Perimetry Research · édition de novembre 2026
Universités et grandes écoles protègent-elles bien leur site et leur messagerie ?
Nous avons mesuré le site web et son domaine de chaque établissement de la liste ministérielle des principaux établissements d’enseignement supérieur : 245 universités et écoles, publiques (160) et privées (85), 229 domaines, avec les mêmes contrôles passifs que nos études des communes et des collectivités et que Perimetry Cloud. Voici ce que nous avons trouvé, la comparaison, et qui fait bien les choses.
Télécharger le rapport complet (PDF) Constats, graphiques, tous les tableaux, la comparaison avec les communes et les collectivités, des recommandations et la méthodologie.
- 245
- établissements étudiés
- 64
- note moyenne sur 100
- 45,4 %
- appliquent DMARC (quarantine ou reject)
- 32,3 %
- ont A ou B
Ce qui ressort
86,9 % des établissements notés publient une politique DMARC, mais 45,4 % l’appliquent. Sans politique appliquée, un message falsifié au nom d’un établissement, adressé à ses étudiants ou à son personnel, est en général distribué.
Côté sites : 100 % ont un certificat valide et 95,2 % renvoient les visiteurs de HTTP vers HTTPS ; 46,1 % utilisent HSTS d’au moins six mois.
12,7 % de leurs domaines sont signés avec DNSSEC et 41 % publient un enregistrement CAA.
Les établissements publics ont en moyenne 65 sur 100, les privés 63.
Les universités ont en moyenne 67 sur 100 (sur neuf contrôles) ; les communes 47, les collectivités 60.
Notes
Chaque établissement dont le site est sur un domaine à lui reçoit une note : la part des neuf contrôles ci-dessous qu’il réussit, parmi ceux qui le concernent (la note des études des communes et des collectivités, sans le contrôle de l’adresse de contact, que la liste du ministère ne donne pas). 229 établissements sont notés ; la moyenne est de 64 sur 100.
A : 90 ou plus · B : 75 · C : 60 · D : 40 · E : 20 · F : moins de 20
Par catégorie
Les catégories de moins de dix établissements notés ne sont pas détaillées, pour qu’aucun ne puisse être reconnu.
| Catégorie | Établissements | Notés | Moyenne | A ou B | Domaine propre | DMARC appliqué | Médiane |
|---|---|---|---|---|---|---|---|
| Universités (et établissements assimilés) | 70 | 70 | 67 | 37,1 % | 100 % | 37,1 % | 67 |
| Grands établissements | 21 | 21 | 63 | 23,8 % | 100 % | 42,9 % | – |
| Écoles d’ingénieurs publiques | 25 | 22 | 69 | 59,1 % | 88 % | 45,5 % | – |
| Écoles publiques d’art, d’architecture et de culture | 26 | 19 | 57 | 21,1 % | 73,1 % | 26,3 % | – |
| Autres établissements publics | 18 | 15 | 62 | 40 % | 83,3 % | 40 % | – |
| Écoles de commerce et de management (privées) | 24 | 24 | 67 | 29,2 % | 100 % | 62,5 % | – |
| Écoles d’ingénieurs privées | 46 | 43 | 62 | 25,6 % | 93,5 % | 58,1 % | 56 |
| Autres établissements privés | 15 | 15 | 59 | 13,3 % | 100 % | 53,3 % | – |
9 établissements ont leur site sur le domaine d’un autre organisme (une université dont ils font partie, un organisme de tutelle, un groupe d’écoles) : ils sont comptés, pas notés.
Public et privé
Les deux secteurs de la liste du ministère.
| Secteur | Établissements | Notés | Moyenne | A ou B | Domaine propre | DMARC appliqué | Médiane |
|---|---|---|---|---|---|---|---|
| Secteur public | 160 | 147 | 65 | 36,7 % | 91,9 % | 38,1 % | 67 |
| Secteur privé | 85 | 82 | 63 | 24,4 % | 96,5 % | 58,5 % | 67 |
Contrôle par contrôle
Part des établissements notés qui réussissent chaque contrôle, parmi ceux qu’il concerne. Les contrôles de la messagerie portent sur le domaine du site.
Site web
- Certificat HTTPS valide100 %
Le site répond en HTTPS avec un certificat en cours de validité, émis pour son nom et reconnu par les navigateurs. 228 sur 228.
- HTTP renvoie vers HTTPS95,2 %
Quelqu’un qui tape l’adresse arrive sur le site chiffré, et non sur une page que n’importe qui sur le réseau peut lire ou modifier. 217 sur 228.
- HSTS d’au moins six mois46,1 %
Les navigateurs retiennent qu’il faut utiliser HTTPS : la première requête non chiffrée ne peut pas être détournée. 105 sur 228.
- En-têtes de protection de base57,5 %
X-Content-Type-Options: nosniff, et une protection contre l’affichage du site dans le cadre d’un autre site (X-Frame-Options ou frame-ancestors dans la CSP). 131 sur 228.
DNS
- DNSSEC12,7 %
Les réponses DNS du domaine sont signées : on ne peut pas faire croire à un résolveur que le site ou la messagerie de l’établissement sont ailleurs. 29 sur 229.
- Enregistrement CAA41 %
Le domaine désigne les autorités de certification autorisées à émettre des certificats à son nom. 94 sur 229.
- SPF strict93 %
Le domaine liste les serveurs autorisés à envoyer son courrier et demande de rejeter ou de signaler les autres (-all ou ~all). 213 sur 229.
- Enregistrement DMARC86,9 %
Le domaine publie une politique DMARC, la norme qui relie SPF et DKIM à l’expéditeur affiché. 199 sur 229.
- DMARC appliqué45,4 %
La politique est quarantine ou reject : un message falsifié au nom de l’établissement, adressé à ses étudiants par exemple, part en indésirables ou est refusé, au lieu d’être distribué. 104 sur 229.
Comparaison avec les communes et les collectivités
Les mêmes contrôles que nos études des communes et des collectivités françaises (dernières éditions) : part des organismes notés qui réussissent chacun.
| Communes | Collectivités | Universités (sur neuf contrôles) | Secteur public (sur neuf contrôles) | Secteur privé (sur neuf contrôles) | |
|---|---|---|---|---|---|
| Note moyenne | 47 | 60 | 67 | 65 | 63 |
| Certificat HTTPS valide | 93,4 % | 98,7 % | 100 % | 100 % | 100 % |
| HTTP renvoie vers HTTPS | 86,4 % | 90,9 % | 98,6 % | 97,3 % | 91,5 % |
| HSTS d’au moins six mois | 28,3 % | 38,8 % | 49,3 % | 47,9 % | 42,7 % |
| En-têtes de protection de base | 26,1 % | 40,7 % | 62,3 % | 61 % | 51,2 % |
| DNSSEC | 22,1 % | 25,9 % | 10 % | 10,2 % | 17,1 % |
| Enregistrement CAA | 2,8 % | 2,6 % | 62,9 % | 51 % | 23,2 % |
| SPF strict | 85,9 % | 97,1 % | 91,4 % | 90,5 % | 97,6 % |
| Enregistrement DMARC | 45,2 % | 77,8 % | 90 % | 87,8 % | 85,4 % |
| DMARC appliqué | 19,2 % | 32,8 % | 37,1 % | 38,1 % | 58,5 % |
Tableau d’honneur
7 établissements réussissent les neuf contrôles.
- Université de Montpellier (Université)
- Université Le Havre Normandie (Université)
- Université Lumière - Lyon 2 (Université)
- Centrale Méditerranée (École d’ingénieurs publique)
- Université de technologie de Compiègne (École d’ingénieurs publique)
- École nationale vétérinaire d'Alfort (Autre public)
- École supérieure angevine en informatique et productique (École d’ingénieurs privée)
Les meilleurs de chaque catégorie
Les meilleures notes parmi les établissements notés (au moins huit contrôles applicables, 75 ou plus), jusqu’à dix par catégorie. Seulement dans les catégories d’au moins trente établissements notés : dans une plus petite, nommer les meilleurs dirait où se situent les autres ; seul son tableau d’honneur est nommé.
Universités (et établissements assimilés)
- Université de Montpellier100
- Université Lumière - Lyon 2100
- Université Le Havre Normandie100
- Université Toulouse - Jean Jaurès89
- Université Paris 889
- Université de Lille78
- Aix-Marseille Université78
- Lyon-I université78
- Université Paris 1 - Panthéon Sorbonne78
- Université de Caen Normandie78
Écoles d’ingénieurs privées
- École supérieure angevine en informatique et productique100
- École supérieure d'informatique électronique automatique89
- École de biologie industrielle89
- École supérieure d'ingénieurs des travaux de la construction de Paris89
- École catholique des arts et métiers89
- Institut polytechnique UniLaSalle78
- École supérieure de chimie physique électronique de Lyon78
- Institut supérieur d'électronique de Paris78
- École supérieure des technologies industrielles avancées78
- École supérieure d’agriculture d'Angers78
Par région
Des moyennes uniquement. Les régions de moins de dix établissements notés (10) ne sont pas détaillées.
| Région | Établissements | Notés | Moyenne | A ou B | Domaine propre | DMARC appliqué |
|---|---|---|---|---|---|---|
| Auvergne-Rhône-Alpes | 21 | 20 | 69 | 50 % | 95,2 % | 25 % |
| Bourgogne-Franche-Comté | 4 | 4 | – | |||
| Bretagne | 11 | 10 | 58 | 0 % | 90,9 % | 20 % |
| Centre-Val de Loire | 3 | 3 | – | |||
| Collectivités d'outre-mer | 2 | 2 | – | |||
| Corse | 1 | 1 | – | |||
| Grand Est | 17 | 15 | 54 | 13,3 % | 88,2 % | 6,7 % |
| Guadeloupe | 1 | 1 | – | |||
| Guyane | 1 | 1 | – | |||
| Hauts-de-France | 17 | 15 | 70 | 46,7 % | 88,2 % | 66,7 % |
| Île-de-France | 85 | 80 | 63 | 28,8 % | 94,1 % | 46,3 % |
| La Réunion | 1 | 1 | – | |||
| Mayotte | 1 | 1 | – | |||
| Normandie | 13 | 13 | 69 | 46,2 % | 100 % | 61,5 % |
| Nouvelle-Aquitaine | 16 | 16 | 68 | 43,8 % | 100 % | 50 % |
| Occitanie | 23 | 20 | 67 | 40 % | 87 % | 60 % |
| Pays de la Loire | 15 | 14 | 71 | 42,9 % | 93,3 % | 71,4 % |
| Provence-Alpes-Côte d'Azur | 9 | 9 | – | |||
| À l’étranger | 4 | 3 | – | |||
Derrière les chiffres
98,3 % des domaines notés reçoivent eux-mêmes du courrier (un enregistrement MX) : le domaine dont SPF et DMARC sont lus est alors celui depuis lequel l’établissement écrit.
Qui émet les certificats de leurs sites
- Hellenic Academic and Research Institutions CA48,5 %
- Let's Encrypt34,1 %
- Google Trust Services5,2 %
- Sectigo Limited3,9 %
Sur quoi tournent leurs sites (quand la page l’indique)
- WordPress42,4 %
- Drupal21,4 %
- Autre21 %
- Non indiqué15,3 %
Bureaux d’enregistrement de leurs domaines
- GIP RENATER58,3 %
- OVH20,3 %
- GANDI16 %
- NAMESHIELD2,7 %
- SCALEWAY2,7 %
Les problèmes graves sont signalés en privé
Aucun établissement n’a de problème grave dans cette édition.
Comment nous avons mesuré
Des contrôles passifs uniquement, ceux de l’étude des communes : la page d’accueil de chaque site en HTTP et en HTTPS et rien d’autre sur le site, les enregistrements DNS publics, un robot qui dit qui il est. Source : la liste des principaux établissements d’enseignement supérieur du ministère de l’Enseignement supérieur et de la Recherche (data.enseignementsup-recherche.gouv.fr, Licence Ouverte 2.0), et Wikidata (CC0) pour un site que la liste n’indique pas.
Lire la méthodologie Télécharger les chiffres (JSON) Télécharger le rapport complet (PDF)
Prochaine édition : mars 2027, puis chaque trimestre. Vous pouvez réutiliser ces chiffres avec un lien vers cette page.