Mardi 4 mars, le Comité éthique et scientifique de Parcoursup rendait son rapport à la ministre de l'Enseignement supérieur et de la recherche, Sylvie Retailleau. Ce document insiste sur les « données au cœur de Parcoursup » et sur le satisfecit de l'ANSSI concernant leur sécurité, ce qui contraste avec les arguments récemment utilisés par le ministère pour justifier la non-publication du code de la plateforme.
Le Comité éthique et scientifique de Parcoursup aimerait que la presse se détourne un peu de la question de la publication du code de la plateforme. Dans son rapport, il consacre un chapitre aux « données au cœur de Parcoursup » introduit par : « depuis la création de la plateforme Parcoursup, l’attention des candidats et des médias se focalise sur l’aspect algorithmique du traitement par la plateforme des données, en particulier en ce qui concerne le calcul de l’ordre d’appel ».
Pour ce comité, présidé par Gilles Roussel (président de l'Université Gustave Eiffel), ce sujet, qu'il a abordé notamment l'année dernière dans son cinquième rapport, n'est pas le plus important dans Parcoursup : « plus que ces traitements algorithmiques, ce sont les données de Parcoursup (fournies par les établissements d’origine, les candidats ou encore les formations) qui constituent le cœur de la plateforme ». Pourtant, c'est bien du code qui gère ces données dont il est question tout au long de ce chapitre.
Une contradiction entre le Comité et la plaidoirie du Ministère contre l'ouverture du code
Le rapport du comité éthique et scientifique de Parcoursup l'assure : « depuis son instauration, Parcoursup n’a connu aucun problème majeur de données ». Et il s'enorgueillit du « satisfecit de l’ANSSI » suite à un audit réalisé en février 2023. Celui-ci concernait la sécurité de la plateforme, de son infrastructure « ainsi qu’un audit du code et de sa résistance aux tentatives d'intrusion ».
Et les rapporteurs affirment que le résultat a été « évalué comme bon par rapport à l'état de l'art, ce qui est assez rare pour être mis en valeur ». Il ajoute que « les quelques points de vulnérabilité ont été corrigés et ont fait l’objet d’un contre-audit ». Le Service à Compétence Nationale (SCN) Parcoursup souhaiterait même que cet audit soit renouvelé tous les deux ans.
Pourtant, en novembre 2023, le Tribunal administratif de Paris a rejeté la demande de l'association Ouvre-boîte qui voulait accéder au code source complet de Parcoursup, s'appuyant sur des recommandations du prestataire externe en cybersécurité du ministère chargé de l’Enseignement supérieur.
Celui-ci expliquait, en septembre 2022, que « la publication en ligne du code source complet de l’application Parcoursup en laisserait apparaître les vulnérabilités et serait, ainsi, susceptible de porter atteinte à la sécurité des systèmes d’information de l’administration ». Six mois après, l'audit du code satisferait pourtant l'ANSSI.
Dans ce rapport, le comité valide la taille de l'équipe dédiée à Parcoursup, expliquant qu'elle est « dimensionnée à la hauteur de l’enjeu ». Auparavant, il avait pointé le danger d'un fonctionnement « en mode commando » mais, selon lui, le ministère a maintenant « mis les moyens nécessaires : le service est passé de 14 personnes en 2018 à 30 en 2023 ».
Un tout petit peu plus d'aperçu sur le fonctionnement
Le comité explique aussi un peu plus le fonctionnement technique de la plateforme. Il rappelle que les classements des candidats ne sont pas de la responsabilité de l'équipe de Parcoursup mais de celle de l’établissement porteur de la formation. « La responsabilité de Parcoursup est de les stocker et les utiliser correctement » insiste-t-il.
Il liste les données générées par la plateforme :
- « les classements d’appel, calculés à partir des classements des formations en intégrant les différents quotas et le cas échéant les contraintes d’internat ;
- l’appariement des classements et des vœux, ainsi que les propositions et les informations sur le classement dans les listes d’attente qui en découlent ;
- il faut ajouter, pour les formations qui l’utilisent, la génération des pré-classements, les formations en vue des délibérations de leurs commissions ».
Il rappelle que l'appariement entre les formations et les candidats est géré via l'implémentation de l'algorithme de Gale et Shapley, dont l’objectif est de trouver la solution optimale face à la multitude de couples de données étudiant-formation. Celle-ci fait d'ailleurs partie de la petite partie du code publié.
Le comité explique que « toutes les procédures importantes disposent de deux implémentations indépendantes, une en SQL et une en Java, dont les résultats sont comparés pour s’assurer qu’aucune erreur ne s’introduit dans le traitement ».
Des anomalies « rares et mineures »
Pour le comité éthique et scientifique de la plateforme, les anomalies qu'a subies Parcoursup sont « rares et mineures grâce à la réactivité du SCN et à des procédures adaptées de correction ».
Il note une erreur de manipulation qui s'est produite lors de la session 2023 : le report erroné de notes de l'épreuve anticipée de français dans une académie. Des candidats l'ont détectée et elle a été corrigée sans conséquence.
Mais le comité note un problème lors de la rectification de notes des épreuves de spécialité « du fait des délais très courts ». « Une centaine d’erreurs de numérisation des copies ont conduit les correcteurs à noter des copies incomplètes », explique le rapport. Les erreurs ont été rectifiées après signalements des candidats.
« Étant donné l’abandon de l’avancement des épreuves de spécialité, cette question de remontée des notes des épreuves de spécialité trop tardive pour permettre des rectifications avant les commissions d’examen des vœux, ne se pose plus à partir de 2024 » estime-t-il.
Le comité explique que l'équipe de la plateforme a mis en place une batterie de tests permettant de « détecter les classements suspects en provenance des commissions d’examen des vœux ». Elle communique ensuite avec l'établissement pour vérifier les données.
Des fuites imputées aux personnels
Le comité impute aux personnels des lycées les « rares fuites signalées en 2023, dont la presse s’est fait l’écho », en expliquant qu'ils auraient manqué de vigilance.
Pour 2024, il explique la « seule fuite de cette année » par la présence d'un « mouchard captant les frappes sur les touches d’un clavier (keylogger) » sur l'ordinateur de « quelqu’un ayant les droits de chef d’établissement ».
Suite à ce piratage, l'accès extérieur de la plateforme a été bloqué pendant deux jours et une « authentification par double facteur pour les personnels ayant un accès privilégié à la plateforme » a été mise en place.
Réparer Parcoursup ?
Dans son rapport, le comité signale des initiatives « d'intérêt commun » dont le hackaton « Réparer Parcoursup ? ». Celui-ci, soutenu par la métropole de Rennes, vise à proposer des améliorations à la plateforme.
« On peut imaginer et souhaiter que de telles initiatives se multiplient, créant un écosystème autour de Parcoursup, à condition de rester vigilant sur le bien commun comme objectif » note, prudent, le comité. On pourra ajouter que sans une bonne partie du code, le ministère est loin de les favoriser.
Commentaires (24)
#1
#1.1
#2
#3
#3.1
#3.2
C'est l'établissement qui choisi ses critères de "filtrage" mais globalement ils ratissent large pour avoir le choix.
#3.7
#3.8
Et ensuite: saisie dans parcours sup pour dire Oui, accepté, non, rejeté. Et vers la fin, Oui, sous condition.
#3.3
Si la formation est non-sélective, alors elle dit oui, et donc Parcoursup dit oui.
#3.4
#3.5
#3.6
#3.9
Mais pareil que pour les formations sélectives : c'est l'établissement qui réalise ce classement, pas Parcoursup qui ne fait que répéter aux candidats ce que l'établissement leur a dit.
Les mécontents préfèrent tuer le messager plutôt que de chercher à comprendre la procédure. Mais on sait depuis Sophocle que ça ne sert à rien.
#3.10
La partie affectation qui permet ce que tu dis (en gros c'est comme le système précédent) mais en amont la partie classement sur critères (définit par l'établissement et uniquement à sa main) est bien intégrée dans parcoursup pour les formations non sélectives, non ?
Historique des modifications :
Posté le 06/03/2024 à 12h50
Là tu me parles de la partie appariement pas de la partie classement.
La partie appariement qui permet ce que tu dis (en gros c'est comme le système précédent) mais en amont la partie classement sur critères (définit par l'établissement et uniquement à sa main) est bien intégrée dans parcoursup pour les formations non selectives, non ?
#3.11
#4
#4.1
#4.2
#4.3
Coté fac, parcoursup ne semble pas miraculeux. J'ai discuté avec un responsable de formation, et alors qu'avant, il savait qu'il y aurait un taux de désistement important, il pouvait dire oui à plein d'étudiants directement et déjà en fonction des profils, faire une bonne estimation du nombre final d'étudiants. Maintenant avec parcoursup, ils ne peuvent pas accepter plus que leur capacité et mettre en liste d'attente le reste. Il faut chercher des stratégies pour chopper au maximum les meilleurs étudiants, en mettant en liste d'attente les étudiants qui seront de toute façon plus enclins à accepter (genre ceux qui habitent déjà à côté de la fac). Ca fait chier quand de laisser un étudiant dans l'incertitude.
#5
Je suis content que les données soient bien protégés comme l'atteste la cnil et que leur infra soit sécurisé comme l'atteste l'Ansi mais cela ne change rien au problème de la sélection qui reste opaque et c'est notre droit de citoyens de connaître les processus de choix.
Historique des modifications :
Posté le 06/03/2024 à 07h50
Il peuvent bien dire ce qu'ils veulent, tout processus de décision non officiel est considéré comme arbitraire.
Je suis content que les données soient bien protégés comme l'atteste la cnil et que leur infra soit sécurisé comme l'atteste l'Ansi mais cela ne change rien au problème de la sélection qui reste opaque et c'est notre droit de citoyens de connaître les processus de choix.
#5.1
Pester contre Parcoursup quand tu n'es pas pris dans la formation voulue, c'est pareil que pester contre le panneau d'affichage à l'époque où la procédure était sur papier. Ça défoule, mais c'est faire preuve d'une profonde méconnaissance de la procédure. Non, le panneau d'affichage n'est pas responsable de la prise de décision.
#6
#7
1/ sur l'algorithme en tant que tel, il y a certes la contradiction entre la raison du refus (permettre l'exploitation d'une faille de sécurité) et le rapport qui valide la qualité du code (mais on est jamais à l'abri de croiser des gens très très malins qui sachent trouver des failles). Je ne suis pas programmeur, mais ne pourrait-il pas y avoir une représentation plus abstraite du code ? Je pense à la notion d'algorigramme ou quelque chose du genre. Les failles dépendent du langage de programmation, pas forcément du schéma de fonctionnement qu'un programme doit avoir. Si ?
2/ Si parcoursup se contente d'être une interface entre des jeunes qui saisissent et des établissement qui trient les dossiers selon leurs critères, je ne comprends pas pourquoi on parle alors d'algorithme et pourquoi c'est au centre. Pour moi on a pas à parler d'algorithme si il ne fait pas un tri, une hiérarchisation, ou que sais-je. Si ça ne fait que transmettre, je ne vois pas l'intérêt de s'intéresser le sujet autrement que récupérer le protocole et la normalisation des données pour établir sa propre interface client compatible.
Historique des modifications :
Posté le 06/03/2024 à 13h12
A la vue des échanges précédents et du contenu de l'article, il y a deux choses qui me chiffonnent :
1/ sur l'algorithme en tant que tel, il y a certes la contradiction entre la raison du refus (permettre l'exploitation d'une faille de sécurité) et le rapport qui valide la qualité du code (mais on est jamais à l'abri de croiser des gens très très malins qui sachent trouver des failles). Je ne suis pas programmeur, mais ne pourrait-il pas y avoir une représentation plus abstraite du code ? Je pense à la notion d'algorigramme ou quelque chose du genre. Les failles dépendant du langage de programmation, pas forcément du schéma de fonctionnement qu'un programme doit avoir. Si ?
2/ Si parcoursup se contente d'être une interface entre des jeunes qui saisissent et des établissement qui tri les dossier selon leurs critères, je ne comprends pas pourquoi on parle alors d'algorithme et pourquoi c'est au centre. Pour moi on a pas à parler d'algorithme si il ne fait pas un tri, une hiérarchisation, ou que sais-je. Si ça ne fait que transmettre, je ne vois pas l'intérêt de s'intéresser le sujet autrement que récupérer le protocole et la normalisation des données pour établir sa propre interface client compatible.
#8
ouvrir le code
Maintenant, si la qualité du code en question est si mauvaise qu'il ne peut être ouvert, il ne faut pas s'étonner qu'il y ait un débat.