Atelier de qualification avec LPI

Durée cible : 60 minutes, dont environ 25 minutes d’exposé et 35 minutes d’échanges sur le registre des questions. Le temps d’échange n’est pas dans les notes : il se prend surtout sur les preuves bloquantes, l’export et les questions importantes.

Ton : partenarial. On qualifie une option, on ne juge pas une équipe. L’atelier ne rejuge pas l’option : il organise la collecte des preuves.

Statut : annexe D2 du deck de restitution. Les faits qui dépendent d’une vérification portent leur date : les failles, revérifiées le 30 octobre 2026 ; la note provisoire de la grille, au 30 octobre 2026 ; la capture de la présentation commerciale, prise le 30 octobre 2026.

Version réduite, si la décision 1 de la restitution (« Écarter Projects comme vitrine publique ») est prise : le deck se réduit à ce qui reste posé quelle que soit la décision, Q3 (l’export) et le signalement formel et daté des failles. Garder la couverture, preuve, q3-export, toujours-ouvert, engagements et fin ; sauter repartition, bloquant-lpi et les deux diapositives « Avant contrat », dont les titres ne valent que pour la version complète. Sur engagements, garder les points 1 à 3, appliqués à Q3 et au signalement ; le point 4 tombe avec l’option. Les autres questions bloquantes à LPI (Q1, Q2, Q6 à Q8) visent l’option LPI adaptée, et les questions importantes sont attendues avant tout engagement contractuel : elles tombent avec l’option. Le signalement des failles, lui, reste dû : elles exposent les utilisateurs actuels de Projects.

Sources : 05-deck/catalogue ; 06-audit-docs/00b-le-livrable-final ; 04-prochaines-etapes/grille-evaluation ; 06-audit-docs/05-limites-de-laudit ; 06-audit-docs/06-plan-de-correction ; 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go ; deck de restitution, diapositive « Cinq décisions aujourd’hui ».

Le message en une phrase : d’ici au comité de la semaine du 7 décembre 2026, LPI apporte des preuves datées sur la licence, les failles, l’export, le coût annuel et l’engagement de service ; sinon « LPI adapté » garde son 0 éliminatoire en sécurité et ses cases « n. é. ».

Règle du registre : une réponse orale ou une roadmap n’est pas une preuve.

R1: nous demandons à LPI de démontrer, documents à l’appui, que Projects peut porter la vitrine.

R3: preuve rattachée à une version et à un environnement, sinon « n. é. » dans la grille d’arbitrage.

Sources : 04-prochaines-etapes/grille-evaluation, 04-prochaines-etapes/00-feuille-de-route.

Le temps 3, le registre, prend la moitié de l’atelier.

Cet atelier remplace l’entretien avec LPI qui manque à l’audit : c’est l’une des quatre limites qui pèsent le plus, levée par un atelier sur pièces avec le registre de questions.

Source : 06-audit-docs/05-limites-de-laudit.

L’option « LPI adapté » : faire de Projects la vitrine publique de la recherche de Paris-Saclay. D’abord le besoin, puis ce que Projects montre déjà, ce qui manque au chiffrage, et la condition sans laquelle l’option tombe.

Avis actuel : frontend Projects NO-GO en l’état. Ce NO-GO vise l’adoption sans phase de preuve ni correction ; il ne disqualifie pas LPI comme partenaire. « LPI adapté » reste une option à comparer par POC : c’est l’objet des preuves demandées aujourd’hui.

Sources : 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go, 02-analyse-lpi/03-audit-technique/02-arbitrage/02-grille-arbitrage, CONTEXT.md §2.

Une vitrine publique multi-niveaux, à double finalité : visibilité externe et pilotage interne.

Publics prioritaires : entreprise ou partenaire, futur doctorant ou chercheur, moteur de recherche.

Ce n’est ni un réseau social de chercheurs ni un outil de gestion de projets. Les contenus éditoriaux de Projects (actualités, annonces, blog) ne relèvent pas de la vitrine recherche.

Principe commun à toutes les options : CRISalid reste le point d’unicité de la donnée scientifique (projection Saclay) ; la vitrine lit sans écrire.

Ces trois cartes préparent Q11 (HTML indexable) et Q17 (build public sans les fonctions collaboratives).

Sources : 01-cadrage-saclay/besoin-initial, 01-cadrage-saclay/scenarios-de-besoin, 02-analyse-lpi/00-lpi-et-projects.

Reste à le prouver pour une vitrine de recherche.

Capture de la présentation commerciale de Projects, prise le 30 octobre 2026 : Projects y apparaît aux couleurs de l’Université Paris Cité, citée parmi les organisations utilisatrices.

« Utilise Projects » ne veut dire ni « déployé en production » ni « opéré avec SLA ». Aucune référence de vitrine publique de recherche indexée opérée avec Projects n’a été vérifiée à ce jour.

Ce que l’atelier demande : Q16 (deux références comparables, avec contacts autorisés) et Q17 (un build public sans les fonctions collaboratives).

La page commerciale affiche aussi « plus de 15 000 chercheurs, étudiants et professionnels » (bandeau coupé de la capture). C’est une affirmation de la page commerciale de LPI, non vérifiée par l’audit ; le chiffre publié par LPI est de 14 033 utilisateurs en 2025, définition (inscrits ou actifs) non précisée, sans mesure indépendante. Ne citer que ce second chiffre.

Sources : 02-analyse-lpi/00-lpi-et-projects, 06-audit-docs/09-audit-des-presentations.

Même taux mixte (450–700 € HT par jour) sur les deux lignes, pour comparer ce qui est comparable.

LPI adapté au taux de prestation (650–900 € HT par jour) : 83–194 k€ HT, 128–215 j.h, équipe de 2 à 3 personnes sur 4 à 6 mois.

Partie 1, vitrine synchronisée en marque blanche : 27–80 k€ de réalisation, POC compris, puis 16–52 k€ par an. Déclaration d’intérêt : c’est une projection de l’auteur du socle, à contre-expertiser par la DSI. Construite de zéro, la vitrine coûterait 156–365 k€, puis 43–121 k€ par an.

Hors chiffrage de l’option LPI : coûts annuels, migration Nuxt 4, correction des failles (à la charge de LPI), risque licence. La question Q7 comble ce vide.

Estimations d’audit, pas des devis.

Sources : 02-analyse-lpi/03-audit-technique/02-arbitrage/03-cout-option-lpi, 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go, 01-cadrage-saclay/scenarios-de-besoin, 01-cadrage-saclay/02-scenarios/00-methode-estimation.

C’est la condition de qualification la plus structurante, et celle sur laquelle l’atelier attend une position (engagement 4).

En vert, ce qui doit rejoindre le produit maintenu par LPI : mode public, SEO, cache, sécurité, observabilité. En gris, la couche propre à Paris-Saclay : charte, taxonomies, connecteurs locaux, analytics, hébergement. En orange, l’issue sans cet engagement : un fork durable, et l’option doit être écartée.

Un fork devrait absorber le rythme d’un produit actif, environ 600 commits par an.

R3: engagements à obtenir : upstream, coût de montée de version, RACI, SLO, réversibilité.

Sources : 02-analyse-lpi/03-audit-technique/02-arbitrage/03-cout-option-lpi, 02-analyse-lpi/02-equipe-maintenance-communaute.

D’abord les acquis, puis les écarts, dans l’ordre qui fait foi.

Modèles de personnes, organisations, projets, documents et relations ; ingestion et synchronisation depuis plusieurs sources ; graphe et recherche ; administration, curation, rapprochement et workflows de validation ; pratiques d’ingénierie réelles (CI, tests, CODEOWNERS, revues).

Trois objets distincts : LPI est l’organisation, Projects son produit, CRISalid une suite développée dans l’organisation distincte CRISalid-esr, avec laquelle Projects est intégré. Ces forces sont celles de Projects : elles ne fondent pas le GO conditionnel sur le socle CRISalid.

LPI : association issue du CRI (fondé en 2006), Learning Planet Institute depuis 2021, chaire UNESCO depuis 2014, institut de catégorie II sous l’égide de l’UNESCO depuis novembre 2025. Une légitimité réelle, qui ne prouve pas un niveau de service.

Sources : 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go, 02-analyse-lpi/00-lpi-et-projects, 02-analyse-lpi/02-equipe-maintenance-communaute.

Cette hiérarchie fait foi.

1. La licence CC BY-NC-SA 4.0 n’est pas open source au sens OSI ; la clause NonCommercial est à qualifier pour un service public. Elle ne se corrige pas par du développement : tant qu’elle n’est pas levée juridiquement, aucun correctif ne rend l’option possible (Q2).

2. Deux failles ouvertes, une critique, une élevée, toujours présentes au 30 octobre 2026 sur le code le plus récent. Détail réservé au RSSI et à la DPO : aucun détail en séance (Q1).

3. Cache désactivé sur toutes les routes, certaines listes chargées côté client, Nuxt 3 hors support standard depuis le 31 juillet 2026 : un coût de mise à niveau que LPI n’a pas chiffré (Q7, Q13).

R3: Nuxt 3.21.8, Cache-Control no-store, migration Nuxt 4 non chiffrée ; revérifié le 30 octobre 2026, inchangé.

Sources : 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go, 02-analyse-lpi/03-audit-technique/02-arbitrage/01-risques-conditions-go.

Photographie du 12 octobre 2026 : frontend 73 %, backend 70 %, frontend partagé 91 %. L’API Apollo (86 %) appartient à la suite CRISalid : elle ne compte pas dans la continuité de Projects. L’assemblage (90 %) est porté par un bot.

Un produit vivant : 282 commits publics en 2023, 700 en 2024, 581 en 2025, 599 en 2026 au 12 octobre, soit environ 600 par an. C’est un atout, et un coût de suivi pour tout spécifique.

Ce n’est pas une preuve d’insuffisance, c’est un signal de continuité, que Q6 (RACI, suppléance) et Q8 (SLA) instruisent.

Source : 02-analyse-lpi/02-equipe-maintenance-communaute.

« n. é. » veut dire non évalué faute de preuve, pas mauvais : ce sont les cases que les preuves demandées peuvent remplir. Q11 à Q13 visent ces critères ; c’est une lecture de l’auditeur, à présenter comme telle.

Le 0 en sécurité reste tant que les deux failles sont ouvertes (Q1). La note ne monte qu’avec une preuve rattachée à une version et à un environnement ; une information déclarative reste non évaluée.

Un seul critère éliminatoire rouge impose le NO-GO, quelle que soit la moyenne.

Sources : 02-analyse-lpi/03-audit-technique/02-arbitrage/02-grille-arbitrage, 02-analyse-lpi/03-audit-technique/02-arbitrage/01-risques-conditions-go.

Le cœur de l’atelier : environ 28 minutes, dont une vingtaine d’échanges.

En violet, ce qui est demandé à LPI aujourd’hui : douze questions en propre, plus l’export complet (Q3) partagé avec la DiBISO.

En gris, ce que Paris-Saclay instruit sans attendre LPI : Q4 (DiBISO et FSD), Q5, Q10, Q15, Q19 à Q21 (DiBISO), Q9 (DiBISO et Direction de la recherche), Q22 (DiBISO et DSI), Q23 (DSI et RSSI). Le détail est présenté dans les decks D3 et D6, pas ici.

Bloquantes, à prouver avant le comité de la semaine du 7 décembre : Q1 à Q10. Importantes, avant tout engagement contractuel : Q11 à Q23.

Source : 04-prochaines-etapes/grille-evaluation.

Placée avant les tableaux, cette règle explique la colonne « Preuve attendue ».

Chaque critère de la grille est noté de 0 à 5 uniquement sur une preuve rattachée à une version et à un environnement ; une information déclarative ou absente reste « non évaluée ». Les réponses de LPI interviennent comme preuves d’acceptation, pas comme point de départ du cadrage.

R3: commit, test de non-régression, capture réseau (HAR), résultats de charge, rapport RGAA.

Sources : 04-prochaines-etapes/grille-evaluation, 02-analyse-lpi/03-audit-technique/02-arbitrage/02-grille-arbitrage, 04-prochaines-etapes/00-feuille-de-route.

Q1 : deux failles, une critique, une élevée, toujours ouvertes au 30 octobre 2026 sur le code le plus récent. Détail réservé au RSSI et à la DPO, transmis par le signalement formel (engagement 3), pas en séance. Preuve : commit de correction, test de non-régression, retest indépendant.

Q2 : la licence CC BY-NC-SA permet-elle un service public opéré par ou pour Paris-Saclay ? Une autre licence est-elle possible ? Preuve : position écrite, éventuellement licence dédiée.

Q6 : qui exerce les rôles de responsable produit, tech lead, sécurité et exploitation, avec quelle suppléance ? Preuve : RACI nominatif, engagement de disponibilité.

Q7 : quel est le coût annuel complet : maintenance du spécifique, montées de version, migration Nuxt 4, support ? Preuve : proposition chiffrée à 3 et 5 ans.

Q8 : quelle entité signe un engagement de service (SLA), et sur quels délais de correction des vulnérabilités ?

Prévoir environ 8 minutes d’échanges sur ce tableau.

Source : 04-prochaines-etapes/grille-evaluation.

C’est la seule question bloquante partagée, et elle reste posée même si le comité écarte Projects : elle concerne tous les scénarios.

Question complémentaire : les événements, métriques et historiques sont-ils exportables en cas de sortie de LPI ?

Hypothèse requalifiée par l’audit : Swagger documente une API ; la réversibilité exige un export complet, stable et testé.

Sources : 04-prochaines-etapes/grille-evaluation, 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go.

Q11 : le HTML brut des annuaires et des fiches contient-il le contenu principal sans JavaScript ? Où sont générés sitemap, canonical et données structurées ?

Q12 : quels services restent indispensables pour afficher une fiche publiée, et la page reste-t-elle disponible si CRISalid ou le service d’authentification tombe ? Preuve : graphe d’appels, test de panne.

Q13 : quelle politique de cache (CDN, frontend, API), et quels temps de réponse sous trafic anonyme représentatif ?

Q17 : les fonctions collaboratives peuvent-elles être retirées du build et du déploiement publics ?

Ces preuves rempliraient les cases « n. é. » de la grille.

Source : 04-prochaines-etapes/grille-evaluation.

Q14 : Paris-Saclay administrera-t-elle les comptes de supervision, analytics et tableaux de bord ? Quelles données sont collectées avant et après consentement ? Preuve : accès en lecture, capture réseau, registre de traitements.

Q16 : quelles références comparables (vitrine publique de recherche indexée) peuvent témoigner ? Deux contacts autorisés, volumétrie, disponibilité sur 12 mois. Aucune vérifiée à ce jour.

Q18 : quel niveau RGAA est démontré sur les parcours publics, et qui finance les corrections ?

Q15 (rectifications et dépublications) relève de la DiBISO.

Questions complémentaires du registre : projets et financements, exports normalisés (ORCID, ROR, DOI, HAL, CERIF), conservation des données analytics, charte sans fork.

Sources : 04-prochaines-etapes/grille-evaluation, 02-analyse-lpi/00-lpi-et-projects.

Ce que nous convenons aujourd’hui, et d’ici quand.

Le POC de pertinence, du 9 novembre au 4 décembre 2026 au plus tard, est mené par Paris-Saclay sans attendre LPI. Le comité de décision est prévu, par hypothèse, la semaine du 7 décembre 2026.

Le dossier du comité comprend les preuves reçues de LPI et les inconnues restantes, le comparatif des coûts à 3 et 5 ans, et se conclut par une recommandation GO, GO conditionnel, PIVOT ou NO-GO.

La date limite exacte de remise des preuves se fixe en séance : aucune n’est publiée, seul « avant le comité » fait foi. La barre LPI montre une fenêtre, pas une date de départ. Les questions importantes sont attendues avant tout engagement contractuel.

Si les preuves arrivent, l’option n’est pas retenue pour autant : le frontend Projects ne serait reconsidéré que si un POC comparatif démontrait un niveau équivalent sans fork durable. Aucune date ni durée n’est publiée pour ce POC comparatif.

Sources : 04-prochaines-etapes/00-feuille-de-route, 04-prochaines-etapes/grille-evaluation, 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go.

Si Projects est écarté (décision 1 de la restitution), cet atelier se réduit à ce qui reste posé quelle que soit la décision : Q3, l’export, et le signalement formel des failles. C’est la version réduite prévue par le catalogue des decks (voir les notes de la couverture).

Les failles exposent les utilisateurs actuels de Projects, indépendamment de Paris-Saclay. Elles sont documentées depuis fin septembre, sans trace de signalement formel à LPI : l’action attendue est un signalement daté, avec un délai de correction convenu, puis un retest (LPI, RSSI).

Sources : 04-prochaines-etapes/grille-evaluation, 02-analyse-lpi/03-audit-technique/02-arbitrage/00-avis-go-no-go, 06-audit-docs/05-limites-de-laudit, 06-audit-docs/06-plan-de-correction, 05-deck/catalogue.

1. Un répondant nommé pour chacune des 13 questions qui visent LPI (Q1, Q2, Q3 partagée, Q6 à Q8, Q11 à Q14, Q16 à Q18).

2. Les preuves bloquantes (Q1, Q2, Q3, Q6, Q7, Q8) remises avant le comité de la semaine du 7 décembre.

3. Un signalement formel et daté des deux failles, avec un délai de correction convenu. Il lève une limite de l’audit ; il passe par le canal du RSSI et ne se fait pas en séance.

4. Une position de LPI sur la reprise du spécifique générique (mode public, SEO, cache, sécurité, observabilité) dans le produit maintenu : sans elle, l’option devient un fork durable et doit être écartée.

Les engagements 1 et 4 sont des propositions d’organisation, à valider ensemble.

Un critère éliminatoire ouvert (licence non levée, vulnérabilité critique ouverte, TCO non chiffré) impose le NO-GO de l’option, quelle que soit la moyenne.

Sources : 04-prochaines-etapes/grille-evaluation, 02-analyse-lpi/03-audit-technique/02-arbitrage/03-cout-option-lpi, 02-analyse-lpi/03-audit-technique/02-arbitrage/01-risques-conditions-go, 06-audit-docs/06-plan-de-correction.

Rappeler les quatre engagements et le répondant de chacun.

Registre complet : page « Questions à LPI » du site d’audit.

Source : 04-prochaines-etapes/grille-evaluation.