Auteur/autrice : Éric

  • Négo­cier son contrat de travail

    Quand je discute avec mes employeurs j’ai parfois l’im­pres­sion d’être le seul emmer­deur à discu­ter du contenu du contrat de travail. J’y tiens pour­tant. Je ne veux pas m’en­ga­ger à n’im­porte quoi, ou garder en perma­nence une épée au dessus de la tête à cause d’une clause beau­coup trop déséqui­li­brée.

    Je suis agréa­ble­ment surpris parce que visi­ble­ment je ne suis pas le seul. Une un gros tiers d’entre vous semble en faire autant.

    https://twit­ter.com/edasfr/status/1384136682820161538

    Le point essen­tiel :

    Le contrat de travail est au béné­fice de l’em­ployeur.

    Votre salaire et votre poste sont déjà sur la promesse d’em­bauche. Vos moda­li­tés de temps de travail ou conven­tion collec­tive seront les mêmes que les autres, et faci­le­ment prou­vables, donc il vous est inutile d’en avoir une copie à vous.

    Sur le contrat de travail il y a surtout les clauses au béné­fice de l’em­ployeur : l’ex­clu­si­vité, la non-concur­rence, la confi­den­tia­lité, la mobi­lité, le non-débau­chage, la propriété intel­lec­tuelle et j’en passe.

    Tout ça fait partie du deal d’un travail sala­rié mais ça ne se signe que si c’est accep­table et suffi­sam­ment équi­li­bré.

    Comment ça se passe ?

    Les dépar­te­ments RH sont plus souvent récep­tifs à des chan­ge­ments moti­vés et raison­nables qu’on ne le croit.

    Si vous ne compre­nez pas quelque chose ou que vous n’êtes pas certain, posez la ques­tion par email. Si quelque chose vous gêne, propo­sez une modi­fi­ca­tion raison­nable et expliquez pourquoi, là aussi par email.

    Le bon moment

    La première étape c’est de faire ça au bon moment : Quand on discute de l’offre, juste avant de l’ac­cep­ter. Les condi­tions d’en­ga­ge­ment font partie de l’offre, c’est normal de les deman­der, et éven­tuel­le­ment de les discu­ter. Certains trou­ve­ront peut-être ça inha­bi­tuel mais ça ne choquera personne : Deman­dez le brouillon du contrat de travail type à ce moment là.

    C’est toujours faisable après coup à lors des premiers jours de travail quand on vous propo­sera le contrat déjà fina­lisé, mais ça arri­vera comme un cheveux sur la soupe et ça sera bien plus diffi­cile à négo­cier.

    La confiance et la bonne intel­li­gence

    La chose diffi­cile c’est de réfu­ter toute notion de confiance et de bonne intel­li­gence. Bien entendu que vous faites confiance à votre employeur et qu’en cas de problème vous trai­te­rez ça tous deux en bonne intel­li­gence.

    Le truc c’est que le contrat sert juste­ment dans les autres cas, quand il y aura un conflit ouvert que vous ne pour­rez pas le résoudre entre vous en confiance et/ou en bonne intel­li­gence (ou que vous aurez une opinion diffé­rente de la dite bonne intel­li­gence). C’est d’ailleurs pour ça que votre employeur vous en impose un. Là, ce sera le texte qui comp­tera. Si ce que dit le texte n’est pas bon dans ce contexte, alors il faut le chan­ger.

    Peut-être que vos inter­lo­cu­teurs chan­ge­ront et ne seront plus là pour tenir leurs inter­pré­ta­tions ou enga­ge­ments. Peut-être que la société elle-même chan­gera de contrôle et impo­sera une autre vision.

    C’est dans ce contexte qu’il faut discu­ter, et dès qu’on vous parle de confiance ou de bon intel­li­gence, c’est proba­ble­ment cette hypo­thèse qu’il faut rappe­ler.

    Dans tous les cas la confiance et la bonne intel­li­gence sont à double entrée. On ne peut pas vous mettre une clause large et puni­tive qui montre que eux n’ont pas confiance (et préparent le cas du conflit) tout en vous deman­dant à vous de faire confiance.

    L’écrit

    Faites un maxi­mum d’échanges par email, quitte à vous-même faire un résumé de la discus­sion que vous enver­rez par email. Les inter­pré­ta­tions et réas­su­rances qu’on vous donnera (et dans une bien moindre mesure celles que vous aurez résumé et qu’ils n’au­ront pas contesté) leur seront poten­tiel­le­ment oppo­sables si besoin était.

    Faute de faire chan­ger les textes, si les enga­ge­ments oraux vous semblent raison­nables, une possi­bi­lité peut aussi être de repo­ser les inter­pré­ta­tions, réas­su­rances et enga­ge­ments qu’on vous a fait dans le cour­rier qui indique que vous accep­tez leur offre.

    J’ai bien noté dans nos échanges à propos du contrat de travail que […]. Merci de ces éclair­cis­se­ments. Je suis donc heureux d’ac­cep­ter cette offre […]

    Vous pouvez d’ailleurs jouer aussi sur ce que vous ne compre­nez pas (si effec­ti­ve­ment vous ne le compre­nez pas, ne faites pas semblant). Dire « je ne comprends toujours pas […] » est enga­geant parce que ce qu’on vous fait signer tout en sachant que vous ne le compre­nez pas est poten­tiel­le­ment réfu­table plus tard. C’est une bonne réponse si le dépar­te­ment RH vous dit « ta gueule, c’est la version légale, ça ne compte pas et ça ne veut pas dire ce que tu crois » (en plus poli).

    L’is­sue

    Idéa­le­ment vous vous mettez d’ac­cord et vous amen­dez le contrat. Vous pouvez aussi faire un avenant spéci­fique au contrat. Ça permet à l’em­ployeur de ne pas toucher au contrat commun mais vous accor­der des exclu­sions ou modi­fi­ca­tions spéci­fiques.

    À défaut de modi­fi­ca­tions sur le texte lui-même, tout enga­ge­ment ou inter­pré­ta­tion expli­ci­tée par votre employeur a force de contrat, d’où les écrits propo­sés plus haut.

    Enfin, si l’em­ployeur ne lâche rien, à vous de voir quels compro­mis vous voulez faire. Leur refus est toute­fois une infor­ma­tion en soi : Voulez-vous vrai­ment travailler dans une entre­prise qui a des clauses déséqui­li­brées ou inac­cep­tables et un dépar­te­ment RH qui refuse de tran­si­ger intel­li­gem­ment ?

    À quoi faire atten­tion

    Choi­sis­sez vos combats. Vous pouvez négo­cier le contrat de travail mais pas tout le réécrire. Si vous en faites trop, vous aller simple­ment braquer votre inter­lo­cu­teur.

    Foca­li­sez-vous sur les points les plus impor­tants pour vous ainsi sur ceux qui à votre avis sont les plus faciles à entendre pour l’em­ployeur.

    Mon conseil : Si quelque chose est vrai­ment mani­fes­te­ment exces­sif ou illé­gal au point que ça ne pourra jamais être utilisé, n’en parlez pas. Une clause de non-concur­rence illé­gale est tout à votre avan­tage : Vous pouvez espé­rer la faire exécu­ter si elle vous est béné­fique, tout en la faisant sauter si elle se révèle contrai­gnante.

    Mieux vaut porter l’at­ten­tion sur ce qui peut réel­le­ment vous nuire, ainsi que ce qui est border­line ou dont l’in­ter­pré­ta­tion peut varier.

    Voici quelques points auxquels je fais atten­tion (la liste n’est malheu­reu­se­ment pas exhaus­tive) :

    Exclu­si­vité

    Est-ce que je peux écrire un livre en paral­lèle de mon acti­vité ? Est-ce que je peux prési­der une asso­cia­tion non lucra­tive ? Est-ce que je peux faire recom­man­der un ami pour un recru­te­ment ? Est-ce que je peux faire le mentor après d’un déve­lop­peur ou mana­ger plus junior ? Est-ce que je peux contri­buer à des projets open source ou commu­nau­taires ?

    C’est en partie parce que j’ai fait tout ça en paral­lèle de mes acti­vi­tés sala­riés que je suis qui je suis, là où je suis. M’in­ter­dire ces acti­vi­tés c’est en vouloir le résul­tat sans accep­ter de me lais­ser me déve­lop­per.

    Géné­ra­le­ment l’em­ployeur ne trouve rien à redire à ma liste, alors on retire la clause, ou on fait des excep­tions expli­cites à l’écrit. C’est honnê­te­ment une clause très simple à faire amen­der tant qu’on ne prétend pas faire un second boulot plein temps en paral­lèle du premier.

    Non débau­chage

    Cette clause là est en géné­ral bien plus diffi­cile à faire chan­ger parce que les employeurs qui en ont une sont assez soupçon­neux.

    Le problème c’est que toutes les clauses de ce type que j’ai croisé sont exces­si­ve­ment larges. Elles inter­disent en géné­ral toute solli­ci­ta­tion, directe ou indi­recte, de n’im­porte qui.

    Je ne cherche pas à débau­cher mais je ne veux pas de problème si jamais un ancien collègue me rejoint. Je ne veux pas que lui soit mis dans l’im­pos­si­bi­lité de le faire, puisque pour certains employeurs ces clauses sont autant là pour restreindre leurs possi­bi­li­tés des sala­riés actuels que pour éviter le non-débau­chage.

    Un argu­ment qui porte parfois et qui m’est parti­cu­liè­re­ment impor­tant : Est-ce qu’une telle clause aurait pu m’em­pê­cher de vous rejoindre si un ancien collègue travaillait déjà pour vous et que mon ancien employeur était devenu peu coopé­ra­tif entre temps ? Si oui alors c’est inco­hé­rent (si ce n’est pas assumé) ou immo­ral (si ça l’est).

    Secret ou confi­den­tia­lité

    Ces clauses sont géné­ra­le­ment exces­si­ve­ment larges. Elles ne pose­ront proba­ble­ment pas de problème à une grande partie des sala­riés mais permet­tront un arbi­traire total si votre rôle est de commu­niquer à l’ex­té­rieur (confé­rences, recru­te­ment, commu­nauté, etc.).

    De manière inté­res­sante, c’est la seule clause qu’il est plus facile de négo­cier après le début du travail, parce qu’il y a la menace de l’ap­pliquer de façon litté­rale avec « désolé, je ne peux pas, je suis inter­dit par contrat ».

    Quand l’em­ployeur accepte la discus­sion, une solu­tion est de lui faire expli­ci­ter les cas dont il veut se proté­ger. Souvent ces cas sont déjà couverts par défaut par le droit du travail et le secret des affaires, et il n’est pas la peine d’en rajou­ter à ce point.

    J’es­saie d’être assez strict là dessus mais c’est souvent assez diffi­cile à faire amen­der.

    J’es­saie par contre au moins de refu­ser la double contrainte. Je ne peux pas avoir pour rôle de commu­niquer à l’ex­té­rieur (ce qui est proba­ble­ment le cas sur un poste de direc­tion ou mana­ge­ment infor­ma­tique, où au mini­mum on vous deman­dera de parta­ger des infor­ma­tions lors de recru­te­ments) tout en ayant une inter­dic­tion totale et abso­lue de commu­niquer quoi que ce soit.

    À minima j’es­saie donc de faire préci­ser expli­ci­te­ment — idéa­le­ment dans la même clause, à défaut dans les missions — que j’ai un rôle de commu­ni­ca­tion exté­rieure qui demande un certain degré d’au­to­no­mie dans ce que je peux avoir à dire.

    Mobi­lité et réver­si­bi­lité du télé­tra­vail

    Là c’est assez simple : Étes-vous d’ac­cord pour vous dépla­cer là où l’in­dique le contrat de travail, pour les durées indiquées ou de façon perma­nente le cas échéant ?

    Si non, c’est à faire modi­fier. Si l’em­ployeur tient à vous impo­ser une zone large malgré votre oppo­si­tion, c’est peut-être un bon signe de sa façon de voir le sala­rié.

    Même chose pour la réver­si­bi­lité du télé­tra­vail. Si le télé­tra­vail est un élément essen­tiel, ce doit être indiqué comme tel et pas comme un élément sur lequel l’em­ployeur peut reve­nir. Et, s’il y a une réver­si­bi­lité, elle ne doit pas être à l’autre bout de la France.

    Si vous voulez éviter l’ar­bi­traire, vous pouvez aussi tenter de faire ajou­ter des condi­tions pour que les mobi­li­tés ne se fassent qu’à l’oc­ca­sion du dépla­ce­ment de toute l’équipe, ou de tout le bureau, et pas sur des critères indi­vi­duels.

    Temps de travail

    Les proba­bi­li­tés qu’on modi­fie les temps de travail unique­ment pour vous sont extrê­me­ment faibles mais ça mérite d’en parler quand même.

    Peut-être qu’ils ne proposent pas de RTT mais sont en réflexion pour le faire et que vous pour­riez être un premier contrat pour ça, ou que votre rôle / posi­tion pour­rait le justi­fier, ou qu’on peut vous assu­rer par contrat une auto­ri­sa­tion d’un certain nombre de jours de congés sans solde.

    Missions

    J’en parle en dernier parce que c’est ce à quoi on pense tout le temps et qui ne me semble pas forcé­ment le plus impor­tant.

    Toute­fois : Si une mission vous gêne, faites la enle­ver. Si vous voulez faire quelque chose (recru­te­ment, commu­ni­ca­tion exté­rieure, archi­tec­ture, que sais-je…), faites le ajou­ter.

    Autres ajouts

    Autant faire modi­fier des choses n’est pas toujours aisé, autant en faire ajou­ter l’est beau­coup plus qu’on ne le croit.

    On vous parle de congés sans soldes ? Faites-le écrire. On vous parle de forma­tions ou de confé­rences ? Faites-le écrire. On vous parle d’aug­men­ta­tion au bout d’un ou deux ans ? Faites-le écrire.

    Écrire ce qui est évident ou déjà acté ne coûte rien à personne et ça offre toujours un peu de garan­ties au cas où le contexte change dans la direc­tion de l’en­tre­prise.

  • On peut

    Je supporte de moins en moins le « on ne peut pas » en poli­tique.

    Honnê­te­ment, on peut.

    On peut vacci­ner toute la planète en moins de 6 mois. On est capables de monter des centaines ou milliers d’usines du jour au lende­main et de créer de toutes pièces la logis­tique adéquate.

    On peut garan­tir un loge­ment à tous dans le pays. On peut élimi­ner la faim dans le monde et assu­rer une vie décente à tous. On peut faire trans­for­mer notre société vis à vis du climat.

    Je ne dis pas que c’est simple, que c’est sans consé­quences, ou même que c’est souhai­table. Je dis juste qu’aujourd’­hui, au regard des capa­ci­tés tech­no­lo­gies, indus­trielles et humaines de nos civi­li­sa­tions actuelles, l’hu­ma­nité peut quasi­ment tout ce qu’elle veut. Elle n’a qu’à le vouloir.

    Cette diffé­rence entre pouvoir et vouloir est impor­tante en poli­tique.

    Dire qu’on ne peut pas c’est couper le débat en masquant le choix. C’est refu­ser de remettre en cause un exis­tant. Oser dire qu’on ne veut pas est un peu plus humble, c’est oser se regar­der dans les yeux avec ses choix et ses contra­dic­tions.

    Tout ça est parti­cu­liè­re­ment vrai avec l’ex­cuse du « pas les moyens ». En fait on a les moyens. On a la tech­no­lo­gie, les ressources, les compé­tences, la main d’œuvre. Ce qu’on n’a éven­tuel­le­ment pas ce sont des chiffres libel­lés en euros sur une base de données élec­tro­niques quel­conque. Ce qu’on ne veut pas c’est remettre en cause l’or­ga­ni­sa­tion finan­cière et sociale pour choi­sir d’autres prio­ri­tés collec­tives.

    Encore une fois, je ne dis pas que c’est simple et sans consé­quences, ou même souhai­table, mais ça fait réflé­chir.

    En géné­ral quand on aborde la ques­tion on fait surtout face à beau­coup de FUD, cari­ca­tures et fantasmes. Le chan­ge­ment radi­cal est diffi­cile à appré­hen­der, surtout quand ceux qui se posent la ques­tion sont fina­le­ment ceux dont la situa­tion est la plus favo­rable. C’est de bonne foi, pas volon­taire, souvent même pas conscient. C’est juste humain.

    Le savoir, le prendre en compte, cher­cher un peu de recul, permet­trait peut-être d’en­vi­sa­ger autre chose et de dire cette fois « en fait on peut si on le veut vrai­ment, et si on le faisait ? »

    Oui je suis un rêveur, un idéa­liste, un utopique même peut-être. Peut-être qu’on devrait tous l’être, parce que c’est comme ça qu’on avance aussi.

  • Un peu de respect et d’em­pa­thie

    Ce matin Jean-Pierre, ton collègue de bureau, a annoncé avoir débuté son nouveau régime. Tu as le droit de prendre deux fois du dessert mais évite de lancer « super le dessert ce midi, qui en a pris deux fois ? » dans l’open space ; juste pas ce jour là, ou pas formulé ainsi.

    C’est juste une marque de déli­ca­tesse et d’em­pa­thie.


    Tu as oublié le régime de Jean-Pierre ou tu n’avais pas réalisé ce que ça impliquait et tu as effec­ti­ve­ment lancé « super le dessert ce midi, qui en a pris deux fois ? » juste ce jour là dans l’open space ?

    Tu n’as rien fait de grave mais t’ex­cu­ser de cette maladresse montre­rait un peu d’em­pa­thie et de respect envers Jean-Pierre.

    Le vrai fond n’est pas dans la maladresse ou dans l’ex­cuse, même si on peut espé­rer que c’est une évidence pour toi.

    Le vrai fond c’est que, si tu choi­sis de t’ex­cu­ser, ça ne devrait pas géné­rer un torrent de haine contre ton choix de t’ex­cu­ser, ni contre Jean-Pierre ou tous ceux qui choi­sissent de faire des régimes, ni contre les régimes eux-même. Ça devrait encore moins géné­rer des cris au nom de la liberté d’ex­pres­sion et de la défense de notre consti­tu­tion.


    Tu penses que les régimes des maga­zines sont des attrape-nigauds ? Tu crois, tu sais ou tu as lu d’une auto­rité quel­conque qu’il est quand même possible de manger des desserts pendant les régimes, que des écarts ponc­tuels devraient être accep­tables, ou que ces desserts là apportent des éléments indis­pen­sables à la bonne santé ?

    Peu importe, ça n’est pas le sujet. Si tu connais bien Jean-Pierre et que tu sais que ton avis sur le sujet est bien­venu, alors tu pour­ras éven­tuel­le­ment lui dire en privé par ailleurs.

    Pour autant, dans tous les cas, tu évites quand même de lancer dans l’open space cette remarque maladroite vis à vis du dessert de ce midi, pas ce jour là du moins. Ça ne coûte rien et ça montre à Jean-Pierre qu’il compte à tes yeux quand bien même tu ne partages pas ses choix.


    Je dis ça je dis rien mais ça fonc­tionne aussi si tu vends de l’eau en bouteille et que tu exprimes « qui a bu son litre d’eau aujourd’­hui ? » en pleine jour­née sur Twit­ter le jour même du début du rama­dan où un nombre signi­fi­ca­tif de personnes tente de renon­cer un maxi­mum à boire en jour­née, et que tu choi­sis de t’ex­cu­ser de ta maladresse après en avoir pris conscience.

    Ça ne devrait lancer aucune polé­mique pour critiquer le choix de s’ex­cu­ser, aucune pancarte « on ne peut plus rien dire », aucune haine envers les musul­mans et leurs pratiques, aucun mouve­ment parlant de liberté d’ex­pres­sion bran­dis­sant la consti­tu­tion (surtout si c’est au final pour repro­cher à quelqu’un d’avoir exprimé des excuses, soyons un peu cohé­rents).

    On parle d’em­pa­thie et de respect. Vous avez le droit d’être inaptes sur ces émotions de base mais évitez de repro­cher aux autres d’avoir des compor­te­ments humains corrects, et évitez d’en profi­ter pour déver­ser votre haine.

  • CTO, VP engi­nee­ring, mana­ger, … C’est quoi tout ça ?

    Ma matrice est à deux colonnes et à cinq lignes.

    En colonne je place le péri­mètre d’ac­tion. Pour simpli­fier je parle d’hu­main et de tech­nique. Côté humain j’ai le mana­ge­ment et l’ani­ma­tion des équipes, le suivi des livrables en termes d’agenda et de qualité, l’or­ga­ni­sa­tion interne et le budget. Côté tech­nique j’ai les choix tech­no­lo­giques, l’abou­tis­se­ment de la R&D, et l’adé­qua­tion aux besoins.

    En lignes je place la portée des actions. Ça va de la portée indi­vi­duelle jusqu’à la direc­tion de l’en­tre­prise. Les étapes inter­mé­diaires sont assez arbi­traires, elles servent juste à illus­trer..

    HumainTech­nique
    Comité exécu­tif
    Ensemble de la tech
    (sous)-Dépar­te­ment
    Équipe(s)
    Indi­vi­duel

    On joue ?

    Clas­se­ment simple

    De manière géné­rale on a la hiérar­chie suivante :
    CxO > VP > Head > Direc­tor > Staff > Lead

    HumainTech­nique
    Comité exécu­tifVP of Engi­nee­ringCTO
    Ensemble de la techVP of Engi­nee­ring
    Head of Engi­nee­ring
    CTO
    Direc­tor of Archi­tec­ture
    Prin­ci­pal Engi­neer
    (sous)-Dépar­te­mentVP of …
    Direc­tor of …
    Tribe direc­tor
    Staff Engi­neer
    (Lead) Archi­tect
    Équipe(s)Engi­nee­ring Mana­gerLead deve­lo­per
    Indi­vi­duelSenior deve­lo­perSenior deve­lo­per

    Ok mais le CTO ?

    Quand il est seul, le CTO s’oc­cupe à la fois de la tech­nique et de l’hu­main. C’est proba­ble­ment le cas sur la plupart des struc­tures de moins de 25 ingé­nieurs.

    À l’in­verse, parfois sur des grandes struc­tures on a un CTO qui est essen­tiel­le­ment au niveau du comité exécu­tif et des action­naires (la première ligne) et l’opé­ra­tion­nel est laissé à un couple VP of Engi­nee­ring / Prin­ci­pal Engi­neer (la seconde ligne).

    Enfin, on a parfois un CTO co-fonda­teur qui passe la main au fur et à mesure que la struc­ture gran­dit. Il peut alors conti­nuer sur un rôle proche du prin­ci­pal engi­neer en gardant son titre de CTO. Celui qui a le vrai rôle de CTO est alors le vp of engi­nee­ring plus expé­ri­menté qu’on fait venir pour prendre la suite.

    Ok mais en français ?

    En français on a le direc­teur tech­nique qui corres­pond aux quatre cases du haut de la grille, parfois même aux six premières.

    On peut avoir un direc­teur tech­nique qui est au niveau d’un direc­teur de dépar­te­ment (direc­tor of …), sous la respon­sa­bi­lité du DSI. On peut à l’op­posé avoir un direc­teur tech­nique au niveau du comité exécu­tif et un DSI au niveau du dépar­te­ment support infor­ma­tique interne.

    Bref, en français direc­teur tech­nique et DSI ne disent pas grand chose. On sait juste que s’il n’y a pas « direc­teur » mais « respon­sable », alors on n’est pas sur la première ligne de la grille mais à priori sur la seconde (peut-être) ou sur la troi­sième (proba­ble­ment).

    Pire, en France on utilise le terme de CTO sans la conno­ta­tion CxO qu’il a chez les anglo-saxons. On alors un CTO qui n’est pas au comité exécu­tif mais juste un titre relui­sant qu’on donne au respon­sable d’une petite équipe R&D, ou au déve­lop­peur lead de la seule équipe présente.

    L’autre parti­cu­la­rité française par rapport à la grille plus haut, c’est que les rôles humains et tech­niques ont tendance à être fusion­nés, ou à ne pas porter de titres distincts.

    S’il fallait une hiérar­chie ça serait la suivante :
    Vice Président > Direc­teur > Respon­sable > Chef > Lead.

    Atten­tion donc, un direc­teur en France n’est pas un direc­tor anglo-saxon. Ce dernier corres­pond plus à respon­sable en France.

    Pourquoi tout ça ?

    Honnê­te­ment les titres on s’en fout un peu, ou on devrait.

    Pour autant, s’il est réflé­chi, le titre qu’on vous donnera est révé­la­teur du niveau de respon­sa­bi­lité et du niveau de déci­sion où on vous atten­dra. Ça permet d’évi­ter les incom­pré­hen­sions, ou de les résoudre.

    Le titre c’est aussi ce qui sera vu par les tiers à l’ex­té­rieur de l’en­tre­prise. Ça peut impliquer qui on vous mettra en face lors de discus­sions, ou sur quel péri­mètre on vous jugera perti­nent.

    Un ancien titre peut aussi crédi­bi­li­ser un futur poste (mais un titre ronflant pour un rôle qui ne corres­pond pas peut aussi décré­di­bi­li­ser votre posi­tion).

  • Protégé : Quelques nouvelles

    Cette publi­ca­tion est proté­gée par un mot de passe. Pour la voir, veuillez saisir votre mot de passe ci-dessous :

  • Impu­nité poli­cière

    Juste quelques liens, à mon propre usage parce qu’à chaque fois qu’on me demande des réfé­rences sur ce type de cas, je ne sais pas les retrou­ver. D’autres s’ajou­te­ront proba­ble­ment avec le temps.

    Le poli­cier se défend à propos d’un menot­tage sans justi­fi­ca­tion. Peu avant il a été prouvé par vidéo que l’in­ter­pel­la­tion ne corres­pon­dait pas à son PV et qu’il n’y avait pas eu la rébel­lion pour laquelle il portait plainte.

    Ce serait, dit-on, un bizu­tage courant dans certains commis­sa­riats. Sauf que ce 16 mai 2020, les poli­ciers y vont fort en la jetant dans la geôle. La jeune gardienne de la paix se frac­ture le poignet. Elle a beau se plaindre, ses deux collègues la laissent mari­ner aux fers.

    Le lende­main, ils sont obli­gés de consta­ter que la jeune femme ne jouait pas la comé­die : son poignet est bien abîmé. Qu’à cela ne tienne, ces deux membres d’une brigade de jour convainquent leur collègue de mettre sa bles­sure sur le compte du premier venu. Cela tombe bien, ils viennent de procé­der à l’in­ter­pel­la­tion un peu musclée d’un indi­vidu qui a refusé de se lais­ser contrô­ler et a résisté. L’homme est placé en garde à vue et un procès-verbal est dressé, détaillant par le menu de quelle manière il s’en est pris violem­ment à la poli­cière. La preuve : celle-ci voit un méde­cin qui lui délivre un arrêt de travail et établit son inca­pa­cité tempo­raire totale (ITT) à plusieurs dizaines de jours.

    Au commis­sa­riat de Vanves, deux poli­ciers bruta­lisent une collègue et font accu­ser un tiers


    Indi­gnés par les peines de prison ferme pronon­cées contre les fonc­tion­naires, leurs collègues ont mani­festé devant le tribu­nal de Bobi­gny. Le minis­tère de l’In­té­rieur a jugé la condam­na­tion « dispro­por­tion­née »

    […]

    Ce jour-là, un poli­cier est blessé à la jambe, percuté par une voiture de police lors une course-pour­suite. Lui et ses collègues décident alors de mentir et accusent dans leur procès-verbal le conduc­teur de la voiture qu’ils pour­sui­vaient. Ce dernier est placé en garde à vue pour tenta­tive d’ho­mi­cide sur fonc­tion­naire de police, un crime passible de la perpé­tuité.

    Polé­mique après la condam­na­tion de 7 poli­ciers

    Dans leur rapport, ils avaient indiqué que l’homme s’était livré à une tran­sac­tion douteuse avant de s’en­fuir et de les percu­ter à deux reprises alors qu’ils lui deman­daient de s’ar­rê­ter.

    Sur les images de vidéo surveillance de la ville, « on ne voit pas de crime ou de délit commis par le conduc­teur du scoo­ter », mais « on voit qu’un agent muni­ci­pal percute le scoo­ter avec son vélo et va au contact du conduc­teur » […]
    A la suite de cette affaire, le maire de Belfort Damien Meslot avait suspendu « pour une durée indé­ter­mi­née » certaines actions de coopé­ra­tion entre la police muni­ci­pale et la police natio­nale. Il jugeait alors la garde à vue des deux poli­ciers muni­ci­paux « dispro­por­tion­née ».

    Belfort: deux poli­ciers muni­ci­paux mis en examen pour « faux en écri­ture »

  • Sécu­rité de Have I Been Pwned?

    Concer­nant Have I Been Pwnd? il y a pas mal de gens réti­cents à l’uti­li­ser de peur que ça aspire ce qu’ils saisissent. Et c’est aussi prendre le risque qu’un site frau­du­leux se fasse passer pour lui.

    https://masto­don.teta­neu­tral.net/@Natouille/105820437840086551

    Il y a deux parties à Have I Been Pwnd?. La première partie c’est une solu­tion pour lais­ser son email et être averti dès qu’une brèche concerne un de vos comptes.

    Là dessus il n’y a aucun risque de sécu­rité, que du béné­fice. Si vous ne vous êtes pas enre­gis­tré, faites-le.

    On laisse certes son email mais pour l’ins­tant personne n’a relevé de spam sur ce service (et croyez-moi, il doit y avoir des milliers d’in­for­ma­ti­ciens qui ont du essayer de mettre une adresse de test spéci­fique).


    La seconde partie propose de saisir son mot de passe et regarde s’il est présent dans la base de données des mots de passe déjà connus.

    Troy Hunt a établi un proto­cole qui permet de véri­fier si un mot de passe est dans la base sans avoir à trans­mettre ce mot de passe au serveur. C’est simple à lire et à comprendre, et ça ne laisse aucune part au doute : Tant qu’on suit ce proto­cole, tester un mot de passe ne présente aucun risque de divul­ga­tion. Aucun.

    La seule vraie ques­tion est « pouvons-nous faire confiance au site web dans lequel nous saisis­sons le mot de passe pour suivre ce proto­cole et ne pas envoyer notre saisie quelque part sur un serveur ? »

    Il n’y a pas eu de brèche ou de malveillance sur Have I Been Pwned? jusqu’à présent mais, évidem­ment, ça n’est en rien une garan­tie abso­lue pour l’ave­nir.

    Si vous voulez plus de sécu­rité, deux possi­bi­li­tés :

    • Utili­ser un site web ou un outil en qui vous avez plus confiance pour qu’il implé­mente correc­te­ment le proto­cole de Have I Been Pwned?
    • Télé­char­ger la base en local sur votre poste, et utili­ser un outil en qui vous avez confiance pour cher­cher dedans.

    Des gestion­naires de mots de passe comme Dash­lane et Bitwar­den proposent de tester direc­te­ment vos mots de passe depuis le logi­ciel. Il faut avoir confiance mais, si vous les utili­sez comme gestion­naire de mots de passe, c’est à priori déjà le cas.

    Ce que je propo­sais quand je parlais de mot de passe fort et inter­face c’est exac­te­ment ça : C’est au logi­ciel ou au site web à qui vous allez confier votre mot de passe de toutes façons de le véri­fier auprès de la base Have I Been Pwnd? (qu’ils auront télé­chargé en local sur leur serveur). Ainsi il n’y a aucun besoin de faire confiance à un acteur tiers, aucun risque supplé­men­taire.


    Ok, mais c’est quoi ce proto­cole ? Comment peut-on véri­fier mon mot de passe sans le divul­guer ?

    On utilise des conden­sats, ici SHA1.

    Plus exac­te­ment on calcule la somme SHA1, sur 40 carac­tères hexa­dé­ci­maux, et on envoie les 5 premiers carac­tères au serveur. Le serveur nous répond avec la liste des sommes SHA1 de mots de passe connus qui partagent les mêmes 5 premiers carac­tères. À moi de véri­fier que le mien ne fait pas partie de cette liste.

    Vous lirez que SHA1 n’est pas idéal pour des mots de passe, encore moins sans ajout d’un sel aléa­toire. Pour autant il n’y a aucun moyen connu à ce jour pour même imagi­ner trou­ver une infor­ma­tion partielle à propos de votre mot de passe à partir des 5 premiers carac­tères de la somme SHA1.

    La seule chose possible c’est éven­tuel­le­ment se dire « c’est peut-être un des mots de passe connus qui partagent le même début de somme de contrôle ». L’in­for­ma­tion ne présente aucun inté­rêt puisque si juste­ment c’était un de ceux-ci, vous auriez été infor­més de ne pas l’uti­li­ser. Du coup, en creux, l’in­for­ma­tion devient « Quelqu’un utilise un mot de passe, et ce ne sera pas un mot de passe connu ». Bref, c’est exac­te­ment notre objec­tif, tout va bien.

  • Dice­ware

    Règle géné­rale : Lais­sez votre gestion­naire de mots de passe géné­rer des mots de passe outra­geu­se­ment complexes.

    Vous n’au­rez jamais besoin de les taper ou vous en souve­nir vous-même. Vous n’avez en fait même pas besoin de voir ou de savoir à quoi ces mots de passe ressemblent. Lais­sez-le faire.

    Le géné­ra­teur de mot de passe interne de Bitwar­den

    Et puis parfois on a besoin d’un mot de passe dont on doit se souve­nir, un qu’on doit pouvoir taper au clavier ou un qu’on doit pouvoir dicter au télé­phone.

    Et dans ce cas là je vous invite à utili­ser des mots français plutôt que des lettres, chiffres et symboles incom­pré­hen­sibles.

    La raison est simple : il est plus facile de rete­nir 4 mots connus que 8 lettres chiffres et symboles aléa­toires.

    La seule contrainte c’est d’uti­li­ser des mots réel­le­ment aléa­toires et pas ceux auxquels on pense en essayant naïve­ment de trou­ver des mots soi-même. Votre gestion­naire de mots de passe devrait savoir vous géné­rer cette suite de mots. Si ce n’est pas le cas la méthode dice­ware est à votre dispo­si­tion :

    1. Cher­chez une liste de mots de votre langue en cher­chant « dice­ware » sur votre moteur de recherche favori. Ce sont géné­ra­le­ment des listes de 7776 mots qui vont de 11 111 à 66 666.
    2. Lancez 5 fois un dé à 6 faces, regar­dez le mot qui corres­pond dans votre grille. Recom­men­cez autant de fois que vous avez besoin de mots.

    Calcul d’en­tro­pie pour diffé­rentes combi­nai­sons (les paliers de couleur sont arbi­traires à respec­ti­ve­ment 48, 56, 72, 96, 128 et 256 bits d’en­tro­pie)

    La sécu­rité c’est parfois contre intui­tif : Il suffit de 4 mots français pour être aussi robuste que 8 carac­tères acces­sibles au clavier, symboles inclus.

    À 5 mots vous avez l’équi­valent d’un mot de passe de 10 carac­tères clavier tota­le­ment aléa­toires en comp­tant 28 symboles possibles en plus des lettres et des chiffres.

    À 6 mots vous vous avez l’équi­valent d’un mot de passe de 12 carac­tères tota­le­ment aléa­toires, proba­ble­ment suffi­sant pour quasi­ment tous les usages aujourd’­hui. Si vous êtes para­noïaque, 8 mots c’est l’équi­valent de 16 carac­tères tota­le­ment aléa­toires.


    Tout ça n’est pas nouveau. XKCD en parlait déjà il y a plusieurs années. Cette bande dessi­née a été parfaite pour démo­cra­ti­ser l’idée mais trop de gens oublient que ça ne fonc­tionne que pour des mots réel­le­ment tirés au hasard.

    XKCD 936 : Pass­word Strength

    Atten­tion toute­fois : L’hu­main est très mauvais pour piocher au hasard.

    Même avec toute la bonne volonté du monde et en vous croyant machia­vé­lique dans votre choix, il est probable que vous ne pioche­rez que dans quelques centaines de mots, éven­tuel­le­ment un ou deux milliers.

    Le problème d’ailleurs aussi pour les mots de passe « clas­siques ». « Nico­las2012! » et « Julie+Mar­c2307 » sont de très mauvais mots de passe bien qu’ils respectent parfai­te­ment toutes les règles.

    Je donne là une évidence mais c’est plus géné­ral que ça. Un mot de passe qui est généré sans aide d’un géné­ra­teur d’aléa­toire est un mauvais mot de passe, peu importe à quoi il ressemble de loin. Les chiffres et symboles sont quasi­ment aux mêmes posi­tions. Certaines lettres et chiffres sont peu voire pas du tout utili­sés.

    Tout ça dimi­nue signi­fi­ca­ti­ve­ment la robus­tesse du mot de passe, même quand vous essayez de vous même d’y palier en cher­chant compliqué. Utili­sez une machine ou un système externe quel qu’il soit, quitte à ce que ce soit une paire de dés lancés à la main.

  • Mot de passe fort

    Je rage à chaque fois que je vois des règles complexes sur les mots de passe saisis. J’ai l’im­pres­sion qu’on a échoué à expliquer la sécu­rité.

    Une fois qu’on exclut les mots de passe unique­ment en chiffres, il n’y a quasi­ment plus que la longueur du mot de passe qui compte. Vous voulez un mot de passe sûr avec unique­ment des lettres ? Il suffit d’ajou­ter un unique carac­tère supplé­men­taire. Autant dire pas grand chose quand on est déjà à 9 ou 10.

    En réalité la diffé­rence est encore plus réduite que ça parce qu’en deman­dant d’ajou­ter des chiffres et symboles ce sont toujours les mêmes qui appa­raissent, mis à la fin ou en rempla­ce­ment des mêmes lettres (a qui donne @ par exemple).

    Pire : Pour rete­nir un mot de passe complexe avec majus­cules, chiffres et symboles, l’uti­li­sa­teur risque de mettre quelque chose de connu ou déjà utilisé ailleurs. On est parfois dans le contre-produc­tif.

    Si vous deviez utili­ser des règles de saisie du mot de passe, gardez n’en qu’une : la longueur. Le reste c’est de la litté­ra­ture.


    Main­te­nant, et si vous chan­giez de stra­té­gie ? Aidez l’uti­li­sa­teur et expliquez-lui ce qu’il se passe au lieu de lui appor­ter des contraintes.

    Commen­cez par lui propo­ser un mot de passe par défaut, avec une liste de mots connus et à ortho­graphe simple.

    Propo­sez ensuite un indi­ca­teur pour la force du mot de passe. Là vous pouvez prendre en compte la longueur mais aussi la présence dans la base Have I Been Pwnd.

    Une fois passé le strict mini­mum, c’est à l’uti­li­sa­teur de déci­der ce qu’il veut. Ne lui impo­sez pas un mot de passe de 12 carac­tères pour réali­ser un sondage sur la date de sa prochaine soirée entre amis.

    Votre rôle c’est de lui donner les clefs pour faire son choix, pas de le faire à sa place.

    L’in­di­ca­teur de complexité peut tout à fait avoir plusieurs paliers en fonc­tion de la présence de diffé­rentes classes de carac­tères. Vous pouvez aussi essayer de détec­ter des dates, le fait que le dernier carac­tère soit juste un chiffre ou un point d’ex­cla­ma­tion, et des suites un peu trop clas­siques comme 123 ou ou azerty.

    Si vous détec­tez des espaces alors c’est proba­ble­ment une phrase (s’il y a des petits mots faci­le­ment recon­nais­sables comme « le », « la », « il », « ce », « est », etc. ) ou des suites de mots (dans le cas contraire). Vous pouvez là aussi adap­ter votre calcul de complexité et la longueur recom­man­dée.

    Au bout d’une certaine résis­tance parlons unique­ment amélio­ra­tion.

  • Longueur du proces­sus de recru­te­ment

    Le proces­sus clas­sique des entre­tiens de recru­te­ment en infor­ma­tique c’est :

    1. Une prise de connais­sance
    2. Un entre­tien orienté tech­nique
    3. Un entre­tien orienté humain
    4. Un entre­tien de confir­ma­tion

    Suivant les entre­prises, l’en­tre­tien humain vient avant ou après l’en­tre­tien tech­nique. C’est d’ailleurs inté­res­sant parce que ça en dit parfois long sur ce que la boite prio­rise dans ses recru­te­ments.

    Sur les postes à respon­sa­bi­lité on a souvent une multi­tudes de discus­sions avec diffé­rents acteurs clefs de la société entre les deux entre­tiens prin­ci­paux et l’en­tre­tien de confir­ma­tion.

    La tota­lité du proces­sus décrit ici c’est entre 3 et 6 heures au total.


    Ok, mais est-ce bien raison­nable tout ça ?

    Le fond c’est que le candi­dat et l’en­tre­prise ont tout inté­rêt à s’as­su­rer que la rela­tion est bonne avant de se taper dans la main et d’en­ta­mer la période d’es­sai. On n’est jamais certain à 100 % mais on ne peut pas non plus s’en­ga­ger au hasard pour un boulot qui repré­sen­tera la majo­rité de notre temps non contraint pour les prochaines années et qui impac­tera dura­ble­ment notre vie en cas de mauvais choix.

    Oui mais, en détail ?

    La prise de connais­sance c’est souvent 15 minutes pour confir­mer ce qu’il y a derrière l’an­nonce (pour le candi­dat), ce qu’il y a derrière le CV (pour l’en­tre­prise) et que les deux corres­pondent avant de deman­der à chacun d’in­ves­tir du temps. Quand la commu­ni­ca­tion passe bien et que le candi­dat a du temps ou des ques­tions ça peut aller jusqu’à 45 minutes, rare­ment plus.

    L’en­tre­tien humain semble la partie la moins comprise autour de moi quand j’en discute. On me parle de test psy et de marke­ting bull­shit. Pour moi c’est de la discus­sion et c’est litté­ra­le­ment le plus impor­tant dans tout le proces­sus, que ce soit côté candi­dat ou côté employeur. Il s’agit de s’as­su­rer que le candi­dat, la boite et les autres sala­riés vont s’en­tendre. Si le terme de valeurs est galvaudé, il y a beau­coup de ça. On parlera aussi fonc­tion­ne­ment de l’en­tre­prise, évolu­tion des postes, orga­ni­sa­tion, moti­va­tions, mana­ge­ment, etc.
    Sur cet partie j’ap­pré­cie un temps long parce qu’il s’agit d’ou­vrir une discus­sion au delà des discours prépa­rés.

    L’en­tre­tien tech­nique c’est le plus liti­gieux pour moi. La plupart comprennent « test tech­nique » mais je n’ai jamais vu pour l’ins­tant de test tech­nique que je trouve vrai­ment perti­nent. On arrive souvent bien mieux à quali­fier les choses en montrant le code source, en discu­tant autour, ou éven­tuel­le­ment en parlant en codant ensemble.
    Plus que quali­fier le niveau tech­nique, on quali­fie aussi que ça se passera bien sur la base de code, sur comment l’équipe travaille, etc. C’est de la discus­sion et donc ça prend du temps aussi.

    L’en­tre­tien de confir­ma­tion c’est pour toutes les ques­tions qui restent. On reparle souvent de valeur. On discute des ques­tions levées par les entre­tiens précé­dents. On parle de l’ave­nir et des objec­tifs de l’en­tre­prise. On parle rému­né­ra­tion.
    C’est entre­tien est aussi impor­tant en ce qu’il permet de faire inter­ve­nir une autre personne et d’avoir un feed­back diffé­rent, que ce soit pour le recru­teur ou pour le candi­dat.

    Si on prend le temps de la discus­sion, on arrive plus à 5 heures qu’à 3 heures, et je ne vois rien d’inu­tile à faire sauter là dedans.

    À chaque étape la ques­tion est essen­tiel­le­ment « Est-ce qu’on veut travailler ensemble ? pourquoi ? qu’est-ce qui pour­rait coin­cer ? ». À l’en­tre­tien tech­nique on peut éven­tuel­le­ment ajou­ter « Où posi­tion­ner le candi­dat par rapport aux sala­riés actuels au niveau compé­tences et rému­né­ra­tion ? ». Le reste c’est de la litté­ra­ture.


    On peut par contre modu­ler.

    Je disais que je n’ai jamais vu de test tech­nique vrai­ment perti­nent, encore moins ceux à réali­ser chez soi, mais j’ai à moitié menti. Il y a une chose qui a assez bien fonc­tionné : « Tiens, je te donne accès à notre code source et nos PR, tu peux fouiller comme tu veux et c’est à toi de nous dire si tu as les compé­tences et l’en­vie de travailler là dessus. Si oui on t’in­vite à la discus­sion tech­nique et tu verras si tu veux travailler avec nous. ».

    Du coup l’en­tre­tien tech­nique lui même est essen­tiel­le­ment « Passe une demie jour­née avec un déve­lop­peur à discu­ter du code, de l’équipe, de son orga­ni­sa­tion, et faire du pair program­ming. Tu pour­ras nous confir­mer ensuite si tu as bien envie de travailler avec nous. »

    C’est plus long mais quand c’est possible ça me parait une approche plus saine et plus effi­cace que la démarche de test. Les retours des candi­dats ont tous été très posi­tifs, plus que sur les autres proces­sus que j’ai pu super­vi­ser. Vu que ça permet bien de cerner la personne on peut réduire d’au­tant les autres étapes et on arrive à garder une durée totale assez simi­laire.

    Ça c’est ce que je préfère vis à vis de mes valeurs et mes fonc­tion­ne­ments. D’autres boites appuie­ront plus sur les compé­tences tech­niques. D’autres préfé­re­ront vous faire discu­ter avec les équipes produit ou un direc­teur. En fait tout ça est inté­res­sant, ça en dit long aussi sur ce qui est jugé impor­tant par la société, donc ça permet au candi­dat de savoir lui aussi où il met les pieds.


    Est-ce encore trop ?

    Possible. Je n’ai pas de réponse univer­selle. Je ne donne que mes retours et mon expé­rience.

    L’idée c’est de propo­ser un proces­sus « idéal » et ensuite de l’adap­ter autant que possible aux circons­tances et aux personnes, par exemple pour qui habite loin, qui ne peut pas se libé­rer en jour­née, ou qui ne peut pas se permettre d’être vu dans les locaux avant que ce ne soit offi­ciel.

    Ce qui m’ap­pa­rait certain c’est que je ne sais pas évaluer un employeur, son équipe, son orga­ni­sa­tion, ses valeurs et le poste qu’il propose en deux heures. J’ai vécu des envi­ron­ne­ments et direc­tions toxiques. Croyez-moi si je dis que jamais ne ne conseille­rai à quiconque de s’en­ga­ger en CDI rapi­de­ment sans faire un vrai proces­sus.

    C’est vrai aussi dans l’autre sens. En tant qu’em­ployeur je ne sais pas faire évaluer l’adé­qua­tion d’un candi­dat sur des discus­sions de moins d’une heure ou après avoir vu une seule personne.


    Que faire alors pour qui ne peut ou ne veut inves­tir plus de 2 heures ?

    Je ne sais pas. Je suis ouvert aux sugges­tions mais ma réponse pour l’ins­tant est « je ne sais pas faire ».

    On parle de s’en­ga­ger pour 6 à 8 heures par jour, 5 jours par semaine, pour 2 à 10 ans. Tout ça ne se résume pas en quelques ques­tions et « je fais mon job tu me payes, pas besoin d’er­go­ter ».

    Ça serait très diffé­rent pour une mission courte ou un rôle de consul­tant (ou en tout cas ça l’a été pour moi vu que j’ai aussi ces expé­riences là).


    Pour complé­ter :

    https://twit­ter.com/edasfr/status/1364840708675424257

    Aujourd’­hui près de 60% des réponses est entre 3 ou 6 heures ou plus de 6 heures.

    https://twit­ter.com/edasfr/status/1364840711393325059

    Et c’est là que ça devient inté­res­sant. Quand on demande le proces­sus idéal, les répon­dant n’ex­cluent pas du tout les entre­tiens de 3 à 6 heures, au contraire. C’est même la réponse la plus mise en avant.

    Ce n’est repré­sen­ta­tif que des gens qui ont répondu, mais je trouve ça inté­res­sant quand même. Je ne semble pas être le seul à trou­ver impor­tant de quali­fier la rela­tion avant d’en­trer en période d’es­sai.

    L’enjeu est pour moi beau­coup plus de ce qu’on met dans les diffé­rentes étapes du proces­sus que de sa longueur effec­tive (tant qu’on reste dans le raison­nable, on m’a parlé de tests tech­niques de 15 h à faire chez soi et ça… juste non). Je veux des discus­sions libres à double sens et pas des tests unila­té­raux.