Copy page

Arbitrage

Avis Go / No-Go

En bref :

• Frontend Projects : NO-GO en l’état. Socle CRISalid : GO conditionnel. Décision d’ensemble : PIVOT vers une vitrine publique découplée.
• Le risque le plus bloquant de Projects est sa licence non commerciale ; le plus urgent, deux failles de sécurité toujours ouvertes au 30 octobre 2026.
• Avis rendu sans entretien avec LPI, sans observation de leur production et sans devis : ces limites sont détaillées plus bas.

Décisions proposées

Objet	Avis	Motif
Frontend Projects comme vitrine publique	NO-GO en l’état	Failles ouvertes, cache désactivé, cycle de vie Nuxt, licence, personnalisation par fork
Socle CRISalid (données, rapprochement, back-office)	GO conditionnel	Actifs ESR réels, pile observée en fonctionnement ; conditions : service d’export dédié, liste blanche des champs, filtrage ZRR, plan de peuplement des rattachements (184 unités sur 235 vides), cadence d’enrichissement supervisée, cloisonnement réseau (instance observée)
Vitrine publique découplée	PIVOT	Vitrine synchronisée en marque blanche, brique de la suite CRISalid, qui commence par un POC de pertinence ; contribution des chercheurs ensuite

Le frontend Projects ne serait reconsidéré que si un POC comparatif démontrait un niveau équivalent sans fork durable (coût de cette option).

Hiérarchie des risques de Projects

Rang	Risque	Pourquoi ce rang
1. Le plus bloquant	Licence CC BY-NC-SA 4.0	Structurel : il ne se corrige pas par du développement. Tant qu’il n’est pas levé juridiquement, aucun autre correctif ne rend l’option possible
2. Le plus urgent	Deux failles de sécurité ouvertes	Corrigeables, mais toujours présentes sur le code le plus récent ; elles exposent les utilisateurs actuels de Projects, indépendamment de Saclay
3. Le plus coûteux	Cache, rendu et cycle de vie Nuxt	Coût de mise à niveau non chiffré par LPI

Cette hiérarchie fait foi pour l’ensemble du dossier (risques et conditions).

Constats décisifs

1. Sécurité : deux failles ouvertes, une critique dans la gestion de l’authentification, une élevée dans les autorisations ; détail réservé au RSSI et à la DPO. Toujours ouvertes au 30 octobre 2026, revérifiées sur le code le plus récent — preuves.
2. Cache et rendu : cache: false et Cache-Control: no-store sur toutes les routes ; certaines listes chargées côté client — architecture, SEO.
3. Cycle de vie : Nuxt 3.21.8, hors support standard depuis le 31 juillet 2026 ; migration Nuxt 4 non chiffrée.
4. Licence : frontend et backend sous CC BY-NC-SA 4.0, licence non open source au sens OSI — risques.
5. Continuité : contributeur principal à 70–91 % sur 4 composants, environ 600 commits par an à suivre en cas de fork — équipe.

Coûts : notre référence et les repères

Option	Réalisation HT	Exploitation annuelle	Base de calcul
Vitrine synchronisée en marque blanche, depuis le socle existant	27–80 k€	16–52 k€	Équipe mixte, 450–700 € par jour, POC compris ; projection de l’auteur du socle (déclaration d’intérêt)
LPI adapté	83–194 k€	non chiffrée	Prestation, 650–900 € par jour ; 58–151 k€ au taux mixte
Repère : la même vitrine construite de zéro	156–365 k€	43–121 k€	Grille de marché d’avant les assistants de code, sans existant

Notre référence est la première ligne : la vitrine part d’un socle qui couvre déjà les 248 structures de Paris-Saclay. Même au taux mixte, adapter Projects coûte davantage au départ, et son exploitation n’est pas chiffrée. La dernière ligne n’est qu’un repère de marché : elle dit ce que coûterait la même vitrine sans rien d’existant. L’écart avec LPI ne tient pas qu’au prix : fork, licence non commerciale, sécurité, montées de version (scénarios et coûts).

Hypothèses initiales requalifiées

Hypothèse initiale	Qualification après audit
« Le SSR garantit le SEO »	Le HTML doit être testé page par page ; certains listings sont chargés côté client.
« Le frontend est directement adaptable »	La personnalisation peut créer un fork et conserver une surface collaborative inutile.
« Redis garantit les performances »	Un cache présent ne prouve ni les routes cachées, ni le taux de hit, ni l’absence de stampede.
« Swagger fournit les exports nécessaires »	Swagger documente une API ; la réversibilité exige un export complet, stable et testé.
« Le chatbot est un gain immédiat »	Sa valeur, son coût, ses données et son cadre RGPD restent à établir.
« Open source signifie sans risque juridique »	CC BY-NC-SA n’est pas une licence open source ; la clause NonCommercial est à qualifier.
« Le raccordement SSO est simple »	La faille d’authentification doit d’abord être corrigée et retestée.

Forces de Projects à reconnaître

Ces forces sont celles du produit Projects. Elles ne fondent pas le GO conditionnel sur CRISalid, qui repose sur l’observation de son propre socle.

• modèles de personnes, organisations, projets, documents et relations ;
• ingestion et synchronisation depuis plusieurs sources ;
• graphe et recherche reliant les objets ;
• administration, curation, rapprochement et workflows de validation ;
• pratiques d’ingénierie réelles : CI, tests, CODEOWNERS, revues.

Limites de cet avis

Limite	Effet
Aucun entretien avec LPI	Mainteneurs, suppléance, engagements de service et feuille de route restent déclaratifs
Aucune production observée	Ni CDN, ni Keycloak, ni Sentry, ni Mixpanel en fonctionnement
Aucun devis	Les coûts sont des estimations d’audit, à confronter à une consultation
Code daté	Constats sur les révisions du 24 et 25 septembre 2026. Revérifiés le 30 octobre 2026 sur les révisions publiques les plus récentes : les deux failles prioritaires, le cache désactivé et la version Nuxt 3.21.8, tous inchangés. Le reste n'a pas été revérifié

Détail par section : limites de l’audit.

Prochaine étape

POC de pertinence en novembre 2026, puis comité de décision : voir la feuille de route.