Ce qu’il faut retenir de PHPverse 2026
Le 9 juin, PHPverse 2026 a rassemblé des développeurs PHP de tous horizons autour de conférences animées par des experts, de discussions passionnantes et même d’une tentative de capturer un elePHPant en pleine course. Le live stream de cinq heures a totalisé 15 000 vues et généré 10 206 commentaires dans le chat en direct. Au plus fort de l’événement, plus de 2 600 personnes le suivaient simultanément.
Notre objectif était d’offrir une tribune aux représentants de différents domaines de l’écosystème PHP Et malgré la diversité des points de vue, les principaux défis et priorités mis en avant lors des différentes interventions étaient les mêmes : cohabiter avec les agents d’IA, répondre aux nouvelles menaces de sécurité, encourager les contributions et l’implication de la communauté, et poursuivre l’évolution de PHP sur les bases solides de sa version moderne.
Voici un récapitulatif des interventions et de leurs principaux enseignements.
Fabien Potencier sur la maintenance du projet Symfony
En tant que mainteneur depuis 20 ans du projet GitHub open source de Symfony, composé de plus de 320 référentiels issus de « subtree split », Fabien attribue sa longévité à une poignée de décisions : une équipe centrale de mainteneurs stable, des partis pris assumés, une prévisibilité stricte et une rétrocompatibilité non négociable. En plus des pratiques de longue date, les agents et les LLM introduisent aussi de nouvelles tendances dans la maintenance des projets OSS.
De l’humain utilisant des scripts à l’humain doté de compétences d’agent.
Fabien a expliqué comment il utilise son propre agent d’IA (développé en PHP !) et enrichit continuellement ses compétences pour automatiser davantage le traitement des pull requests, la résolution des conflits Git et la livraison des nouvelles versions.
Un bon ticket sur GitHub est un bon prompt. Nous n’avons plus besoin de la pull request.
Fabien a également expliqué comment l’IA est en train de transformer la notion de contribution de qualité à un projet open source : on passe d’une pull request contenant directement une correction à un signalement de problème détaillé et reproductible, accompagné d’un contexte clair, des étapes permettant de reproduire le problème et des échanges qui l’entourent. Si le ticket est suffisamment détaillé, il constitue en réalité un prompt bien formulé. L’agent peut le prendre en charge et générer lui-même le correctif.
Nous utilisons Terraform d’une manière intéressante : nous ne gérons pas des serveurs. Tout l’enjeu est d’assurer la cohérence entre tous les référentiels GitHub.
L’utilisation de Terraform par Symfony mérite une attention particulière. Grâce à Terraform, Symfony considère ses monorepos comme la source de référence unique et garantit la cohérence des descriptions, des étiquettes et des autorisations des équipes sur plus de 320 dépôts GitHub.
Regardez l’intégralité de la conférence :
Ashley Hindle au sujet de l’infrastructure nécessaire à la livraison du code généré par des agents
Après plus de 20 ans à développer en PHP et plus de 500 000 milliards de jetons consommés auprès des principaux fournisseurs d’IA, Ashley Hindle laisse désormais ses agents écrire environ 99 % de son code. Lors de sa présentation, il a expliqué que l’IA peut désormais générer de façon fiable du code PHP prêt à être déployé en production. Mais cette capacité ne se révèle réellement que si vous préparez vos systèmes à collaborer avec des agents d’IA (« agent-ready »).
Réduire l’écart entre ce que les agents sont capables de produire et ce qu’ils produisent réellement est désormais la nouvelle mission des développeurs.
Ashley a présenté la préparation aux agents (agent readiness) comme un ensemble de piliers reposant sur une base commune : des environnements de développement reproductibles, parallélisables et dotés de tout ce dont un agent a besoin pour fonctionner.
Le point majeur, selon son expérience, est de garantir aux agents une boucle de rétroaction rapide grâce à des garde-fous qualité rigoureux. Ceux-ci s’articulent autour de trois niveaux de validation : des contrôles pré-commit limités aux fichiers modifiés, des contrôles pré-push portant sur l’ensemble de la base de code, puis une validation complète orchestrée par un agent, incluant des tests de fumée et des tests de navigateur en mode headless.
Votre fichier AGENTS.md doit servir de point d’entrée vers les règles et la documentation de référence. En revanche, leur vérification et leur application doivent être automatisées à l’aide des outils de développement classiques.
Surtout, les règles doivent être intégrées aux outils (Rector, PHPStan, Laravel Pint, Pest), et non à un fichier d’instructions surchargé. Les agents ne doivent intervenir qu’une fois les corrections automatiques effectuées par ces outils.
Le fichier de directives AGENTS.md du projet actuel d’Ashley ne compte que 124 lignes. Il commence par présenter l’objectif du projet et fait référence à des « exemples de référence » (golden examples) pour un test ou une fonctionnalité. Il complète cela avec des compétences (ses préférées étant les compétences de conception frontend d’Antropic, ainsi que des compétences pour les animations SVG, l’automatisation du navigateur et les publications), ainsi qu’avec des référentiels de documentation clonés comme références.
En ce qui concerne le prompt, Ashley recommande de commencer votre travail en mode Plan et de demander à l’agent de vous poser des questions sur ce que vous souhaitez accomplir. Il recommande également de toujours référencer les fichiers pertinents.
Regardez l’intégralité de la conférence :
Jonathan Bossenger sur ce qu’est WordPress aujourd’hui
Mon objectif aujourd’hui n’est pas de vous convaincre de toujours choisir WordPress. Je crois qu’il faut choisir le bon outil en fonction du travail que l’on a à faire. Mais ne l’écartez pas à cause de préjugés qui ne sont peut-être plus d’actualité.
Dans sa conférence, Jonathan Bossenger déconstruit 10 des idées reçues les plus répandues sur WordPress. S’appuyant sur l’idée reçue selon laquelle le WordPress moderne reposerait sur une base de code obsolète et peu conforme aux principes de la programmation orientée objet (POO), il a montré que le projet recommande désormais PHP 8.3 pour les nouvelles installations. Il a également souligné que l’éditeur Gutenberg et les composants plus récents du cœur de WordPress, comme l’API Interactivity, le client d’IA et l’adaptateur MCP, s’appuient largement sur des pratiques modernes du langage PHP, notamment les déclarations de types, les espaces de noms et des schémas plus stricts.
L’éditeur de blocs a également évolué. Désormais, les thèmes basés sur des blocs utilisent le langage de templating déclaratif propre à WordPress, qui remplace les anciens modèles truffés de balises PHP.
WordPress 6.9 affiche un gain de vitesse de 2,8 à 5,8 par rapport à WordPress 6.8, et chaque nouvelle version continue d’accélérer à un rythme similaire.
Jonathan s’est également attaqué à la stigmatisation liée aux performances. WordPress dispose aujourd’hui d’une équipe dédiée au développement du plugin performance lab, qui permet d’obtenir des gains de performance constants et mesurables d’une version à l’autre, rompant avec la lenteur des années passées.
Parmi les autres idées reçues sur WordPress que Jonathan a largement dissipées figurent notamment celles selon lesquelles le CMS reposerait fortement sur un état global, dépendrait excessivement des extensions pour gérer les champs personnalisés, utiliserait des paradigmes incohérents, présenterait des failles de sécurité et ne disposerait pas d’une véritable gestion des dépendances. Il a également abordé l’utilisation de WP_Error à la place des exceptions.
Regardez l’intégralité de la conférence :
Nils Adermann sur la sécurité des dépendances Composer en 2026
Deux incidents de sécurité récents (un SDK PHP Intercom compromis et une attaque contre le projet Laravel-Lang) ont montré que les modèles de menaces auxquelles font face les développeurs ont évolué et que les paquets PHP sont désormais une cible directe.
Un seul compte GitHub compromis, ou une GitHub Action mal sécurisée, suffit désormais à compromettre un paquet PHP largement utilisé.
Dans son intervention, Nils Adermann, co-créateur de Composer et Packagist, a évoqué en détail les protections déjà en place pour Composer et Packagist, les évolutions récentes et ce qui est prévu pour la suite.
Nous cherchons désormais à mettre davantage l’accent sur la prévention plutôt que sur la réaction.
Parmi les mesures de sécurité déjà mises en place, Nils a cité l’intégration d’un flux Aikido Malware dans Packagist, l’analyse statique des GitHub Actions via zizmor, des versions stables immuables, un cadre de gestion des politiques de dépendances, ainsi que la dépréciation du mécanisme de repli vers les sources (source-fallback), qui pouvait contourner les blocages liés aux logiciels malveillants.
Par ailleurs, un certain nombre de mesures sont encore en cours de déploiement. Parmi celles-ci, un délai minimal avant publication des versions (« cooldown »), la propriété organisationnelle des packages, une publication progressive des versions avec des validations par authentification multifacteur (MFA), des politiques de provenance côté client, et bien d’autres améliorations encore.
Regardez l’intégralité de la conférence :
Jeffrey Way sur la façon dont l’IA transforme le monde des développeurs
Que signifie l’IA, concrètement, pour les développeurs web ? Selon les discussions que vous lisez actuellement sur les réseaux sociaux, vous allez soit devenir pratiquement inarrêtable, soit vous retrouver au chômage. Dans sa présentation, Jeffrey Way a abordé trois préoccupations, trois avancées et trois réalités avec lesquelles les développeurs doivent aujourd’hui composer.
Allons-nous tous retrouver sans emploi dans quelques mois ? C’est la grande question. La réponse est peut-être. Mais probablement pas. Sûrement pas.
Les points positifs s’articulent autour de l’ambition et du plaisir. L’IA vous permet de construire des choses que vous n’auriez jamais eu le temps de créer, des choses que vous n’étiez pas capable de réaliser, et de vous débarrasser des tâches que vous avez toujours détestées.
Jeffrey a également appelé à repenser nos principes et systèmes actuels (par exemple, ce que signifie à présent un commit ou un sprint de six semaines, ou encore si les bonnes pratiques optimisées pour les humains restent valables). Il a proposé de considérer les compétences réutilisables comme « une sorte de Wikipédia pour les bonnes pratiques de programmation ».
Regardez l’intégralité de la conférence :
Mike Herchel sur le Drupal moderne
Mike Herchel, contributeur de longue date au cœur de Drupal, a remis en question certaines idées reçues sur Drupal et montré à quel point Drupal CMS et le framework Drupal Core ont évolué.
En coulisses, le PHP moderne rend Drupal plus rapide. Depuis l’adoption de la programmation orientée objet en PHP et des composants Symfony autour de 2015, Drupal s’appuie sur Composer, l’injection de dépendances, les fibres PHP et ce que Mike considère comme le meilleur système de cache qu’il ait jamais vu. Une version récente a réduit les requêtes de base de données jusqu’à 33 %, et HTMX remplace l’ancien système Ajax de jQuery.
Il est conçu pour les agents.
Enfin, Mike a souligné à quel point l’architecture de Drupal est prête pour l’IA. Ses API strictes et orientées objet, ainsi que son contenu structuré, offrent aux agents le feedback sans ambiguïté dont ils ont besoin. L’initiative IA de Drupal fournit des modules de base pour des connexions sécurisées aux fournisseurs, ainsi que plus de 20 modules complémentaires, et les agents peuvent désormais générer des composants de code JSX, des classes Tailwind, du CSS, et même des workflows ECA.
Regardez l’intégralité de la conférence :
Larry Garfield sur les coulisses du processus des RFC PHP
L’intervention de Larry Garfield portait sur la machinerie derrière les nouvelles versions du langage PHP et sur la manière dont chaque personne utilisant PHP peut s’impliquer. Larry a expliqué le fonctionnement de la liste de diffusion, ce qui caractérise une bonne fonctionnalité de langage, le cycle de vie d’une RFC et le système de vote. Il a ainsi montré que contribuer à un langage qui « fait fonctionner Internet » revient à aider des millions de développeurs.
Vous n’avez pas besoin d’avoir déjà examiné une seule ligne de code C pour pouvoir participer aux discussions et dire : « Je l’utiliserais sans hésiter » ou au contraire : « Je ne l’utiliserai jamais ».
En plus d’encourager chacun à devenir auteur de RFC, Larry a invité tous les utilisateurs de PHP à participer aux discussions autour des RFC soumises, à partager leurs retours et à contribuer à définir les propositions qui seront retenues pour passer à l’étape du vote.
La conversation a également porté sur les RFC qui sont déjà devenues des fonctionnalités de PHP. Selon Larry, la promotion des propriétés par le constructeur est la meilleure fonctionnalité PHP de la dernière décennie. À l’avenir, il serait ravi de voir arriver les génériques, mais il soutient que, du point de vue de l’écosystème, FrankenPHP est « la chose la plus importante qui se passe actuellement ».
Regardez l’intégralité de la conférence :
Elizabeth Barron sur la PHP Foundation
Elizabeth Barron, la nouvelle directrice exécutive de la PHP Foundation, s’est exprimée sur la raison d’être de cette organisation. L’objectif est de garantir la pérennité et la viabilité de PHP sur le long terme, en finançant des personnes pour travailler sur le langage tout en restant explicitement à l’écart de sa gouvernance.
Pour 2026, l’objectif est de renforcer la présence de la Fondation et de construire davantage avec la communauté à travers plusieurs groupes d’intérêt : une équipe de sécurité de l’écosystème, un programme d’ambassadeurs PHP, une initiative d’accueil des nouveaux arrivants, un groupe dédié à la cryptographie, une coalition autour des événements communautaires et un groupe consacré à l’accessibilité et à l’inclusion.
Elizabeth a également mis l’accent sur l’importance du changement de perception à l’égard du PHP moderne :
Suis-je inquiète pour PHP ? Pas du tout. Et ce pour deux raisons : la communauté et le langage lui-même. Il est excellent, il est stable et il fait exactement ce que vous voulez qu’il fasse. Le langage n’est pas le problème, c’est plutôt la perception que l”on en a encore aujourd’hui. Et on peut faire évoluer cette perception : il suffit de mieux raconter l’histoire du PHP moderne et de mettre en lumière ses évolutions.
Lorsqu’on lui a demandé comment la fondation dépenserait un hypothétique parrainage de 100 millions de dollars, Elizabeth a immédiatement répondu : dans le backlog des tickets et des PR ouvertes dans le code source PHP.
Se débarrasser de la dette technique permettrait d’avancer beaucoup plus facilement. Je pense que l’une des raisons pour lesquelles il faut du temps pour que les éléments soient fusionnés, c’est que le processus n’est pas simple. Ajuster nos processus, faire du ménage… tout cela demande du temps, de l’argent et de l’énergie, et il y a tant d’autres choses passionnantes sur lesquelles travailler.
Regardez l’intégralité de la conférence :
Ne manquez pas l’édition de PHPverse de l’année prochaine
Nous avons hâte de vous voir particper à PHPverse l’an prochain. Abonnez-vous à la liste de diffusion pour être parmi les premiers informés de la date et de la programmation de l’événement de l’année prochaine.
Vous souhaitez intervenir en tant que conférencier ? Faites-nous part de votre proposition d’intervention ici.
Et n’oubliez pas de suivre PhpStorm sur X pour toutes les dernières actualités.
Auteur de l’article original en anglais :
