Sur l'affaire FILAE

Vous avez peut-être vu passer, début décembre, une publicité vantant les mérites d'un nouveau service de généalogie en ligne : Filae

Cette annonce a fait l'effet d'une bombe dans le microcosme de la généalogie et au sein du réseau des Archives Départementales. 

Pour faire simple et rapide, Filae a récupéré la quasi totalité des images numérisées de l'état civil disponible en ligne sur les sites des Archives Départementales, les a enrichies, pour les mettre à disposition du public via un abonnement mensuel.

De nombreux acteurs du domaine ont commenté l'affaire, que ce soit La Gazette des Communes, Lionel Maurel (juriste & bibliothécaire), le cabinet d'avocats de Filae, la Revue Française de Généalogie, le blog de FranceGenWeb ou celui de Clément Bècle.

Je vous laisse parcourir ces articles, sans porter de jugement, n'étant pas spécialiste du domaine.

Vous pourrez y constater :

• l'imbroglio juridique sur la légalité ou pas de l'action de Filae, au vu des différentes lois qui se sont succédées ces dernières années
• l'incontestable réponse apportée par Filae à un besoin des utilisateurs

Je me suis intéressé à l'aspect technique, tant il semble, à priori assez impensable de parvenir à ce résultat face aux difficultés techniques potentielles.

Pour illustrer le propos, je reprends un extrait de l'article de Clément Bècle :

En complément à ce qu'écrit Clément Bècle, on peut noter :

• que le nettoyage a probablement connu des "loupés", puisque, de source qualifiée, certaines mentions marginales n'ont pas été occultées, ce qui se traduit par la mise en ligne de données non communicables selon la législation en vigueur
• que l'appropriation de ces données par Filae devrait le soumettre aux exigences préconisées par la CNIL en matière de sécurité, de manière à éviter des risques de détournement de ces données à caractère personnel

Même si on constate les moyens humains et financiers qui ont probablement été consacrés à ce projet, il a aussi été possible parce que techniquement il était relativement facile de copier toutes ces images et que les Archives Départementales ne pensaient pas que "quelqu'un" serait capable de s'attaquer à ce projet d'envergure.

Là où la technique a probablement facilité l'affaire, c'est sur les points suivants :

• Le marché se limite à quelques éditeurs qui équipent la plupart des Archives Départementales => en comprenant/maîtrisant le mode de classement de deux ou trois logiciels, on devient capable de traiter quasiment toutes les sources de données.
• Au moins l'un des éditeurs, largement présent, affiche, au moment de la consultation/impression de l'image (qui permet la copie) une URL qui permet assez vite de comprendre la méthode de classification, ouvrant la voie à la déduction, au moins partielle, des URL des autres images. A partir de là, il devient simple d'écrire un petit programme qui va automatiquement et quasi-instantanément télécharger toutes les images d'une série.
• Par exemple, voici une URL :

http://archives.<DEPARTEMENT>.fr/img-server/etatcivil/<COMMUNE>_<COLLECTION>_<ANNEES>/<DEPARTEMENT>_<COLLECTION>_<COMPTEUR>.jpg

avec <COMMUNE>, <COLLECTION>, <ANNEES> et <DEPARTEMENT> qui sont directement consultables sur le site et <COMPTEUR> qui est un compteur qu'il suffit d'incrémenter pour parcourir toutes les images, au pire en repérant le numéro de départ et le nombre d'images de la série.

Comment aurait-on pu compliquer le projet par des mesures techniques ?

• Par une étape manuelle de validation de type captcha qui interdirait l'automatisation des captures
• Par un logiciel qui rend l'URL indécryptable comme par exemple :
• http://archives.<DEPARTEMENT>.fr/arkotheque/arkotheque_visionneuse_archives.php?arko=YTo0OntzOjQ6ImRhdGUiO3M6MTA6IjIwMTctMDEtMjciO3M6MTA6InR5cGVfZm9uZHMiO3M6MTE6ImFya29fc2VyaWVsIjtzOjQ6InJlZjEiO2k6MjtzOjQ6InJlZjIiO2k6NTM4MTt9
• Par un système de surveillance réseau, en amont du serveur applicatif, qui détecte les accès inhabituels et qui soit capable de bloquer les @IP qui accèdent massivement aux données dans une période de temps courte

Je tire deux conclusions de cette affaire :

• Comme le dit encore Clément Bècle : "j’aurais aimé que ce soit fait par un acteur public…"
• Les données de nombreux services publics ne sont probablement pas assez protégées d'accès indésirables et le risque existe pour d'autres services de l'Etat ou de Collectivités Territoriales de se faire déposséder de leurs données par des entités qui sauront construire autour un business model.