# Avis Go / No-Go > **En bref :** > - **Frontend Projects : NO-GO en l’état.** **Socle CRISalid : GO conditionnel.** **Décision d’ensemble : PIVOT** vers une vitrine publique découplée. > - Le risque le plus **bloquant** de Projects est sa licence non commerciale ; le plus **urgent**, deux failles de sécurité toujours ouvertes au 30 octobre 2026. > - Avis rendu sans entretien avec LPI, sans observation de leur production et sans devis : ces limites sont détaillées plus bas. ## Décisions proposées | Objet | Avis | Motif | | --- | --- | --- | | Frontend Projects comme vitrine publique | **NO-GO en l’état** | Failles ouvertes, cache désactivé, cycle de vie Nuxt, licence, personnalisation par fork | | Socle CRISalid (données, rapprochement, back-office) | **GO conditionnel** | Actifs ESR réels, pile observée en fonctionnement ; conditions : service d’export dédié, liste blanche des champs, filtrage ZRR, **plan de peuplement des rattachements** (184 unités sur 235 vides), **cadence d’enrichissement supervisée**, **cloisonnement réseau** ([instance observée](/03-crisalid/06-instance-saclay/00-ce-que-linstance-demontre)) | | Vitrine publique découplée | **PIVOT** | [Vitrine synchronisée en marque blanche](/01-cadrage-saclay/02-scenarios/01-partie-1-vitrine-marque-blanche), brique de la suite CRISalid, qui commence par un POC de pertinence ; contribution des chercheurs ensuite | Le frontend Projects ne serait reconsidéré que si un POC comparatif démontrait un niveau équivalent sans fork durable ([coût de cette option](/02-analyse-lpi/03-audit-technique/02-arbitrage/03-cout-option-lpi)). ## Hiérarchie des risques de Projects | Rang | Risque | Pourquoi ce rang | | --- | --- | --- | | **1. Le plus bloquant** | Licence CC BY-NC-SA 4.0 | Structurel : il ne se corrige pas par du développement. Tant qu’il n’est pas levé juridiquement, aucun autre correctif ne rend l’option possible | | **2. Le plus urgent** | Deux failles de sécurité ouvertes | Corrigeables, mais toujours présentes sur le code le plus récent ; elles exposent les utilisateurs actuels de Projects, indépendamment de Saclay | | 3. Le plus coûteux | Cache, rendu et cycle de vie Nuxt | Coût de mise à niveau non chiffré par LPI | Cette hiérarchie fait foi pour l’ensemble du dossier ([risques et conditions](/02-analyse-lpi/03-audit-technique/02-arbitrage/01-risques-conditions-go)). ## Constats décisifs 1. **Sécurité** : deux failles ouvertes, une **critique** dans la gestion de l’authentification, une **élevée** dans les autorisations ; détail réservé au RSSI et à la DPO. **Toujours ouvertes au 30 octobre 2026**, revérifiées sur le code le plus récent — [preuves](/02-analyse-lpi/03-audit-technique/01-analyse-par-thematique/04-securite-rgpd). 2. **Cache et rendu** : `cache: false` et `Cache-Control: no-store` sur toutes les routes ; certaines listes chargées côté client — [architecture](/02-analyse-lpi/03-audit-technique/01-analyse-par-thematique/01-stack-architecture), [SEO](/02-analyse-lpi/03-audit-technique/01-analyse-par-thematique/03-seo-rendu). 3. **Cycle de vie** : Nuxt 3.21.8, hors support standard depuis le 31 juillet 2026 selon le calendrier retenu par l’audit (date **à confirmer**) ; migration Nuxt 4 non chiffrée. 4. **Licence** : frontend et backend sous CC BY-NC-SA 4.0, licence non open source au sens OSI — [risques](/02-analyse-lpi/03-audit-technique/02-arbitrage/01-risques-conditions-go). 5. **Continuité** : contributeur principal à 70–91 % sur 4 composants, environ 600 commits par an à suivre en cas de fork — [équipe](/02-analyse-lpi/02-equipe-maintenance-communaute). ## Coûts : notre référence et les repères | Option | Réalisation HT | Exploitation annuelle | Base de calcul | | --- | ---: | ---: | --- | | **Vitrine synchronisée en marque blanche, depuis le socle existant** | **27–80 k€** | **16–52 k€** | Équipe mixte, 450–700 € par jour, POC compris ; projection de l’auteur du socle ([déclaration d’intérêt](/01-cadrage-saclay/02-scenarios/04-couts-en-perspective)) | | LPI adapté | 83–194 k€ | **non chiffrée** | Prestation, 650–900 € par jour ; 58–151 k€ au taux mixte | | *Repère : la même vitrine construite de zéro* | *156–365 k€* | *43–121 k€* | Grille de marché d’avant les assistants de code, sans existant | Notre référence est la première ligne : la vitrine part d’un socle qui couvre déjà les 248 structures de Paris-Saclay. Même au taux mixte, adapter Projects coûte davantage au départ, et son exploitation n’est pas chiffrée. La dernière ligne n’est qu’un repère de marché : elle dit ce que coûterait la même vitrine sans rien d’existant. L’écart avec LPI ne tient pas qu’au prix : fork, licence non commerciale, sécurité, montées de version ([scénarios et coûts](/01-cadrage-saclay/scenarios-de-besoin)). ## Hypothèses initiales requalifiées | Hypothèse initiale | Qualification après audit | | --- | --- | | « Le SSR garantit le SEO » | Le HTML doit être testé page par page ; certains listings sont chargés côté client. | | « Le frontend est directement adaptable » | La personnalisation peut créer un fork et conserver une surface collaborative inutile. | | « Redis garantit les performances » | Un cache présent ne prouve ni les routes cachées, ni le taux de hit, ni l’absence de stampede. | | « Swagger fournit les exports nécessaires » | Swagger documente une API ; la réversibilité exige un export complet, stable et testé. | | « Le chatbot est un gain immédiat » | Sa valeur, son coût, ses données et son cadre RGPD restent à établir. | | « Open source signifie sans risque juridique » | CC BY-NC-SA n’est pas une licence open source ; la clause NonCommercial est à qualifier. | | « Le raccordement SSO est simple » | La faille d’authentification doit d’abord être corrigée et retestée. | ## Forces de Projects à reconnaître Ces forces sont celles du produit Projects. Elles ne fondent pas le GO conditionnel sur CRISalid, qui repose sur l’observation de son propre socle. - modèles de personnes, organisations, projets, documents et relations ; - ingestion et synchronisation depuis plusieurs sources ; - graphe et recherche reliant les objets ; - administration, curation, rapprochement et workflows de validation ; - pratiques d’ingénierie réelles : CI, tests, `CODEOWNERS`, revues. ## Limites de cet avis | Limite | Effet | | --- | --- | | **Aucun entretien avec LPI** | Mainteneurs, suppléance, engagements de service et feuille de route restent déclaratifs | | **Aucune production observée** | Ni CDN, ni Keycloak, ni Sentry, ni Mixpanel en fonctionnement | | **Aucun devis** | Les coûts sont des estimations d’audit, à confronter à une consultation | | **Code daté** | Constats sur les révisions du 24 et 25 septembre 2026. Revérifiés le 30 octobre 2026 sur les révisions publiques les plus récentes : les deux failles prioritaires, le cache désactivé et la version Nuxt 3.21.8, **tous inchangés**. Le reste n'a pas été revérifié | Détail par section : [limites de l’audit](/06-audit-docs/05-limites-de-laudit). ## Prochaine étape POC de pertinence en novembre 2026, puis comité de décision : voir la [feuille de route](/04-prochaines-etapes/00-feuille-de-route).