Pour comprendre pourquoi, il faut refaire un peu d’histoire.
Une première explication vient du modèle historique de sécurité de l’État. Beaucoup de systèmes ont été conçus dans un environnement où l’accès informatique était précédé par une série de barrières physiques : bâtiment sécurisé, badge, machine contrôlée, réseau interne.
Cette logique conduit naturellement à accorder davantage de confiance à quelqu’un une fois qu’il est « dedans ».
C’est l’inverse exact du zero trust, le principe qui consiste à ne faire confiance à aucun accès par défaut et à tout revérifier en continu, à chaque action. Mais le zero trust suppose une architecture moderne. Rien n’interdit d’appliquer ces principes à un système ancien, mais cela suppose de le reprendre en profondeur. Sinon le système hérite des propriétés de sécurité de l’époque qui l’a vu naître : une fois entré, on a accès à tout.
Ce système a des avantages, mais il n’est efficace que lorsque les gens sont connus.
Le Covid a brutalement modifié ce modèle. Le télétravail et les VPN ont permis d’atteindre depuis l’extérieur des systèmes initialement conçus pour fonctionner dans un environnement beaucoup plus fermé. Évidemment, c’était indispensable pour ne pas paralyser l’État, mais comme de nombreux experts me le répètent depuis longtemps, on a étendu les accès sans nécessairement reconstruire partout le modèle de confiance sur lequel reposaient les systèmes. Et surtout, depuis le Covid, la mise à jour est aux abonnés absents.
Il y a aussi un aspect psychologique qu’on a tardé à entrevoir : en télétravail, le prisme organisationnel qui vous fait comprendre que ce que vous manipulez est sensible se délite. Et les nouveaux arrivants, ceux qui sont arrivés directement dans cet environnement hybride, n’ont pas forcément les mêmes réflexes de sécurisation.
Beaucoup de systèmes informatiques d’administration sont avant tout pensés pour leurs utilisateurs en propre. On définit la politique de sécurité, on connaît les gens, les machines et son réseau. Mais parfois il faut donner accès à des utilisateurs ou à des systèmes extérieurs dont on ne contrôle pas entièrement les conditions de sécurité.
Comment entrer sans mot de passe Sneakers (1992)
Le piratage de Ficoba semble en être l’exemple type : l’accès compromis appartenait précisément à un fonctionnaire autorisé à consulter le fichier dans le cadre d’échanges interministériels. Il se dit que c’est le cas pour d’autres attaques, mais en l’absence de données sourcées (lire à la fin du document) cela reste une hypothèse.
Ces accès interministériels posent des challenges à la fois au niveau de la politique de sécurité, mais aussi pour son traitement.
La répétition apparente des hacks vient aussi du fait que les incidents sont souvent traités à l’échelle du ministère concerné.
Des corrections sont bien apportées après chaque attaque, rotations de mots de passe, durcissements, mais elles ne produisent pas automatiquement un réexamen transversal de tous les systèmes qui partagent les mêmes dépendances : accès distants, comptes privilégiés, relations entre administrations, gestion des droits ou détection des exfiltrations.
Des incidents différents ont donc probablement révélé des faiblesses communes dans la manière dont l’État contrôle globalement les identités, les accès et les conséquences d’une compromission.
Le système des impôts, lui, cumule les particularités. C’est l’un des plus vieux systèmes de l’État, éminemment legacy, très siloté, hyper processé, hyper contrôlé. C’est la machine à cash de l’État, et pendant longtemps il a été considéré comme le service exemplaire, l’impôt électronique étant globalement un succès et les gens qui y travaillent ou y ont travaillé étant bien considérés par leurs pairs.
Il est aussi volontairement à part : on a considéré qu’il y avait un risque à le mutualiser avec le reste, vu la sensibilité de la mission. Cette ségrégation a ses vertus de sécurité, mais elle place le système en dehors des socles mutualisés et de leurs règles.
Enfin, il est profondément saisonnier : il y a le rush de la déclaration avec son lot de contraintes, c’est un peu le Black Friday d’Amazon pour l’État, suivi d’une période de vacances.
L’intrusion de la fin du mois de juin a eu lieu en plein post-rush, ce qui a sûrement rendu encore plus difficile sa détection.
La première barrière est l’authentification, mais elle ne peut pas être la dernière.
Si l’on part du principe qu’une identité peut toujours être compromise, le système doit continuer à contrôler ce que fait l’utilisateur une fois connecté. Or c’est là que le bât blesse.
Je me demande s’il n’avait pas un peu raison.
Dans les services numériques sur Unix (qui est la référence), on distingue toujours le droit de se connecter, le droit de consulter une donnée, le droit d’en consulter beaucoup d’un coup, voire le droit de les copier et celui de les exporter.
La gestion fine des droits existe depuis la préhistoire de l’Internet, les systèmes modernes y ajoutent la journalisation, la détection d’anomalies, la réauthentification et des contrôles supplémentaires sur les opérations sensibles.
L’ANSSI communique d’ailleurs sur la journalisation comme une brique indispensable de la sécurité : elle permet à la fois de détecter les incidents et de reconstruire après coup le cheminement d’une attaque et son impact, ce qui est super important.
Les comptes privilégiés constituent un point particulièrement critique. Un administrateur, un compte technique ou fonctionnel peut disposer de droits beaucoup plus larges qu’un utilisateur normal ; sa compromission transforme immédiatement un problème d’identité en problème d’accès potentiellement massif aux données.
Dans WarGames (1983), on expliquait déjà ce qu’était une backdoor et le film explique le risque d’usage d’un compte privilégié.
L’exfiltration constitue ensuite une étape différente de l’accès. Même si un attaquant réussit à entrer et à consulter des données, un volume inhabituel, un téléchargement massif ou un export devraient pouvoir déclencher une alerte, une limitation ou une validation supplémentaire.
C’est précisément ce qui rend le cas actuel important : la DGFiP affirme avoir détecté et interrompu l’accès fin juin, sans avoir détecté à ce moment-là que les données avaient été exfiltrées.
Depuis la revendication, la DGFiP précise que le site impots.gouv.fr et les espaces des usagers, particuliers comme professionnels, n’ont pas été compromis, et dit avoir coupé dès la détection les accès de l’ensemble des comptes utilisés dans les incidents identifiés, ainsi que d’autres applications sensibles à titre préventif.
Il faut comprendre comment fonctionne la détection sur ce genre de système. Le déclencheur porte sur le volume de données, pas sur l’accès aux données. Celui qui sait qu’il existe un seuil au-delà duquel il sera repéré n’a qu’à rester en dessous et extraire par petites quantités.
À partir de là, il n’y a que trois explications possibles à une exfiltration non détectée.
Aucune de ces trois options n’est rassurante, mais attendons le Retex, le retour d’expérience, s’il est rendu public, ce que je ne pense pas que l’administration fera pour des raisons évidentes.
Mais revenons à la comparaison avec l’export de données de Facebook ou LinkedIn. Certains mécanismes sont devenus ordinaires : reconnaître un nouvel appareil ou un nouveau navigateur, signaler certaines connexions inhabituelles, renforcer l’authentification et encadrer les procédures d’export.** Si ces mesures n’étaient pas mises en œuvre, elles renforceraient ceux qui disent qu’il vaut parfois mieux, sur l’aspect cybersécurité, faire confiance aux Gafam qu’à l’État.**
Octobre 2015. John Brennan, directeur de la CIA, voit son compte AOL personnel piraté par des adolescents. Ils appellent son opérateur téléphonique, se font passer pour un technicien, obtiennent ses informations et réinitialisent son mot de passe. Le questionnaire d’habilitation de sécurité qu’il avait rempli pour la CIA, une cinquantaine de pages contenant son parcours, ses adresses et les coordonnées de ses proches, se trouvait dans cette boîte. Il est publié.
Mars 2016. John Podesta, directeur de campagne d’Hillary Clinton, se fait pirater son compte Gmail à la suite d’un faux message d’alerte Google. Il clique sur le lien et saisit son mot de passe sur une fausse page de connexion.
Octobre 2016. Ses emails sont publiés par WikiLeaks pendant le dernier mois de campagne.
Janvier 2017. Le renseignement américain attribue l’opération à la Russie, au groupe APT28.
Printemps 2017. Le même groupe vise la campagne d’Emmanuel Macron. Cinq vagues d’hameçonnage visent ses collaborateurs, avec de fausses pages web et un faux serveur imitant les outils internes de l’équipe. Le 5 mai, deux jours avant le second tour, neuf gigaoctets de documents de la campagne sont publiés en ligne.
2017. Google impose à ses 85 000 salariés une clé de sécurité physique, un second facteur résistant à l’hameçonnage, et lance un programme de protection avancée pour les journalistes, activistes, équipes de campagne, dirigeants et administrateurs. Dans ce programme, la clé est exigée à chaque connexion sur un nouvel appareil, et elle désactive le code par SMS comme l’application d’authentification.
Juillet 2018. Google annonce qu’aucun des 85 000 salariés n’a été victime d’hameçonnage depuis, et qu’aucune prise de contrôle de compte n’a été constatée. Prix de la clé : vingt dollars.
Août 2018. Google commercialise sa propre clé, la Titan, vendue 50 dollars la paire aux États-Unis, une clé USB-NFC et une clé Bluetooth.
Janvier 2019. Le chercheur Troy Hunt découvre un fichier de 772 millions d’adresses email et 22 millions de mots de passe, revendu par un pirate pour moins de 50 euros. L’adresse Gmail d’Emmanuel Macron y figure, avec son mot de passe, dans un sous-fichier partagé le 25 juin 2017. C’est l’adresse personnelle qu’il utilise encore à l’Élysée. L’Élysée répond au Journal du dimanche que le mot de passe est changé régulièrement et qu’une double authentification par code sur téléphone a été activée, la méthode que Google avait retirée à ses salariés deux ans plus tôt.
Il faut distinguer trois moments : l’intrusion, l’exfiltration et la découverte de l’exfiltration.
Une administration peut identifier un accès anormal, couper cet accès et commencer une investigation sans savoir immédiatement que des données ont déjà quitté le système. Selon les communications publiques, la DGFiP a détecté l’accès et l’a coupé fin juin, mais affirme ne pas avoir identifié l’exfiltration. Elle n’a découvert la fuite qu’après la mise en vente publique des données, le 12 août.
Cela répond à une première question : le retard de communication ne traduit pas nécessairement une décision de cacher une fuite connue. De toute façon, soyons clair, il est très difficile d’imaginer qu’un patron d’administration centrale ne communique pas une intrusion à la CNIL. Les acteurs de l’État suivent les règles de l’État.
Reste l’autre question sous-jacente : l’administration n’avait pas vu que des données étaient déjà sorties. Si cette hypothèse est correcte, le sujet central devient la capacité d’observation du système. Il faut pouvoir reconstruire précisément ce qui s’est passé : quel compte a agi, quelles données ont été consultées, lesquelles ont été copiées, quand et dans quel volume.
La question des 72 heures doit être traitée avec la même précision. Le RGPD ne fait pas courir ce délai à partir de la date de l’intrusion, mais à partir du moment où le responsable du traitement prend connaissance d’une violation de données personnelles.
La chronologie exacte de la détection est donc indispensable pour savoir à partir de quand l’obligation de notification s’appliquait.
Ce délai de 72 heures en a d’ailleurs un jumeau, que personne ne mentionne. Depuis l’article 5 de la loi du 24 janvier 2023, une personne morale ou un professionnel victime d’une atteinte à un système de traitement automatisé de données doit déposer plainte dans les 72 heures suivant la connaissance de l’atteinte, faute de quoi son assurance ne l’indemnise pas.
Deux obligations, deux destinataires, et le même point de départ : le moment où l’on comprend ce qui s’est passé. Ce dispositif ne concerne pas l’État. Il ne souscrit pas de garantie cyber, il est son propre assureur, et la sanction n’a donc aucune prise sur lui.
Alors que l’ensemble de l’État continue de se faire hacker, la principale loi de protection numérique, la transposition de la directive NIS2, n’est toujours pas votée. Cette directive européenne de 2022 impose à environ 15 000 entités françaises, entreprises et administrations, un socle commun de sécurité : gestion des risques, notification des incidents, sanctions à la clé. Elle devait être transposée avant octobre 2024.
Le calendrier français a de quoi laisser sans voix.
Puis plus rien. Le texte n’a jamais atteint l’hémicycle, il n’a même pas été inscrit à l’ordre du jour de la session extraordinaire de juillet dernier. L’examen est désormais annoncé pour septembre 2026.
Depuis, la ministre déléguée chargée de l’Intelligence artificielle et du Numérique, Anne Le Hénanff, est inaudible. Elle était pourtant rapporteure de cette loi Résilience à l’Assemblée avant d’entrer au gouvernement en octobre 2025. Personne n’est censé connaître mieux le texte, et il n’a toujours pas été inscrit.
La raison de ce blocage est désormais connue. Le 4 février 2026, en conférence de presse au Sénat, les deux présidents des commissions spéciales chargées d’examiner le texte, le député Philippe Latombe et le sénateur Olivier Cadic, ont désigné l’exécutif, et derrière lui la DGSI.
Ce qui coince tient en un article, le 16 bis, introduit par Olivier Cadic et déjà voté par le Sénat. Il interdit à l’État d’imposer des portes dérobées aux fournisseurs de chiffrement.
Il s’agit de la fameuse affaire Salt Typhoon.
Meredith Whittaker, présidente de Signal, en a détaillé les conséquences sur la scène de DLD en janvier 2025.
Les attaquants ont obtenu des données de localisation à la minute près et des informations au niveau des comptes, sur des millions de personnes résidant aux États-Unis.
Ils ont piraté le téléphone de Trump ou celui de Vance.
Ils ont cartographié les entrées et les sorties de bâtiments, dont le complexe de la CIA à Washington, en les reliant à des comptes identifiés.
Ils avaient aussi l’historique des appels, qui appelle qui, à quelle heure, combien de temps et à quelle fréquence.
Le tout obtenu par les mêmes portes dérobées que les forces de l’ordre avaient imposées aux opérateurs pour que, selon la formule de Whittaker, les gentils puissent entrer. La porte dérobée que l’État veut se réserver finit par se retourner contre lui.
Vingt-trois États membres avaient manqué l’échéance d’octobre 2024, dix-neuf ont depuis régularisé. Il ne reste que quatre mauvais élèves. Le 8 juillet 2026, la Commission a renvoyé la France devant la Cour de justice de l’Union européenne, avec l’Irlande, l’Espagne et les Pays-Bas, en demandant une somme forfaitaire et des astreintes journalières. La France fait en plus l’objet d’un second renvoi, depuis avril 2026, pour la directive REC sur la résilience des entités critiques.
Pour revenir à la question des impôts, il est intéressant de voir que le syndicat Solidaires Finances Publiques dit avoir écrit à la directrice générale dès juin, après les fuites Tchap et France Services, pour signaler des risques de piratage, d’usurpation d’identité ou d’hameçonnage ciblé « à très court terme ». Le syndicat dénonce aujourd’hui une communication tardive.
Maintenant, il faut analyser les conséquences de tout cela.
Ces données ne sont pas censées sortir. Pour l’OSINT, la collecte de renseignement en sources ouvertes, d’un service étranger, un tel fichier est une mine d’or. États, et évidemment grand banditisme : repérer les gens qui ont de l’argent pour aller les cambrioler ou les racketter. Selon l’analyse des données revendiquées par le pirate, 26 805 des particuliers concernés déclareraient un revenu fiscal de référence supérieur à 100 000 euros, et 386 dépasseraient le million.
Le croisement avec les données cadastrales de la seconde attaque, identité, adresse, patrimoine immobilier, augmente encore la valeur de ces fichiers pour un ciblage.
Ce scénario n’est pas théorique, il a déjà eu lieu. En octobre 2025, la Fédération française de tir se fait voler les données de près d’un million de licenciés et d’anciens licenciés : état civil, adresse postale, téléphone, numéro de licence.
Les mois suivants, des individus se présentent au domicile de licenciés en se faisant passer pour des policiers ou des gendarmes, parfois en tenue, pour se faire remettre des armes. Des vols sont constatés à Nice, à Paris, à Limoges, à Décines.
Devant l’Assemblée nationale, le ministre de l’Intérieur a reconnu qu’entre vingt et trente faits pouvaient être directement liés à ce piratage. La fédération, elle, relie ces cambriolages à des données revendues sur le darknet.
Et cela conduit à la question qui devrait empêcher de dormir. Si la seule chose qui a permis de découvrir cette exfiltration, c’est que le pirate a décidé de la revendiquer publiquement, alors combien d’extractions ont été menées par des gens qui, eux, n’ont rien annoncé ? Quelqu’un peut-il récupérer suffisamment de données de multiples services pour créer une simulation réaliste de la France ?
Personne ne peut répondre. C’est précisément le problème.
Restent les deux autres questions en suspens.
Pour de nombreux interlocuteurs, tout part du programme de réforme de l’État Action publique 2022, lancé en octobre 2017, dont le volet numérique visait 100 % de démarches administratives dématérialisées en 2022.
L’objectif a été tenu pour l’essentiel. En cinq ans, la relation entre les Français et leur administration est passée en ligne. Mais l’empreinte numérique de l’État a probablement grandi beaucoup plus vite que les organisations chargées de la tenir.
Le sujet n’a jamais été l’absence de personnes compétentes dans l’État. Le problème est que les personnes qui comprennent réellement les systèmes ne sont pas nécessairement celles qui disposent du pouvoir d’imposer les architectures, les règles de sécurité ou l’arrêt d’un projet jugé dangereux.
Dans le contexte de l’attaque actuelle, des syndicats de Bercy ont eux-mêmes évoqué le manque de moyens, les difficultés à recruter des professionnels du numérique et la nécessité d’investissements supplémentaires.
Si on devait faire un premier diagnostic, il y a principalement trois manques :
Mais comme le disait un ami, il y a aussi la fameuse loi de Conway :** les systèmes tendent à refléter la structure des organisations qui les produisent.**
Dans l’État, les ministères restent responsables de leurs systèmes d’information, tandis que la DINUM, la direction interministérielle du numérique, assure des fonctions de coordination et de mutualisation interministérielles.
Au ministère des Armées, l’authentification est centrale, l’ensemble est gouverné, maîtrisé.
Au ministère de l’Intérieur, ce sont des fédérations de fédérations, des grappes de raisin : une préfecture a son autonomie, la légitimité de penser les choses différemment dans son coin, et un dispositif centralisé y serait vécu comme antidémocratique.
La décentralisation n’est pas en elle-même un problème. Elle le devient lorsqu’elle empêche d’appliquer un niveau de sécurité commun aux systèmes qui doivent pourtant se connecter et se faire confiance.
On peut alors avoir des systèmes correctement protégés localement mais fragilisés par leurs dépendances. Une administration ne peut pas être pleinement résiliente si son niveau de sécurité dépend d’un autre système dont elle ne maîtrise ni les comptes, ni les accès, ni les règles.
Cela pose d’ailleurs une question cruciale.
La perte de confiance dans le système des impôts pourrait avoir un effet secondaire important. Le compte impots.gouv.fr est lui-même un fournisseur d’identité de FranceConnect : il permet donc de s’authentifier auprès d’autres services publics.
La DGFiP affirme que les espaces des usagers, particuliers comme professionnels, n’ont pas été compromis. Mais le principe reste : si un fournisseur d’identité est perçu comme attaquable, c’est la chaîne de confiance qui vacille, comme pour l’ANTS. Un peu comme si Facebook Connect était corrompu.
La transformation numérique a accentué cette tension. Plus de services, plus de données, plus d’accès distants et davantage d’interconnexions ont créé une surface d’attaque commune, alors que les responsabilités et les architectures restent largement distribuées. Cela restera le point noir de la décennie Macron. Beaucoup pour les startups, pas assez pour le numérique d’État.
Le cloud a été un premier changement profond de modèle. Il ne s’agissait pas simplement de déplacer des serveurs, mais de penser des systèmes distribués, des identités multiples, des accès distants et une sécurité qui ne repose plus principalement sur un périmètre physique ou réseau.
L’État dispose d’une doctrine cloud depuis plusieurs années : une première stratégie apparaît en 2018, et « Cloud au centre » fait du cloud le mode d’hébergement par défaut des nouveaux projets à partir de 2021.
Mais en mars 2026, la DINUM présentait encore la migration des grands systèmes d’information historiques et sensibles vers le cloud de confiance comme une nouvelle étape de la transition.
Le problème n’est donc pas que l’État aurait ignoré l’existence du cloud. Il est que la transformation de ses systèmes historiques et de son organisation reste incomplète, alors même que les usages distribués se sont généralisés.
On l’a vu, le Covid a accéléré brutalement cette contradiction : les accès distants et le télétravail ont dû être déployés à grande échelle avant que tous les systèmes et toutes les organisations soient prêts à fonctionner dans ce nouveau modèle.
À l’heure de la souveraineté numérique comme totem, un audit de la plateformisation ratée de l’État sera indispensable.
L’IA constitue un deuxième changement de même ampleur que le cloud. Elle modifie directement les moyens disponibles pour rechercher et exploiter les faiblesses existantes : automatisation, analyse plus rapide des systèmes, exploration de plusieurs vecteurs et réduction du coût humain de certaines opérations offensives.
Ce changement n’est plus théorique. Le NCSC, l’agence britannique de cybersécurité, prévoit une augmentation de l’exploitation des vulnérabilités assistée par IA et une réduction du délai entre découverte et exploitation.
L’AI Security Institute, l’institut public britannique chargé d’évaluer les modèles d’IA, mesure une progression rapide des modèles sur les tâches de cybersécurité, tandis qu’Anthropic documente déjà des opérations cyber réelles utilisant l’IA.
Le problème est que cette évolution est connue depuis plusieurs années mais reste souvent traitée comme un sujet futur ou secondaire. Le risque est de reproduire le même décalage qu’avec le cloud : comprendre le changement, mais adapter les systèmes seulement lorsqu’il devient impossible de faire autrement.
Ce décalage se retrouve noir sur blanc dans les documents officiels. Dans son état de la menace consacré à l’IA générative, publié le 4 février 2026, l’ANSSI indiquait n’avoir « pas connaissance de cyberattaques menées contre des acteurs français à l’aide de l’intelligence artificielle », ni identifié de système d’IA capable de réaliser seul l’intégralité des étapes d’une attaque, tout en jugeant plausible que ces technologies améliorent le niveau, la quantité et l’efficacité des attaques, particulièrement sur les environnements peu sécurisés.
Le Panorama de la cybermenace publié ce printemps évoque l’intérêt des attaquants pour l’IA « sans qu’il soit pour autant pertinent de parler de changement de paradigme ».
Ces textes paraissent pourtant moins de trois mois après le rapport d’Anthropic documentant la première campagne d’espionnage largement orchestrée par une IA, et au moment même où les agences britanniques décrivent, chiffres à l’appui, l’accélération des capacités offensives.
Dans le même temps, la communication publique de l’agence reste centrée sur la prévention : une stratégie 2026-2030 qui érige la sensibilisation du grand public en priorité, sur le modèle de la sécurité routière, et des alertes qui rappellent aux hauts fonctionnaires les règles basiques d’hygiène numérique.
Ces messages sont nécessaires. Mais mis côte à côte avec ce que documentent les agences britanniques et les laboratoires d’IA, ils dessinent un écart entre une menace dont les moyens changent d’échelle et un discours public qui n’a pas encore intégré ce changement.
La doctrine implicite repose d’ailleurs sur un postulat : les incidents graves seraient réservés à des attaquants disposant de moyens hors de portée, étatiques ou quasi étatiques. Nous sommes beaucoup à penser que ce n’est plus le cas.
Le pirate qui revendique l’attaque des impôts dit aussi revendre des bases dérobées à SFR, Intermarché, la Fédération française de handball ou Accor. La presse décrit des profils jeunes, motivés par la notoriété et l’argent, pas des génies de l’informatique. Le suspect mis en examen après le piratage de l’ANTS a quinze ans.
Interrogé par FrenchBreaches, le pirate décrit une activité purement opportuniste: repérer une faille, accéder à ce qui est disponible, revendre, parce que tout se vend.
Défendre coûte infiniment plus cher qu’attaquer. Celui qui défend doit protéger tous ses systèmes, tous ses comptes et toutes ses connexions, en permanence. Celui qui attaque n’a besoin de trouver qu’une seule porte, une seule fois.
Toute la question est de savoir ce que l’IA change à ce rapport de forces.
Les laboratoires d’IA répondent qu’elle profitera aux deux camps. Elle aidera l’attaquant à trouver les failles plus vite, mais elle aidera tout autant le défenseur à les repérer et à les corriger.
L’un des spécialistes de la sécurité des systèmes de l’État avec qui j’ai discuté n’y croit pas une seconde.
Pour lui, on ne rattrapera jamais l’offensif avec l’IA appliquée au défensif. Accélérer les deux camps à la même vitesse ne remet pas les compteurs à zéro : le défenseur va plus vite sur un travail sans fin, l’attaquant va plus vite sur un travail qui s’arrête dès qu’il a trouvé sa porte. L’écart ne se comble pas, il se creuse. Je suis totalement d’accord avec lui.