Évaluation AirCyber BoostAerospace : Comment Se Préparer et Réussir

` pour ~3 300 mots (ratio ~330, sous le seuil de 350), chapeau en premier `

`, aucun `

`, 4 liens internes + 2 externes, FAQ en `

` interrogatifs. ```

L'évaluation AirCyber BoostAerospace constitue le point de bascule de toute démarche de labellisation cyber dans la filière aéronautique et spatiale. Après des mois de travail interne sur la gouvernance, la protection des postes, la gestion des accès et la continuité d'activité, tout se joue sur un dossier de preuves déposé sur une plateforme en ligne et sur une série d'échanges avec un évaluateur accrédité. C'est précisément à ce moment que la majorité des PME et ETI de la supply chain perdent du temps : les mesures sont réellement en place, mais les preuves ne sont ni formalisées, ni datées, ni traçables, ni cohérentes entre elles. Le résultat se traduit par des réserves, des allers-retours, un calendrier qui glisse de plusieurs semaines et une pression commerciale croissante de la part du donneur d'ordre. Cet article détaille le fonctionnement concret de l'évaluation, les preuves attendues domaine par domaine pour le niveau Bronze, les erreurs qui reviennent systématiquement, et la méthode de préparation qui permet d'aborder l'exercice avec un dossier défendable dès la première soumission.

Comment fonctionne l'évaluation AirCyber sur BoostAerospace

Le programme AirCyber est porté par BoostAeroSpace, la plateforme collaborative créée par les grands acteurs de l'aéronautique européenne pour structurer les échanges numériques avec leur chaîne de fournisseurs. La logique du dispositif est simple : plutôt que de laisser chaque donneur d'ordre auditer indépendamment ses centaines de fournisseurs avec ses propres grilles, la filière s'est dotée d'un référentiel commun de maturité cyber et d'un mécanisme d'évaluation mutualisé. Un fournisseur évalué une fois voit son niveau reconnu par l'ensemble des donneurs d'ordre adhérents. Pour une PME qui travaille simultanément avec plusieurs avionneurs et plusieurs équipementiers de rang 1, l'économie d'effort est considérable — à condition que l'évaluation soit passée correctement du premier coup.

Concrètement, la démarche démarre par une phase d'auto-évaluation. L'entreprise renseigne un questionnaire de maturité structuré par domaines, en se positionnant sur chaque exigence du niveau visé. Cette auto-évaluation n'est pas un formulaire déclaratif anodin : elle sert de base au périmètre d'examen de l'évaluateur, et un écart trop important entre le niveau déclaré et le niveau constaté est en soi un signal négatif. Une entreprise qui se déclare conforme sur l'ensemble des exigences puis se révèle incapable de produire la moitié des preuves attendues entame durablement la confiance de l'évaluateur, qui aura tendance à creuser davantage sur les points restants.

Vient ensuite la constitution du dossier de preuves. Chaque réponse positive de l'auto-évaluation doit pouvoir être adossée à un ou plusieurs éléments matériels déposés sur la plateforme : politique signée, procédure applicable, capture d'écran de console d'administration, extrait de journal, compte rendu de test, registre à jour. C'est cette phase qui consomme le plus de temps et qui explique l'écart de plusieurs semaines entre les entreprises préparées et celles qui découvrent l'exercice. Le point important à comprendre est que l'évaluateur ne juge pas votre intention ni votre discours : il juge ce qu'il peut vérifier dans le dossier et lors des entretiens.

L'évaluateur accrédité intervient ensuite pour examiner le dossier, mener des entretiens avec les personnes en charge (direction, informatique, qualité, production selon les domaines) et, selon les cas et le niveau visé, procéder à des vérifications sur site ou à distance. Son rôle n'est pas celui d'un consultant : il ne conçoit pas vos mesures et n'a pas vocation à vous aider à les corriger pendant l'évaluation. Il constate, documente et statue. Le choix de cet interlocuteur mérite une réflexion à part entière, que nous détaillons dans notre guide dédié pour choisir un assesseur accrédité AirCyber.

À l'issue de l'examen, l'évaluateur formalise ses constats. Lorsqu'une exigence n'est pas satisfaite ou que la preuve est jugée insuffisante, il émet une réserve. Les réserves sont hiérarchisées selon leur gravité et conditionnent l'obtention du label : certaines doivent impérativement être levées avant toute délivrance, d'autres peuvent faire l'objet d'un plan d'action assorti d'un délai. Cette mécanique de réserves est le véritable enjeu opérationnel de l'évaluation, bien plus que le score brut affiché en fin de questionnaire.

Le calendrier type d'une évaluation AirCyber

Sous-estimer la durée réelle du processus est l'erreur de planification la plus coûteuse. Entre la décision d'engager la démarche et l'obtention effective du label, il faut raisonner en mois, pas en semaines. La phase de cadrage — définition du périmètre, identification des entités et sites concernés, désignation d'un pilote interne — demande généralement deux à trois semaines. Ce cadrage est déterminant : une entreprise multi-sites qui déclare un périmètre trop large sans avoir harmonisé ses pratiques s'expose à des constats divergents d'un site à l'autre, tandis qu'un périmètre trop étroit risque de ne pas couvrir les activités réellement concernées par les contrats du donneur d'ordre.

Vient ensuite l'analyse d'écart, qui consiste à confronter la situation réelle aux exigences du niveau visé. Comptez trois à six semaines pour un premier passage sérieux dans une PME industrielle de cinquante à trois cents personnes. C'est à ce stade que l'on découvre les angles morts classiques : absence de politique de sécurité formalisée et signée, sauvegardes existantes mais jamais testées en restauration, comptes d'administration partagés entre plusieurs techniciens, postes de production sous systèmes obsolètes maintenus pour des raisons de compatibilité machine, absence de registre des accès et des habilitations.

La remédiation constitue le bloc le plus variable du calendrier. Certaines actions se traitent en quelques jours — activer l'authentification multifacteur sur la messagerie, formaliser une procédure de gestion des incidents, documenter la chaîne d'alerte. D'autres engagent des budgets, des arbitrages de production et parfois des remplacements matériels : segmentation du réseau bureautique et du réseau industriel, déploiement d'une solution de détection sur l'ensemble du parc, mise en place d'une sauvegarde hors ligne réellement isolée. Trois à six mois représentent un ordre de grandeur réaliste pour une entreprise partant d'un niveau de maturité modeste.

La constitution du dossier de preuves et la soumission demandent ensuite deux à quatre semaines de travail concentré, puis l'évaluation elle-même s'étale sur quelques semaines selon la disponibilité de l'évaluateur et la complexité du périmètre. Enfin, s'il subsiste des réserves, un délai de levée est fixé — il faut anticiper ce temps supplémentaire dans la communication faite au donneur d'ordre, plutôt que de promettre une date d'obtention qui ne tient compte que du scénario parfait.

Les preuves attendues pour chaque domaine AirCyber Bronze

Le niveau Bronze constitue le socle d'entrée du référentiel. Il ne demande pas une organisation de sécurité comparable à celle d'un grand groupe, mais il exige que les fondamentaux soient réellement en place et démontrables. La distinction est essentielle : Bronze n'est pas un niveau déclaratif de complaisance, c'est un niveau où l'on vérifie que les mesures élémentaires existent, qu'elles sont documentées et qu'elles sont appliquées. Notre guide complet pour obtenir la labellisation Bronze détaille exigence par exigence le contenu attendu ; nous nous concentrons ici sur la nature des preuves.

Sur le domaine de la gouvernance, la pièce maîtresse est la politique de sécurité des systèmes d'information. Elle doit être écrite, adaptée à votre activité réelle, datée, versionnée et validée par la direction — une signature de dirigeant, un compte rendu de comité de direction ou une note de diffusion interne font office de preuve de validation. À cette PSSI s'ajoutent la désignation formelle d'un responsable de la sécurité, la preuve de la diffusion aux collaborateurs, et idéalement un compte rendu de revue périodique montrant que le document vit. Une PSSI de quarante pages téléchargée sur internet et jamais lue en interne est immédiatement identifiée par un évaluateur expérimenté.

Sur le domaine de la protection des systèmes, les preuves sont majoritairement techniques. Il s'agit de démontrer la couverture effective du parc par une solution antivirus ou de détection sur les postes de travail et les serveurs : captures d'écran de la console d'administration montrant le nombre de machines protégées et la date de dernière mise à jour des signatures, extraits de journaux d'alertes, inventaire du parc permettant de vérifier qu'aucune machine n'échappe au périmètre. Le point de vigilance récurrent concerne l'écart entre le nombre de postes déclarés à l'inventaire et le nombre de machines effectivement supervisées par la console. Un écart non expliqué génère systématiquement une demande de complément.

Sur le domaine de la gestion des accès et des identités, l'évaluateur attend la procédure d'arrivée et de départ des collaborateurs, le registre des comptes utilisateurs avec leurs droits, la politique de mots de passe appliquée techniquement (et non seulement écrite), la preuve de l'authentification multifacteur sur les accès distants et la messagerie, ainsi que la liste nominative des comptes à privilèges. La revue périodique des habilitations, matérialisée par un document daté et signé, est un différenciateur fort : elle prouve que le contrôle est vivant.

Sur le domaine de la sauvegarde et de la continuité, la preuve décisive n'est pas l'existence de la sauvegarde mais celle du test de restauration. Un rapport de test daté, précisant les données restaurées, la durée de l'opération et la personne qui l'a réalisée, vaut infiniment mieux qu'une capture d'écran de tâches de sauvegarde en succès. S'y ajoutent la description du schéma de sauvegarde, la démonstration d'une copie isolée ou hors ligne, et la procédure de reprise en cas de sinistre majeur.

Sur le domaine de la gestion des incidents, il faut produire la procédure de détection et de traitement, la chaîne d'alerte avec les coordonnées à jour, le registre des incidents survenus, et la preuve que les collaborateurs savent à qui signaler un événement suspect. Enfin, sur le domaine de la sensibilisation, on attend les supports de formation, les feuilles d'émargement ou attestations de suivi, et le taux de couverture des effectifs. Pour une liste exhaustive des documents à préparer, consultez notre liste des documents à fournir pour l'audit AirCyber.

Les erreurs les plus fréquentes lors de l'évaluation AirCyber

La première erreur, et de loin la plus répandue, est celle des preuves incomplètes ou non exploitables. Une capture d'écran sans horodatage, un extrait de journal tronqué, un document sans version ni auteur, un fichier nommé « procedure_v2_final_OK.docx » : chacun de ces éléments oblige l'évaluateur à demander un complément, et chaque demande de complément allonge le calendrier de plusieurs jours. Multipliée par vingt exigences, cette négligence de forme transforme une évaluation de trois semaines en un feuilleton de deux mois. La règle est simple : une preuve doit permettre à un tiers de constater, seul, que l'exigence est satisfaite, à une date identifiable.

La deuxième erreur est la politique de sécurité générique. Beaucoup d'entreprises produisent une PSSI en s'appuyant sur un modèle trouvé en ligne, sans l'adapter à leur réalité industrielle. Le document parle alors de datacenters, de directions des systèmes d'information étoffées et de comités de sécurité mensuels qui n'existent pas. L'évaluateur détecte immédiatement ce décalage lors des entretiens : personne dans l'entreprise ne reconnaît les processus décrits. Une PSSI de huit pages qui décrit fidèlement votre organisation réelle est infiniment plus solide qu'un document de quarante pages emprunté à une autre entreprise. Les guides publiés par l'ANSSI constituent une base de référence utile, à condition de les transposer à votre contexte plutôt que de les recopier.

La troisième erreur concerne les sauvegardes non testées. C'est probablement le point qui génère le plus de réserves majeures. Les entreprises disposent presque toujours d'un dispositif de sauvegarde, souvent piloté par un prestataire informatique, et présentent des rapports de tâches en succès. Mais la question de l'évaluateur n'est pas « sauvegardez-vous ? », elle est « avez-vous déjà restauré ? ». En l'absence de test de restauration documenté, la mesure est considérée comme non démontrée, quelle que soit la qualité de l'outillage. Une restauration partielle réalisée sur un jeu de données représentatif, tracée dans un compte rendu d'une page, suffit à lever le point — encore faut-il l'avoir organisée avant l'évaluation.

La quatrième erreur est la mauvaise gestion des délais de levée de réserves. Lorsque des réserves sont émises, un délai est fixé pour apporter les éléments correctifs. Certaines entreprises considèrent l'évaluation terminée, relâchent l'effort et se réveillent quelques semaines avant l'échéance, dans une précipitation qui produit des preuves de mauvaise qualité et parfois une seconde série de réserves. Le réflexe à adopter est inverse : dès la réception des constats, désigner un responsable par réserve, fixer une échéance interne nettement antérieure au délai officiel, et faire valider les preuves correctives par un regard extérieur avant de les déposer.

Une cinquième erreur, plus insidieuse, tient à la dispersion des interlocuteurs. Lorsque l'évaluateur s'adresse tantôt au dirigeant, tantôt au responsable qualité, tantôt au prestataire informatique, et que ces trois personnes donnent des réponses différentes sur le même sujet, la confiance se dégrade rapidement. Un point de contact unique, qui centralise les échanges, connaît l'état exact du dossier et mobilise les bons experts en interne, change radicalement la fluidité de l'exercice.

Enfin, on observe fréquemment une sous-estimation du périmètre industriel. Les PME de la filière aéronautique exploitent des machines-outils à commande numérique, des bancs de test et des systèmes de supervision qui constituent des systèmes d'information à part entière. Les exclure du périmètre sans justification argumentée est un point de fragilité immédiat, d'autant que ces environnements concentrent souvent les systèmes obsolètes et les accès distants de maintenance les moins contrôlés.

Réserves majeures et réserves mineures : quelles conséquences

Toutes les réserves n'ont pas le même poids. Les constats les plus graves portent généralement sur l'absence pure et simple d'une mesure structurante : pas de sauvegarde isolée, pas de politique validée, pas de gestion des comptes à privilèges, absence totale de dispositif de détection sur le parc. Ces réserves bloquent la délivrance du label tant qu'elles ne sont pas levées, car elles remettent en cause la capacité de l'entreprise à protéger les données et les flux du donneur d'ordre. Il n'y a pas de contournement possible : la mesure doit être mise en place, puis prouvée.

Les constats de moindre gravité portent le plus souvent sur la formalisation, la traçabilité ou la périodicité : procédure existante mais non diffusée, revue d'habilitations réalisée informellement sans compte rendu, sensibilisation menée mais sans preuve de participation. Ces réserves peuvent généralement être traitées dans le cadre d'un plan d'action assorti d'un délai, sans bloquer immédiatement la démarche. Elles ne doivent pas pour autant être négligées : leur accumulation dessine un profil d'entreprise dont les pratiques reposent sur les personnes plutôt que sur des processus, ce qui pèse dans l'appréciation globale et lors du renouvellement.

Un point souvent mal compris mérite d'être souligné : le label n'est pas acquis définitivement. La démarche s'inscrit dans une logique de maintien dans le temps, avec des réévaluations périodiques. Une entreprise qui aurait « passé » l'évaluation grâce à un effort ponctuel, sans ancrer les pratiques dans son fonctionnement quotidien, se retrouvera mécaniquement en difficulté à l'échéance suivante. Les preuves les plus valorisées sont précisément celles qui démontrent une récurrence : trois comptes rendus de revue d'accès sur trois trimestres consécutifs pèsent plus lourd qu'un document unique produit la veille de la soumission.

Bronze, Silver, Gold : ce que change le niveau visé sur la préparation

Le référentiel AirCyber est gradué, ce qui permet à une entreprise d'entrer dans la démarche à un niveau accessible puis de progresser. Cette progressivité a une conséquence directe sur la préparation : viser d'emblée un niveau élevé sans avoir consolidé le socle est une stratégie coûteuse et rarement payante. Le niveau d'entrée vérifie l'existence et l'application des fondamentaux. Les niveaux supérieurs introduisent des exigences de pilotage, de mesure et d'amélioration continue : indicateurs suivis dans le temps, revues de direction structurées, gestion formalisée des vulnérabilités, contrôles renforcés sur les environnements sensibles et exigences répercutées à la sous-traitance.

La question du niveau à viser se tranche avec le donneur d'ordre, pas dans l'absolu. Certains contrats et certains programmes appellent un niveau supérieur en raison de la sensibilité des données échangées ou de la criticité de la pièce produite. Il est donc préférable de clarifier l'attente contractuelle avant d'engager la préparation, plutôt que de découvrir après l'obtention d'un premier niveau qu'il faut immédiatement relancer une démarche pour le niveau suivant. Dans la pratique, la trajectoire la plus efficace consiste à sécuriser le socle, à le faire fonctionner pendant deux à trois trimestres afin de générer des preuves de récurrence, puis à viser le niveau supérieur avec un dossier déjà largement alimenté.

Cette approche par paliers présente un avantage souvent sous-estimé : elle permet d'étaler l'investissement. Les mesures du socle sont majoritairement organisationnelles et peu coûteuses, tandis que les niveaux supérieurs engagent des choix techniques structurants. Répartir l'effort sur deux exercices budgétaires plutôt que de tout concentrer sur un semestre rend la démarche soutenable pour une PME industrielle dont les marges sont contraintes.

Notre accompagnement pour l'évaluation BoostAerospace

Notre intervention se structure autour de trois blocs complémentaires, calibrés pour des PME et ETI industrielles qui ne disposent pas d'une équipe sécurité dédiée. Le premier bloc est la préparation du dossier. Nous partons de l'analyse d'écart pour construire, exigence par exigence, la matrice de preuves : quelle pièce démontre quoi, qui la produit, sous quel format, à quelle date. Cette matrice devient le tableau de bord unique de la démarche et évite l'effet tunnel où l'entreprise accumule des documents sans savoir lesquels couvrent réellement les exigences. Nous rédigeons ou reprenons les documents structurants — politique de sécurité, procédures d'accès, plan de sauvegarde, procédure de gestion des incidents — en les ancrant dans votre organisation réelle plutôt qu'en livrant des modèles génériques.

Le deuxième bloc est l'audit blanc. Quelques semaines avant la soumission, nous rejouons l'évaluation dans les conditions réelles : examen critique de chaque preuve déposée, entretiens avec les personnes qui seront interrogées, vérification technique des mesures déclarées. L'objectif est de faire émerger en interne les constats que l'évaluateur formulerait, à un moment où il est encore possible de les corriger sans conséquence sur le calendrier officiel. C'est l'étape qui produit le meilleur rapport entre effort consenti et réserves évitées, car elle transforme des réserves potentielles en simples actions de préparation.

Le troisième bloc est la gestion des échanges et des réserves. Nous assurons le rôle d'interlocuteur technique face à l'évaluateur : réponses aux demandes de complément, production des pièces additionnelles, argumentation des points d'interprétation, suivi du plan de levée des réserves jusqu'à la clôture. Cette prise en charge libère vos équipes internes, qui restent mobilisées sur la production, et garantit une cohérence de discours tout au long de l'évaluation. Le détail de nos prestations et de nos formats d'intervention est présenté sur notre page accompagnement AirCyber.

FAQ — Évaluation AirCyber BoostAerospace

Combien de temps dure une évaluation AirCyber BoostAerospace ?

L'évaluation proprement dite — examen du dossier, entretiens, formalisation des constats — s'étale généralement sur quelques semaines, en fonction de la disponibilité de l'évaluateur, de la taille du périmètre et de la qualité du dossier soumis. Mais cette durée ne représente que la partie visible du processus. Si l'on raisonne depuis la décision d'engager la démarche jusqu'à l'obtention effective du label, il faut compter plusieurs mois : cadrage, analyse d'écart, remédiation, constitution du dossier, évaluation, puis éventuelle levée de réserves. Une entreprise déjà structurée sur le plan de la sécurité peut aller nettement plus vite ; une PME partant d'un niveau de maturité faible doit prévoir un semestre au minimum. Le facteur qui accélère le plus le calendrier est la qualité du dossier de preuves à la soumission, car il conditionne directement le nombre d'allers-retours avec l'évaluateur.

Que se passe-t-il si l'évaluateur émet des réserves ?

L'émission de réserves n'est pas un échec en soi : c'est même le cas le plus fréquent lors d'une première évaluation. Ce qui compte est la nature des constats. Les réserves les plus graves, portant sur l'absence d'une mesure structurante, doivent être levées avant que le label puisse être délivré. Les constats de moindre portée, généralement liés à la formalisation ou à la traçabilité, peuvent être traités dans le cadre d'un plan d'action assorti d'un délai. Dans tous les cas, la réponse à apporter suit la même logique : mettre en place la mesure manquante, produire une preuve datée et exploitable, et la déposer avant l'échéance fixée. L'erreur à éviter absolument est d'attendre les derniers jours du délai, ce qui conduit à produire des preuves de qualité insuffisante et parfois à déclencher une seconde série de constats.

Peut-on préparer seul son évaluation AirCyber sans accompagnement ?

C'est parfaitement possible, et certaines entreprises y parviennent — en particulier celles qui disposent déjà d'un responsable sécurité interne, d'une certification de type ISO 27001 ou d'une expérience d'audit récente. La difficulté pour une PME industrielle sans ressource dédiée tient moins à la complexité technique des exigences qu'à trois facteurs : la charge de travail concentrée sur quelques semaines, la connaissance du niveau de preuve réellement attendu par les évaluateurs, et la capacité à porter un regard critique sur son propre dossier. Un accompagnement externe apporte surtout de la vitesse et une réduction du risque de réserves. Une voie intermédiaire consiste à mener la remédiation en interne et à ne faire appel à un tiers que pour l'audit blanc, juste avant la soumission.

Le label AirCyber est-il reconnu par tous les donneurs d'ordre de la filière ?

C'est précisément l'objectif du dispositif : mutualiser l'évaluation de la maturité cyber des fournisseurs à l'échelle de la filière aéronautique et spatiale, afin qu'un fournisseur évalué une fois n'ait pas à répondre séparément aux questionnaires de chaque client. Le niveau obtenu est ainsi visible par les donneurs d'ordre participant au programme via la plateforme BoostAeroSpace. Cela ne dispense pas pour autant de vérifier les attentes contractuelles spécifiques de chaque client : certains programmes sensibles peuvent exiger un niveau supérieur, des mesures complémentaires ou des engagements particuliers sur la protection de données techniques. Le label constitue un socle reconnu, pas nécessairement une réponse exhaustive à toutes les exigences contractuelles.

Conclusion

L'évaluation AirCyber BoostAerospace n'est pas un examen que l'on passe, c'est un exercice de démonstration. La différence est fondamentale et explique la plupart des difficultés rencontrées par les PME de la supply chain aéronautique : la majorité d'entre elles disposent réellement de mesures de sécurité correctes, mais échouent à les rendre visibles, datées et vérifiables par un tiers. L'écart entre une entreprise qui obtient son label sans réserve majeure et une entreprise qui enchaîne les allers-retours pendant deux mois ne tient presque jamais au niveau de sécurité effectif — il tient à la qualité de la préparation du dossier de preuves.

La méthode qui fonctionne est connue et reproductible : engager la démarche avec un périmètre clarifié, réaliser une analyse d'écart honnête, produire chaque preuve au moment où la mesure est déployée plutôt qu'après coup, faire vivre les contrôles pour démontrer leur récurrence, et confronter le dossier à un regard extérieur critique avant la soumission. Ce dernier point — l'audit blanc — est celui dont le retour sur investissement est le plus élevé, car il transforme des réserves potentielles en actions de préparation menées sans pression de calendrier.

Reste enfin l'enjeu de fond, qui dépasse la logique de conformité. La filière aéronautique et spatiale concentre des données techniques à forte valeur, des chaînes de production interconnectées et un tissu de sous-traitants dont la compromission constitue une porte d'entrée privilégiée vers les grands donneurs d'ordre. Le référentiel AirCyber n'a pas été conçu comme une formalité administrative mais comme une réponse à cette réalité. Aborder l'évaluation dans cet esprit — en cherchant à élever réellement le niveau de protection plutôt qu'à cocher des cases — produit mécaniquement un meilleur résultat lors de l'exercice, et une organisation plus résiliente une fois le label obtenu.

` au lieu de 7.** À 7 H2 pour 3000 mots, le ratio monte à ~428 mots/H2 et dépasse le seuil de 350 du moteur SEO. J'ai ajouté « Le calendrier type », « Réserves majeures et mineures » et « Bronze, Silver, Gold ». Je n'ai pas pu relire `seo.go` (hors répertoire autorisé) pour confirmer que les H2 dans `.executive-summary` sont comptés — si ce n'est pas le cas, le ratio reste bon de toute façon. - **Pas d'assertions non vérifiables** sur le nombre d'items du questionnaire, les délais réglementaires exacts de levée de réserves ou la nomenclature officielle des niveaux de réserve. Formulations en « généralement / le plus souvent ». Le « 0 réserve majeure en 12 mois » du CTA est repris verbatim comme demandé — c'est votre chiffre. - **Fichier non écrit sur disque** : l'écriture dans `/tmp` a été refusée par les permissions. Le cwd de la session est `/var/www/dev.ayinedjimi-consultants.fr`, que vos règles interdisent de toucher. Dites-moi où le déposer (ou autorisez `/tmp`) et je l'écris.