Rédiger une réponse qui rapporte des points

Une bonne réponse d'E7 fait trois choses : elle nomme la notion avec le mot exact, elle explique le mécanisme en une ou deux phrases, et elle l'applique au cas en citant le contexte ou le document. Ce chapitre traduit chaque verbe de consigne des sujets officiels en ce que le correcteur attend, montre des réponses faibles et des réponses complètes sur des questions réelles, et donne les règles de présentation qui évitent de perdre des points bêtement.

Ce que demande chaque verbe de consigne

Le verbe de la question fixe la longueur et la nature de la réponse. Les sujets 2023 à 2026 en utilisent une douzaine.

La structure d'une réponse complète

1. Nommer. Le mot exact du domaine : « contrôle d'accès défaillant », « hachage », « moindre privilège », « violation de données à caractère personnel ». Si le sujet fournit un référentiel (l'OWASP Top Ten 2021 en 2026), reprends son code et son intitulé : « A01:2021 – Contrôles d'accès défaillants ».
2. Expliquer. Le mécanisme, en une ou deux phrases, sans jargon inutile : ce qui se passe, et pourquoi c'est un problème.
3. Appliquer au cas. Le nom de l'organisation, la donnée en jeu, la ligne du document. C'est l'étape que les candidats oublient le plus, et c'est elle qui distingue une copie qui a lu le sujet d'une copie récitée.
4. Corriger, si la question le demande : la contre-mesure précise, pas « il faut sécuriser ».

Une question de code, deux copies

Question (2026, cas NDV, B1.3 a) : « Indiquer ce qui rend possible les injections SQL dans ce code. »

Copie faible. « Le code n'est pas sécurisé, il faut utiliser des requêtes préparées. »

Elle ne nomme pas précisément la cause, n'explique rien, ne cite aucune ligne. Et la cause est fausse : le code appelle bien prepare().

Copie complète. « Ligne 14 du fichier espace_client.php, la variable $username, qui vient du champ du formulaire (lignes 8 et 11, par la session), est insérée telle quelle dans la chaîne de la requête SQL. La méthode prepare() est appelée ligne 16, mais sur une requête déjà construite : elle ne protège rien, puisqu'aucun marqueur (:username) n'est lié à une valeur. Une saisie contenant une apostrophe sort de la chaîne et devient du code SQL : c'est une injection (A03:2021). La variable $password, ligne 15, est construite de la même façon, mais elle contient une empreinte SHA-1 en hexadécimal, qui ne peut pas contenir d'apostrophe. »

Elle nomme, explique, cite les lignes, distingue les deux variables et relève le piège du sujet : un prepare() sans paramètres liés.

Une question de justification, deux copies

Question (2025, cas Casterman, A1.1 a) : « Justifier le niveau du critère de confidentialité du récit utilisateur 1 » (niveau important ; le récit : l'éditeur enregistre une nouvelle bande dessinée et numérise le contrat signé avec l'auteur).

Copie faible. « La confidentialité est importante car les données sont confidentielles. »

C'est une tautologie : elle ne dit pas quelles données, ni ce qu'une fuite coûterait.

Copie complète. « Le contrat numérisé contient des données à caractère personnel de l'auteur (identité, coordonnées) et des informations commerciales stratégiques (conditions financières, titre d'un ouvrage pas encore publié). Leur divulgation exposerait Casterman à un manquement au RGPD vis-à-vis de l'auteur et à un préjudice commercial face à la concurrence. Un niveau important est donc justifié. »

Deux arguments tirés du cas, une conséquence pour l'organisation, une conclusion qui répond à la question.

Une question de droit, deux copies

Question (2025, cas Casterman, A2.3 a) : « Indiquer qui doit être obligatoirement informé de la violation de données à caractère personnel » (la DSI estime que le risque pour les personnes est mineur).

Copie faible. « Il faut prévenir la CNIL et les personnes concernées. »

À moitié faux : l'information des personnes n'est obligatoire qu'en cas de risque élevé, ce que le sujet exclut.

Copie complète. « Le responsable de traitement, Casterman, doit notifier la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33 du RGPD), car la violation présente un risque, même mineur. Il n'est pas obligé d'informer les personnes concernées : cette communication n'est requise qu'en cas de risque élevé pour leurs droits et libertés (article 34), ce que Mme Siber exclut. »

Elle répond à la question posée, utilise l'information du sujet (« risque mineur ») pour exclure ce qui ne s'applique pas, et cite les articles.

Présenter sa copie

• Une réponse, un numéro. « B1.1 a) », puis la réponse. Pas de numéro, pas de points : le correcteur ne devine pas.
• Des phrases. Une liste de mots-clés ne justifie rien. Pour « Citer », une liste convient ; pour « Expliquer », il faut des phrases.
• Le code lisible. Écris-le en script, une instruction par ligne, avec une indentation visible. Encadre les numéros de ligne à gauche.
• Les schémas de données propres. Un schéma relationnel textuel (« Role (id, libelle) ; clé primaire : id ») est plus rapide et plus sûr qu'un diagramme dessiné à main levée.
• Pas de couleur rouge ni de surligneur fluo : les copies sont souvent numérisées pour la correction.

Exercices

Exercice 1 sur 2 Améliorer trois réponses Réussi À revoir

Réécris chaque réponse pour qu'elle rapporte tous ses points.

1. Question : « Expliquer pourquoi les mots de passe en clair doivent être supprimés de la base de données. » Réponse : « Parce que c'est dangereux. »
2. Question : « Identifier, dans le projet OWASP Top Ten 2021, la faille de sécurité décelée » (un utilisateur modifie le document d'un autre client en changeant doc_id dans l'URL). Réponse : « Faille de sécurité. »
3. Question : « Citer deux impacts d'une attaque réussie par rançongiciel sur le SI de Casterman. » Réponse : une page sur l'histoire des rançongiciels.

Voir la réponseMasquer la réponse de l'exercice 1

1. « Un mot de passe stocké en clair est lisible par toute personne qui accède à la base : un administrateur, un attaquant qui la vole par injection ou une copie de sauvegarde égarée. Comme beaucoup d'utilisateurs réutilisent leur mot de passe, la fuite compromettrait aussi leurs autres comptes (messagerie, banque). Seule une empreinte (hash) produite par une fonction lente et salée doit être stockée. »
2. « A01:2021 – Contrôles d'accès défaillants. Le serveur ne vérifie pas que le document identifié par doc_id appartient au client connecté : un utilisateur authentifié agit sur une donnée pour laquelle il n'a pas de droits. »
3. Deux lignes suffisent : « 1. Arrêt de l'activité : les données de BDPro et les contrats numérisés sont chiffrés et inaccessibles, les éditeurs ne peuvent plus travailler et l'envoi des PDF à l'imprimeur est bloqué. 2. Coûts financiers et atteinte à l'image : restauration, expertise, retards de publication, perte de confiance des auteurs et des partenaires. »

Tu avais trouvé ?

Oui, j'avais bonPas encore

Exercice 2 sur 2 Repérer le verbe et la longueur Réussi À revoir

Pour chaque question, indique la longueur de réponse attendue (une ligne, un paragraphe, du code) et ce qui la rend complète.

1. « Indiquer dans quel document la violation de données doit obligatoirement être consignée. »
2. « Justifier le choix retenu d'utiliser un déclencheur (trigger) pour réaliser le contrôle. »
3. « Modifier le code source du fichier traitement_inscription.php pour implémenter cette solution. »

Voir la réponseMasquer la réponse de l'exercice 2

1. Une ligne : « Le registre des violations de données à caractère personnel, tenu par le responsable de traitement (article 33, paragraphe 5, du RGPD). »
2. Un paragraphe avec au moins deux arguments : le contrôle s'exécute dans la base quelle que soit l'application qui insère le sinistre (site, API d'un partenaire, outil interne) ; il ne peut pas être contourné par un client qui appelle directement la base ou par un développeur qui oublie le contrôle dans une nouvelle application ; la règle est écrite une seule fois.
3. Du code : seulement les lignes modifiées, avec leur numéro (ici la ligne 10, où SHA1() est remplacé par password_hash()).

Tu avais trouvé ?

Oui, j'avais bonPas encore