L'application fait de son mieux pour ne pas vous verrouiller hors du serveur, mais vous l'utilisez à vos propres risques. Et notez qu'elle est sous licence AGPL, donc si vous l'utilisez à des fins commerciales, assurez-vous de respecter la lettre de la licence.

Installation

Depuis crates.io :``` cargo install stop-bots

Un binaire Linux x86_64 précompilé est disponible sur les releases GitHub.

Dépendances

Nécessite Rust 1.88 ou plus récent pour compiler. Linux uniquement en pratique : il appelle systemctl, nginx -t et nft/iptables, donc bien qu'il compile ailleurs, il n'y sera guère utile.

Utilisation

Lancez le binaire sans argument pour démarrer la TUI, stop-bots web pour les mêmes écrans dans un navigateur (voir L'interface web), ou consultez stop-bots --help pour la liste complète des sous-commandes CLI. La TUI et la CLI peuvent être utilisées ensemble. Configurez tout dans la TUI et utilisez ensuite la CLI dans un crontab pour maintenir les règles à jour.

Vous pouvez quitter l'application, ou revenir en arrière depuis un popup/sous-menu, avec 'q' ou Échap.

Thème

Vous pouvez basculer entre le thème sombre et clair avec 't'. L'application tentera de détecter automatiquement le thème, mais pour certaines combinaisons de terminal et de multiplexeur, les informations disponibles ne suffisent pas pour faire le bon choix.

Écrans

1–4 (ou d/b/s/p) sautent directement à un écran ; Gauche/Droite, ou leurs alias vim h/l, les parcourent un par un ; ? affiche à tout moment une référence complète des raccourcis clavier, et : ouvre une palette de commandes listant chaque action par son nom. Tab / Shift+Tab déplacent toujours entre les panneaux de l'écran courant, jamais entre les écrans.

Le Dashboard possède tout ce qui finit dans le script de pare-feu ; les paramètres de site possèdent tout ce qui finit dans la configuration NGINX. Cette séparation détermine où vit chaque paramètre donné.

• Dashboard (l'écran par défaut) : les valeurs par défaut des catégories à l'échelle du système (Scanners / Search Bots / AI Bots — Autorisés ou Bloqués) ; le géo-blocage à l'échelle de l'hôte (bloquer ou autoriser une liste de pays spécifiques) ; un panneau « Automatic blocking » avec un interrupteur on/off pour chaque détecteur et chaque blocklist tierce ; un panneau « Firewall script » (combien de règles un rendu écrirait, si le script sur disque est obsolète, et les sites et listes de bots à partir desquels il est généré) ; un panneau « Scheduled » montrant les tâches du cron interne et leur dernière exécution (avec un spinner à côté de toute tâche en cours d'exécution en arrière-plan) ; et un journal de ce que l'application a fait en dernier. Une bande de statut sous les onglets affiche les vérifications de santé de l'hôte sur chaque écran. Up/Down circulent entre les trois listes ; m change le mode géo. Appuyez sur F pour générer les règles de pare-feu actuelles dans un script — le popup dispose aussi d'un interrupteur « apply after writing » (Espace) pour l'appliquer réellement immédiatement, au lieu de l'appliquer à la main ensuite. Trois autres touches agissent sur l'ensemble de l'hôte : u télécharge toutes les listes, a applique les deux plans (NGINX, puis le pare-feu), et w place cette console derrière NGINX — les trois mêmes que le navigateur propose sous forme de boutons et d'un panneau.
• Bot settings : liste chaque source de liste de bots connue (avec une action pour la rafraîchir) et chaque bot individuel, recherchable par nom, avec une dérogation par bot (Autorisé / Bloqué / suivre la valeur par défaut de la catégorie).
• Site settings : un panneau « NGINX settings » (Tab pour le cibler) contenant les choix à l'échelle de l'hôte qui façonnent la configuration générée — ce qu'une requête bloquée reçoit en retour (voir ci-dessous), s'il faut servir un robots.txt généré, et la limitation de débit — au-dessus de chaque site NGINX découvert sur disque, chacun avec un statut en direct « up to date / stale / not found » et des actions pour appliquer la politique courante à un site ou à tous. Modifier l'un de ces paramètres fait passer chaque site appliqué à STALE, ce qui est votre signal pour réappliquer. Ouvrir un site vous permet de remplacer sa politique de catégorie/bot, d'activer l'une des six règles de forme de requête, et de lister les chemins exemptés de blocage.
• Dynamic Protection : une vue en direct et actionnable de ce qui frappe actuellement le serveur — « Top IPs attempting SSH connection » et « Top User Agents », chacun classé par nombre et étiqueté NOT BLOCKED/BLOCKED (affiché en rouge). Tab/Shift+Tab changent lequel des deux panneaux Up/Down affecte ; f fait défiler un filtre partagé (tous / non bloqués uniquement / bloqués uniquement) ; Enter bloque la ligne NOT BLOCKED sélectionnée, ou la débloque si elle est déjà BLOCKED. i inspecte l'adresse sélectionnée : lesquels des flux de réputation la listent, si elle se trouve dans une plage de crawler publiée (ce qui distingue un vrai Googlebot d'un user agent qui prétend simplement l'être), à quel pays elle appartient, et quels comptes elle a tenté de utiliser pour se connecter. Tout cela à partir de listes que cet hôte a déjà téléchargées — il n'y a pas de reverse DNS ni de recherche whois ici, car un enregistrement PTR est écrit par celui qui détient l'adresse et serait un texte fourni par l'attaquant qui se lit comme faisant autorité.
• Help : la référence complète des raccourcis clavier.

Bot settings, où vivent chaque source de liste et chaque bot individuel :

Site settings, où les choix NGINX à l'échelle de l'hôte se trouvent au-dessus de chaque site trouvé sur disque :

Dynamic Protection, la vue en direct de ce qui frappe le serveur en ce moment :

Ce contre quoi il protège réellement

En utilisant la configuration NGINX

• Les bots connus, par catégorie (scanner / moteur de recherche / crawler IA), issus de ArcJet's Well-Known Bots, ai.robots.txt et de la liste NGINX Ultimate Bad Bot Blocker. Bloquer une catégorie injecte une règle if ($http_user_agent ...) dans la configuration NGINX de chaque site (apply-blocks / a/A de Site settings).

• Trop de requêtes, via la limitation de débit propre à NGINX. Contrairement à tout le reste ici, cela est appliqué par NGINX au moment de la requête plutôt qu'en analysant un journal après coup. Désactivé par défaut : une limite réglée pour le mauvais site éloigne de vrais visiteurs.

• Poli, d'abord — un robots.txt généré en option listant chaque bot que vous bloquez, pour les crawlers qui le respectent, plus le chemin honeypot ci-dessous. Désactivé par défaut, car il remplace ce que votre site sert actuellement à /robots.txt.

• Sauf là où vous en décidez autrement — des exemptions de chemins par site, pour que vous puissiez bloquer les crawlers IA partout sauf /blog.

• Les requêtes qui ne ressemblent pas à un navigateur, par site. Six règles indépendantes, chacune son propre interrupteur et chacune désactivée par défaut — un interrupteur par règle pour que si quelque chose chez vous cesse de fonctionner, vous puissiez identifier quelle règle en est la cause :

  Deux garde-fous s'appliquent à toutes, et sont appliqués plutôt que laissés à votre charge :

  • Les deux règles dépendant de TLS ne sont écrites que dans les blocs server HTTPS. Les navigateurs ne font pas de HTTP/2 sans TLS, donc sur un bloc listen 80 simple, chaque requête est en HTTP/1.1 — y compris la redirection qu'un navigateur effectue en route vers HTTPS. Vos blocs port-80 et port-443 partagent généralement un server_name, donc le paramètre atteint les deux ; seul celui avec TLS reçoit ces règles. Les règles de forme d'en-tête fonctionnent en HTTP simple et sont écrites dans les deux.
  • /.well-known/ est toujours exempté dès qu'une règle est activée. C'est là que Let's Encrypt récupère son challenge HTTP-01, en HTTP/1.1 sans Accept et souvent sans User-Agent — sans l'exemption, votre certificat cesse de se renouveler des semaines plus tard.

Ce qu'une requête bloquée reçoit réellement

Un choix à l'échelle de l'hôte, dans Site settings. Ce ne sont pas des codes de statut interchangeables — chacun dit quelque chose de différent, et la différence compte surtout pour les clients que vous n'aviez pas l'intention de prendre :

Le tarpit est l'option la plus douce pour un faux positif — un client pris par erreur est ralenti, pas refusé — et la plus coûteuse pour un bot, dont la connexion reste inactive. Deux choses à savoir avant de le choisir : il retient aussi une de vos connexions worker pendant toute la durée, donc un flot de clients tarpités entre en concurrence avec les vrais visiteurs pour worker_connections ; et combien de temps cela dure réellement dépend de la façon dont NGINX choisit d'écrire un petit corps d'erreur, ce qui est noté dans TODO.md comme nécessitant une vérification contre un vrai serveur.

À partir de vos journaux, automatiquement

Chacun de ces éléments est un interrupteur indépendant sur le panneau « Automatic blocking » du Dashboard, et chacun ajoute un blocage de pare-feu temporaire qui expire de lui-même et est réajouté si le comportement persiste.

Ils s'exécutent sur un minuteur interne qui relit vos journaux d'accès SSH et NGINX toutes les minutes — mais uniquement tant que la TUI ou l'interface web est en cours d'exécution. L'une ou l'autre maintient le même calendrier, dans la même base de données, donc laisser l'interface web ouverte suffit ; rien n'est détecté quand aucune des deux n'est en cours d'exécution. Pour un serveur sans aucun processus stop-bots dessus, voir Unattended, from cron ci-dessous.

• Scanners SSH et web : IP avec une pile de connexions SSH échouées, ou de nombreux chemins distincts en 404. Jamais une IP avec une connexion SSH réussie récente, ni une IP dans une plage IP publiée d'un crawler connu.
• Crawlers falsifiés : tout ce qui prétend être Googlebot, Bingbot ou GPTBot depuis une adresse que l'opérateur de ce crawler ne publie pas. Le déguisement courant le moins coûteux qui soit, et les listes CIDR publiées tranchent la question. Inerte tant que ces listes n'ont pas été réellement récupérées.
• Sondage de secrets exposés : une seule requête pour /.env, /.git/config, /wp-config.php et similaires est concluante à elle seule, donc cela ne nécessite aucun seuil. La liste intégrée omet délibérément les chemins qui sont légitimes quelque part — /wp-login.php, /wp-admin/, /xmlrpc.php, /phpmyadmin — car verrouiller votre propre administrateur serait pire que manquer un scanner que le détecteur de 404 attrape de toute façon. Ajoutez les vôtres avec set-probe-paths.
• Honeypot : un chemin publié uniquement comme Disallow: dans le robots.txt généré et lié nulle part. L'atteindre signifie ignorer robots.txt, ce qu'aucune entité légitime ne fait par accident — le signal le plus fort ici, et le blocage le plus long. Nécessite que la génération de robots.txt soit activée pour fonctionner du tout.

Trois autres examinent comment un client se comporte plutôt que ce qu'il demande. Les trois sont désactivés par défaut, car chacun a un faux positif qu'il ne peut pas écarter seul — et tous les trois exemptent les crawlers de moteurs de recherche vérifiés, qui autrement correspondraient à chacun d'eux :

• Ne récupère aucun asset : de nombreuses pages distinctes et pas une seule feuille de style, script ou image. Les navigateurs chargent ce qui va avec une page. N'attrapera pas un client API (il compte les chemins distincts, et un client API en touche peu) ni un visiteur récurrent bien mis en cache (un 304 compte comme un asset récupéré). Ne peut pas vous aider sur un site qui ne sert aucun asset du tout — une pure API JSON.
• User agent rotatif : plusieurs identités depuis une même adresse. Considérablement affaibli par le NAT : une passerelle d'opérateur, de campus ou de bureau présente de nombreux vrais navigateurs sur une seule IP, et sans analyse des horodatages, il n'y a aucun moyen de distinguer cela d'un scraper qui fait tourner ses agents.
• Crawle sans referer : de nombreuses pages profondes distinctes, jamais de Referer. Affaibli par Referrer-Policy: no-referrer et les outils de confidentialité ; le seuil de chemins distincts est ce qui le rend utilisable tout court.

Par adresse

• Des pays entiers, via les listes CIDR agrégées d'IPdeny — bloquez des pays spécifiques, ou basculez en mode liste d'autorisation et bloquez tout le reste.
• Des adresses connues comme malveillantes, via des listes tierces : FireHOL niveau 1, nœuds de sortie Tor et blocklist.de. Toutes désactivées par défaut.
• Des hébergeurs entiers : AWS, Google Cloud et DigitalOcean publient leur espace d'adressage, et les visiteurs résidentiels ne naviguent pas depuis celui-ci. Ce sont des instruments grossiers et étiquetés comme tels — ils bloquent chaque visiteur hébergé là, y compris les points de terminaison VPN, les sorties d'entreprise et les clients API, pas seulement les bots. Désactivé par défaut, avec un avertissement quand vous en activez un.
• Les adresses voisines, en option : quand plusieurs adresses dans un même IPv4 /24 sont signalées lors de la même passe, bloquez le /24. Désactivé par défaut — bloquer 256 adresses parce que trois se sont mal comportées est un dommage collatéral assumé. (IPv6 est différent et ne nécessite aucun interrupteur : une détection bloque toujours le /64, car un /64 est un LAN, la même chose qu'une seule adresse IPv4 représente. Bloquer la seule adresse qu'un attaquant IPv6 a utilisée n'arrêterait rien — il en a 2^64 autres.)
• Tout le reste, à la main — ajoutez directement une règle d'autorisation ou de blocage IP/CIDR, ou utilisez l'écran Dynamic Protection pour bloquer définitivement une IP ou un user agent spécifique que vous avez repéré avant qu'il ne franchisse un seuil automatique.

Est-ce que ça fonctionne réellement ?

Tout ce qui précède est généré. Savoir si tout ou partie est en vigueur est une question distincte, et stop-bots status est ce qui y répond :``` stop-bots status

Un contrôle qui n'a pas pu s'exécuter — nft list nécessite root — rapporte UNKNOWN, jamais OK. Un contrôle de santé qui dit que tout va bien parce qu'il n'a pas pu regarder est pire que rien, parce qu'on y croit.

Le même rapport figure sur le Dashboard dans la console et dans la TUI, relevé toutes les heures par le cron interne plutôt qu'à chaque rendu : nft list sur un grand ensemble de règles représente des mégaoctets de texte.

Rien ne se produit sans vous

Chaque décision de pare-feu ci-dessus est générée, jamais appliquée automatiquement : render-firewall (ou la touche f du Dashboard) écrit un script iptables ou nftables que vous pouvez examiner et appliquer vous-même, et refuse d'en écrire un qui verrouillerait une session SSH actuellement connectée.

Trois choses peuvent l'appliquer pour vous, et toutes les trois nécessitent que vous le demandiez : la popup de rendu de la TUI (« apply after writing ») ou sa touche a, le panneau pare-feu de la console web (« run it after writing ») ou son bouton « Apply everything », et batch --apply depuis un crontab que vous avez écrit — voir Unattended, from cron. Aucune d'entre elles n'est un effet de bord de quoi que ce soit d'automatique : le cron interne génère le script et ne l'exécute jamais.

Il en va de même côté NGINX : modifier un paramètre ne change que ce qui serait écrit. Les paramètres de site affichent chaque site comme STALE jusqu'à ce que vous appliquiez.

Désactiver un détecteur ne supprime jamais les blocages qu'il a déjà ajoutés — ceux-ci expirent d'eux-mêmes. « Arrêter de détecter » et « annuler ce qui a été détecté » sont délibérément distincts ; le second est l'écran Dynamic Protection ou remove-firewall-rule.

Il existe aussi un simple décompte des journaux d'accès, indépendant du blocage : record-access-stats / list-access-stats comptent la fréquence d'apparition de chaque user agent dans les requêtes réussies (non erronées), afin que vous puissiez voir qui visite réellement en plus de qui est bloqué.

Unattended, from cron

stop-bots batch est une passe sur tout ce que la TUI fait à la main : rafraîchir chaque liste, analyser les journaux, écrire les règles de blocage NGINX et le script de pare-feu.```

One full pass a night. Refreshes the lists, scans the logs, applies both.

0 4 * * * root /usr/local/bin/stop-bots batch --apply --ssh-log /var/log/auth.log

And detection every ten minutes, without re-downloading lists that change weekly.

*/10 * * * * root /usr/local/bin/stop-bots batch --apply --no-fetch --ssh-log /var/log/auth.log

Il se lie à 127.0.0.1:8787 — accessible uniquement depuis cette machine — et affiche un mot de passe généré une seule fois, au premier lancement. Accédez-y depuis votre ordinateur portable via un tunnel SSH :``` ssh -L 8787:127.0.0.1:8787 your-server

Écrit /etc/systemd/system/stop-bots-web.service, crée /var/lib/stop-bots (0700 — il contient le hachage du mot de passe de la console) et /etc/stop-bots, génère un mot de passe s'il n'y en a pas, puis active et démarre l'unité.

--dry-run affiche l'intégralité du plan et ne modifie rien. C'est la seule commande du projet qui démarre un démon, alors commencez par là. --prefix <dir> écrit la même arborescence quelque part où vous pouvez la lire sans être root. Si l'unité existe déjà et que vous l'avez modifiée, l' installateur s'arrête et le signale plutôt que de remplacer votre modification ; --force si c'est bien ce que vous voulez.

Le service s'exécute en tant que root, car la console réécrit /etc/nginx, écrit le script du pare-feu, et exécute nginx -t et systemctl reload nginx. Il n'existe pas de découpage non privilégié qui laisse l'ensemble des fonctionnalités intact. L'unité porte le durcissement qui survit à cette exigence et un commentaire indiquant quel durcissement a été omis et pourquoi.

L'adresse d'écoute, la liste d'autorisation des hôtes et le préfixe de chemin ne sont délibérément pas dans l'unité — le serveur en cours d'exécution les relit depuis la base de données, donc les mettre dans ExecStart leur donnerait deux sources de vérité. Modifiez-les avec stop-bots web --save ... et redémarrez.

Une chose change une fois que cela s'exécute en tant que root : la tâche quotidienne RenderFirewall du cron interne peut désormais écrire /etc/stop-bots/firewall.nft, ce qu'elle ne pouvait pas faire lorsque vous exécutiez la console à la main en tant que vous-même. Rien n'applique ce script — l'exécuter reste à votre charge.

Seul Debian est vérifié, car c'est ce qui a été testé ; l'unité est très probablement correcte sur toute distribution systemd, mais le chemin de journal SSH qu'elle suppose est celui de Debian.

L'exposer

Lier autre chose que loopback nécessite un second drapeau délibéré, car cette console peut réécrire le pare-feu et la configuration NGINX de l'hôte sur lequel elle s'exécute :``` stop-bots web --bind 0.0.0.0:8787 --expose --allowed-hosts admin.example.com --save

Derrière TLS, définissez aussi web:secure_cookie. Sans cela, un navigateur enverra également le cookie de session à une URL http:// pour le même hôte.

web:trust_forwarded_for compte plus qu'il n'y paraît. Sans lui, chaque requête derrière un proxy arrive depuis 127.0.0.1, donc la console ne peut pas distinguer un client d'un autre — ce qui signifie qu'un flot de tentatives de connexion partage le même compartiment de limitation que vous, et le garde-fou qui vous empêche de bloquer votre propre adresse n'a rien avec quoi comparer. Avec lui, les deux fonctionnent par client.

Derrière NGINX : un sous-domaine, ou un préfixe de chemin

La console peut configurer cela pour vous, et le TUI aussi (w sur le Dashboard). Les deux écrivent la configuration NGINX, enregistrent le préfixe de chemin et ajoutent le nom d'hôte à la liste d'autorisation — les trois éléments qui doivent concorder, car un préfixe manquant fait sortir chaque lien du bloc location et un nom d'hôte manquant transforme chaque requête en 403. Les deux valident avec nginx -t avant que la configuration puisse prendre effet, la restaurent en cas d'échec, et n'enregistrent la nouvelle adresse qu'une fois validée.

Deux modes, et path est celui par défaut pour une raison : il ajoute un bloc location à un site que vous avez déjà, donc la console hérite du certificat de ce site. Un sous-domaine a besoin du sien, et tant que certbot --nginx -d <host> n'a pas été exécuté, le formulaire de mot de passe et le cookie de session de cette console traversent le réseau en clair.

Le reste de cette section est la même chose à la main, ce qui vaut la peine d'être lu une fois même si vous utilisez le panneau — le piège de la barre oblique finale ci-dessous est l'erreur qu'il existe pour prévenir.

Un sous-domaine est le déploiement le plus simple, et celui à choisir si vous le pouvez :```nginx server { server_name stopbots.example.com; location / { proxy_pass http://127.0.0.1:8787; proxy_set_header Host $host; } }

Fichier de configuration

L'outil prend en charge un fichier de configuration YAML pour définir les options par défaut :

Sortie

L'outil génère une sortie structurée dans plusieurs formats :

Format JSON

Format texte

Format CSV

Codes de sortie

Dépannage

Problèmes courants

Connexion refusée

• Vérifiez que le serveur est en cours d'exécution et accessible
• Vérifiez l'URL du serveur et le numéro de port
• Assurez-vous qu'aucun pare-feu ne bloque la connexion

Échec d'authentification

• Vérifiez que votre jeton est valide et non expiré
• Assurez-vous que le jeton dispose des permissions requises
• Vérifiez que le jeton est correctement formaté

Délai d'expiration de la requête dépassé

• Augmentez la valeur de --timeout
• Vérifiez la connectivité réseau
• Vérifiez que le serveur n'est pas surchargé

Permission refusée

• Vérifiez les permissions du fichier de sortie
• Assurez-vous de disposer des privilèges nécessaires
• Essayez d'exécuter avec des permissions élevées si nécessaire

Mode débogage

Activez la journalisation de débogage pour obtenir des informations détaillées :

Cela affichera des informations détaillées sur les requêtes, les réponses et les erreurs.``` stop-bots web --allowed-hosts stopbots.example.com --save

| -s | --server | string | URL du serveur C2 (par défaut : http://127.0.0.1:8080) | | -p | --password | string | Mot de passe pour l'authentification du client | | -k | --key | string | Clé de chiffrement pour la communication | | -i | --interval | int | Intervalle de beacon en secondes (par défaut : 5) | | -j | --jitter | float | Pourcentage de gigue pour l'intervalle de beacon (par défaut : 0.2) | | -t | --timeout | int | Délai d'expiration de la requête en secondes (par défaut : 30) | | -r | --retries | int | Nombre de tentatives de reconnexion (par défaut : 3) | | -d | --debug | bool | Activer la journalisation de débogage | | -v | --version | bool | Afficher la version et quitter | | -h | --help | bool | Afficher le message d'aide et quitter |

Exemples

Configuration

Le client peut être configuré à l'aide d'un fichier de configuration ou de variables d'environnement. Le fichier de configuration est recherché dans les emplacements suivants :

1. ./config.yaml
2. $HOME/.config/client/config.yaml
3. /etc/client/config.yaml

Variables d'environnement

Exemple de fichier de configuration

Compilation à partir des sources

Prérequis

• Go 1.21 ou supérieur
• Make (facultatif, mais recommandé)

Étapes de compilation

Compilation croisée

Tests

Sécurité

• Toutes les communications sont chiffrées à l'aide d'AES-256-GCM
• L'authentification est effectuée à l'aide de mots de passe hachés avec bcrypt
• Le client prend en charge TLS pour les connexions sécurisées
• Les clés de chiffrement ne sont jamais stockées en texte clair sur le disque

Avertissement

Cet outil est fourni à des fins éducatives et de recherche en sécurité uniquement. Les auteurs ne sont pas responsables de toute utilisation abusive ou de tout dommage causé par ce logiciel. Utilisez-le de manière responsable et conformément aux lois applicables.

Licence

Ce projet est sous licence MIT - voir le fichier LICENSE pour plus de détails.

Remerciements

• Go - Le langage de programmation utilisé
• Cobra - Bibliothèque CLI
• Viper - Bibliothèque de configuration```nginx location /stop-bots/ { proxy_pass http://127.0.0.1:8787; # NO trailing slash proxy_set_header Host $host; }

La commande est divisée en mots et exécutée directement. Elle ne passe jamais par un shell, donc ;, | et $VAR sont des caractères ordinaires plutôt que de la syntaxe.

Contribuer

L'organisation du code, la façon dont il est testé et les règles selon lesquelles il est écrit se trouvent dans CONTRIBUTING.md. Le processus de publication est dans RELEASING.md.

Contact

Vous pouvez me contacter à [email protected].

Licence

Copyright (C) 2026 Marko Ivankovic

Ce programme est un logiciel libre : vous pouvez le redistribuer et/ou le modifier selon les termes de la GNU Affero General Public License telle que publiée par la Free Software Foundation, soit la version 3 de la Licence, soit (à votre choix) toute version ultérieure.

Consultez le fichier LICENSE pour le texte complet de la Licence.

Vous ne pouvez pas utiliser un logiciel sous AGPL ?

Une licence alternative n'est PAS disponible.