Cal.com passe son produit principal en code fermé, invoquant les menaces de l'IA pour l'open source

Cal.com, l'un des acteurs open source les plus visibles dans la catégorie de la planification (scheduling), fait passer sa version commerciale en code fermé. La raison n'est pas un changement de modèle économique en tant que tel, mais un nouvel équilibre des risques : l'entreprise juge que les outils d'IA actuels ont beaucoup trop simplifié la recherche de vulnérabilités dans les dépôts publics et rendu le code ouvert trop coûteux à défendre dès lors qu'il s'agit de protéger les données des utilisateurs.

L'entreprise a annoncé sa décision le 15 avril 2026. Le code de production et le développement futur du produit commercial deviennent privés, tandis que le dépôt public se transforme en branche communautaire distincte, baptisée Cal.diy. Cette version reste self-hosted et open source, mais passe sous licence MIT au lieu de l'AGPL. Elle conserve le moteur de planification, la logique de réservation, l'app store et l'API v2, soit tout ce dont les développeurs indépendants et les petites équipes ont besoin pour la déployer eux-mêmes.

Cal.diy perd ce qui relève du service commercial managé et des scénarios enterprise : organisations et équipes, routing forms, workflows automatiques, instant booking, AI phone, SAML/SSO, tableaux de bord analytiques, une partie des interfaces d'administration et l'ancienne API v1. En pratique, Cal.com scinde son produit en deux trajectoires : une plateforme ouverte pour les amateurs et l'auto-hébergement, et une version de production fermée, où l'entreprise assume la responsabilité des données sensibles de ses clients. En interne, l'équipe résume la chose simplement : elle veut être une entreprise de planification, pas une entreprise de cybersécurité.

L'argument de Cal.com repose sur l'idée que l'IA bouleverse l'économie de la sécurité offensive. Auparavant, trouver des bugs exploitables exigeait un chercheur expérimenté et beaucoup de temps manuel ; désormais, des modèles et des outils à base d'agents peuvent parcourir méthodiquement une base de code, tracer les flux de données, chercher des failles de logique métier et assembler rapidement une preuve de concept.

Dans une publication sur son propre blog, Cal.com cite des tests de son partenaire Hex Security : dans 28 entreprises, ses agents de pentest autonomes ont trouvé environ 2000 vulnérabilités, dont 44,6 % étaient critiques ou de sévérité élevée, et 65,1 % des scans ont fait apparaître au moins un bug critique. Le même texte mentionne un benchmark où l'accès au code source améliorait la détection des vulnérabilités d'environ 20 % par rapport à un test en boîte noire. Comme symbole public de cette nouvelle réalité, l'entreprise cite le cas du modèle d'IA Mythos, qui, selon elle, aurait réussi à repérer une ancienne vulnérabilité dans BSD et à construire rapidement un exploit fonctionnel.

Cal.com ne prétend pas pour autant que le code fermé rend automatiquement un produit sûr. Dans son explication officielle, l'entreprise reconnaît franchement qu'il ne s'agit pas d'une solution parfaite et que la sécurité par l'obscurité ne protège pas à elle seule. Mais pour un service qui traite des données de réunions, de calendriers et de réservations, même une légère baisse de la probabilité d'un audit massif par des attaquants paraît justifiée. Parallèlement, l'équipe promet de maintenir la synchronisation des correctifs de sécurité entre le produit fermé et Cal.diy, et dit souhaiter revenir un jour à un format ouvert si le paysage des menaces devient plus maîtrisable.

C'est un revirement particulièrement marquant, car Cal.com a bâti sa marque précisément comme alternative open source à Calendly et ne cachait pas qu'elle voyait dans le code ouvert une source de croissance. Selon sa direction, avec une autre configuration des risques, l'entreprise aurait préféré rester dans son modèle précédent. Il ne s'agit donc pas d'une rupture totale avec la communauté, mais d'une tentative de séparer les parties expérimentale et commerciale du produit dans des périmètres de sécurité distincts.

L'enseignement principal dépasse le sort d'une seule entreprise. L'histoire de Cal.com montre que l'IA ne transforme pas seulement le développement, mais le contrat social même de l'open source : la transparence aide toujours les défenseurs, mais elle démultiplie désormais tout aussi bien le travail des attaquants. Pour les produits open source commerciaux, cela peut signifier un choix douloureux entre l'idéologie de l'ouverture et l'obligation de réduire le risque pour les clients. Cal.com est la première à faire ce choix de manière aussi démonstrative, et c'est pourquoi son cas compte pour toute l'industrie.