Et si le refus de la PSF annonçait la fin des subventions conditionnées dans le monde open source ?
La Python Foundation refuse une subvention de 1,5 million de dollars pour sécuriser son écosystème afin de défendre la diversité :
la NSF a intégré une clause interdisant les programmes liés à la DEI
La PSF avait soumis un projet destiné à améliorer la sécurité de l’écosystème Python — notamment du dépôt de paquets PyPI — dans le but de mieux prévenir les attaques sur la chaîne d’approvisionnement. Selon un article publié par LWN.net, le montant envisagé atteignait 1,5 million $ et il était destiné à « address structural vulnerabilities in Python and PyPI ». Cependant, la proposition de financement comportait une clause selon laquelle la PSF ne devait pas poursuivre certains programmes de DEI (« diversity, equity, inclusion »). Trouvant que cette condition était contraire à sa mission, l’organisation a choisi de retirer sa proposition plutôt que d’accepter les modalités.
Contexte
Le projet visait à passer d’un mode réactif de revue des paquets PyPI à un mode proactif, en automatisant la vérification de tous les paquets uploadés dans le dépôt, plutôt que d’attendre qu’un incident survienne.
Cette approche répond à une problématique bien réelle : dans un langage très répandu comme Python, avec des milliers de paquets tiers, les vulnérabilités de chaîne d’approvisionnement (supply-chain) représentent un risque majeur pour les entreprises, les infrastructures critiques et les développeurs individuels. En abandonnant ce financement, la PSF renonce donc potentiellement à un soutien significatif pour améliorer cette sécurité.
Du projet de financement à la rupture entre la Python Foundation et la NSF
L’origine du projet : sécuriser l’écosystème Python
Depuis plusieurs années, la PSF cherche à renforcer la sécurité de PyPI, le dépôt officiel des paquets Python. Avec plus de 500 000 packages et des milliards de téléchargements mensuels, PyPI est devenu une cible privilégiée pour les attaques de type supply-chain (insertion de code malveillant dans des dépendances).
La PSF élabore donc un projet ambitieux : automatiser la vérification des paquets, détecter les anomalies avant publication et réduire la dépendance à la surveillance manuelle. Pour financer cette modernisation, la fondation répond à un appel à projets de la National Science Foundation (NSF) américaine, une agence publique réputée pour soutenir des initiatives scientifiques et technologiques à fort impact.
La proposition de financement : 1,5 million $ pour PyPI
Au printemps 2025, la PSF soumet à la NSF une proposition budgétée à 1,5 million de dollars, centrée sur la résilience de PyPI et la sécurité de la chaîne logicielle Python.
Les premières discussions sont positives : le projet est techniquement solide, aligné avec les priorités fédérales en matière de cybersécurité. Des ingénieurs de la PSF et des mainteneurs de PyPI commencent même à planifier les premières étapes du programme, en imaginant des outils d’analyse automatisée et des audits continus.
Mais un détail administratif attire bientôt l’attention : le contrat de financement contient une clause limitant les activités de diversité, équité et inclusion (DEI) au sein de l’organisation bénéficiaire.
La découverte de la clause anti-DEI
La clause stipule que les fonds ne peuvent pas être utilisés ou mélangés avec des programmes promouvant la diversité, l’équité ou l’inclusion, et qu’aucune action institutionnelle ne doit « explicitement soutenir ou favoriser » ce type de programme. Autrement dit, accepter la subvention reviendrait pour la PSF à renoncer à une partie de ses activités DEI, ou à isoler strictement celles-ci des projets financés par la NSF.
Or, la diversité fait partie intégrante de la mission de la fondation, inscrite dans ses statuts : favoriser un écosystème ouvert à tous, indépendamment du genre, de la culture ou du niveau d’expertise.
Les délibérations internes : éthique ou pragmatismeEnvoyé par NSF
À partir de là, le conseil d’administration de la PSF se réunit à plusieurs reprises pour évaluer les implications.
Certains membres plaident pour une approche pragmatique : accepter le financement tout en garantissant que les activités DEI continuent via d’autres ressources. D’autres estiment qu’un tel compromis enverrait un message contradictoire à la communauté.
Des discussions sont également engagées avec la NSF pour tenter d’obtenir une clarification ou une levée partielle de la restriction. Les échanges restent cordiaux, mais la clause n’est pas modifiée.
Le retrait officiel de la proposition
En octobre 2025, la PSF publie une déclaration officielle : elle retire sa proposition de financement. Dans son communiqué, la fondation déclare être « profondément déçue » mais fidèle à ses principes. Elle précise que la décision n’est pas dirigée contre la NSF, mais qu’elle refuse toute condition « incompatible avec les valeurs d’ouverture et de diversité qui définissent la communauté Python ».
Pourquoi la PSF a-t-elle rejeté la subvention ?
Au cœur de la décision se trouve la clause imposée : accepter ce financement signifiait que l’organisation devait s’abstenir de mener certains programmes de DEI. Pour une entité comme la PSF, dont la gouvernance, la communauté et les valeurs incluent la promotion de l’inclusion et de la diversité, accepter cette condition aurait été un compromis éthique ou stratégique majeur.
La PSF a expliqué qu’elle était « déçue d’être dans cette position », mais que « nous avons estimé que notre projet proposé offrirait d’innombrables progrès pour la communauté Python et open-source, protégeant des millions d’utilisateurs de PyPI » — tout en estimant que refuser les conditions était préférable.
Autrement dit, la décision n’est pas motivée uniquement par le montant ou par le projet technique, mais par l’alignement entre mission et conditions externes de financement.
Voici un extrait du billet de Loren Crary :
Nous avons été honorés lorsque, après plusieurs mois de travail, notre proposition a été recommandée pour un financement, d'autant plus que seuls 36 % des nouveaux candidats à une subvention de la NSF sont retenus dès leur première tentative. Nous avons toutefois commencé à nous inquiéter lorsque nous avons pris connaissance des conditions que nous devions accepter pour obtenir cette subvention. Ces conditions comprenaient notamment l'affirmation que « nous ne menons et ne mènerons, pendant la durée de cette aide financière, aucun programme visant à promouvoir ou à encourager la DEI (diversité, équité et inclusion) ou une idéologie discriminatoire en matière d'équité, en violation des lois fédérales anti-discrimination ».
Cette restriction s'appliquerait non seulement aux activités de sécurité directement financées par la subvention, mais aussi à toutes les activités de la PSF dans son ensemble. En outre, la violation de cette condition donnait à la NSF le droit de « récupérer » les fonds précédemment approuvés et transférés. Cela créerait une situation dans laquelle l'argent que nous avions déjà dépensé pourrait être récupéré, ce qui constituerait un risque financier énorme et illimité.
La diversité, l'équité et l'inclusion sont au cœur des valeurs de la PSF, comme le stipule notre déclaration de mission :
« La mission de la Python Software Foundation est de promouvoir, protéger et faire progresser le langage de programmation Python, ainsi que de soutenir et faciliter la croissance d'une communauté diversifiée et internationale de programmeurs Python. »
Compte tenu de la valeur de la subvention pour la communauté et la PSF, nous avons fait tout notre possible pour clarifier les conditions et trouver un moyen d'aller de l'avant en accord avec nos valeurs. Nous avons consulté nos contacts à la NSF et examiné les décisions prises par d'autres organisations dans des circonstances similaires, en particulier The Carpentries.
En fin de compte, cependant, la PSF ne peut tout simplement pas accepter une déclaration selon laquelle nous ne mènerons aucun programme visant à « faire progresser ou promouvoir » la diversité, l'équité et l'inclusion, car cela reviendrait à trahir notre mission et notre communauté.
Réactions de la communauté : deux camps s'opposent
La décision de la Python Software Foundation (PSF) de refuser 1,5 million $ de financement illustre une tension ancienne mais rarement assumée : faut-il privilégier les valeurs fondatrices de l’open-source ou accepter des compromis stratégiques pour accélérer le progrès technique ?
Le camp des « pragmatiques » : l’efficacité avant tout
Pour les pragmatiques, la décision de la PSF s’apparente à une erreur stratégique. Dans un écosystème où la sécurité logicielle est devenue une urgence mondiale, refuser un tel financement revient à priver la communauté d’un projet crucial pour la protection de millions d’utilisateurs.
Selon eux, l’objectif de la subvention — renforcer la sécurité de PyPI et la résilience de la chaîne d’approvisionnement logicielle — devait primer sur les considérations politiques.
Beaucoup estiment que la DEI, bien que noble dans son intention, ne devrait pas interférer avec la mission technique d’une fondation. Dans ce camp, certains développeurs jugent que la PSF aurait pu accepter la subvention, puis financer ses propres programmes de diversité par d’autres canaux. D’autres soulignent que le refus d’un financement public pour des raisons idéologiques pourrait donner une image d’instabilité ou d’élitisme au sein de la communauté Python.
En résumé, pour eux : refuser 1,5 million de dollars, c’est laisser de côté la possibilité d’un progrès concret pour défendre un symbole abstrait.
Le camp des « principiels » : la cohérence avant le confort
À l’inverse, les partisans de la décision de la PSF y voient un acte de résistance morale et institutionnelle.
Ils rappellent que la mission de la Python Software Foundation ne se limite pas à l’évolution du langage ou à la gestion de PyPI ; elle inclut la promotion d’une communauté ouverte, inclusive et équitable. Accepter un financement conditionné à l’abandon de programmes DEI reviendrait à valider une ingérence politique dans la gouvernance d’un projet open-source, ouvrant la voie à d’autres restrictions futures.
Pour ces défenseurs, le message envoyé est puissant : les valeurs communautaires ne sont pas à vendre. Ils soulignent aussi que la diversité et l’inclusion ne sont pas des « luxes moraux », mais des leviers d’innovation : des équipes plus diverses produisent souvent des solutions plus robustes et plus universelles.
Ainsi, pour les principiels, la PSF a protégé l’âme du projet Python, même au prix d’un sacrifice financier. Mieux vaut perdre un financement que perdre la confiance de la communauté.
Entre les deux : une fracture symbolique de l’époque
Cette controverse dépasse largement la PSF. Elle révèle un changement de climat dans l’open-source, où les débats éthiques, sociaux et politiques s’invitent de plus en plus dans des domaines traditionnellement neutres. Les subventions publiques ou privées ne sont plus de simples aides financières ; elles deviennent des instruments de pouvoir idéologique, que ce soit pour imposer ou interdire la diversité.
Le cas Python pourrait ainsi devenir un précédent, obligeant d’autres fondations (Mozilla, Linux Foundation, Apache) à se positionner plus clairement sur la nature des fonds qu’elles acceptent.
Du côté des institutions, la NSF n’a pas commenté publiquement l’affaire, se limitant à rappeler que chaque financement doit respecter les lignes directrices fixées par le Congrès américain.Mais dans les médias tech, la décision est perçue comme un tournant symbolique. Certains analystes y voient une dérive inquiétante : la politisation croissante des subventions publiques dans la recherche technologique. D’autres saluent la PSF comme l’une des rares organisations à oser tracer une frontière nette entre valeurs communautaires et impératifs financiers.
Les suites : quête d’alternatives et solidarité communautaire
La PSF a lancé des discussions avec d’autres bailleurs : fondations philanthropiques, acteurs privés du cloud, géants de la tech utilisant massivement Python (AWS, Google, Microsoft). Des membres de la communauté proposent également un crowdfunding pour soutenir le développement du projet PyPI Secure Infrastructure. Le message sous-jacent est clair : si les financements institutionnels imposent des conditions idéologiques, la communauté saura s’auto-financer.
Sources : Python Software Foundation, NSF
Et vous ?
La PSF a-t-elle eu raison de privilégier la cohérence éthique au détriment d’un gain technique immédiat ? Pourquoi ?
Répondre avec citation
Partager