Perimetry Research · édition de novembre 2026
L’État protège‑t‑il bien ses sites et sa messagerie ?
Nous avons mesuré les 1 440 domaines de l’État de deux listes ouvertes, celle de la DINUM et celle de l’Observatoire de l’écosystème numérique de l’État : préfectures, ministères, académies, ambassades, sites du Gouvernement. 1 069 sont actifs ; les 660 qui ont un site à eux sont notés, avec les mêmes contrôles passifs que nos autres études et que Perimetry Cloud, et les 409 qui n’en ont pas sont présentés à part. Voici ce que nous avons trouvé, et qui fait bien les choses.
Télécharger le rapport complet (PDF) Constats, graphiques, tous les tableaux, la comparaison avec nos autres études, des recommandations et la méthodologie.
- 660
- domaines avec un site à eux, notés
- 46
- note moyenne sur 100
- 43,3 %
- appliquent DMARC (quarantine ou reject)
- 13 %
- ont A ou B
Ce qui ressort
56,7 % des domaines notés publient une politique DMARC et 43,3 % l’appliquent. Pour les autres, un e-mail falsifié au nom de l’administration, adressé à des usagers ou à d’autres administrations, est en général distribué.
Côté sites : 63,8 % ont un certificat valide et 77,3 % renvoient les visiteurs de HTTP vers HTTPS ; 33,3 % utilisent HSTS d’au moins six mois et 51,9 % envoient les en-têtes de protection de base.
DNSSEC est rare : 3,8 % des domaines notés de l’État sont signés, contre 22,1 % de ceux des communes. 18,5 % publient un enregistrement CAA.
Les préfectures, aux réglages presque tous identiques, ont en moyenne 67 : toutes appliquent DMARC, mais aucune n’utilise HSTS, si bien qu’aucune n’atteint A ou B.
409 domaines actifs n’ont pas de site à eux : 159 renvoient vers un autre site, 250 ne servent qu’à la messagerie. 63,3 % d’entre eux n’appliquent pas DMARC : un e-mail falsifié à leur nom est distribué.
18,5 % des domaines actifs de l’État sont hors du .gouv.fr, l’extension réservée à l’État.
Notes
Chaque domaine qui a un site à lui reçoit une note : la part des neuf contrôles ci-dessous qu’il réussit, parmi ceux qui le concernent (la note de nos autres études, sans le contrôle de l’adresse de contact, que les listes ne donnent pas). 660 domaines sont notés ; la moyenne est de 46 sur 100, la médiane de 44.
A : 90 ou plus · B : 75 · C : 60 · D : 40 · E : 20 · F : moins de 20
371 des 1 440 domaines inscrits sont inactifs (13 absents du DNS, 358 sans site en service ni serveur de messagerie) et écartés.
Contrôle par contrôle
Part des domaines notés qui réussissent chaque contrôle, parmi ceux qu’il concerne.
Site web
- Certificat HTTPS valide63,8 %
Le site répond en HTTPS avec un certificat en cours de validité, émis pour son nom et reconnu par les navigateurs. 421 sur 660.
- HTTP renvoie vers HTTPS77,3 %
Quelqu’un qui tape l’adresse arrive sur le site chiffré, et non sur une page que n’importe qui sur le réseau peut lire ou modifier. 510 sur 660.
- HSTS d’au moins six mois33,3 %
Les navigateurs retiennent qu’il faut utiliser HTTPS : la première requête non chiffrée ne peut pas être détournée. 180 sur 541.
- En-têtes de protection de base51,9 %
X-Content-Type-Options: nosniff, et une protection contre l’affichage du site dans le cadre d’un autre site (X-Frame-Options ou frame-ancestors dans la CSP). 281 sur 541.
DNS
- DNSSEC3,8 %
Les réponses DNS du domaine sont signées : on ne peut pas faire croire à un résolveur que le site ou la messagerie de l’administration sont ailleurs. 25 sur 660.
- Enregistrement CAA18,5 %
Le domaine désigne les autorités de certification autorisées à émettre des certificats à son nom. 122 sur 660.
- SPF strict56,2 %
Le domaine liste les serveurs autorisés à envoyer son courrier et demande de rejeter ou de signaler les autres (-all ou ~all). 371 sur 660.
- Enregistrement DMARC56,7 %
Le domaine publie une politique DMARC, la norme qui relie SPF et DKIM à l’expéditeur affiché. 374 sur 660.
- DMARC appliqué43,3 %
La politique est quarantine ou reject : un message falsifié au nom de l’administration, adressé à des usagers par exemple, part en indésirables ou est refusé, au lieu d’être distribué. 286 sur 660.
Par catégorie
Les catégories de moins de dix domaines notés ne sont pas détaillées, pour qu’aucun ne puisse être reconnu. La plupart des domaines d’ambassade renvoient vers un site sur un autre domaine : ils sont comptés parmi les domaines sans site à eux.
| Groupe | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|
| Préfectures | 94 | 67 | 0 % | 100 % | 71 |
| Académies | 34 | 65 | 29,4 % | 32,4 % | 67 |
| Ambassades | 2 | – | |||
| Ministères | 14 | 56 | 14,3 % | 14,3 % | – |
| Santé | 2 | – | |||
| Autres domaines du Gouvernement (liste de la DINUM) | 465 | 39 | 14,4 % | 36,1 % | 44 |
| Autres sites de l’Observatoire de l’écosystème numérique de l’État | 49 | 49 | 12,2 % | 18,4 % | 44 |
Selon le type de site
Les types de site de l’Observatoire, pour les domaines qu’il recense.
| Groupe | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|
| Sites institutionnels | 175 | 65 | 13,1 % | 74,9 % | 71 |
| Démarches en ligne | 21 | 65 | 52,4 % | 57,1 % | – |
| Sites thématiques | 51 | 53 | 17,6 % | 31,4 % | 56 |
| Autres (données ouvertes, recrutement, événements…) | 34 | 56 | 23,5 % | 29,4 % | 56 |
Les domaines sans site à eux
Un domaine qui ne fait que renvoyer ailleurs, ou qui ne sert qu’à la messagerie, peut quand même servir à falsifier des e-mails au nom de l’État. Ces 409 domaines sont jugés sur leur DNS et leur messagerie seulement.
- 409
- domaines (159 renvoient vers un autre site, 250 messagerie seule)
- 63,3 %
- n’appliquent pas DMARC
- 43,3 %
- enregistrement DMARC
- 28
- note moyenne (DNS et messagerie seulement)
Les indicateurs propres à l’État
- 18,5 %
- des domaines actifs hors du .gouv.fr
- 0,9 %
- des domaines inscrits absents du DNS
Comparaison avec nos autres études
Les mêmes contrôles dans nos études des communes, des collectivités, de l’enseignement supérieur et des domaines .fr (dernières éditions) : part des domaines notés qui réussissent chacun. Les communes et les collectivités comptent dix contrôles, les autres neuf.
| État (9 contrôles) | Communes (10 contrôles) | Collectivités (10 contrôles) | Enseignement supérieur (9 contrôles) | Domaines .fr (9 contrôles) | |
|---|---|---|---|---|---|
| Note moyenne | 46 | 47 | 60 | 64 | 32 |
| Certificat HTTPS valide | 63,8 % | 93,4 % | 98,7 % | 100 % | 59,1 % |
| HTTP renvoie vers HTTPS | 77,3 % | 86,4 % | 90,9 % | 95,2 % | 53,4 % |
| HSTS d’au moins six mois | 33,3 % | 28,3 % | 38,8 % | 46,1 % | 17,3 % |
| En-têtes de protection de base | 51,9 % | 26,1 % | 40,7 % | 57,5 % | 14,1 % |
| DNSSEC | 3,8 % | 22,1 % | 25,9 % | 12,7 % | 25,9 % |
| Enregistrement CAA | 18,5 % | 2,8 % | 2,6 % | 41 % | 1,2 % |
| SPF strict | 56,2 % | 85,9 % | 97,1 % | 93 % | 71,6 % |
| Enregistrement DMARC | 56,7 % | 45,2 % | 77,8 % | 86,9 % | 38,6 % |
| DMARC appliqué | 43,3 % | 19,2 % | 32,8 % | 45,4 % | 11,7 % |
Tableau d’honneur
3 domaines réussissent les neuf contrôles et n’ont aucun problème grave.
- douane.gouv.fr (Autres domaines du Gouvernement (liste de la DINUM))
- info.gouv.fr (Autres domaines du Gouvernement (liste de la DINUM))
- secnumacademie.gouv.fr (Autres domaines du Gouvernement (liste de la DINUM))
Les problèmes graves ont été signalés en privé
78 domaines ont un problème grave. Ils ne sont pas nommés ici : nous les avons signalés au CERT-FR de l’ANSSI avant la publication.
- Certificats expirés : 65
- Domaines dont les réponses DNS échouent : 13
Comment nous avons mesuré
Des contrôles passifs uniquement : la page d’accueil de chaque site en HTTP et en HTTPS et rien d’autre, les enregistrements DNS publics, un robot qui dit qui il est. Sources : la liste des noms de domaine des organismes publics de la DINUM et la liste des sites de l’Observatoire de l’écosystème numérique de l’État (Service d’information du Gouvernement), toutes deux sous Licence Ouverte 2.0.
Lire la méthodologie Télécharger les chiffres (JSON) Télécharger le rapport complet (PDF)
Vous pouvez réutiliser ces chiffres avec un lien vers cette page.