Un développeur de NimbusCloud a mis en ligne une page de connexion sans nettoyer son code. L'outil de diagnostic interne y a laissé trois fragments d'une clé, répartis à des endroits différents du code source.
Téléchargez la page (fichier ci-dessous) et affichez son code source (Ctrl+U, ou DevTools « Afficher la source de la page »). Chaque fragment porte un numéro d'ordre (1/3, 2/3, 3/3). Remettez-les dans l'ordre et collez-les bout à bout, sans espace, pour reconstituer le flag.
Le flag n'apparaît jamais en entier dans la page : il faut retrouver les trois fragments et les assembler vous-même.
Leçon de sécurité
Le code source HTML est public : tout visiteur peut l'afficher. Ne jamais y laisser de secret, même « fragmenté » ou en commentaire. Côté défense : supprimer les commentaires de débogage à la compilation (minification), bannir les attributs data-* de diagnostic en production, et ne jamais confier un secret au navigateur — un secret appartient au serveur.