Perimetry Research · édition de novembre 2026
Intercommunalités, départements et régions protègent-ils bien leur site et leur messagerie ?
Nous avons mesuré le site web et le domaine de messagerie de chaque intercommunalité, département et région de l’annuaire officiel de l’administration : 1 382 collectivités, 1 668 domaines, avec les mêmes contrôles passifs que l’étude des communes et Perimetry Cloud. Voici ce que nous avons trouvé, la comparaison avec les communes, et qui fait bien les choses.
Télécharger le rapport complet (PDF) Constats, graphiques, tous les tableaux, la comparaison avec les communes, des recommandations et la méthodologie.
- 1 382
- collectivités étudiées
- 60
- note moyenne sur 100
- 32,8 %
- appliquent DMARC (quarantine ou reject)
- 15,5 %
- ont A ou B
Ce qui ressort
77,8 % des collectivités notées publient une politique DMARC, mais 32,8 % l’appliquent. Sans politique appliquée, un message falsifié au nom d’une collectivité est en général distribué.
Côté sites : 98,7 % ont un certificat valide et 90,9 % renvoient les visiteurs de HTTP vers HTTPS ; 38,8 % utilisent HSTS d’au moins six mois.
25,9 % de leurs domaines sont signés avec DNSSEC et 2,6 % publient un enregistrement CAA.
Les intercommunalités ont en moyenne 60 sur 100, les communes 47.
1,2 % des mairies écrivent depuis le domaine de leur intercommunalité ou y publient leur site : quand il est bien protégé, elles le sont aussi.
Notes
Chaque collectivité qui a un domaine à elle reçoit une note : la part des dix contrôles ci-dessous qu’elle réussit, parmi ceux qui la concernent (la note de l’étude des communes). 1 372 collectivités sont notées ; la moyenne est de 60 sur 100.
A : 90 ou plus · B : 75 · C : 60 · D : 40 · E : 20 · F : moins de 20
Par catégorie
Les catégories de moins de dix collectivités notées ne sont pas détaillées, pour qu’aucune ne puisse être reconnue.
| Catégorie | Collectivités | Notées | Moyenne | A ou B | Site propre | DMARC appliqué | Médiane |
|---|---|---|---|---|---|---|---|
| Métropoles | 21 | 21 | 68 | 33,3 % | 100 % | 38,1 % | – |
| Communautés urbaines | 14 | 14 | 58 | 7,1 % | 100 % | 28,6 % | – |
| Communautés d’agglomération | 229 | 226 | 64 | 23,9 % | 98,3 % | 42,9 % | 60 |
| Communautés de communes | 988 | 983 | 59 | 11,9 % | 99 % | 29,1 % | 60 |
| Établissements publics territoriaux (Grand Paris) | 11 | 9 | – | ||||
| Départements | 93 | 93 | 63 | 24,7 % | 100 % | 44,1 % | 60 |
| Régions | 14 | 14 | 71 | 50 % | 100 % | 57,1 % | – |
| Collectivités à statut particulier | 7 | 7 | – | ||||
| Collectivités d’outre-mer | 5 | 5 | – | ||||
Contrôle par contrôle
Part des collectivités notées qui réussissent chaque contrôle, parmi celles qu’il concerne.
Site web
- Certificat HTTPS valide98,7 %
Le site répond en HTTPS avec un certificat en cours de validité, émis pour son nom et reconnu par les navigateurs. 1 336 sur 1 353.
- HTTP renvoie vers HTTPS90,9 %
Quelqu’un qui tape l’adresse arrive sur le site chiffré, et non sur une page que n’importe qui sur le réseau peut lire ou modifier. 1 230 sur 1 353.
- HSTS d’au moins six mois38,8 %
Les navigateurs retiennent qu’il faut utiliser HTTPS : la première requête non chiffrée ne peut pas être détournée. 519 sur 1 339.
- En-têtes de protection de base40,7 %
X-Content-Type-Options: nosniff, et une protection contre l’affichage du site dans le cadre d’un autre site (X-Frame-Options ou frame-ancestors dans la CSP). 545 sur 1 339.
DNS
- DNSSEC25,9 %
Les réponses DNS du domaine sont signées : on ne peut pas faire croire à un résolveur que le site ou la messagerie de la collectivité sont ailleurs. 355 sur 1 372.
- Enregistrement CAA2,6 %
Le domaine désigne les autorités de certification autorisées à émettre des certificats à son nom. 36 sur 1 372.
- SPF strict97,1 %
Le domaine liste les serveurs autorisés à envoyer son courrier et demande de rejeter ou de signaler les autres (-all ou ~all). 1 327 sur 1 367.
- Enregistrement DMARC77,8 %
Le domaine publie une politique DMARC, la norme qui relie SPF et DKIM à l’expéditeur affiché. 1 063 sur 1 367.
- DMARC appliqué32,8 %
La politique est quarantine ou reject : un message falsifié au nom de la collectivité part en indésirables ou est refusé, au lieu d’être distribué. 448 sur 1 367.
- Adresse sur un domaine public98,3 %
L’adresse de l’annuaire est sur le propre domaine de la collectivité ou sur un domaine public mutualisé, et non sur une messagerie grand public (Orange, Gmail…) qu’elle ne maîtrise pas. 1 252 sur 1 274.
Comparaison avec les communes
Les dix mêmes contrôles que l’étude des communes françaises (édition de novembre 2026) : part des organismes notés qui réussissent chacun.
| Communes | Intercommunalités | Départements | Régions | |
|---|---|---|---|---|
| Note moyenne | 47 | 60 | 63 | 71 |
| Certificat HTTPS valide | 93,4 % | 98,7 % | 98,9 % | 100 % |
| HTTP renvoie vers HTTPS | 86,4 % | 90,9 % | 90,8 % | 85,7 % |
| HSTS d’au moins six mois | 28,3 % | 37,9 % | 43,7 % | 71,4 % |
| En-têtes de protection de base | 26,1 % | 38,6 % | 58,6 % | 78,6 % |
| DNSSEC | 22,1 % | 26,8 % | 18,3 % | 14,3 % |
| Enregistrement CAA | 2,8 % | 1,8 % | 7,5 % | 35,7 % |
| SPF strict | 85,9 % | 97,1 % | 98,9 % | 92,9 % |
| Enregistrement DMARC | 45,2 % | 76,4 % | 92,5 % | 100 % |
| DMARC appliqué | 19,2 % | 31,7 % | 44,1 % | 57,1 % |
| Adresse sur un domaine public | 71,1 % | 98,3 % | 100 % | 100 % |
Les intercommunalités selon leur population
Les quatre catégories d’intercommunalités ensemble, selon le nombre d’habitants.
| Population | Collectivités | Notées | Moyenne | A ou B | Site propre | DMARC appliqué | Médiane |
|---|---|---|---|---|---|---|---|
| 200 000 habitants et plus | 49 | 49 | 67 | 34,7 % | 100 % | 46,9 % | 67 |
| 50 000 à 199 999 | 234 | 231 | 64 | 21,6 % | 98,3 % | 40,6 % | 60 |
| 20 000 à 49 999 | 443 | 441 | 61 | 15,4 % | 98,9 % | 35,4 % | 60 |
| Moins de 20 000 | 526 | 523 | 56 | 8,4 % | 99 % | 23,2 % | 60 |
Des domaines partagés
Beaucoup d’intercommunalités hébergent le site ou la messagerie de leurs communes membres sur leur propre domaine. 1,2 % des mairies de l’annuaire écrivent depuis le domaine de leur intercommunalité ou y publient leur site, et 10,9 % des intercommunalités qui ont un domaine servent ainsi au moins une mairie membre. Leur protection est partagée elle aussi.
10 intercommunalités n’ont pas de site à elles : leur site est une page du site d’une commune membre. Elles sont comptées, pas notées.
Tableau d’honneur
2 collectivités réussissent les dix contrôles.
- Caux Seine Agglo (Agglomérations)
- Conseil départemental – Orne (Départements)
Votre organisme fait-il partie de cette étude ?
Demandez sa page privée : sa note, les contrôles de l’étude et sa place face aux organismes comparables. Le lien n’est envoyé qu’à une adresse sur le domaine de votre organisme ; rien d’autre ne suit.
Les meilleures de chaque catégorie
Les meilleures notes parmi les collectivités qui ont leur propre site (au moins neuf contrôles applicables, 75 ou plus), jusqu’à dix par catégorie. Seulement dans les catégories d’au moins trente collectivités notées : dans une plus petite, nommer les meilleures dirait où se situent les autres ; seul son tableau d’honneur est nommé.
Communautés d’agglomération
- Caux Seine Agglo100
- Communauté d’agglomération Saint Germain Boucles de Seine90
- Communauté Paris-Saclay90
- Douaisis Agglo90
- Communauté d’agglomération Maubeuge Val de Sambre90
- Lannion-Trégor Communauté90
- Communauté d’agglomération du Grand Chambéry89
- Communauté d’agglomération du Pays Basque80
- Communauté d’agglomération Val Parisis80
- Communauté d’agglomération de Béthune-Bruay, Artois-Lys Romane80
Communautés de communes
- Communauté de communes Auray Quiberon Terre Atlantique90
- Intercom Bernay Terres de Normandie90
- Ploërmel Communauté90
- Communauté de communes du Pays des Abers90
- Communauté de communes du Ternois90
- Communauté de communes du Grand Autunois Morvan90
- Communauté de communes des Grands Lacs90
- Bretagne Porte de Loire Communauté90
- Communauté de communes du Volvestre90
- Communauté de communes du Pays Haut Val d'Alzette90
Départements
- Conseil départemental – Orne100
- Conseil départemental – Charente-Maritime90
- Conseil départemental – Nord89
- Conseil départemental – Manche89
- Conseil départemental – Gironde80
- Conseil départemental – Hauts-de-Seine80
- Conseil départemental – Yvelines80
- Conseil départemental – Haute-Garonne80
- Conseil départemental – Pas-de-Calais80
- Conseil départemental – Finistère80
Les intercommunalités par région
Des moyennes uniquement. Les régions de moins de dix intercommunalités notées (5) ne sont pas détaillées.
| Région | Collectivités | Notées | Moyenne | A ou B | Site propre | DMARC appliqué |
|---|---|---|---|---|---|---|
| Guadeloupe | 6 | 6 | – | |||
| Martinique | 3 | 3 | – | |||
| Guyane | 4 | 4 | – | |||
| La Réunion | 5 | 5 | – | |||
| Mayotte | 5 | 4 | – | |||
| Île-de-France | 52 | 52 | 65 | 28,8 % | 100 % | 44,2 % |
| Centre-Val de Loire | 81 | 80 | 57 | 6,3 % | 98,8 % | 21,3 % |
| Bourgogne-Franche-Comté | 114 | 114 | 56 | 6,1 % | 100 % | 23,7 % |
| Normandie | 69 | 67 | 64 | 22,4 % | 95,7 % | 35,8 % |
| Hauts-de-France | 90 | 90 | 60 | 18,9 % | 98,9 % | 27 % |
| Grand Est | 148 | 148 | 56 | 6,8 % | 98,6 % | 28,4 % |
| Pays de la Loire | 69 | 69 | 64 | 20,3 % | 98,6 % | 26,1 % |
| Bretagne | 59 | 58 | 69 | 34,5 % | 98,3 % | 47,4 % |
| Nouvelle-Aquitaine | 156 | 156 | 58 | 9 % | 100 % | 30,8 % |
| Occitanie | 159 | 157 | 60 | 15,9 % | 98,7 % | 39,7 % |
| Auvergne-Rhône-Alpes | 167 | 166 | 61 | 14,5 % | 99,4 % | 32,5 % |
| Provence-Alpes-Côte d'Azur | 46 | 46 | 60 | 17,4 % | 100 % | 41,3 % |
| Corse | 19 | 19 | 48 | 0 % | 100 % | 15,8 % |
Derrière les chiffres
Qui émet les certificats de leurs sites propres
- Let's Encrypt77,7 %
- Sectigo Limited6,1 %
- Google Trust Services3,5 %
- DigiCert Inc2,4 %
- Gandi SAS2,3 %
- ZeroSSL GmbH1,5 %
Sur quoi tournent leurs sites propres (quand la page l’indique)
- WordPress53,4 %
- Non indiqué27,3 %
- Autre10,6 %
- Drupal6,1 %
- Joomla1,9 %
- Wix0,7 %
Bureaux d’enregistrement de leurs domaines
- OVH66,1 %
- GANDI15 %
- ORANGE BUSINESS SERVICES SA, DIRECTION EOLAS4 %
- IONOS3,7 %
- SCALEWAY3,6 %
- AMEN / AGENCE DES MÉDIAS NUMÉRIQUES2,7 %
- NAMESHIELD2,7 %
- ADISTA2,1 %
Messageries grand public dans l’annuaire
- orange.fr63,6 %
- wanadoo.fr22,7 %
Les problèmes graves sont signalés en privé
7 collectivités ont un problème grave. Elles ne sont pas nommées ici : nous les prévenons d’abord, discrètement.
- Domaines inscrits dans l’annuaire officiel qui n’existent plus et que n’importe qui pourrait enregistrer : 4
- Domaines absents du DNS, enregistrement à vérifier : 1
- Certificats expirés : 2
Comment nous avons mesuré
Des contrôles passifs uniquement, ceux de l’étude des communes : la page d’accueil de chaque site en HTTP et en HTTPS et rien d’autre sur le site, les enregistrements DNS publics, un robot qui dit qui il est. Sources : l’annuaire officiel de l’administration (Service-Public.fr, DILA, Licence Ouverte 2.0) et l’API géographique de l’État (liste officielle des intercommunalités, populations).
Lire la méthodologie Télécharger les chiffres (JSON) Télécharger le rapport complet (PDF)
Prochaine édition : février 2027, puis chaque trimestre. Vous pouvez réutiliser ces chiffres avec un lien vers cette page.