Si vous avez reçu l'avis de sécurité Supercut de novembre 2026 : ce qu'il signifie et une alternative locale

Les fondateurs de Supercut, David Okuniev et Neil Kinnish, ont écrit à leurs clients au sujet d'un problème de sécurité qu'ils indiquent avoir désormais résolu. L'avis précise ce qui a été exposé, ce que la clé pouvait et ne pouvait pas faire, et ce que l'entreprise a déjà modifié. Ce type d'information directe mérite d'être salué.

Au 11 novembre 2026, le même texte n'apparaît pas sur le blog, le journal des modifications ni le centre d'aide public de Supercut, si bien que les détails Supercut ci-dessous sont tirés de l'avis envoyé par e-mail aux clients de Supercut, novembre 2026. Blacksmith, l'outil de compilation CI nommé dans cet avis, a bien publié une mise à jour de statut publique le 6 novembre 2026.

Si vous voulez que le prochain enregistrement reste sur votre ordinateur, et le partager via votre propre Google Drive, ScreenKite est l'option que nous recommandons.

Ce qui s'est passé

Le 5 novembre 2026, Blacksmith indique qu'une partie non autorisée a accédé au système qui stocke la sortie console (journaux de tâches) des tâches CI exécutées sur ses runners. Dans son avis de statut, Blacksmith indique que l'accès a été révoqué le jour même, qu'une tentative ultérieure de la même partie pour y revenir a été bloquée, que l'exécution CI n'a pas été affectée, et qu'il n'y avait alors aucune preuve que l'exposition des clients aille au-delà du magasin de journaux de tâches. L'incident a concerné des données de journaux appartenant à environ 2,6 % des comptes clients de Blacksmith, et Blacksmith indique avoir contacté chacun de ces clients. Son enquête était encore en cours au moment de la publication de l'avis.

L'avis envoyé par e-mail aux clients de Supercut, novembre 2026, signé par David Okuniev et Neil Kinnish, fondateurs de FloatLabs / Supercut, précise ce que cet incident a signifié pour Supercut. Il indique qu'une faille chez Blacksmith.sh, un outil qu'ils utilisent pour construire leur logiciel, a exposé l'une de leurs clés privées servant à accéder aux enregistrements. Le 8 novembre, Blacksmith les a informés que la clé de signature avait été imprimée dans cinq de leurs exécutions de déploiement entre le 29 octobre et le 4 novembre, et qu'au moins trois de ces lignes de journal avaient été renvoyées. Supercut indique avoir remplacé la clé le matin où il l'a appris, à 08:22 UTC le 8 novembre, et n'avoir trouvé aucune preuve qu'elle ait été utilisée.

Ce que cela signifie pour vous

Ces limites viennent de l'avis de Supercut, et non d'une interprétation :

• La clé aurait pu servir à créer des liens permettant de lire des fichiers d'enregistrement.
• Elle ne pouvait ni modifier ni supprimer ces fichiers.
• Ouvrir un enregistrement aurait aussi exigé les identifiants de cet enregistrement.
• La clé n'offre aucun moyen de lister les fichiers.

Supercut indique n'avoir trouvé aucun signe que la clé ait été utilisée. Le trafic et les niveaux de requêtes en échec sur le service qui délivre les enregistrements "sont restés dans la plage normale des quatre semaines précédentes, sans schéma d'exploration, d'énumération ou de téléchargement massif." Depuis le 8 novembre, l'entreprise indique consigner chaque requête. Toute requête portant l'ancienne clé a été rejetée, et toutes provenaient de liens créés plus tôt par leur propre application.

L'avis pose aussi une limite à cette conclusion : les journaux d'accès au niveau des requêtes n'étaient pas activés sur le service qui délivre les enregistrements avant le 8 novembre, "si bien que nous ne pouvons pas écarter complètement un petit nombre de requêtes ciblées avant cette date." C'est un trou dans l'historique des journaux, pas une preuve que ces requêtes ont eu lieu.

Ce que Supercut a fait

Selon le même avis, Supercut a :

• Remplacé la clé de signature et supprimé l'ancienne
• Corrigé l'étape de déploiement pour qu'elle n'imprime plus la clé
• Fait tourner de manière préventive les autres identifiants utilisés par son pipeline de déploiement
• Activé la journalisation au niveau des requêtes pour le service qui délivre les enregistrements (depuis le 8 novembre)
• Ajouté des alertes sur les changements de clés de signature et de leur configuration
• Activé la détection automatique et les alertes de sorties ressemblant à un secret dans ses journaux CI
• Déplacé son CI hors de Blacksmith

Si vous avez des questions, l'avis vous demande de les poser via le chat de votre espace de travail Supercut. Okuniev et Kinnish indiquent qu'ils sont, avec l'équipe, disponibles pour y répondre directement. La page équipe de Supercut les présente tous deux comme fondateurs de FloatLabs.

Ce que vous pouvez faire si vous utilisez Supercut

L'avis ne demande pas aux clients une action obligatoire, et les étapes ci-dessous sont des suggestions générales, pas des consignes de Supercut.

• Lisez l'avis en entier, y compris la partie sur les journaux antérieurs au 8 novembre.
• Posez vos questions restantes via le chat de votre espace de travail Supercut, comme le demandent les fondateurs.
• Passez en revue les liens de partage déjà envoyés, surtout pour les enregistrements qui contiennent des informations internes ou clients.
• Si votre espace de travail vous permet de remplacer ou de partager à nouveau un enregistrement, envisagez de le faire pour les vidéos les plus sensibles, puis retirez les anciens liens.
• Conservez un export local de ce que vous voulez détenir indépendamment d'un lecteur hébergé.

Rien de tout cela n'affirme qu'un enregistrement a été ouvert par quelqu'un qui n'aurait pas dû le voir. Supercut indique n'avoir trouvé aucune preuve que la clé ait été utilisée.

Une alternative locale : ScreenKite

Si vous préférez que le prochain enregistrement reste sur votre ordinateur, ScreenKite enregistre sur votre machine, monte sur une vraie timeline multi-clips, et exporte un MP4 que vous contrôlez. Vous partagez via votre propre Google Drive. Le fichier n'a pas à reposer sur le service de délivrance d'enregistrements d'un fournisseur pour que quelqu'un le visionne.

ScreenKite est un enregistreur d'écran natif pour macOS (macOS 15 ou version ultérieure, Apple Silicon et Intel) et Windows, utilisable gratuitement avec un filigrane sur les exports, et un achat unique Pro qui le retire. ScreenKite Pro est un paiement unique de $99.99 pour 3 appareils et ne se renouvelle jamais. Un compte est requis. Les frais d'IA sont de $0.

Des personnes chez Apple, Reddit, HubSpot et GitHub utilisent ScreenKite. Voir screenkite.com.

Comment c'est conçu

À l'époque, je ne pouvais pas faire dans un enregistreur d'écran les coupes dont j'avais besoin, alors le clip partait vers Final Cut, les coupes étaient corrigées, les animations cassaient, et il fallait exporter à nouveau. Deux outils, deux paiements, un après-midi perdu. ScreenKite est l'outil que je voulais ce jour-là.

• Enregistrez et montez dans une seule app. Une vraie timeline multi-clips est intégrée, donc toute la vidéo se termine au même endroit. Sur macOS, ScreenKite enregistre par défaut les captations en MP4.
• Toutes les fonctions de montage sont gratuites. Les exports gratuits portent un filigrane et un générique de fin. Pro les retire.
• Payez une fois. Un paiement unique de $99.99 couvre 3 appareils et ne se renouvelle jamais. Il n'y a pas d'abonnement.
• Apportez votre propre agent d'IA. Claude Code, ChatGPT Codex, Antigravity, Grok Build ou Kimi pilotent l'éditeur via MCP ou la CLI. Les frais d'IA de ScreenKite sont de $0 ; votre fournisseur d'agent peut facturer son propre forfait.
• 83 outils de montage conçus pour cet usage, façonnés par des dizaines de milliers d'heures de pratique du montage vidéo.
• Partagez depuis votre propre Google Drive.
• macOS natif et Windows natif.

Des inconvénients ? Le seul inconvénient, c'est qu'il n'y en a presque pas : nous sommes nous-mêmes créateurs vidéo et savons ce dont les utilisateurs ont besoin.

ScreenKite fonctionne en natif sur macOS et sur Windows. Il est rapide comme l'éclair, dans nos tests comme selon nos utilisateurs, et vous montez sur la timeline avec l'agent IA que vous utilisez déjà : Claude Code, ChatGPT Codex, Antigravity, Grok Build ou Kimi. Décrivez la coupe, l'agent s'occupe du reste.

Supercut face à ScreenKite

Faits

• Produit : ScreenKite
• Plateforme : macOS natif (macOS 15 ou version ultérieure, Apple Silicon et Intel) et Windows natif
• Prix : Utilisation gratuite, avec filigrane et générique de fin sur les exports. Un paiement unique de $99.99 les retire, couvre 3 appareils et ne se renouvelle jamais. Un compte est requis.
• IA : apportez votre propre agent : Claude Code, ChatGPT Codex, Antigravity, Grok Build, Kimi. Frais d'IA $0.
• Vérifié : 2026-11-11

FAQ

A-t-on montré qu'un enregistrement Supercut avait été ouvert avec l'ancienne clé ?

Non. L'avis envoyé par e-mail aux clients de Supercut, novembre 2026, indique que l'entreprise n'a trouvé aucune preuve que la clé ait été utilisée, et que le trafic et les niveaux de requêtes en échec sont restés dans la plage normale des quatre semaines précédentes. Il indique aussi que les journaux d'accès au niveau des requêtes n'étaient pas activés avant le 8 novembre, si bien qu'un petit nombre de requêtes ciblées avant cette date ne peut pas être pleinement écarté.

Que pouvait faire la clé exposée ?

Selon l'avis, elle aurait pu servir à créer des liens permettant de lire des fichiers d'enregistrement. Elle ne pouvait ni modifier ni supprimer ces fichiers, elle ne pouvait pas lister les fichiers, et ouvrir un enregistrement aurait aussi exigé les identifiants de cet enregistrement.

Que dois-je faire si je suis client de Supercut ?

Commencez par la voie officielle indiquée dans l'avis : utilisez le chat de votre espace de travail Supercut. En suggestion générale, passez en revue les liens de partage existants, envisagez de partager à nouveau les enregistrements sensibles si votre espace de travail le permet, et conservez un export local des vidéos que vous voulez détenir vous-même.

Blacksmith a-t-il publié quelque chose à ce sujet ?

Oui. Blacksmith a publié un avis de statut public le 6 novembre 2026, et son compte officiel a partagé les mêmes faits d'ouverture sur X. Cet avis porte sur le magasin de journaux de tâches. Il ne nomme pas Supercut.

Pourquoi utiliser ScreenKite après avoir lu cet avis ?

Si vous voulez que l'enregistrement reste sur votre ordinateur et partager un lien depuis votre propre Google Drive, ScreenKite est conçu ainsi. Toutes les fonctions de montage sont gratuites, et un paiement unique de $99.99 pour 3 appareils retire le filigrane d'export et ne se renouvelle jamais.

En résumé

Les fondateurs de Supercut ont dit à leurs clients ce qui avait été exposé, ce que la clé ne pouvait pas faire, ce qu'ils ont déjà corrigé, et où l'historique des journaux est incomplet. C'est un avis clair. Si vous préférez enregistrer et monter en local, et partager via votre propre Google Drive, essayez ScreenKite.