TL;DR : un très bon tableur collaboratif, libre et auto-hébergeable, dont l’écran d’authentification vous recommande de vous connecter par le cloud de l’éditeur. Installez-le, mais lisez les cinq étapes de configuration.
Grist ressemble à un tableur sans en être un. Chaque colonne a un type, chaque formule est du Python, et un document se comporte comme une petite base de données avec des vues par-dessus. D’où sa place là où Excel s’arrête et où un vrai développement serait disproportionné.
Un logiciel américain que l’administration française co-développe
Grist est édité par Grist Labs, société américaine. Il est aussi l’un des produits de La Suite numérique, l’espace de travail de la DINUM. code.gouv.fr écrit que « l’ANCT et la DINUM contribuent activement au logiciel libre Grist et s’efforcent d’en faire un commun numérique », et consacre un webinaire au « modèle et aux challenges liés à la contribution sans “fork” à ce logiciel libre ».
Cette formulation est le sujet. Le réflexe d’un État qui veut de la souveraineté, c’est de prendre le code et d’en maintenir sa version : confortable politiquement, désastreux techniquement, parce que la version parallèle diverge et qu’on se retrouve avec un logiciel de plus à porter seul. Pousser ses correctifs en amont, c’est négocier avec un éditeur privé étranger et récupérer en échange le travail de tous les autres. Le pari est meilleur, et plus difficile à défendre en réunion.
Le banc d’essai
grist-core est en Apache 2.0, vérifié à l’API GitHub, dépôt actif le matin même. Image de 994 Mo, conteneur qui répond en 3 à 5 secondes et consomme 312 Mio au repos. La commande officielle tient sur une ligne :
docker run -p 8484:8484 -v ~/grist:/persist -it gristlabs/gristElle marche, et c’est bien celle de la page officielle d’auto-hébergement. L’interface s’affiche en français toute seule, sur la langue du navigateur. Puis Grist réclame une clé d’amorçage à pêcher dans les logs du conteneur, et ouvre un assistant en cinq étapes. C’est là que ça devient instructif.
L’étage du dessous
Le bac à sable n’est pas une option de confort. Grist exécute les formules comme du code Python, et l’écran le dit lui-même : sans isolation, les formules d’un document peuvent accéder à tout le système. Pyodide, recommandé, en WebAssembly, plus lent. gVisor, le plus rapide, remonté en erreur chez nous. Le bac à sable macOS, indisponible dans un conteneur.
Puis vient l’authentification, et c’est la vraie surprise.
Sur un serveur que vous hébergez vous-même, la méthode marquée Recommandé est « Sign in with getgrist.com » : l’authentification par les serveurs de l’éditeur. OIDC et SAML portent tous deux « Nécessite une clé d’activation ». Restent « Forwarded headers », pour qui a déjà un proxy inverse, et « Pas d’authentification », que l’écran réserve honnêtement aux réseaux privés.
Cette clé est gratuite pour les particuliers et les structures sous un million de dollars de financements annuels : pas un péage, un enregistrement. Mais il faut le savoir avant d’annoncer à son service que le nouveau tableur se branchera sur l’annuaire maison.
L’édition communautaire laisse aussi de côté les automatisations, le serveur MCP, l’assistant IA, les notifications par courriel, les contrôles administrateur et les journaux d’audit.
Deux pièges mesurés
« Pas d’authentification » avec les permissions par défaut donne une instance inutilisable : les boutons « Document vide » et « Importer un fichier » sont rendus inactifs pour un visiteur anonyme. Vérifié dans le code de la page, pas à l’œil. Et une fois ce choix fait, /admin répond « Access denied » et vous renvoie aux logs.
L’API REST reste verrouillée tant que l’assistant n’est pas terminé (Grist is not yet configured), alors que l’interface web fonctionne déjà. De quoi chercher longtemps si vous automatisez avant d’avoir cliqué jusqu’au bout.
Ce qu’on en pense
Très bon outil, et le seul de sa catégorie à compter une administration nationale parmi ses contributeurs. Pour un usage personnel ou une petite équipe derrière un proxy inverse, il s’installe en une soirée et rendra service. Il rejoint la série de ce qu’on héberge chez soi, après OpnForm et RideLog.
La réserve n’est pas sur le logiciel, elle est sur le mot. « Auto-hébergé » suggère que rien ne sort. Ici, le chemin par défaut fait entrer l’éditeur dans votre boucle de connexion, et celui qui l’évite demande une clé. On reste loin d’un service fermé, mais ça se lit avant de cliquer « suivant » cinq fois.
Et si la traduction française s’arrête au milieu de l’assistant, avec un « sans autentification » sans h : c’est aussi ça, un commun numérique. Personne ne l’a encore relu.
