Les applis sportives ont alourdi, l'analytique aussi

La tech sportive est présentée comme une affaire de données. Les propositions arrivées dans les rédactions ce mois-ci parlent d'IA sur les marchés sportifs, de tableaux de bord de croissance des fans et d'analytique de performance. C'est la couche marketing. La couche ingénierie ressemble autrement, et il est plus facile de l'inspecter, car la plupart de ses composants sont livrés en open source, sous forme de rapports de bug bounty ou de notes de produit.

Considérons l'exemple consommateur le plus visible. Slate a publié un article en juin soutenant que l'app Sports d'Apple est la meilleure application que l'entreprise ait livrée depuis des années, précisément parce qu'elle ne fait presque rien. L'app, simplement nommée "Sports", ne contient ni titres d'actualités, ni guides de streaming et presque aucune publicité. Le critique de Slate note qu'elle affiche les noms et logos des équipes, les records, les horaires des matchs et les scores, plus une page de classement. Les cotes de paris apparaissent sur le tableau des scores, mais un interrupteur dans les paramètres les supprime définitivement.

C'est tout le produit. La partie intéressante pour quiconque travaille dans les données sportives est pourquoi elle semble rapide : l'app est étroite par conception, donc le pipeline de données derrière n'a jamais à concilier flux, contenu éditorial et inventaire vidéo dans la même vue.

Le tableau des scores est la partie facile

L'auteur de Slate décrit la personnalisation comme parfaite : on choisit des ligues et des équipes, elles apparaissent sur une page d'accueil et dans une barre latérale, et leurs scores peuvent s'afficher en tant qu'Activités en direct sur l'écran de verrouillage. La couverture s'étend bien au-delà de la Coupe du monde à la MLS, la NWSL et environ 30 autres ligues de soccer, ainsi que le tennis masculin et féminin et le LPGA Tour. Cliquer sur un match ouvre une feuille de match de base, un tableau de classement ou une liste d'effectif.

L'app a été annoncée à l'hiver de 2024. Slate cite un dirigeant d'Apple exposant le principe à l'époque : "Nous avons créé Apple Sports pour donner aux fans de sport ce qu'ils veulent, une application qui offre un accès incroyablement rapide aux scores et aux statistiques." Pas de cadre agentique, pas de promesses d'approcher les fans de l'action.

Il y a une leçon utile enfouie dans cette retenue. La plupart des propriétés sportives portent désormais des années de fonctionnalités accumulées. Le critique de Slate souligne l'application officielle de la Major League Baseball, autrefois une favorite, pour avoir entouré les scores et la vidéo de décorations, et l'app d'ESPN pour pousser son offre de télévision en direct et un flux de type TikTok appelé "Verts" au-dessus de la section des scores. La friction n'est pas un problème de données. C'est un problème de produit déguisé en problème de données.

C'est là que la plomberie devient intéressante, et là où le registre public de ce mois est exceptionnellement riche.

Le 8 septembre, une société de conseil en logiciels appelée Adaca a publié Adaca Analytics, une couche de tableau de bord auto-hébergée pour Google Analytics 4 et BigQuery, fonctionnant sur Cloudflare Workers. Selon le README GitHub du projet, les agrégats quotidiens de l'API de données GA4 ou d'un export BigQuery atterrissent dans une base de données D1 appartenant à l'opérateur, tandis que les données en temps réel restent en direct sur Google. Le dépôt livre six tableaux de bord et un constructeur en quatre étapes pour des personnalisés.

Les détails comptent plus que la proposition. Chaque nombre dans le tableau de bord s'ouvre sur une page de détail avec sa propre tendance et ses décomptes, précalculés pour se charger en un seul aller-retour. Il y a un seul filtre pour tout le tableau de bord, des segments enregistrés et des liens de partage en lecture seule qui peuvent épingler un filtre. Les comparaisons s'exécutent par rapport à la période précédente, à l'année dernière ou à n'importe quelle fenêtre. La configuration nécessite de créer un compte de service Google avec un accès Viewer sur une propriété GA4, de télécharger sa clé JSON, puis de déployer sur Cloudflare, qui fourche le dépôt et provisionne D1 et KV. Le README est explicite qu'il n'y a pas de connexion et indique aux opérateurs de placer Cloudflare Access ou l'authentification de base intégrée devant le déploiement. Le projet est sous licence MIT.

Lisez cela dans le contexte sportif et la forme du problème devient claire. Un club, une ligue ou un diffuseur qui veut sa propre vue analytique assemble désormais cela à partir de pièces de commodité : un runtime de travailleur, une petite base de données, un compte de service avec accès en lecture seule et un travail cron. La partie coûteuse n'est pas le moteur de requête. C'est le modèle d'accès et la discipline opérationnelle.

Quand la vérification du jeton est absente

Tom's Hardware a rapporté le 28 septembre qu'un adolescent utilisant le pseudo Faav a trouvé un point d'entrée non authentifié à l'intérieur de la plateforme analytique interne Titan de Microsoft. Le rapport indique qu'un bot qu'il a construit, appelé Antares, a trouvé une URL de point d'entrée qui renvoyait une erreur demandant un VPN. Antares a ensuite énuméré les sous-domaines et en a trouvé un sur un hôte Azure Cloud, ainsi qu'un fichier Swagger/OpenAPI listant quatre routes. Trois nécessitaient une authentification Azure Active Directory. Un seul ne le faisait pas, et il s'appelait /v2/Query. Il acceptait du SQL brut.

Selon le rapport, Faav a utilisé la Wayback Machine pour trouver une version 2023 d'une page de connexion portant un fichier de configuration Apache Superset qui décrivait le schéma de la base de données, y compris 56 définitions de tables. Le point d'entrée a rejeté ses requêtes pour manque de JWT, donc il a exécuté Antares contre lui pendant 10 jours sans succès. Puis il a remarqué que les réponses du serveur impliquaient que la signature numérique du jeton n'était pas vérifiée, a présenté un jeton prétendant un accès administrateur, et a été laissé entrer. Un seul SHOW DATABASES a renvoyé 25 000 enregistrements de données d'employés, plus des enregistrements d'organisation, des tableaux de bord et des graphiques.

En fouillant davantage, il a trouvé une source de données pour l'analytique Bing. En comptant les lignes à travers les tables, Tom's Hardware rapporte-t-il, il a compté l'accès à 17 000 000 000 000 enregistrements au total. Il a signalé le problème au programme de bug bounty de Microsoft et a reçu 5 000 $. Dans son article de blog, il a écrit : "L'IA et l'intuition humaine se sont compliquées ici. Antares a fait dix jours de travail que je n'avais pas à faire [...] Sa persévérance, plus une intuition humaine, est ce qui a rendu cette découverte possible."

Deux choses méritent d'être séparées ici. La première est la vulnérabilité elle-même : un point d'entrée qui acceptait du SQL brut et ne vérifiait pas la signature du jeton. La seconde est la méthode de découverte. L'énumération de sous-domaines par force brute était automatisée. L'insight que la vérification de signature était absente, et qu'une réclamation d'administrateur forgée fonctionnerait donc, ne l'était pas.

Starburst a publié une analyse le 11 septembre qui cadre la même tension du côté de l'architecture. L'article passe en revue deux façons d'alimenter un agent IA d'entreprise : extraire les données et les remettre, ou donner à l'agent un accès direct à la base de données et le laisser écrire ses propres requêtes. La première option, que l'auteur étiquette "option 0", devient coûteuse rapidement car les agents qui facturent par élément de données traité ne peuvent pas être donnés des téraoctets. L'auteur l'appelle irréaliste hors circonstances inhabituelles.

La deuxième option laisse le moteur de base de données faire ce pour quoi il est optimisé tandis que l'agent envoie des requêtes successives ou parallèles. Elle note aussi un risque réel : les agents peuvent être beaucoup plus exigeants que les utilisateurs humains et peuvent submerger une base de données avec des requêtes spéculatives pendant qu'ils affinent leur focus. L'exemple du supermarché de l'article est une bonne illustration de pourquoi la question est difficile. Demander si une promotion sur les œufs était rentable nécessite des données transactionnelles d'un système, des données de fidélité et démographiques d'un autre, et une chaîne de questions de suivi sur la composition du panier et les visites répétées.

C'est la même forme que le problème d'analytique sportive. La billetterie, le streaming, les marchandises, la télémétrie de l'app et les données de site se trouvent dans différents systèmes, et les requêtes qui comptent couvrent tous ceux-ci. L'article de Starburst soutient que les systèmes de bases de données modernes sont de plus en plus capables de gérer les charges de travail agentiques, mais que les agents ne correspondront pas à l'optimisation des moteurs de bases de données longuement ajustés sur des téraoctets de données structurées pendant quelque temps.

Les outils discrets sont ceux à surveiller

Loin de la couche entreprise, deux projets plus petits montrent où les outils se dirigent. Plainoldanalytics, posté sur Hacker News le 13 septembre, est un middleware analytique auto-hébergé pour les applications Go. Son README le décrit comme similaire en esprit à Umami, Plausible ou PostHog, mais embarqué dans l'app elle-même. Le paquet principal est agnostique de stockage, donc l'importer n'attire jamais un backend ; les opérateurs choisissent un paquet de stockage, comme DuckDB ou un stockage en mémoire, ou implémentent l'interface eux-mêmes. Le trafic est écrit sur le disque environ une fois par seconde, et le middleware enregistre les paramètres de chemin à moins qu'une route ne soit enveloppée pour enregistrer le chemin littéral à la place. Des adaptateurs existent pour gin et chi.

DataZen, posté le 29 août, va dans l'autre sens : un client bureau local-first pour le travail multi-bases de données. Son site liste PostgreSQL, MySQL, SQLite et Redis comme intégrés, avec des pilotes optionnels pour MongoDB, ClickHouse, DuckDB et SQL Server. Il offre du SQL en langage naturel, un diagnostic d'erreur en un clic, une visualisation EXPLAIN, des flux de travail YAML et un serveur MCP intégré qui expose les requêtes, l'inspection du schéma et les flux de travail comme des outils pour des agents tels que Claude Desktop, Cursor et Cline. Le site indique que les identifiants sont chiffrés avec AES-256-GCM et stockés dans le trousseau de clés du système d'exploitation, que seuls le contexte du schéma et de la requête sont envoyés au fournisseur d'IA, et que le code source complet est disponible sous GPLv3. Il note aussi qu'aucun compte n'est requis et qu'aucun service de base de données cloud n'est opéré.

Mettez les quatre ensemble et un motif émerge que les prévisions de marché ont tendance à aplatir. La couche destinée aux consommateurs se consolide autour d'une simplicité radicale, comme le montre l'app Sports d'Apple. La couche en dessous se fragmente en petits composants auto-hébergés, auditable et contrôlables par les opérateurs. Et le registre de sécurité, comme le montre le cas Microsoft, dépend moins de savoir si une organisation a acheté une plateforme analytique que de savoir si elle a vérifié la signature sur un jeton.

Aucun de cela n'apparaît dans un graphique de dimensionnement du marché. Cela apparaît dès qu'un déploiement se passe mal.