Chers collègues,

Comme vous l'avez peut-être constaté, le service forge a été suspendu à titre préventif le lundi 14 septembre. Cette décision a été prise suite à l'identification et à la suspicion d’exploitation d'une faille de sécurité critique affectant l'outil GitLab, socle de notre forge.

Cette vulnérabilité, rendue publique le 10 septembre, a fait l'objet d'une réponse rapide de nos équipes. Après une phase de déploiement et de validation technique, l'instance de la forge a été intégralement mise à jour le dimanche 13 septembre.

Afin de garantir une sécurité maximale, nous avons suspendu l'accès au service le temps de mener des investigations approfondies. Celles-ci ont été conduites conjointement par l'équipe Forge, le Comité Opérationnel de Sécurité (COS RSSI) et le service Production Transverse de la DSI, avec l'appui des équipes CIL-DPO pour la protection des données personnelles.

Les conclusions de ces analyses sont les suivantes :

• données personnelles : toute exfiltration de données à caractère personnel a été écartée.
• certaines clé d’authentification ayant pu être potentiellement exposées ont été révoquées et régénérées par mesure de prudence.

Cet incident souligne la réduction du délai entre la publication d'une faille et sa tentative d'exploitation. En conséquence, nous avons prévu de revoir prochainement nos processus de mise à jour de sécurité afin d'en optimiser la réactivité tout en maintenant la stabilité du service.

Nous avons le plaisir de vous informer que le service de la forge institutionnelle INRAE est désormais de nouveau pleinement opérationnel. Des ajustements complémentaires pourront être déployés dans les prochains jours.

Nous sommes conscients de l'impact de cette interruption sur vos activités et vous remercions de votre compréhension. La disponibilité et la sécurité de cet outil essentiel à nos travaux quotidiens restent notre priorité absolue. L'équipe forge INRAE.

Pour limiter la dégradation du service forge par les flux des robots IA, des limites de fréquences de requêtes anonymes par IP ont été mises en place (100 requêtes / 10 mn pour les requêtes à l'interface web - idem pour les appels à l'API).

Les Conditions Générales d'Utilisation (CGU) de la Forge logicielle INRAE sont mises à jour à compter du 30 juin 2026.

Cette révision apporte trois évolutions majeures : la formalisation de la notion de GROUPE comme espace de travail structurant, l'arrêt programmé de la messagerie Mattermost, et une clarification des responsabilités en matière de sauvegarde.

La forge logicielle institutionnelle INRAE, déployée sur une instance GitLab Community Edition auto-hébergée, constitue aujourd'hui un pilier de la stratégie numérique et de la collaboration scientifique de l'institut.
Après une phase de déploiement marquée par une adoption croissante des communautés de recherche, nous vous proposons un point d'étape complet, avec un bilan opérationnel et un calendrier des chantiers à venir.

Deux échéances importantes arrivent à terme très prochainement : les arrêts de la forge ex-Irstea et de la messagerie Mattermost. Voici un point de situation.

Forge INRAE passera à la version 19.0 de Gitlab courant juillet. Cette version supprime plusieurs fonctionnalités dépréciées. Voici une liste des changements cassants qui pourraient impacter nos utilisateurs :

• Suppression de Mattermost
• Suppression de l'autorisation OAuth Resource Owner Password Credentials (ROPC)
• Remplacement de l'image heroku/builder:22 par heroku/builder:24
• Suppression de l'intégration pour les commandes slash Slack
• Fin de la prise en charge des mots de passe d'application de l'importation Bitbucket Cloud via l'API
• Suppression de l'onglet Tendance de la page Explorer les projets
• Suppression de la mutation GraphQL ciJobTokenScopeAddProject

Pour plus d'informations, vous trouverez un guide complet sur le blog de Gitlab.com.

Comme indiqué dans le précédent article, le passage à la version 19.0 de Gitlab marquera également la fin de l'instance Mattermost https://chat.forge.inrae.fr.

Comme évoqué dans une précédente communication, des évolutions de l’offre de Mattermost étaient à prévoir.

À regret, nous vous annonçons aujourd’hui la fermeture prochaine du service https://chat.forge.inrae.fr, en raison d'un changement des conditions applicables à la version gratuite.

Cette fermeture interviendra le 31 juillet à 12h. Après cette date, aucune donnée de l'application ne sera plus accessible.

Une note d’accompagnement est disponible, afin de faciliter la transition vers Tchap, si vous souhaitez l’utiliser comme outil de messagerie instantanée.

Le service d'authentification de la forge est en mode dégradé depuis le 08/01. La première authentification produit une erreur (voir image ci-dessous) mais si vous tentez de nouveau d'accéder à la forge, avec la même page du navigateur, cela fonctionne. Ça fonctionne aussi si vous vous authentifiez sur une application raccordée au SSO INRAE et qu'ensuite vous tentez d'accéder à la forge.

Les équipes DSI et forge travaillent à la résolution de ce problème.

Merci de votre compréhension.

Après 10 ans de bons et loyaux services, la forge institutionnelle de feu Irstea baissera le rideau le 30 juin 2026 prochain. Devenue redondante avec la forge MIA, qui a depuis évolué en forge d'institutionnelle d'INRAE, elle n'était maintenue en fonctionnement qu'a minima.

Nous vous invitons donc à migrer tous vos projets sur la forge institutionnelle INRAE. Il n'est malheureusement pas possible de migrer automatiquement tous les projets. Toutefois l'équipe de la forge a testé différents scénarios de migration et a redigé un guide de migration.

Au 1er juillet 2026, gitlab.irstea.fr sera fermé, une dernière sauvegarde complète sera effectuée, les projets non archivés seront exportés individuellement, et conservés un an en cas de besoin. Les exports individuels ne contiennent pas tous les éléments du projet : il vaut mieux migrer les projets en utilisant la méthode conseillée ci-dessus.

L'équipe du support reste bien sûr à votre écoute si vous avez des questions ou éprouvez des difficultés à effectuer des migrations.

Nous vous présentons en avant première la nouvelle identité visuelle de Forge INRAE. Ce nouveau logo va prochainement remplacer le logo par défaut de Gitlab.