la FAQ et le dépôt de cri-dockerd.

Compose, Swarm, k3s, Kubernetes géré : le tableau comparatif

Le choix réel se fait entre quatre façons de faire tourner des conteneurs Docker en production. Le tableau résume ce que disent leurs documentations officielles, lues le 1er novembre 2026.

Critère	Docker Compose	Docker Swarm	k3s	Kubernetes géré (EKS, GKE, AKS)
Nombre de machines	Une seule	Plusieurs	Une ou plusieurs	Plusieurs
Fichier de description	`compose.yaml`	`compose.yaml` via `docker stack deploy`	Manifestes Kubernetes	Manifestes Kubernetes
Remplacement d'un conteneur tombé	Politique `restart` sur la machine	Oui, y compris sur un autre nœud	Oui, comme Kubernetes	Oui
Mise à jour progressive et retour arrière	Non, recréation du service	Oui (`update_config`, `rollback_config`)	Oui, via le Deployment	Oui, via le Deployment
Mise à l'échelle automatique	Non documentée	Non documentée dans les pages lues	Oui, Metrics Server installé d'office	Oui, Metrics Server à ajouter sur EKS, à vérifier ailleurs
Plan de contrôle à gérer	Aucun	Nœuds managers Swarm	Un binaire, à mettre à jour vous-même	Fourni par le cloud, facturé ou non
Versions au 1er novembre 2026	Compose 5.6.1 (21 octobre)	Intégré à Docker Engine 29.9.2	Canal stable 1.36.5+k3s1	Selon le fournisseur

Sources : Compose en production, mode Swarm, spécification deploy de Compose, documentation de k3s, mise à l'échelle horizontale, versions relevées sur les pages de publication de Docker Compose, de Docker Engine et sur le canal de mise à jour de k3s.

Quelques nuances que les tableaux concurrents oublient :

Compose est fait pour une machine. La documentation de Docker indique que Compose prend en charge la production sur un seul hôte, et que la façon la plus simple de déployer reste un seul serveur. Lancé sur un nœud Swarm, Compose prévient qu'il place tous les conteneurs sur la machine courante (déploiement d'une pile sur Swarm).
Swarm demande un registre. Le même tutoriel montre que docker stack deploy ignore la clé build : l'image doit être poussée dans un registre accessible à tous les nœuds. La page du mode Swarm conseille d'ailleurs Compose si vous ne comptez pas déployer avec Swarm.
k3s est un vrai Kubernetes. Sa documentation le décrit comme une distribution entièrement conforme, livrée en un binaire de moins de 100 Mo, avec containerd, CoreDNS, Traefik et un fournisseur de volumes locaux. Elle demande au minimum 2 cœurs et 2 Go de mémoire pour un serveur (prérequis de k3s).
Metrics Server n'est pas partout. Le HorizontalPodAutoscaler lit le processeur et la mémoire des Pods via l'API de métriques, fournie en général par le module Metrics Server, qui doit être lancé séparément (mise à l'échelle horizontale). k3s le déploie d'office parmi ses composants intégrés (composants de k3s). Amazon EKS ne le déploie pas par défaut (documentation d'EKS). La documentation d'AKS indique seulement que les offres cloud peuvent le préinstaller (HPA sur AKS). Vérifiez avec kubectl get deployment metrics-server -n kube-system.

Côté usage, l'écart reste net. Dans l'enquête Stack Overflow 2026, 59,1 % des 10 889 répondants à la rubrique « Cloud development » ont travaillé avec Docker ou Docker Compose dans l'année, contre 26,0 % pour Kubernetes et 13,0 % pour Podman, soit 6 440, 2 836 et 1 415 répondants (Stack Overflow Developer Survey 2026, consulté le 1er novembre 2026).

Kubernetes vs Docker Compose : quand passer le cap

Docker Compose sur un serveur suffit tant qu'une panne de cette machine est acceptable et que la charge tient sur elle. Un orchestrateur devient utile dès que l'une de ces deux conditions tombe. Nous ne donnons pas de seuil en utilisateurs ou en requêtes par seconde : aucune des sources officielles consultées n'en fixe, et les chiffres qui circulent ne sont pas sourcés.

Restez sur Compose si :

Une seule machine porte l'application. Une API, sa base et un Nginx reverse proxy devant tiennent dans un fichier, avec restart: unless-stopped pour relancer un conteneur arrêté.
Une courte coupure au déploiement est tolérable. docker compose up -d recrée le service : c'est simple, mais ce n'est pas une mise à jour progressive.
Personne n'est disponible pour exploiter un cluster. Compose se maintient avec les commandes Linux de base, Docker et un peu de supervision.

Les signaux généraux en faveur d'un orchestrateur (plusieurs nœuds, mises à jour sans coupure, charge variable, équipes multiples) sont détaillés dans la section quand Kubernetes vaut le coup de notre guide pour débutants. Le choix se joue ensuite entre trois options :

Docker Swarm si vous voulez garder compose.yaml et la ligne de commande Docker. Swarm répartit les services sur plusieurs machines et sait revenir en arrière après une mise à jour, mais il exige un registre et nous n'avons trouvé aucune mise à l'échelle automatique dans sa documentation.
k3s si vous avez vos propres serveurs ou quelques machines virtuelles. Vous obtenez l'API Kubernetes complète, avec Traefik, des volumes locaux et Metrics Server déjà installés, mais le plan de contrôle et ses mises à jour sont à votre charge.
Un Kubernetes géré si la disponibilité prime et que le budget suit. Le fournisseur exploite le plan de contrôle. Par défaut, un Deployment garde au moins 75 % des Pods voulus disponibles et n'en crée pas plus de 125 % pendant une mise à jour (documentation des Deployments).

Un piège revient souvent : Kubernetes ne rend pas une application capable de monter en charge. Notre API stocke ses données dans un fichier SQLite. Deux copies qui écrivent dans le même fichier posent problème, quel que soit l'orchestrateur : il faut d'abord passer à PostgreSQL, comme le recommande notre tutoriel pour créer une API REST avec Node.js.

Verdict : dans le duel Kubernetes vs Docker Compose, le premier critère est le nombre de machines nécessaires ; le partage de l'infrastructure entre plusieurs équipes vient ensuite. Dans tous les cas, Docker reste l'outil pour construire les images et développer en local.

La même API en compose.yaml puis en manifestes Kubernetes

L'API de nos tutoriels écoute le port 3000, refuse de démarrer sans un JWT_SECRET d'au moins 32 octets, écrit sa base SQLite dans /app/data et répond {"statut":"ok"} sur /health. L'image est celle que publie le workflow GitHub Actions, ghcr.io/<compte>/api-taches.

Le compose.yaml

Ce fichier reprend les choix de nos guides Docker et Nginx : port publié sur l'adresse locale seulement, secret lu dans le .env, test de santé sur /health.

services:
  api:
    build: .
    image: ghcr.io/votre-compte/api-taches:main
    ports:
      - "127.0.0.1:3000:3000"
    environment:
      JWT_SECRET: ${JWT_SECRET:?definir JWT_SECRET dans .env}
      DB_PATH: /app/data/data.db
    volumes:
      - api-data:/app/data
    init: true
    healthcheck:
      test: ["CMD", "node", "-e", "fetch('http://127.0.0.1:3000/health').then(r => process.exit(r.ok ? 0 : 1)).catch(() => process.exit(1))"]
      interval: 30s
      timeout: 5s
      retries: 3
      start_period: 10s
    restart: unless-stopped

volumes:
  api-data:

Vingt et une lignes, une commande (docker compose up -d --build), et aucun composant à installer en dehors de Docker.

Les manifestes Kubernetes

Côté Kubernetes, le secret vit dans un objet séparé. La documentation prévient que les Secrets sont stockés sans chiffrement par défaut dans etcd, la base du cluster, et que toute personne ayant accès à l'API peut les lire (documentation des Secrets). Générez d'abord une valeur de 32 octets, comme dans notre guide Nginx, puis créez le Secret en ligne de commande plutôt que de l'écrire dans un fichier versionné :

export JWT_SECRET=$(docker run --rm node:24-alpine node -e "console.log(require('node:crypto').randomBytes(32).toString('hex'))")
kubectl create secret generic api-taches --from-literal=JWT_SECRET="$JWT_SECRET"

Le fichier équivalent, à ne jamais placer dans Git avec une vraie valeur. Le texte de remplacement fait moins de 32 octets : tant qu'il n'est pas changé, l'API refuse de démarrer, ce qui est voulu.

apiVersion: v1
kind: Secret
metadata:
  name: api-taches
type: Opaque
stringData:
  JWT_SECRET: "A-REMPLACER"

Puis le fichier api-taches.yaml, avec le volume, le Deployment et le Service :

apiVersion: v1
kind: PersistentVolumeClaim
metadata:
  name: api-data
spec:
  accessModes:
    - ReadWriteOnce
  resources:
    requests:
      storage: 1Gi

---
apiVersion: apps/v1
kind: Deployment
metadata:
  name: api-taches
  labels:
    app: api-taches
spec:
  replicas: 1
  strategy:
    type: Recreate
  selector:
    matchLabels:
      app: api-taches
  template:
    metadata:
      labels:
        app: api-taches
    spec:
      shareProcessNamespace: true
      securityContext:
        fsGroup: 1000
        fsGroupChangePolicy: OnRootMismatch
      containers:
        - name: api
          image: ghcr.io/votre-compte/api-taches:sha-1a2b3c4
          ports:
            - containerPort: 3000
          env:
            - name: JWT_SECRET
              valueFrom:
                secretKeyRef:
                  name: api-taches
                  key: JWT_SECRET
            - name: DB_PATH
              value: /app/data/data.db
          volumeMounts:
            - name: data
              mountPath: /app/data
          readinessProbe:
            httpGet:
              path: /health
              port: 3000
            periodSeconds: 10
          livenessProbe:
            httpGet:
              path: /health
              port: 3000
            initialDelaySeconds: 10
            periodSeconds: 30
      volumes:
        - name: data
          persistentVolumeClaim:
            claimName: api-data

---
apiVersion: v1
kind: Service
metadata:
  name: api-taches
spec:
  selector:
    app: api-taches
  ports:
    - port: 80
      targetPort: 3000

Appliquez-le avec kubectl apply -f api-taches.yaml, puis suivez le déploiement avec kubectl rollout status deployment/api-taches. La taille de 1 Gi est un exemple : ajustez-la. Le tag sha-1a2b3c4 remplace le commit abrégé que produit notre workflow GitHub Actions : avec un tag autre que latest, Kubernetes règle par défaut imagePullPolicy sur IfNotPresent, et un nœud qui a déjà une image main en cache ne téléchargerait pas la nouvelle (documentation des images). Un tag par commit rend chaque déploiement explicite. Si le paquet GHCR est privé, le Pod aura besoin d'un imagePullSecrets. Pour les bases de ces objets, notre guide Kubernetes pour débutants les présente un par un.

Ce qui change entre les deux

Quatre choix de ces manifestes découlent de SQLite et de la documentation :

replicas: 1 et strategy: Recreate. Un volume en ReadWriteOnce ne peut être monté en écriture que par un seul nœud (volumes persistants). La stratégie Recreate arrête l'ancien Pod avant de lancer le nouveau : il y a donc une courte coupure, comme avec Compose. Pour une vraie mise à jour progressive, passez à PostgreSQL et à la stratégie par défaut.
fsGroup: 1000. L'image de notre guide Docker tourne sous l'utilisateur node, d'identifiant 1000. Pour les types de volumes qui le permettent, fsGroup attribue ce groupe aux fichiers du volume pour que SQLite puisse écrire ; fsGroupChangePolicy: OnRootMismatch évite de refaire ce changement à chaque démarrage si la racine du volume est déjà correcte (contexte de sécurité).
shareProcessNamespace: true, une alternative à init: true. Nous n'avons trouvé dans les pages consultées aucun champ de Pod qui lance un processus d'init comme le fait Compose ; avec ce réglage, les conteneurs d'un même Pod voient aussi les processus et les fichiers des autres, ce qui compte si vous ajoutez un second conteneur. Or Node.js n'est pas conçu pour tourner avec le PID 1 et ne répond alors pas à des signaux comme SIGINT (bonnes pratiques de l'image Node.js). Sans correctif, chaque arrêt du Pod attendrait la fin du délai de grâce, 30 secondes par défaut (cycle de vie des Pods). Avec un espace de processus partagé, le processus du conteneur n'a plus le PID 1 (partage de l'espace de processus). L'autre solution, que recommandent aussi les bonnes pratiques de l'image Node.js, consiste à ajouter Tini au Dockerfile : RUN apk add --no-cache tini et ENTRYPOINT ["/sbin/tini", "--"], selon le README de Tini.
Deux sondes au lieu d'un test de santé. La sonde de disponibilité (readiness) décide si le Pod reçoit du trafic, la sonde de vie (liveness) le redémarre s'il échoue. Une sonde de vie trop sévère peut provoquer des redémarrages en cascade sous forte charge, prévient la documentation des sondes.

Dans compose.yaml	Dans Kubernetes	Remarque
`services.api`	Deployment + Service	Le Service donne une adresse stable
`ports: 127.0.0.1:3000:3000`	Service `ClusterIP`, port 80 vers 3000	Exposition publique : Ingress ou Gateway
`environment` + `.env`	Secret + `secretKeyRef`	Secret non chiffré par défaut dans etcd
`volumes: api-data`	PersistentVolumeClaim	Suppose une classe de stockage par défaut
`healthcheck`	`readinessProbe` et `livenessProbe`	Deux rôles distincts
`restart: unless-stopped`	`restartPolicy: Always`, seule valeur permise dans un Deployment	Le kubelet relance le conteneur ; le Deployment recrée le Pod, au besoin ailleurs
`build: .`	Aucun équivalent	L'image doit venir d'un registre

Comptées de la même façon, sans les lignes vides, le fichier Compose fait 21 lignes et les manifestes Kubernetes 82 avec le Secret, soit plus du triple. Dans ce match Kubernetes vs Docker Compose, ce surcoût en YAML n'est rentable que si vous avez besoin de ce qu'il apporte.

Migrer avec Kompose : ce qu'il convertit, ce qu'il laisse

Kompose, un projet officiel du groupe Kubernetes, sert à passer d'un fichier Compose à des manifestes. Son README le dit lui-même : la transformation « peut ne pas être exacte », mais elle aide beaucoup pour un premier déploiement (notre traduction, dépôt de Kompose, consulté le 1er novembre 2026).

La dernière version publiée est la 1.38.0, du 15 janvier 2026, selon la page des versions. Le README annonce un rythme de sortie toutes les trois semaines : aucune version n'est pourtant parue depuis plus de neuf mois. La commande de base est la suivante :

kompose convert -f compose.yaml

Le tableau de conversion de Kompose et son guide d'utilisation détaillent ce qui passe et ce qui ne passe pas :

Clé Compose	Ce que produit Kompose
`image`, `ports`	Deployment et Service
`environment`	Variables en clair dans le Deployment
`volumes`	PersistentVolumeClaim de 100 Mi par défaut, avec stratégie `Recreate`
`healthcheck`	Sonde de vie (liveness) qui exécute la commande `test`
`depends_on`	Non applicable, ignoré
`build`	Construction seulement avec `--build`, envoi avec `--push-image`
`build: args`	Pas encore implémenté

Trois limites comptent pour notre API. D'abord, le secret : environment devient une variable du Deployment, donc JWT_SECRET se retrouve en clair dans un fichier YAML. Remplacez-le par un Secret avant tout commit. Ensuite, l'ordre de démarrage : depends_on n'a pas d'équivalent, et chaque service doit savoir attendre ses dépendances.

Enfin, les sondes : le healthcheck de Compose devient une sonde de vie qui lance la même commande, mais aucune sonde de disponibilité n'est créée sans étiquettes propres à Kompose. Ajoutées au service api, celles-ci produisent une sonde de disponibilité HTTP sur /health :

    labels:
      kompose.service.healthcheck.readiness.http_get_path: /health
      kompose.service.healthcheck.readiness.http_get_port: "3000"

La taille par défaut de 100 Mi et le passage du healthcheck en sonde de vie se lisent dans le code source de la version 1.38.0, l'étiquette kompose.volume.size permettant de changer la taille.

Verdict : utilisez Kompose pour obtenir un brouillon, puis relisez chaque fichier. Les points ci-dessus sont ceux que nos manifestes écrits à la main traitent différemment.

Coûts et charge d'exploitation

Le logiciel est gratuit, son exploitation ne l'est pas : il faut payer le plan de contrôle géré et suivre les versions.

Le rythme des versions

Le projet maintient les trois dernières versions mineures, soit 1.37, 1.36 et 1.35, avec environ un an de correctifs pour chacune, suivi de deux mois en mode maintenance (page des versions et politique des correctifs, consultées le 1er novembre 2026). La 1.37, nom de code Garhwal, est sortie le 26 août 2026 avec 67 améliorations (annonce de la 1.37).

Version	Sortie	Mode maintenance	Fin de vie
1.37	26 août 2026	28 août 2027	28 octobre 2027
1.36	22 avril 2026	28 avril 2027	28 juin 2027
1.35	17 décembre 2025	28 décembre 2026	28 février 2027

La 1.38 est prévue le 16 décembre 2026, selon le calendrier de la version 1.38. Un cluster installé aujourd'hui devra donc être mis à jour au moins une fois par an, en passant d'une version mineure à la suivante. Dernier correctif relevé : 1.37.2, publié le 28 octobre 2026 sur GitHub.

Le prix d'un plan de contrôle géré

Les trois grands clouds facturent différemment le plan de contrôle, hors machines, stockage et réseau. Tarifs relevés le 1er novembre 2026 :

Offre	Plan de contrôle	Condition
Amazon EKS, support standard	0,10 $ par cluster et par heure	14 premiers mois d'une version dans EKS
Amazon EKS, support étendu	0,60 $ par cluster et par heure	12 mois supplémentaires
Google Kubernetes Engine	0,10 $ par cluster et par heure	Crédit de 74,40 $ par mois et par compte de facturation
Azure Kubernetes Service, niveau Free	Gratuit	Sans SLA, déconseillé au-delà de 10 nœuds
Azure Kubernetes Service, niveau Standard	Prix non relevé, illisible sur la page	Avec SLA sur le serveur d'API
Azure Kubernetes Service, niveau Premium	Prix non relevé, illisible sur la page	SLA et support à long terme

Sources : tarifs d'Amazon EKS, tarifs de GKE et tarifs d'AKS. Google précise que son crédit gratuit équivaut à un cluster zonal ou Autopilot par mois.

Notre calcul. 0,10 $ sur 730 heures donne environ 73 $ par mois pour le seul plan de contrôle chez AWS. Une version laissée en support étendu chez EKS passe à 0,60 $, soit environ 438 $ par mois. Ne pas mettre à jour son cluster a donc un prix direct.

Ce surcoût place Kubernetes géré au-dessus des offres plus simples présentées dans notre guide de l'hébergement cloud pour développeurs. Pour comparer les trois fournisseurs au-delà de Kubernetes, notre duel AWS vs Azure vs Google Cloud détaille les autres services.

Ce que nous n'avons pas pu vérifier

Cet article est une synthèse documentaire. Les points suivants restent ouverts :

L'exécution des fichiers. Le compose.yaml et les manifestes ont été validés comme YAML, pas exécutés sur Docker ni sur un cluster. La conversion par Kompose n'a pas été lancée.
Le prix des niveaux Standard et Premium d'AKS. La page de tarifs d'Azure n'affichait pas de montant lisible au moment de notre lecture.
L'avenir de Docker Swarm. La documentation de Docker le présente comme intégré à Docker Engine, mais nous n'avons trouvé aucune feuille de route officielle.
Metrics Server sur GKE et AKS. Nous n'avons trouvé aucune page officielle qui dise clairement s'il est installé d'office ; la documentation d'AKS dit seulement que les offres cloud « peuvent » le préinstaller (notre traduction).
L'arrêt de l'API avec shareProcessNamespace. La documentation dit que le processus perd le PID 1 ; que Node.js s'arrête alors proprement sur SIGTERM est notre déduction, non testée. Tini dans l'image reste l'option la plus documentée.

Questions fréquentes

Kubernetes remplace-t-il Docker ?

Non, et c'est le cœur du débat Kubernetes vs Docker. Kubernetes a retiré dockershim dans la version 1.24 et ne prend plus en charge Docker Engine nativement sur ses nœuds, mais les images construites avec docker build fonctionnent avec tous les moteurs compatibles CRI, selon la FAQ officielle. Docker reste l'outil de construction et de développement local.

Docker Compose peut-il servir en production ?

Oui, sur une seule machine. La documentation de Docker cite les déploiements sur un seul hôte parmi les usages de Compose. Au-delà d'une machine, il faut Docker Swarm ou Kubernetes.

Comment passer de Docker Compose à Kubernetes ?

Kompose convertit un compose.yaml avec kompose convert -f compose.yaml. Relisez ensuite chaque fichier : les variables d'environnement y sont en clair, depends_on est ignoré et chaque volume devient une demande de stockage, selon le tableau de conversion.

Quelle est la version actuelle de Kubernetes ?

Au 1er novembre 2026, c'est la 1.37, sortie le 26 août 2026 et maintenue jusqu'au 28 octobre 2027, selon la page des versions. Les versions 1.36 et 1.35 sont aussi maintenues, et la 1.38 est prévue le 16 décembre 2026.

À propos de l'auteur

Méthode. Synthèse documentaire fondée exclusivement sur des sources publiques consultées le 1er novembre 2026 : documentation, blog et pages de versions de Kubernetes, documentation de Docker, de Kompose et de k3s, pages de publication sur GitHub, pages de tarifs d'AWS, de Google Cloud et d'Azure, enquête Stack Overflow 2026. Les fichiers YAML ont été validés syntaxiquement mais n'ont été exécutés ni sur Docker ni sur un cluster. Les citations issues de sources en anglais sont traduites par nos soins. Aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs mentionnés.

Une erreur ou un tarif périmé ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 1er novembre 2026.

Image d'en-tête : Tom Fisk (Pexels License). Graphiques : NeurauTech, d'après Stack Overflow et kubernetes.io.

Apprendre TypeScript en 2026 : les bases, la différence avec JavaScript et la migration pas à pas

Neurau Tech — Sun, 01 Nov 2026 15:35:01 +0000

L'essentiel en une minute

Apprendre TypeScript prend peu de temps quand on connaît déjà JavaScript : c'est le même langage, avec des types vérifiés avant l'exécution. Ce guide part de là. Si les variables, les fonctions, map ou async/await ne vous sont pas encore familiers, commencez par notre guide pour apprendre JavaScript : nous ne reprenons pas ces bases ici.

Chaque exemple a été vérifié avec le compilateur TypeScript 7.0.2 et exécuté avec Node.js 22.15.0 et l'option --experimental-strip-types ; les erreurs affichées sont celles que le compilateur a produites. Versions et chiffres viennent de sources officielles lues le 31 octobre 2026.

Points clés

TypeScript vérifie les types avant l'exécution, puis les efface : il ne valide pas les données reçues.

La version courante est TypeScript 7.0.2, un compilateur natif que Microsoft annonce de 8 à 12 fois plus rapide sur une compilation complète.

Node.js exécute un fichier .ts sans option depuis la version 22.18.0, si le code n'utilise que de la syntaxe effaçable, et sans vérifier les types.

À apprendre en premier : inférence, interfaces, unions, rétrécissement, génériques, et unknown plutôt que any.

Un projet JavaScript se migre fichier par fichier, avec checkJs et JSDoc d'abord.

Ce que TypeScript ajoute à JavaScript, et ce qu'il ne fait pas

TypeScript est une surcouche de JavaScript : il ajoute une syntaxe de types, un vérificateur qui la contrôle avant l'exécution, et un outillage d'éditeur qui s'en sert. Le reste est du JavaScript.

Ce qu'il apporte, concrètement :

Des types statiques. Un appel avec une chaîne là où un number est attendu est signalé avant l'exécution.
Des erreurs à la compilation. Propriété mal orthographiée, valeur peut-être undefined, argument oublié : tsc les trouve sans exécuter le code.
Un éditeur plus utile. Autocomplétion, renommage sûr et navigation s'appuient sur les types, dans VS Code ou un autre IDE.

Ses limites sont aussi importantes à comprendre pour apprendre TypeScript sans malentendu :

Les types sont effacés à l'exécution. Le code n'est pas plus rapide, et rien n'est vérifié pendant qu'il tourne.
Aucune validation des données externes. Une requête HTTP ou un fichier JSON arrivent sans garantie ; écrire as Utilisateur ne vérifie rien.
any désactive tout. Une valeur any n'est plus contrôlée, et l'erreur ressort à l'exécution.

Pour les données externes, il faut une validation à l'exécution. Notre tutoriel pour créer une API REST avec Node.js et Express utilise Zod, une bibliothèque qui valide les données et dont on peut dériver les types TypeScript.

Qui utilise TypeScript ?

TypeScript est sixième de l'enquête Stack Overflow 2026, utilisé par 43,8 % des 14 099 répondants à la question sur les langages (Stack Overflow Developer Survey 2026, consulté le 31 octobre 2026). C'est un usage déclaré, pas une mesure du marché.

Selon le rapport Octoverse 2026 de GitHub, TypeScript reste le premier langage par nombre de contributeurs. De septembre 2025 à septembre 2026, il a gagné 3,62 millions de contributeurs mensuels, contre 3,23 millions pour Python et 1,82 million pour JavaScript (GitHub Octoverse 2026, 28 octobre 2026).

Le rapport compte les comptes actifs chaque mois, dépôts privés inclus, et un même compte peut compter pour plusieurs langages.

TypeScript vs JavaScript : le tableau des différences

La différence entre TypeScript et JavaScript tient au moment où les erreurs de type sont détectées : avant l'exécution pour TypeScript, pendant pour JavaScript.

Critère	JavaScript	TypeScript
Typage	Dynamique, vérifié à l'exécution	Statique, vérifié avant l'exécution, puis effacé
Exécution	Directe dans le navigateur et Node.js	Compilé en JavaScript, ou types retirés par Node.js
Erreur `"5" + 3`	Silencieuse, donne `"53"`	Signalée si un `number` est attendu
Validation des données externes	À écrire soi-même	À écrire soi-même aussi (Zod, Valibot, contrôles manuels)
Éditeur	Autocomplétion approximative	Autocomplétion, renommage et navigation fondés sur les types
Performances à l'exécution	Référence	Identiques : c'est le même JavaScript qui tourne
Projets adaptés	Scripts, prototypes, petites pages	Code partagé en équipe, bibliothèques, applications qui durent

TypeScript n'accélère donc pas l'exécution : il réduit les erreurs qui l'atteignent. Le chiffre de 15 % de bugs évités, souvent cité, vient d'une étude de Zheng Gao, Christian Bird et Earl T. Barr présentée à la conférence ICSE 2017. Après avoir annoté à la main le code de 400 bugs publics de projets JavaScript sur GitHub, ils estiment que TypeScript 2.0 et Flow 0.30 en détectaient chacun 60, soit 15 % (intervalle de confiance à 95 % : 11,5 % à 18,5 %) (« To Type or Not to Type », ICSE 2017, DOI 10.1109/ICSE.2017.75).

Réserves : l'étude porte sur TypeScript 2.0, ne compte que des bugs déjà publiés (ce qui, selon les auteurs, sous-estime l'effet) et mesure des bugs détectables, pas évités.

Installer TypeScript 7 et configurer tsconfig

TypeScript s'installe dans chaque projet, comme dépendance de développement. Le registre npm sert la version 7.0.2 sous l'étiquette latest (consulté le 31 octobre 2026), et le site officiel indique « currently 7.0 ».

npm install --save-dev typescript
npx tsc --version
# -> Version 7.0.2
npm pkg set type=module

La dernière commande ajoute "type": "module" au package.json. Sans elle, avec la configuration ci-dessous, tsc traite vos fichiers comme du CommonJS et refuse import et export (erreurs TS1295 et TS1287 dans notre essai).

Ce qui change avec TypeScript 7

TypeScript 7 est une réécriture du compilateur en code natif. Selon son annonce, il donne « typiquement des accélérations entre 8x et 12x sur les compilations complètes » (blog de TypeScript, 8 juillet 2026, notre traduction). Ce sont des mesures de Microsoft (équipe TypeScript) ; le graphique reprend les cinq projets publiés, de 7,7x à 11,9x.

Trois conséquences pour qui débute en 2026 :

strict est activé par défaut depuis TypeScript 6.0, et module vaut esnext. Les options dépréciées en 6.0, comme target: es5 ou baseUrl, sont devenues des erreurs.
Le compilateur n'expose pas encore d'API programmable. Le contrôle des gabarits Vue, Svelte, Angular, Astro ou MDX n'est donc pas encore pris en charge et ces outils restent sur TypeScript 6.0. TypeScript 7.1, en bêta depuis le 20 octobre 2026, doit apporter une nouvelle API (annonce de TypeScript 7.1 Beta).
L'éditeur. L'annonce indique que VS Code dispose d'une extension dédiée à TypeScript 7. Pour bien équiper l'éditeur par ailleurs, voyez notre sélection d'extensions VS Code.

Le tsconfig.json essentiel

npx tsc --init génère un fichier commenté qui active notamment strict et noUncheckedIndexedAccess, et fixe "types": [] : pour Node.js, ajoutez "types": ["node"] et installez @types/node.

Voici la configuration utilisée pour nos exemples, celle que recommande la documentation de Node.js, plus strict et skipLibCheck :

{
  "compilerOptions": {
    "target": "esnext",
    "module": "nodenext",
    "strict": true,
    "noEmit": true,
    "erasableSyntaxOnly": true,
    "verbatimModuleSyntax": true,
    "rewriteRelativeImportExtensions": true,
    "skipLibCheck": true
  }
}

Option	Rôle
`strict`	Toutes les vérifications strictes, dont `noImplicitAny`
`noEmit`	Vérifie sans produire de fichiers `.js`
`erasableSyntaxOnly`	Refuse la syntaxe que Node.js ne sait pas effacer, comme `enum`
`verbatimModuleSyntax`	Impose `import type` pour les imports de types
`rewriteRelativeImportExtensions`	Autorise les imports en `.ts` et les réécrit en `.js` lors d'une compilation

Exécuter un fichier .ts directement avec Node.js

Node.js sait retirer les annotations d'un fichier .ts et exécuter le JavaScript restant. Selon sa documentation, cette suppression des types est activée par défaut depuis les versions 23.6.0 et 22.18.0, et elle est déclarée stable depuis les versions 25.2.0 et 24.12.0 (TypeScript dans Node.js, consulté le 31 octobre 2026).

node bases.ts          # Node.js 22.18.0 ou plus récent
npx tsc --noEmit       # la vérification des types, à lancer à part

Quatre règles évitent les surprises :

Node.js ne vérifie pas les types. Sa page d'apprentissage recommande npx tsc --noEmit à côté.
Seule la syntaxe effaçable passe. enum, les propriétés de paramètres, les namespace qui contiennent du code et les alias import x = require(...) demandent une transformation. L'option --experimental-transform-types, qui contournait cette limite, a été retirée dans Node.js 26.0.0.
L'extension est obligatoire dans les imports : import "./fichier.ts", pas import "./fichier".
Les imports de types portent le mot-clé type, sinon le programme échoue.

Les fichiers .tsx et les paths du tsconfig ne sont pas pris en charge non plus : dans ce cas, compilez avec tsc ou un outil de build.

Apprendre TypeScript par les notions clés

Ces exemples passent tous tsc avec la configuration ci-dessus ; // -> indique la sortie obtenue. C'est l'ordre que nous conseillons pour apprendre TypeScript.

Annotations et inférence

const prenom: string = "Inès";
let score = 10;                 // type inféré : number
const langage = "TypeScript";   // type inféré : "TypeScript"

function prixTTC(prixHT: number, taux: number = 0.2): number {
  return prixHT * (1 + taux);
}

score = score + 5;
console.log(`${prenom} a ${score} points`); // -> Inès a 15 points
console.log(prixTTC(100), langage);         // -> 120 TypeScript

N'annotez pas tout. TypeScript déduit le type de score de sa valeur initiale. Annotez surtout les paramètres de fonctions et les valeurs de retour publiques : c'est là que les types documentent votre code.

Interfaces et alias de type

interface Utilisateur {
  id: number;
  nom: string;
  email?: string; // propriété facultative
}
interface Admin extends Utilisateur {
  droits: string[];
}
type Point = { x: number; y: number };

const ada: Admin = { id: 1, nom: "Ada", droits: ["publier"] };
console.log(ada.nom, ada.email ?? "pas d'e-mail"); // -> Ada pas d'e-mail

Le manuel officiel note qu'une interface peut être rouverte pour recevoir de nouvelles propriétés, pas un alias type, et propose une règle : utiliser interface jusqu'à avoir besoin d'une fonction propre à type (par exemple une union) (Everyday Types, notre traduction).

Unions, types littéraux et rétrécissement

type Role = "admin" | "editeur" | "lecteur"; // union de types littéraux

function formater(valeur: string | number): string {
  if (typeof valeur === "number") {
    return valeur.toFixed(2);     // ici, valeur est un number
  }
  return valeur.toUpperCase();    // ici, valeur est une string
}

type Resultat =
  | { ok: true; valeur: number }
  | { ok: false; erreur: string };

function afficher(r: Resultat): string {
  return r.ok ? `Valeur : ${r.valeur}` : `Erreur : ${r.erreur}`;
}

console.log(formater(3.14159), formater("ts")); // -> 3.14 TS
console.log(afficher({ ok: false, erreur: "fichier introuvable" }));
// -> Erreur : fichier introuvable

Le rétrécissement (narrowing) est le cœur de TypeScript au quotidien : après un test typeof, in ou sur une propriété commune comme ok, le compilateur sait quel membre de l'union vous manipulez.

Pour qu'un switch traite tous les cas d'une union, ajoutez une vérification d'exhaustivité avec le type never :

type Forme =
  | { type: "cercle"; rayon: number }
  | { type: "carre"; cote: number };

function aire(f: Forme): number {
  switch (f.type) {
    case "cercle":
      return Math.PI * f.rayon ** 2;
    case "carre":
      return f.cote ** 2;
    default: {
      const jamais: never = f; // erreur si un cas est oublié
      return jamais;
    }
  }
}
console.log(aire({ type: "carre", cote: 3 }).toFixed(2)); // -> 9.00

Si l'on ajoute { type: "triangle"; base: number; hauteur: number } à l'union sans nouveau case, tsc répond : « Impossible d'assigner le type '{ type: "triangle"; base: number; hauteur: number; }' au type 'never' » (TS2322).

Les génériques

function premier<T>(liste: T[]): T | undefined {
  return liste[0];
}
interface Reponse<T> {
  statut: number;
  donnees: T;
}

const n = premier([10, 20, 30]); // number | undefined
const r: Reponse<string[]> = { statut: 200, donnees: ["ok"] };
console.log(n, r.donnees.length); // -> 10 1

Un générique est un type en paramètre. premier fonctionne pour toute liste et conserve le type de ses éléments, là où any le perdrait.

Les types utilitaires

interface Article { id: number; titre: string; contenu: string; publie: boolean }

type MiseAJour = Partial<Article>;            // tout devient facultatif
type Apercu = Pick<Article, "id" | "titre">;  // garde deux propriétés
type NouvelArticle = Omit<Article, "id">;     // retire id
type Compteurs = Record<"vues" | "partages", number>;

const apercu: Readonly<Apercu> = { id: 7, titre: "Apprendre TypeScript" };

Ils évitent de recopier une interface pour chaque variante. Partial sert aux mises à jour partielles d'une API, Omit aux données de création sans identifiant.

L'opérateur satisfies vérifie qu'une valeur respecte un type sans perdre le type précis de chaque propriété :

type Couleur = "rouge" | "vert" | "bleu";

const palette = {
  rouge: "#e11d48",
  vert: [34, 197, 94],
} satisfies Partial<Record<Couleur, string | number[]>>;

console.log(palette.rouge.toUpperCase()); // -> #E11D48
console.log(palette.vert.join(", "));      // -> 34, 197, 94

Une clé jaune serait refusée (TS2353). Avec une simple annotation de type, palette.rouge.toUpperCase() échouerait (TS18048 et TS2339).

enum ou union de littéraux ?

Préférez une union de littéraux, ou un objet as const, à enum. Avec erasableSyntaxOnly, tsc refuse enum (erreur TS1294), et Node.js 22.15.0 échoue avec ERR_UNSUPPORTED_TYPESCRIPT_SYNTAX : « TypeScript enum is not supported in strip-only mode ». L'alternative fonctionne partout :

const Statut = { Brouillon: "brouillon", Publie: "publie" } as const;
type Statut = (typeof Statut)[keyof typeof Statut]; // "brouillon" | "publie"
const s: Statut = Statut.Publie;
console.log(s); // -> publie

any ou unknown ?

any accepte tout et ne vérifie plus rien. Le code suivant passe tsc en mode strict sans la moindre erreur, puis plante :

let donnee: any = "texte";
donnee.toFixed(2); // -> TypeError: donnee.toFixed is not a function

unknown accepte tout aussi, mais interdit de s'en servir avant de l'avoir vérifié. Appeler .toUpperCase() sur une valeur unknown produit l'erreur TS18046. Voici la bonne façon d'en sortir, avec une fonction de garde :

const brut: unknown = JSON.parse('{"nom": "Ada", "age": 36}');

function estPersonne(x: unknown): x is { nom: string; age: number } {
  return typeof x === "object" && x !== null &&
    "nom" in x && typeof x.nom === "string" &&
    "age" in x && typeof x.age === "number";
}

if (estPersonne(brut)) {
  console.log(`${brut.nom}, ${brut.age} ans`); // -> Ada, 36 ans
}

Valider à l'exécution avec Zod

Écrire ces gardes à la main devient vite pénible. Zod décrit le schéma une fois, valide à l'exécution et fournit le type :

import * as z from "zod";

const Inscription = z.object({
  email: z.email(),
  age: z.number().int().min(16),
});
type Inscription = z.infer<typeof Inscription>; // { email: string; age: number }

const recu: unknown = JSON.parse('{"email": "ada@example.com", "age": "36"}');
const resultat = Inscription.safeParse(recu);
if (!resultat.success) {
  console.log(z.flattenError(resultat.error).fieldErrors);
  // -> { age: [ 'Invalid input: expected number, received string' ] }
}

Le compilateur ne pouvait pas voir que age arrivait sous forme de chaîne : seule la validation à l'exécution l'a détecté. Exemple exécuté avec Zod 4.6.7, la version servie par le registre npm le 31 octobre 2026.

Migrer un petit projet JavaScript en 4 étapes

Nous avons déroulé une migration sur un projet de deux fichiers qui calcule un panier. Le bug est classique : des frais de port lus dans un formulaire arrivent sous forme de chaîne. Fichier src/panier.js :

export function total(articles, fraisPort) {
  const sousTotal = articles.reduce((somme, a) => somme + a.prix * a.quantite, 0);
  return sousTotal + fraisPort;
}

Fichier src/main.js :

import { total } from "./panier.js";
const panier = [{ nom: "Clavier", prix: 49.9, quantite: 1 }];
const fraisSaisis = "4.90"; // valeur lue dans un champ de formulaire
console.log(total(panier, fraisSaisis)); // -> 49.94.90

Étape 1 : installer TypeScript et vérifier le JavaScript tel quel. Le package.json contient déjà "type": "module". Un tsconfig.json avec "allowJs": true, "checkJs": true, "noEmit": true et "strict": false fait analyser les fichiers .js sans les modifier. Sur ce projet, npx tsc ne signale rien : sans annotations, le compilateur ne sait pas ce que fraisPort doit contenir.

Étape 2 : ajouter des types en JSDoc. Les commentaires JSDoc donnent des types sans changer d'extension :

/**
 * @typedef {{ nom: string, prix: number, quantite: number }} Article
 * @param {Article[]} articles
 * @param {number} fraisPort
 * @returns {number}
 */

Cette fois, npx tsc --locale fr trouve le bug :

src/main.js(4,27): error TS2345: L'argument de type 'string' n'est pas attribuable au paramètre de type 'number'.

Étape 3 : renommer en .ts et passer en strict. Les types JSDoc deviennent des annotations, l'interface Article est exportée et importée avec import { total, type Article } from "./panier.ts". La configuration devient celle de la section tsconfig (gardez "type": "module"). On corrige l'appel dans src/main.ts :

const montant = total(panier, Number(fraisSaisis));
console.log(montant);            // -> 54.8
console.log(montant.toFixed(2)); // -> 54.80

tsc ne signale plus rien et le programme affiche les deux lignes ci-dessus.

Si l'on oublie le mot-clé type, tsc signale l'erreur TS1484, et Node.js échoue avec « The requested module './panier.ts' does not provide an export named 'Article' ».

Étape 4 : compiler pour la production, si besoin. npx tsc --noEmit false --rootDir src --outDir dist produit dist/main.js et dist/panier.js, import réécrit en ./panier.js. rootDir désigne le dossier racine des sources, dont l'arborescence est reproduite dans outDir. Depuis TypeScript 6.0, il vaut par défaut le dossier du tsconfig.json (annonce de TypeScript 6.0). Sans --rootDir, TypeScript 7.0.2 refuse ici de compiler (erreur TS5011, dont le message renvoie au guide de migration de la version 6).

Dans un vrai projet, migrez fichier par fichier, en commençant par les modules sans dépendances, et ajoutez tsc --noEmit à votre intégration continue. Notre tutoriel GitHub Actions montre comment lancer ce genre de vérification à chaque push.

Lire les erreurs du compilateur

Une erreur TypeScript donne le fichier, la position (ligne, colonne), un code TSxxxx, utile pour chercher de l'aide, puis le message, en français avec l'option --locale fr. Voici des erreurs provoquées volontairement, avec le texte exact de TypeScript 7.0.2 :

Code	Message de tsc (avec --locale fr)	Cause et correction
TS2322	Impossible d'assigner le type 'string' au type 'number'.	Une variable `number` reçoit une chaîne.
TS2345	L'argument de type 'string' n'est pas attribuable au paramètre de type 'number'.	Mauvais argument : convertissez avec `Number()`.
TS2551	La propriété 'mail' n'existe pas sur le type 'Utilisateur'. Est-ce qu'il ne s'agit pas plutôt de 'email' ?	Faute de frappe : suivez la suggestion.
TS18048	'u.email' est peut-être 'non défini'.	Propriété facultative. Testez-la ou utilisez `?.` et `??`.
TS7006	Le paramètre 'x' possède implicitement un type 'any'.	Paramètre non annoté en mode strict : annotez-le.
TS18046	'inconnue' est de type 'unknown'.	Rétrécissez la valeur avant de l'utiliser.

Les messages longs s'emboîtent. Pour const premiere: number = notes.find((n) => n > 20), tsc ajoute en retrait « Impossible d'assigner le type 'undefined' au type 'number' » : la dernière ligne donne la cause précise. Ici, find peut ne rien trouver.

Deux réflexes à éviter : multiplier les as pour faire taire le compilateur, et répondre à chaque erreur par any. Les deux déplacent le bug vers l'exécution.

Les ressources pour progresser

Ressources ouvertes le 31 octobre 2026 ; l'offre en français est plus mince que pour JavaScript.

Ressource	Langue	Format	Accès	Pour quoi faire
Documentation officielle en français	Français, en partie	Guides et manuel	Gratuit	« TypeScript pour les programmeurs JS », puis le manuel
Manuel TypeScript	Anglais	Manuel officiel	Gratuit	La référence, notamment Everyday Types et Narrowing
OpenClassrooms, Découvrez TypeScript	Français	Cours de 4 heures	Libre accès	Les bases, les génériques et un projet React
Grafikart, Apprendre TypeScript	Français	19 chapitres, 4 h 37 de vidéos	Non précisé par la page	Des bases jusqu'à Zod et React
Total TypeScript, Beginners	Anglais	18 leçons	Gratuit	Des exercices interactifs, par Matt Pocock
Bac à sable officiel	Interface en anglais	Éditeur en ligne	Gratuit	Tester un type sans rien installer

La documentation française est partielle : Everyday Types et Utility Types, entre autres, restent en anglais. Le cours d'OpenClassrooms date du 19 août 2025, avant TypeScript 7.

Pour pratiquer, réécrivez en TypeScript les exercices d'un cours que vous connaissez déjà : notre série d'exercices Python corrigés se transpose bien. Un petit projet typé de bout en bout, publié sur GitHub, a aussi sa place dans un portfolio de développeur.

Ce que nous n'avons pas pu vérifier

Points incertains ou non testés :

Les exemples sous une version récente de Node.js. Ils ont été exécutés avec Node.js 22.15.0, la version de notre poste, et l'option --experimental-strip-types. Nous n'avons pas constaté nous-mêmes que la 22.18.0 s'en passe.
Les gains de vitesse de TypeScript 7. Ce sont les mesures de Microsoft (équipe TypeScript) ; nous n'en avons fait aucune.
L'accès gratuit aux vidéos de Grafikart, que la page de la formation ne précise pas.
La date de sortie de TypeScript 7.1, que l'annonce de la bêta ne donne pas.
La représentativité des chiffres d'usage. Aucune des deux sources ne décrit le marché français.
La portée actuelle de l'étude de 2017. Ses 15 % portent sur TypeScript 2.0 ; nous n'avons trouvé aucune mesure comparable pour une version récente.

Questions fréquentes

Faut-il connaître JavaScript avant d'apprendre TypeScript ?

Oui. TypeScript ajoute des types à JavaScript sans en changer le fonctionnement : les erreurs d'exécution, l'asynchrone et le DOM restent ceux de JavaScript. Notre guide pour apprendre JavaScript couvre ce prérequis.

Quelle est la différence entre TypeScript et JavaScript ?

TypeScript vérifie les types avant l'exécution, puis les retire : le code qui tourne est du JavaScript. Il ne valide pas les données reçues, mais détecte de nombreuses erreurs plus tôt.

Quelle version de TypeScript installer en 2026 ?

La version servie par npm sous l'étiquette latest, soit TypeScript 7.0.2 au 31 octobre 2026. Si vous utilisez Vue, Svelte, Angular ou Astro, vérifiez leur compatibilité : selon l'annonce de TypeScript 7.0, leurs outils reposent encore sur TypeScript 6.0.

Peut-on exécuter TypeScript sans compilation ?

Oui, avec Node.js 22.18.0 ou plus récent : node fichier.ts retire les types et exécute le reste, si le code n'utilise que de la syntaxe effaçable (documentation de Node.js). Les types ne sont pas vérifiés pour autant : lancez npx tsc --noEmit à part.

À propos de l'auteur

Méthode. Synthèse fondée sur des sources publiques consultées les 31 octobre et 1er novembre 2026 : registre npm, blog et documentation de TypeScript, documentation de Node.js, enquête Stack Overflow 2026, Octoverse 2026, étude ICSE 2017, pages des cours cités. Chaque exemple de code a été vérifié avec TypeScript 7.0.2, y compris la sortie de tsc --init et le projet de migration, et exécuté avec Node.js 22.15.0 et l'option --experimental-strip-types. L'exemple Zod utilise Zod 4.6.7. Les erreurs du tableau sont copiées de tsc --locale fr.

Aucun cours n'a été suivi en entier, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux plateformes mentionnées.

Une erreur ou une version périmée ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 1er novembre 2026.

Image : Timothy Cuenat (Unsplash License).

Double authentification : l'activer sur Gmail, Outlook, Facebook, Orange et choisir la bonne méthode

Neurau Tech — Sat, 31 Oct 2026 18:44:40 +0000

Pourquoi activer la double authentification maintenant

Le piratage de compte reste l'une des premières causes de demande d'aide en France. Selon le bilan 2025 de Cybermalveillance.gouv.fr, il arrive en deuxième position chez les particuliers, avec plus de 11 % des assistances malgré une « légère baisse en volume (-2 %) », juste derrière l'hameçonnage qui en représente près de 33 % (Cybermalveillance.gouv.fr, publié le 22 avril 2026, mis à jour le 29 octobre 2026).

Chez les professionnels, le piratage de compte passe en tête. Il représente 21 % des parcours d'assistance des entreprises et associations, « en croissance de 52 % » selon l'organisme, et 20,1 % de ceux des collectivités, avec un volume en hausse de 14 % (Cybermalveillance.gouv.fr, publié le 6 mai 2026).

La double authentification ne règle pas tout. La CNIL le dit elle-même : le dispositif « n'est pas infaillible » et reste exposé au phishing en temps réel, à l'interception des SMS et au détournement de carte SIM (CNIL, fiche de 2021 en cours de mise à jour). Pour situer ce risque, voyez notre panorama des cyberattaques les plus fréquentes.

2FA, MFA, validation en deux étapes : les mots exacts

Il existe trois catégories de facteurs : ce que vous savez (un mot de passe, un code PIN), ce que vous possédez (un téléphone, une clé physique) et ce que vous êtes (une empreinte, un visage).

La recommandation de la CNIL du 20 mars 2025 fixe le vocabulaire (CNIL, recommandation relative à l'authentification multifacteur, section 2.3) :

Authentification multifacteur (MFA) : au moins deux facteurs de catégories distinctes.
Authentification à deux facteurs (2FA) : une MFA avec exactement deux facteurs.
Validation en deux étapes (2SV) : deux vérifications successives qui peuvent être de la même catégorie. La CNIL donne l'exemple d'un mot de passe suivi d'un code reçu par mail, qui « est une vérification en 2 étapes et non une authentification multifacteur ».

L'ANSSI ajoute une distinction utile : multifacteur ne veut pas dire fort. Un mot de passe et un code reçu par SMS forment une authentification multifacteur, mais aucun des deux n'est « fort » au sens cryptographique (ANSSI, guide sur l'authentification multifacteur et les mots de passe, version 2.0 du 8 octobre 2021, section 2.5). Dans les menus des services, ces termes désignent pourtant le même réglage.

Les méthodes, de la plus fragile à la plus solide

Trois textes servent de référence : le guide de l'ANSSI, la recommandation de la CNIL et le guide américain NIST SP 800-63B, révision 4, finalisé le 31 juillet 2025 (NIST).

Cette grille est notre lecture des trois textes, pas un classement publié par eux. Une marque « partiel » signale une condition, expliquée dans la section de la méthode concernée, et « s. o. » (sans objet) une méthode qui n'envoie aucune demande à approuver.

Code par e-mail : le plus faible

Un code envoyé par e-mail ne prouve que l'accès à votre messagerie. La CNIL ne le considère pas comme un facteur de possession, et le NIST, dont le cadre s'impose aux services fédéraux américains, l'exclut de l'authentification hors bande : « l'e-mail ne DOIT PAS être utilisé » (notre traduction), car il peut n'être protégé que par un mot de passe (NIST SP 800-63B-4, section 3.1.3.1). À remplacer dès que possible.

SMS et appel vocal : à éviter quand c'est possible

L'ANSSI recommande de ne pas utiliser le SMS pour recevoir un facteur d'authentification (recommandation R8, section 2.6). Elle cite l'interception via SS7 et le « SIM swapping », le détournement de votre numéro chez l'opérateur. Dans son cadre, le NIST classe le réseau téléphonique comme un authentifiant « restreint », toléré sous conditions, dont une analyse de risque, une information claire de l'utilisateur, une alternative non restreinte et un plan de migration (sections 3.1.3.3 et 3.2.9), d'où notre marque « partiel ».

La CNIL qualifie l'OTP par SMS de « facteur de possession dont le niveau de confiance reste à évaluer » au cas par cas, d'où le « partiel » de la grille, tout en jugeant qu'un SMS associé à un autre facteur assure « un niveau de sécurité supérieur à l'authentification simple » (recommandation de 2025, section 2.2).

Application d'authentification (TOTP) : le bon réglage par défaut

Une application génère sur votre téléphone un code temporaire à partir d'un secret partagé une fois par QR code, sans passer par le réseau téléphonique. L'ANSSI range « les protocoles d'OTP (One-Time Password) comme HOTP, TOTP ou OCRA » parmi les exemples d'authentification forte reposant sur un facteur de possession (section 2.5). Sa limite : le code se recopie à la main, donc un faux site peut vous le demander et le rejouer aussitôt.

Notification à approuver : pratique, mais à surveiller

Le service envoie une demande sur votre téléphone, vous touchez « Oui ». Le NIST juge pourtant que l'approbation simple « n'est plus considérée comme acceptable » (notre traduction) à cause des attaques par fatigue, et exige le transfert d'un secret entre l'écran de connexion et le téléphone, par exemple un nombre à recopier (section 3.1.3). Cette saisie réduit le risque sans le supprimer : la CNIL la range parmi les mesures pour « réduire ce risque d'attaque par MFA fatigue », avec l'affichage du lieu de connexion et la limitation du nombre de demandes (recommandation de 2025, section 3.10, exemple 6), d'où notre marque « partiel ».

Microsoft l'applique à toutes les notifications d'Authenticator sur sa plateforme professionnelle Entra ID (Microsoft Learn).

Clé de sécurité FIDO2 : la plus robuste

Une petite clé physique signe un défi cryptographique lié à l'adresse exacte du site. Un faux site à une autre adresse ne peut rien en tirer. L'ANSSI cite FIDO2 et U2F parmi les authentifications fortes, et le NIST demande aux services de son cadre, ceux des agences fédérales américaines, d'offrir au moins une option résistante au phishing au niveau AAL2 (section 2.2.2). Inconvénient : il faut l'acheter, et prévoir une deuxième clé de secours.

Clés d'accès (passkeys) : le futur, déjà là

Les clés d'accès reposent sur le même standard FIDO, stockées dans votre téléphone ou votre gestionnaire de mots de passe et débloquées par empreinte ou code. Le NIST les admet au niveau AAL2 quand elles sont synchronisées (annexe B). La CNIL ne les tient pas pour multifactorielles par défaut : elles « pourraient être multifacteur » si la clé est associée à un terminal spécifique verrouillé par code PIN (section 2.3). Une clé synchronisée sur plusieurs appareils ne remplit généralement pas cette condition, d'où notre « partiel ». Notre guide dédié aux passkeys explique comment les créer.

Activer la double authentification service par service

Les chemins ci-dessous viennent des pages d'aide officielles lues le 31 octobre 2026. Si un libellé a changé, cherchez « deux étapes » ou « deux facteurs » dans les paramètres du service.

Service	Nom du réglage	Méthodes listées sur la page d'aide
Google et Gmail	Validation en deux étapes	Invites Google, clés d'accès, clés de sécurité, Authenticator, message ou appel, codes de secours
Microsoft et Outlook	Vérification en deux étapes	Application d'authentification, téléphone, e-mail
Apple	Identification à deux facteurs	Code de validation, numéro de téléphone de confiance, clés de sécurité en option
Facebook	Authentification à deux facteurs	Clé de sécurité, application tierce, SMS, dix codes de récupération
Instagram	Authentification à deux facteurs	Application (recommandée), SMS, WhatsApp
WhatsApp	Vérification en deux étapes	Mot de passe, adresse e-mail, clé d'accès
Orange	Authentification renforcée	Notification dans l'application Orange et moi

Google et Gmail

Sur la page d'aide de Google : accédez à votre compte Google, appuyez sur « Sécurité et connexion », puis sous « Comment vous connecter à Google », sélectionnez « Activer la validation en deux étapes » et suivez les instructions. Google recommande ses invites comme deuxième étape si vous ne vous connectez pas avec une clé d'accès.

Microsoft et Outlook

Sur la page d'aide de Microsoft : connectez-vous à l'onglet Sécurité sur account.microsoft.com/security, choisissez « Gérer la façon dont je me connecte », puis sous « Sécurité supplémentaire » et « Vérification en deux étapes », choisissez « Activer ».

Microsoft prévient que si vous perdez votre méthode de contact, « il peut s'écouler 30 jours » avant de récupérer l'accès, et recommande d'enregistrer trois informations de sécurité. La même page annonce que Microsoft va « commencer à supprimer progressivement les SMS » comme méthode d'authentification des comptes personnels, sans donner de date.

Apple (iPhone, iPad, Mac)

Sur la page d'aide d'Apple : ouvrez Réglages sur iPhone ou iPad, ou Réglages Système sur Mac, sélectionnez votre nom, puis « Connexion et sécurité », et activez l'identification à deux facteurs. Si votre compte a été créé avec cette protection, elle ne peut pas être supprimée. Apple propose aussi des clés de sécurité en option, dans « Identification à deux facteurs », puis « Clés de sécurité », avec « au moins deux clés de sécurité FIDO® Certified » (Apple, clés de sécurité).

Facebook et Instagram

Sur la page d'aide de Facebook : cliquez sur votre photo de profil, puis « Paramètres et confidentialité », « Paramètres », « Espace Comptes », « Mot de passe et sécurité », enfin « Authentification à deux facteurs ». Facebook propose une clé de sécurité, une application d'authentification tierce ou les SMS, et dix codes de récupération à utiliser sans votre téléphone.

Sur Instagram, la page d'aide passe par « Plus », « Paramètres », « En voir plus dans l'Espace Comptes », puis « Mot de passe et sécurité ». Instagram recommande l'application d'authentification et précise qu'elle ne s'active que depuis l'application Android ou iPhone.

Sur la page d'aide de WhatsApp : sur Android, appuyez sur le menu, puis « Paramètres », « Compte », « Vérification en deux étapes » ; sur iPhone, « Vous », « Compte », « Vérification en deux étapes ». Activez l'option, créez un mot de passe fort, ajoutez une adresse e-mail. Changement à noter : WhatsApp indique remplacer le code PIN à 6 chiffres par un mot de passe. Sa page À propos de la vérification en deux étapes présente aussi la clé d'accès, qui accélère la connexion quand la vérification est activée.

Ne communiquez jamais à personne, même à un proche qui vous le demande, le code reçu par SMS lors d'une inscription WhatsApp : c'est le ressort des escroqueries décrites dans notre guide sur l'arnaque en ligne.

Orange Mail

Orange remplace Mobile Connect, dont l'arrêt progressif est annoncé à partir d'août 2026 (Assistance Orange), par une « authentification renforcée » via l'application Orange et moi.

Sur la page d'aide d'Orange, mise à jour le 12 octobre 2026 : ouvrez Orange et moi, puis « Compte », « Connexion et sécurité », et dans « Vos moyens d'authentification », cliquez sur « Activer ». Pour un compte Internet, le mobile doit être sur le wifi de votre Livebox, et Mobile Connect doit être désactivé. Ne désinstallez pas l'application ensuite. Dans Outlook ou Thunderbird, le mot de passe reste demandé : Orange propose un mot de passe dédié.

Votre banque : l'authentification forte

Pour la banque, l'authentification forte est imposée par la directive européenne DSP2 : pas d'option à cocher, mais vous devez enrôler le moyen proposé par votre banque, le plus souvent son application sur votre téléphone. La Banque de France la définit comme « la confirmation d'au moins deux facteurs d'authentification de catégories différentes » et note qu'un SMS seul ne compte que pour un facteur : il faut l'associer à un mot de passe ou à un autre facteur (Banque de France).

Codes de secours : la sauvegarde à préparer avant la panne

Les codes de secours, à usage unique, remplacent votre téléphone si vous le perdez. Générez-les dès l'activation.

Chez Google, la page sur les codes de secours indique que chaque série compte 10 codes, que chaque code « devient inactif » une fois utilisé, et qu'en générer une nouvelle série désactive l'ancienne. Google précise qu'il ne vous demandera « jamais de code de secours, sauf lors de la connexion ».

Apple fonctionne autrement : sa « clé de secours » est un code de 28 caractères. Apple prévient : « Si vous la perdez, Apple n'est pas en mesure de vous communiquer votre clé de secours. » Et si vous ne pouvez pas la fournir après avoir perdu l'accès à votre compte, « vous ne pourrez plus jamais accéder à votre compte » (Apple). Ne l'activez que si vous êtes certain de la conserver.

Rangez-les sur papier ou dans un coffre-fort de mots de passe, que l'ANSSI recommande. Notre comparatif de gestionnaire de mot de passe gratuit aide à choisir.

Téléphone perdu ou volé : que faire

Depuis un autre appareil, commencez par ce qui coupe l'accès au voleur :

Faites suspendre votre ligne auprès de votre opérateur, ce qui coupe l'accès aux codes SMS, puis verrouillez ou effacez le téléphone à distance avec le service de localisation de son système.
Connectez-vous avec un code de secours ou une clé de sécurité de secours, puis retirez le téléphone perdu de la liste des appareils de confiance.
Réenregistrez votre application d'authentification sur le nouveau téléphone, service par service, ou restaurez sa sauvegarde.
Changez les mots de passe des comptes critiques si le téléphone n'était pas verrouillé.

Sans code de secours, chaque service a sa procédure de récupération, souvent lente. Microsoft parle de 30 jours possibles. Pour éviter ce scénario, enregistrez au moins deux méthodes par compte : une application et une clé, ou une application et des codes imprimés.

Fatigue MFA et phishing en temps réel : les attaques qui contournent la 2FA

Deux techniques visent précisément le deuxième facteur.

La fatigue MFA. L'attaquant, qui connaît déjà le mot de passe, déclenche des dizaines de demandes jusqu'à ce que la victime en approuve une par lassitude. C'est ce qui est arrivé chez Uber en septembre 2022 : selon l'entreprise, l'attaquant a probablement acheté le mot de passe d'un prestataire, a multiplié les tentatives de connexion, et « finalement, le prestataire en a accepté une » (notre traduction) (Uber, mise à jour du 19 septembre 2022). La parade : refuser toute demande que vous n'avez pas initiée, et préférer les notifications avec nombre à saisir.

Le phishing en temps réel (adversary-in-the-middle). Un faux site sert de relais entre vous et le vrai : vous tapez mot de passe et code, le relais les transmet aussitôt et récupère le cookie de session. Microsoft a décrit en juillet 2022 une campagne de ce type qui a tenté de cibler plus de 10 000 organisations depuis septembre 2021, en précisant que ce n'est « pas une vulnérabilité de la MFA » (notre traduction) (Microsoft Security, 12 juillet 2022).

Contre ce relais, SMS, codes TOTP et notifications échouent, car rien ne les lie à l'adresse du site. Le NIST exclut de la résistance au phishing toute méthode où l'on recopie un code, et ne retient que la liaison au canal ou au nom du vérificateur, ce que font FIDO2 et les clés d'accès (section 3.2.5 et annexe B). L'agence américaine CISA juge FIDO/WebAuthn seule méthode largement disponible résistante au phishing, tout en rappelant que « n'importe quelle MFA vaut mieux que pas de MFA » (notre traduction) (CISA, page archivée). Pour repérer les faux sites en amont, relisez nos signes d'un phishing.

Quelle application d'authentification choisir

Toutes génèrent les mêmes codes TOTP : la différence se joue sur la sauvegarde et le transfert vers un nouveau téléphone. Le tableau reprend ce qu'affichent les pages officielles le 31 octobre 2026.

Application	Plateformes	Code source ouvert	Sauvegarde ou synchronisation	Compte requis
Google Authenticator	Android, iOS	Non indiqué	Synchronisation via le compte Google, chiffrée en transit et au repos ; transfert par QR code	Non, optionnel
Microsoft Authenticator	Android, iOS	Non indiqué	Compte Microsoft personnel (Android, via Google One à partir de janvier 2027) ou iCloud (iOS) ; pas de restauration d'iOS vers Android	Pour la sauvegarde
Aegis	Android uniquement	Oui, GPL-3.0	Coffre chiffré AES-256-GCM, sauvegardes automatiques, export chiffré	Non
2FAS Auth	Mobile et extension navigateur	Oui	iCloud, Google Drive ou fichier d'export	Non
Bitwarden Authenticator	Android, iOS	Oui	Sauvegarde du système du téléphone ; codes aussi accessibles depuis Bitwarden Password Manager	Non
Proton Authenticator	Android, iOS, Mac, Windows, Linux	Oui	Synchronisation chiffrée de bout en bout	Optionnel, requis pour synchroniser

Aegis, 2FAS, Bitwarden Authenticator et Proton Authenticator se disent gratuits. En résumé : Aegis pour tout garder en local sur Android, Proton Authenticator pour une synchronisation chiffrée de bout en bout hors de Google et Microsoft, 2FAS pour une sauvegarde sur iCloud ou Google Drive sans créer de compte, et l'application de votre écosystème sinon. Vérifiez la sauvegarde avant de changer de téléphone.

Ce que nous n'avons pas pu vérifier

Les procédures de récupération sans code de secours de Google, Apple, Meta et Orange : nous n'avons pas lu leurs pages dédiées, et leurs délais varient.
La date de fin des SMS chez Microsoft : la page annonce une suppression progressive, sans calendrier.
Le prix des clés de sécurité : nous n'avons relevé aucun tarif, d'où l'absence de chiffres.
La licence et le prix exacts de Google Authenticator et Microsoft Authenticator : les pages lues ne les mentionnent pas.

Questions fréquentes

La double authentification par SMS est-elle encore utile ?

Oui, si le service ne propose rien d'autre. La CNIL juge qu'un SMS associé à un mot de passe reste plus sûr que le mot de passe seul. Mais l'ANSSI recommande de ne pas utiliser le SMS à cause du SIM swap et de l'interception. Passez à une application d'authentification dès que possible.

Comment activer la double authentification sur Gmail ?

Gmail utilise la validation en deux étapes du compte Google. Selon la page d'aide de Google : compte Google, « Sécurité et connexion », puis « Activer la validation en deux étapes » sous « Comment vous connecter à Google ». Générez ensuite vos 10 codes de secours.

Que se passe-t-il si je change de téléphone ?

Rien de grave si votre application est sauvegardée : restaurez-la sur le nouveau téléphone, en vérifiant les limites indiquées dans le tableau des applications plus haut. Sinon, utilisez vos codes de secours pour réenregistrer chaque compte.

Les clés d'accès remplacent-elles la double authentification ?

Sur les services qui les proposent, elles remplacent mot de passe et code par un déverrouillage de l'appareil. Le NIST les admet au niveau AAL2 et les juge résistantes au phishing, mais la CNIL ne les tient pas d'office pour multifacteur. Gardez la 2FA active sur les comptes qui ne les proposent pas encore.

À propos de l'auteur

Méthode. Synthèse fondée exclusivement sur des sources publiques lues le 31 octobre 2026 : guide de l'ANSSI, recommandation et fiche de la CNIL, publications de Cybermalveillance.gouv.fr, NIST SP 800-63B-4, Banque de France, pages d'aide officielles de Google, Microsoft, Apple, Meta, WhatsApp et Orange, pages des éditeurs d'applications. Les citations issues de sources en anglais sont traduites par nos soins. Aucun test n'a été mené, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs mentionnés.

Une erreur ou un menu qui a changé ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 31 octobre 2026.

Image : Sasun Bughdaryan (Unsplash License).

CV développeur junior : structure, exemple complet et checklist (2026)

Neurau Tech — Sat, 31 Oct 2026 18:44:37 +0000

L'essentiel en une minute

Un CV développeur junior tient sur une page et doit prouver ce que l'expérience ne prouve pas encore : que vous savez livrer du code qui fonctionne. Quand l'expérience est mince, les projets passent avant elle, chacun avec un lien vers le code et, si possible, une démo.

Ce guide vise les jeunes diplômés et les personnes en reconversion qui cherchent un premier poste en France. Il repose sur des sources publiques consultées le 31 octobre 2026 ; nous n'avons mené aucun test auprès de recruteurs.

Points clés

Une page, un titre de poste précis, un résumé court, puis les projets avant une expérience sans rapport avec le développement.

Chaque projet se décrit par ce qu'il fait, la pile utilisée, votre rôle et une preuve vérifiable : dépôt public, démo, tests, README.

La documentation de Greenhouse, seul éditeur d'ATS que nous avons lu, décrit un rejet automatique fondé sur les réponses au formulaire, pas sur le contenu du CV.

En France, la photo, l'âge et la situation de famille sont facultatifs : le Code du travail limite les questions à ce qui a un lien direct et nécessaire avec le poste.

Répondez avec soin aux questions du formulaire (expérience, lieu, visa) : chez Greenhouse, ce sont elles qui peuvent déclencher un rejet automatique.

Ce que disent les études sur le tri des candidatures

Les données fiables sur la lecture des CV sont rares. Voici celles que nous avons pu lire, avec leur périmètre.

Le marché junior reste difficile. Le rapport 2025 de HackerRank, éditeur de tests techniques, écrit que les développeurs en début de carrière « ont été les plus touchés » (notre traduction) et que 74 % des développeurs interrogés peinent encore à décrocher un poste. L'enquête couvre 13 732 répondants dans 102 pays (HackerRank, Developer Skills Report 2025, consulté le 31 octobre 2026). C'est une étude mondiale d'un éditeur, pas une mesure du marché français.

Les entreprises françaises testent davantage. Le baromètre 2026 de l'Apec porte sur 1 150 entreprises de 10 salariés et plus ayant recruté au moins un cadre en 2025. Il relève que 48 % ont utilisé des tests de recrutement et 29 % des mises en situation, alors que la lettre de motivation n'est plus demandée que par la moitié d'entre elles, contre près de 70 % jusqu'en 2021 (Apec, Pratiques de recrutement de cadres 2026, mai 2026, PDF hébergé par la Banque des Territoires). L'étude porte sur les cadres, pas spécifiquement sur les développeurs : vos projets doivent donc résister à un test technique.

Les fameuses « 6 secondes ». Ce chiffre vient d'une étude d'oculométrie de Ladders, un site d'emploi américain. Selon HR Dive, son édition 2018 mesure un premier survol de 7,4 secondes en moyenne, contre 6 en 2012, et les CV aérés, aux rubriques clairement titrées, y retiennent mieux l'attention que les pages chargées ou en colonnes (HR Dive, 8 novembre 2018). Étude d'éditeur, ancienne et américaine : retenez la leçon de mise en page, pas le chronomètre.

La structure d'un CV développeur junior en une page

La bonne structure met en haut ce qui prouve le mieux votre niveau. Pour un profil sans expérience de développement, ce sont les projets. OpenClassrooms, dans son cours sur le premier emploi de développeur, recommande une page pour un profil junior en France et une mise en page sobre (OpenClassrooms, Préparez votre CV, consulté le 31 octobre 2026).

Rubrique	Contenu	Profil étudiant	Profil en reconversion
En-tête	Nom, ville, téléphone, e-mail, liens GitHub et LinkedIn	En haut	En haut
Titre	Le poste visé, avec la pile principale	Juste sous le nom	Juste sous le nom
Résumé	Deux ou trois lignes : pile, type de projets, poste recherché	Oui	Oui, avec l'ancien métier en une phrase
Compétences	Groupées par catégorie, sans barres de niveau	Avant les projets	Avant les projets
Projets	Deux à quatre, chacun avec lien et preuve	Avant la formation	Avant l'expérience
Expérience	Stages, alternance, puis emplois sans rapport en une ligne	Après les projets	Après les projets, condensée
Formation	Diplôme ou formation, établissement, année	Peut remonter si le diplôme est récent et ciblé	En bas
Langues	Niveau sur l'échelle européenne (A1 à C2)	En bas	En bas

Quelques règles pour chaque bloc :

L'en-tête. La ville suffit, sans adresse complète, avec des liens courts et cliquables.
Le titre. « Développeur web junior, React et Node.js » dit plus que « Passionné d'informatique ». Il reprend, quand c'est vrai, l'intitulé de l'offre.
Le résumé. Ce que vous savez faire, ce que vous avez construit, ce que vous cherchez.
La formation. Une formation courte se présente comme un diplôme : intitulé, organisme, année.

Décrire un projet : des preuves plutôt que des adjectifs

Un projet convainc quand un recruteur peut le vérifier en deux clics. Le rapport de HackerRank recommande d'ailleurs aux employeurs d'évaluer les candidats sur des projets réels, qui montrent comment ils résolvent des problèmes en pratique (HackerRank, 2025).

Chaque projet tient en quatre lignes :

Ce qu'il fait, en une phrase compréhensible par un non-développeur.
La pile, sans tout lister : langage, framework, base de données, hébergement.
Votre rôle, surtout si le projet était collectif : ce que vous avez écrit vous-même.
La preuve : lien vers le dépôt et la démo, plus un détail vérifiable (tests automatisés, intégration continue, documentation d'API).

Un chiffre n'a de valeur que s'il est vrai. « 40 tests unitaires, exécutés à chaque push par GitHub Actions » se vérifie dans le dépôt ; un pourcentage d'amélioration sans mesure se démonte en entretien. Si vous n'avez rien mesuré, décrivez ce que vous avez fait. Sur un même projet fictif, la différence donne ceci :

Version faible	Version vérifiable
Application de gestion de tâches en React	Application de gestion de tâches pour une association de quartier, utilisée par ses bénévoles
Utilisation de nombreuses technologies modernes	React, API REST Node.js et Express, PostgreSQL, déployée sur un VPS avec Docker
Travail en équipe	Projet à trois : j'ai écrit l'API et l'authentification
Code de qualité	40 tests unitaires lancés à chaque push, README, lien vers la démo

Si vous manquez de projets, trois sujets classiques : une API REST avec Node.js et Express, une application conteneurisée avec Docker, et une base de données bien conçue, que notre cours de SQL pour débutants aide à construire. Pour présenter ces projets en ligne, notre guide pour construire un portfolio de développeur détaille la démarche.

Les compétences sans bourrage de mots-clés

La rubrique compétences dit ce que vous savez utiliser, pas tous les mots-clés possibles. Règle simple : n'écrivez que ce dont vous pouvez parler vingt minutes en entretien technique.

Groupez par catégorie (langages, frameworks, données, outils, méthodes) plutôt qu'en liste unique, comme dans l'exemple plus bas.

Trois pièges reviennent dans les CV de débutants :

Les barres de niveau. Une barre remplie à 80 % ne dit pas ce que vous savez faire. Le niveau se lit dans les projets.
La liste exhaustive. Vingt technologies sur une ligne font penser à un survol. Mieux vaut six outils prouvés par des projets.
Le vocabulaire décalé. Si l'offre écrit « Node.js » et votre CV « NodeJS », harmonisez sur le mot de l'offre, à condition d'avoir la compétence.

Pour choisir les langages à mettre en avant, notre analyse des langages de programmation les mieux payés montre ce que disent vraiment les enquêtes. Si votre base est encore fragile, notre plan pour apprendre JavaScript et nos exercices Python pour débutants donnent de quoi alimenter la rubrique projets.

ATS : ce qui est documenté et ce qui relève du mythe

Un ATS (applicant tracking system, logiciel de suivi des candidatures) range les candidatures et peut appliquer des règles automatiques. Ce qu'il fait dépend de l'éditeur et du réglage choisi par l'entreprise. Voici ce que nous avons pu vérifier.

Affirmation courante	Ce que disent les sources	Verdict
« Les ATS ne lisent pas les PDF »	Greenhouse accepte les CV en .doc, .docx, .pdf, .rtf et .txt, jusqu'à 100 Mo (Greenhouse, page mise à jour le 19 août 2026)	Faux pour cet éditeur
« Le robot rejette les CV sans les bons mots-clés »	Chez Greenhouse, le rejet automatique « utilise des questions de candidature personnalisées » (notre traduction) et n'existe que dans les offres Plus et Pro (Greenhouse, mars 2026)	Non documenté pour le contenu du CV chez cet éditeur
« Les entreprises trient par logiciel »	Plus de 90 % des employeurs interrogés qui utilisent un tel système s'en servent pour un premier tri ou un classement, selon une enquête menée aux États-Unis, au Royaume-Uni et en Allemagne (Harvard Business School, 2021)	Vrai dans ce périmètre, pas mesuré en France
« L'IA trie déjà tous les CV »	En France, 8 % des entreprises interrogées utilisent des outils d'IA pour recruter des cadres, surtout pour rédiger les offres (Apec, 2026)	Minoritaire en 2025
« 75 % des CV sont rejetés par les ATS »	Aucune source primaire trouvée	À ne pas citer

Le point important pour un junior : les exemples de Greenhouse portent sur des questions du formulaire (années d'expérience, lieu de résidence, besoin de visa), qui peuvent déclencher un rejet automatique si l'entreprise l'a configuré. Répondez-y avec soin, et honnêtement.

L'étude de Harvard Business School décrit aussi des filtres « négatifs », comme exclure les candidats sans diplôme ou avec un trou dans le parcours. Pour une reconversion, une ligne qui explique une période de formation vaut donc mieux qu'un vide.

Notre conseil, qui n'est pas une règle d'éditeur : un PDF dont le texte se sélectionne, des titres de rubriques standards (« Expérience », « Projets », « Formation »), une seule colonne et des coordonnées dans le corps de la page. Ces choix facilitent aussi la lecture humaine.

Photo, âge, CV anonyme, RGPD : les règles françaises

En France, le droit limite ce qu'un employeur peut demander. France Travail rappelle que, selon l'article L.1221-6 du Code du travail, les informations demandées au candidat doivent avoir un lien direct et nécessaire avec le poste ou l'évaluation des aptitudes professionnelles (France Travail, consulté le 31 octobre 2026).

La même page liste les critères interdits par l'article L.1132-1, dont l'âge, la situation de famille, l'apparence physique, le nom, le lieu de résidence et l'état de santé. Selon le Code pénal, qu'elle cite, la discrimination est punie de trois ans d'emprisonnement et de 45 000 € d'amende.

La photo. Elle n'est pas obligatoire. Le guide du Défenseur des droits écrit qu'exiger une photo sur un CV « ne peut être qu'exceptionnel », et conseille aux recruteurs de masquer nom, adresse, âge, situation de famille et photo lors de la sélection (Défenseur des droits, guide de 2019). Vous pouvez l'omettre.

L'âge et la situation de famille. Selon le 18e baromètre du Défenseur des droits et de l'Organisation internationale du travail, 14 % des actifs de 18 à 64 ans déclarent avoir subi une discrimination lors d'une recherche d'emploi au cours des cinq dernières années. L'âge est le premier motif cité, par 42 % d'entre eux (Défenseur des droits et OIT, dossier de presse du 4 décembre 2025).

Parmi les personnes discriminées lors d'une recherche d'emploi, 21 % citent l'origine ou la couleur de peau, 16 % la situation de famille, 15 % la grossesse ou la maternité et 11 % l'état de santé ou le handicap. Le baromètre ajoute que 80 % d'entre elles déclarent avoir reçu des questions sur des critères prohibés par la loi, et que 4 % seulement ont ensuite contacté une association, le Défenseur des droits ou un avocat, porté plainte ou saisi la justice. Le Défenseur des droits peut être saisi depuis son site.

Le CV anonyme. Il est facultatif. La loi du 31 mars 2006 l'avait rendu obligatoire dans les entreprises de cinquante salariés et plus, mais aucun décret ne l'a appliqué, malgré une injonction du Conseil d'État. La loi du 17 août 2015 l'a rendu facultatif, comme le rappelle une question écrite de 2026. Le 29 septembre 2026, le gouvernement a répondu qu'il « n'envisage pas de rétablir une obligation de recours au CV anonyme » (Assemblée nationale, question écrite n° 15001).

Le RGPD. Selon la CNIL, « à la condition de vous en informer et d'avoir obtenu votre accord », un recruteur peut conserver votre dossier après un refus, « 2 ans après votre dernier contact avec le recruteur ou plus longtemps si vous avez donné votre accord formel » (CNIL, consulté le 31 octobre 2026). Vous pouvez obtenir une copie de vos données sans justification, et le recruteur doit vous informer d'un éventuel tri automatisé (CNIL, 30 janvier 2023). La même page interdit de demander le numéro de sécurité sociale : ne l'écrivez pas.

Le CV en anglais pour un poste international

Pour une équipe qui travaille en anglais, traduisez le CV entier plutôt que d'ajouter « English : fluent ». Les usages varient selon les pays : OpenClassrooms conseille de se renseigner sur ceux du pays visé.

Les sources ne s'accordent pas sur la photo. Europass, le format de CV de l'Union européenne, conseille d'ajouter une photo professionnelle, propose des CV en 31 langues et recommande l'ordre antichronologique (Europass, consulté le 31 octobre 2026). Pour un poste en France, la règle reste celle de la section précédente : la photo est facultative.

Quelques ajustements à faire :

Le titre : « Junior Software Developer » ou « Junior Full-Stack Developer », selon l'intitulé de l'offre.
Les diplômes : « Master's degree in Computer Science » plutôt que « Bac+5 », inconnu hors de France.
Les langues : donnez votre niveau sur l'échelle européenne (B2, C1) ou un score de test, pas un adjectif.

Pour fixer vos prétentions, que l'offre soit en France ou à l'étranger, notre comparatif des salaires des développeurs en France rassemble six études. Si vous visez des missions plutôt qu'un emploi salarié, notre guide pour devenir développeur freelance détaille le statut et la recherche des premiers clients.

Aligner LinkedIn et GitHub sur le CV

Le CV, LinkedIn et GitHub doivent raconter la même histoire. Selon l'Apec, 73 % des entreprises interrogées ont utilisé les réseaux sociaux pour au moins un recrutement de cadre en 2025 (Apec, 2026).

Sur LinkedIn, reprenez le titre et les dates du CV. La fonction « Open to Work » se montre soit à tous les membres, avec le cadre #OpenToWork sur la photo, soit aux seuls utilisateurs de LinkedIn Recruiter ; LinkedIn précise alors ne pas pouvoir garantir une confidentialité totale vis-à-vis de votre employeur actuel (aide LinkedIn, consultée le 31 octobre 2026).

Sur GitHub, vous pouvez épingler jusqu'à six dépôts et gists sur votre profil : choisissez ceux cités dans le CV (documentation GitHub). Et un dépôt public portant votre nom d'utilisateur, avec un README.md à la racine, s'affiche en tête de profil (documentation GitHub).

Vérifiez aussi que chaque dépôt cité a un README et ne contient aucune clé d'API en clair.

Exemple complet de CV développeur junior (fictif)

Ce CV a été écrit pour cet article : la personne, les liens et les détails sont inventés. Copiez la méthode, pas les éléments. Le profil est celui d'une reconversion.

CAMILLE MARTIN (profil fictif)
Lyon · 06 00 00 00 00 · camille@example.com
github.com/votre-pseudo · linkedin.com/in/votre-pseudo

DÉVELOPPEUSE WEB JUNIOR, JAVASCRIPT ET NODE.JS

Ancienne responsable logistique reconvertie au développement web.
Je conçois des applications complètes en React et Node.js, testées et
déployées. Je cherche un premier poste de développeuse full stack en CDI.

COMPÉTENCES
Langages : JavaScript, SQL
Front-end : React
Back-end : Node.js, Express, API REST, PostgreSQL
Outils : Git, GitHub Actions, Docker
Méthodes : tests unitaires, revue de code par pull requests

PROJETS
Suivi de stock pour une épicerie solidaire (projet personnel, 2026)
Application web qui remplace le tableur de l'association.
React, API Express, PostgreSQL, déployée avec Docker sur un VPS.
Seule développeuse ; 40 tests unitaires lancés à chaque push par GitHub Actions.
Code : github.com/votre-pseudo/stock · Démo : stock.example.org

API de réservation de salles (projet de formation, 2026)
API REST documentée, authentification par jeton, rôles utilisateur.
Node.js, Express, PostgreSQL. Projet à trois, revues de code par
pull requests : j'ai écrit les routes de réservation et leurs tests.
Code : github.com/votre-pseudo/salles

EXPÉRIENCE
Responsable logistique, entrepôt de distribution, Lyon (2019-2025)
Gestion des stocks et d'une équipe de six personnes ; à l'origine du
besoin traité dans le projet de suivi de stock.

FORMATION
Titre professionnel Développeur web et web mobile (niveau 5), 2026
Organisme de formation fictif, Lyon

LANGUES
Français : langue maternelle · Anglais : B2

Pourquoi cet ordre : les projets prouvent le niveau technique, donc ils passent avant l'expérience, et l'ancien métier tient en quelques lignes qui expliquent l'origine d'un projet. Pas de photo, pas d'âge, pas d'adresse complète.

Les erreurs fréquentes

Ces erreurs se corrigent avant l'envoi :

Un titre vague, comme « Développeur » sans spécialité.
Des projets sans lien, ou des liens vers des dépôts vides, privés ou sans README.
Une liste de vingt technologies dont la moitié a été vue une seule fois en tutoriel.
Une mise en page en colonnes ou chargée, que l'étude de Ladders, citée par HR Dive, associe à une lecture moins attentive.
Un CV unique pour toutes les offres, alors qu'ajuster le titre, le résumé et l'ordre des compétences prend peu de temps.

La checklist avant d'envoyer

Relisez votre CV développeur junior avec cette liste :

Le document tient sur une page et s'enregistre en PDF dont le texte se sélectionne.
Le nom du fichier est explicite : « CV-Prenom-Nom-developpeur-web.pdf ».
Le titre reprend l'intitulé de l'offre, avec la pile principale.
Le résumé tient en trois lignes et dit quel poste vous cherchez.
Chaque projet a un lien de code qui fonctionne, et une démo si possible.
Chaque chiffre est vrai, et vous savez expliquer comment il a été obtenu.
Les compétences listées apparaissent dans au moins un projet ou une expérience.
Les profils GitHub et LinkedIn sont à jour.
Aucune information sans lien avec le poste (âge, situation de famille, numéro de sécurité sociale).
Une autre personne a relu l'orthographe.

Ce que nous n'avons pas pu vérifier

Les points suivants restent incertains :

Le taux de CV rejetés par les ATS. Le chiffre de 75 % circule sans source primaire que nous ayons pu lire.
Les autres ATS. Nous n'avons lu que la documentation de Greenhouse ; d'autres outils peuvent analyser le contenu des CV.
La méthode de l'étude Ladders, lue seulement à travers HR Dive.
Le texte exact de l'article L.1221-7 du Code du travail sur le CV anonyme : Légifrance n'était pas accessible.
L'effet d'un CV sur le taux d'entretien. Aucune étude que nous avons lue ne mesure l'effet d'une structure de CV sur les réponses des recruteurs en France.

Questions fréquentes

Un CV développeur junior doit-il tenir sur une page ?

Oui, dans la plupart des cas. OpenClassrooms recommande une page pour un profil junior en France. Une deuxième page n'a de sens que si elle contient des projets solides, pas des emplois sans rapport.

Faut-il mettre une photo sur un CV de développeur en France ?

Non. Le guide du Défenseur des droits estime qu'exiger une photo ne peut être qu'exceptionnel, et l'apparence physique fait partie des critères de discrimination interdits.

Comment faire un CV de développeur sans expérience ?

Placez les projets avant l'expérience, et décrivez chacun avec ce qu'il fait, sa pile, votre rôle et un lien vers le code. Les emplois sans rapport tiennent en une ligne, sauf s'ils expliquent l'origine d'un projet.

Les ATS rejettent-ils les CV en PDF ?

Pas chez Greenhouse, dont la documentation accepte le PDF, le Word, le RTF et le texte brut. Selon sa documentation sur les règles de candidature, le rejet automatique y repose sur les réponses aux questions du formulaire. Nous n'avons pas lu la documentation des autres éditeurs. Un PDF dont le texte se sélectionne, en une colonne, est notre recommandation.

À propos de l'auteur

Méthode. Synthèse fondée exclusivement sur des sources publiques : pages de France Travail, de la CNIL, du Défenseur des droits et de l'Assemblée nationale, baromètre de l'Apec, rapports de HackerRank et de Harvard Business School, documentation de Greenhouse, GitHub, LinkedIn et Europass. Les chiffres d'éditeurs sont signalés comme tels, et chaque enquête est citée avec son périmètre. Les citations issues de sources en anglais sont traduites par nos soins. L'exemple de CV est fictif. Aucun test n'a été mené auprès de recruteurs ou d'ATS, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs mentionnés.

Une erreur ou une règle périmée ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 31 octobre 2026.

Image : Markus Winkler (Unsplash License).

GitHub Actions : le tutoriel pas à pas pour tester et publier une API Node.js

Neurau Tech — Sat, 31 Oct 2026 18:43:59 +0000

Les six notions de GitHub Actions

Tout workflow GitHub Actions se lit avec six mots, définis dans la page Understanding GitHub Actions de la documentation officielle (consultée le 31 octobre 2026) :

Notion	Ce que c'est	Dans notre exemple
Workflow	Un processus automatisé décrit par un fichier YAML dans `.github/workflows/`	`ci.yml`
Événement	L'activité du dépôt qui déclenche le workflow	`push` et `pull_request` sur `main`
Job	Une suite d'étapes exécutées sur un même runner ; les jobs tournent en parallèle sauf dépendance	`test` et `image`
Step	Une commande shell ou une action, exécutées dans l'ordre	`npm ci`, `npm test`
Runner	La machine qui exécute un job, un seul job à la fois	`ubuntu-latest`, hébergé par GitHub
Action	Une extension réutilisable, souvent prise sur le GitHub Marketplace	`actions/checkout`, `docker/login-action`

Chaque exécution part d'une machine virtuelle neuve, et chaque action du Marketplace est du code tiers qui tourne avec vos droits, d'où l'étape 6.

Étape 1 : un premier workflow pour l'API Node.js

Le point de départ : récupérer le code, installer Node.js et les dépendances, lancer les tests. L'API du tutoriel déclare "test": "node --test" dans son package.json et exige Node.js 24 ou plus. Créez .github/workflows/ci.yml :

name: CI

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

permissions:
  contents: read

jobs:
  test:
    runs-on: ubuntu-latest
    timeout-minutes: 10
    steps:
      - uses: actions/checkout@v7
      - uses: actions/setup-node@v7
        with:
          node-version: 24
      - run: npm ci
      - run: npm test

npm ci installe exactement ce que fixe package-lock.json, que le dépôt doit contenir, et npm test lance node --test. Le timeout-minutes évite qu'un test bloqué tourne jusqu'à la limite de 6 heures par job des runners hébergés, fixée par la page des limites de GitHub Actions.

Pourquoi checkout v7 et pas v4 ? Selon son README, la v5 est passée au moteur node24, la v6 range les identifiants Git hors de .git/config, et la v7 refuse par défaut le code d'un fork sous pull_request_target ou workflow_run.

Les dernières versions au 31 octobre 2026 sont actions/checkout v7.0.1 et actions/setup-node v7.1.0. L'onglet Actions affiche ensuite chaque exécution ; pour lire les journaux d'un runner Ubuntu, voyez nos commandes Linux de base.

Étape 2 : tester sur Node.js 24 et 26 avec une matrice

Une matrice exécute le même job plusieurs fois avec des valeurs différentes. Pour l'API, deux versions comptent : Node.js 24, minimum exigé par le package.json, et Node.js 26, passé en LTS avec la version 26.13.0 du 28 octobre 2026 selon l'index des versions de Node.js. Remplacez le job test :

  test:
    runs-on: ubuntu-latest
    timeout-minutes: 10
    strategy:
      fail-fast: false
      matrix:
        node-version: [24, 26]
    steps:
      - uses: actions/checkout@v7
      - uses: actions/setup-node@v7
        with:
          node-version: ${{ matrix.node-version }}
      - run: npm ci
      - run: npm test

Les deux jobs tournent en parallèle. fail-fast: false laisse finir le second si le premier échoue. La page des limites plafonne une matrice à 256 jobs, et chaque job est facturé séparément.

Étape 3 : le cache, plus rapide mais pas sans risque

Le cache de GitHub Actions évite de retélécharger les paquets npm à chaque exécution : ajoutez cache: npm sous with. D'après le README de setup-node, la clé dérive du hachage de package-lock.json et l'action met en cache le dossier global de npm, pas node_modules.

      - uses: actions/setup-node@v7
        with:
          node-version: ${{ matrix.node-version }}
          cache: npm

Les limites, lues dans la référence du cache de dépendances le 31 octobre 2026 :

10 Go par dépôt par défaut. Une entrée non lue depuis plus de 7 jours est supprimée.
Aucun secret dans le cache. Toute personne ayant un accès en lecture peut ouvrir une pull request et lire un cache.

Le mot-clé cache-mode (read, write, write-only ou none) fixe les droits d'un job sur le cache. Il se place en tête du workflow ou dans un job, par exemple cache-mode: read sous test:, d'après la référence de syntaxe. Selon la documentation du cache consultée le 31 octobre 2026, un déclencheur peu fiable comme pull_request_target n'obtient par défaut que la lecture, et y déclarer write réintroduit le risque d'empoisonnement du cache.

Étape 4 : secrets, variables et environnements

Un jeton n'entre jamais dans le YAML : il se range dans Settings, Secrets and variables, Actions, et se lit avec ${{ secrets.NOM }}. Une valeur non sensible, comme une URL, devient une variable lue avec ${{ vars.NOM }}, au niveau du dépôt, de l'organisation ou d'un environnement, selon la page sur les variables.

Pour rattacher le job image de l'étape 5 à un environnement production, avec une variable PRODUCTION_URL créée dans cet environnement, ajoutez au job :

    environment:
      name: production
      url: ${{ vars.PRODUCTION_URL }}

La référence de syntaxe autorise le contexte vars dans url. Mais la page de gestion des environnements réserve les environnements aux dépôts publics sur GitHub Free ; en privé, il faut Pro, Team ou Enterprise. C'est pourquoi le fichier complet plus bas s'en passe.

Notre workflow n'a besoin d'aucun secret ajouté à la main. Les tests de l'API fixent eux-mêmes JWT_SECRET et DB_PATH=':memory:' dans test/api.test.js, et le job image construit l'image sans démarrer le conteneur. Quant au GITHUB_TOKEN, créé pour chaque job, il suffit à publier sur le registre de GitHub.

Étape 5 : construire et publier l'image Docker sur GHCR

GHCR, le registre de conteneurs de GitHub (ghcr.io), accepte un push authentifié par GITHUB_TOKEN. L'image reprend le Dockerfile multi-étapes de notre tutoriel Docker pour débutants, basé sur node:24-alpine, placé à la racine du projet. Ajoutez ce job à ci.yml :

  image:
    needs: test
    if: github.event_name == 'push' && github.ref == 'refs/heads/main'
    runs-on: ubuntu-latest
    timeout-minutes: 20
    permissions:
      contents: read
      packages: write
    steps:
      - uses: actions/checkout@v7
        with:
          persist-credentials: false
      - uses: docker/setup-buildx-action@v4
      - uses: docker/login-action@v4
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}
      - id: meta
        uses: docker/metadata-action@v6
        with:
          images: ghcr.io/${{ github.repository }}
          tags: |
            type=ref,event=branch
            type=sha
      - uses: docker/build-push-action@v7
        with:
          context: .
          push: true
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          cache-from: type=gha
          cache-to: type=gha,mode=max

Ce que fait chaque bloc :

needs et if. L'image n'est construite que si les deux tests réussissent, et seulement pour un push sur main.
docker/metadata-action. L'image prend le nom du dépôt, ghcr.io/<compte>/<dépôt>, soit ghcr.io/<compte>/api-taches si le dépôt s'appelle comme le dossier du tutoriel. L'action produit les tags main et sha- suivi du commit abrégé, plus les labels OCI. Son README précise qu'il met le nom d'image en minuscules, ce qu'exige le registre.
context: . avec checkout. Sans checkout, build-push-action lit le dépôt par Git et ignore les modifications des étapes précédentes, selon son README.
type=gha. Les couches Docker vont dans le cache de GitHub Actions. Avec plusieurs images, fixez un scope distinct, sinon chaque build écrase le cache du précédent, prévient la documentation de Docker.

Deux pièges documentés par GitHub sur la page du Container registry. Un paquet publié pour la première fois est privé par défaut. Et le GITHUB_TOKEN ne peut pas pousser si une image du même nom a déjà été poussée à la main sans être reliée au dépôt.

Côté coût, la facturation de GitHub Packages indique le 31 octobre 2026 que le stockage du Container registry est gratuit pour l'instant, avec un mois de préavis avant tout changement. L'image se déploie ensuite derrière notre reverse proxy Nginx avec Docker Compose.

Étape 6 : GITHUB_TOKEN minimal et actions épinglées

Cette étape a deux volets : limiter ce que le jeton peut faire, et figer le code des actions exécutées.

Le principe du moindre privilège

Le GITHUB_TOKEN est limité au dépôt et valable le temps du job. Ses droits dépendent du réglage du dépôt, puis du bloc permissions. La référence de syntaxe fixe la règle utile : dès que vous citez une permission, toutes celles que vous ne citez pas passent à none.

D'où notre schéma : contents: read au niveau du workflow, packages: write dans le seul job image. C'est ce que récompense le test Token-Permissions d'OpenSSF Scorecard, qui classe ce risque comme élevé. L'option persist-credentials: false de checkout évite en plus de conserver le jeton pour les commandes Git suivantes.

Épingler les actions sur un SHA

Un tag comme @v7 peut être déplacé. Selon l'avis de sécurité GitHub GHSA-mrrh-fwg8-r2c3 (CVE-2025-30066), des attaquants ont redirigé en mars 2025 plusieurs tags de tj-actions/changed-files vers un commit malveillant, qui affichait les secrets dans les journaux entre le 14 et le 15 mars.

La référence de sécurité de GitHub Actions recommande donc d'épingler chaque action sur l'empreinte complète d'un commit, en vérifiant qu'elle vient du dépôt de l'action et non d'un fork. La forme est uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1 : l'empreinte fige le code, le commentaire garde la version lisible. Le fichier complet plus bas épingle ainsi les six actions sur les versions publiées au 31 octobre 2026. Nous avons lu ces empreintes sur l'API de GitHub ; vérifiez-les sur la page des versions de chaque action.

Pour ne pas figer des versions vulnérables, laissez Dependabot proposer les mises à jour avec .github/dependabot.yml, selon la documentation de Dependabot :

version: 2
updates:
  - package-ecosystem: "github-actions"
    directory: "/"
    schedule:
      interval: "weekly"

Selon la référence de sécurité, les alertes Dependabot ignorent les actions épinglées par SHA ; les mises à jour de version, elles, fonctionnent.

GitHub va plus loin avec les fichiers de verrouillage des workflows : .github/workflows/actions.lock, généré par l'extension gh actions-lock, fige le commit de chaque action, dépendances indirectes comprises, et vérifie l'identité du dépôt source. La référence de sécurité le présente comme la meilleure protection, qui remplace l'épinglage par SHA pour les dépôts qui l'adoptent. Ce tutoriel garde les SHA : la documentation ne dit pas si le dispositif est en préversion ou disponible pour tous, et il exige une extension de GitHub CLI.

Étape 7 : concurrence et workflows réutilisables

Deux mots-clés évitent le gaspillage et la copie de YAML. Le premier, concurrency, se place en tête de ci.yml :

concurrency:
  group: ${{ github.workflow }}-${{ github.ref }}
  cancel-in-progress: ${{ github.event_name == 'pull_request' }}

D'après la page sur la concurrence, un seul workflow s'exécute à la fois par groupe, et une exécution en attente est remplacée par la plus récente. L'expression annule aussi l'exécution en cours, mais seulement pour une pull request. Sur main, l'exécution en cours va à son terme, mais une exécution en attente reste remplacée par la plus récente : seul le dernier push en file est publié.

Le second, workflow_call, transforme un workflow en brique réutilisable. Déplacez le job de test dans .github/workflows/tests-node.yml :

name: Tests Node.js

on:
  workflow_call:
    inputs:
      node-versions:
        description: Versions de Node.js, au format JSON
        type: string
        default: '[24, 26]'

jobs:
  test:
    runs-on: ubuntu-latest
    timeout-minutes: 10
    permissions:
      contents: read
    strategy:
      fail-fast: false
      matrix:
        node-version: ${{ fromJSON(inputs.node-versions) }}
    steps:
      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
        with:
          persist-credentials: false
      - uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
        with:
          node-version: ${{ matrix.node-version }}
          cache: npm
      - run: npm ci
      - run: npm test

Dans ci.yml, le job test devient un simple appel, et image garde son needs: test :

jobs:
  test:
    uses: ./.github/workflows/tests-node.yml
    permissions:
      contents: read
    with:
      node-versions: '[24, 26]'

La forme ./.github/workflows/{filename} est celle que la documentation sur la réutilisation donne pour un workflow du même dépôt. La même page, consultée le 31 octobre 2026, mentionne aussi une forme $/.github/workflows/{filename}, qu'elle dit recommandée et indisponible sur GitHub Enterprise Server ; nous ne l'avons pas testée. La référence des workflows réutilisables fixe dix niveaux d'imbrication au plus et 50 workflows réutilisables distincts par fichier ; les variables env de l'appelant ne sont pas transmises, et le workflow appelé ne peut pas élever les permissions reçues.

Le fichier ci.yml complet

Voici .github/workflows/ci.yml une fois les étapes 1 à 7 assemblées, avec le job test écrit en entier (sans le workflow réutilisable de l'étape 7 ni l'environnement optionnel de l'étape 4) : déclencheurs, permissions minimales, concurrence, matrice avec cache, publication sur GHCR, et chaque action épinglée sur son SHA. Sa syntaxe a été vérifiée avec le module yaml de Python ; il n'a pas été exécuté sur GitHub. Avec le workflow réutilisable de l'étape 7, le job test ci-dessous est remplacé par l'appel à tests-node.yml.

name: CI

on:
  push:
    branches: [main]
  pull_request:
    branches: [main]

permissions:
  contents: read

concurrency:
  group: ${{ github.workflow }}-${{ github.ref }}
  cancel-in-progress: ${{ github.event_name == 'pull_request' }}

jobs:
  test:
    runs-on: ubuntu-latest
    timeout-minutes: 10
    strategy:
      fail-fast: false
      matrix:
        node-version: [24, 26]
    steps:
      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
        with:
          persist-credentials: false
      - uses: actions/setup-node@949feb2413d6458794dcd2491c4babbbce0c15c1 # v7.1.0
        with:
          node-version: ${{ matrix.node-version }}
          cache: npm
      - run: npm ci
      - run: npm test

  image:
    needs: test
    if: github.event_name == 'push' && github.ref == 'refs/heads/main'
    runs-on: ubuntu-latest
    timeout-minutes: 20
    permissions:
      contents: read
      packages: write
    steps:
      - uses: actions/checkout@3d3c42e5aac5ba805825da76410c181273ba90b1 # v7.0.1
        with:
          persist-credentials: false
      - uses: docker/setup-buildx-action@f87e5991a6d7451dcb8d9637bfbc97413f497069 # v4.4.1
      - uses: docker/login-action@81c6f93d4bc991e510b342a00b419b3bb4efc5c6 # v4.7.0
        with:
          registry: ghcr.io
          username: ${{ github.actor }}
          password: ${{ secrets.GITHUB_TOKEN }}
      - id: meta
        uses: docker/metadata-action@dc802804100637a589fabce1cb79ff13a1411302 # v6.2.0
        with:
          images: ghcr.io/${{ github.repository }}
          tags: |
            type=ref,event=branch
            type=sha
      - uses: docker/build-push-action@c3c9e263c25d99ce0380d002d59b67737d91b0dc # v7.4.0
        with:
          context: .
          push: true
          tags: ${{ steps.meta.outputs.tags }}
          labels: ${{ steps.meta.outputs.labels }}
          cache-from: type=gha
          cache-to: type=gha,mode=max

Combien coûte GitHub Actions en octobre 2026

GitHub Actions reste gratuit pour les dépôts publics sur les runners standards, et sur vos propres machines. Pour les dépôts privés, la page de facturation de GitHub Actions, lue le 31 octobre 2026, exprime désormais le quota en dollars de calcul inclus, et non plus en minutes, déduits selon le tarif de chaque runner :

Offre	Calcul inclus par mois	Soit, sur Linux 2 cœurs	Stockage d'artefacts	Cache par dépôt
GitHub Free	12 $	2 000 minutes	500 Mo	10 Go
GitHub Pro	18 $	3 000 minutes	1 Go	10 Go
GitHub Team	18 $	3 000 minutes	2 Go	10 Go
GitHub Enterprise Cloud	300 $	50 000 minutes	50 Go	10 Go

La conversion est notre calcul à 0,006 $ la minute. Les 2 000 minutes souvent citées, y compris dans notre guide CI/CD, correspondent donc aux 12 $ de l'offre Free sur Linux 2 cœurs ; la page de prix de GitHub affiche bien 2 000, 3 000 et 50 000 minutes pour Free, Team et Enterprise, avec Team à 4 $ et Enterprise à 21 $ par utilisateur et par mois.

Le quota en dollars change la donne dès que vous quittez Linux. La grille des runners facture 0,002 $ la minute sur Linux 1 cœur, 0,005 $ sur Linux arm64 2 cœurs, 0,010 $ sur Windows 2 cœurs et 0,062 $ sur macOS 3 ou 4 cœurs. Les 12 $ de l'offre Free couvrent donc environ 193 minutes de macOS seulement.

Notre calcul. Chaque job étant arrondi à la minute supérieure, notre ci.yml coûte au moins 3 minutes par push sur main et 2 par pull request. À 50 de chaque par mois sur un dépôt privé, cela fait au moins 250 minutes, bien dans le quota Free. Une matrice sur trois systèmes d'exploitation changerait tout : une minute de macOS coûte plus de dix minutes de Linux 2 cœurs.

Le stockage se paie à part : 0,25 $ par Go et par mois au-delà de l'allocation d'artefacts, 0,07 $ pour le cache si vous avez relevé sa limite de 10 Go, selon la même page.

Runners auto-hébergés : gratuits, pas sans danger

Un runner auto-hébergé est une machine à vous qui exécute les jobs à la place des machines de GitHub. La page de facturation les range, le 31 octobre 2026, parmi les usages gratuits qui ne réduisent pas le calcul inclus. GitHub avait annoncé en décembre 2025 une redevance de 0,002 $ la minute sur les runners auto-hébergés à partir du 1er mars 2026, puis a écrit la reporter « pour prendre le temps de réévaluer notre approche » (notre traduction), sur sa page consacrée aux changements de prix de 2026.

Selon la page sur les runners auto-hébergés, vous payez la machine et mettez à jour vous-même système et outils. Checkout et setup-node, passées au moteur node24, exigent le runner v2.327.1 ou plus selon leurs README. Un job peut y tourner 5 jours d'après la page des limites, mais le GITHUB_TOKEN ne se renouvelle que pendant 24 heures, précise la page GITHUB_TOKEN.

Le vrai risque est ailleurs. Selon la référence de sécurité, un runner auto-hébergé ne garantit pas une machine propre à chaque job et peut être compromis durablement : il ne devrait presque jamais servir à un dépôt public, où n'importe qui peut ouvrir une pull request. Elle mentionne aussi des runners éphémères, dits JIT, qui n'exécutent qu'un job.

Verdict : pour cette API, les runners hébergés suffisent. Notre comparatif de l'hébergement cloud pour développeurs aide à choisir la machine.

Ce que nous n'avons pas pu vérifier

Ce tutoriel est une synthèse documentaire. Restent incertains :

L'exécution des workflows. Leur syntaxe YAML a été vérifiée avec un analyseur Python, mais aucun n'a tourné sur GitHub. Testez-les d'abord sur une branche.
Le sort de la redevance des runners auto-hébergés. Reportée, mais nous n'avons trouvé aucune annonce qui l'annule.
Le prix de GitHub Pro. La page de prix lue ne l'affiche pas, ni aucun prix en euros.
Le statut exact des fichiers de verrouillage. La documentation les décrit sans préciser s'ils sont en préversion ou disponibles pour tous.
La durée réelle des jobs. Nos chiffres de minutes sont des minimums dus à l'arrondi, pas des mesures.

Questions fréquentes

Combien de minutes GitHub Actions gratuites pour un dépôt privé ?

Sur l'offre Free, 12 $ de calcul par mois, soit 2 000 minutes sur le runner Linux 2 cœurs à 0,006 $ la minute, mais 193 seulement sur macOS, selon la page de facturation de GitHub lue le 31 octobre 2026. Les dépôts publics sur les runners standards et les runners auto-hébergés ne consomment rien.

Quelle version d'actions/checkout utiliser ?

La v7 : au 31 octobre 2026, la dernière version publiée est la 7.0.1. Épinglez-la sur son SHA complet, avec la version en commentaire.

Quelle différence entre une action et un workflow ?

Le workflow est votre fichier YAML, déclenché par un événement, qui contient des jobs. Une action est une brique appelée dans un step avec uses, comme actions/setup-node. Un workflow réutilisable s'appelle, lui, au niveau d'un job.

Comment publier une image Docker avec GitHub Actions ?

Connectez-vous à ghcr.io avec docker/login-action et le GITHUB_TOKEN, puis construisez et poussez avec docker/build-push-action, dans un job qui déclare packages: write (étape 5).

À propos de l'auteur

Méthode. Synthèse documentaire fondée exclusivement sur des sources publiques consultées le 31 octobre 2026 : documentation de GitHub Actions, de GitHub Packages et de Dependabot, pages de facturation et de prix de GitHub, README et pages de versions des actions officielles et des actions Docker, documentation de Docker, OpenSSF Scorecard, avis de sécurité de GitHub, index des versions de Node.js. Les empreintes SHA ont été lues sur l'API de GitHub. La syntaxe YAML a été vérifiée localement, mais aucun workflow n'a été exécuté. Aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs mentionnés.

Une erreur ou une version périmée ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 31 octobre 2026.

Image : Alberto Rodríguez (Unsplash License).

LLM local avec Ollama : installer, choisir un modèle et coder en 2026

Neurau Tech — Sat, 31 Oct 2026 18:43:56 +0000

L'essentiel en une minute

Un LLM local est un modèle de langage qui tourne sur votre propre machine : vos prompts ne partent pas chez un fournisseur, et l'outil fonctionne sans connexion une fois le modèle téléchargé. Ollama est l'un des moyens les plus directs d'y arriver. Sa dernière version, la 0.40.13, est sortie le 28 octobre 2026 (versions d'Ollama sur GitHub, consultées le 31 octobre 2026).

Ce guide repose sur la documentation officielle d'Ollama, de llama.cpp, de Hugging Face et d'Apple, avec des tailles et des licences relevées aujourd'hui. Ollama n'est pas installé sur notre poste de rédaction : aucune commande n'a été exécutée pour cet article.

Points clés

Ollama est gratuit, sous licence MIT, et tourne sur Windows 10 22H2 ou plus récent, macOS Sonoma ou plus récent et Linux.

La règle de base : le fichier du modèle doit tenir dans la mémoire disponible, avec de la marge pour le contexte. Le modèle qwen3.5:9b pèse de 6,6 à 7,6 Go dans Ollama.

La quantification réduit chaque poids à 4 ou 5 bits environ au lieu de 16 : c'est elle qui rend un LLM local possible sur un ordinateur portable.

L'API écoute sur 127.0.0.1:11434 sans authentification. Ne l'ouvrez pas au réseau sans proxy authentifié : SentinelLABS et Censys ont recensé 175 108 serveurs Ollama exposés.

Pour coder, l'extension officielle Ollama pour VS Code ajoute vos modèles au sélecteur du chat, à condition d'avoir VS Code 1.127 ou plus récent.

Pourquoi faire tourner un LLM local, et quand s'en passer

Un LLM local apporte la confidentialité, un coût prévisible et le travail hors ligne. La FAQ d'Ollama, consultée le 31 octobre 2026, le dit : « Ollama s'exécute localement. Nous ne voyons pas vos prompts ni vos données quand vous l'utilisez en local » (notre traduction).

Nuance : Ollama propose aussi des modèles hébergés, reconnaissables au suffixe :cloud. Ceux-là s'exécutent sur les serveurs d'Ollama. La même FAQ indique qu'on peut désactiver ces fonctions avec la variable OLLAMA_NO_CLOUD=1, qui coupe les modèles cloud et la recherche web. Le téléchargement des modèles passe toujours par le réseau.

Côté coût, le logiciel et la plupart des modèles open-weight sont gratuits : la facture se déplace vers le matériel et l'électricité. Notre guide du meilleur laptop pour développeur aide à dimensionner la mémoire.

Les limites sont réelles :

La taille. Les plus gros modèles de notre sélection pèsent 65 Go (gpt-oss:120b) et 81 Go (qwen3.5:122b), et la bibliothèque en compte de bien plus lourds, comme qwen3-coder:480b à 290 Go (fiche Qwen3-Coder). Ils sont hors de portée d'un portable courant.
Les modèles fermés. Les modèles phares d'OpenAI, d'Anthropic ou de Google ne se téléchargent pas. Notre comparatif ChatGPT, Claude et Gemini couvre ces services.
Le contexte. Sur une carte de moins de 24 Gio de VRAM, Ollama alloue par défaut une fenêtre de 4k tokens, 32k entre 24 et 48 Gio, et 256k au-delà (documentation sur la longueur de contexte). C'est souvent bien moins que le maximum annoncé par le modèle.
La vitesse. Elle dépend entièrement de votre matériel. Nous ne l'avons pas mesurée.

Verdict : un LLM local est idéal pour les données sensibles, le prototypage et le travail hors connexion. Pour les tâches les plus difficiles, un modèle cloud reste en général devant.

Le matériel d'un LLM local : mémoire, quantification, Mac

La mémoire décide de tout : un modèle doit être chargé en entier, de préférence dans la mémoire du processeur graphique (VRAM). Le guide de démarrage d'Ollama donne un repère concret : son modèle d'exemple, gemma4:e2b, pèse environ 7,2 Go et demande 8 Go de VRAM disponibles, ou de mémoire unifiée sur Mac (guide de démarrage d'Ollama).

Côté GPU, la page d'Ollama sur les cartes graphiques exige pour NVIDIA une « compute capability » de 5.0 au minimum et un pilote 550 ou plus récent. Les cartes AMD passent par ROCm v7, et Vulkan apporte un support supplémentaire sur Windows et Linux. Sans GPU compatible, le modèle tourne sur le processeur, plus lentement.

Quand le modèle ne tient pas en entier dans la VRAM, il est chargé en partie dans la mémoire système. La commande ollama ps le montre dans sa colonne PROCESSOR : « 100% GPU » signifie que tout est sur la carte, « 48%/52% CPU/GPU » que le modèle est réparti entre les deux (FAQ d'Ollama). Attendez-vous alors à une génération plus lente, que nous n'avons pas chiffrée.

Le tableau suivant croise les tailles relevées sur la bibliothèque d'Ollama avec la règle du fichier qui doit tenir en mémoire, en supposant que tout tourne sur le GPU. C'est notre lecture, pas une recommandation de l'éditeur :

Mémoire disponible (VRAM ou unifiée)	Exemples de modèles dont le fichier tient	Taille affichée
8 Go	qwen3.5:4b, ministral-3:3b	3 à 4 Go
16 Go	qwen3.5:9b, ministral-3:14b, gemma4:e2b (annoncé pour 8 Go par Ollama, sans marge) ; gpt-oss:20b à la limite	4,6 à 14 Go
32 Go	gemma4:26b, gemma4:31b, qwen3-coder:30b, qwen3.6:35b	16 à 23 Go
96 Go et plus	gpt-oss:120b (un GPU de 80 Go selon OpenAI), qwen3.5:122b	65 et 81 Go

En haut de chaque ligne, il reste peu de place pour le contexte. Deux repères viennent directement des éditeurs : la fiche de gpt-oss indique que le modèle 20b fonctionne sur des systèmes dotés de 16 Go de mémoire, et que le 120b tient sur un seul GPU de 80 Go (fiche gpt-oss sur Ollama).

La quantification expliquée simplement

La quantification consiste à stocker chaque poids du modèle avec moins de bits. En demi-précision (F16), un poids occupe 16 bits. Au format GGUF utilisé par Ollama et llama.cpp, le type Q4_K descend à 4,5 bits par poids, Q5_K à 5,5 bits et Q6_K à 6,5625 bits, selon la documentation GGUF de Hugging Face.

Notre calcul : nombre de paramètres multiplié par les bits par poids, divisé par 8, donne des octets. Pour 9 milliards de paramètres, cela fait environ 18 Go en F16 et 5,1 Go en Q4_K. Les fichiers réels pèsent plus : le format courant Q4_K_M mélange plusieurs types et revient à 4,89 bits par poids sur l'ensemble du fichier, selon les mesures de llama.cpp (documentation de llama-quantize). Certains modèles embarquent aussi un encodeur d'images : qwen3.5:9b accepte texte et image, ce qui contribue à ses 6,6 Go.

Le graphique compte en gibioctets (1 Gio ≈ 1,07 Go), les tailles d'Ollama en gigaoctets.

Moins de bits signifie aussi une perte de précision. L'outil llama-quantize l'exprime en hausse de perplexité (plus haut = pire) sur Llama 3 8B : +0,0026 en Q8_0, +0,1754 en Q4_K_M, +0,6569 en Q3_K_M et +3,5199 en Q2_K (code source de llama-quantize). Ce sont des chiffres du projet, sur un modèle ancien : retenez l'ordre de grandeur. Autour de 4 à 5 bits, la perte reste faible ; à 2 bits, elle devient nette.

Mac Apple Silicon : la mémoire unifiée

Sur un Mac à puce Apple, il n'y a pas de VRAM séparée. Apple décrit sa mémoire unifiée comme un pool unique dans lequel tous les composants de la puce accèdent aux mêmes données sans les copier (communiqué d'Apple sur la puce M1). Le processeur graphique peut donc utiliser cette mémoire pour le modèle, partagée avec macOS et vos applications. Il n'en dispose pas en totalité : Metal expose une valeur, recommendedMaxWorkingSetSize, qu'Apple définit comme une approximation de la mémoire que le GPU peut allouer sans dégrader ses performances (documentation Metal d'Apple).

Ollama exploite le GPU des puces M par l'API Metal, alors que les Mac Intel tournent sur le processeur seul (documentation macOS d'Ollama). Les MacBook Pro actuels vont de 16 Go de mémoire unifiée (puce M6, 153 Go/s de bande passante) à 128 Go (M5 Max à GPU 40 cœurs, 614 Go/s) (fiche technique du MacBook Pro, consultée le 31 octobre 2026).

Verdict : visez au moins 16 Go de mémoire disponible pour un usage confortable, et choisissez un format autour de 4 bits avant d'envisager un modèle plus petit.

Installer Ollama sur Windows, macOS et Linux

L'installation prend une commande ou un installeur, selon le système. Voici ce que dit la documentation officielle, relue le 31 octobre 2026 :

Windows. Lancez OllamaSetup.exe, qui ne demande pas de droits administrateur. Il faut Windows 10 22H2 ou plus récent, et un pilote NVIDIA 551.61 ou plus récent pour le GPU. Prévoyez au moins 4 Go pour le programme, plus l'espace des modèles (documentation Windows). Le dépôt GitHub propose aussi irm https://ollama.com/install.ps1 | iex dans PowerShell.
macOS. Ouvrez ollama.dmg et glissez l'application dans Applications. Il faut macOS Sonoma (14) ou plus récent. Au premier lancement, l'application propose de créer le lien de la commande ollama dans /usr/local/bin.
Linux. Une seule commande installe le binaire et un service systemd. Comme pour tout script envoyé au shell, vous pouvez d'abord le télécharger et le lire.

curl -fsSL https://ollama.com/install.sh | sh
ollama -v

Sous Linux, la documentation Linux d'Ollama demande d'installer CUDA pour une carte NVIDIA, puis de vérifier avec nvidia-smi, ou ROCm v7 pour une carte AMD. La mise à jour consiste à relancer le script. Si vous débutez en ligne de commande, notre guide des commandes Linux de base couvre l'essentiel.

Les modèles se rangent dans ~/.ollama/models sur macOS, /usr/share/ollama/.ollama/models sur Linux et C:\Users\%username%\.ollama\models sur Windows. La variable OLLAMA_MODELS permet de les déplacer vers un disque plus grand (FAQ d'Ollama).

Télécharger et lancer un modèle

Deux commandes suffisent : pull télécharge, run ouvre une conversation dans le terminal. Le guide de démarrage utilise gemma4:e2b comme exemple ; on quitte la session avec /bye.

ollama pull gemma4:e2b
ollama run gemma4:e2b

Les commandes du quotidien, d'après la référence de la ligne de commande :

Commande	Rôle
`ollama pull <modèle>`	Télécharge un modèle
`ollama run <modèle>`	Lance un modèle et ouvre une conversation
`ollama ls`	Liste les modèles installés
`ollama ps`	Liste les modèles chargés en mémoire
`ollama stop <modèle>`	Décharge un modèle
`ollama rm <modèle>`	Supprime un modèle du disque
`ollama launch`	Configure et lance un outil externe (VS Code, Claude Code, OpenCode...)

Deux réglages méritent d'être connus. Un modèle reste en mémoire 5 minutes après la dernière requête, durée modifiable avec OLLAMA_KEEP_ALIVE. Et la taille du contexte se change avec OLLAMA_CONTEXT_LENGTH pour tout le serveur, ou /set parameter num_ctx dans une session (FAQ d'Ollama).

Quels modèles open-weight choisir en octobre 2026

Un modèle open-weight publie ses poids, téléchargeables et utilisables, sans forcément publier ses données d'entraînement : « open source » est souvent un abus de langage. La licence compte donc autant que la taille. Voici une sélection relevée le 31 octobre 2026 sur la bibliothèque d'Ollama, avec la licence lue sur la page de l'éditeur :

Modèle	Tailles dans Ollama	Contexte maximal	Licence	Point fort annoncé
Gemma 4 (Google)	e2b, e4b, 12b, 26b, 31b : 4,6 à 20 Go	128K à 256K	Apache 2.0 (Hugging Face)	Texte et image, appel d'outils
Qwen3.5 (Alibaba)	0.8b à 122b : 1,2 à 81 Go	256K	Apache 2.0 (Hugging Face)	Large gamme de tailles
gpt-oss (OpenAI)	20b : 14 Go ; 120b : 65 Go	128K	Apache 2.0 (Hugging Face)	Raisonnement et agents
Ministral 3 (Mistral AI)	3b, 8b, 14b : 3 à 9,1 Go	256K	Apache 2.0 (Hugging Face)	Conçu pour les petites machines
Qwen3-Coder (Alibaba)	30b : 19 Go (480b : 290 Go)	256K	Apache 2.0 (Hugging Face)	Code et tâches agentiques
Qwen3.6 (Alibaba)	27b, 35b : 18 à 23 Go	256K	Apache 2.0 pour le 27b (Hugging Face)	Code agentique, selon l'éditeur

Les « points forts » sont revendiqués par les éditeurs : nous n'avons lu aucun classement indépendant qui les compare. Les modèles « MoE », comme gemma4:26b (25,2 milliards de paramètres dont 3,8 actifs) ou Qwen3-Coder 30b (30,5 milliards dont 3,3 actifs), activent seulement une partie de leurs poids à chaque token, mais le fichier entier doit tenir en mémoire. Les étiquettes -mlx visent les Mac.

Pour un premier LLM local sur 8 Go, partez de qwen3.5:4b ou ministral-3:3b. Sur 16 Go, qwen3.5:9b. Pour le code avec 32 Go, qwen3-coder:30b.

L'API REST locale : curl et Python

Ollama expose une API sur http://localhost:11434, sans clé en local. Elle parle trois dialectes : son API native sous /api, une API compatible OpenAI sous /v1 et une API compatible Anthropic (introduction à l'API). Un outil prévu pour OpenAI peut donc souvent viser votre LLM local en changeant seulement l'adresse.

Un appel avec curl, tiré du guide de démarrage :

curl http://localhost:11434/api/chat \
  -H "Content-Type: application/json" \
  -d '{
    "model": "gemma4:e2b",
    "messages": [{"role": "user", "content": "Explique une closure en une phrase."}],
    "stream": false
  }'

La réponse se lit dans message.content. Sans "stream": false, /api/chat diffuse la réponse par défaut, en JSON délimité par des retours à la ligne, un objet par morceau (documentation du streaming). Sous Windows, cette syntaxe convient à Git Bash ou WSL ; dans PowerShell, appelez curl.exe et adaptez les guillemets, ou utilisez Invoke-RestMethod.

En Python, la bibliothèque officielle s'installe avec pip install ollama et demande Python 3.8 ou plus récent (dépôt ollama-python) :

from ollama import chat

response = chat(
    model="gemma4:e2b",
    messages=[{"role": "user", "content": "Explique une closure en une phrase."}],
)
print(response.message.content)

Ici, la bibliothèque renvoie la réponse complète ; elle ne diffuse morceau par morceau qu'avec stream=True.

Avec le client OpenAI, réglez base_url="http://localhost:11434/v1/" et une clé quelconque, qu'Ollama ignore (compatibilité OpenAI). Cette API est la brique de base d'un RAG entièrement local, avec un modèle d'embeddings comme embeddinggemma-2. Notre tutoriel API REST avec Node.js et Express aide à construire un service autour.

Coder avec un modèle local dans VS Code

La voie officielle est l'extension Ollama pour VS Code. D'après la page d'intégration VS Code d'Ollama, consultée le 31 octobre 2026, la procédure tient en quatre gestes :

Installez l'extension Ollama depuis la Marketplace de VS Code.
Ouvrez le chat de VS Code.
Ouvrez le sélecteur de modèle en bas de la zone de saisie.
Choisissez un modèle dans la section Ollama.

Il faut VS Code 1.127 ou plus récent, et Ollama 0.17.6 ou plus récent est recommandé. Pour les modèles locaux, la page conseille de régler le contexte sur au moins 64k dans les paramètres d'Ollama, puis de recharger la fenêtre. Ce contexte consomme de la mémoire : sur une machine de 8 à 16 Go, il peut faire sortir une partie du modèle du GPU. Vérifiez avec ollama ps. La commande ollama launch vscode automatise la configuration.

Faut-il un compte GitHub ? Pas pour le chat : la documentation de VS Code indique que les modèles locaux comme ceux d'Ollama fonctionnent sans connexion à GitHub ni abonnement Copilot. Les suggestions en ligne et la recherche sémantique exigent en revanche un abonnement, et un administrateur peut bloquer cette option en entreprise.

Autre option répandue : l'extension Continue, configurable dans ~/.continue/config.yaml (documentation de configuration) avec provider: ollama et un rôle par modèle, par exemple un petit modèle pour l'autocomplétion (guide Ollama de Continue). Ses exemples de modèles sont anciens : prenez plutôt ceux du tableau précédent.

Gardez des attentes réalistes : nous n'avons lu aucune mesure indépendante qui compare ces modèles locaux aux assistants cloud sur du code. Notre article sur l'IA pour coder plus vite résume ce que les études mesurent vraiment, et notre sélection d'extensions VS Code complète l'environnement.

Ollama, LM Studio ou llama.cpp

Les trois outils font tourner un LLM local à partir des mêmes familles de modèles, avec des philosophies différentes. Ollama mise sur la ligne de commande et l'API, LM Studio sur l'interface graphique, llama.cpp sur le contrôle fin.

Critère	Ollama	LM Studio	llama.cpp
Licence	MIT	Application gratuite, y compris au travail depuis juillet 2025	MIT
Interface	Ligne de commande et application	Interface graphique et commande `lms`	Ligne de commande
Systèmes	Windows 10 22H2+, macOS 14+, Linux	macOS 14+ sur Apple Silicon, Windows x64 avec AVX2 ou ARM, Ubuntu 20.04+	macOS, Windows, Linux, nombreux GPU
Formats	Bibliothèque Ollama, import GGUF ou safetensors	GGUF, et MLX sur Mac	GGUF
API	Native, OpenAI et Anthropic sur le port 11434	Compatible OpenAI et Anthropic, REST	Serveur compatible OpenAI
Pour qui	Développeurs, intégrations	Débuter sans terminal	Réglages avancés, matériel exotique

Sources : dépôt d'Ollama, documentation de LM Studio et ses prérequis, l'annonce de gratuité en entreprise du 8 juillet 2025 et le dépôt de llama.cpp, consultés le 31 octobre 2026. LM Studio recommande 16 Go de RAM et ne prend pas en charge les Mac Intel ; nous n'avons pas trouvé de licence open source pour l'application.

Le README de llama.cpp écrit désormais llama cli -hf <dépôt> pour lancer un modèle de Hugging Face et llama serve pour ouvrir le serveur compatible OpenAI, avec une espace ; d'autres pages du projet emploient encore llama-server ou llama-quantize.

Verdict : Ollama si vous voulez une API et des intégrations prêtes, LM Studio pour explorer à la souris, llama.cpp pour tout régler soi-même.

Sécurité : le port 11434 et les modèles douteux

L'API d'Ollama n'a pas d'authentification. Par défaut, elle n'écoute que sur 127.0.0.1:11434, donc seule votre machine peut l'appeler. Dès que vous réglez OLLAMA_HOST=0.0.0.0:11434, tout le réseau y a accès (FAQ d'Ollama).

SentinelLABS et Censys ont recensé 175 108 hôtes Ollama uniques accessibles depuis Internet, dans 130 pays, sur 293 jours d'analyse. Plus de 48 % annoncent la capacité d'appeler des outils (SentinelOne, page mise à jour le 6 mars 2026).

Les bons réflexes :

Restez en local. Pour un accès distant, préférez un tunnel SSH à l'ouverture du port.
Mettez un proxy authentifié. Wiz, qui a découvert la faille CVE-2024-37032 corrigée dans la version 0.1.34, recommande un proxy inverse avec authentification (Wiz, 24 juin 2024). Notre tutoriel Nginx reverse proxy avec Docker Compose montre la mise en place.
Attention à Docker. Wiz note qu'avec Docker, l'API est exposée publiquement. Sans adresse, -p 11434:11434 publie le port sur toutes les interfaces ; écrivez -p 127.0.0.1:11434:11434 pour le réserver à la machine (documentation Docker sur les ports). Docker précise aussi que ses ports publiés contournent ufw (pare-feu et Docker). Notre guide Docker pour débutants explique la publication des ports.
Mettez à jour. La faille de 2024 permettait d'écrire des fichiers arbitraires via un registre malveillant, et celle de 2026, corrigée dans la 0.17.1, de lire la mémoire du serveur avec un fichier GGUF piégé.

Les modèles eux-mêmes sont un second risque. Ollama et llama.cpp chargent du GGUF, et Ollama sait importer du safetensors (documentation d'import) : pas de pickle, ce format de PyTorch qui peut exécuter du code au chargement (Hugging Face). Le GGUF n'est pas sans risque pour autant : la faille CVE-2026-7482, corrigée dans Ollama 0.17.1, permettait à un fichier GGUF piégé envoyé à /api/create de lire la mémoire du serveur (fiche CVE, publiée le 4 mai 2026). Téléchargez depuis la bibliothèque officielle ou des organisations connues.

Enfin, un LLM local relié à des outils hérite des risques d'injection de prompt. Si vous lui donnez accès à vos fichiers, relisez nos articles sur les agents IA et le serveur MCP, qui détaillent les garde-fous.

Ce que nous n'avons pas pu vérifier

Cet article est une synthèse documentaire. Les points suivants restent ouverts :

L'exécution. Ollama n'est pas installé sur notre poste de rédaction : aucune commande ni aucun exemple de code n'a été exécuté. Ils sont repris ou adaptés de la documentation officielle.
Les performances. Nous n'avons mesuré ni vitesse ni qualité, et nous ne citons aucun classement : les débits en tokens par seconde publiés ailleurs dépendent trop du matériel.
La perte de qualité due à la quantification sur les modèles récents. Les chiffres de llama.cpp portent sur Llama 3 8B ; nous n'en avons pas trouvé pour Gemma 4 ou Qwen3.5.
La licence de qwen3.6:35b. Nous l'avons lue sur la fiche du modèle 27b, pas sur celle du 35b.
La part de mémoire unifiée utilisable par le GPU. Apple ne publie pas de pourcentage ; nous n'en citons pas.
Le pilote NVIDIA minimal. La page Windows indique 551.61, la page GPU 550 : nous retenons la plus exigeante pour Windows.

Questions fréquentes

Quel matériel faut-il pour un LLM local ?

Le fichier du modèle doit tenir dans la mémoire disponible, avec une marge. Le guide d'Ollama recommande 8 Go de VRAM ou de mémoire unifiée pour son modèle d'exemple de 7,2 Go, et OpenAI indique que gpt-oss:20b fonctionne avec 16 Go de mémoire. Selon notre lecture des tailles affichées par Ollama, 16 Go accueillent les modèles quantifiés de 4 à 14 milliards de paramètres, et gpt-oss:20b à la limite.

Ollama est-il gratuit et open source ?

Oui : Ollama est publié sous licence MIT sur GitHub et l'usage local ne coûte rien. Les modèles ont leur propre licence : Gemma 4, Qwen3.5, gpt-oss et Ministral 3 sont sous Apache 2.0, qui autorise l'usage commercial. Seuls les modèles :cloud passent par les serveurs d'Ollama.

Peut-on faire tourner un LLM local sur un Mac ?

Oui, sur macOS Sonoma ou plus récent. Les puces Apple M utilisent le GPU via Metal et leur mémoire unifiée, alors que les Mac Intel tournent sur le processeur seul (documentation d'Ollama).

Comment appeler Ollama depuis du code ?

Par l'API REST sur http://localhost:11434 : /api/chat pour l'API native, /v1/chat/completions pour la compatibilité OpenAI. En Python, pip install ollama installe la bibliothèque officielle. Aucune clé n'est demandée en local, d'où l'importance de ne pas exposer le port.

À propos de l'auteur

Méthode. Synthèse fondée exclusivement sur des sources publiques consultées le 31 octobre 2026 : documentation et dépôts d'Ollama, de LM Studio, de llama.cpp et de Continue, pages de modèles d'Ollama et de Hugging Face, documentation GGUF de Hugging Face, mesures de llama-quantize, documentations d'Apple, de Docker et de VS Code, fiche CVE, recherches de SentinelLABS, Censys et Wiz. Les avantages revendiqués par les éditeurs sont signalés comme tels. Les citations issues de sources en anglais sont traduites par nos soins. Ollama n'était pas installé sur le poste de rédaction : aucun test ni aucune exécution n'a été mené. Aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs mentionnés.

Une erreur ou une version périmée ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 31 octobre 2026.

Image : Clint Patterson (Unsplash License).

Gestionnaire de mot de passe gratuit : 6 options comparées honnêtement en 2026

Neurau Tech — Sat, 31 Oct 2026 13:42:54 +0000

L'essentiel en une minute

Un gestionnaire de mot de passe gratuit suffit à la plupart des particuliers en 2026, s'il couvre tous vos appareils. Bitwarden et Proton Pass synchronisent sans limite d'appareils, KeePassXC garde tout en local, et les gestionnaires de Google, d'Apple et de Microsoft sont sans doute déjà installés chez vous.

Nous comparons ces six options sur leurs limites, la synchronisation, les clés d'accès, le partage, les alertes, le code et le chiffrement. Les faits viennent surtout des pages des éditeurs et des autorités françaises, complétées par l'ICO britannique, des chercheurs de l'ETH Zurich, Privacy Guides et la presse, relus les 30 et 31 octobre 2026. Aucun test maison, aucun lien affilié.

Points clés

Bitwarden Free et Proton Pass Free offrent mots de passe et appareils illimités. Bitwarden partage avec une personne, Proton Pass Free partage 2 coffres, chacun avec 2 autres personnes.

KeePassXC 2.7.9 a obtenu en novembre 2025 une certification de premier niveau de l'ANSSI sous Windows 10, valable jusqu'en novembre 2028.

Parmi les gestionnaires intégrés, seul Apple chiffre par défaut vos mots de passe de bout en bout. Chez Google, c'est une option.

L'ANSSI recommande un coffre-fort de mots de passe et un mot de passe différent par service, et déconseille le SMS comme second facteur.

Un export de migration est le plus souvent un fichier en clair : supprimez-le dès l'import terminé.

Pourquoi un gestionnaire plutôt que votre mémoire

Un mot de passe unique et robuste par service est impossible à retenir de tête : c'est le problème que règle un gestionnaire. Le guide de l'ANSSI recommande aux utilisateurs un mot de passe différent pour chaque service (R33), un coffre-fort de mots de passe pour les générer (R34), et aucun stockage dans un fichier ou un courriel (R35) (guide de l'ANSSI, version 2.0 du 8 octobre 2021, consulté le 30 octobre 2026).

Le même guide précise que les alternatives comme un fichier bureautique protégé par un mot de passe « n'apportent pas du tout le même niveau de protection ». Cybermalveillance.gouv.fr, dans sa fiche mise à jour le 5 octobre 2026, conseille un gestionnaire sécurisé pour n'avoir plus qu'un mot de passe à retenir (Cybermalveillance.gouv.fr).

Le gestionnaire aide aussi contre l'hameçonnage : en principe, il ne propose un mot de passe que sur le domaine enregistré, protection qui disparaît si vous le copiez-collez à la main. Notre guide pour reconnaître un phishing détaille les autres indices.

Gestionnaire de mot de passe gratuit : le tableau comparatif

Aucun gestionnaire de mot de passe gratuit ne coche toutes les cases : chacun arbitre entre synchronisation, contrôle et confort.

Offre gratuite	Plateformes	Synchronisation	Partage	Code source	Éditeur
Bitwarden Free	Navigateurs, ordinateur, mobile, web	Appareils illimités, serveurs aux États-Unis ou dans l'UE	1 autre personne	Ouvert	Bitwarden, Inc. (Californie)
Proton Pass Free	Navigateurs, ordinateur, mobile	Appareils illimités	2 coffres, 2 personnes par coffre	Ouvert	Proton AG (Suisse)
KeePassXC	Windows, macOS, Linux	Aucune, fichier à synchroniser soi-même	Via KeeShare	Ouvert (GPLv3)	Équipe KeePassXC (Allemagne)
Google	Chrome, Android, iOS avec Chrome	Appareils du compte Google	Groupe familial	Fermé	Google ; Google Ireland pour l'UE
Apple Mots de passe	iOS 18, macOS Sequoia, Windows via iCloud	Appareils Apple et PC Windows	Contacts sur iOS 17, macOS 14 ou plus	Fermé	Apple ; Apple Distribution International (Irlande) pour l'UE
Microsoft Edge	Navigateur Edge	Avec un compte Microsoft	Non vérifié	Fermé	Microsoft

La grille ajoute LastPass Free en contraste, sans le compter parmi les six. Les éditeurs viennent des politiques de confidentialité de Bitwarden, de Google et d'Apple, et du rapport de l'ANSSI pour KeePassXC.

Bitwarden Free : synchronisation illimitée et audits publiés

Bitwarden Free annonce appareils et mots de passe illimités, gestion des clés d'accès, export chiffré et partage gratuit avec un autre utilisateur (tarifs de Bitwarden, consultés le 30 octobre 2026).

Les limites : partage via une organisation gratuite de 2 utilisateurs et deux collections au plus ; double authentification par clé de sécurité, application ou e-mail. Les pièces jointes, l'authentificateur intégré et l'accès d'urgence sont réservés à Premium (documentation des offres). La plupart des rapports de santé du coffre aussi, mais le rapport Data Breach, qui interroge Have I Been Pwned, est « gratuit pour tous » (rapports de Bitwarden, consulté le 31 octobre 2026).

Bitwarden décrit un chiffrement de bout en bout AES-CBC 256 bits. La clé est dérivée du mot de passe maître par PBKDF2 avec 600 000 itérations par défaut, ou par Argon2id sur option (livre blanc de sécurité). La page des audits liste Cure53 chaque année depuis 2021 (page des audits). Le service propose une région États-Unis et une région Union européenne, à choisir à l'inscription (régions de serveurs).

En février 2026, des chercheurs de l'ETH Zurich ont publié 12 attaques contre Bitwarden en supposant un serveur entièrement compromis (ETH Zurich, 16 février 2026). Bitwarden indique avoir corrigé ou commencé à corriger sept problèmes et en avoir accepté trois comme choix de conception (Bitwarden).

Verdict : le bon point de départ si vous mélangez Windows, Android, iPhone et plusieurs navigateurs. Proton Pass l'emporte si vous voulez des alias e-mail ou partager un coffre à trois.

Proton Pass Free : la confidentialité, avec deux coffres

Proton Pass Free offre appareils et identifiants illimités, clés d'accès, alertes sur les mots de passe faibles et réutilisés, et 10 alias pour ne pas donner votre vraie adresse e-mail (tarifs de Proton Pass, consultés le 30 octobre 2026). La surveillance du dark web et l'authentificateur intégré sont réservés à Pass Plus.

Le partage passe par les coffres : en version gratuite, vous pouvez créer et partager jusqu'à 2 coffres, avec 3 personnes au plus par coffre en vous comptant, et chaque invité doit avoir un compte Proton Pass (aide Proton, consultée le 31 octobre 2026).

Selon Proton, chaque coffre est chiffré de bout en bout (AES-GCM 256 bits), métadonnées comprises. Les applications sont open source. Proton AG est installé à Genève et met en avant une juridiction hors des États-Unis et de l'UE ; le droit suisse s'applique (sécurité de Proton Pass).

Le dernier audit public trouvé, par Cure53, date de 2023 : un seul problème de gravité moyenne est resté ouvert, lié à Android (blog de Proton, 19 juillet 2023).

Verdict : idéal avec Proton Mail, ou pour des alias e-mail.

KeePassXC, KeePass et KeePassDX : le local certifié

KeePassXC est la seule option de ce comparatif dont la certification ANSSI est en cours de validité. Open source sous GPLv3, il tourne sous Windows, macOS et Linux sans stocker de données à distance. La version 2.8.0 est sortie le 21 octobre 2026 (KeePassXC, consulté le 30 octobre 2026).

Le rapport ANSSI-CSPN-2025/16 du 17 novembre 2025 porte sur la version 2.7.9, évaluée par Synacktiv, et vaut pour Windows 10 jusqu'au 17 novembre 2028 (page des audits du projet). L'ANSSI rappelle que la certification « ne constitue pas en soi une recommandation du produit » (rapport de certification).

La base est un fichier .kdbx chiffré en AES-256 ou Twofish selon la documentation. Le guide utilisateur recommande le format KDBX 4 avec Argon2, et décrit les clés d'accès via l'extension KeePassXC-Browser (guide utilisateur). Depuis la version 2.6.0, des rapports vérifient la santé des mots de passe hors ligne et, à la demande, leur présence dans Have I Been Pwned (KeePassXC 2.6.0).

KeePassXC n'a pas d'application mobile : sa page de documentation renvoie vers des applications tierces compatibles .kdbx, sur Android comme sur iPhone, que nous n'avons pas évaluées. Sur Android, KeePassDX, sous GPLv3, gère aussi ChaCha20 et les clés d'accès. Le KeePass d'origine, version 2.61.1 du 1er mai 2026, vise d'abord Windows.

Verdict : pour un poste sensible ou qui refuse tout cloud.

Google, Apple et Edge : les gestionnaires intégrés

Gratuits et déjà installés, ils valent mieux que des mots de passe réutilisés, mais vous attachent à un écosystème, avec un code fermé.

Gestionnaire de mots de passe de Google

Il est intégré à Chrome et à Android. Sa fonction Check-up signale les mots de passe compromis (Google Password Manager, consulté le 30 octobre 2026). Les clés d'accès y sont synchronisées et chiffrées de bout en bout, sur Android et dans Chrome sous Windows, macOS, Linux et ChromeOS (documentation développeurs de Google, mise à jour le 19 mai 2025).

Le partage est réservé à votre groupe familial, dont les membres reçoivent une copie du mot de passe (Clubic, 28 mai 2024). Pour les mots de passe, Google a lancé en 2022 un chiffrement sur l'appareil, avant envoi à ses serveurs (blog de Google, 5 mai 2022). Selon Privacy Guides, ce chiffrement de bout en bout reste optionnel.

Apple Mots de passe

L'application est disponible depuis iOS 18 et macOS Sequoia, et sur Windows via iCloud pour Windows. Elle gère les clés d'accès, les codes de validation, et alerte sur les mots de passe faibles, réutilisés ou apparus dans des fuites (assistance Apple). Apple classe « Mots de passe et Trousseau » parmi les données chiffrées de bout en bout dès la protection standard (sécurité des données iCloud).

Le partage en groupe est réservé à des personnes de vos contacts équipées d'un appareil sous iOS 17, iPadOS 17, macOS 14 ou plus récent (guide Mots de passe d'Apple) : autrement dit, entre utilisateurs Apple. La page d'Apple ne mentionne pas Android.

Microsoft Edge

Edge chiffre les mots de passe sur le disque en AES, avec une clé gardée par le système (DPAPI sous Windows). Microsoft précise qu'un logiciel malveillant actif dans votre session peut les lire. Avant synchronisation, les mots de passe sont chiffrés sur l'appareil (Microsoft Learn, mis à jour le 15 juin 2026), mais la page ne parle pas de chiffrement de bout en bout, et Privacy Guides estime qu'Edge n'en offre pas (Privacy Guides, 12 septembre 2025).

La Surveillance de mot de passe compare vos identifiants à une base de fuites si vous êtes connecté avec un compte Microsoft (assistance Microsoft).

Verdict : un bon début dans un seul écosystème ; entre iPhone et PC Windows, ou Android et Mac, préférez un gestionnaire indépendant.

LastPass Free et les autres offres limitées

LastPass Free, montré en contraste, fonctionne sur un seul type d'appareil, ordinateur ou mobile, et ne partage qu'un mot de passe avec une personne à la fois (tarifs de LastPass, consultés le 30 octobre 2026). Les pages de NordPass ont refusé notre accès : nous ne citons pas ses limites.

Ce que l'incident LastPass enseigne

Selon LastPass, un attaquant a volé du code source en août 2022, puis s'en est servi pour copier une sauvegarde des coffres clients, annoncée le 22 décembre 2022. Les champs sensibles restaient chiffrés en AES 256 bits, mais les adresses des sites ne l'étaient pas. LastPass prévenait que l'attaquant pouvait tenter de deviner les mots de passe maîtres par force brute (avis de LastPass).

Le 11 décembre 2025, l'ICO, régulateur britannique, a infligé 1,2 million de livres d'amende à LastPass UK Ltd pour une fuite touchant jusqu'à 1,6 million d'utilisateurs britanniques. Son enquête n'a trouvé « aucune preuve » que l'attaquant ait pu déchiffrer les mots de passe (ICO, notre traduction).

Trois leçons pratiques :

Un coffre volé peut être attaqué hors ligne, sans limite de temps. Seule la robustesse du mot de passe maître le protège alors.
Les métadonnées comptent : des adresses de sites en clair révèlent où vous avez un compte, de quoi préparer un hameçonnage ciblé.
Prévoyez de changer vite vos mots de passe importants. Notre panorama des cyberattaques les plus fréquentes remet ce risque en contexte.

Quel gestionnaire choisir selon votre profil

Le bon choix dépend de vos appareils :

Windows, Android et iPhone mélangés : Bitwarden Free, appareils illimités et audits annuels publiés.
Masquer votre adresse e-mail ou partager un coffre à trois : Proton Pass Free.
Aucun cloud, ou des données sensibles : KeePassXC sur ordinateur, KeePassDX sur Android.
100 % Apple : l'application Mots de passe, chiffrée de bout en bout par défaut.
100 % Android et Chrome : Google, en activant le chiffrement sur l'appareil.
Beaucoup de partage en famille : les offres familiales payantes, dont les prix figurent plus bas.

Migrer sans exposer vos mots de passe

Le moment le plus risqué d'une migration est le fichier d'export, le plus souvent un CSV ou un JSON en clair. Bitwarden propose un export chiffré, mais un import vers un autre outil passe en général par un format lisible. Le guide de KeePassXC rappelle que les exports CSV, Bitwarden ou Proton Pass qu'il importe ne sont pas chiffrés et doivent être supprimés ensuite (guide utilisateur de KeePassXC).

Exportez sur un ordinateur à jour.
Importez aussitôt. Bitwarden accepte jusqu'à 40 000 éléments par fichier, et une organisation gratuite limitée à deux collections peut faire échouer l'import (aide à l'import de Bitwarden).
Vérifiez quelques entrées. Privacy Guides signale que les exports CSV de KeePassXC peuvent perdre des données.
Supprimez le fichier et videz la corbeille.
Désactivez l'enregistrement dans le navigateur pour éviter deux coffres concurrents.

Les clés d'accès se migrent mal par fichier. La FIDO Alliance prépare un protocole d'échange, le Credential Exchange Protocol ; la version consultée est un brouillon d'octobre 2024 (FIDO Alliance). Notre article sur les passkeys explique leur fonctionnement.

Mot de passe maître et double authentification

Le mot de passe maître ouvre tout le coffre : l'ANSSI le qualifie de « très critique », et recommande de ne pas recevoir de facteur d'authentification par SMS (R8) (guide de l'ANSSI).

La CNIL fixe un minimum de 80 bits d'entropie pour un mot de passe seul : 12 caractères des quatre types, 14 caractères sans caractère spécial obligatoire, ou une phrase de passe d'au moins 7 mots (CNIL, 14 octobre 2022).

Choisissez une phrase de passe de 7 mots ou plus, utilisée nulle part ailleurs.
Activez la double authentification avec une application ou une clé de sécurité plutôt qu'un SMS.
Notez votre code de secours sur papier, rangé chez vous.
Protégez votre messagerie : l'ANSSI rappelle que sa compromission ouvre les comptes qui y sont liés (R36).

Si un escroc vous a déjà soutiré un mot de passe ou un code, notre guide sur l'arnaque en ligne détaille les démarches.

Ce que coûte le passage au payant

Le payant reste bon marché, mais il n'est pas indispensable seul. Bitwarden Premium coûte 19,80 $ par an et Families 47,88 $ pour 6 utilisateurs, hors taxes (tarifs de Bitwarden). Proton Pass Plus coûte 35,88 $ par an et Pass Family 59,88 $ pour 6 comptes (tarifs de Proton Pass). Prix relevés en dollars le 30 octobre 2026.

Payer se justifie pour les rapports de Bitwarden Premium, la surveillance du dark web de Proton, l'accès d'urgence ou un partage familial large. Comme pour un VPN gratuit ou payant, le gratuit convient quand le modèle économique est clair.

Ce que nous n'avons pas pu vérifier

Les limites de NordPass Free et de RoboForm Free, dont nous n'avons pas pu lire les pages officielles.
Les clés d'accès et le partage dans Edge, et qui détient sa clé de synchronisation.
Un audit de Proton Pass postérieur à 2023.
La certification de KeePassXC 2.8.0 : elle ne couvre que la version 2.7.9.
Les prix en euros : les pages consultées affichaient des dollars.

Questions fréquentes

Quel est le meilleur gestionnaire de mot de passe gratuit ?

Il n'y en a pas un seul. Bitwarden Free et Proton Pass Free synchronisent sans limite d'appareils, et KeePassXC a une certification de l'ANSSI valable pour sa version 2.7.9. Le meilleur gestionnaire de mot de passe gratuit est celui qui couvre tous vos appareils.

Le gestionnaire de mots de passe de Google est-il sûr ?

Il est bien plus sûr que des mots de passe réutilisés, et ses clés d'accès sont chiffrées de bout en bout. Pour les mots de passe, ce chiffrement est une option selon Privacy Guides, alors qu'Apple l'applique par défaut.

Un gestionnaire de mot de passe gratuit peut-il être piraté ?

L'éditeur peut l'être, gratuit ou payant : LastPass l'a été en 2022. L'ICO n'a trouvé aucune preuve de déchiffrement, mais un coffre volé reste exposé à des essais hors ligne. Un mot de passe maître solide et la double authentification restent la meilleure protection.

Comment passer de Chrome à Bitwarden ?

Exportez depuis les paramètres du gestionnaire de Google, puis importez dans Bitwarden, qui lit le format de Chrome (aide de Bitwarden), puis supprimez le fichier exporté.

À propos de l'auteur

Méthode. Synthèse fondée sur des sources publiques consultées les 30 et 31 octobre 2026 : pages des éditeurs, rapport et guide de l'ANSSI, CNIL, Cybermalveillance.gouv.fr, décision de l'ICO, publication de l'ETH Zurich, Privacy Guides et presse spécialisée. Les affirmations des éditeurs sont présentées comme telles. Aucun logiciel n'a été testé, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs mentionnés.

Une erreur ? Écrivez à contact@neurautech.com : l'article sera corrigé.

Dernière mise à jour : 31 octobre 2026.

Image d'en-tête : Sasun Bughdaryan (Unsplash License).

Nginx reverse proxy avec Docker Compose : le tutoriel HTTPS pas à pas (2026)

Neurau Tech — Sat, 31 Oct 2026 13:42:52 +0000

L'essentiel en une minute

Un Nginx reverse proxy reçoit les requêtes des clients à la place de votre application, termine le chiffrement HTTPS, puis transmet chaque requête au bon service interne. Avec Docker Compose, c'est le seul conteneur qui publie des ports : votre API reste invisible depuis l'extérieur.

Ce tutoriel place nginx devant l'API Node.js de notre guide pour créer une API REST avec Node.js et Express, qui écoute sur le port 3000 et expose une route /health, conteneurisée comme dans notre guide Docker pour débutants. Il repose sur la documentation de nginx.org, de Docker, de Certbot et de Let's Encrypt, consultée le 30 octobre 2026. Les fichiers suivent ces documentations, mais nous ne les avons pas exécutés : la méthode est détaillée en fin d'article.

Points clés

nginx 1.30.6 (stable) et 1.31.7 (mainline) ont corrigé cinq vulnérabilités le 14 octobre 2026.

Quatre en-têtes sont à transmettre : Host, X-Real-IP, X-Forwarded-For et X-Forwarded-Proto. Côté Express, TRUST_PROXY=1 lit l'adresse du client un saut plus loin.

Une location qui définit un seul proxy_set_header perd tous ceux du niveau supérieur : c'est le piège classique des WebSocket.

Les certificats Let's Encrypt du profil par défaut, classic, passeront de 90 à 64 jours le 10 février 2027, puis à 45 jours le 16 février 2028 : le renouvellement doit être automatique.

Les erreurs 502, 504 et 413 ont chacune une cause typique, visible dans les journaux.

Reverse proxy, proxy direct, répartiteur de charge

Un reverse proxy agit pour le compte des serveurs, alors qu'un proxy direct agit pour le compte des clients. MDN résume la différence ainsi : un proxy direct peut masquer l'identité des clients, un reverse proxy masque celle des serveurs, et sert à la répartition de charge, à l'authentification, au déchiffrement ou au cache (MDN, serveurs proxy et tunnels, consulté le 30 octobre 2026).

Le répartiteur de charge est une fonction qu'un reverse proxy assure quand plusieurs instances tournent derrière lui : sans méthode précisée, nginx répartit à tour de rôle (round-robin), avec least_conn et ip_hash comme alternatives (nginx.org, répartition de charge).

	Proxy direct (forward)	Reverse proxy	Répartiteur de charge
Agit pour	Les clients	Les serveurs	Les serveurs
Placé	Côté réseau du client	Devant l'application	Devant plusieurs instances
Usage typique	Filtrage, cache sortant, anonymat	TLS, routage par domaine ou chemin, en-têtes	Répartir le trafic, tolérer une panne
Exemple	Proxy d'entreprise	nginx devant une API	nginx avec un bloc `upstream`

Pour une seule API, le Nginx reverse proxy apporte un point d'entrée HTTPS unique, des en-têtes fiables et un endroit où régler délais et limites.

Les versions à utiliser en octobre 2026

Le 14 octobre 2026, nginx.org a publié la 1.30.6 stable et la 1.31.7 mainline avec les mêmes cinq correctifs de sécurité : CVE-2026-15176 (alias combiné à rewrite), CVE-2026-93479 (expressions avec variables), CVE-2026-95101 (corps de requête en HTTP/3), CVE-2026-97629 (rotation des clés de tickets TLS) et CVE-2026-97205 (SSI avec AIO). La 1.31.8 du 21 octobre n'apporte ensuite que des changements et corrections de bugs (CHANGES-1.30 et CHANGES, consultés le 30 octobre 2026).

Composant	État au 30 octobre 2026	Image Docker utilisée
nginx stable	1.30.6	`nginx:1.30.6-alpine`
nginx mainline	1.31.8	`nginx:1.31.8-alpine`
Certbot	5.9.0, publiée le 28 octobre 2026	`certbot/certbot:v5.9.0`
Node.js 26	LTS depuis le 28 octobre 2026 (26.13.0)	Non utilisée ici
Node.js 24	LTS en maintenance depuis le 20 octobre 2026, jusqu'au 30 avril 2028	`node:24-alpine`

Les étiquettes viennent de la page de l'image nginx sur Docker Hub, la version de Certbot de son journal des modifications, et les dates de Node.js du calendrier officiel des versions. Nous gardons node:24-alpine, l'image de nos deux tutoriels : la ligne 24 reste prise en charge et l'API exige Node.js 24 au minimum.

Étape 1 : la configuration minimale d'un Nginx reverse proxy

La directive centrale est proxy_pass, qui indique l'adresse du serveur vers lequel nginx transmet la requête. Voici le fichier nginx/conf.d/api.conf de départ, en HTTP seulement :

server {
    listen 80;
    server_name api.example.com;

    # Servira au défi Let's Encrypt de l'étape 3
    location /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }

    location / {
        proxy_pass http://api:3000;

        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

api est le nom du service dans Docker Compose, et 3000 le port interne de l'API. L'ordre des deux blocs location n'a pas d'importance : parmi les préfixes, nginx retient celui qui correspond le plus longuement à l'adresse demandée (module core HTTP).

Les quatre en-têtes ne sont pas décoratifs. Par défaut, nginx remplace l'en-tête Host par $proxy_host, c'est-à-dire api:3000 ici, et l'application ne verrait jamais le vrai domaine (module proxy de nginx, consulté le 30 octobre 2026).

En-tête	Valeur envoyée	Ce que l'application en tire
`Host`	`$host`, le domaine demandé	Les liens absolus et le routage par domaine
`X-Real-IP`	`$remote_addr`, l'adresse vue par nginx	L'adresse du client, en une seule valeur
`X-Forwarded-For`	La valeur reçue, plus `$remote_addr` à la fin	La chaîne des adresses traversées
`X-Forwarded-Proto`	`$scheme`, `http` ou `https`	Savoir si le client était en HTTPS

Le piège de la barre oblique finale

Une barre oblique de trop dans proxy_pass change l'adresse transmise : si proxy_pass contient une URI, même réduite à /, la partie qui correspond au bloc location est remplacée par cette URI ; sans URI, la requête part telle que le client l'a envoyée.

Avec location /api/ et proxy_pass http://api:3000/;, une requête vers /api/v1/taches arrive sous la forme /v1/taches. L'API du tutoriel attend /api/v1/... : pas de barre finale.

Rester cohérent avec TRUST_PROXY

Notre API Express ne lit ces en-têtes que si la variable TRUST_PROXY est réglée. La page Express derrière un proxy explique qu'avec un nombre, Express fait confiance à ce nombre de sauts, en lisant X-Forwarded-For de droite à gauche. Avec un seul nginx devant, TRUST_PROXY=1 désigne la dernière adresse de la liste, celle que nginx ajoute lui-même : un client ne peut pas la falsifier.

La même page précise que req.protocol reflète X-Forwarded-Proto. Le cas d'un CDN devant nginx est traité plus bas.

Étape 2 : la pile Docker Compose

Trois prérequis : un serveur Linux avec Docker Engine et Compose, un enregistrement DNS A (et AAAA en IPv6) qui fait pointer api.example.com vers lui, et les ports 80 et 443 ouverts, le 80 servant au défi de Let's Encrypt.

Seul nginx publie des ports, et c'est voulu. La page d'installation de Docker pour Ubuntu prévient que les ports publiés par des conteneurs contournent les règles des pare-feu ufw et firewalld (installer Docker Engine sur Ubuntu) : un port 3000 publié par erreur serait joignable malgré votre pare-feu.

Voici l'arborescence, placée par exemple dans /srv/pile ; le dossier api-taches est le projet du tutoriel Node.js, avec le Dockerfile et le .dockerignore de notre guide Docker :

/srv/pile/
  compose.yaml
  .env                  JWT_SECRET, jamais dans Git
  api-taches/           package.json, src/, Dockerfile, .dockerignore
  nginx/conf.d/api.conf
  certbot/www/          défis Let's Encrypt
  certbot/conf/         certificats

Ce compose.yaml remplace celui du guide Docker, qui vivait dans api-taches et publiait 127.0.0.1:3000 : ici, l'API ne publie plus rien. Comme le dossier du projet change de nom (pile au lieu de api-taches), Compose crée un nouveau volume pile_api-data : la base SQLite du guide Docker n'est pas reprise. Rappel du Dockerfile multi-étapes de ce guide :

# syntax=docker/dockerfile:1
FROM node:24-alpine AS deps
WORKDIR /app
COPY package.json package-lock.json ./
RUN npm ci --omit=dev

FROM node:24-alpine
ENV NODE_ENV=production
ENV DB_PATH=/app/data/data.db
WORKDIR /app
COPY --from=deps /app/node_modules ./node_modules
COPY package.json ./
COPY src ./src
RUN mkdir -p /app/data && chown node:node /app/data
USER node
EXPOSE 3000
CMD ["node", "src/server.js"]

Puis /srv/pile/compose.yaml :

services:
  api:
    build: ./api-taches
    environment:
      JWT_SECRET: ${JWT_SECRET:?definir JWT_SECRET dans .env}
      DB_PATH: /app/data/data.db
      TRUST_PROXY: "1"
    volumes:
      - api-data:/app/data
    init: true
    healthcheck:
      test: ["CMD", "node", "-e", "fetch('http://127.0.0.1:3000/health').then(r => process.exit(r.ok ? 0 : 1)).catch(() => process.exit(1))"]
      interval: 30s
      timeout: 5s
      retries: 3
      start_period: 10s
    restart: unless-stopped

  nginx:
    image: nginx:1.30.6-alpine
    ports:
      - "80:80"
      - "443:443"
    volumes:
      - ./nginx/conf.d:/etc/nginx/conf.d:ro
      - ./certbot/www:/var/www/certbot:ro
      - ./certbot/conf:/etc/letsencrypt:ro
    depends_on:
      api:
        condition: service_healthy
    restart: unless-stopped

  certbot:
    image: certbot/certbot:v5.9.0
    profiles: ["outils"]
    volumes:
      - ./certbot/www:/var/www/certbot
      - ./certbot/conf:/etc/letsencrypt

volumes:
  api-data:

Le secret vient du fichier .env placé à côté de compose.yaml : Compose le lit dans le dossier du projet pour remplacer ${JWT_SECRET}, et ${VAR:?message} arrête tout si la variable est vide (interpolation des variables). Le .env du tutoriel Node.js, rangé dans api-taches, n'est pas lu. Seules les variables listées sous environment entrent dans le conteneur (référence des services). Générez le secret sans installer Node.js sur le serveur :

cd /srv/pile
echo "JWT_SECRET=$(docker run --rm node:24-alpine node -e "console.log(require('node:crypto').randomBytes(32).toString('hex'))")" > .env

Les autres choix, tous tirés de la documentation de Docker :

Pas de clé ports sur l'API. C'est elle qui l'isole : Compose relie les services sur un réseau interne où chacun est joignable par son nom et par le port du conteneur (réseau dans Compose).
init: true. Un processus d'init transmet les signaux à Node.js, comme dans le guide Docker.
depends_on avec service_healthy. nginx attend que le test de santé, qui appelle /health, réussisse. fetch est stable depuis Node.js 21 (globales de Node.js 24).
restart: unless-stopped. La valeur par défaut, no, ne relance jamais un conteneur arrêté.
Le profil du service certbot. Il ne démarre pas avec docker compose up, mais docker compose run certbot le lance quand on le cible (profils).

Monter ./nginx/conf.d masque le default.conf de l'image. Créez certbot/www et certbot/conf, puis lancez docker compose up -d --build et curl -i http://api.example.com/health, qui doit répondre {"statut":"ok"}.

Étape 3 : obtenir et renouveler le certificat Let's Encrypt

Le HTTPS pose un problème d'œuf et de poule : nginx refuse de démarrer si un bloc server cite un certificat absent, et Certbot a besoin de nginx pour prouver que vous contrôlez le domaine. C'est pourquoi le fichier de l'étape 1 sert déjà /.well-known/acme-challenge/ en HTTP : le défi HTTP-01 de Let's Encrypt ne passe que par le port 80, à cette adresse (types de défis, consulté le 30 octobre 2026).

Lancez Certbot avec le greffon webroot, qui dépose un fichier temporaire dans le dossier partagé avec nginx (documentation de Certbot) :

cd /srv/pile
docker compose run --rm certbot certonly --webroot -w /var/www/certbot \
  -d api.example.com --email vous@example.com --agree-tos --no-eff-email

La page d'installation de Certbot prévient que l'image Docker ne sait pas configurer le serveur web : seule la commande certonly est utilisable. Le certificat arrive dans certbot/conf/live/api.example.com/, vu par nginx sous /etc/letsencrypt/live/api.example.com/, avec fullchain.pem et privkey.pem. L'étape 5 les branche.

Automatiser le renouvellement

Le renouvellement doit être automatique, car les certificats raccourcissent. La FAQ de Let's Encrypt indique des certificats de 90 jours par défaut. Son calendrier publié en décembre 2025 fait passer le profil par défaut, classic, à 64 jours le 10 février 2027, puis à 45 jours le 16 février 2028, et déconseille le renouvellement manuel.

Depuis sa version 4.0.0, certbot renew renouvelle quand il reste moins d'un tiers de la durée de vie ; depuis la 4.1.0, il interroge aussi l'ARI (ACME Renewal Information), qui peut avancer la date (journal des modifications de Certbot). Selon notre calcul, sans ARI, cela donne un renouvellement à 30 jours de l'échéance aujourd'hui, à environ 21 jours avec 64 jours de validité et à 15 jours avec 45. Une tâche planifiée quotidienne sur l'hôte suffit :

# crontab de l'hôte, chaque jour à 3 h 17
17 3 * * * cd /srv/pile && docker compose run --rm certbot renew --quiet && docker compose exec -T nginx nginx -s reload

Le rechargement est indispensable, nginx gardant l'ancien certificat en mémoire. cd /srv/pile && docker compose run --rm certbot renew --dry-run teste le tout sur le serveur de test de Let's Encrypt. Notre guide pour automatiser ses déploiements en CI/CD montre comment rejouer ces commandes depuis un pipeline.

Étape 4 : WebSocket, en-têtes de sécurité, délais et tailles

Cette étape explique chaque réglage et où il se place ; l'étape 5 les assemble dans un seul fichier. Les fichiers de conf.d sont inclus dans le bloc http du nginx.conf des paquets de nginx.org (pkg-oss) : une directive écrite hors de tout bloc server y est donc en contexte http.

Les WebSocket

Une connexion WebSocket commence par une requête HTTP qui demande un changement de protocole. La page WebSocket de nginx.org explique que Upgrade et Connection sont des en-têtes « de saut à saut » (notre traduction), donc non transmis : il faut les poser avec un map, autorisé seulement en contexte http (module map), et deux proxy_set_header.

Le piège est l'héritage : selon le module proxy, les proxy_set_header sont hérités du niveau supérieur si et seulement si le niveau courant n'en définit aucun. Une location /ws/ qui ajoute Upgrade perd donc Host et les X-Forwarded-* : il faut les répéter.

Depuis nginx 1.29.7, proxy_http_version vaut 1.1 par défaut, ce qu'exigent les WebSocket : inutile de l'écrire avec la 1.30.6. nginx coupe après 60 secondes sans données : relevez proxy_read_timeout sur cette location, ou envoyez des trames ping. L'API du tutoriel n'a pas de WebSocket : ce bloc sert si vous en ajoutez.

En-têtes de sécurité

Ne doublez pas ce que l'application envoie déjà. Notre API utilise Helmet, qui pose par défaut Strict-Transport-Security: max-age=31536000; includeSubDomains, X-Content-Type-Options: nosniff et X-Frame-Options: SAMEORIGIN, entre autres (documentation de Helmet, consultée le 30 octobre 2026). Deux réglages suffisent côté nginx, avec un piège à connaître :

server_tokens off (contexte http) retire le numéro de version des pages d'erreur et de l'en-tête Server.
proxy_hide_header Strict-Transport-Security puis add_header ... always (bloc server du port 443) : nginx envoie un seul en-tête HSTS, y compris sur ses propres pages 502 ou 504. Sans always, add_header ne s'applique qu'à certains codes, dont 200, 301 et 302 (module headers).
L'héritage, encore. Un add_header placé dans une location annule ceux du server. Depuis nginx 1.29.3, add_header_inherit merge; cumule les deux niveaux, selon le même module headers.

Délais et taille des requêtes

Ces directives acceptent les contextes http, server et location ; nous les plaçons dans le server du port 443 :

client_max_body_size vaut 1 Mo par défaut, au-delà duquel nginx renvoie l'erreur 413. L'API refuse déjà tout JSON de plus de 10 ko : une limite de 16 ko côté nginx écarte les gros corps avant qu'ils n'atteignent Node.js. Relevez-la si vous ajoutez un envoi de fichiers.
proxy_connect_timeout vaut 60 secondes par défaut et ne peut généralement pas dépasser 75 secondes. Sur un réseau Docker local, 5 secondes suffisent pour échouer vite.
proxy_read_timeout vaut 60 secondes et mesure le silence entre deux lectures, pas la durée totale de la réponse.

Pour les menaces que ces réglages contrent, voyez notre point sur les cyberattaques les plus fréquentes.

Étape 5 : le fichier api.conf final

Voici nginx/conf.d/api.conf complet, qui remplace celui de l'étape 1. Les trois premières directives sont en contexte http ; tout le reste vit dans les deux blocs server.

# Contexte http (fichier inclus par nginx.conf)
map $http_upgrade $connection_upgrade {
    default upgrade;
    ''      close;
}

log_format proxy '$remote_addr [$time_local] "$request" $status '
                 'upstream=$upstream_status rt=$upstream_response_time '
                 'ct=$upstream_connect_time';

server_tokens off;

# Port 80 : défi Let's Encrypt, puis redirection vers HTTPS
server {
    listen 80;
    server_name api.example.com;

    location /.well-known/acme-challenge/ {
        root /var/www/certbot;
    }

    location / {
        return 301 https://$host$request_uri;
    }
}

# Port 443 : le reverse proxy
server {
    listen 443 ssl;
    http2 on;
    server_name api.example.com;

    ssl_certificate     /etc/letsencrypt/live/api.example.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/api.example.com/privkey.pem;

    access_log /var/log/nginx/access.log proxy;

    client_max_body_size  16k;
    proxy_connect_timeout 5s;
    proxy_read_timeout    60s;

    proxy_hide_header Strict-Transport-Security;
    add_header Strict-Transport-Security "max-age=31536000; includeSubDomains" always;

    # Hérités par toute location qui ne définit aucun proxy_set_header
    proxy_set_header Host              $host;
    proxy_set_header X-Real-IP         $remote_addr;
    proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
    proxy_set_header X-Forwarded-Proto $scheme;

    location / {
        proxy_pass http://api:3000;
    }

    location /ws/ {
        proxy_pass http://api:3000;
        proxy_set_header Host              $host;
        proxy_set_header X-Real-IP         $remote_addr;
        proxy_set_header X-Forwarded-For   $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
        proxy_set_header Upgrade           $http_upgrade;
        proxy_set_header Connection        $connection_upgrade;
        proxy_read_timeout 1h;
    }
}

Nous avons relu le contexte autorisé de chaque directive sur nginx.org : map et log_format n'acceptent que http, return accepte server et location, ssl_certificate et http2 acceptent http et server. Le paramètre http2 de listen est déprécié au profit de http2 on;, apparu dans nginx 1.25.1 (module HTTP/2), et ssl_protocols vaut déjà TLSv1.2 TLSv1.3 par défaut (module SSL).

Vérifiez, rechargez, puis testez :

docker compose exec nginx nginx -t && docker compose exec nginx nginx -s reload
curl -I http://api.example.com/health     # attendu : 301 vers https
curl -i https://api.example.com/health    # attendu : 200 et {"statut":"ok"}

Si nginx -t signale une erreur, le rechargement n'a pas lieu et l'ancienne configuration continue de tourner : selon le guide du débutant de nginx, le processus maître revient à l'ancienne configuration quand la nouvelle échoue.

Nginx Proxy Manager, Caddy ou Traefik ?

Le Nginx reverse proxy écrit à la main n'est pas la seule voie. Trois alternatives reviennent dans les recherches, avec des compromis différents.

Outil	Configuration	Certificats	Point d'attention
nginx écrit à la main	Fichiers texte, versionnés dans Git	Certbot, à brancher soi-même	Le plus de contrôle, le plus de travail
Nginx Proxy Manager	Interface web sur le port 81	Let's Encrypt intégré	Configuration stockée en base, moins facile à relire dans Git
Caddy	Fichier Caddyfile court	Obtention et renouvellement automatiques par défaut	Une syntaxe de plus à apprendre
Traefik	Étiquettes sur les conteneurs	Résolveur ACME, suivi des expirations automatique	Accès à l'API Docker à protéger

Le guide de Nginx Proxy Manager utilise l'image jc21/nginx-proxy-manager:2.16.0. Caddy s'appuie sur Let's Encrypt ou ZeroSSL et redirige vers HTTPS sans réglage. Traefik avertit qu'un accès sans restriction à l'API Docker pose un problème de sécurité.

Notre lecture : pour un projet ou deux, Caddy ou Nginx Proxy Manager font gagner du temps. Dès que la configuration doit être relue, versionnée et testée en CI, le fichier nginx explicite reste le plus prévisible.

Erreurs courantes et lecture des journaux

Chaque code d'erreur renvoyé par nginx pointe vers une cause précise, que les journaux nomment presque toujours. L'image officielle relie access.log à la sortie standard et error.log à la sortie d'erreur (dépôt docker-nginx) : docker compose logs --tail=50 nginx affiche les deux.

Symptôme	Cause la plus fréquente	Correctif
502 Bad Gateway	L'API est arrêtée, écoute sur un autre port, ou son conteneur a changé d'adresse	`docker compose ps`, vérifier le port 3000, recharger nginx
504 Gateway Timeout	L'API ne répond pas dans le délai de `proxy_read_timeout` (60 s par défaut)	Accélérer la route, ou relever le délai sur cette seule `location`
413 Request Entity Too Large	Corps de requête au-dessus de `client_max_body_size` (16 ko dans notre fichier)	Relever la limite dans le `server` ou la `location` concernée
Boucle de redirections derrière Cloudflare	Mode SSL Flexible, et redirection HTTP vers HTTPS sur l'origine	Passer en mode Full (strict)
Toutes les IP clientes identiques	En-têtes absents, ou CDN devant nginx sans module realip	Vérifier les quatre en-têtes, configurer `set_real_ip_from`

nginx résout le nom api au chargement de sa configuration : si le conteneur est recréé avec une nouvelle adresse, un nginx -s reload règle le 502. Pour s'en passer, nginx accepte depuis la 1.27.3 le paramètre resolve dans un bloc upstream doté d'une zone, avec une directive resolver (module upstream) ; le DNS intégré de Docker répond à l'adresse 127.0.0.11 (réseau Docker).

Derrière Cloudflare

La boucle de redirections est documentée par Cloudflare : en mode Flexible, Cloudflare contacte l'origine en HTTP, l'origine redirige vers HTTPS, et le cycle recommence. Le correctif conseillé est le mode Full ou Full (strict), qui exige un certificat sur l'origine, celui de Certbot convient (Cloudflare, trop de redirections, mis à jour le 1er septembre 2026).

Pour retrouver l'adresse réelle des visiteurs, Cloudflare recommande le module realip de nginx, avec ses plages d'adresses publiées sur cloudflare.com/ips (Cloudflare, adresses des visiteurs). Ces lignes vont dans le server du port 443 :

# Une ligne par plage publiée par Cloudflare, liste à tenir à jour
set_real_ip_from 192.0.2.0/24;
real_ip_header   CF-Connecting-IP;

Le module n'est pas compilé par défaut, mais les paquets de nginx.org, base de l'image officielle, l'incluent. $remote_addr devient l'adresse du visiteur, nginx l'ajoute en fin de X-Forwarded-For, et TRUST_PROXY=1 reste juste côté Express.

Lire les journaux utilement

Le format proxy du fichier final ajoute au journal d'accès le statut et les temps de l'API, grâce aux variables du module upstream. Un 502 accompagné, dans le journal d'erreurs, d'un échec de connexion vers api:3000 signale que nginx n'a pas joint l'API. Un rt= proche de 60 secondes avant un 504 désigne une route trop lente.

Pour filtrer ces lignes, nos commandes Linux de base couvrent grep et tail. Pour héberger la pile, voyez notre guide de l'hébergement cloud pour développeurs.

Ce que nous n'avons pas pu vérifier

Ce tutoriel est une synthèse de documentation, pas un retour d'expérience. Les points suivants restent à confirmer de votre côté :

L'exécution des fichiers. Ni Docker ni nginx n'étaient disponibles sur notre poste : nginx -t, docker compose up et Certbot n'ont pas été lancés.
Les droits du volume SQLite. La documentation de Docker dit qu'un volume vide reçoit le contenu du dossier de l'image ; la page lue ne précise pas que le propriétaire node de /app/data est conservé.
Le défi HTTP-01 derrière Cloudflare en mode proxy. Nous n'avons pas trouvé de page de Cloudflare qui le décrive pour ce cas précis. En cas d'échec, désactivez le proxy le temps de l'émission ou passez au défi DNS-01.
Les plages d'adresses de Cloudflare. Elles changent : 192.0.2.0/24 est une adresse de documentation, à remplacer par la liste officielle.

Questions fréquentes

Qu'est-ce qu'un Nginx reverse proxy ?

C'est un serveur nginx placé devant une ou plusieurs applications : il reçoit les requêtes des clients, termine HTTPS et les transmet au bon service avec proxy_pass. Selon MDN, un reverse proxy masque l'identité des serveurs, là où un proxy direct masque celle des clients.

Faut-il nginx stable ou mainline en 2026 ?

Les deux reçoivent les correctifs de sécurité : le 14 octobre 2026, nginx.org a publié la 1.30.6 stable et la 1.31.7 mainline avec les mêmes corrections. La branche stable change moins souvent, d'où notre choix de l'étiquette nginx:1.30.6-alpine.

Comment corriger une erreur 413 avec nginx ?

Relevez client_max_body_size, qui vaut 1 Mo par défaut selon la documentation de nginx, dans le bloc server ou dans la seule location qui reçoit des fichiers. Vérifiez ensuite la limite de l'application, qui peut être plus basse.

Les certificats Let's Encrypt sont-ils toujours valables 90 jours ?

Oui pour l'instant avec le profil par défaut, classic. Le calendrier de Let's Encrypt prévoit 64 jours à partir du 10 février 2027 et 45 jours à partir du 16 février 2028. Un certbot renew planifié chaque jour absorbe ce changement sans modification.

À propos de l'auteur

Méthode. Tutoriel fondé sur des sources publiques consultées le 30 octobre 2026 : nginx.org, Docker, Certbot, Node.js, Let's Encrypt, Cloudflare, Express, Helmet, Nginx Proxy Manager, Caddy et Traefik. Le Dockerfile reprend celui de notre guide Docker. Aucune commande n'a été exécutée, Docker n'étant pas installé sur le poste de rédaction : la syntaxe nginx n'a pas été validée par nginx -t, seulement relue directive par directive contre la documentation de nginx.org. Les citations en anglais sont traduites par nos soins. Aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs cités.

Une erreur ou une version périmée ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 30 octobre 2026.

Image : Scott Rodgerson (Unsplash License).

SQL débutant : le cours pas à pas et 12 exercices corrigés

Neurau Tech — Sat, 31 Oct 2026 13:42:13 +0000

L'essentiel en une minute

Ce cours SQL débutant part d'une petite boutique en ligne : trois tables, une vingtaine de lignes, et un script à copier pour la créer chez vous. Chaque notion est illustrée par une requête et par le résultat exact qu'elle renvoie, puis 12 exercices corrigés vous font pratiquer. Toutes les requêtes ont été exécutées sur SQLite avant publication.

Il traite aussi la sécurité, les valeurs NULL et les écarts entre SQLite, PostgreSQL et MySQL.

Points clés

SQL est le deuxième langage de l'enquête Stack Overflow 2026, à 58,4 %, et PostgreSQL, SQLite et MySQL y sont les trois bases les plus utilisées.

Une requête de lecture s'écrit toujours dans cet ordre : SELECT, FROM, WHERE, GROUP BY, HAVING, ORDER BY, LIMIT.

INNER JOIN ne garde que les lignes qui ont une correspondance, LEFT JOIN garde toutes les lignes de la table de gauche.

Un UPDATE ou un DELETE sans WHERE touche toute la table : travaillez dans une transaction.

Ne collez jamais une saisie utilisateur dans une requête : passez-la en paramètre.

Pourquoi apprendre SQL en 2026

SQL est le langage commun des bases de données relationnelles, et son usage reste stable. L'enquête annuelle de Stack Overflow a été menée du 23 juin au 5 août 2026 et retient 30 903 réponses valides (méthodologie de l'enquête 2026, consultée le 30 octobre 2026). SQL y est utilisé par 58,4 % des 14 099 répondants à la question sur les langages, au coude-à-coude avec HTML/CSS et Python, derrière JavaScript à 62,0 % (Stack Overflow Developer Survey 2026, consulté le 30 octobre 2026).

L'édition 2025 donnait 58,6 % pour SQL, sur un échantillon différent (Stack Overflow Developer Survey 2025, consulté le 30 octobre 2026) : un usage stable, pas une hausse.

SQL est déclaratif : vous décrivez le résultat voulu, et la base choisit comment l'obtenir. C'est ce qui le rend abordable pour un profil SQL débutant, même sans autre langage derrière.

Pour comparer les métiers, notre analyse des salaires des développeurs en France recoupe six études.

Préparer votre poste en cinq minutes

Le plus simple pour débuter est SQLite : la base tient dans un seul fichier, sans processus serveur, un choix assumé par sa documentation (SQLite, Quirks, consulté le 30 octobre 2026).

Deux options, au choix :

L'outil en ligne de commande sqlite3. Il se télécharge sur la page officielle de SQLite (paquet « sqlite-tools » pour Windows, macOS ou Linux). Lancez sqlite3 boutique.db, tapez PRAGMA foreign_keys = ON; pour activer les clés étrangères (à refaire à chaque ouverture), puis .read boutique.sql pour charger le script, et .mode box pour afficher des tableaux lisibles. Notre guide des commandes Linux de base aide à démarrer avec le terminal.
Python, déjà installé chez beaucoup. Le module sqlite3 fait partie de la bibliothèque standard. Le code ci-dessous crée la base à partir du script, clés étrangères activées.

import sqlite3

con = sqlite3.connect("boutique.db")
con.execute("PRAGMA foreign_keys = ON")
con.executescript(open("boutique.sql", encoding="utf-8").read())

Si vous découvrez Python, notre guide pour apprendre Python de zéro couvre l'installation.

La base d'exemple : clients, produits, commandes

La base contient trois tables : clients, produits et commandes, chaque commande reliant un client à un produit. Enregistrez ce script sous le nom boutique.sql. Il est écrit en SQL portable (les trois bases acceptent aussi DROP TABLE IF EXISTS, qui n'est pas dans la norme) et fonctionne tel quel sur SQLite ; les adaptations pour PostgreSQL et MySQL sont détaillées plus bas. Les trois DROP TABLE IF EXISTS du début effacent les tables existantes : relancer le script remet donc la base dans son état d'origine.

DROP TABLE IF EXISTS commandes;
DROP TABLE IF EXISTS produits;
DROP TABLE IF EXISTS clients;

CREATE TABLE clients (
  id               INTEGER PRIMARY KEY,
  nom              VARCHAR(100) NOT NULL,
  ville            VARCHAR(50),
  email            VARCHAR(255) UNIQUE,
  date_inscription DATE NOT NULL
);

CREATE TABLE produits (
  id        INTEGER PRIMARY KEY,
  nom       VARCHAR(100) NOT NULL,
  categorie VARCHAR(50) NOT NULL,
  prix      DECIMAL(10, 2) NOT NULL CHECK (prix >= 0)
);

CREATE TABLE commandes (
  id            INTEGER PRIMARY KEY,
  client_id     INTEGER NOT NULL,
  produit_id    INTEGER NOT NULL,
  quantite      INTEGER NOT NULL CHECK (quantite > 0),
  date_commande DATE NOT NULL,
  FOREIGN KEY (client_id)  REFERENCES clients (id),
  FOREIGN KEY (produit_id) REFERENCES produits (id)
);

INSERT INTO clients (id, nom, ville, email, date_inscription) VALUES
  (1, 'Alice Martin',  'Paris',     'alice@exemple.fr',  '2026-01-15'),
  (2, 'Karim Benali',  'Lyon',      'karim@exemple.fr',  '2026-02-03'),
  (3, 'Sophie Durand', 'Paris',     'sophie@exemple.fr', '2026-03-20'),
  (4, 'Lucas Petit',   'Marseille', NULL,                '2026-04-11'),
  (5, 'Emma Leroy',    NULL,        'emma@exemple.fr',   '2026-05-02'),
  (6, 'Yanis Moreau',  'Lyon',      'yanis@exemple.fr',  '2026-06-18');

INSERT INTO produits (id, nom, categorie, prix) VALUES
  (1, 'Clavier mécanique',  'Informatique', 89.00),
  (2, 'Souris sans fil',    'Informatique', 25.50),
  (3, 'Écran 27 pouces',    'Informatique', 249.00),
  (4, 'Cahier A5',          'Papeterie',    4.50),
  (5, 'Stylos gel (x10)',   'Papeterie',    12.75),
  (6, 'Lampe de bureau',    'Mobilier',     39.00),
  (7, 'Chaise ergonomique', 'Mobilier',     199.00);

INSERT INTO commandes (id, client_id, produit_id, quantite, date_commande) VALUES
  (1,  1, 1, 1,  '2026-07-02'),
  (2,  1, 2, 2,  '2026-07-02'),
  (3,  2, 3, 1,  '2026-07-15'),
  (4,  3, 4, 10, '2026-08-01'),
  (5,  3, 5, 2,  '2026-08-01'),
  (6,  2, 2, 1,  '2026-08-20'),
  (7,  4, 6, 1,  '2026-09-05'),
  (8,  1, 4, 5,  '2026-09-12'),
  (9,  5, 1, 1,  '2026-09-30'),
  (10, 3, 3, 1,  '2026-10-03');

Deux pièges sont posés exprès : Lucas n'a pas d'e-mail et Emma pas de ville. Ils serviront dans la partie sur NULL. Yanis n'a rien commandé et la chaise n'a jamais été vendue : les jointures les feront apparaître.

Lire des données : SELECT, WHERE, ORDER BY, LIMIT

Une requête de lecture dit quelles colonnes afficher (SELECT), depuis quelle table (FROM), pour quelles lignes (WHERE), dans quel ordre (ORDER BY) et combien (LIMIT). L'astérisque sélectionne toutes les colonnes ; en pratique, nommez celles dont vous avez besoin.

SELECT nom, email FROM clients WHERE ville = 'Paris' ORDER BY nom;

nom	email
Alice Martin	alice@exemple.fr
Sophie Durand	sophie@exemple.fr

Les chaînes s'écrivent entre apostrophes simples. Les guillemets doubles servent aux noms de colonnes dans la norme ; SQLite les accepte pour des chaînes, mais sa documentation le classe parmi ses bizarreries, car une faute de frappe dans un nom de colonne devient alors une chaîne au lieu d'une erreur (SQLite, Quirks).

WHERE combine les conditions avec AND, OR et NOT, et dispose de raccourcis utiles :

Opérateur	Exemple	Ce qu'il garde
`=`, `<>`, `<`, `>=`	`prix < 100`	Comparaison simple
`IN`	`ville IN ('Lyon', 'Marseille')`	Une valeur parmi une liste
`BETWEEN`	`date_commande BETWEEN '2026-08-01' AND '2026-08-31'`	Un intervalle, bornes comprises
`LIKE`	`nom LIKE 'S%'`	Un motif : `%` pour n'importe quelle suite, `_` pour un caractère
`IS NULL`	`email IS NULL`	Une valeur absente

Pour trier et limiter, ajoutez ORDER BY puis LIMIT. Voici les trois produits les plus chers :

SELECT nom, prix FROM produits
ORDER BY prix DESC
LIMIT 3;

nom	prix
Écran 27 pouces	249
Chaise ergonomique	199
Clavier mécanique	89

SQLite affiche 249 et non 249.00 : il ne stocke pas de type décimal fixe, nous y revenons plus bas. Sans ORDER BY, l'ordre des lignes n'est pas garanti. La documentation de PostgreSQL insiste : avec LIMIT, un tri qui donne un ordre unique est nécessaire, sinon vous obtenez un sous-ensemble imprévisible des lignes (PostgreSQL 18, LIMIT et OFFSET, consulté le 30 octobre 2026).

Enfin, SELECT DISTINCT ville FROM clients renvoie chaque ville une seule fois. Sur notre base, il renvoie quatre lignes : Lyon, Marseille, Paris, plus une ligne NULL pour Emma, car DISTINCT traite NULL comme une valeur à part entière.

Compter et regrouper : GROUP BY et HAVING

Les fonctions d'agrégat résument plusieurs lignes en une valeur : COUNT, SUM, AVG, MIN et MAX. Sans GROUP BY, elles portent sur toute la table.

SELECT COUNT(*) AS nb_produits,
       MIN(prix)  AS moins_cher,
       MAX(prix)  AS plus_cher,
       ROUND(AVG(prix), 2) AS prix_moyen
FROM produits;

nb_produits	moins_cher	plus_cher	prix_moyen
7	4.5	249	88.39

GROUP BY calcule un agrégat par groupe. Ici, le nombre de produits et le prix moyen par catégorie :

SELECT categorie, COUNT(*) AS nb, ROUND(AVG(prix), 2) AS prix_moyen
FROM produits
GROUP BY categorie
ORDER BY nb DESC, categorie;

categorie	nb	prix_moyen
Informatique	3	121.17
Mobilier	2	119.0
Papeterie	2	8.63

La règle à retenir : toute colonne du SELECT qui n'est pas dans un agrégat doit figurer dans le GROUP BY. SQLite tolère qu'on l'oublie et prend alors une valeur d'une des lignes du groupe (SQLite, Quirks). PostgreSQL refuse ce genre de requête (PostgreSQL 18, SELECT), tout comme MySQL 8.4, dont le mode SQL par défaut inclut ONLY_FULL_GROUP_BY (MySQL 8.4, modes SQL). Prenez la bonne habitude dès le départ.

WHERE filtre les lignes avant le regroupement, HAVING filtre les groupes après. Les clients qui ont passé au moins trois commandes :

SELECT client_id, COUNT(*) AS nb_commandes
FROM commandes
GROUP BY client_id
HAVING COUNT(*) >= 3
ORDER BY client_id;

client_id	nb_commandes
1	3
3	3

Croiser les tables : INNER JOIN et LEFT JOIN

Une jointure assemble les lignes de deux tables qui partagent une valeur, ici l'identifiant du client ou du produit. Sans elle, la table commandes ne montre que des numéros.

SELECT c.nom AS client, p.nom AS produit, co.quantite,
       co.quantite * p.prix AS montant
FROM commandes AS co
INNER JOIN clients  AS c ON c.id = co.client_id
INNER JOIN produits AS p ON p.id = co.produit_id
WHERE co.date_commande >= '2026-09-01'
ORDER BY co.date_commande;

client	produit	quantite	montant
Lucas Petit	Lampe de bureau	1	39
Alice Martin	Cahier A5	5	22.5
Emma Leroy	Clavier mécanique	1	89
Sophie Durand	Écran 27 pouces	1	249

Les alias (co, c, p) lèvent l'ambiguïté entre les colonnes nom et id des trois tables. Les dates au format ISO AAAA-MM-JJ se comparent comme des chaînes.

INNER JOIN écarte les lignes sans correspondance : Yanis, qui n'a rien commandé, n'apparaît jamais. LEFT JOIN garde toutes les lignes de la table de gauche et remplit les colonnes manquantes avec NULL :

SELECT c.nom, COUNT(co.id) AS nb_commandes
FROM clients AS c
LEFT JOIN commandes AS co ON co.client_id = c.id
GROUP BY c.id, c.nom
ORDER BY nb_commandes DESC, c.nom;

nom	nb_commandes
Alice Martin	3
Sophie Durand	3
Karim Benali	2
Emma Leroy	1
Lucas Petit	1
Yanis Moreau	0

Notez COUNT(co.id) : COUNT(*) compterait 1 pour Yanis, dont la ligne existe même sans commande. Pour ne garder que les clients sans commande, ajoutez WHERE co.id IS NULL : la requête renvoie alors Yanis Moreau seul.

RIGHT JOIN est le miroir de LEFT JOIN. La documentation de MySQL recommande LEFT JOIN pour que le code reste portable (MySQL 8.4, JOIN, consulté le 30 octobre 2026).

Modifier les données sans rien casser

INSERT ajoute des lignes, UPDATE les modifie et DELETE les supprime. Les deux derniers agissent sur toutes les lignes que sélectionne leur WHERE, et sur toute la table s'il n'y en a pas.

INSERT INTO clients (nom, ville, email, date_inscription)
VALUES ('Inès Garcia', 'Toulouse', 'ines@exemple.fr', '2026-10-30');

UPDATE clients SET ville = 'Bordeaux' WHERE id = 7;

DELETE FROM clients WHERE id = 7;

Sans id fourni, SQLite a attribué le numéro 7 à la nouvelle cliente ; l'UPDATE puis le DELETE ont chacun touché une ligne.

Attention. Avant tout UPDATE ou DELETE, lancez un SELECT avec le même WHERE et vérifiez le nombre de lignes. Travaillez dans une transaction : si le résultat vous surprend, ROLLBACK annule tout. Faites une copie de la base avant une opération en production.

BEGIN;
UPDATE produits SET prix = 0;   -- oubli du WHERE : 7 lignes modifiées
ROLLBACK;                       -- les prix d'origine sont rétablis

Nous avons exécuté ce scénario : l'UPDATE a modifié les 7 produits, et le ROLLBACK a rendu les prix d'origine. COMMIT valide la transaction quand le résultat est correct.

Clés primaires, clés étrangères et index

La clé primaire identifie chaque ligne de façon unique : ici la colonne id. La clé étrangère garantit qu'une valeur pointe vers une ligne existante : commandes.client_id doit correspondre à un clients.id.

Sur notre base, avec les clés étrangères actives, deux opérations échouent avec l'erreur FOREIGN KEY constraint failed : supprimer Alice, qui a des commandes, et créer une commande pour un client 99 qui n'existe pas. De même, insérer un second client avec l'adresse d'Alice échoue sur la contrainte UNIQUE.

Le piège propre à SQLite : les clés étrangères sont désactivées par défaut, pour des raisons de compatibilité, et doivent être activées à chaque connexion avec PRAGMA foreign_keys = ON (SQLite, Foreign Key Support, consulté le 30 octobre 2026). Sans cette ligne, notre commande pour le client 99 a été acceptée sans erreur. Le module node:sqlite de Node.js fait l'inverse : son option enableForeignKeyConstraints vaut true par défaut (documentation de Node.js, consultée le 30 octobre 2026), ce dont profite notre tutoriel d'API REST avec Node.js.

PostgreSQL applique les clés étrangères d'office (PostgreSQL 18, contraintes). MySQL aussi avec InnoDB, son moteur par défaut, puisque la variable foreign_key_checks y est activée par défaut, à une condition : selon la documentation de MySQL 8.4, il analyse puis ignore les REFERENCES écrits dans la définition d'une colonne, et n'accepte que des clauses FOREIGN KEY (...) REFERENCES ... séparées (MySQL 8.4, CREATE TABLE et clés étrangères). Notre script utilise donc cette forme, valable sur les trois bases.

Un index accélère la recherche sur une colonne, comme l'index d'un livre. La commande EXPLAIN QUERY PLAN de SQLite montre la différence :

EXPLAIN QUERY PLAN SELECT * FROM commandes WHERE client_id = 3;
-- SCAN commandes          (lecture de toute la table)

CREATE INDEX idx_commandes_client ON commandes (client_id);

EXPLAIN QUERY PLAN SELECT * FROM commandes WHERE client_id = 3;
-- SEARCH commandes USING INDEX idx_commandes_client (client_id=?)

Un index a un coût : selon la documentation de PostgreSQL, la base doit le tenir à jour, ce qui alourdit les écritures (PostgreSQL 18, index, consulté le 30 octobre 2026). Indexez les colonnes souvent filtrées ou jointes, pas toutes.

Les pièges de NULL

NULL ne signifie pas zéro ni chaîne vide, mais « valeur inconnue ». Toute comparaison avec NULL donne NULL, donc ni vrai ni faux. La documentation de MySQL le dit en une phrase : on ne peut pas tester NULL avec =, < ou <> (MySQL 8.4, Working with NULL Values, consulté le 30 octobre 2026).

Cinq pièges, tous vérifiés sur notre base :

Requête	Résultat obtenu	Explication
`WHERE ville = NULL`	0 ligne	La comparaison donne NULL ; il faut `IS NULL`
`WHERE ville IS NULL`	Emma Leroy	La bonne écriture
`WHERE ville <> 'Paris'`	3 lignes, sans Emma	Une ville inconnue n'est pas « différente de Paris »
`COUNT(*)`, `COUNT(email)`	6 et 5	`COUNT(colonne)` ignore les NULL
`WHERE id NOT IN (SELECT NULL UNION SELECT 1)`	0 ligne	Un seul NULL dans la liste vide un `NOT IN`

Pour remplacer une valeur absente à l'affichage, utilisez COALESCE(ville, 'inconnue'), qui renvoie le premier argument non NULL. Pour inclure Emma dans la recherche, écrivez WHERE ville IS NULL OR ville <> 'Paris'.

Le tri des NULL varie selon la base. SQLite les considère plus petits que toute autre valeur, donc en tête d'un tri croissant (SQLite, SELECT) ; MySQL aussi (MySQL 8.4, Working with NULL Values). PostgreSQL les traite comme plus grands, donc en fin de tri croissant (PostgreSQL 18, tri). NULLS FIRST ou NULLS LAST fixent le comportement là où ils existent.

L'injection SQL et les requêtes paramétrées

L'injection SQL survient quand une saisie utilisateur est collée dans le texte d'une requête : l'attaquant écrit du SQL au lieu d'une valeur.

Ce programme Python a été exécuté sur notre base :

import sqlite3

con = sqlite3.connect("boutique.db")
saisie = "x' OR '1'='1"   # ce qu'un attaquant tape dans le formulaire

# À NE JAMAIS FAIRE : la saisie devient du code SQL
requete = "SELECT nom, email FROM clients WHERE email = '" + saisie + "'"
print(len(con.execute(requete).fetchall()))   # 6 : toute la table

# La bonne méthode : un paramètre lié par le pilote
lignes = con.execute(
    "SELECT nom, email FROM clients WHERE email = ?", (saisie,)
).fetchall()
print(len(lignes))                             # 0

La première version produit WHERE email = 'x' OR '1'='1', une condition toujours vraie : les six clients et leurs e-mails fuient. La seconde envoie la saisie comme une simple valeur, qui ne correspond à aucun e-mail.

L'OWASP place les requêtes préparées avec paramètres en tête des défenses, et classe l'échappement manuel des saisies comme « fortement déconseillé » (notre traduction) (OWASP, SQL Injection Prevention Cheat Sheet, consulté le 30 octobre 2026). La documentation de Python demande elle aussi d'utiliser toujours les marqueurs plutôt que des chaînes formatées (module sqlite3).

Le principe vaut dans tous les langages. Notre tutoriel pour créer une API REST avec Node.js l'applique à une base SQLite : toutes ses requêtes passent par db.prepare() avec des paramètres ?.

SQLite, PostgreSQL et MySQL : ce qui change

Les trois bases parlent SQL, mais pas exactement le même. PostgreSQL arrive en tête de l'enquête Stack Overflow 2026 avec 57,9 % des 12 061 répondants à la question sur les bases, devant SQLite à 42,1 % et MySQL à 35,1 % (Stack Overflow Developer Survey 2026).

Les écarts qui comptent pour un débutant, relevés dans la documentation officielle de chaque base :

Point	SQLite	PostgreSQL	MySQL 8.4
Identifiant automatique	`INTEGER PRIMARY KEY`	`GENERATED ALWAYS AS IDENTITY`	`AUTO_INCREMENT`
Clés étrangères	Désactivées par défaut	Actives	Actives avec InnoDB
Types	Souples, sauf tables `STRICT`	Stricts	Stricts avec le mode par défaut
NULL dans un tri croissant	En tête	En fin	En tête
`FULL OUTER JOIN`	Depuis la version 3.39.0	Oui	Absent de la syntaxe
`\	\	`	Concatène

Les sources de ce tableau : les pages Quirks, AUTOINCREMENT et notes de version 3.39.0 de SQLite ; les pages colonnes d'identité, contraintes, conversion de types et SELECT de PostgreSQL ; les pages AUTO_INCREMENT, modes SQL et opérateurs logiques de MySQL, toutes consultées le 30 octobre 2026. La page de conversion de types de PostgreSQL rappelle que SQL est un langage fortement typé ; le mode SQL par défaut de MySQL 8.4 inclut STRICT_TRANS_TABLES.

Pour rejouer notre script sur PostgreSQL ou MySQL, le point délicat est l'identifiant. Comme les id y sont écrits à la main, c'est surtout l'INSERT sans id du chapitre suivant qui demande une adaptation.

Sur PostgreSQL, une colonne GENERATED ALWAYS AS IDENTITY refuse les id écrits à la main, sauf avec OVERRIDING SYSTEM VALUE. Avec GENERATED BY DEFAULT, la valeur fournie l'emporte, mais elle ne passe pas par la séquence, et la documentation prévient qu'une colonne d'identité ne garantit alors plus l'unicité. Le plus simple : déclarez les id en identité et retirez-les des trois INSERT (clients, produits et commandes) ; sur une table neuve, les lignes reçoivent en pratique les mêmes numéros. Sur MySQL, ajoutez AUTO_INCREMENT aux id : il accepte les valeurs écrites à la main et reprend ensuite la numérotation après la plus grande.

La souplesse de SQLite surprend : il a accepté le texte 'gratuit' dans la colonne prix, déclarée DECIMAL, ce que sa documentation assume. Elle note aussi que upper() et lower() ne traitent que les caractères ASCII : sur notre base, lower('Écran') renvoie Écran, la majuscule accentuée reste.

Enfin, LIMIT n'est pas standard : la norme SQL:2008 prévoit FETCH FIRST n ROWS ONLY, selon la page SELECT de PostgreSQL. Pour lancer PostgreSQL sans l'installer, notre tutoriel Docker pour débutants le démarre dans Docker Compose.

12 exercices SQL débutant corrigés

Ces 12 exercices SQL débutant portent sur la base d'exemple. Relancez le script boutique.sql avant de commencer, pour repartir des données d'origine, cherchez chaque requête sans regarder, puis comparez votre résultat au tableau. Toutes les solutions ont été exécutées dans l'ordre, sur la base d'origine.

Exercice 1 : les produits de papeterie

Affichez le nom et le prix des produits de la catégorie Papeterie.

SELECT nom, prix FROM produits WHERE categorie = 'Papeterie'
ORDER BY prix;

nom	prix
Cahier A5	4.5
Stylos gel (x10)	12.75

Exercice 2 : les deux derniers inscrits

Affichez le nom et la date d'inscription des deux clients inscrits le plus récemment.

SELECT nom, date_inscription FROM clients
ORDER BY date_inscription DESC
LIMIT 2;

nom	date_inscription
Yanis Moreau	2026-06-18
Emma Leroy	2026-05-02

Exercice 3 : une fourchette de prix

Listez les produits entre 20 et 100 euros, du moins cher au plus cher.

SELECT nom, prix FROM produits
WHERE prix BETWEEN 20 AND 100
ORDER BY prix;

nom	prix
Souris sans fil	25.5
Lampe de bureau	39
Clavier mécanique	89

Exercice 4 : les clients sans e-mail

Trouvez les clients dont l'e-mail n'est pas renseigné.

SELECT nom FROM clients WHERE email IS NULL;

nom
Lucas Petit

Écrire email = NULL aurait renvoyé zéro ligne.

Exercice 5 : le bilan de juillet

Comptez les commandes passées en juillet 2026 et le nombre d'articles commandés.

SELECT COUNT(*) AS nb, SUM(quantite) AS articles
FROM commandes
WHERE date_commande BETWEEN '2026-07-01' AND '2026-07-31';

nb	articles
3	4

Exercice 6 : les clients par ville

Comptez les clients par ville, en ignorant les villes inconnues, du plus grand nombre au plus petit.

SELECT ville, COUNT(*) AS nb_clients
FROM clients
WHERE ville IS NOT NULL
GROUP BY ville
ORDER BY nb_clients DESC, ville;

ville	nb_clients
Lyon	2
Paris	2
Marseille	1

Exercice 7 : le total dépensé par client

Calculez le montant total dépensé par chaque client, du plus gros au plus petit.

SELECT c.nom, SUM(co.quantite * p.prix) AS total
FROM commandes AS co
JOIN clients  AS c ON c.id = co.client_id
JOIN produits AS p ON p.id = co.produit_id
GROUP BY c.id, c.nom
ORDER BY total DESC;

nom	total
Sophie Durand	319.5
Karim Benali	274.5
Alice Martin	162.5
Emma Leroy	89
Lucas Petit	39

JOIN seul équivaut à INNER JOIN. Yanis n'apparaît pas, puisqu'il n'a rien commandé.

Exercice 8 : le produit jamais vendu

Trouvez les produits qui n'apparaissent dans aucune commande.

SELECT p.nom
FROM produits AS p
LEFT JOIN commandes AS co ON co.produit_id = p.id
WHERE co.id IS NULL;

nom
Chaise ergonomique

Exercice 9 : le chiffre d'affaires par catégorie

Calculez le chiffre d'affaires de chaque catégorie et ne gardez que celles qui dépassent 50 euros.

SELECT p.categorie, SUM(co.quantite * p.prix) AS chiffre_affaires
FROM commandes AS co
JOIN produits AS p ON p.id = co.produit_id
GROUP BY p.categorie
HAVING SUM(co.quantite * p.prix) > 50
ORDER BY chiffre_affaires DESC;

categorie	chiffre_affaires
Informatique	752.5
Papeterie	93.0

Le mobilier, à 39 euros, est filtré par HAVING. Un WHERE ne pourrait pas le faire, car le total n'existe qu'après le regroupement.

Exercice 10 : la dernière commande de chaque client

Affichez chaque client avec la date de sa dernière commande, y compris ceux qui n'ont jamais commandé.

SELECT c.nom, MAX(co.date_commande) AS derniere_commande
FROM clients AS c
LEFT JOIN commandes AS co ON co.client_id = c.id
GROUP BY c.id, c.nom
ORDER BY c.id;

nom	derniere_commande
Alice Martin	2026-09-12
Karim Benali	2026-08-20
Sophie Durand	2026-10-03
Lucas Petit	2026-09-05
Emma Leroy	2026-09-30
Yanis Moreau	NULL

Exercice 11 : plus cher que la moyenne

Listez les produits dont le prix dépasse le prix moyen de la table, sans écrire ce prix moyen à la main.

SELECT nom, prix FROM produits
WHERE prix > (SELECT AVG(prix) FROM produits)
ORDER BY prix DESC;

nom	prix
Écran 27 pouces	249
Chaise ergonomique	199
Clavier mécanique	89

La sous-requête calcule la moyenne, 88,39 euros, puis la requête principale compare chaque prix.

Exercice 12 : une hausse de prix en sécurité

Augmentez de 10 % les prix du mobilier, vérifiez le résultat, puis annulez.

BEGIN;
UPDATE produits
SET prix = ROUND(prix * 1.10, 2)
WHERE categorie = 'Mobilier';
SELECT nom, prix FROM produits WHERE categorie = 'Mobilier';
ROLLBACK;

nom	prix
Lampe de bureau	42.9
Chaise ergonomique	218.9

L'UPDATE a touché deux lignes. Remplacez ROLLBACK par COMMIT pour garder la hausse.

Pour continuer, passez à nos 19 exercices Python débutant corrigés, puis reliez Python et SQL avec le module sqlite3.

Ce que nous n'avons pas pu vérifier

Les points suivants restent ouverts :

Les résultats sur PostgreSQL et MySQL. Les requêtes ont été exécutées sur SQLite 3.45.1 seulement. Les écarts avec PostgreSQL et MySQL viennent de leur documentation, pas d'une exécution. L'affichage des nombres y sera différent (249.00 au lieu de 249).
La dernière version de SQLite. La page de téléchargement proposait la version 3.54.1 le 30 octobre 2026. Nos requêtes n'utilisent aucune fonction récente, mais nous ne les avons pas rejouées sur cette version.
La portée de l'enquête Stack Overflow. Ses répondants sont des volontaires venus de la communauté du site, pas un échantillon représentatif de tous les développeurs.

Questions fréquentes

Combien de temps faut-il pour apprendre SQL quand on est débutant ?

Selon notre estimation, pas une mesure, les notions de ce cours s'apprennent en quelques séances si vous pratiquez chaque requête. La maîtrise vient ensuite avec de vraies bases, plus grandes que notre exemple.

Quelle base choisir pour un cours SQL débutant ?

SQLite pour démarrer, car il n'y a rien à configurer et toute la base tient dans un fichier. Passez ensuite à PostgreSQL, la base la plus utilisée de l'enquête Stack Overflow 2026, pour vous habituer à des types stricts et à un serveur.

Existe-t-il une formation SQL débutant gratuite ?

Oui. Ce cours et ses 12 exercices sont gratuits, tout comme les documentations officielles de SQLite et de PostgreSQL, dont le tutoriel couvre les mêmes bases. La Wild Code School propose aussi un cours SQL en libre accès d'environ 5 h 30, avec quiz.

Faut-il connaître un langage de programmation avant SQL ?

Non. SQL se pratique seul, dans l'outil sqlite3. Un langage comme Python devient utile pour intégrer les requêtes dans une application, et c'est là que les requêtes paramétrées s'imposent.

À propos de l'auteur

Méthode. Le cours et les exercices ont été écrits pour cet article. Le script de la base, chaque requête du cours et chaque solution ont été exécutés sur SQLite 3.45.1, via le module sqlite3 de Python 3.11.9, et les résultats recopiés tels quels. Les différences avec PostgreSQL et MySQL viennent de leur documentation officielle (PostgreSQL 18, MySQL 8.4) ; les recommandations de sécurité, de l'OWASP ; les chiffres d'usage, de l'enquête Stack Overflow 2026. Aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux éditeurs mentionnés.

Une erreur dans une solution ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 30 octobre 2026.

Image : Sunder Muthukumaran (Unsplash License). Graphiques : NeurauTech, d'après le Stack Overflow Developer Survey 2026.

Apprendre JavaScript en 2026 : les bases, un plan de 10 semaines et les ressources gratuites

Neurau Tech — Sat, 31 Oct 2026 13:42:10 +0000

L'essentiel en une minute

Apprendre JavaScript en 2026 demande trois outils gratuits (un navigateur, VS Code et Node.js) et une progression dans le bon ordre : le langage d'abord, la page web ensuite, le code asynchrone en dernier. Ce guide suit cet ordre, avec la sortie exacte de chaque exemple.

Tous les exemples non graphiques ont été exécutés avec Node.js avant publication, et l'exemple de page web a été exécuté dans un navigateur Chromium. Les chiffres viennent de sources lues le 30 octobre 2026, notamment l'enquête Stack Overflow 2026, le site officiel de Node.js et la documentation de MDN. Si vous hésitez encore entre deux langages, notre guide pour apprendre Python suit le même format.

Points clés

JavaScript est le langage le plus utilisé de l'enquête Stack Overflow 2026, par 62,0 % des répondants à la question, comme dans les éditions précédentes.

Installez la version LTS de Node.js proposée par nodejs.org : la 26.13.0 au 30 octobre 2026.

Apprenez dans cet ordre : variables, conditions, boucles, fonctions, tableaux et objets, puis le DOM, puis fetch et async/await, puis les modules.

Quatre pièges classiques du débutant : == au lieu de ===, var, la valeur de this et l'ordre d'exécution du code asynchrone.

Passez à TypeScript et à un framework quand vous savez écrire une petite application sans tutoriel, pas avant.

Pourquoi apprendre JavaScript en 2026

JavaScript reste le langage que le plus de développeurs utilisent. Dans l'enquête Stack Overflow 2026, 62,0 % des 14 099 personnes qui ont répondu à la question sur les langages disent avoir beaucoup travaillé en JavaScript au cours de l'année. Il arrive en tête (Stack Overflow Developer Survey 2026, consulté le 30 octobre 2026), comme dans les éditions précédentes : l'édition 2023 parlait déjà de sa onzième année consécutive à la première place (Stack Overflow Developer Survey 2023).

TypeScript, une surcouche de JavaScript, est sixième avec 43,8 % : apprendre JavaScript, c'est aussi préparer TypeScript.

L'enquête a été menée du 23 juin au 5 août 2026 et compte 30 903 réponses valides venues de 169 pays (méthodologie de l'enquête). Elle mesure les habitudes des personnes qui la remplissent, pas l'ensemble du marché.

Un autre indicateur donne une image différente. Selon le rapport Octoverse de GitHub, TypeScript est devenu en août 2025 le langage le plus utilisé sur GitHub en nombre de contributeurs mensuels, avec 2 636 006 contributeurs, contre 2,15 millions pour JavaScript (GitHub Octoverse, 28 octobre 2025). Les deux mesures ne comptent pas la même chose : l'enquête recueille un usage déclaré par des développeurs, Octoverse compte les contributeurs actifs sur GitHub, où les projets récents sont souvent écrits en TypeScript.

Ce qu'il faut installer

Trois logiciels gratuits suffisent, et le premier est déjà sur votre machine.

Outil	Rôle	Où le trouver
Un navigateur récent (Firefox, Chrome, Edge)	Exécuter le JavaScript des pages, console de développement	Déjà installé
Visual Studio Code	Écrire le code	code.visualstudio.com
Node.js, version LTS	Exécuter JavaScript hors du navigateur	nodejs.org

Le navigateur. Ouvrez les outils de développement avec F12 (Cmd+Option+J dans Chrome sur macOS), puis l'onglet Console. Tapez 2 + 2 et Entrée : vous venez d'exécuter du JavaScript.

VS Code. La FAQ de l'éditeur indique qu'il est gratuit pour un usage privé ou commercial et qu'il fonctionne sous Windows, macOS et Linux (FAQ de VS Code, consultée le 30 octobre 2026). Pour comparer, voyez notre comparatif des meilleurs IDE et éditeurs de code. Pour bien l'équiper, notre sélection d'extensions VS Code suffit : n'en installez pas vingt le premier jour.

Node.js. La page de téléchargement propose par défaut la version 26.13.0, étiquetée LTS. La branche 26 est passée en LTS le 28 octobre 2026, et le site officiel précise que les applications en production ne devraient utiliser que des versions LTS (versions de Node.js, consulté le 30 octobre 2026).

Une version déjà installée peut suffire pour débuter. Les branches 22 et 24 sont encore maintenues, jusqu'au 30 avril 2027 et au 30 avril 2028 selon le calendrier officiel ; la 24 est passée en maintenance le 20 octobre 2026. Le cycle change aussi : le projet a annoncé qu'à partir de Node.js 27, il publierait une version majeure par an au lieu de deux, et que chaque version deviendrait LTS (blog de Node.js).

Vérifiez l'installation dans un terminal :

node --version
# -> v26.13.0 si vous avez installé la LTS actuelle

Les bases du langage, avec des exemples exécutés

Chaque bloc ci-dessous tient dans un fichier, par exemple essai.js, que vous lancez avec node essai.js. Le commentaire // -> indique la sortie obtenue.

Variables : let et const

Utilisez const par défaut et let quand la valeur doit changer. Le mot-clé var existe encore, mais il est source d'erreurs (voir plus bas).

const prenom = "Inès";
let score = 10;
score = score + 5;
console.log(`${prenom} a ${score} points`); // -> Inès a 15 points

Les accents graves délimitent un gabarit de chaîne : ${...} y insère une valeur.

Les types

JavaScript a des types (nombre, chaîne, booléen, undefined, null, objet), mais il les convertit tout seul, ce qui surprend.

console.log(typeof 42, typeof "42", typeof true); // -> number string boolean
console.log(typeof undefined, typeof null);       // -> undefined object
console.log(typeof 10n, typeof Symbol("id"));   // -> bigint symbol
console.log("5" + 3, "5" - 3, Number("5") + 3);   // -> 53 2 8
console.log(0.1 + 0.2);                           // -> 0.30000000000000004

Les types bigint (grands entiers) et symbol (identifiants uniques) existent aussi, mais un débutant les croise rarement. typeof null qui renvoie object est une bizarrerie historique. Le + colle les chaînes au lieu d'additionner : convertissez avec Number() les valeurs saisies par un utilisateur.

Les conditions

const age = 17;
if (age >= 18) {
  console.log("Accès autorisé");
} else if (age >= 16) {
  console.log("Accès avec autorisation parentale"); // -> s'affiche
} else {
  console.log("Accès refusé");
}
const statut = age >= 18 ? "majeur" : "mineur";
console.log(statut); // -> mineur

La dernière ligne utilise l'opérateur ternaire, utile pour choisir entre deux valeurs.

Les boucles

for (let i = 1; i <= 3; i++) {
  console.log(`Tour ${i}`); // -> Tour 1, Tour 2, Tour 3 (une ligne par valeur)
}
const langages = ["JavaScript", "Python", "Go"];
for (const langage of langages) {
  console.log(langage.toUpperCase()); // -> JAVASCRIPT, PYTHON, GO (une ligne par valeur)
}

for...of parcourt les valeurs d'un tableau. C'est la boucle à préférer pour une liste.

Fonctions et fonctions fléchées

function prixTTC(prixHT, taux = 0.2) {
  return prixHT * (1 + taux);
}
const double = (x) => x * 2;

console.log(prixTTC(100));                  // -> 120
console.log(prixTTC(100, 0.055).toFixed(2)); // -> 105.50
console.log(double(21));                    // -> 42

taux = 0.2 est une valeur par défaut. La fonction fléchée (x) => x * 2 est une écriture courte, très utilisée avec les tableaux. MDN détaille ses différences avec une fonction classique, notamment pour this (fonctions fléchées sur MDN).

Tableaux et objets

const article = { titre: "Apprendre JavaScript", vues: 120, publie: true };
console.log(article.titre, article["vues"]); // -> Apprendre JavaScript 120

const notes = [12, 15, 8, 17];
const reussies = notes.filter((note) => note >= 10);
const bonus = notes.map((note) => note + 1);
const moyenne = notes.reduce((somme, note) => somme + note, 0) / notes.length;
console.log(reussies, bonus, moyenne); // -> [ 12, 15, 17 ] [ 13, 16, 9, 18 ] 13

const { titre, vues } = article;
console.log(`${titre} : ${vues} vues`); // -> Apprendre JavaScript : 120 vues

filter, map et reduce remplacent la plupart des boucles sur des listes ; la déstructuration extrait des propriétés en une ligne. Ces trois méthodes reviennent dans presque tout le code moderne : passez du temps dessus.

JavaScript dans la page : DOM et événements

Le DOM est la représentation de la page HTML que JavaScript peut lire et modifier. Créez un fichier index.html et ouvrez-le dans le navigateur :

<button id="bouton">Cliquer</button>
<p id="compteur">0 clic</p>
<script>
  const bouton = document.querySelector("#bouton");
  const texte = document.querySelector("#compteur");
  let clics = 0;
  bouton.addEventListener("click", () => {
    clics++;
    texte.textContent = `${clics} clic${clics > 1 ? "s" : ""}`;
  });
</script>

Après trois clics, le paragraphe affiche « 3 clics ». MDN l'explique dans son introduction au DOM et sa page sur addEventListener.

Ce code ne fonctionne pas dans Node.js : document n'existe que dans le navigateur.

Le code asynchrone : fetch, async et await

Une requête réseau prend du temps, et JavaScript n'attend pas : il continue d'exécuter la suite. async et await permettent d'écrire ce code dans l'ordre où on le lit. Fichier tache.mjs :

async function chargerTache(id) {
  const reponse = await fetch(`https://jsonplaceholder.typicode.com/todos/${id}`);
  if (!reponse.ok) {
    throw new Error(`Erreur HTTP ${reponse.status}`);
  }
  return reponse.json();
}

try {
  const tache = await chargerTache(1);
  console.log(tache.id, tache.title, tache.completed); // -> 1 delectus aut autem false
} catch (erreur) {
  console.error("Échec :", erreur.message);
}

fetch ne lève pas d'erreur sur une réponse 404 : il faut tester reponse.ok. Le try...catch attrape les pannes réseau. Et await hors d'une fonction n'est accepté que dans un module, d'où l'extension .mjs. Le guide Utiliser l'API Fetch de MDN va plus loin.

Quand vous saurez consommer une API, l'étape suivante est d'en écrire une. Notre tutoriel pour créer une API REST avec Node.js et Express part exactement de ce niveau.

Organiser son code en modules

Un module est un fichier qui exporte des fonctions ou des valeurs, et que d'autres fichiers importent. Deux fichiers dans le même dossier :

// calcul.mjs
export function somme(a, b) {
  return a + b;
}
export const TVA = 0.2;

// main.mjs
import { somme, TVA } from "./calcul.mjs";
console.log(somme(2, 3), TVA); // -> 5 0.2

node main.mjs affiche 5 0.2. Dans un navigateur, la balise doit porter type="module", et la page doit être servie par un serveur local, par exemple l'extension Live Server de VS Code ou npx serve. Le guide des modules de MDN prévient qu'un fichier HTML ouvert directement (adresse file://) provoque des erreurs CORS.

Un plan réaliste en 10 semaines

Ce plan suppose environ une heure par jour. Les durées sont une proposition de notre part, pas une mesure : nous n'avons trouvé aucune étude fiable sur le temps nécessaire pour apprendre JavaScript.

Semaines	Notions	Livrable à la fin
1	Console, variables, types, conditions	Un convertisseur de températures en console
2	Boucles, fonctions, fonctions fléchées	Un jeu « devinez le nombre »
3	Tableaux, objets, filter, map, reduce	Un calcul de statistiques sur une liste de notes
4	HTML et DOM, événements	Un compteur et une liste de tâches dans la page
5	Formulaires, validation, localStorage	La liste de tâches qui survit au rechargement
6	Asynchrone, promesses, fetch, async/await	Une page météo ou de recherche avec gestion d'erreur
7	Modules, npm, débogage dans VS Code	Le projet de la semaine 6 découpé en modules
8	Node.js côté serveur	Un script qui lit un fichier JSON et produit un rapport
9 et 10	Projet personnel, Git, mise en ligne	Une application complète publiée

Et en 30 jours ? Prenons un défi connu, 30 Days of JavaScript, publié sur GitHub par Asabeneh Yetayeh, en anglais. Ses jours 1 à 20 couvrent les types, les conditions, les boucles, les fonctions, les objets, les classes, JSON et les promesses ; les jours 21 à 23 le DOM et les événements ; les suivants sont des mini-projets. Son auteur prévient lui-même que le défi peut prendre plus de 100 jours et invite à suivre son propre rythme (notre traduction). Ses 23 premiers jours couvrent donc à peu près les semaines 1 à 7 de notre plan.

De A à Z ? Personne ne connaît tout JavaScript. Le bon critère est pratique : savoir construire seul les livrables des semaines 4 à 6 sans copier un tutoriel. Les projets des semaines 9 et 10 alimentent ensuite votre portfolio de développeur.

Pour la méthode générale (exercices, notes, projets), notre guide Python et ses exercices corrigés proposent une démarche qui se transpose telle quelle à JavaScript.

Les ressources gratuites en français

Vous pouvez apprendre JavaScript gratuitement et en français : les ressources ci-dessous ont été ouvertes le 30 octobre 2026.

Ressource	Format	Accès	Pour quoi faire
MDN, Premiers pas en JavaScript	Cours écrit, 8 articles et une auto-évaluation	Gratuit	Le parcours de départ, si vous connaissez déjà HTML et CSS
MDN, Guide JavaScript	Guide en 16 chapitres	Gratuit	La référence à garder ouverte
OpenClassrooms, Apprenez à programmer avec JavaScript	Cours de 12 heures avec quiz	Libre accès	Un premier cours guidé, jusqu'au formulaire
javascript.info en français	Tutoriel écrit, projet open source	Lecture en ligne libre	Approfondir le langage puis le navigateur
Grafikart, Apprendre le JavaScript	23 vidéos, 7 h 28 annoncées	En partie gratuit, abonnement Premium (vidéos réservées non précisées)	Apprendre en vidéo, des bases aux promesses et à fetch

Quelques précisions. La page de MDN suppose que vous connaissez HTML et CSS et indique que la traduction est communautaire. OpenClassrooms a mis à jour son cours le 29 juillet 2025.

Grafikart annonce rendre « un maximum de contenu gratuit et public » et vend un abonnement Premium à 5 € par mois ou 50 € par an, qui donne entre autres accès à des vidéos réservées (page Premium de Grafikart). La page de la formation n'indique pas lesquelles le sont.

En anglais, le cours Learn JavaScript de web.dev, publié par Google, couvre les types, les fonctions, les objets, les collections et les classes. Pour les PDF « JavaScript de A à Z » qui remontent dans les résultats de recherche, vérifiez qu'un auteur et une date sont indiqués avant de vous y fier.

Les 4 erreurs classiques du débutant

Ces quatre pièges reviennent souvent chez les débutants. Chaque sortie ci-dessous a été obtenue en exécutant le code.

1. Comparer avec == au lieu de ===

L'opérateur == convertit les types avant de comparer, === non.

console.log(0 == "", 0 == "0", "" == "0");     // -> true true false
console.log(0 === "", null == undefined, null === undefined); // -> false true false

Comparaison	Avec ==	Avec ===
`0` et `""`	true	false
`0` et `"0"`	true	false
`null` et `undefined`	true	false

Avec ==, 0 égale "" et "0", mais "" n'égale pas "0" : la relation n'est même pas cohérente. Utilisez toujours === et !== (égalité stricte sur MDN).

2. Utiliser var

var a une portée de fonction, pas de bloc. Dans une boucle, toutes les itérations partagent la même variable :

for (var i = 0; i < 3; i++) {
  setTimeout(() => console.log("var :", i), 0); // -> var : 3, var : 3, var : 3 (une ligne par valeur)
}
for (let j = 0; j < 3; j++) {
  setTimeout(() => console.log("let :", j), 0); // -> let : 0, let : 1, let : 2 (une ligne par valeur)
}

Avec let, chaque tour a sa propre variable. Il n'y a plus de raison d'écrire var dans du code neuf (let sur MDN).

3. Perdre la valeur de this

Dans une fonction classique ou une méthode, this dépend de la façon dont la fonction est appelée, pas de l'endroit où elle est écrite. Une fonction fléchée, elle, garde le this de l'endroit où elle est écrite.

"use strict";
const compteur = {
  valeur: 0,
  incrementer() {
    this.valeur++;
    return this.valeur;
  },
};
console.log(compteur.incrementer()); // -> 1
const detachee = compteur.incrementer;
// detachee(); // ligne commentée exprès, elle lève :
// TypeError: Cannot read properties of undefined (reading 'valeur')
const liee = compteur.incrementer.bind(compteur);
console.log(liee()); // -> 2

La méthode copiée dans une variable a perdu son objet ; bind le lui rend. À l'inverse, une fonction fléchée passée à forEach ou à setTimeout à l'intérieur d'une méthode garde le this de cette méthode. Le cas se produit surtout avec les gestionnaires d'événements et les fonctions de rappel (this sur MDN).

4. Mal lire l'ordre du code asynchrone

console.log("A. début du script");
setTimeout(() => console.log("D. minuteur"), 0);
Promise.resolve().then(() => console.log("C. promesse"));
console.log("B. fin du script");

La sortie est A, B, C, D, même avec un délai de 0 ms. Le code synchrone passe d'abord, puis les promesses, puis les minuteurs. Retenez qu'une valeur obtenue avec await n'existe pas avant la ligne qui l'attend.

Quand passer à TypeScript et à un framework

Passez à TypeScript quand vos projets dépassent quelques fichiers et que vous perdez du temps sur des erreurs de type. TypeScript ajoute des annotations de type à JavaScript, vérifiées avant l'exécution. Sa documentation en français propose un tutoriel de cinq minutes pour qui connaît déjà JavaScript.

Node.js facilite la transition. Depuis la version 22.18.0, il exécute un fichier .ts sans option, à condition que le code n'utilise que la syntaxe TypeScript effaçable, comme les annotations et les interfaces. Il ne vérifie pas les types : la documentation recommande de lancer npx tsc --noEmit à part (TypeScript dans Node.js, consulté le 30 octobre 2026).

Pour un framework (React, Vue, Svelte), notre critère est simple : vous devez savoir écrire la liste de tâches de la semaine 5 avec le DOM, sans aide. Sinon, les erreurs du framework resteront opaques.

Ce que nous n'avons pas pu vérifier

Points incertains ou non testés :

Les exemples sous Node.js 26. Ils ont été exécutés avec Node.js 22.15.0, la version installée sur notre poste, et non avec la 26.13.0 recommandée. Ils n'utilisent que des fonctions standard présentes dans les deux versions.
Le statut gratuit de chaque vidéo de Grafikart. La page Premium mentionne des vidéos réservées sans dire lesquelles.
La durée d'apprentissage. Le plan de 10 semaines est une proposition éditoriale. Nous n'avons trouvé aucune étude fiable sur le temps nécessaire pour apprendre JavaScript.
La représentativité de l'enquête Stack Overflow. Ses 30 903 réponses viennent de personnes qui fréquentent Stack Overflow ; elles ne décrivent pas tout le marché, ni la France en particulier.
Le nombre d'années consécutives en tête. La page 2026 de Stack Overflow parle d'une « 12e année consécutive », mot pour mot comme l'édition 2025, alors que l'édition 2023 parlait déjà de la onzième. Nous n'avons pas retenu ce décompte.
La complétude des traductions françaises de MDN et de javascript.info : certaines pages peuvent être moins à jour que leur version anglaise.

Questions fréquentes

Peut-on apprendre JavaScript gratuitement ?

Oui. Le parcours Premiers pas en JavaScript de MDN, le cours d'OpenClassrooms en libre accès et le tutoriel javascript.info sont gratuits et en français. Les outils le sont aussi : VS Code, Node.js et le navigateur.

Combien de temps faut-il pour apprendre JavaScript ?

Aucune étude fiable ne donne de durée. Notre plan propose 10 semaines, à raison d'une heure par jour, jusqu'à une première application complète.

Faut-il apprendre HTML et CSS avant JavaScript ?

Pour le web, oui, au moins les bases : le parcours de MDN les suppose acquises. Pour du JavaScript côté serveur avec Node.js, ce n'est pas nécessaire, et vous pouvez commencer par la console.

Quelle version de Node.js installer en 2026 ?

La version LTS proposée par nodejs.org, soit la 26.13.0 au 30 octobre 2026. Les branches 22 et 24 restent maintenues jusqu'en avril 2027 et avril 2028.

À propos de l'auteur

Méthode. Synthèse fondée sur des sources publiques : enquête Stack Overflow 2026, rapport Octoverse de GitHub, site et calendrier officiels de Node.js, documentation de MDN, de VS Code et de TypeScript, pages des cours cités. Les exemples de code ont été exécutés avec Node.js 22.15.0 et l'exemple de page web dans le navigateur Chromium 120 ; les sorties affichées sont celles obtenues. Aucun cours n'a été suivi en entier, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux plateformes mentionnées.

Une erreur ou un lien périmé ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.

Dernière mise à jour : 30 octobre 2026.

Images : Gabriel Heinzer et Markus Spiske (Unsplash License).