Auteur/autrice : Éric

  • On peut

    Je supporte de moins en moins le « on ne peut pas » en poli­tique.

    Honnê­te­ment, on peut.

    On peut vacci­ner toute la planète en moins de 6 mois. On est capables de monter des centaines ou milliers d’usines du jour au lende­main et de créer de toutes pièces la logis­tique adéquate.

    On peut garan­tir un loge­ment à tous dans le pays. On peut élimi­ner la faim dans le monde et assu­rer une vie décente à tous. On peut faire trans­for­mer notre société vis à vis du climat.

    Je ne dis pas que c’est simple, que c’est sans consé­quences, ou même que c’est souhai­table. Je dis juste qu’aujourd’­hui, au regard des capa­ci­tés tech­no­lo­gies, indus­trielles et humaines de nos civi­li­sa­tions actuelles, l’hu­ma­nité peut quasi­ment tout ce qu’elle veut. Elle n’a qu’à le vouloir.

    Cette diffé­rence entre pouvoir et vouloir est impor­tante en poli­tique.

    Dire qu’on ne peut pas c’est couper le débat en masquant le choix. C’est refu­ser de remettre en cause un exis­tant. Oser dire qu’on ne veut pas est un peu plus humble, c’est oser se regar­der dans les yeux avec ses choix et ses contra­dic­tions.

    Tout ça est parti­cu­liè­re­ment vrai avec l’ex­cuse du « pas les moyens ». En fait on a les moyens. On a la tech­no­lo­gie, les ressources, les compé­tences, la main d’œuvre. Ce qu’on n’a éven­tuel­le­ment pas ce sont des chiffres libel­lés en euros sur une base de données élec­tro­niques quel­conque. Ce qu’on ne veut pas c’est remettre en cause l’or­ga­ni­sa­tion finan­cière et sociale pour choi­sir d’autres prio­ri­tés collec­tives.

    Encore une fois, je ne dis pas que c’est simple et sans consé­quences, ou même souhai­table, mais ça fait réflé­chir.

    En géné­ral quand on aborde la ques­tion on fait surtout face à beau­coup de FUD, cari­ca­tures et fantasmes. Le chan­ge­ment radi­cal est diffi­cile à appré­hen­der, surtout quand ceux qui se posent la ques­tion sont fina­le­ment ceux dont la situa­tion est la plus favo­rable. C’est de bonne foi, pas volon­taire, souvent même pas conscient. C’est juste humain.

    Le savoir, le prendre en compte, cher­cher un peu de recul, permet­trait peut-être d’en­vi­sa­ger autre chose et de dire cette fois « en fait on peut si on le veut vrai­ment, et si on le faisait ? »

    Oui je suis un rêveur, un idéa­liste, un utopique même peut-être. Peut-être qu’on devrait tous l’être, parce que c’est comme ça qu’on avance aussi.

  • Un peu de respect et d’em­pa­thie

    Ce matin Jean-Pierre, ton collègue de bureau, a annoncé avoir débuté son nouveau régime. Tu as le droit de prendre deux fois du dessert mais évite de lancer « super le dessert ce midi, qui en a pris deux fois ? » dans l’open space ; juste pas ce jour là, ou pas formulé ainsi.

    C’est juste une marque de déli­ca­tesse et d’em­pa­thie.


    Tu as oublié le régime de Jean-Pierre ou tu n’avais pas réalisé ce que ça impliquait et tu as effec­ti­ve­ment lancé « super le dessert ce midi, qui en a pris deux fois ? » juste ce jour là dans l’open space ?

    Tu n’as rien fait de grave mais t’ex­cu­ser de cette maladresse montre­rait un peu d’em­pa­thie et de respect envers Jean-Pierre.

    Le vrai fond n’est pas dans la maladresse ou dans l’ex­cuse, même si on peut espé­rer que c’est une évidence pour toi.

    Le vrai fond c’est que, si tu choi­sis de t’ex­cu­ser, ça ne devrait pas géné­rer un torrent de haine contre ton choix de t’ex­cu­ser, ni contre Jean-Pierre ou tous ceux qui choi­sissent de faire des régimes, ni contre les régimes eux-même. Ça devrait encore moins géné­rer des cris au nom de la liberté d’ex­pres­sion et de la défense de notre consti­tu­tion.


    Tu penses que les régimes des maga­zines sont des attrape-nigauds ? Tu crois, tu sais ou tu as lu d’une auto­rité quel­conque qu’il est quand même possible de manger des desserts pendant les régimes, que des écarts ponc­tuels devraient être accep­tables, ou que ces desserts là apportent des éléments indis­pen­sables à la bonne santé ?

    Peu importe, ça n’est pas le sujet. Si tu connais bien Jean-Pierre et que tu sais que ton avis sur le sujet est bien­venu, alors tu pour­ras éven­tuel­le­ment lui dire en privé par ailleurs.

    Pour autant, dans tous les cas, tu évites quand même de lancer dans l’open space cette remarque maladroite vis à vis du dessert de ce midi, pas ce jour là du moins. Ça ne coûte rien et ça montre à Jean-Pierre qu’il compte à tes yeux quand bien même tu ne partages pas ses choix.


    Je dis ça je dis rien mais ça fonc­tionne aussi si tu vends de l’eau en bouteille et que tu exprimes « qui a bu son litre d’eau aujourd’­hui ? » en pleine jour­née sur Twit­ter le jour même du début du rama­dan où un nombre signi­fi­ca­tif de personnes tente de renon­cer un maxi­mum à boire en jour­née, et que tu choi­sis de t’ex­cu­ser de ta maladresse après en avoir pris conscience.

    Ça ne devrait lancer aucune polé­mique pour critiquer le choix de s’ex­cu­ser, aucune pancarte « on ne peut plus rien dire », aucune haine envers les musul­mans et leurs pratiques, aucun mouve­ment parlant de liberté d’ex­pres­sion bran­dis­sant la consti­tu­tion (surtout si c’est au final pour repro­cher à quelqu’un d’avoir exprimé des excuses, soyons un peu cohé­rents).

    On parle d’em­pa­thie et de respect. Vous avez le droit d’être inaptes sur ces émotions de base mais évitez de repro­cher aux autres d’avoir des compor­te­ments humains corrects, et évitez d’en profi­ter pour déver­ser votre haine.

  • CTO, VP engi­nee­ring, mana­ger, … C’est quoi tout ça ?

    Ma matrice est à deux colonnes et à cinq lignes.

    En colonne je place le péri­mètre d’ac­tion. Pour simpli­fier je parle d’hu­main et de tech­nique. Côté humain j’ai le mana­ge­ment et l’ani­ma­tion des équipes, le suivi des livrables en termes d’agenda et de qualité, l’or­ga­ni­sa­tion interne et le budget. Côté tech­nique j’ai les choix tech­no­lo­giques, l’abou­tis­se­ment de la R&D, et l’adé­qua­tion aux besoins.

    En lignes je place la portée des actions. Ça va de la portée indi­vi­duelle jusqu’à la direc­tion de l’en­tre­prise. Les étapes inter­mé­diaires sont assez arbi­traires, elles servent juste à illus­trer..

    HumainTech­nique
    Comité exécu­tif
    Ensemble de la tech
    (sous)-Dépar­te­ment
    Équipe(s)
    Indi­vi­duel

    On joue ?

    Clas­se­ment simple

    De manière géné­rale on a la hiérar­chie suivante :
    CxO > VP > Head > Direc­tor > Staff > Lead

    HumainTech­nique
    Comité exécu­tifVP of Engi­nee­ringCTO
    Ensemble de la techVP of Engi­nee­ring
    Head of Engi­nee­ring
    CTO
    Direc­tor of Archi­tec­ture
    Prin­ci­pal Engi­neer
    (sous)-Dépar­te­mentVP of …
    Direc­tor of …
    Tribe direc­tor
    Staff Engi­neer
    (Lead) Archi­tect
    Équipe(s)Engi­nee­ring Mana­gerLead deve­lo­per
    Indi­vi­duelSenior deve­lo­perSenior deve­lo­per

    Ok mais le CTO ?

    Quand il est seul, le CTO s’oc­cupe à la fois de la tech­nique et de l’hu­main. C’est proba­ble­ment le cas sur la plupart des struc­tures de moins de 25 ingé­nieurs.

    À l’in­verse, parfois sur des grandes struc­tures on a un CTO qui est essen­tiel­le­ment au niveau du comité exécu­tif et des action­naires (la première ligne) et l’opé­ra­tion­nel est laissé à un couple VP of Engi­nee­ring / Prin­ci­pal Engi­neer (la seconde ligne).

    Enfin, on a parfois un CTO co-fonda­teur qui passe la main au fur et à mesure que la struc­ture gran­dit. Il peut alors conti­nuer sur un rôle proche du prin­ci­pal engi­neer en gardant son titre de CTO. Celui qui a le vrai rôle de CTO est alors le vp of engi­nee­ring plus expé­ri­menté qu’on fait venir pour prendre la suite.

    Ok mais en français ?

    En français on a le direc­teur tech­nique qui corres­pond aux quatre cases du haut de la grille, parfois même aux six premières.

    On peut avoir un direc­teur tech­nique qui est au niveau d’un direc­teur de dépar­te­ment (direc­tor of …), sous la respon­sa­bi­lité du DSI. On peut à l’op­posé avoir un direc­teur tech­nique au niveau du comité exécu­tif et un DSI au niveau du dépar­te­ment support infor­ma­tique interne.

    Bref, en français direc­teur tech­nique et DSI ne disent pas grand chose. On sait juste que s’il n’y a pas « direc­teur » mais « respon­sable », alors on n’est pas sur la première ligne de la grille mais à priori sur la seconde (peut-être) ou sur la troi­sième (proba­ble­ment).

    Pire, en France on utilise le terme de CTO sans la conno­ta­tion CxO qu’il a chez les anglo-saxons. On alors un CTO qui n’est pas au comité exécu­tif mais juste un titre relui­sant qu’on donne au respon­sable d’une petite équipe R&D, ou au déve­lop­peur lead de la seule équipe présente.

    L’autre parti­cu­la­rité française par rapport à la grille plus haut, c’est que les rôles humains et tech­niques ont tendance à être fusion­nés, ou à ne pas porter de titres distincts.

    S’il fallait une hiérar­chie ça serait la suivante :
    Vice Président > Direc­teur > Respon­sable > Chef > Lead.

    Atten­tion donc, un direc­teur en France n’est pas un direc­tor anglo-saxon. Ce dernier corres­pond plus à respon­sable en France.

    Pourquoi tout ça ?

    Honnê­te­ment les titres on s’en fout un peu, ou on devrait.

    Pour autant, s’il est réflé­chi, le titre qu’on vous donnera est révé­la­teur du niveau de respon­sa­bi­lité et du niveau de déci­sion où on vous atten­dra. Ça permet d’évi­ter les incom­pré­hen­sions, ou de les résoudre.

    Le titre c’est aussi ce qui sera vu par les tiers à l’ex­té­rieur de l’en­tre­prise. Ça peut impliquer qui on vous mettra en face lors de discus­sions, ou sur quel péri­mètre on vous jugera perti­nent.

    Un ancien titre peut aussi crédi­bi­li­ser un futur poste (mais un titre ronflant pour un rôle qui ne corres­pond pas peut aussi décré­di­bi­li­ser votre posi­tion).

  • Protégé : Quelques nouvelles

    Cette publi­ca­tion est proté­gée par un mot de passe. Pour la voir, veuillez saisir votre mot de passe ci-dessous :

  • Impu­nité poli­cière

    Juste quelques liens, à mon propre usage parce qu’à chaque fois qu’on me demande des réfé­rences sur ce type de cas, je ne sais pas les retrou­ver. D’autres s’ajou­te­ront proba­ble­ment avec le temps.

    Le poli­cier se défend à propos d’un menot­tage sans justi­fi­ca­tion. Peu avant il a été prouvé par vidéo que l’in­ter­pel­la­tion ne corres­pon­dait pas à son PV et qu’il n’y avait pas eu la rébel­lion pour laquelle il portait plainte.

    Ce serait, dit-on, un bizu­tage courant dans certains commis­sa­riats. Sauf que ce 16 mai 2020, les poli­ciers y vont fort en la jetant dans la geôle. La jeune gardienne de la paix se frac­ture le poignet. Elle a beau se plaindre, ses deux collègues la laissent mari­ner aux fers.

    Le lende­main, ils sont obli­gés de consta­ter que la jeune femme ne jouait pas la comé­die : son poignet est bien abîmé. Qu’à cela ne tienne, ces deux membres d’une brigade de jour convainquent leur collègue de mettre sa bles­sure sur le compte du premier venu. Cela tombe bien, ils viennent de procé­der à l’in­ter­pel­la­tion un peu musclée d’un indi­vidu qui a refusé de se lais­ser contrô­ler et a résisté. L’homme est placé en garde à vue et un procès-verbal est dressé, détaillant par le menu de quelle manière il s’en est pris violem­ment à la poli­cière. La preuve : celle-ci voit un méde­cin qui lui délivre un arrêt de travail et établit son inca­pa­cité tempo­raire totale (ITT) à plusieurs dizaines de jours.

    Au commis­sa­riat de Vanves, deux poli­ciers bruta­lisent une collègue et font accu­ser un tiers


    Indi­gnés par les peines de prison ferme pronon­cées contre les fonc­tion­naires, leurs collègues ont mani­festé devant le tribu­nal de Bobi­gny. Le minis­tère de l’In­té­rieur a jugé la condam­na­tion « dispro­por­tion­née »

    […]

    Ce jour-là, un poli­cier est blessé à la jambe, percuté par une voiture de police lors une course-pour­suite. Lui et ses collègues décident alors de mentir et accusent dans leur procès-verbal le conduc­teur de la voiture qu’ils pour­sui­vaient. Ce dernier est placé en garde à vue pour tenta­tive d’ho­mi­cide sur fonc­tion­naire de police, un crime passible de la perpé­tuité.

    Polé­mique après la condam­na­tion de 7 poli­ciers

    Dans leur rapport, ils avaient indiqué que l’homme s’était livré à une tran­sac­tion douteuse avant de s’en­fuir et de les percu­ter à deux reprises alors qu’ils lui deman­daient de s’ar­rê­ter.

    Sur les images de vidéo surveillance de la ville, « on ne voit pas de crime ou de délit commis par le conduc­teur du scoo­ter », mais « on voit qu’un agent muni­ci­pal percute le scoo­ter avec son vélo et va au contact du conduc­teur » […]
    A la suite de cette affaire, le maire de Belfort Damien Meslot avait suspendu « pour une durée indé­ter­mi­née » certaines actions de coopé­ra­tion entre la police muni­ci­pale et la police natio­nale. Il jugeait alors la garde à vue des deux poli­ciers muni­ci­paux « dispro­por­tion­née ».

    Belfort: deux poli­ciers muni­ci­paux mis en examen pour « faux en écri­ture »

  • Sécu­rité de Have I Been Pwned?

    Concer­nant Have I Been Pwnd? il y a pas mal de gens réti­cents à l’uti­li­ser de peur que ça aspire ce qu’ils saisissent. Et c’est aussi prendre le risque qu’un site frau­du­leux se fasse passer pour lui.

    https://masto­don.teta­neu­tral.net/@Natouille/105820437840086551

    Il y a deux parties à Have I Been Pwnd?. La première partie c’est une solu­tion pour lais­ser son email et être averti dès qu’une brèche concerne un de vos comptes.

    Là dessus il n’y a aucun risque de sécu­rité, que du béné­fice. Si vous ne vous êtes pas enre­gis­tré, faites-le.

    On laisse certes son email mais pour l’ins­tant personne n’a relevé de spam sur ce service (et croyez-moi, il doit y avoir des milliers d’in­for­ma­ti­ciens qui ont du essayer de mettre une adresse de test spéci­fique).


    La seconde partie propose de saisir son mot de passe et regarde s’il est présent dans la base de données des mots de passe déjà connus.

    Troy Hunt a établi un proto­cole qui permet de véri­fier si un mot de passe est dans la base sans avoir à trans­mettre ce mot de passe au serveur. C’est simple à lire et à comprendre, et ça ne laisse aucune part au doute : Tant qu’on suit ce proto­cole, tester un mot de passe ne présente aucun risque de divul­ga­tion. Aucun.

    La seule vraie ques­tion est « pouvons-nous faire confiance au site web dans lequel nous saisis­sons le mot de passe pour suivre ce proto­cole et ne pas envoyer notre saisie quelque part sur un serveur ? »

    Il n’y a pas eu de brèche ou de malveillance sur Have I Been Pwned? jusqu’à présent mais, évidem­ment, ça n’est en rien une garan­tie abso­lue pour l’ave­nir.

    Si vous voulez plus de sécu­rité, deux possi­bi­li­tés :

    • Utili­ser un site web ou un outil en qui vous avez plus confiance pour qu’il implé­mente correc­te­ment le proto­cole de Have I Been Pwned?
    • Télé­char­ger la base en local sur votre poste, et utili­ser un outil en qui vous avez confiance pour cher­cher dedans.

    Des gestion­naires de mots de passe comme Dash­lane et Bitwar­den proposent de tester direc­te­ment vos mots de passe depuis le logi­ciel. Il faut avoir confiance mais, si vous les utili­sez comme gestion­naire de mots de passe, c’est à priori déjà le cas.

    Ce que je propo­sais quand je parlais de mot de passe fort et inter­face c’est exac­te­ment ça : C’est au logi­ciel ou au site web à qui vous allez confier votre mot de passe de toutes façons de le véri­fier auprès de la base Have I Been Pwnd? (qu’ils auront télé­chargé en local sur leur serveur). Ainsi il n’y a aucun besoin de faire confiance à un acteur tiers, aucun risque supplé­men­taire.


    Ok, mais c’est quoi ce proto­cole ? Comment peut-on véri­fier mon mot de passe sans le divul­guer ?

    On utilise des conden­sats, ici SHA1.

    Plus exac­te­ment on calcule la somme SHA1, sur 40 carac­tères hexa­dé­ci­maux, et on envoie les 5 premiers carac­tères au serveur. Le serveur nous répond avec la liste des sommes SHA1 de mots de passe connus qui partagent les mêmes 5 premiers carac­tères. À moi de véri­fier que le mien ne fait pas partie de cette liste.

    Vous lirez que SHA1 n’est pas idéal pour des mots de passe, encore moins sans ajout d’un sel aléa­toire. Pour autant il n’y a aucun moyen connu à ce jour pour même imagi­ner trou­ver une infor­ma­tion partielle à propos de votre mot de passe à partir des 5 premiers carac­tères de la somme SHA1.

    La seule chose possible c’est éven­tuel­le­ment se dire « c’est peut-être un des mots de passe connus qui partagent le même début de somme de contrôle ». L’in­for­ma­tion ne présente aucun inté­rêt puisque si juste­ment c’était un de ceux-ci, vous auriez été infor­més de ne pas l’uti­li­ser. Du coup, en creux, l’in­for­ma­tion devient « Quelqu’un utilise un mot de passe, et ce ne sera pas un mot de passe connu ». Bref, c’est exac­te­ment notre objec­tif, tout va bien.

  • Dice­ware

    Règle géné­rale : Lais­sez votre gestion­naire de mots de passe géné­rer des mots de passe outra­geu­se­ment complexes.

    Vous n’au­rez jamais besoin de les taper ou vous en souve­nir vous-même. Vous n’avez en fait même pas besoin de voir ou de savoir à quoi ces mots de passe ressemblent. Lais­sez-le faire.

    Le géné­ra­teur de mot de passe interne de Bitwar­den

    Et puis parfois on a besoin d’un mot de passe dont on doit se souve­nir, un qu’on doit pouvoir taper au clavier ou un qu’on doit pouvoir dicter au télé­phone.

    Et dans ce cas là je vous invite à utili­ser des mots français plutôt que des lettres, chiffres et symboles incom­pré­hen­sibles.

    La raison est simple : il est plus facile de rete­nir 4 mots connus que 8 lettres chiffres et symboles aléa­toires.

    La seule contrainte c’est d’uti­li­ser des mots réel­le­ment aléa­toires et pas ceux auxquels on pense en essayant naïve­ment de trou­ver des mots soi-même. Votre gestion­naire de mots de passe devrait savoir vous géné­rer cette suite de mots. Si ce n’est pas le cas la méthode dice­ware est à votre dispo­si­tion :

    1. Cher­chez une liste de mots de votre langue en cher­chant « dice­ware » sur votre moteur de recherche favori. Ce sont géné­ra­le­ment des listes de 7776 mots qui vont de 11 111 à 66 666.
    2. Lancez 5 fois un dé à 6 faces, regar­dez le mot qui corres­pond dans votre grille. Recom­men­cez autant de fois que vous avez besoin de mots.

    Calcul d’en­tro­pie pour diffé­rentes combi­nai­sons (les paliers de couleur sont arbi­traires à respec­ti­ve­ment 48, 56, 72, 96, 128 et 256 bits d’en­tro­pie)

    La sécu­rité c’est parfois contre intui­tif : Il suffit de 4 mots français pour être aussi robuste que 8 carac­tères acces­sibles au clavier, symboles inclus.

    À 5 mots vous avez l’équi­valent d’un mot de passe de 10 carac­tères clavier tota­le­ment aléa­toires en comp­tant 28 symboles possibles en plus des lettres et des chiffres.

    À 6 mots vous vous avez l’équi­valent d’un mot de passe de 12 carac­tères tota­le­ment aléa­toires, proba­ble­ment suffi­sant pour quasi­ment tous les usages aujourd’­hui. Si vous êtes para­noïaque, 8 mots c’est l’équi­valent de 16 carac­tères tota­le­ment aléa­toires.


    Tout ça n’est pas nouveau. XKCD en parlait déjà il y a plusieurs années. Cette bande dessi­née a été parfaite pour démo­cra­ti­ser l’idée mais trop de gens oublient que ça ne fonc­tionne que pour des mots réel­le­ment tirés au hasard.

    XKCD 936 : Pass­word Strength

    Atten­tion toute­fois : L’hu­main est très mauvais pour piocher au hasard.

    Même avec toute la bonne volonté du monde et en vous croyant machia­vé­lique dans votre choix, il est probable que vous ne pioche­rez que dans quelques centaines de mots, éven­tuel­le­ment un ou deux milliers.

    Le problème d’ailleurs aussi pour les mots de passe « clas­siques ». « Nico­las2012! » et « Julie+Mar­c2307 » sont de très mauvais mots de passe bien qu’ils respectent parfai­te­ment toutes les règles.

    Je donne là une évidence mais c’est plus géné­ral que ça. Un mot de passe qui est généré sans aide d’un géné­ra­teur d’aléa­toire est un mauvais mot de passe, peu importe à quoi il ressemble de loin. Les chiffres et symboles sont quasi­ment aux mêmes posi­tions. Certaines lettres et chiffres sont peu voire pas du tout utili­sés.

    Tout ça dimi­nue signi­fi­ca­ti­ve­ment la robus­tesse du mot de passe, même quand vous essayez de vous même d’y palier en cher­chant compliqué. Utili­sez une machine ou un système externe quel qu’il soit, quitte à ce que ce soit une paire de dés lancés à la main.

  • Mot de passe fort

    Je rage à chaque fois que je vois des règles complexes sur les mots de passe saisis. J’ai l’im­pres­sion qu’on a échoué à expliquer la sécu­rité.

    Une fois qu’on exclut les mots de passe unique­ment en chiffres, il n’y a quasi­ment plus que la longueur du mot de passe qui compte. Vous voulez un mot de passe sûr avec unique­ment des lettres ? Il suffit d’ajou­ter un unique carac­tère supplé­men­taire. Autant dire pas grand chose quand on est déjà à 9 ou 10.

    En réalité la diffé­rence est encore plus réduite que ça parce qu’en deman­dant d’ajou­ter des chiffres et symboles ce sont toujours les mêmes qui appa­raissent, mis à la fin ou en rempla­ce­ment des mêmes lettres (a qui donne @ par exemple).

    Pire : Pour rete­nir un mot de passe complexe avec majus­cules, chiffres et symboles, l’uti­li­sa­teur risque de mettre quelque chose de connu ou déjà utilisé ailleurs. On est parfois dans le contre-produc­tif.

    Si vous deviez utili­ser des règles de saisie du mot de passe, gardez n’en qu’une : la longueur. Le reste c’est de la litté­ra­ture.


    Main­te­nant, et si vous chan­giez de stra­té­gie ? Aidez l’uti­li­sa­teur et expliquez-lui ce qu’il se passe au lieu de lui appor­ter des contraintes.

    Commen­cez par lui propo­ser un mot de passe par défaut, avec une liste de mots connus et à ortho­graphe simple.

    Propo­sez ensuite un indi­ca­teur pour la force du mot de passe. Là vous pouvez prendre en compte la longueur mais aussi la présence dans la base Have I Been Pwnd.

    Une fois passé le strict mini­mum, c’est à l’uti­li­sa­teur de déci­der ce qu’il veut. Ne lui impo­sez pas un mot de passe de 12 carac­tères pour réali­ser un sondage sur la date de sa prochaine soirée entre amis.

    Votre rôle c’est de lui donner les clefs pour faire son choix, pas de le faire à sa place.

    L’in­di­ca­teur de complexité peut tout à fait avoir plusieurs paliers en fonc­tion de la présence de diffé­rentes classes de carac­tères. Vous pouvez aussi essayer de détec­ter des dates, le fait que le dernier carac­tère soit juste un chiffre ou un point d’ex­cla­ma­tion, et des suites un peu trop clas­siques comme 123 ou ou azerty.

    Si vous détec­tez des espaces alors c’est proba­ble­ment une phrase (s’il y a des petits mots faci­le­ment recon­nais­sables comme « le », « la », « il », « ce », « est », etc. ) ou des suites de mots (dans le cas contraire). Vous pouvez là aussi adap­ter votre calcul de complexité et la longueur recom­man­dée.

    Au bout d’une certaine résis­tance parlons unique­ment amélio­ra­tion.

  • Longueur du proces­sus de recru­te­ment

    Le proces­sus clas­sique des entre­tiens de recru­te­ment en infor­ma­tique c’est :

    1. Une prise de connais­sance
    2. Un entre­tien orienté tech­nique
    3. Un entre­tien orienté humain
    4. Un entre­tien de confir­ma­tion

    Suivant les entre­prises, l’en­tre­tien humain vient avant ou après l’en­tre­tien tech­nique. C’est d’ailleurs inté­res­sant parce que ça en dit parfois long sur ce que la boite prio­rise dans ses recru­te­ments.

    Sur les postes à respon­sa­bi­lité on a souvent une multi­tudes de discus­sions avec diffé­rents acteurs clefs de la société entre les deux entre­tiens prin­ci­paux et l’en­tre­tien de confir­ma­tion.

    La tota­lité du proces­sus décrit ici c’est entre 3 et 6 heures au total.


    Ok, mais est-ce bien raison­nable tout ça ?

    Le fond c’est que le candi­dat et l’en­tre­prise ont tout inté­rêt à s’as­su­rer que la rela­tion est bonne avant de se taper dans la main et d’en­ta­mer la période d’es­sai. On n’est jamais certain à 100 % mais on ne peut pas non plus s’en­ga­ger au hasard pour un boulot qui repré­sen­tera la majo­rité de notre temps non contraint pour les prochaines années et qui impac­tera dura­ble­ment notre vie en cas de mauvais choix.

    Oui mais, en détail ?

    La prise de connais­sance c’est souvent 15 minutes pour confir­mer ce qu’il y a derrière l’an­nonce (pour le candi­dat), ce qu’il y a derrière le CV (pour l’en­tre­prise) et que les deux corres­pondent avant de deman­der à chacun d’in­ves­tir du temps. Quand la commu­ni­ca­tion passe bien et que le candi­dat a du temps ou des ques­tions ça peut aller jusqu’à 45 minutes, rare­ment plus.

    L’en­tre­tien humain semble la partie la moins comprise autour de moi quand j’en discute. On me parle de test psy et de marke­ting bull­shit. Pour moi c’est de la discus­sion et c’est litté­ra­le­ment le plus impor­tant dans tout le proces­sus, que ce soit côté candi­dat ou côté employeur. Il s’agit de s’as­su­rer que le candi­dat, la boite et les autres sala­riés vont s’en­tendre. Si le terme de valeurs est galvaudé, il y a beau­coup de ça. On parlera aussi fonc­tion­ne­ment de l’en­tre­prise, évolu­tion des postes, orga­ni­sa­tion, moti­va­tions, mana­ge­ment, etc.
    Sur cet partie j’ap­pré­cie un temps long parce qu’il s’agit d’ou­vrir une discus­sion au delà des discours prépa­rés.

    L’en­tre­tien tech­nique c’est le plus liti­gieux pour moi. La plupart comprennent « test tech­nique » mais je n’ai jamais vu pour l’ins­tant de test tech­nique que je trouve vrai­ment perti­nent. On arrive souvent bien mieux à quali­fier les choses en montrant le code source, en discu­tant autour, ou éven­tuel­le­ment en parlant en codant ensemble.
    Plus que quali­fier le niveau tech­nique, on quali­fie aussi que ça se passera bien sur la base de code, sur comment l’équipe travaille, etc. C’est de la discus­sion et donc ça prend du temps aussi.

    L’en­tre­tien de confir­ma­tion c’est pour toutes les ques­tions qui restent. On reparle souvent de valeur. On discute des ques­tions levées par les entre­tiens précé­dents. On parle de l’ave­nir et des objec­tifs de l’en­tre­prise. On parle rému­né­ra­tion.
    C’est entre­tien est aussi impor­tant en ce qu’il permet de faire inter­ve­nir une autre personne et d’avoir un feed­back diffé­rent, que ce soit pour le recru­teur ou pour le candi­dat.

    Si on prend le temps de la discus­sion, on arrive plus à 5 heures qu’à 3 heures, et je ne vois rien d’inu­tile à faire sauter là dedans.

    À chaque étape la ques­tion est essen­tiel­le­ment « Est-ce qu’on veut travailler ensemble ? pourquoi ? qu’est-ce qui pour­rait coin­cer ? ». À l’en­tre­tien tech­nique on peut éven­tuel­le­ment ajou­ter « Où posi­tion­ner le candi­dat par rapport aux sala­riés actuels au niveau compé­tences et rému­né­ra­tion ? ». Le reste c’est de la litté­ra­ture.


    On peut par contre modu­ler.

    Je disais que je n’ai jamais vu de test tech­nique vrai­ment perti­nent, encore moins ceux à réali­ser chez soi, mais j’ai à moitié menti. Il y a une chose qui a assez bien fonc­tionné : « Tiens, je te donne accès à notre code source et nos PR, tu peux fouiller comme tu veux et c’est à toi de nous dire si tu as les compé­tences et l’en­vie de travailler là dessus. Si oui on t’in­vite à la discus­sion tech­nique et tu verras si tu veux travailler avec nous. ».

    Du coup l’en­tre­tien tech­nique lui même est essen­tiel­le­ment « Passe une demie jour­née avec un déve­lop­peur à discu­ter du code, de l’équipe, de son orga­ni­sa­tion, et faire du pair program­ming. Tu pour­ras nous confir­mer ensuite si tu as bien envie de travailler avec nous. »

    C’est plus long mais quand c’est possible ça me parait une approche plus saine et plus effi­cace que la démarche de test. Les retours des candi­dats ont tous été très posi­tifs, plus que sur les autres proces­sus que j’ai pu super­vi­ser. Vu que ça permet bien de cerner la personne on peut réduire d’au­tant les autres étapes et on arrive à garder une durée totale assez simi­laire.

    Ça c’est ce que je préfère vis à vis de mes valeurs et mes fonc­tion­ne­ments. D’autres boites appuie­ront plus sur les compé­tences tech­niques. D’autres préfé­re­ront vous faire discu­ter avec les équipes produit ou un direc­teur. En fait tout ça est inté­res­sant, ça en dit long aussi sur ce qui est jugé impor­tant par la société, donc ça permet au candi­dat de savoir lui aussi où il met les pieds.


    Est-ce encore trop ?

    Possible. Je n’ai pas de réponse univer­selle. Je ne donne que mes retours et mon expé­rience.

    L’idée c’est de propo­ser un proces­sus « idéal » et ensuite de l’adap­ter autant que possible aux circons­tances et aux personnes, par exemple pour qui habite loin, qui ne peut pas se libé­rer en jour­née, ou qui ne peut pas se permettre d’être vu dans les locaux avant que ce ne soit offi­ciel.

    Ce qui m’ap­pa­rait certain c’est que je ne sais pas évaluer un employeur, son équipe, son orga­ni­sa­tion, ses valeurs et le poste qu’il propose en deux heures. J’ai vécu des envi­ron­ne­ments et direc­tions toxiques. Croyez-moi si je dis que jamais ne ne conseille­rai à quiconque de s’en­ga­ger en CDI rapi­de­ment sans faire un vrai proces­sus.

    C’est vrai aussi dans l’autre sens. En tant qu’em­ployeur je ne sais pas faire évaluer l’adé­qua­tion d’un candi­dat sur des discus­sions de moins d’une heure ou après avoir vu une seule personne.


    Que faire alors pour qui ne peut ou ne veut inves­tir plus de 2 heures ?

    Je ne sais pas. Je suis ouvert aux sugges­tions mais ma réponse pour l’ins­tant est « je ne sais pas faire ».

    On parle de s’en­ga­ger pour 6 à 8 heures par jour, 5 jours par semaine, pour 2 à 10 ans. Tout ça ne se résume pas en quelques ques­tions et « je fais mon job tu me payes, pas besoin d’er­go­ter ».

    Ça serait très diffé­rent pour une mission courte ou un rôle de consul­tant (ou en tout cas ça l’a été pour moi vu que j’ai aussi ces expé­riences là).


    Pour complé­ter :

    https://twit­ter.com/edasfr/status/1364840708675424257

    Aujourd’­hui près de 60% des réponses est entre 3 ou 6 heures ou plus de 6 heures.

    https://twit­ter.com/edasfr/status/1364840711393325059

    Et c’est là que ça devient inté­res­sant. Quand on demande le proces­sus idéal, les répon­dant n’ex­cluent pas du tout les entre­tiens de 3 à 6 heures, au contraire. C’est même la réponse la plus mise en avant.

    Ce n’est repré­sen­ta­tif que des gens qui ont répondu, mais je trouve ça inté­res­sant quand même. Je ne semble pas être le seul à trou­ver impor­tant de quali­fier la rela­tion avant d’en­trer en période d’es­sai.

    L’enjeu est pour moi beau­coup plus de ce qu’on met dans les diffé­rentes étapes du proces­sus que de sa longueur effec­tive (tant qu’on reste dans le raison­nable, on m’a parlé de tests tech­niques de 15 h à faire chez soi et ça… juste non). Je veux des discus­sions libres à double sens et pas des tests unila­té­raux.

  • Se repo­ser sur la période d’es­sai


    Je ne parle que des métiers que je connais, c’est à dire le recru­te­ment en CDI d’in­gé­nieurs en infor­ma­tique, déve­lop­peurs ou mana­gers. Il se peut tout à fait que ça ne se géné­ra­lise pas à d’autres contextes.


    On m’a parlé de période d’es­sai comme solu­tion aux proces­sus de recru­te­ment à rallonge mais…

    La période d’es­sai ne fait pas partie du proces­sus de recru­te­ment (ou ne devrait pas).

    Une période d’es­sai c’est coûteux, finan­ciè­re­ment et humai­ne­ment. Si l’un des deux doit rompre il le fera – et ça arri­vera parfois malgré toute la bonne volonté des diffé­rentes parties – mais le but du proces­sus de recru­te­ment est juste­ment d’évi­ter autant que possible de se repo­ser sur cette possi­bi­lité.

    C’est d’abord vrai pour le candi­dat.

    Pour venir je dois géné­ra­le­ment démis­sion­ner avant. Je ne retrou­ve­rai pas le poste duquel je suis parti et je risque d’être moins en posi­tion de choi­sir ce que je veux si je dois retrou­ver quelque chose rapi­de­ment après une période d’es­sai rompue. Si la recherche prend long­temps et que c’est moi qui ai dû quit­ter une boite toxique en pleine période d’es­sai, je n’au­rais même pas forcé­ment accès aux allo­ca­tions chômage entre temps.

    C’est encore pire pour les plus juniors. Un trou dans le CV ou une première expé­rience rompue dans les premiers mois peuvent faire peur à un futur employeur. Au mieux ils devront s’en justi­fier et tous ne sont pas à l’aise avec ça.

    C’est aussi vrai pour ceux qui ont quitté une boite en mauvais termes. Si l’ex­pé­rience suivante est une période d’es­sai rompue, quelle qu’en soit la raison, ça va commen­cer à être plus diffi­cile pour les futurs entre­tiens (à tort, mais c’est la réalité quand même).

    Bref, une entre­prise qui me propo­se­rait de raccour­cir les entre­tiens préa­lables en échange d’un risque plus élevé de rompre au niveau de la période d’es­sai, c’est une entre­prise que j’ai envie de fuir.

    J’at­tends que l’en­tre­prise fasse tout son possible pour ne pas jouer à la roulette avec ma situa­tion profes­sion­nelle, et s’as­su­rer que je conviens avant de m’em­bau­cher et pas après. C’est une ques­tion de respect envers le candi­dat.

    Ça fonc­tionne d’ailleurs dans les deux sens. J’ai vu dans ma vie des boites ou des mana­gers toxiques. Je sais combien ça peut tuer à petit feu. Je vais passer la majo­rité du temps non-contraint de ma vie avec l’en­tre­prise sur les prochaines années. J’ai besoin de temps pour discu­ter, de comprendre les valeurs de la société, de voir mes futurs collègues, tout ça avant d’amor­cer la période d’es­sai.


    C’est évidem­ment aussi vrai pour l’en­tre­prise. Il y a un coût finan­cier impor­tant (on parle en centaines d’heures lors de l’in­té­gra­tion d’un nouveau sala­rié, de déca­lage de projets, etc.) mais il y a surtout un enjeu humain majeur.

    Un nouveau sala­rié qui se révèle toxique c’est de nature à pour­rir toute la boite, dura­ble­ment et pas que pendant les quelques semaines ou mois de présence.

    Un sala­rié qui se révèle incom­pé­tent peut ajou­ter de la tension sur les ques­tions sala­riales des présents, faire perdre de la moti­va­tion ou donner des envies de départ.

    Un sala­rié inadapté mais avec de grands liens humains peut aussi géné­rer des tensions et départ quand sa période d’es­sai est rompue.

    Dans tous les cas c’est un maxi­mum de pertur­ba­tions, d’in­ves­tis­se­ment et de projets recu­lés. On sait qu’on ne pourra pas tout garan­tir à 100% mais inves­tir quelques heures en amont du recru­te­ment est quasi­ment toujours rentable.

    La règle assez parta­gée c’est le « en cas de doute il n’y a pas de doute ». C’est à dire que s’il y a un doute dans les entre­tiens de recru­te­ment, on ne teste pas en période d’es­sai et on répond « non » immé­dia­te­ment. Dire non à un candi­dat inté­res­sant est bien moins coûteux que dire oui à un candi­dat qui se révèle inadapté.

    Bien évidem­ment ça se module. On peut prendre plus de risques avec un candi­dat qui a déjà démis­sionné, en toute trans­pa­rence et en accord avec lui, qu’a­vec quelqu’un qui devra démis­sion­ner d’un emploi qui lui convient déjà.