Cloudflare ouvre le code de Void, une plateforme auto-hébergée pour encadrer les apps « vibe-codées » des employés
Le 16 octobre 2026, quatre mois après le rachat de VoidZero, Cloudflare publie en open source Void, une plateforme que les entreprises peuvent auto-héberger pour déployer et gouverner les applications internes construites par l’IA. Si vos employés « vibe-codent » déjà leurs outils, Void donne un toit aux applications — mais pas encore de revue de sécurité obligatoire.
15 octobre 2026. Cloudflare annonce la sortie de Void 1.0 et ouvre l’intégralité de son code source. 16 octobre 2026. The New Stack détaille l’envers du décor : une plateforme pensée comme produit commercial, devenue open source quatre mois après le rachat de VoidZero. Septembre 2026. Vite+, l’outillage associé, atteint sa version stable 1.0. Pourquoi c’est important : le vibe coding — laisser des non-développeurs générer des applications avec l’IA — est en train de devenir le nouveau shadow IT, et Void est la première brique open source qui donne à l’équipe IT un endroit où poser ces applications et en contrôler l’accès.
Le contexte : le vibe coding déborde des équipes d’ingénierie
Des entreprises comme Ramp ou Stripe ont déjà bâti des outils internes qui permettent à des employés sans formation technique de créer des logiciels pour leurs collègues. La promesse est séduisante : l’IA abaisse la barrière de la construction, et les besoins métier trouvent une réponse sans passer par la file d’attente de l’ingénierie.
Mais cette liberté crée un casse-tête pour la DSI. Qui recense ces applications ? Quelles données d’entreprise peuvent-elles lire ? Qui est responsable de leur sécurité ? À bien des égards, les applications vibe-codées sont le shadow IT de l’ère de l’IA générative — des logiciels déployés hors du regard de l’équipe informatique.
C’est exactement le vide que Cloudflare prétend combler. Void est présenté comme une collection de trois outils open source qui donne aux employés un endroit où publier leurs applications, tout en laissant les administrateurs contrôler qui peut déployer et qui peut y accéder.
Les trois briques de Void
Void se décompose en trois composants aux rôles distincts. Le Void SDK fournit les briques de construction d’applications full-stack avec Vite, y compris la logique serveur et les intégrations aux bases de données. Le Void CLI gère le déploiement et provisionne automatiquement les ressources Cloudflare nécessaires. Enfin, Void Platform offre un environnement partagé où l’entreprise héberge ses applications et les administre via un tableau de bord.
Le SDK et le CLI étaient déjà distribués sur npm sous licence MIT ; l’annonce du 15 octobre rend public l’ensemble du code source, plateforme comprise, aux côtés de Void 1.0. La commande void deploy lance la compilation, provisionne l’infrastructure requise et publie l’application finie sur Cloudflare, en appliquant au passage les migrations de base de données nécessaires. L’installation d’une instance passe par void platform install, qui guide l’administrateur à travers la configuration de l’authentification, de la base et du stockage.
L’histoire du produit est instructive. Evan You, créateur de Vue.js et de Vite, avait fondé VoidZero en 2024 pour unifier l’outillage JavaScript. Void était à l’origine pensé comme un produit commercial destiné à financer l’écosystème open source. Le rachat par Cloudflare, en juin, a levé cette pression financière. « Nous avons commencé à travailler sur Void avant l’acquisition, avec l’intention d’en faire un produit commercial. Mais nous n’en avons plus besoin, alors nous l’avons rendu open source ! », a écrit Evan You.
Ce que la plateforme contrôle — et ce qu’elle ne contrôle pas
Void Platform donne aux administrateurs le pouvoir de décider qui peut déployer des applications et qui peut y accéder. Ils peuvent inspecter les déploiements, consulter les journaux, surveiller la consommation de ressources et imposer des limites d’usage. L’intégration avec les fournisseurs d’identité et Cloudflare Access permet de restreindre les applications aux seuls employés autorisés.
Cloudflare utilise déjà Void Platform en interne, l’authentification d’entreprise empêchant « par défaut » les fuites de données via les applications vibe-codées. Mais cette protection a des limites que l’éditeur reconnaît à demi-mot. Restreindre l’accès à une application n’empêche pas celle-ci de récupérer des données sensibles ou de les envoyer ailleurs. La documentation confirme que les administrateurs peuvent configurer les nouvelles applications comme publiques par défaut, et que chaque propriétaire de projet peut ensuite rendre sa propre application accessible publiquement.
Surtout, le processus de déploiement documenté ne comporte aucune revue de sécurité obligatoire avant la mise en ligne d’une application. Interrogé sur la possibilité d’approuver une application avant déploiement, Christoph Nakazawa, directeur de l’ingénierie chez Cloudflare, renvoie aux contrôles d’accès existants et à la liberté des entreprises de les étendre. « Puisque Void est open source, d’autres entreprises peuvent adapter la plateforme à leurs besoins. » En clair : le mécanisme d’approbation, c’est à vous de le construire.
Le coût, et le lien ombilical avec Cloudflare
L’auto-hébergement de Void Platform exige un abonnement payant Cloudflare Workers for Platforms, à partir de 25 dollars par mois, auquel s’ajoutent le stockage R2 et une base PostgreSQL hébergée séparément. Les développeurs qui déploient directement via le Void SDK n’ont pas besoin d’abonnement payant, mais aucune version entièrement managée n’est proposée pour l’instant.
Le modèle économique est assumé : le logiciel est gratuit, mais les entreprises qui exploitent leur propre plateforme consomment de l’infrastructure Cloudflare, avec tous les coûts associés. Cloudflare s’est engagé à garder Vite et les autres outils VoidZero neutres vis-à-vis des fournisseurs, mais le provisionnement automatique d’infrastructure de Void dépend aujourd’hui de Cloudflare. Nakazawa laisse la porte ouverte à d’autres fournisseurs cloud « offrant les mêmes capacités de base », sans s’y engager.
Ce qu’il faut verrouiller dès l’installation
Void sort du carton avec des valeurs par défaut permissives, et c’est le point d’attention principal. Avant d’ouvrir la plateforme aux équipes, trois réglages s’imposent.
Premièrement, couper le « public par défaut ». La documentation permet de configurer les nouvelles applications comme publiques, et les propriétaires de projet peuvent rendre la leur accessible publiquement ensuite. Si l’objectif est de contenir le shadow IT, la première chose à faire est d’inverser ce réglage et de restreindre l’accès via l’intégration à votre fournisseur d’identité et à Cloudflare Access.
Deuxièmement, ajouter la revue que la plateforme ne fournit pas. Il n’existe aucun contrôle d’approbation obligatoire avant mise en ligne. Puisque Void est open source, vous pouvez greffer votre propre workflow de validation — mais c’est un chantier à budgéter, pas un acquis.
Troisièmement, contrôler les sorties de données. Restreindre l’accès à une application n’empêche pas celle-ci de lire des données sensibles ou de les exfiltrer. Une application vibe-codée qui reçoit un jeton d’accès à vos API internes est un chemin de sortie : traitez-la comme n’importe quel service qui manipule des données d’entreprise, avec les mêmes exigences de journalisation et de surveillance.
Verdict
Si vos employés « vibe-codent » déjà des outils internes, Void est une réponse pragmatique : elle donne à l’IT un point de déploiement unique, des contrôles d’accès et des journaux là où il n’y avait que du bricolage dispersé. Mais traitez-la comme un canevas de gouvernance, pas comme un produit fini — vous devrez ajouter vous-même la revue de sécurité avant mise en ligne, verrouiller le « public par défaut » et contrôler les sorties de données, car la plateforme ne le fait pas à votre place. Si personne ne vibe-code chez vous, il n’y a pas d’urgence à adopter : notez simplement que le shadow IT de votre organisation a désormais un concurrent open source bien financé, et que la question de la gouvernance des apps générées par IA se posera tôt ou tard.