Month: July 2015

Paris Web : de la sécu et de la qualité

logo-parisweb-2015

L’été bat son plein. Cigales et soleil (enfin, pour moi). Je me penche sur le programme Paris-Web, la conf du web programmée en Octobre (oui, déjà, je sais, certains disent que je suis très prévoyante), et joie, bonheur, extase : de la sécu, il y en aura à gogo chez Paris Web cette année. Rendez-vous compte, pas moins de 6 interventions relatives au sujet.

– Votre cauchemar ressemble peut-être à une invasion de script malicieux sur vos sites, Nicolas Hoffman vous racontera que CSP est un anti dote pour ce genre de situation embarrassante.

– Vous avez envie de rendre un peu plus robustes vos applications web ? Il existe des outils pour cela. Mathias Dugué partagera son retour d’expérience sur l’usage de ces outils obscurs de sécurité et de la Web Crypto API.

– Une bonne authentification est la garantie d’un service deployé sûrement. L’administration française l’a compris. Francois Petitit partagera son retour d’expérience sur le déploiement de FranceConnect, de OpenID, de l’OAuth2, du bonheur…

– Les bots sur le net générèrent du traffic, et vous embêtent probablement en tant que webmaster, François Hodierne vous expliquera comment gérer ce petit détail, et comment reconnaître les bons des mauvais robots.

– La sécurité du web et des internets, c’est un sujet sérieux, que les organismes de standardization discutent, je viendrai vous raconter les avancées faites dans ces consortiums d’industriels au W3C, à l’IETF, et à FIDO.

– La sécurité, c’est aussi une question sous-jacente dans les enjeux de la liberté des usagers du web. Adrienne Charmet, de la Quadrature du Net, viendra plaider pour un engagement des acteurs du numériques en plénière d’ouverture..

On se croise donc à Paris-Web les 1/2/3 Octobre ! #bisous

[photo] Les Rencontres de la Photographie d’Arles : from duck to Vegas

Les Rencontres de la Photographie d’Arles, ce sont 50 expositions réparties dans la ville pendant l’été, du 6 Juillet au 20 Septembre. Ce sont 50 façons de mettre en lumière un talent particulier, avec des styles aussi variées qu’il y a de photographes. Ma sélection sur le site si particulier des Ateliers :

IMG_20150727_001508

– Duck, Une Théorie de l’Évolution. Ici du drôle, du fin. Olivier Cablat balaye les possibles mises en scène d’animaux ou objets géants. Il imagine leur évolution possible, à partir de constructions réelles ou de morphisme. Il crée des ponts entre les canards, les requins, repense la téléportation de l’œuvre principale (un canard géant). De la buvette au château d’eau, on y croise beaucoup de constructions vraies et drôles. le projet est aussi commenté par là.

– Affaires Privées. Vous rêvez de connaître l’histoire des objets insolites vendus sur le Bon Coin ? Thierry Bouet vous raconte, image à l’appui. Du yacht au bottes d’équitation sur mesure en passant par le cercueil. On saura tout. Un délice d’humanité. Une interview ici pour en savoir plus, sinon son book est par là.

– Le Tourisme de la Désolation. Florilège de ce que les tour operators proposent sur les lieux de désastre, catastrophe, guerre, extermination. Liban, Oradour sur Glane, Tchernobyl, les camps, JFK, le Sichuan en Chine… Multiple selfie, photos souvenirs, snack bar à la sortie, on s’assoit dans les cellules de prison, on mêle ses graffitis à ceux des prisonniers. I was here. Ambroise Tézenas nous demande : “Vous qui regardez ces photos en vacances, de ces gens qui regardent ces lieux de désolation, que ressentez-vous ?”. pour en savoir plus sur le photographe, c’est ici.

– Las Vegas Studio. Une série de prises de vue de Las Vegas et de son ambiance Casino. ici tout n’est que lumière, ampoules, éclairage savant nocturne, voitures, asphalte. On y retrouve le bruit du projecteur qui change une diapo, un film sur les vagues de lumière des casinos, globe lumineux, vague, clignotant, marée de rouge, jaune et grésillement de lampes.

– Nul Jour de Pauline Fargue. Une artiste qui ouvre ses carnets, couverts de mots, de photographies diverses, créant d’improbable rencontre. Intime. Sensible. On témoigne de ces instants suspendus, passés avec des hommes, des femmes, des enfants, des reflexions, sont on ne connait ni le passé, ni le futur. Pour les amateurs de carnet intime et de shoot – dont je suis.

– A Guide to the Flora and Fauna of the World de Robert Zhao Renhui. Le bestiaire des fleurs et animaux, réels, transformés par l’action des hommes. Animaux résultant d’expérimentation, victime de pollution, on y croise des poissons arc en ciel, des abeilles à l’estomac rouge, des faucons devenus nocturne, …

Bonne visite !

Note : deux posts sur les Rencontres de la Photographie des années précédentes Deux photographes en noir et blanc(2013) et Magnifique Koudelka (2012).

Un été, des livres : Jacob, Jacob de Valérie Zanetti

jacobLes goûts, les couleurs, les livres. Jacob, Jacob de Valérie Zanetti. J’ai découvert ce livre il y a quelques mois déjà, mais un de ses passages m’a profondément touchée. Je profite de l’été pour le partager ici. Oui, c’est un spoiler. mais c’est un grand moment de littérature.

Dans ce passage, Rachel, juive de Constantine, pense à son fils mort en 1940 pour la France. Lors du départ de Jacob pour la France, elle n’a pu l’embrasser, et à l’annonce de sa mort, on ne lui a pas annoncé les circonstances de son décès. Par ailleurs, elle ne sait pas où est son corps. Elle repense…

… et Rachel […] se balançait doucement en se maudissant d’avoir donné le prénom d’un enfant mort à Jacob, ça avait été une erreur de défier ainsi le choix de Dieu, et elle pensait, s’il avait été fragile comme Abraham, ils n’auraient pas voulu de lui à l’armée et il serait encore là, s’il n’avait pas été vigoureux, il serait resté dans un bureau à remplir des papiers, et il serait encore là, si le fou allemand n’avait pas décidé de faire la guerre en Europe, il serait encore là, s’il avait été peureux et avait déserté, il serait encore là, s’il avait été moins beau et n’avait pas attiré le mauvais œil de tous ceux qui le croisaient, il serait encore là, et si j’avais pu l’embrasser une dernière fois, cela m’aurait suffi, et si je n’avais pas pu l’embrasser mais si j’avais pu le voir de loin, cela m’aurait suffi, et si je n’avais pas pu l’embrasser ni le voir de loin mais que j’avais simplement entendu sa voix, cela m’aurait suffi, et si je ne l’avais pas pu l’embrasser ni le voir de loin ni entendre sa voix mais que je l’avais simplement vu mort, cela m’aurait suffi, et si je ne l’avais pas vu mort mais qu’on m’avait apporté ses derniers vêtements imprégnés  de son odeur et son sang,cela m’aurait suffi, et si quelqu’un était venu me raconter sa mort et me dire ses derniers mots, cela m’aurait suffi, mais il n’y avait rien eu à part l’annonce, et maintenant, son coussin était vide, comme le cœur de Rachel qui ne se sentait plus la force d’aimer personne, d’aimer la vie, à quoi ça servait d’aimer s’il fallait connaître l’arrachement, à quoi ça servirait de vieillir si ça signifiait s’éloigner de Jacob, qui aurait éternellement dix-neuf ans et demi, jamais vingt, pourquoi on ne lui avait pas donné le choix, à elle, sa mère qui l’avait porté, de lui donner vingt ans de sa vie, de renoncer aux vingt-cinq années qui lui restaient à dormir, à se préoccuper des repas, du ménage, de la lessive, à entendre les ragots des voisines, il parait que la femme de Maurice lave ses draps une fois par mois, il paraît que la fille Fortune n’était pas vierge le soir de ses noces, il paraît que le fils d’Albert n’est pas son fils, mais celui de son frère, il paraît que les parents de Lucien ont payé le directeur du lycée pour qu’il ait son baccalauréat, il parait que la femme de l’épicier a porté du rouge alors que son mari était à peine enterré, il paraît que Leila brûle ses plats une fois sur deux quand elle cuisine, était-il possible que Dieu l’ait laissé sur terre pour entendre ces choses-là ?

Le sport littéraire est intime, l’imaginaire et l’histoire du lecteur y sont pour beaucoup, mais ce passage me frappe par ce qu’il donne à voir de la torture que l’on peut s’infliger, de vaine tentative d’échapper à la réalité, de ces moments de solitude, pitoyables et touchants.

Un mot sur le livre, Jacob, Jacob de Valérie Zenatti. Cet ouvrage est un cadeau pour les lecteurs sensibles au style délicat des écrivains. Valérie Zenatti laisse une impression de douceur, de délicatesse et travaille par petite touche son histoire, ses personnages, avec une finesse impressionnante. Jacob, Jacob,  parle de Jacob, juif de Constantine, enrôlé en Juin 1944, parti libérer la France. On découvre sa famille, dure, on le suit dans son périple guerrier où il découvre la vie, l’amour, la violence, la fraternité. En peu de pages, Valérie Zenatti convainc.

#shake15 : to VC or not VC

In the run of #shake15 conference, I attended a great presentation on venture capitalist myth and reality. The experienced entrepreneurs presenting, Michel Athenour (multiple founder) and Christophe Raynaud (VC ISAI director) made a great team show, spread with humor, irony and valuable real life experience. For people not familiar with the french VC landscape, you should know that France VCs invests 8.7 reasonable billions of euro in 2014, and is made of several tenth of VCs firms, with a recent increase of players.

The tone was quickly given by those (smart) guys. VCs are scarce.

And you should talk to them only in specific situation. When you are in hyper-growth and terrific expansion, when you are rich enough to pay your team salaries during 6 months (at least), when your team is balanced and great (this is one of the assets VCs will weight careful). If you can’t tick each of those boxes, try something else. Love money (your friend, lover, father, crazy uncle). If you tick all the boxes and wanna go VC, be ready to suffer. The mission of VC is about investing, giving money. Thus, they need to check few things, they need to trust you, your business model, your potential. And they will be looking for your weaknesses, asking the questions you dont want to hear, opposing competition you did not foresee… this torture will be iterative. Meet, talk, present, again. It may take you 3 months, long 3 months where you business will have to rock anyway. So provisioning energy and money for that specific period is a must. That was for the general aspects on when to go VC or not.

In addition Michel and Christophe shared some common sense tips for going VC.

Build your network in the VC jungle. You must have friends there, and it is normal usage to sanity check their reputation, identifying bad sharks and loosers (dont feel ashame, they will do the same for you and your team).

Be prepared to present your activity. This means training, working your presenting and convincing skills.

Think instead of VC. What is it that they want ? Make sure they can make money by reselling your activity. Look for your next acquirer, who will buy you soon, and tell them.

Accept that VC is not for all. And not successing when going, or not going is not a failure. This is just being reasonnable and playing in the relevant category. Again the press is puting a lot of emphasis on champagne, “paillettes” and successful fundings but this does not represent the average entrepreneurship story.

Thanks again to Michel and Christophe for this fruitful workshop !

Note1 : for more information on french landscape, download the AFIC report [PDF] or read recent Rude Baguette analysis .

Note2 : #shake15 learning related to e-commerce is also available here.

#shake15 : And now, all of us are shaking our digital commerce !

logo-shake15#shake15. Two days of e-commerce.

In one of the most prestigious place of Marseille, during 2 days, around 1000 people gathered and exchanged. Two days spent looking at merchants, staring at users, analyzing in-shop behavior and on-line habits, qualifying e-merchants and market place tribes. This is Shake event. So what can we learn by gathering all the actors of the value chain during 2 days ?

The consumer journey is multiple.

And it is not relevant anymore to even mention the opposition of online/in-shop, mobile/PC, in-shop / home delivery, before/during/after transaction time, web site/mobile application… A transaction has several touch points that no merchant can force or predict. Users are crazy. Let’s admit that, you need to be with him everywhere, anytime, with persistence. Admit that or you will miss it. Your next 2 years challenge is to build a consistent digital strategy allowing all combined path.

Facing such an asset, it makes no choice on today’s merchants.

You need to go digital, in a consistent way. If you are not convinced you should go, let’s have a look at the figures. E-commerce is generating 57 billions today worldwide. In France, the transactions have increased by 13,7 % on 2015 first semester. Buying on e-commerce site happens to users once every 15 days, average, with an always average price increasing. E-commerce is getting common to the 76 % French people connected. Finally, number of websites have increased by 14% compared to last year, leading to 160 000 active sites. You competitor may be among those ones. You can check the FEVAD figures to know more about that.

Few remarkable trends

You don’t need to be a pure player to go digital. Look at the recent move from CDiscount going Casino, eBay associating with merchants.

Usage of mobile application is important because it is the way to create a privileged relation with your customer, identifying him accurately, and analyzing his navigation in the application. This would allow merchant also to get benefit from the search results in Google search (also named as app-indexation).

Shops and employees in shop are getting transformed. Vendors work with devices, shops can offer picking services, shops can produce on demand and on-site thanks to 3D printing. Welcome to the new world !

Ads can now be served thanks to social media stream. The Twitter sponsor tweet, Facebook sponsored push are now some channels to be used. Just use it, they are convenient and annoys less the users.

And always. Mobile first mindset and geo-location usage can help.

Things to improve.

The pain point in e-commerce is still the payment. The payment, yes. Fragmentation in payment solutions, applications and user experiences is not good for the business. Specially the fact that there is no well known and standard experience reduces the transformation rate when finalizing the transaction. User needs to feel comfortable to press the final button. Something to improve…

Thanks #shake15

The panoramic vision offered by shake15 on trends and vision was really precious. Big-up to Hervé Bourdon and Jacques Froissant and the supporting team for setting up such event.

Note : Last year Shake edition can be found there https://poulpita.com/2014/06/30/shaking-marseille-e-commerce/

IMG_-y73910

The security question at Edge

Take 250 web developers, seat in front of them experts, and let them interact. This is EDGE conference. While being my first edge conference experience, I cross finger I will attend the next one. I went there to be part of a panel dedicated to security. And by having that lively and passionate debate, I have learned things, specially, how to move forward on security aspects on the web.

What was it about ? It was about HTTPS and certificate usage. The panelist were Yan (from Yahoo), Mike (from Google), Alex (from University of Michigan, Let’s Encrypt promoter), Patrick (from Financial Times) and all of us being moderated by Dan.

Yan setup the stage by reminding what are the attacks on the web (MITM, XSS, …) that HTTPS and CSP can help to solve. CSP is a way to control that only authorised resources are accessed (authorized means coming from a url you trust). At the same time Yan announced also a renaming of CSP into BATSHIELD to make it attractive, we hope you will enjoy it. Then came the origin question. HTTPS is a way for the browser to make sure that the service your are accessing is the one it pretends to be. And from there, we entered into the debate, here is a take away.

So what is it that we know about HTTPS ?

HTTPS allows point to point authentication and communication confidentiality, between the browser and the server. It helps to prove that Steve’s service is from Steve. HTTPS relies on public and private key management, which means key pairs, generated and certified by a certification authority (CA). In other words, CA will help blessing Steve’s key pair. CAs are recognized by browsers and this recognition relies on reputation. If a CA is reliable (aka known for doing Steve’s identity check properly and making sure to repudiate his certificate if he behaves badly on the internet) then browser will add it in its recommended CA. And all services associates with certificates and key pairs delivered by trustable CAs will be operated under HTTPS. Key pair generation and certificate issuance are a painful process for the web developers. In addition to migrate to HTTPS, they need to pay, few tenth of dollars and find a CA kind enough to have their certificate. In September, Let’s encrypt project is arriving https://letsencrypt.org/. It will make the certificate and key pair distribution automated, free and seamless. Thus it will reduce the barrier to entre the HTTPS world. The way this process will be reliable and automated is still to be discussed, but this initiative could be a serious enablers towards an HTTPS everywhere scenario.

And what is it that we don’t know ?

Does HTTPS really need to be end to end ? Some services may require some arrangement in the middle of the path, between the server serving the request and the browser. The kind of arrangement could be advertising loading, load balancing management, ….). If we were to open some non-HTTPS path in a HTTPS request, to favor the work on the intermediate elements, in charge of those arrangement, this would imply the risk to have middle box for monitoring also enabled. So on one hand there are some business interest to let some path HTTPS free, on the other hand, the breach opened here could favor pervasive monitoring… So one should ask if this is reasonable to only protect the last miles on the communication.

How should users be involved in the security cursor ? Users are warned today when a site is safe, with a green lock. It pushes him into a perception of security that may be over estimated. Some browser vendors would be in favor for waking up the user only if something is at risk. This opens the question to how far security should be visible to the user. It is the responsibility of the browser today to accept CAs and to operate HTTPS normally. Including an educated user could be good, but what if the user is not skilled enough and accept any CA ?

Does HTTPS make the entire web safe ? No. HTTPS is a mean to increase the security communication between a server and a browser. But it does not protect from (1) threat happening on the server side (what is server’s data are corrupted), (2) what is happening on the device side (what if some malicious application can explore and alter broser data), (3) the web developer private key protection (what is the service has his private key being compromised). So a complete answer to securing web business is also about answering those questions. But we dont know yet how to do that and have information about security context of the entire service.

What about restricting sensitive features of the web through HTTPS only connection ? This could become a possible way to increase user privacy and control. But some are claiming that this would force web developers and services to migrate to HTTPS for accessing specific features. Putting a higher technical barrier for deploying services (providing that certificates become free commons). Those last questions staid unanswered. Nevertheless this very good dialog with experienced web developers at #edgeconf allowed to hear pain points and fears from the audience. My take is a beginning of action plan to answer to those questions. Being involved in” problem solving by standard”, I would recommend that we create some fair places to discuss and solve the following questions :

  • HTTPS end to end best practices – including the middle box problem.
  • User involvement in security indication and management – including user experience concern and creating a standard for making the users indication clear
  • Guidelines and supporting tools for web developers to deploy HTTPS and endorse certificate usage (from whatever CA it comes from).

I guess that W3C and IETF may hear in the coming weeks about those suggestions about for keeping our web safe.   Note : extensive notes are available here https://decadecity.net/blog/2015/06/27/edge-conf-security by Orde Saunders