Forum PHP 2026 : notre retour sur les conférences

Les 8 et 9 octobre, nous nous sommes retrouvés à l’Hôtel New York – The Art of Marvel où l’AFUP organisait le Forum PHP 2026, pour la cinquième année consécutive. Une édition que l’on savait spéciale pour l’association, celle-ci ayant fédéré un mois plus tôt plus de 70 structures autour d’une lettre ouverte sur la survie des événements tech. Malgré un contexte économique tendu, ce sont finalement plus de 500 participant·es qui ont assisté pendant deux jours à des conférences de très haute qualité. Découvrez dès à présent notre retour sur les conférences. 

Les temps forts des conférences du jeudi

L’équipe de l’AFUP a lancé ce Forum 2026 avec un ice-breaker très drôle, avec un clin d’œil à celui de l’an dernier. Cette introduction a permis de lancer le traditionnel jeu communautaire et la keynote d’ouverture du président de l’association.

Nicolas Grekas a ouvert la matinée avec Symfony 8.2 et des chiffres sur le rythme du projet : trois fois plus de PR mergées, une vingtaine de PR ouvertes contre 300 par mois avant, et 375 features à venir dans la prochaine version contre environ 200 dans les versions précédentes. Il attribue ce changement aux agents qui accélèrent drastiquement le processus de décision grâce à des skills pensés pour. Évidemment, la décision finale lui revient toujours. Parmi les nouveautés en question, nous retenons le nouveau composant KeyManagement et le BatchDispatcher de Messenger. Et une page d’Exceptions toute neuve !

En face, notre coopérateur Antoine Bluchet partait d’un side project de gestion d’entretien automobile pour exposer son métier à des agents IA avec API Platform. En évitant d’écrire le code métier spécialement pour les agents, il transforme les ressources existantes en outils MCP très facilement. Cette conférence existe en anglais, sur notre chaîne YouTube

Thomas Dutrion a enchaîné sur le PHP défensif en partant d’un constat : plus vous trouvez une erreur tard, plus elle est coûteuse. Cela fait du bien de rappeler des bases. Alors, il mise sur le typage strict et les value objects. Sa trame se termine par une règle : échouer fort, pour que le code marche ou dise pourquoi il ne marche pas.

Joel Gomez Caballe et Bastien Jaillot ont raconté l’histoire d’une billetterie née en 2014 et qui a grossi jusqu’à la mise en vente de places pour un concert de Céline Dion. Le site est tombé en trois secondes. Aucun monitoring en place à l’époque : c’étaient les utilisateurs finaux qui signalaient les bugs ! En faisant appel à l’aide d’un prestataire externe, et donc objectif, le projet a réussi à évoluer. Avec quelques quickwins comme mettre derrière un Varnish tout sauf la connexion et la commande (le cœur du métier) ou ajouter des métriques Datadog, le client, qui voyait chaque changement, reprenait un peu confiance et accordait le feu vert suivant. De son côté, l’équipe y voyait aussi plus clair ce qui lui a permis de se pencher sur les problèmes les plus critiques. Ils ont terminé sur une question qu’on vous repose : chez vous, qui donne l’alerte ?

Yoann Blot a présenté Mago, un outil en Rust qui réunit formatter, linter et analyse statique dans un seul binaire. Grâce à sa rapidité d’exécution il a été possible de monter un workflow IA qui corrige automatiquement les problèmes le plus en amont possible.

En fin d’après-midi, notre coopérateur Alexandre Daubois a ouvert les coulisses de l’Ecosystem Security Team de la PHP Foundation et raconté comment l’équipe travaille à l’ère de l’IA, quand les LLM accélèrent la découverte de vulnérabilités pour les défenseurs comme pour les attaquants, ce qui éclaire la saturation des CVE évoquée par Nicolas le matin.

Ce que l’on a retenu du vendredi

Mathias Arlaud, avec sa conférence très concrète et percutante, a déconstruit nos mauvais réflexes sur la gestion de la mémoire et des réponses HTTP dans Symfony. La métaphore des bûches et de la rivière rend le sujet ultra parlant : on comprend immédiatement pourquoi nos applications s’étouffent dès qu’il s’agit de gros volumes ou de LLM. Il a balayé tout le spectre du streaming, du simple StreamedResponse avec Doctrine aux nouveautés modernes comme le JsonStreamer, les SSE et Mercure, tout en gardant une vraie lucidité. La fin nuance intelligemment le propos : streamer n’est pas une balle en argent (workers bloqués, connexions DB maintenues) et l’expérience utilisateur doit toujours passer avant le confort technique.

Sebastian Bergmann a enchaîné avec « Speed is a byproduct of trust ». Il a proposé que les humains écrivent la spécification sous forme de tests et que les agents écrivent l’implémentation. Ce qui sécurise le travail avec des agents est la qualité des tests, et l’IA est plus rapide pour coder.

Notre coopérateur Kévin Dunglas a pris le relais avec les nouveautés de Mercure 1.0. Ce protocole a mis 7 ans pour sortir en version stable. Mais aujourd’hui il s’avère vraiment adapté pour le temps réel et les nouveaux usages.

François Zaninotto, nous a offert un retour d’expérience passionnant (et léger comme à son habitude) qui pose les bases d’un nouveau paradigme : le « SEO du code ». Ce qui aide une IA aide aussi les humains, tout en désamorçant le mirage du « tout auto ». La vision est très pragmatique : garder le contrôle humain là où la valeur métier réside (comme la rédaction des tests), enrichir le contexte via des docblocks verbeux, et border le travail des agents avec des garde-fous stricts (hooks, MCP comme Context7).

Benjamin Georgeault a poussé la méfiance jusqu’à la base de données avec le zéro trust. Ce principe consiste à ne faire confiance à aucun aspect de son application – qu’il s’agisse de l’app, du transit, ou de la base de données. Il pousse aussi à se poser la bonne question : il ne s’agit pas de savoir si mais plutôt quand notre app aura une fuite de données. Ainsi, il nous propose de chiffrer les données sensibles dès qu’elles arrivent dans l’app. Avec le chiffrement par enveloppe, la base ne voit pas la donnée en clair, le réseau non plus, et l’application ne touche pas la clé de chiffrement principale, qui reste dans le KMS. Il a repris le composant KeyManagement présenté la veille par Nicolas, et nous avons aimé voir deux talks se répondre. Enfin, pour effectuer une recherche dans ces données chiffrées, il faut passer par un blind index.

Ce que l’on a rapporté dans nos valises

Nous sommes reparti·es avec une liste de choses à tester, à expérimenter, et des habitudes à changer. Le Forum PHP est toujours un très bon moment de partage et d’échange sur notre métier, et ces deux jours de conférences permettent de prendre de la hauteur sur notre quotidien. Nous espérons retrouver très prochainement la communauté de l’AFUP en 2027. Peu importe le format, on sera là !