Réviser l'E7 : calendrier, erreurs et fiches réflexes

Réviser l'E7 SLAM, c'est combiner trois choses sur la 2e année : les notions des cinq compétences du bloc 3, la pratique sur les annales, et la méthode de l'écrit en 4 heures. Ce chapitre donne un calendrier de révision, de la rentrée de 2e année au jour de l'épreuve, la liste des erreurs qui font perdre le plus de points, avec le réflexe qui les évite, puis sept fiches réflexes à relire la dernière semaine et la veille.

Le calendrier de la 2e année

L'épreuve a lieu en mai, à la date fixée par le calendrier national de la session ; ta convocation te donne le jour, l'heure et le lieu. Les sujets de métropole 2025 et 2026 ont tous deux été passés et publiés en mai.

La dernière semaine

• Un sujet complet traité en 4 heures, le plus récent si possible, puis corrigé avec soin.
• Les fiches réflexes relues deux fois, à voix haute pour les définitions.
• Les dix catégories de l'OWASP Top 10 2021 récitées dans l'ordre, avec un exemple chacune.
• Les articles 32, 33 et 34 du RGPD et les peines de l'article 323-1 du Code pénal sus par cœur.
• La syntaxe de GRANT, REVOKE, RENAME USER, CREATE VIEW, d'un déclencheur et d'une requête avec GROUP BY et HAVING écrite une fois de mémoire.

La veille et le jour de l'épreuve

• Deux stylos noirs ou bleus, un crayon, une gomme, une règle, ta convocation et ta pièce d'identité. Ni calculatrice ni document.
• Une montre si la salle n'a pas d'horloge visible : ton plan de temps repose sur des heures de fin.
• Dès que tu reçois le sujet : vérifier qu'il est complet (le nombre de pages est indiqué en première page), lire le barème, écrire tes heures de fin.

Les erreurs qui coûtent des points

Les fiches réflexes

Ces sept fiches résument chacune ce qu'il faut savoir sans hésiter le jour de l'E7 SLAM : la méthode, les notions juridiques, la syntaxe SQL de sécurité, les failles et leurs parades, l'authentification, la journalisation. Elles se relisent la dernière semaine et la veille. Chaque fiche renvoie au chapitre qui détaille la notion ; pour les définitions des termes, utilise aussi le glossaire E7 SLAM.

Fiche 1 : la méthode de l'épreuve

• Format : 4 heures, coefficient 4, sans document ni calculatrice, 80 points en deux à quatre dossiers, sujet propre à SLAM.
• Temps : 15 min de lecture, 5 min de plan, environ 2,6 minutes par point, 15 min de relecture. Des heures de fin écrites et respectées.
• Ordre : le dossier le plus sûr d'abord, jamais le plus gros en dernier.
• Réponse : nommer, expliquer, appliquer au cas ; corriger si on te le demande.
• Code : seulement les lignes modifiées, avec leur numéro.
• Documentation du sujet : l'utiliser telle quelle, même si elle diffère de ce que tu connais.
• Détails : lire le sujet, rédiger une réponse.

Fiche 2 : risques

Fiche 3 : RGPD et droit

Détails : analyse de risques et RGPD.

Fiche 4 : SQL de sécurité (MySQL 8.4)

-- Comptes et privilèges
CREATE USER 'appli'@'localhost' IDENTIFIED BY 'mdp';
RENAME USER 'appli'@'%' TO 'appli'@'localhost';           -- les privilèges suivent
GRANT SELECT, INSERT, UPDATE, DELETE ON base.* TO 'appli'@'localhost';
REVOKE ALL PRIVILEGES ON base.* FROM 'appli'@'localhost';  -- même niveau que le GRANT
ALTER USER 'appli'@'localhost' IDENTIFIED BY 'nouveau';
SHOW GRANTS FOR 'appli'@'localhost';

-- Vue qui restreint les colonnes
CREATE VIEW v_public AS SELECT id, nom FROM Client;
GRANT SELECT ON base.v_public TO 'lecteur'@'localhost';

-- Déclencheur de contrôle
CREATE TRIGGER t BEFORE INSERT ON T FOR EACH ROW
BEGIN
  IF NEW.x < 0 THEN SIGNAL SQLSTATE '45000' SET MESSAGE_TEXT = 'refusé'; END IF;
  -- modifier la ligne : SET NEW.statut = '…';  (jamais d'UPDATE sur T)
END;

-- Chiffrement d'une colonne
ALTER TABLE T MODIFY col VARBINARY(200);
UPDATE T SET col = AES_ENCRYPT(col, 'cle');
SELECT CAST(AES_DECRYPT(col, 'cle') AS CHAR) AS col FROM T;

-- Audit
SELECT idUtilisateur, COUNT(*) AS nb FROM Log
WHERE operation = 'delete' GROUP BY idUtilisateur HAVING COUNT(*) > 5;

-- Transaction : tout ou rien (PDO : beginTransaction, commit, rollBack)
START TRANSACTION;
UPDATE Utilisateur SET idRole = 3 WHERE id = 42;
INSERT INTO HistoHabilitation (idUtilisateur, nouveauRole) VALUES (42, 3);
COMMIT;   -- ou ROLLBACK;

Détails : habilitations et SQL.

Fiche 5 : failles et parades

Détails : sécuriser du code.

Fiche 6 : API et authentification

• Codes : 200, 201 (créé), 204 (supprimé), 400, 401 (non authentifié), 403 (non autorisé), 404, 405 (méthode refusée), 429, 500.
• Méthodes dangereuses : PUT, PATCH, DELETE, contrôle d'autorisation obligatoire dans l'API.
• Clé d'API : identifie une application partenaire, longue durée, jamais transmise à un utilisateur final.
• Jeton d'accès : identifie un utilisateur, courte durée ; jeton de rafraîchissement : renouvelle le jeton d'accès.
• JWT : en-tête, charge utile lisible (pas chiffrée), signature ; toujours vérifier signature, algorithme et expiration.
• HTTPS : confidentialité, intégrité, authentification du serveur ; TLS 1.2 minimum.
• MFA : deux facteurs de natures différentes (savoir, posséder, être).
• SSO : OpenID Connect sur OAuth 2.0 ; un compte à protéger par MFA.
• Transfert de fichier : SFTP ou plateforme HTTPS authentifiée, lien qui expire, fichier chiffré (GPG), empreinte ou signature vérifiée à l'arrivée.

Détails : API et authentification.

Fiche 7 : journalisation et tests

• Une trace : auteur individuellement identifié, horodatage, nature de l'opération, référence des données ; adresse IP ou équipement. Jamais de mot de passe, pas de copie des données.
• Protection : stockage séparé, écriture seule, horodatage et signature, accès restreint.
• Durée : entre six mois et un an dans le cas général (CNIL, délibération n° 2021-122).
• Exploitation : analyse automatique et alertes ; utilisateurs informés.
• Signatures d'attaque : 401 en rafale (force brute), identifiants qui se suivent (énumération), 404 en série (balayage), apostrophes et UNION (injection).
• Tests : unitaires (assertTrue, assertFalse, assertEquals), cas autorisé, cas refusé, cas limites ; non-régression ; test d'intrusion autorisé ; analyse statique et dynamique ; audit de code.

Détails : journalisation et tests.

Pour aller plus loin

Les notions de ces fiches s'appuient sur d'autres cours du site : SQL, Procédures stockées et triggers, Sécurité applicative, Droit du numérique et RGPD, Analyse de risques, Authentification et habilitations, Cryptographie, Journalisation et réponse à incident, PHP et MySQL, Programmation orientée objet et Tests. Pour les dernières heures, le récapitulatif Quoi réviser pour l'E7 SLAM classe les priorités.

Exercice