Pourquoi publier des fichiers en libre accès

Problème

Certains signataires publient les données IITA sur leur propre site Internet et mettent en place des dispositifs de sécurité pour se prémunir contre les « bad bots » (robots logiciels malveillants) (Cloudflare est un système couramment utilisé à cette fin). Toutefois, cela a souvent pour effet indésirable d’empêcher tous les utilisateurs qui souhaitent utiliser les données de les obtenir.

Vous pourriez avoir l’impression que les données sont disponibles. Elles figurent sur le site Internet du signataire et vous pouvez les visualiser sur votre navigateur. Cependant, elles ne peuvent pas être utilisées dans différents outils, tels que le tableau de bord, l’outil de validation, la banque de données, etc.

Malheureusement, l’approche consistant à barrer les opérations non autorisées (« allow-listing ») ne fonctionnera pas.

Nombre de ces systèmes de sécurité permettent aux signataires d’autoriser les bots qui sont connus et fiables. Il s’agit d’une approche fondée sur une liste d’autorisation (auparavant appelée « liste blanche »), car tous les bots sont bloqués par défaut, mais les signataires peuvent autoriser l’accès à certains bots connus.

Les systèmes de sécurité exigeront des informations techniques pour autoriser l’accès aux bots, notamment des informations sur leur nature (leur agent utilisateur) et leur localisation (leur adresse IP).

Souvent, lorsque ce problème survient, il nous est demandé d’envoyer ces informations aux signataires afin qu’ils puissent autoriser nos bots.

Toutefois, cette approche pose plusieurs problèmes et n'est finalement pas viable.

Tout d’abord, recueillir ces informations et s’assurer qu’elles sont tenues à jour n’est pas chose facile. La tâche est d'autant plus délicate qu'il existe un grand nombre de systèmes nécessitant un accès aux données et que nous devons procéder de la sorte pour chacun d'entre eux.

• Plateforme unifiée, comprenant la banque de données et l’outil de validation
• Tableau de bord
• Statistiques des signataires
• CDFD
• D-Portal
• Registre
• Et plus encore...

Chaque système peut comprendre de multiples informations, lesquelles pourraient être modifiées à l’avenir. Par conséquent, le personnel travaillant pour l'IITA, les signataires et toutes les parties prenantes devraient respectivement consacrer de leur temps à la collecte et à la mise à jour des informations, à leur prise en compte et à la résolution des problèmes qui pourraient survenir.

Plus important encore, dans un écosystème de données ouvertes, il est toujours possible de mettre au point ses propres systèmes pour collecter des données et assurer leur traitement (comme l’Indice de la transparence de l’aide de Publish What You Fund). Il est primordial que ces autres systèmes puissent eux aussi accéder aux données des signataires. Si nous adoptons une approche fondée sur une liste d’autorisation, nous ne pourrons pas fournir les informations nécessaires pour les systèmes des autres personnes.

Ainsi, si seuls les systèmes pour lesquels nous avons fourni des informations étaient autorisés et que tous les autres étaient bloqués, nous nous retrouverions dans une situation où seuls certains systèmes permettraient d’accéder aux données. Cela engendrerait des problèmes en ce qui concerne l’exhaustivité des données de l’IITA et l’analyse dérivée (par exemple, si l’Indice de la transparence de l’aide ne peut pas accéder aux données d’un signataire, ces dernières ne seront tout simplement pas prises en compte dans le rapport annuel).

La solution

La seule solution qui fonctionne est la suivante : les fichiers publiés doivent inclure des dispositifs de sécurité qui bloquent les bots supprimés et être accessibles à tous.

Dans les systèmes de sécurité comme Cloudflare, il est souvent possible de lever les restrictions pour seulement une zone ou un site Internet. Les dispositifs de sécurité ne sont donc pas supprimés complètement. Les fichiers peuvent également être déplacés vers un nouveau site Internet lié à un sous-domaine qui ne présente aucun problème de sécurité.

Il s’agit d’une solution pratique qui permet au personnel des signataires et de l’IITA de gagner du temps, mais aussi d’éliminer les risques d’erreur.

Cette solution est en outre adaptée au projet de l’IITA, car il est important que les signataires veillent à ce que les données soient mises à disposition de quiconque souhaite les utiliser, sans restriction d’accès.

Notons toutefois que cela ne signifie pas que les sites Internet ne doivent bénéficier d’aucun dispositif de sécurité. Un bot qui demande à accéder au même fichier des milliers de fois par seconde pourrait causer des problèmes et ce comportement ne présente aucune utilité légitime ; il est donc possible de bloquer les acteurs malveillants. Cependant, les sites Internet ne doivent pas bloquer par défaut les bots qui se comportent normalement.