Perimetry Research · Comparaison · novembre 2026

Deux États, deux approches : comment la France et le Royaume‑Uni protègent leurs domaines

Nos études de l’État français (1 440 domaines) et de l’administration centrale britannique (497 domaines) utilisent les mêmes neuf contrôles et les mêmes règles. Les voici côte à côte, avec ce que chaque État exige de ses administrations et ce qu’il leur donne pour y arriver.

54 / 46: note moyenne, Royaume-Uni / France
74,6 % / 43,3 %: appliquent DMARC, Royaume-Uni / France
6,8 % / 25,8 %: des domaines inscrits sont inactifs, Royaume-Uni / France
3,8 %: signent leurs domaines avec DNSSEC, des deux côtés

Ce que disent les chiffres

La messagerie est l’écart le plus net : 74,6 % des domaines notés britanniques appliquent DMARC, contre 43,3 % en France, et l’écart est plus grand encore parmi les domaines sans site, où un e-mail falsifié au nom de l’État est distribué pour 33,9 % des domaines britanniques et 63,3 % des français.

La France garde bien plus de domaines dormants : 25,8 % des domaines de ses listes sont inactifs, contre 6,8 % au Royaume-Uni, et 78 domaines français avaient un problème grave (5,4 %), contre 5 au Royaume-Uni (1 %).

Sur les sites eux-mêmes, les deux sont proches : certificats valides (67,4 % / 63,8 %), HTTP renvoyé vers HTTPS (75 % / 77,3 %), HSTS (42,1 % / 33,3 %). La France publie plus souvent des enregistrements CAA (18,5 % / 4,7 %).

DNSSEC est rare des deux côtés : 3,8 % des domaines notés dans chacun.

Côte à côte

Les domaines qui ont un site à eux, notés sur les mêmes neuf contrôles, et les domaines sans site présentés à part.

	Royaume-Uni	France
Domaines des listes	497	1 440
Actifs	463	1 069
Inactifs (absents du DNS, ou ni site ni messagerie)	6,8 %	25,8 %
Avec un site à eux (notés)	236	660
Note moyenne	54	46
Note médiane	56	44
A ou B	30,1 %	13 %
Domaines actifs sans site à eux	227	409
…dont n’appliquent pas DMARC	33,9 %	63,3 %
Domaines actifs hors de l’extension de l’État (.gouv.fr / .gov.uk)	25,5 %	18,5 %
Domaines avec un problème grave (signalés en privé)	5 (1 %)	78 (5,4 %)

Contrôle par contrôle

Contrôle	Royaume-Uni	France	±
Certificat HTTPS valide	67,4 %	63,8 %	+3,6
HTTP renvoie vers HTTPS	75 %	77,3 %	-2,3
HSTS d’au moins six mois	42,1 %	33,3 %	+8,8
En-têtes de protection de base	47,8 %	51,9 %	-4,1
DNSSEC	3,8 %	3,8 %	0
Enregistrement CAA	4,7 %	18,5 %	-13,8
SPF strict	85,6 %	56,2 %	+29,4
Enregistrement DMARC	84,3 %	56,7 %	+27,6
DMARC appliqué	74,6 %	43,3 %	+31,3

Ce que chaque État demande, et ce qu’il offre

D’après les textes que publie chaque gouvernement. Quand nous n’avons pas trouvé de règle publiée, nous le disons ; une règle peut exister sans être publique.

Royaume-Uni

France

Où vit l’État en ligne

Royaume-UniUn site : GOV.UK. Les services ouverts au public doivent utiliser un domaine GOV.UK, ou un autre domaine public quand le GDS accorde une dérogation, et le système de design de GOV.UK. ¹

FranceUne extension : .gouv.fr. La circulaire du 7 juillet 2023 a rendu l’extension et le système de design de l’État obligatoires pour les nouveaux sites et fixé des échéances aux sites existants (1er juillet 2025 pour les sites de communication, 1er janvier 2026 pour les démarches) ; certains opérateurs de l’État n’y sont pas soumis. ^{2, 3}

Messagerie

Royaume-UniDes exigences écrites : SPF, DKIM et DMARC sur chaque domaine, TLS 1.2 ou plus et une politique MTA-STS pour chaque domaine qui reçoit du courrier, une adresse centrale pour les rapports DMARC, et une politique reject prête à l’emploi pour les domaines qui n’envoient pas de courrier. GOV.UK et service.gov.uk publient une politique reject depuis 2016. ^{4, 5, 6, 7}

FranceDes recommandations plutôt qu’une règle publiée : le guide de l’ANSSI sur l’interconnexion d’un SI à Internet comporte un chapitre sur la sécurisation de la messagerie. La feuille de route de la sécurité numérique de l’État 2026-2027 demande aux ministères de renforcer la sécurité de leur messagerie avant le 31 décembre 2026, en relevant que les attaques contre l’État exploitent en priorité les faiblesses du nom de domaine et de la messagerie. Nous n’avons pas trouvé de texte publié qui impose DMARC sur les domaines de l’État. ^{8, 9}

Sites web

Royaume-UniLes services sur service.gov.uk doivent être en HTTPS seulement avec HSTS ; le domaine figure dans la liste de préchargement HSTS des navigateurs depuis 2016, et un enregistrement CAA est exigé. ^{7, 10}

FranceL’ANSSI recommande HTTPS, HSTS et les en-têtes de protection dans son guide des sites web ; les nouveaux sites de l’État demandent l’agrément du SIG et le système de design de l’État. ^{11, 2}

DNS

Royaume-UniPas d’exigence publiée de DNSSEC sur les domaines en .gov.uk que nous ayons trouvée ; un enregistrement CAA est exigé sur service.gov.uk. ¹⁰

FranceL’ANSSI recommande DNSSEC dans ses guides sur les noms de domaine et les architectures DNS. ¹²

Outils offerts aux administrations

Royaume-UniMail Check et Web Check, gratuits depuis 2017, ont été retirés par le NCSC le 31 mars 2026 : les organismes sont invités à acheter un produit commercial de surveillance de la surface d’attaque ; Early Warning et DNS Check continuent. ¹³

FranceL’ANSSI propose SILENE, une cartographie de l’exposition d’un organisme sur Internet, et mène des campagnes pour prévenir les détenteurs de systèmes vulnérables. ¹⁴

Signaler une vulnérabilité

Royaume-UniUn service unique de signalement des vulnérabilités, pour tout service en ligne du gouvernement britannique. ¹⁵

FranceL’ANSSI reçoit les signalements de vulnérabilités et protège l’identité de l’auteur de bonne foi (article L.2321-4 du code de la défense). ¹⁶

Ce que chacun pourrait prendre à l’autre

La France : un socle écrit pour la messagerie de chaque domaine de l’État (SPF, DKIM, DMARC à reject pour les domaines qui n’envoient pas de courrier, MTA-STS), avec une adresse centrale de rapports, comme le Royaume-Uni depuis 2016 ; et un tri des centaines de domaines dormants encore inscrits.

Le Royaume-Uni : garder une vue centrale et gratuite des domaines de l’État maintenant que Mail Check et Web Check ont disparu ; et les deux : DNSSEC, presque absent de chaque côté.

Limites de la comparaison

Les deux populations viennent de listes différentes. Celle de la France comprend beaucoup d’anciens domaines de campagnes et d’organismes ; celle du Royaume-Uni ne peut comprendre que les domaines en .gov.uk enregistrés pour l’administration centrale avant mars 2023, plus les sites propres des organismes.
Le Royaume-Uni regroupe ses ministères sur un seul site, GOV.UK, quand la France les répartit sur de nombreux domaines : les domaines notés britanniques sont moins nombreux et, en moyenne, plus souvent ceux d’organismes publics.
Neuf contrôles simples, réussis ou non, sur le domaine et sa page d’accueil seulement. Les textes cités sont ceux que nous avons trouvés publiés ; une règle peut exister sans être publique.

Sources

L’étude de l’État britannique L’étude de l’État français Méthodologie