Un correctif de sécurité Node.js, et le renouvellement de vos identifiants HonkIO

Le 21 octobre, le projet Node.js a publié un correctif pour la CVE-2026-111497, une faille dans le code de décompression Brotli fourni avec Node.js. Une donnée compressée malveillante peut permettre à un attaquant d'exécuter du code sur le serveur qui la décompresse, et une preuve de concept est publique. L'API HonkIO, le tableau de bord et le serveur MCP hébergé fonctionnent tous avec Node.js.

Ce que nous avons fait

• Correctif appliqué : nos trois services fonctionnaient avec la version corrigée, Node.js 22.23.4, le 23 octobre.
• Renouvellement : nous avons remplacé les secrets et identifiants internes de nos services.
• Déconnexion de tous : nous avons mis fin à toutes les sessions du tableau de bord, il vous faudra donc vous reconnecter. Vos clés API et vos applications connectées n'ont pas été touchées.

Ce que nous recommandons

Nous n'avons aucune raison de croire que vos identifiants ont été exposés. Mais la faille permettait d'exécuter du code sur un serveur, et deux jours ont séparé sa divulgation de notre correctif. Nous vous recommandons donc de remplacer les identifiants que vous détenez chez nous. Cela prend quelques minutes et peut se faire sans interruption de service.

Clés API

Pour remplacer une clé en service sans interruption :

• Créez une nouvelle clé sur la page Clés API, avec les mêmes permissions que l'ancienne.
• Déployez la nouvelle clé partout où l'ancienne est utilisée.
• Surveillez la date de dernière utilisation de l'ancienne clé, sur la même page. Quand elle ne change plus, révoquez l'ancienne clé.

Le bouton Renouveler de cette page fonctionne aussi, mais il révoque l'ancienne clé au moment même où il affiche la nouvelle : les requêtes faites avec l'ancienne échouent jusqu'à ce que la nouvelle soit déployée. Il convient à une clé que vous pouvez remplacer en une seule étape, comme une clé conservée dans une seule variable d'environnement.

Une clé qui appartient à une application connectée par ouverture de session, comme un agent IA, ne peut pas être renouvelée. Révoquez-la, puis connectez l'application de nouveau.

Secrets de signature des webhooks

Sur la page Webhooks, choisissez Renouveler le secret pour chaque endpoint, puis mettez à jour le secret avec lequel votre endpoint vérifie les signatures. Les SDK le font aussi : rotateSecret en Node.js et en PHP, rotate_secret en Python.

L'ancien secret cesse de signer immédiatement. Pendant la transition, assurez-vous que votre endpoint répond par une erreur à toute livraison qu'il ne peut pas vérifier, au lieu de l'accepter. Nous réessayons les livraisons refusées, la première fois une minute plus tard, et chaque nouvelle tentative est signée avec le nouveau secret : aucun événement n'est perdu.

Votre mot de passe

Changer votre mot de passe est facultatif. Si vous le faites, utilisez Changer le mot de passe dans les Paramètres. Cela déconnecte aussi les applications connectées par ouverture de session, qu'il faudra connecter de nouveau.

Si vous exécutez le serveur MCP vous-même

Si vous lancez @honkio/mcp avec npx, il fonctionne avec votre propre Node.js. Mettez-le à jour vers 22.23.4, 24.22.1, 26.12.1 ou une version plus récente. Le serveur hébergé à mcp.honkio.ca est déjà à jour.

Pour toute question, écrivez-nous par la page de contact.