Note di Matteo

Come segnala DDay, ecco la risposta DNS del risolver di Google 8.8.8.8 per un dominio bloccato da Piracy Shield:

~ ❯ dig es1.dn-ott.vip @8.8.8.8
; <<>> DiG 9.20.17 <<>> es1.dn-ott.vip @8.8.8.8
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 45414
;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
; EDE: 16 (Censored): (The requested domain is subject to a judicial injunction or other governmental blocking order for IT (ISO country code). To learn more about this specific removal, please visit https://lumendatabase.org/notices/76876931.)
;; QUESTION SECTION:
;es1.dn-ott.vip.			IN	A

;; Query time: 13 msec
;; SERVER: 8.8.8.8#53(8.8.8.8) (UDP)
;; WHEN: Mon Jan 12 10:10:31 CET 2026
;; MSG SIZE  rcvd: 269

Quindi è confermato che come era stato annunciato a giugno il resolver di Google non è più esente da censura, come lo è stato per tantissimi anni.

La risposta della Lega Serie A a Cloudflare sulla questione antipirateria è parziale ma contiene del vero, specialmente sul fatto che Cloudflare fa orecchie da mercante offrendo consapevolmente servizi a organizzazioni illegali e si rifiuta di rispondere a qualsiasi richiesta in nome della libertà di espressione (che ben poco c'entra col copyright):

Cloudflare was sanctioned because it is the only major global company that, by choice of its CEO, systematically refuses any and all cooperation with authorities, law enforcement, rights holders, and even courts. For this reason, it has become the first and most common choice of criminal organizations for operating their illegal services, precisely because of its determined stance in enabling acts of piracy.

This happens not only in Italy but across the world, as demonstrated by numerous legal rulings against Cloudflare in France, Spain, Belgium, and of course, in Italy as well.

Ma il commento che racchiude tutti i punti di vista e che condivido di più l'ho trovato nella sezione commenti del Post:

Non so dove cominciare con le cose che non vanno in tutta questa storia... Un'azienda monopolistica che ha il potere di bloccare internet in quasi tutto il mondo (anche il FT ne parlava qualche giorno fa); la lega serie A che deve difendere interessi economici da corporazione medievale; il governo vassallo della suddetta corporazione che fa una legge estremamente problematica con grossi rischi di abusi (da censura delle partite a censura delle news è un attimo)... C'è molto di sbagliato nell'agire di tutti gli attori, e di mezzo ci vanno i cittadini

Ognuno con i propri interessi parziali e non indirizzati al buonsenso o al bene comune e nessuno vuole arretrare di un centimetro.

(Qualcuno potrebbe avere da ridire sul fatto che Cloudflare sia monopolista: in termini stretti non lo è, ma tende a esserlo se consideriamo che nessun altro è in grado di offrire servizi simili gratuitamente a una platea così ampia di persone e aziende, rendendolo molto spesso insostituibile.)

Notevole risposta del CEO di Cloudflare alla sanzione di 14 milioni di euro per mancata adesione a Piracy Shield (di cui ho scritto qui):

[...] In addition, we are considering the following actions: 1) discontinuing the millions of dollars in pro bono cyber security services we are providing the upcoming Milano-Cortina Olympics; 2) discontinuing Cloudflare’s Free cyber security services for any Italy-based users; 3) removing all servers from Italian cities; and 4) terminating all plans to build an Italian Cloudflare office or make any investments in the country.

Play stupid games, win stupid prizes. [...]

Telegram aggiunge con lunghissimo ritardo il supporto ai chatbot AI con streaming dei token il 31 dicembre, e sia Perplexity che Microsoft Copilot disattivano i relativi bot Telegram. 😅

Nessuna notizia nemmeno dell'arrivo dell'integrazione di Grok su Telegram, deal strambo secondo cui Grok avrebbe dovuto pagare Telegram 300 milioni di dollari oltre a sobbarcarsi i costi di inferenza. Era stato annunciato in pompa magna da Durov, ora migliore amico di Musk, che però aveva smentito un accordo. Che declino Telegram.

L'azienda dietro Tailwind CSS è in crisi perché con l'AI nessuno compra più il pacchetto di componenti, che era la principale fonte di ricavi per pagare il team:

But the reality is that 75% of the people on our engineering team lost their jobs here yesterday because of the brutal impact AI has had on our business. And every second I spend trying to do fun free things for the community like this is a second I'm not spending trying to turn the business around and make sure the people who are still here are getting their paychecks every month.

Traffic to our docs is down about 40% from early 2023 despite Tailwind being more popular than ever. The docs are the only way people find out about our commercial products, and without customers we can't afford to maintain the framework. I really want to figure out a way to offer LLM-optimized docs that don't make that situation even worse (again we literally had to lay off 75% of the team yesterday), but I can't prioritize it right now unfortunately, and I'm nervous to offer them without solving that problem first.

[...]

Tailwind is growing faster than it ever has and is bigger than it ever has been, and our revenue is down close to 80%. Right now there's just no correlation between making Tailwind easier to use and making development of the framework more sustainable. I need to fix that before making Tailwind easier to use benefits anyone, because if I can't fix that this project is going to become unmaintained abandonware when there is no one left employed to work on it. I appreciate the sentiment and agree in spirit, it's just more complicated than that in reality right now.

(GitHub)

Notevole infografica da Wikipedia con i risultati delle elezioni politiche nella Repubblica:

Bello che nelle "radio" Spotify (playlist partendo da un brano) ora si può scegliere se le si vuole personalizzate in base ai propri ascolti, con più "nuove scoperte", ecc.

Honey’s Dieselgate: Detecting and Tricking Testers:

MegaLag’s December 2024 video introduced 18 million viewers to serious questions about Honey, the widely-used browser shopping plug-in—in particular, whether Honey abides by the rules set by affiliate networks and merchants, and whether Honey takes commissions that should flow to other affiliates. [...] Honey was plainly breaking the rules.

As it turns out, Honey’s misconduct is considerably worse than MegaLag, I, or others knew. When Honey is concerned that a user may be a tester—a “network quality” employee, a merchant’s affiliate manager, an affiliate, or an enthusiast—Honey designs its software to honor stand down in full. But when Honey feels confident that it’s being used by an ordinary user, Honey defies stand down rules.

Il classico riassunto annuale di Simon Willison sull'AI nell'anno passato. L'indice:

It’s been a year filled with a lot of different trends.

• The year of “reasoning”
• The year of agents
• The year of coding agents and Claude Code
• The year of LLMs on the command-line
• The year of YOLO and the Normalization of Deviance
• The year of $200/month subscriptions
• The year of top-ranked Chinese open weight models
• The year of long tasks
• The year of prompt-driven image editing
• The year models won gold in academic competitions
• The year that Llama lost its way
• The year that OpenAI lost their lead
• The year of Gemini
• The year of pelicans riding bicycles
• The year I built 110 tools
• The year of the snitch!
• The year of vibe coding
• The (only?) year of MCP
• The year of alarmingly AI-enabled browsers
• The year of the lethal trifecta
• The year of programming on my phone
• The year of conformance suites
• The year local models got good, but cloud models got even better
• The year of slop
• The year that data centers got extremely unpopular
• My own words of the year
• That’s a wrap for 2025

A volte sorprende come le grandi aziende prendano così poco seriamente la sicurezza e che sia impossibile segnalare vulnerabilità:

Despite its vast wealth, Condé Nast lacks a security.txt file that explains how to report a vulnerability to them. Nowhere on its site did it plainly explain how to report a vulnerability to them.

Trying to help Condé Nast avoid compromise of what was described to me as a serious vulnerability risking more than 33 million users’ accounts, I reached out to people I know at WIRED. I also reached out to Condé Nast but received no replies from them.

(Condé Nast gets hacked)

Segmentation fault in una build TypeScript mi giunge nuova:

EDIT: era colpa di una libreria con binding Rust, il che ha ancora meno senso in realtà.

Bi-weekly: occurring every two weeks or twice a week.

Ah beh, adesso sì che è chiaro.

DatoCMS è un CMS headless in cloud e ha festeggiato i primi 10 anni. L'azienda è italiana! (Dato srl - 06969620480 - Via Uberto Visconti di Modrone 2 - Milano). Bootstrapped, e se ne vantano:

We're not bragging (okay, we're bragging a little) but it turns out that not burning through VC cash on ping-pong tables and "growth at all costs" actually works.

I risultati:

• 6,5 milioni di euro di fatturato con crescita annuale del 10%;
• margine EBIT del 65%;
• 13 dipendenti.

Qualche dettaglio tecnico di scala:

This year, DatoCMS handled an average of 3.5B API calls/month (+80%), while serving 500TB of traffic/month and 4.5M optimized video views/month. At the same time, we executed the most ambitious engineering project in our history: a complete migration from Heroku to a custom Kubernetes cluster on AWS.

The Bottom Line: We lowered overall infrastructure costs by over 25%, reduced Content Delivery API latency by 50%, expanded Realtime API capacity by 10×, and gained full control across every infrastructure layer. And we kept our sanity. Mostly.

Hanno internalizzato il commercialista, apparentemente:

While liberating ourselves from managed hosting, we made another quiet move: we fully internalized our accounting. For years, we outsourced this to external firms — the typical setup where you hand over receipts and hope for the best. But as we grew, flying blind between quarterly reports became untenable. Now we run everything in-house with full visibility into our finances at any moment.

Sui 13 dipendenti, da un post di tre anni fa quando i dipendenti erano 8:

Marketing. In the last 8 years, we have spent literally zero energy on marketing. Believe it or not, we still mainly function through word of mouth. Are we leaving huge amounts of money on the table? Absolutely. But it allows us to be few.

Sales. We have built a company designed for small businesses and self-service purchasing, with our focus on usability and documentation. Our sales team consists of 2-3 people. This means far less enterprise clients than we could have. But it allows us to be few.

Insourcing. We delegate everything that's non-core outside of our company. Billing system, servers, CDNs, database management, you name it. We pick best-of-breed external services, and we pay them what they deserve, without reinventing the wheel. Again, we're probably loosing some money, but it allows us to be few, and only focused on what really matters.

C'è uno storico problema di TCP che torna periodicamente nelle discussioni online (quella di oggi): il modo in cui l'algoritmo di Nagle e gli ACK ritardati interagiscono causando latenza aggiuntiva non necessaria. Nello specifico:

• L'algoritmo di Nagle ritarda la trasmissione di dati da parte del client finché ci sono dei dati non confermati, con l'idea di ridurre l'overhead dell'header TCP/IP. Ad esempio se scrivo una lettera in un terminale remoto i dati da trasmettere sono pari a 1 byte, ma gli header sono decine di byte.
• Gli ACK ritardati agiscono dall'altro lato della connessione ritardando appunto gli ACK se si ritiene che ci saranno a breve (es. 200ms) dati di risposta da inviare (piggybacking sull'ACK).

Il risultato è questo:

The interaction between these two features causes a problem: Nagle’s algorithm is blocking sending more data until an ACK is received, but delayed ack is delaying that ack until a response is ready.

Da qui la "proposta" di un ingegnere AWS di disattivare Nagle praticamente sempre, e quindi attivare l'opzione TCP_NODELAY sui socket oppure a livello di sistema operativo:

First, the uncontroversial take: if you’re building a latency-sensitive distributed system running on modern datacenter-class hardware, enable TCP_NODELAY (disable Nagle’s algorithm) without worries. You don’t need to feel bad. It’s not a sin. It’s OK. Just go ahead.

More controversially, I suspect that Nagle’s algorithm just isn’t needed on modern systems, given the traffic and application mix, and the capabilities of the hardware we have today. In other words, TCP_NODELAY should be the default.

Dopo Quickwit scopro Nixiesearch, essenzialmente un Elasticsearch backed by object storage (S3, ecc.).

Una serie di esperimenti interessanti sul comportamento degli LLM. Il più innocuo: un fine-tuning su nomi di uccelli estratti da libri antichi fa pensare all'LLM di essere in quel periodo storico anche in altri ambiti.

(paper, fonte)

Un sito ben fatto, Logging Sucks, per spiegare due concetti di logging nelle applicazioni:

• Structured logging, cioè spezzare il messaggio testuale nelle sue componenti in modo che siano filtrabili (ogni log line è un oggetto JSON, in pratica).
• Wide events, cioè avere una singola log line per ciascun evento nel senso più ampio possibile. Ad esempio una richiesta HTTP produce un log che contiene tutte le info di contesto su ciò che è successo durante l'elaborazione, al posto di avere le informazioni sparse tra più righe di log.

Molto d'accordo sul primo (anche se preferisco una forma ibrida con messaggio formattato + variabili scorporate), meno sul secondo. Righe di log separate con un id di correlazione lo troverei più comodo (a meno di logging su scale enormi che finora non mi sono capitate).

I server NTP del NIST sono almeno in parte KO e fuori sync rispetto al tempo di riferimento:

In short, the atomic ensemble time scale at our Boulder campus has failed due to a prolonged utility power outage. One impact is that the Boulder Internet Time Services no longer have an accurate time reference. At time of writing the Boulder servers are still available due a standby power generator, but I will attempt to disable them to avoid disseminating incorrect time.

The affected servers are: time-a-b.nist.gov time-b-b.nist.gov time-c-b.nist.gov time-d-b.nist.gov time-e-b.nist.gov ntp-b.nist.gov (authenticated NTP)

Il NIST su X però scrive che:

Don't worry: time isn't broken. NIST's backup systems kept providing accurate time even during the power outage in Boulder. Our clocks drifted about 4 microseconds or millionths of a second, which we will correct when power is fully restored.

Quindi non è chiarissimo quali e dove siano questi sistemi di backup. Nella comunicazione c'è anche scritto che:

Another campus building houses additional clocks backed up by a different power generator; if these survive it will allow us to re-align the primary time scale when site stability returns without making use of external clocks or reference signals.

Ma sono solo di backup come reference di disaster recovery o sono esposti pubblicamente?

Anna's Archive, il catalogo di tutto lo scibile umano (per lo più illegale anche se l'obiettivo è nobile e non fa hosting direttamente), si estende dai libri alla musica collezionando l'intero catalogo di Spotify. La cosa interessante sono i numeri:

• 300 TB
• Metadati per 256 milioni di tracce
• File musicali Vorbis per 86 milioni di tracce, cioè il 99,6% degli ascolti

Ma la cosa più interessante sono i dati che si possono estrarre, ad esempio quelli attorno al popularity score (0-100):

In questa pagine c'è la lista dei 10mila brani più popolari.

Glow up di Brightcove dopo l'acquisizione da parte di Bending Spoons: nuovo sito, numerose nuove feature in pochissimi mesi e una consistente roadmap di prodotto per il 2026.

Scrive Dan Rayburn, esperto commentatore del settore:

For those suggesting that Brightcove is no longer in the market or that everyone has been fired since the Bending Spoons acquisition, that's far from reality. In the eleven months since being acquired by Bending Spoons, Brightcove has added more features, functionality, and focus than standalone Brightcove ever achieved in the same period. Looking inside my Brightcove account, it's great to see how much has been added and enhanced.

The company just refreshed its website with a clean, modern look, refocusing its messaging on what its platform does and where its sweet spot lies in the market. They also rolled out a vertical video gallery template across their platform, 4K support for live streaming, auto captioning, a new metadata optimizer tool, and the ability to localize videos into over 50 languages directly within the platform.

In the new year, they plan to roll out a new player UX/UI, a native recommendation engine, a modern gallery experience, the ability to do more with interactive video, and what they are calling AI Content Multiplier, which can turn a single piece of content into various clips.

A lot of progress has been made since the acquisition, and that's the strength of Bending Spoons: knowing how to build and enhance software services at scale with focus, with focus being the keyword. Previously, Brightcove tried to be everything to everyone and built features that weren't needed by its core customer base. Part of its business had turned into a pro-services show, which is not its strength. It's good to see Brightcove back to its roots, offering solutions for two use cases in the market: corporate comms/marketing and broadcast/OTT streaming.

Bending Spoons è senza dubbio brava nel rilancio dei prodotti (si veda anche la rivoluzione Evernote). Non piace perché alza i prezzi. Sono curioso di vedere cosa succederà con Vimeo, che ha un'identità confusissima da molto tempo.