La Python Foundation refuse une subvention de 1,5 million de dollars pour sécuriser son écosystème afin de défendre la diversité : la NSF a intégré une clause interdisant les programmes liés à la DEI

La PSF avait soumis un projet destiné à améliorer la sécurité de l’écosystème Python — notamment du dépôt de paquets PyPI — dans le but de mieux prévenir les attaques sur la chaîne d’approvisionnement. Selon un article publié par LWN.net, le montant envisagé atteignait 1,5 million $ et il était destiné à « address structural vulnerabilities in Python and PyPI ». Cependant, la proposition de financement comportait une clause selon laquelle la PSF ne devait pas poursuivre certains programmes de DEI (« diversity, equity, inclusion »). Trouvant que cette condition était contraire à sa mission, l’organisation a choisi de retirer sa proposition plutôt que d’accepter les modalités.

Contexte

Le projet visait à passer d’un mode réactif de revue des paquets PyPI à un mode proactif, en automatisant la vérification de tous les paquets uploadés dans le dépôt, plutôt que d’attendre qu’un incident survienne.

Cette approche répond à une problématique bien réelle : dans un langage très répandu comme Python, avec des milliers de paquets tiers, les vulnérabilités de chaîne d’approvisionnement (supply-chain) représentent un risque majeur pour les entreprises, les infrastructures critiques et les développeurs individuels. En abandonnant ce financement, la PSF renonce donc potentiellement à un soutien significatif pour améliorer cette sécurité.

Du projet de financement à la rupture entre la Python Foundation et la NSF

L’origine du projet : sécuriser l’écosystème Python

Depuis plusieurs années, la PSF cherche à renforcer la sécurité de PyPI, le dépôt officiel des paquets Python. Avec plus de 500 000 packages et des milliards de téléchargements mensuels, PyPI est devenu une cible privilégiée pour les attaques de type supply-chain (insertion de code malveillant dans des dépendances).

La PSF élabore donc un projet ambitieux : automatiser la vérification des paquets, détecter les anomalies avant publication et réduire la dépendance à la surveillance manuelle. Pour financer cette modernisation, la fondation répond à un appel à projets de la National Science Foundation (NSF) américaine, une agence publique réputée pour soutenir des initiatives scientifiques et technologiques à fort impact.

La proposition de financement : 1,5 million $ pour PyPI

Au printemps 2025, la PSF soumet à la NSF une proposition budgétée à 1,5 million de dollars, centrée sur la résilience de PyPI et la sécurité de la chaîne logicielle Python.

Les premières discussions sont positives : le projet est techniquement solide, aligné avec les priorités fédérales en matière de cybersécurité. Des ingénieurs de la PSF et des mainteneurs de PyPI commencent même à planifier les premières étapes du programme, en imaginant des outils d’analyse automatisée et des audits continus.

Mais un détail administratif attire bientôt l’attention : le contrat de financement contient une clause limitant les activités de diversité, équité et inclusion (DEI) au sein de l’organisation bénéficiaire.

La découverte de la clause anti-DEI

La clause stipule que les fonds ne peuvent pas être utilisés ou mélangés avec des programmes promouvant la diversité, l’équité ou l’inclusion, et qu’aucune action institutionnelle ne doit « explicitement soutenir ou favoriser » ce type de programme. Autrement dit, accepter la subvention reviendrait pour la PSF à renoncer à une partie de ses activités DEI, ou à isoler strictement celles-ci des projets financés par la NSF.

Or, la diversité fait partie intégrante de la mission de la fondation, inscrite dans ses statuts : favoriser un écosystème ouvert à tous, indépendamment du genre, de la culture ou du niveau d’expertise.

Les délibérations internes : éthique ou pragmatisme

À partir de là, le conseil d’administration de la PSF se réunit à plusieurs reprises pour évaluer les implications.

Certains membres plaident pour une approche pragmatique : accepter le financement tout en garantissant que les activités DEI continuent via d’autres ressources. D’autres estiment qu’un tel compromis enverrait un message contradictoire à la communauté.

Des discussions sont également engagées avec la NSF pour tenter d’obtenir une clarification ou une levée partielle de la restriction. Les échanges restent cordiaux, mais la clause n’est pas modifiée.

Le retrait officiel de la proposition

En octobre 2025, la PSF publie une déclaration officielle : elle retire sa proposition de financement. Dans son communiqué, la fondation déclare être « profondément déçue » mais fidèle à ses principes. Elle précise que la décision n’est pas dirigée contre la NSF, mais qu’elle refuse toute condition « incompatible avec les valeurs d’ouverture et de diversité qui définissent la communauté Python ».


Pourquoi la PSF a-t-elle rejeté la subvention ?

Au cœur de la décision se trouve la clause imposée : accepter ce financement signifiait que l’organisation devait s’abstenir de mener certains programmes de DEI. Pour une entité comme la PSF, dont la gouvernance, la communauté et les valeurs incluent la promotion de l’inclusion et de la diversité, accepter cette condition aurait été un compromis éthique ou stratégique majeur.

La PSF a expliqué qu’elle était « déçue d’être dans cette position », mais que « nous avons estimé que notre projet proposé offrirait d’innombrables progrès pour la communauté Python et open-source, protégeant des millions d’utilisateurs de PyPI » — tout en estimant que refuser les conditions était préférable.

Autrement dit, la décision n’est pas motivée uniquement par le montant ou par le projet technique, mais par l’alignement entre mission et conditions externes de financement.

Voici un extrait du billet de Loren Crary :

Nous avons été honorés lorsque, après plusieurs mois de travail, notre proposition a été recommandée pour un financement, d'autant plus que seuls 36 % des nouveaux candidats à une subvention de la NSF sont retenus dès leur première tentative. Nous avons toutefois commencé à nous inquiéter lorsque nous avons pris connaissance des conditions que nous devions accepter pour obtenir cette subvention. Ces conditions comprenaient notamment l'affirmation que « nous ne menons et ne mènerons, pendant la durée de cette aide financière, aucun programme visant à promouvoir ou à encourager la DEI (diversité, équité et inclusion) ou une idéologie discriminatoire en matière d'équité, en violation des lois fédérales anti-discrimination ».

Cette restriction s'appliquerait non seulement aux activités de sécurité directement financées par la subvention, mais aussi à toutes les activités de la PSF dans son ensemble. En outre, la violation de cette condition donnait à la NSF le droit de « récupérer » les fonds précédemment approuvés et transférés. Cela créerait une situation dans laquelle l'argent que nous avions déjà dépensé pourrait être récupéré, ce qui constituerait un risque financier énorme et illimité.

La diversité, l'équité et l'inclusion sont au cœur des valeurs de la PSF, comme le stipule notre déclaration de mission :

« La mission de la Python Software Foundation est de promouvoir, protéger et faire progresser le langage de programmation Python, ainsi que de soutenir et faciliter la croissance d'une communauté diversifiée et internationale de programmeurs Python. »

Compte tenu de la valeur de la subvention pour la communauté et la PSF, nous avons fait tout notre possible pour clarifier les conditions et trouver un moyen d'aller de l'avant en accord avec nos valeurs. Nous avons consulté nos contacts à la NSF et examiné les décisions prises par d'autres organisations dans des circonstances similaires, en particulier The Carpentries.

En fin de compte, cependant, la PSF ne peut tout simplement pas accepter une déclaration selon laquelle nous ne mènerons aucun programme visant à « faire progresser ou promouvoir » la diversité, l'équité et l'inclusion, car cela reviendrait à trahir notre mission et notre communauté.

Réactions de la communauté : deux camps s'opposent

La décision de la Python Software Foundation (PSF) de refuser 1,5 million $ de financement illustre une tension ancienne mais rarement assumée : faut-il privilégier les valeurs fondatrices de l’open-source ou accepter des compromis stratégiques pour accélérer le progrès technique ?

Le camp des « pragmatiques » : l’efficacité avant tout

Pour les pragmatiques, la décision de la PSF s’apparente à une erreur stratégique. Dans un écosystème où la sécurité logicielle est devenue une urgence mondiale, refuser un tel financement revient à priver la communauté d’un projet crucial pour la protection de millions d’utilisateurs.

Selon eux, l’objectif de la subvention — renforcer la sécurité de PyPI et la résilience de la chaîne d’approvisionnement logicielle — devait primer sur les considérations politiques.

Beaucoup estiment que la DEI, bien que noble dans son intention, ne devrait pas interférer avec la mission technique d’une fondation. Dans ce camp, certains développeurs jugent que la PSF aurait...