Thread by @fs0c131y

Bonjour #baccalaureat2019,

Hier soir, des bacheliers lillois ont eu accès aux résultats du #BAC2019 en avance. Regardons ensemble dans ce thread les causes de ce fail monumental.

Spoiler: Ce fail est vieux de 11 ans.

1/14

lavoixdunord.fr/609261/article…

Vers les coups des 22h, sur Facebook les bacheliers lillois étaient en émulation, les résultats du bac 2019 étaient disponibles à l'adresse suivante: resultat[.]ac-lille[.]fr/saisie.html.

Évidemment, l'affaire étant publique la page n'est plus disponible à ce jour.

Enfin...😏

Internet à une mémoire, posons-lui les bonnes questions. Grace à Wayback Machine on peut voir que la page a été capturé 43 fois. La 1ère capture date du 5 Juillet 2007!

3/14

web.archive.org/web/2018101610…

D'apparence la page est simple. Elle demande le numéro de matricule et la date de naissance du candidat. Cette page fait bien moins professionnelle que le portail officiel #publinet 😄

4/14

Alors, comment le petit malin qui a trouvé la page a-t-il fait? Assez simple, en cherchant "site:resultat[.]ac-lille[.]fr" sur Google, cette page est dans la 1ère page des résultats...

5/14

C'est en regardant le code source de la page en question que l'on rigole le plus. Lorsque le candidat clique sur le bouton "Lancer la recherche", la méthode validstatic est appelée.

6/14

Cette méthode est définie dans un fichier du nom de js.js. FFS @EducationFrance, CE NAMING! On ne vous a rien appris à l'école?

7/14

resultat.ac-lille.fr/js.js

Cette fonction va faire 3 vérifications:
- Est-ce que le champ matricule a été saisi?
- Est-ce que le matricule a le bon format?
- Est-ce que la date a le bon format?

8/14

Vous noterez la 1ère erreur. Il ne vérifie pas que le matricule ou la date de naissance existe dans leur base de données, il vérifie seulement le format...

9/14

Une fois ces 3 vérifications passé, la fonction validstatic va fabriquer l'URL de la page qui contient les résultats du candidat. Vous commencez à comprendre?

10/14

Les résultats de chaque candidat étaient stockés dans une page HTML distincte. Si un candidat avait un accès direct à sa page, il avait accès à ses résultats. Cette page était généré bien en amont de la publication officielle des résultats.

11/14

L'URL était de cette forme:

resultat[.]ac-lille[.]fr/static/[TYPE_DIPLOME]/[DERNIER_CHIFFRE_MATRICULE]/[MATRICULE]_[JOUR][MOIS][ANNEE].html

12/14

Cela fait donc 11 ans que les résultats du bac sont publiés en avance sans que vous ne le sachiez.

13/14

Merci @jmblanquer @EducationFrance @cedric_o pour cette franche rigolade

14/14