Chaque fois que vous voyez l’icône du cadenas dans la barre de votre navigateur, c’est probablement OpenSSL Library qui travaille en coulisses. Cette bibliothèque de cryptographie open source assure les connexions sécurisées qui protègent vos mots de passe, vos numéros de carte bancaire et vos messages privés lorsqu’ils circulent sur Internet. Lorsque cette organisation technologique, dont les activités comportent des enjeux majeurs, doit prendre des décisions, la clarté et la transparence sont donc indispensables.
« Ouverte, transparente, centrée sur la communauté » : ce sont les premiers mots que nous entendons d’Anton Arapov, directeur des opérations chez OpenSSL Corporation. Lorsqu’Arapov a rejoint l’organisation il y a trois ans, elle devait composer avec des priorités divergentes. Alors qu’une grande partie de l’organisation s’attachait à défendre les valeurs de la communauté open source, certains groupes se concentraient sur l’assistance aux entreprises comme Microsoft, Amazon et Cisco. Cette différence créait un déséquilibre dans les priorités.
« Par le passé, c’était difficile », explique Arapov. « Nous avions un mélange de personnes… et ce mélange de personnes avait des objectifs variés. Certaines étaient davantage tournées vers la communauté, d’autres vers les activités commerciales. Il y avait des désaccords lorsqu’il fallait répondre aux questions… qu’est-ce qui est important à faire aujourd’hui et qu’est-ce qui est important à faire demain ? »
Arapov et d’autres ont trouvé une solution structurelle à ces tensions. Le projet OpenSSL s’est réorganisé en deux entités : la Corporation, chargée des activités commerciales, et la Foundation, qui gère les activités non commerciales. Si cette nouvelle structure apportait une solution, une question fondamentale demeurait : comment recueillir l’avis de l’écosystème plus large des personnes qui dépendent de votre logiciel sans être des clientes ou clients payants ni faire partie de l’équipe principale de développement ?
La véritable communauté d’utilisateurs
Historiquement, le projet OpenSSL communiquait avec deux groupes : les clients payants du côté commercial et les développeurs qui participaient via GitHub du côté open source. Arapov et ses collègues soupçonnaient l’existence de nombreuses autres parties prenantes : des universitaires menant des recherches en cryptographie, de petites entreprises dépendant de communications sécurisées, de grandes entreprises ayant des besoins particuliers en matière de stabilité et de prévisibilité, ainsi que des systèmes d’exploitation et des distributeurs en aval qui intégraient le logiciel dans leurs distributions. Pour n’en citer que quelques-unes.
« À un moment donné, nous avons eu une discussion : comment entrer en contact avec le reste de la communauté ? Nous avons plusieurs types d’utilisateurs. Certaines personnes ne sont pas développeuses et ne connaissent pas le développement d’outils destinés aux développeurs. »
En tant que directeur des opérations et « community manager » informel de l’organisation, Arapov s’est fait le porte-parole de la recherche d’une solution. Il a commencé par étudier la façon dont d’autres organisations recueillaient les contributions de leur communauté. Il a étudié des projets open source comptant de nombreux utilisateurs. Il s’est penché sur des organismes de normalisation qui avaient réussi à obtenir le consentement sur des décisions techniques.
« Quand j’ai commencé, j’avais simplement l’idée qu’il me fallait une sorte de forum qui permette idéalement de voter. Avec des fonctionnalités utiles pour la gestion, comme la gestion de communauté. »
Les forums open source permettaient de discuter, mais ne proposaient pas de véritables outils de vote. Les organismes de normalisation disposaient de mécanismes de vote, mais leur expérience utilisateur était mal conçue. Il a poursuivi ses recherches, de plus en plus découragé. « J’en arrivais à penser que je ne trouverais rien et que je devrais me rabattre sur une solution seulement acceptable. »
La recommandation de ChatGPT
Arapov avait défini des critères précis. Il leur fallait un logiciel open source, conformément aux valeurs du projet OpenSSL. Ils voulaient pouvoir participer par e-mail sans avoir à se rendre sur la plateforme, un point essentiel pour les personnes travaillant dans l’ingénierie qui passent leur temps dans leur boîte de réception. Une interface épurée, sans bruit visuel. Des fonctions de vote avec un suivi approprié. La possibilité de voir tous les sondages au même endroit plutôt que de les chercher dans les discussions.
« Ce qui était extrêmement important pour moi en tant qu’ingénieur, c’était de pouvoir répondre à quelqu’un en utilisant uniquement mon client de messagerie. Je reçois une notification lorsqu’il se passe quelque chose et je réponds dans mon client de messagerie sans avoir à aller sur la plateforme. »
Travailler avec des fournisseurs de technologie plus petits comptait aussi. « Il est beaucoup plus facile de les contacter, et c’était évident, car nos besoins sont différents de ce que proposaient presque tous les logiciels que j’avais vus. Nous savions que nous aurions besoin d’adaptations et de fonctionnalités qui n’existent pas. Plus le fournisseur est petit, plus il est facile d’avoir ce type d’échange, d’expliquer les choses et de les voir effectivement mises en œuvre. »
Un autre facteur pesait lourd. « Nous avons une mission et nous sommes une organisation très transparente, très ouverte. Pour nous, il était absolument essentiel d’avoir une solution qui soit elle aussi open source. Et nous étions prêts à soutenir financièrement ce type de solution. » Au-delà de la cohérence avec leurs valeurs, l’open source est essentiel parce qu’il leur garantit la propriété de leurs données et des droits perpétuels sur le logiciel.
À l’approche d’une échéance et sans solution évidente, Arapov a essayé une méthode inhabituelle. « J’ai tout soumis à ChatGPT. ChatGPT m’a donné Loomio comme premier résultat. Curieusement, en cherchant ailleurs, je n’avais pas du tout trouvé Loomio. Je me suis donc demandé : qu’est-ce que Loomio ? »
Il s’est rapidement inscrit pour un essai sur loomio.com et a contacté le support Loomio, assuré par Rob Guthrie, cofondateur et développeur principal. « J’ai vu passer OpenSSL dans ma boîte de réception et je me suis dit : oh là là », se souvient Rob. Arapov s’est ensuite abonné à la version pro pour pouvoir explorer les fonctionnalités plus en détail.
L’option d’auto-hébergement a scellé la décision. « Je voulais une solution auto-hébergée ; il est toujours très important pour nous d’être propriétaires de nos données. » Pour une organisation responsable d’une infrastructure cryptographique qui sécurise le trafic Internet mondial, la souveraineté des données n’est pas négociable. Les préoccupations de la communauté technique en matière de sécurité et de contrôle rendaient l’auto-hébergement indispensable.
Structurer les communautés
Le déploiement technique s’est fait simplement. L’équipe chargée de l’infrastructure de Loomio s’est occupée de l’installation. Le défi le plus difficile consistait à concevoir l’architecture des communautés elles-mêmes. « La difficulté était de trouver la bonne structure pour les communautés, car c’était vraiment important. Nous en avons tellement. »
Le projet OpenSSL a identifié six communautés distinctes : les universitaires, les grandes entreprises, les petites entreprises, les particuliers, les distributions et les contributeurs disposant d’un accès en écriture. Chaque communauté avait des intérêts commerciaux et non commerciaux, ce qui représentait au total douze communautés réparties entre la Corporation et la Foundation.
Pour développer ces communautés, ils ont contacté des personnes qu’ils connaissaient de longue date : celles qui avaient essayé de joindre le projet OpenSSL par les listes de diffusion ou qui s’étaient impliquées au fil des ans. « Nous leur avons dit : “Nous avons un nouvel espace et nous vous considérons comme faisant partie de cette communauté. Si cela vous convient, rejoignez-la.” Et grâce au bouche-à-oreille, elle a commencé à grandir. »
Pour permettre des changements dans l’ensemble des communautés, ils ont créé plusieurs comités consultatifs élus par celles-ci. Ces comités faisaient remonter les besoins des communautés et conseillaient les conseils d’administration de la Foundation et de la Corporation, en traduisant ces besoins en éléments de la feuille de route du produit, en changements de gouvernance et plus encore.
Repenser la feuille de route du produit
« Nous avons un groupe d’ingénieurs aux opinions bien arrêtées qui pensent savoir ce que tout le monde sait, aime et souhaite. » Ensemble, ils avaient accumulé une longue liste de fonctionnalités dont ils pensaient que les utilisateurs avaient besoin.
Ils ont ensuite commencé à demander directement aux membres inscrits des communautés ce qu’ils souhaitaient, par l’intermédiaire de Loomio. « Il suffisait de poser une question là où les gens pouvaient participer. Les ingénieurs ont découvert que l’avis de la communauté était parfois exactement l’opposé de ce qu’ils supposaient. La communauté peut penser de façon diamétralement opposée. »
Cette découverte les a suffisamment amenés à revoir leurs certitudes pour que le projet OpenSSL fasse un choix audacieux. « En même temps que nous avons adopté nos communautés Loomio, nous avons réexaminé cette longue liste de fonctionnalités proposées. Ces fonctionnalités que nous avions pensé important de développer à l’avenir. Nous avons décidé d’abandonner toute cette ancienne liste et de repartir de zéro en parlant directement aux communautés. »
Désormais, le processus de changement fonctionne dans les deux sens. « L’objectif est que les communautés contribuent à nos décisions. Au-delà des développeurs et des clients payants, il y a donc des personnes qui ont des besoins concernant la bibliothèque OpenSSL. Elles ont besoin de capacités, de fonctionnalités, de tout ce qu’un logiciel peut apporter. La plateforme Loomio, que nous avons appelée OpenSSL Communities, est un endroit où elles peuvent exprimer leurs besoins, en discuter et, à terme, les faire examiner par les représentants du projet OpenSSL et le conseil d’administration. Nous recevons en temps réel les retours de la communauté sur les fonctionnalités proposées avant de les développer. »
Les communautés peuvent exprimer leurs besoins. Le projet OpenSSL peut proposer des fonctionnalités avant de les développer. « Lorsque nous pensons qu’il est temps de développer une certaine fonctionnalité, nous informons les communautés que nous allons le faire. Et que nous allons le faire de cette manière. Et nous sommes heureux de vous écouter. De recueillir vos retours à ce sujet. »
Le vote des délégués
Une fonctionnalité dont le projet OpenSSL avait besoin n’existait pas encore dans Loomio. Dans des groupes communautaires organisés par taille, une grande entreprise comptant des milliers de salariés pouvait facilement l’emporter sur tous les autres participants. « Lorsque nous organisons un sondage de consensus entre des groupes, nous souhaitons voir ce que différentes organisations pensent d’un sujet particulier. Il est donc très facile pour une organisation qui compte des milliers de salariés de l’emporter sur une organisation plus petite. »
Il fallait que chaque organisation dispose d’une voix, quel que soit le nombre de salariés participant au vote. La solution : désigner un délégué par organisation. « Lorsque nous organisons un sondage dans nos groupes et que nous limitons la participation à une personne ou à une voix par entreprise, nous créons un sondage réservé aux délégués. Nous obtenons ainsi des résultats représentatifs, où chaque entreprise ne dispose que d’une voix. »
Rob a créé le système de délégués spécifiquement pour répondre aux besoins du projet OpenSSL. Cette nouvelle fonctionnalité s’est révélée essentielle lors des élections de leurs comités consultatifs. « Nous avons eu, en particulier dans la communauté des grandes entreprises, une élection très disputée où six personnes briguaient un siège. Il était évident qu’une grande entreprise pouvait l’emporter sur n’importe quel autre candidat pour faire élire le sien. » Avec les délégués et une voix par entreprise, cet avantage a disparu.
Le système s’étend à des organisations comme les établissements universitaires. Plusieurs personnes de différentes universités participent, mais pour certaines décisions, le projet OpenSSL n’autorise qu’une voix par établissement.
Créer une mémoire organisationnelle
Pour un projet vieux de 26 ans, le contexte historique compte. « La bibliothèque OpenSSL est un projet très ancien. Et par le passé, nous prenions beaucoup de décisions à huis clos. Nos décisions ont laissé beaucoup de personnes mécontentes. »
Des personnes demandaient pourquoi le projet OpenSSL avait fait certains choix. « On nous pose parfois une question comme : pourquoi avez-vous pris une décision de cette façon et pas autrement ? Nous ne pouvions pas toujours nous appuyer sur une trace précise du passé pour expliquer pourquoi la décision avait été prise. »
Loomio crée cette trace. « Loomio est très important pour nous, non seulement du point de vue des contributions que nous souhaitons recueillir, mais aussi pour l’archivage. » Désormais, chacun peut retrouver la discussion exacte au cours de laquelle une décision a été prise, et comprendre pourquoi.
La transparence répond à un autre objectif. Beaucoup doutent encore que les contributions de la communauté comptent réellement. « Nous avons toujours affaire à des personnes qui ne croient pas que cela fonctionne. L’une des choses que j’essaie de faire autant que possible est de leur donner des exemples qui montrent que le processus fonctionne. Les utilisateurs ne croient pas pouvoir changer quelque chose. En réalisant ces petits changements et en montrant que les utilisateurs peuvent influencer une décision, nous pouvons prouver que cela fonctionne vraiment. »
Il a remarqué un cercle vertueux. « La participation entraîne davantage de participation. » Plus ils proposent de contenu et de contexte, plus les membres rejoignent les communautés. Plus leur prise de décision devient visible, plus il est facile de prouver que le principe fonctionne.
Pour un projet de sécurité où la confiance et la confidentialité sont si fondamentales, une gouvernance transparente est essentielle à leur mission. « Nous travaillons sur la cryptographie et devons inspirer confiance. Pour inspirer confiance, le seul moyen, ou l’un des principaux moyens, est d’être ouverts. »
Nous travaillons sur la cryptographie et devons inspirer confiance. Pour inspirer confiance, le seul moyen, ou l’un des principaux moyens, est d’être ouverts.
Les rencontres en personne
En octobre 2025, OpenSSL Corporation a organisé une conférence à Prague. Elle l’a conçue avec une intention très précise. « Nous avons décidé d’organiser cette conférence de manière à ce qu’elle ne soit ni une conférence commerciale ni une conférence réservée aux ingénieurs. »
Arapov a invité Rob à y assister et à présenter Loomio. « Pour nous, pour le projet OpenSSL à la conférence, au-delà des échanges avec la communauté et l’équipe, il était très important de parler au public de ce que nous avions fait différemment, de ce que nous avions fait de nouveau. Le site OpenSSL Community, basé sur le logiciel Loomio, était très important. La présence d’une personne de Loomio nous a donc été d’une aide immense. »
La présence de Rob a été utile à plusieurs égards. « Certaines personnes étaient sceptiques. Elles ne comprenaient pas la décision d’utiliser Loomio. C’était vraiment utile de pouvoir leur parler et leur expliquer davantage le contexte et les intentions derrière la mise en place de Loomio. »
La conférence a révélé quelque chose de plus profond sur la construction d’une communauté. « Se rencontrer en personne change tellement de choses », confie Arapov.
« Toutes ces personnes présentes à la conférence, j’aimerais en retrouver certaines ou toutes dans OpenSSL Communities, car celles qui sont venues se sentent réellement concernées, et celles qui se sentent concernées… nous devons rester en contact avec elles… Elles sont venues à la conférence parce qu’elles voulaient échanger en personne. »
Les relations nouées en ligne grâce aux discussions sur Loomio se sont prolongées et développées dans le cadre physique de la conférence. Au-delà de cela, la participation en ligne s’est également épanouie grâce aux appels mensuels d’OpenSSL Communities : Large Businesses, qui ont multiplié les occasions de s’accorder et de passer à l’action. « C’était incroyable de voir des ingénieurs, des clients et des responsables d’entreprises comme Amazon, Microsoft, Hewlett-Packard, Cisco et Juniper réunis dans un même appel. Ils n’ont pas d’autre occasion de se retrouver ensemble. » Le rôle fédérateur du projet OpenSSL fait une grande différence et accroît la participation, aussi bien en ligne qu’en personne.
Conseils aux projets open source
Lorsqu’on lui demande quels conseils il donnerait à d’autres organisations open source, Arapov aborde directement un angle mort fréquent. « Il est très important que la communauté des développeurs ne soit pas la seule communauté d’un projet open source. C’est un problème pour de nombreux projets open source, car ce sont généralement les développeurs eux-mêmes qui créent la communauté et qui tiennent profondément à ces projets. »
« Ils peuvent penser qu’ils ont une communauté dynamique, mais la plupart du temps, ce sont d’autres développeurs qui utilisent leur logiciel. Pourtant, il existe très souvent un groupe d’utilisateurs beaucoup plus large. »
Il est important de trouver ces autres utilisateurs.
« Les échanges entre développeurs sont importants. Mais le plus grand défi consiste à trouver des moyens d’aller au-delà du monde de l’ingénierie et de prendre en compte les utilisateurs, les exigences de conformité, les réalités des entreprises et l’écosystème dans son ensemble. »
Pour le projet OpenSSL, Loomio est devenu ce pont. Il a permis de créer une communauté et de structurer les conversations entre des utilisateurs aux besoins très différents. « Nous avions une certaine expérience. Par exemple, nous savions que les grandes et les petites entreprises avaient des besoins très différents. Les petites entreprises sont agiles et utilisent souvent de nouveaux outils, de nouvelles choses ; elles peuvent changer fréquemment. Les grandes organisations placent la cohérence et la prévisibilité au premier plan, et le reste est moins important. »
La compréhension de ces différences façonne directement la bibliothèque OpenSSL. Il était essentiel d’inviter et d’associer des personnes aux points de vue variés au sein des communautés afin que les développements reflètent les besoins réels.
Perspectives
La gouvernance du projet OpenSSL reste volontairement légère. « Nous ne sommes pas une grande organisation, donc nos décisions entraînent peu de lourdeurs administratives. » À l’heure actuelle, la prise de décision au niveau de la direction est simple.
Arapov s’attend à ce que cela change. « Nous envisageons d’étendre notre utilisation de Loomio à la prise de décision, pour le suivi et l’enregistrement des décisions. Nous pensons aussi que ce sera plus important à l’avenir, lorsqu’il y aura davantage de postes au conseil d’administration, donc plus de personnes dans les discussions et plus d’avis à recueillir. »
La plateforme, qui était au départ un outil de participation communautaire, pourrait aussi devenir leur système de gouvernance interne. Pour l’instant, elle remplit un objectif principal : créer des canaux de communication avec des communautés qu’ils n’avaient jamais atteintes auparavant. Le projet OpenSSL donne à ces communautés une véritable voix dans la conception des outils de sécurité et de confidentialité qui sécurisent le trafic Internet mondial.
Pour un projet de sécurité qui approche de sa troisième décennie, donner la priorité à la confiance et aux relations grâce à une prise de décision ouverte constitue la base dont dépend tout le reste.
Tags : Communauté Études de cas
