Un site gratuit baptisé Pechotonbac.fr a permis à des milliers de lycéens de connaître leur résultat du Bac plusieurs heures avant l'heure officielle, avant de fermer dans la nuit, submergé par l'affluence. Derrière ce coup, aucun piratage, mais une API de l'Éducation nationale ouverte trop tôt, que son auteur a simplement branchée à son site.
Un site monté en un jour, viral en une soirée
Dans la journée du lundi 6 juillet, Pechotonbac.fr apparaît sur le web et propose aux candidats de renseigner leur nom, leur prénom et leur académie pour savoir gratuitement s'ils étaient admis, mention comprise. Le problème, c'est que les résultats officiels ne devaient tomber que le lendemain, à partir de 11h30 selon le calendrier fixé par les académies. Forcément, l'adresse s'échange à toute vitesse sur les réseaux sociaux dans la soirée, et des milliers de lycéens découvrent leur admission avant tout le monde, beaucoup en concluant sur le moment qu'un piratage était forcément passé par là.
Une API laissée ouverte trop tôt, pas une cyberattaque
L'Éducation nationale a réagi très vite pour couper court à cette hypothèse. Le ministre Édouard Geffray a confirmé sur BFM TV qu'il y avait bien eu une fuite, mais pas de cyberattaque, résumant que le ministère n'avait tout simplement pas été attaqué. En cause, une erreur humaine et ce qu'il décrit comme une ouverture anticipée du dispositif qui permet normalement aux candidats de partager leurs résultats avec un tiers une fois ceux-ci publiés. Concrètement, une API, cette interface qui laisse deux logiciels s'échanger des données, a été activée avant la date prévue, et c'est par cette porte que les résultats du Bac 2026 sont sortis. D'après le compte Signal-Arnaques, l'auteur a réservé le domaine et bricolé son site le jour même, le signe d'une action opportuniste plus que d'un plan mûri, quelqu'un qui tombe par hasard sur une API un peu trop bavarde et décide d'en faire profiter tout le monde.
Fermeture volontaire à 0h30 et aucune donnée conservée
Victime de son propre succès, le site a fini par fermer de lui-même autour de 0h30, en laissant un message où l'auteur expliquait que ses visiteurs étaient des millions en même temps, bien trop pour que les serveurs suivent. Il jure de son côté n'avoir collecté ni stocké la moindre donnée personnelle, les informations ne faisant que transiter en temps réel sans base de données ni journalisation, avec même des limites techniques posées dès le départ pour éviter de faire tomber les serveurs du ministère. À l'entendre, tout a été coupé volontairement dès que l'affluence est devenue déraisonnable, sans aucune intention de nuire, et il est vrai que rien sur la plateforme ne trahissait la moindre arnaque ni la moindre tentative de piégeage.
On en dit quoi ?
Une fuite qui n'est même pas un piratage, c'est presque plus embarrassant pour le ministère, parce que ça revient à admettre qu'une porte grande ouverte sur 730 000 résultats attendait juste qu'on la pousse. La retenue affichée par l'auteur, qui n'a rien gardé et a fermé de lui-même, n'y change rien, l'Éducation nationale a laissé une API pointer vers ses données avant l'heure et devra expliquer comment.
