File Browser : une interface web de fichiers qui s'arrête en septembre 2026
filebrowser/filebrowser offre une implémentation open source exploitable en conditions réelles avec une structure réutilisable.
En bref
- De quoi s’agit-il ?
- Le projet filebrowser/filebrowser, 35 000 étoiles et une interface d'administration de fichiers en Go, est archivé le 1er septembre 2026. Le README d'adieu documente deux classes de failles non corrigées et un protocole de survie pour qui continue à l'exécuter.
- À qui s’adresse-t-il ?
- File Browser reste utilisable sur un réseau local, derrière un reverse proxy avec TLS et sa propre authentification, pour qui accepte de faire tourner un logiciel sans correctifs futurs. Il ne convient pas à un service exposé sur Internet ni à un environnement où la traçabilité des sessions compte.
- Puis-je l’utiliser commercialement ?
- Oui. Apache-2.0 est une licence permissive : vous pouvez utiliser, modifier et vendre un logiciel qui en dépend, à condition de conserver les mentions de droit d’auteur et de licence.
- Est-il encore maintenu ?
- Non. Les propriétaires ont archivé le dépôt sur GitHub : il est en lecture seule et ne reçoit plus de modifications.
- En quel langage est-il écrit ?
- Principalement Go, d’après les statistiques de langage de GitHub.
Ces réponses reposent sur les données GitHub du projet (dernière synchronisation le 14 septembre 2026) et sur notre analyse. Elles ne constituent pas un avis juridique.
ANALYSE OPEN SOURCE APPROFONDIE
Un archivage programmé au 1er septembre 2026
L'avertissement en tête du README ne laisse aucune ambiguïté : File Browser est archivé le 1er septembre 2026, la dernière version prévue est déjà sortie, et il n'y aura plus de releases, de corrections de bugs ni de correctifs de sécurité. L'auteur d'origine, Henrique Dias, raconte l'histoire de cette décision dans un billet de juillet 2026, « Goodbye File Browser, for Real This Time », lié depuis le README.
Les chiffres rendent l'annonce spectaculaire : 35 963 étoiles, 4 034 forks, et un rythme de publication soutenu jusqu'au bout, avec les versions v2.63.21, v2.63.22 et v2.63.23 livrées entre le 26 et le 27 juillet 2026. Le projet n'est pas mort de manque d'usage mais d'épuisement du maintien, et le README tourne résolument la page en expliquant comment vivre avec un logiciel qui ne bougera plus.
Le principe : un répertoire servi par une interface web
Fonctionnellement, File Browser fournit une interface de gestion de fichiers dans un répertoire désigné, avec téléversement, suppression, prévisualisation et édition. Le README le range dans la catégorie des logiciels de cloud maison : on l'installe sur un serveur, on le pointe vers un chemin, et les fichiers deviennent accessibles par une interface web. Un binaire écrit en Go, une configuration minimale, et la promesse tient.
Cette simplicité explique sa longévité dans les homelabs et les serveurs personnels. La documentation d'installation, de configuration et de build vit dans le répertoire docs du dépôt, et CONTRIBUTING.md décrit la construction du projet, un repère qui reste utile précisément à cause de l'archivage : toute suite du projet passera par un fork, et ces pages constituent le point de départ documenté pour cela.
Le runner de commandes : une classe de failles assumée
La section Security du README d'adieu est inhabituelle : elle liste ce qui ne sera jamais corrigé. Premier dossier, l'exécution de commandes, le runner et les hooks. Le README reconnaît que cette fonctionnalité a accumulé des vulnérabilités à travers de nombreux advisories publiés, qu'un correctif exigerait une réécriture complète, et qu'elle restera donc en l'état. La fonction est désactivée par défaut.
La consigne est claire : ne la réactivez pas. Si vous le faites malgré tout avec --disable-exec=false, le README demande de considérer cette capacité comme équivalente à un accès shell sur l'hôte. L'issue 5199 et le document docs/command-execution.md servent de référence. Pour un évaluateur, ce point résume l'état du projet : une surface d'attaque documentée, un correctif hors de portée, et une ligne de conduite qui consiste à ne pas y toucher.
Des sessions JWT irrévocables jusqu'à expiration
Deuxième classe de problèmes non corrigée : la gestion des sessions. Les sessions sont des JWT autonomes plutôt que des identifiants côté serveur, donc elles ne peuvent pas être révoquées. Le README en tire les conséquences sans fard : déconnexion, changement de mot de passe et renouvellement laissent les jetons déjà émis valides jusqu'à leur expiration, et un même refresh token peut être échangé de façon répétée.
Le conseil qui suit résume tout : considérez qu'un jeton divulgué est valide jusqu'à expiration, point. L'issue 5216 documente le problème. En pratique, cela rend les bonnes pratiques d'exploitation encore plus importantes : des durées de session courtes, des mots de passe forts, et surtout aucune exposition directe sur Internet, puisque personne ne viendra patcher une fuite découverte après septembre 2026.
Le protocole de survie du README pour continuer à l'exécuter
Pour qui garde File Browser en service, le README donne trois règles. Ne pas l'exposer directement sur Internet, mais le placer derrière un reverse proxy qui termine le TLS et effectue sa propre authentification. Garder le runner de commandes désactivé, son état par défaut. L'exécuter sans privilèges, dans un conteneur, avec seul le répertoire à servir monté dedans.
Ces trois lignes tracent le profil d'utilisateur légitime : un auto-hébergeur averti sur un réseau de confiance, pas une organisation. À cela s'ajoute la licence Apache 2.0, signée File Browser Contributors, qui autorise explicitement la fourche et la redistribution. Les 4 034 forks déjà comptés montrent que la relève s'organise ; vérifier l'activité réelle d'un fork, commits et issues, reste toutefois le seul moyen de savoir lequel mérite une migration.
Conclusion éditoriale
File Browser reste utilisable sur un réseau local, derrière un reverse proxy avec TLS et sa propre authentification, pour qui accepte de faire tourner un logiciel sans correctifs futurs. Il ne convient pas à un service exposé sur Internet ni à un environnement où la traçabilité des sessions compte. Avant toute chose, lisez la page security advisories du dépôt et les issues 5199 et 5216 : elles décrivent précisément les risques que vous acceptez en conservant ce binaire.
Notes de la communauté