Aller au contenu
KLYNLABS

LNbits : le paquet 1.7.0rc2 est sur PyPI, l’ordre d’arrêt tient

Kelvyn4 min de lecture
Cadenas sur un réseau, illustration d’une alerte qui concerne un logiciel de paiement

Photo : Illustration générée par IA (Google Flow)

Le 9 novembre 2026, à 14 h 46 UTC, l’index PyPI a reçu le paquet Python lnbits en version 1.7.0rc2, alors que le compte du projet demandait toujours d’arrêter tous les serveurs. Le wheel est arrivé à 14 h 46 min 49 s UTC, l’archive source deux secondes plus tard. À 14 h 44 min 29 s UTC, la branche dev du dépôt lnbits/lnbits avait reçu le commit 190c8ce, qui passe le numéro de version à 1.7.0rc2.

Un candidat sur PyPI, pas la version de la page Releases

La fiche générale du projet sur PyPI indique toujours 1.6.2 comme version stable. Ce paquet a été envoyé le 18 septembre 2026, à 13 h 43 UTC. Le même jour, à 13 h 58 UTC, la page Releases a publié la 1.6.2, un correctif de sauvegarde PostgreSQL nommé Tal. La branche main, au commit 9349da du 18 septembre à 13 h 41 UTC, est celle de cette version. Elle n’a pas reçu les commits du 9 novembre.

Sur dev, deux commits du jour portent dans leur titre sur un durcissement des requêtes sortantes. Le compte arcbtc, celui de Ben Arc, les a fusionnés à 12 h 26 min 35 s UTC, dans la pull request 4310, et à 14 h 22 min 08 s UTC, dans la pull request 4313. Le changement de numéro, pull request 4315, vient du compte motorina0, à 14 h 44 min 30 s UTC. Rien, dans ces messages, ne dit que les retraits du 8 novembre sont clos, ni que les serveurs peuvent redémarrer.

KLYNLABS avait écrit, le 9 novembre vers 12 h 09 UTC, qu’aucun commit n’était arrivé depuis le 8 novembre et que la version publique restait la 1.6.2. C’était exact à cette heure. Le premier des trois commits est postérieur, à 12 h 26 UTC. Voir aussi l’alerte BTCPay Server.

L’étiquette v1.7.0-rc2 ne contient pas le code du jour

L’étiquette git v1.7.0-rc2 pointe vers le commit 57b88df du 29 octobre 2026, à 11 h 15 UTC. Le fichier de version de ce commit indique 1.7.0-rc1, pas 1.7.0-rc2. L’étiquette annotée v1.7.0-rc1, posée le 29 octobre à 11 h 16 UTC, vise le même commit. La branche dev a 23 commits d’avance. Seuls les trois du 9 novembre sont datés après le 8 novembre.

Prendre la dernière entrée de la page Releases, ou extraire l’étiquette nommée v1.7.0-rc2, ne donne donc pas le code déposé sur PyPI à 14 h 46.

La documentation d’installation sur dev décrit une protection des requêtes sortantes pour Docker. La commande affichée télécharge un script depuis la branche main. Vers 15 h UTC, ce fichier répondait 404 sur main et existait sur dev. Les avis de sécurité du dépôt n’ont pas d’entrée du jour : les deux fiches publiques datent du 6 avril 2025 et du 14 juin 2024.

Le compte public n’a pas annulé l’arrêt

Ben Arc a écrit le 8 novembre 2026, à 13 h 59 UTC : « Patches should be merged and available within 24-48hrs. » Depuis ce message, le créneau va environ jusqu’à 14 h UTC le 10 novembre 2026. Des commits ont été fusionnés dans l’intervalle. Une fusion sur dev et un candidat sur PyPI ne sont pas la version que la page Releases propose, et le message ne disait pas que l’arrêt serait levé tout seul.

La page publique du compte LNbits, lue le 9 novembre vers 15 h 05 UTC, montrait encore en tête l’ordre d’arrêter tous les serveurs, publié le 8 novembre à 13 h 56 UTC, et le message de 17 h 18 UTC sur la coupure de my.lnbits.com. Ce texte annonce une reprise sous 24 heures, donc vers 17 h 18 UTC le 9 novembre. Le délai n’était pas échu. Aucun message affiché sur cette page n’annule l’ordre.

Le site my.lnbits.com répondait HTTP 200. Last-Modified indiquait le 8 septembre 2026, et la page était servie par GitHub Pages. Une page statique qui répond ne signifie pas que les instances hébergées ont redémarré.

Sources

Tags

Partager

Cet article peut servir à quelqu'un ?

Envoyez-le à un proche en un geste, ou partagez-le sur vos réseaux. Voici la carte qui s'affichera avec votre lien.

Aperçu de la carte de partage : LNbits : le paquet 1.7.0rc2 est sur PyPI, l’ordre d’arrêt tient

Votre mot accompagne le lien. Modifiez-le si vous voulez.

À lire ensuite