Entraînement gratuit · lycées et BTS
Entraîne-toi pour « Passe ton hack d’abord ! »
Deux défis à résoudre ici, sans compte. Ensuite, avec ton enseignant, les labs Lockbay, gratuits pour ton équipe jusqu’à la fin du concours.
- En 2026 : du 19 janvier au 6 février, en ligne
- Équipes de 2 à 6 élèves
- Du lycée au BTS
Défi d’entraînement · sans compte
Trouve le drapeau
La borne d’accueil du club robotique du lycée Bremorel répond bizarrement. Voici la réponse de son serveur. Un développeur a oublié quelque chose dedans.
HTTP/1.1 200 OK
Server: borne-accueil/2.3
Content-Type: text/html; charset=utf-8
X-Debug-Note: TE9DS0JBWXtsZXMtZW4tdGV0ZXMtcGFybGVudH0=
Cache-Control: no-storeBoîte à outils
- Un en-tête n’a rien à faire là. Lequel ?
- Cette suite de lettres finit par « = » : c’est souvent du Base64. La boîte à outils sait le décoder.
Drapeau validé !
Ce que ce défi t’apprend, côté défense :
- Une note de débogage est partie en production, dans un en-tête que personne ne regarde.
- Base64 n’est pas un chiffrement : n’importe qui le décode en une seconde.
- Pour se protéger : retirer les en-têtes de débogage avant la mise en ligne, ne jamais mettre de secret dans une réponse du serveur, relire la configuration.
Sur l’écran du labo de techno, un post-it : « le code de la salle, je l’ai caché, personne ne trouvera ». Les lettres semblent décalées.
Oh frgh hvw : ORFNEDB{fhvdu-hvw-wurs-idfloh}Boîte à outils
- Chaque lettre a été remplacée par une autre, toujours à la même distance dans l’alphabet.
- Le drapeau commence par LOCKBAY : regarde de combien il faut reculer le O pour obtenir un L.
Drapeau validé !
Ce que ce défi t’apprend, côté défense :
- Le chiffre de César décale chaque lettre d’un même pas : avec 25 essais au plus, on le casse à la main.
- Un secret ne se protège pas avec une méthode inventée : on utilise un algorithme reconnu (par exemple AES) et une clé gardée ailleurs.
- Un mot de passe ne se « chiffre » pas, il se hache, avec un algorithme fait pour ça.
Lockbay n’organise pas « Passe ton hack d’abord ! » et n’y est pas associé. Le concours est organisé par l’Éducation nationale et le COMCYBER : page officielle (s’ouvre dans un nouvel onglet), règlement 2026 (PDF, s’ouvre dans un nouvel onglet).
Les épreuves
Chaque catégorie du concours, et les labs pour s’y préparer
Le règlement 2026 annonce une quinzaine d’épreuves dans ces catégories. Aucune épreuve du concours n’est reprise ici : son règlement interdit d’en publier les énoncés et les solutions.
-
Sécurité web
Voir comment une page web se fait détourner (injection, fichier lu par erreur, fiche d’un autre utilisateur), puis comprendre le correctif.
- SQLi Injection SQL
- WebSec Cross-site scripting (XSS)
- CMDi Injection de commandes
- LFI Inclusion de fichiers locaux
- Contrôle d'accès cassé Références directes à des objets (IDOR)
- SSTI Injection de gabarits
-
Sécurité réseau
Lire une capture réseau, repérer un balayage ou une connexion louche, et écrire la règle qui la détecte.
- Analyse de capture réseau Lire une capture façon Wireshark
- Écrire des règles de détection Règles façon Suricata
- Audit Wi-Fi d'entreprise 802.1X, réseau invité, borne pirate
- Segmenter un réseau Zones, VLAN et matrice de flux
-
Cryptographie
Distinguer un encodage, un hachage et un chiffrement, et savoir lequel protège vraiment un secret.
- Cryptographie appliquée Hachage, AES, RSA, signatures
- PKI et TLS Certificats, AC interne, HSTS
- Gestion des secrets Fuites, rotation sans coupure, coffre
-
Programmation
Pas de lab de programmation pure : celui-ci fait lire le code d’une API, trouver ce qui casse et le corriger, tests à l’appui.
- Corriger la faille Corriger le code d'une API, tests à l'appui
-
Recherche en sources ouvertes
Retrouver une information publique à partir d’indices.
- Recherche en sources ouvertes Ce qu'une entreprise expose, et comment le réduire
-
Et aussi
Le règlement termine sa liste par « etc. » : l’analyse de journaux, l’enquête après incident et l’élévation de privilèges sont des classiques des CTF.
- SIEM Analyse de journaux
- Incident Réponse à incident
- Analyse statique d'un échantillon En-tête PE, indicateurs, règle YARA
- PrivEsc Élévation de privilèges Linux
Certains labs font exploiter une faille dans un environnement isolé ; d’autres font la corriger ou la détecter. En dehors d’un environnement fait pour ça, attaquer un système est un délit.
Pour les enseignants
Vous encadrez une équipe ? L’accès est gratuit.
-
Créez votre compte enseignant
Sans carte bancaire : votre nom, votre établissement et quelques lignes sur votre équipe.
Créer mon compte enseignant -
Nous validons et ouvrons la licence labs
Nous lisons chaque demande et validons le compte à la main. Pour une équipe du concours, nous ouvrons une licence labs gratuite à votre établissement, jusqu’au 31 août 2027, pour 35 élèves. Vous en êtes l’administrateur.
-
Vos élèves rejoignent votre classe
Vous créez une classe et donnez son code à vos élèves. Ils lancent les labs sans limite de lancements par semaine.
La licence labs ouvre les labs et les classes ; les cours n’en font pas partie. Les dates de l’édition 2027 du concours ne sont pas encore publiées : c’est le calendrier officiel qui compte.