Le Comité éthique et scientifique de Parcoursup aimerait que la presse se détourne un peu de la question de la publication du code de la plateforme. Dans son rapport, il consacre un chapitre aux « données au cœur de Parcoursup » introduit par : « depuis la création de la plateforme Parcoursup, l’attention des candidats et des médias se focalise sur l’aspect algorithmique du traitement par la plateforme des données, en particulier en ce qui concerne le calcul de l’ordre d’appel ».

Pour ce comité, présidé par Gilles Roussel (président de l'Université Gustave Eiffel), ce sujet, qu'il a abordé notamment l'année dernière dans son cinquième rapport, n'est pas le plus important dans Parcoursup : « plus que ces traitements algorithmiques, ce sont les données de Parcoursup (fournies par les établissements d’origine, les candidats ou encore les formations) qui constituent le cœur de la plateforme ». Pourtant, c'est bien du code qui gère ces données dont il est question tout au long de ce chapitre.

• Parcoursup : six ans après, la promesse d’ouvrir le code n’est pas tenue, Ouvre-boîte « pas surprise »

Une contradiction entre le Comité et la plaidoirie du Ministère contre l'ouverture du code

Le rapport du comité éthique et scientifique de Parcoursup l'assure : « depuis son instauration, Parcoursup n’a connu aucun problème majeur de données ». Et il s'enorgueillit du « satisfecit de l’ANSSI » suite à un audit réalisé en février 2023. Celui-ci concernait la sécurité de la plateforme, de son infrastructure « ainsi qu’un audit du code et de sa résistance aux tentatives d'intrusion ».

Et les rapporteurs affirment que le résultat a été « évalué comme bon par rapport à l'état de l'art, ce qui est assez rare pour être mis en valeur ». Il ajoute que « les quelques points de vulnérabilité ont été corrigés et ont fait l’objet d’un contre-audit ». Le Service à Compétence Nationale (SCN) Parcoursup souhaiterait même que cet audit soit renouvelé tous les deux ans.

Pourtant, en novembre 2023, le Tribunal administratif de Paris a rejeté la demande de l'association Ouvre-boîte qui voulait accéder au code source complet de Parcoursup, s'appuyant sur des recommandations du prestataire externe en cybersécurité du ministère chargé de l’Enseignement supérieur.

Celui-ci expliquait, en septembre 2022, que « la publication en ligne du code source complet de l’application Parcoursup en laisserait apparaître les vulnérabilités et serait, ainsi, susceptible de porter atteinte à la sécurité des systèmes d’information de l’administration ». Six mois après, l'audit du code satisferait pourtant l'ANSSI.

Dans ce rapport, le comité valide la taille de l'équipe dédiée à Parcoursup, expliquant qu'elle est « dimensionnée à la hauteur de l’enjeu ». Auparavant, il avait pointé le danger d'un fonctionnement « en mode commando » mais, selon lui, le ministère a maintenant « mis les moyens nécessaires : le service est passé de 14 personnes en 2018 à 30 en 2023 ».

Un tout petit peu plus d'aperçu sur le fonctionnement

Le comité explique aussi un peu plus le fonctionnement technique de la plateforme. Il rappelle que les classements des candidats ne sont pas de la responsabilité de l'équipe de Parcoursup mais de celle de l’établissement porteur de la formation. « La responsabilité de Parcoursup est de les stocker et les utiliser correctement » insiste-t-il.

Il liste les données générées par la plateforme :

• « les classements d’appel, calculés à partir des classements des formations en intégrant les différents quotas et le cas échéant les contraintes d’internat ;
• l’appariement des classements et des vœux, ainsi que les propositions et les informations sur le classement dans les listes d’attente qui en découlent ;
• il faut ajouter, pour les formations qui l’utilisent, la génération des pré-classements, les formations en vue des délibérations de leurs commissions ».

Il rappelle que l'appariement entre les formations et les candidats est géré via l'implémentation de l'algorithme de Gale et Shapley, dont l’objectif est de trouver la solution optimale face à la multitude de couples de données étudiant-formation. Celle-ci fait d'ailleurs partie de la petite partie du code publié.

• Au Conseil d’État (entre autres), le cas ambivalent de Parcoursup

Le comité explique que « toutes les procédures importantes disposent de deux implémentations indépendantes, une en SQL et une en Java, dont les résultats sont comparés pour s’assurer qu’aucune erreur ne s’introduit dans le traitement ».

Des anomalies « rares et mineures »

Pour le comité éthique et scientifique de la plateforme, les anomalies qu'a subies Parcoursup sont « rares et mineures grâce à la réactivité du SCN et à des procédures adaptées de correction ».

Il note une erreur de manipulation qui s'est produite lors de la session 2023 : le report erroné de notes de l'épreuve anticipée de français dans une académie. Des candidats l'ont détectée et elle a été corrigée sans conséquence.

Mais le comité note un problème lors de la rectification de notes des épreuves de spécialité « du fait des délais très courts ». « Une centaine d’erreurs de numérisation des copies ont conduit les correcteurs à noter des copies incomplètes », explique le rapport. Les erreurs ont été rectifiées après signalements des candidats.

« Étant donné l’abandon de l’avancement des épreuves de spécialité, cette question de remontée des notes des épreuves de spécialité trop tardive pour permettre des rectifications avant les commissions d’examen des vœux, ne se pose plus à partir de 2024 » estime-t-il.

Le comité explique que l'équipe de la plateforme a mis en place une batterie de tests permettant de « détecter les classements suspects en provenance des commissions d’examen des vœux ». Elle communique ensuite avec l'établissement pour vérifier les données.

Des fuites imputées aux personnels

Le comité impute aux personnels des lycées les « rares fuites signalées en 2023, dont la presse s’est fait l’écho », en expliquant qu'ils auraient manqué de vigilance.

Pour 2024, il explique la « seule fuite de cette année » par la présence d'un « mouchard captant les frappes sur les touches d’un clavier (keylogger) » sur l'ordinateur de « quelqu’un ayant les droits de chef d’établissement ».

Suite à ce piratage, l'accès extérieur de la plateforme a été bloqué pendant deux jours et une « authentification par double facteur pour les personnels ayant un accès privilégié à la plateforme » a été mise en place.

Réparer Parcoursup ?

Dans son rapport, le comité signale des initiatives « d'intérêt commun » dont le hackaton « Réparer Parcoursup ? ». Celui-ci, soutenu par la métropole de Rennes, vise à proposer des améliorations à la plateforme.

« On peut imaginer et souhaiter que de telles initiatives se multiplient, créant un écosystème autour de Parcoursup, à condition de rester vigilant sur le bien commun comme objectif » note, prudent, le comité. On pourra ajouter que sans une bonne partie du code, le ministère est loin de les favoriser.