Perimetry Research · édition de novembre 2026
Les domaines .fr sont‑ils bien protégés ?
Nous avons tiré au hasard 20 000 domaines parmi les 4 633 263 domaines .fr des données ouvertes de l’Afnic, le registre du .fr, et mesuré chacun avec les mêmes contrôles passifs que nos études des organismes publics et que Perimetry Cloud : 17 820 sont actifs, avec un site ou un serveur de messagerie. Entreprises, associations, professionnels, particuliers : le registre ne dit pas qui détient la plupart d’entre eux ; c’est donc une photographie du .fr tel qu’il est utilisé, et aucun domaine n’est nommé.
Télécharger le rapport complet (PDF) Constats, graphiques, tous les tableaux, la comparaison avec les organismes publics, des recommandations et la méthodologie.
- 17 820
- domaines actifs mesurés
- 32
- note moyenne sur 100
- 11,7 %
- appliquent DMARC (quarantine ou reject)
- 3 %
- ont A ou B
Ce qui ressort
71,6 % des domaines notés ont un enregistrement SPF strict et 38,6 % publient une politique DMARC, mais seulement 11,7 % l’appliquent. Pour les autres, un e-mail falsifié à leur nom (une fausse facture, un changement de RIB) est en général distribué.
Côté sites : 59,1 % des domaines qui ont un site à eux ont un certificat valide et 53,4 % renvoient les visiteurs de HTTP vers HTTPS ; 17,3 % utilisent HSTS d’au moins six mois et 14,1 % envoient les en-têtes de protection de base.
25,9 % des domaines sont signés avec DNSSEC, à peu près autant que les communes (22,1 %) ; 1,2 % publient un enregistrement CAA.
Les domaines récents font mieux : 37 sur 100 en moyenne pour ceux enregistrés il y a moins de deux ans, 27 pour ceux enregistrés il y a plus de dix ans.
Le fournisseur de messagerie compte : les domaines dont la messagerie est chez Google Workspace ont en moyenne 39, chez Microsoft 365 37, chez OVHcloud 29.
Au total, 32 sur 100 sur neuf contrôles ; les communes françaises ont en moyenne 47 sur dix, l’enseignement supérieur 64 sur neuf.
Notes
Chaque domaine actif reçoit une note : la part des neuf contrôles ci-dessous qu’il réussit, parmi ceux qui le concernent (la note de nos études des organismes publics, sans le contrôle de l’adresse de contact, qu’un domaine seul ne donne pas). 17 820 domaines sont notés ; la moyenne est de 32 sur 100, la médiane de 33.
A : 90 ou plus · B : 75 · C : 60 · D : 40 · E : 20 · F : moins de 20
2 180 des 20 000 domaines tirés sont inactifs (absents du DNS, ou sans site en service ni serveur de messagerie : pages parking, pages d’attente d’hébergeur) et écartés.
Contrôle par contrôle
Part des domaines notés qui réussissent chaque contrôle, parmi ceux qu’il concerne. Les contrôles du site ne concernent que les domaines qui ont un site à eux.
Site web
- Certificat HTTPS valide59,1 %
Le site répond en HTTPS avec un certificat en cours de validité, émis pour son nom et reconnu par les navigateurs. 8 626 sur 14 602.
- HTTP renvoie vers HTTPS53,4 %
Quelqu’un qui tape l’adresse arrive sur le site chiffré, et non sur une page que n’importe qui sur le réseau peut lire ou modifier. 7 793 sur 14 602.
- HSTS d’au moins six mois17,3 %
Les navigateurs retiennent qu’il faut utiliser HTTPS : la première requête non chiffrée ne peut pas être détournée. 2 496 sur 14 399.
- En-têtes de protection de base14,1 %
X-Content-Type-Options: nosniff, et une protection contre l’affichage du site dans le cadre d’un autre site (X-Frame-Options ou frame-ancestors dans la CSP). 2 025 sur 14 399.
DNS
- DNSSEC25,9 %
Les réponses DNS du domaine sont signées : on ne peut pas faire croire à un résolveur que son site ou sa messagerie sont ailleurs. 4 615 sur 17 820.
- Enregistrement CAA1,2 %
Le domaine désigne les autorités de certification autorisées à émettre des certificats à son nom. 221 sur 17 819.
- SPF strict71,6 %
Le domaine liste les serveurs autorisés à envoyer son courrier et demande de rejeter ou de signaler les autres (-all ou ~all). 12 762 sur 17 819.
- Enregistrement DMARC38,6 %
Le domaine publie une politique DMARC, la norme qui relie SPF et DKIM à l’expéditeur affiché. 6 884 sur 17 819.
- DMARC appliqué11,7 %
La politique est quarantine ou reject : un message falsifié au nom du domaine, une fausse facture envoyée à un client par exemple, part en indésirables ou est refusé, au lieu d’être distribué. 2 077 sur 17 819.
Selon l’âge du domaine
D’après la date de création du fichier du registre.
| Groupe | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|
| Enregistrés il y a moins de 2 ans | 5 705 | 37 | 4,3 % | 12,9 % | 33 |
| Enregistrés il y a 2 à 10 ans | 7 704 | 32 | 2,5 % | 11 % | 33 |
| Enregistrés il y a plus de 10 ans | 4 411 | 27 | 2,2 % | 11,1 % | 22 |
Selon le fournisseur de messagerie
D’après le nom des serveurs de messagerie (MX) du domaine. OVHcloud installe par défaut ses serveurs de messagerie sur une grande partie des domaines enregistrés chez lui : son groupe mêle des messageries en service et des réglages laissés tels quels.
| Groupe | Part des domaines actifs | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|---|
| Microsoft 365 | 5,1 % | 903 | 37 | 4,9 % | 18,6 % | 33 |
| Google Workspace | 3,8 % | 679 | 39 | 4,3 % | 10,6 % | 40 |
| OVHcloud | 32 % | 5 696 | 29 | 1,2 % | 1,8 % | 22 |
| Autre fournisseur de messagerie | 45,5 % | 8 108 | 35 | 3,5 % | 17,2 % | 33 |
| Pas de serveur de messagerie (pas de MX) | 13,7 % | 2 434 | 26 | 4,4 % | 13,9 % | 22 |
Selon le type de site
D’après la page d’accueil. Un domaine sans site à lui (messagerie seule, ou site qui renvoie vers un autre domaine) est noté sur son DNS et sa messagerie seulement.
| Groupe | Part des domaines actifs | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|---|
| WordPress | 17 % | 3 030 | 42 | 2,6 % | 7,9 % | 44 |
| Un créateur de sites (Wix, Shopify, Squarespace, Webflow, Jimdo) | 4,4 % | 782 | 45 | 4,3 % | 6,1 % | 44 |
| Un autre type de site | 60,5 % | 10 790 | 29 | 2,1 % | 10,2 % | 22 |
| Pas de site à lui (messagerie seule, ou renvoi vers un autre domaine) | 18,1 % | 3 218 | 31 | 5,9 % | 21,5 % | 20 |
Comparaison avec les organismes publics
Les mêmes contrôles que nos études des communes, des collectivités et des établissements d’enseignement supérieur français (dernières éditions) : part des organismes notés qui réussissent chacun. Leurs moyennes comptent dix contrôles pour les communes et les collectivités, neuf pour l’enseignement supérieur et les domaines .fr.
| Communes (sur dix contrôles) | Collectivités (sur dix contrôles) | Enseignement supérieur (sur neuf contrôles) | Domaines .fr (sur neuf contrôles) | |
|---|---|---|---|---|
| Note moyenne | 47 | 60 | 64 | 32 |
| Certificat HTTPS valide | 93,4 % | 98,7 % | 100 % | 59,1 % |
| HTTP renvoie vers HTTPS | 86,4 % | 90,9 % | 95,2 % | 53,4 % |
| HSTS d’au moins six mois | 28,3 % | 38,8 % | 46,1 % | 17,3 % |
| En-têtes de protection de base | 26,1 % | 40,7 % | 57,5 % | 14,1 % |
| DNSSEC | 22,1 % | 25,9 % | 12,7 % | 25,9 % |
| Enregistrement CAA | 2,8 % | 2,6 % | 41 % | 1,2 % |
| SPF strict | 85,9 % | 97,1 % | 93 % | 71,6 % |
| Enregistrement DMARC | 45,2 % | 77,8 % | 86,9 % | 38,6 % |
| DMARC appliqué | 19,2 % | 32,8 % | 45,4 % | 11,7 % |
Pourquoi aucun domaine n’est nommé
Dans nos études des organismes publics, nous nommons les bons élèves. Ici, nous ne le pouvons pas : le registre ne dit pas qui détient la plupart des domaines .fr, et beaucoup appartiennent à des particuliers. Chaque chiffre de cette page est une moyenne d’au moins dix domaines.
Comment nous avons mesuré
Des contrôles passifs uniquement : la page d’accueil de chaque site en HTTP et en HTTPS et rien d’autre, les enregistrements DNS publics, un robot qui dit qui il est. Source : les données ouvertes de l’Afnic (fichier A des domaines en .fr, Licence Ouverte), un échantillon aléatoire tiré de nouveau à l’identique à partir de la graine de l’édition.
Lire la méthodologie Télécharger les chiffres (JSON) Télécharger le rapport complet (PDF)
Vous pouvez réutiliser ces chiffres avec un lien vers cette page.