Developpements web : diligence raisonnable

Bonjour,

J'espère ne pas me tromper de recoin du forum pour cette question mais je cherche des informations sur ce qu'on pourrait appeler la diligence raisonnable du développeur dans la conception d'applications web.

Par exemple, dans tous les bouquins, on lit qu'il est impératif de ne jamais stocker ni restituer une chaîne de caractère telle qu'elle a été saisie par un utilisateur, donc sans l'avoir nettoyée au passage, et qu'une validation des données coté serveur est indispensable.

De la même manière, on peut s'étonner qu'à notre époque, un développement web commercial ne prévoie pas implicitement le support de la plupart des jeux de caractères alors que le web n'a aucune frontière et que travailler en UTF-8 n'est pas plus coûteux en soi.

Pourtant, je ne trouve aucune norme communément admise par laquelle les développeurs s'engagent, à minima, sur ce genre de choses, que ce soit ou non mentionné au cahier des charges.

C'est d'autant plus étonnant que la jurisprudence en matière de litiges commerciaux portant sur le développement de logiciel entérine déjà ce principe, d'après ce que j'ai pu lire.

Les décisions que j'ai trouvées sont fondées sur l'obligation faite au professionnel de l'informatique d'apporter à son client "néophyte" toute l'information dont ce dernier a besoin. Le client mal informé peut engager la responsabilité du développeur, même en l'absence de cahier des charges ou contrat.

En bref, la fourniture d'un site internet implique une prestation minimale, 'dans les règles de l'art'.

Si on admet ceci, comment fixer avec précision ce minima et trouver un équilibre raisonnable entre laxisme et paranoïa ? Comment savoir si l'on est négligent ou psychorigide ?

Connaissez-vous des standards ou normes largement acceptées ? Avez-vous vécu ou eu connaissance de ce genre de situation ?

De mon coté, en dehors de mon bouquin préféré dans ce domaine ("Sécurité PHP5 et MySql" de d. Seguy et Ph. Gamache) j'ai pu trouver ceci :

- Agence nationale
de la sécurité des
systèmes d'information : Sécurité des applications Web et vulnérabilité de type "injection de données" (cf. point 2.1)

- Clusif : Sécurité des applications web (cf. III.1 , III.5 , IV et V)

Les normes anglophones que j'ai pu trouver portent plutôt sur des fonctions vraiment sensibles comme le paiement en ligne ou la conservation de données personnelles couvertes par un secret professionnel (médical, juridique, confessionnal ? :)).

Ces problématiques sont le plus souvent sous-traitées et ne relèvent donc pas de ma question.

Salut,

C'est un sujet intéressant puisqu'en gros il pose la question de savoir quel niveau de qualité est en droit d'attendre un client de ses prestataires à qui il a passé commande d'une réalisation particulière...

A mon sens, le client est complètement nu sauf à avoir précisé ses attentes dans un cahier des charges et s'être donné les moyens de s'assurer que çà allait dans le bon sens (en contrôlant la qualité des livrables remis).

Il se met lui même des balles dans le pied lorsque:
1 - Il choisit le prestataire en fonction du seul critère "prix",
2 - Dans l'incapacité de formuler ses attentes, il abandonne au prestataire l'arbitrage de nombre de choix: ce dernier ne pourra que faire au mieux en fonction du budget.

Si le client est "intelligent", il acceptera de n'être qu'utilisateur et confiera la "défense de ses intérêts" à des assistants à maitrise d'ouvrage (consultants métier, architectes, urbanistes, chef de projets).
- W

Citation:

---

Envoyé par wiztricks

Il se met lui même des balles dans le pied lorsque:
1 - Il choisit le prestataire en fonction du seul critère "prix",
2 - Dans l'incapacité de formuler ses attentes, il abandonne au prestataire l'arbitrage de nombre de choix: ce dernier ne pourra que faire au mieux en fonction du budget.

---

OK sur le point 2, pas d'accord sur le point 1.
Tu peux avoir choisi le prestataire le plus cher et qu'il fournisse une qualité de m*$*$ pour maximiser son bénéfice...

Au final, soit le client fait confiance à son fournisseur, soit effectivement il passe par un tiers pour surveiller la qualité (sous réserve effectivement que le fournisseur se soit engagé contractuellement sur un objectif de qualité ou que le client via son prestataire tiers ait fourni un cahier des charges en ce sens).

Citation:

---

Envoyé par montesq

OK sur le point 2, pas d'accord sur le point 1.
Tu peux avoir choisi le prestataire le plus cher et qu'il fournisse une qualité de m*$*$ pour maximiser son bénéfice...

Au final, soit le client fait confiance à son fournisseur, soit effectivement il passe par un tiers pour surveiller la qualité (sous réserve effectivement que le fournisseur se soit engagé contractuellement sur un objectif de qualité ou que le client via son prestataire tiers ait fourni un cahier des charges en ce sens).

---

Effectivement, ça peut arriver :aie:

Mais sur quel référentiel baser cette évaluation de son travail ("de m*$*$"), faute de définition détaillée du projet ?

Citation:

---

Envoyé par montesq

OK sur le point 2, pas d'accord sur le point 1.
Tu peux avoir choisi le prestataire le plus cher et qu'il fournisse une qualité de m*$*$ pour maximiser son bénéfice...

---

Je suis d'accord.
Ce n'est pas parce qu'on aura dépensé plus que raisonnable que la qualité sera meilleure: en tant qu'organisation, le prestataire doit réduire les risques qu'il prend lorsqu'il s'engage et maximiser sa marge.

Je voulais simplement souligner que la qualité a un coût parfois contradictoire avec la stratégie des services achat. Et qu'in fine, le client ne pouvait ignorer nombre de responsabilités qui lui incombent en tant que maître d'œuvre car "l'état de l'art" est plus académique qu'engageant.
- W