Sur le réseau Tor, on peut tomber sur une page du projet F-Droid qui ne ressemble pas à une simple vitrine : c’est un appel à la rescousse, mêlé à une démonstration technique d’une rigueur quasi religieuse. Le site explique en détail comment il reproduit les APK d’applications Android à partir du code source, pour s’assurer que rien n’a été modifié entre le développement original et la version installée.

L’idée, appelée « reproducible builds », est simple en théorie : si chacun peut reconstruire le même binaire à partir du même code, alors on peut vérifier qu’aucune main cachée n’a glissé une backdoor. F-Droid va plus loin : il copie les signatures numériques des développeurs originaux, les colle sur ses propres builds, et vérifie que tout correspond. C’est un équilibre délicat entre confiance au développeur et contrôle indépendant.

Le contexte est tendu : Google modifie les mécanismes d’installation d’applications sur Android, ce qui pourrait fragiliser les alternatives comme F-Droid. Le site ne crie pas au loup, mais il montre chaque étape de son processus : outils, métadonnées, signatures v1, v2, v3, et même la gestion des timestamps dans les ZIP. C’est technique, précis, et pourtant accessible.

Ce qui frappe, c’est le ton : pas de provocation, pas de discours politique, juste une démonstration de transparence. Le projet ne vend rien, ne promotionne pas de service, mais défend un principe : la reproductibilité comme preuve d’innocence. Dans un monde où chaque mise à jour peut cacher une trahison, cette page est une petite forteresse de confiance.

Elle fait pensir à un document d’archive technique, sauvée d’un temps où l’open source était encore une promesse plus qu’une norme. Un témoignage vivant de ce que peut être Internet quand il décide de se faire vérifier.