Perimetry Research · édition de novembre 2026
Les collectivités allemandes protègent‑elles bien leurs sites et leur messagerie ?
Nous avons mesuré les sites et la messagerie des 411 Landkreise, villes-arrondissements (kreisfreie Städte) et Länder allemands, le niveau qui correspond aux départements, grandes intercommunalités et régions françaises. 387 ont un site à eux et sont notés, avec les mêmes contrôles passifs que nos études françaises et que Perimetry Cloud. Les communes (Gemeinden) feront l’objet d’une autre étude.
Télécharger le rapport complet (PDF) Constats, graphiques, tous les tableaux, la comparaison avec nos autres études, des recommandations et la méthodologie.
- 387
- domaines avec un site à eux, notés
- 62
- note moyenne sur 100
- 41,1 %
- appliquent DMARC (quarantine ou reject)
- 32,3 %
- ont A ou B
Ce qui ressort
73,6 % des domaines notés publient une politique DMARC et 41,1 % l’appliquent (collectivités françaises : 32,8 % ; councils britanniques : 95,5 %). Quand il n’est pas appliqué, un e-mail falsifié au nom de la collectivité, adressé aux habitants par exemple, est en général distribué.
Côté sites : 96,4 % ont un certificat valide et 92 % renvoient les visiteurs de HTTP vers HTTPS ; 74,3 % utilisent HSTS d’au moins six mois et 68,6 % envoient les en-têtes de protection de base.
15 % des domaines notés sont signés avec DNSSEC ; 12,4 % publient un enregistrement CAA.
La comparaison avec les collectivités françaises, contrôle par contrôle et niveau par niveau, a sa propre page.
23 domaines actifs n’ont pas de site à eux (13 renvoient vers un autre site, 10 ne servent qu’à la messagerie) ; ils sont jugés sur leur DNS et leur messagerie seulement et laissés hors des notes.
Notes
Chaque domaine qui a un site à lui reçoit une note : la part des neuf contrôles ci-dessous qu’il réussit, parmi ceux qui le concernent. 387 domaines sont notés ; la moyenne est de 62 sur 100, la médiane de 67.
A : 90 ou plus · B : 75 · C : 60 · D : 40 · E : 20 · F : moins de 20
Quand un site répond à notre robot par une page d’erreur (souvent un filtre qui écarte les réseaux de centres de données), son certificat et sa redirection HTTP restent notés, mais pas ses en-têtes, qui seraient ceux du filtre.
Contrôle par contrôle
Part des domaines notés qui réussissent chaque contrôle, parmi ceux qu’il concerne.
Site web
- Certificat HTTPS valide96,4 %
Le site répond en HTTPS avec un certificat en cours de validité, émis pour son nom et reconnu par les navigateurs. 373 sur 387.
- HTTP renvoie vers HTTPS92 %
Quelqu’un qui tape l’adresse arrive sur le site chiffré, et non sur une page que n’importe qui sur le réseau peut lire ou modifier. 356 sur 387.
- HSTS d’au moins six mois74,3 %
Les navigateurs retiennent qu’il faut utiliser HTTPS : la première requête non chiffrée ne peut pas être détournée. 272 sur 366.
- En-têtes de protection de base68,6 %
X-Content-Type-Options: nosniff, et une protection contre l’affichage du site dans le cadre d’un autre site (X-Frame-Options ou frame-ancestors dans la CSP). 251 sur 366.
DNS
- DNSSEC15 %
Les réponses DNS du domaine sont signées : on ne peut pas faire croire à un résolveur que le site ou la messagerie de l’administration sont ailleurs. 58 sur 387.
- Enregistrement CAA12,4 %
Le domaine désigne les autorités de certification autorisées à émettre des certificats à son nom. 48 sur 387.
- SPF strict88,6 %
Le domaine liste les serveurs autorisés à envoyer son courrier et demande de rejeter ou de signaler les autres (-all ou ~all). 343 sur 387.
- Enregistrement DMARC73,6 %
Le domaine publie une politique DMARC, la norme qui relie SPF et DKIM à l’expéditeur affiché. 285 sur 387.
- DMARC appliqué41,1 %
La politique est quarantine ou reject : un message falsifié au nom de l’administration, adressé à des usagers par exemple, part en indésirables ou est refusé, au lieu d’être distribué. 159 sur 387.
Par catégorie
Les catégories de moins de dix domaines notés ne sont pas détaillées, pour qu’aucun ne puisse être reconnu.
| Groupe | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|
| Landkreise (arrondissements) | 274 | 62 | 31,8 % | 40,1 % | 67 |
| Kreisfreie Städte (villes-arrondissements) | 100 | 63 | 31 % | 44 % | 67 |
| Länder (États fédérés) | 13 | 71 | 53,8 % | 38,5 % | – |
Comparaison avec nos autres études
Les mêmes contrôles dans nos autres études (dernières éditions) : part des domaines notés qui réussissent chacun. Les collectivités françaises comptent dix contrôles, les autres neuf.
| Collectivités allemandes (9 contrôles) | Councils britanniques (9 contrôles) | Collectivités françaises (10 contrôles) | État français (9 contrôles) | |
|---|---|---|---|---|
| Note moyenne | 62 | 69 | 60 | 46 |
| Certificat HTTPS valide | 96,4 % | 98,1 % | 98,7 % | 63,8 % |
| HTTP renvoie vers HTTPS | 92 % | 85,5 % | 90,9 % | 77,3 % |
| HSTS d’au moins six mois | 74,3 % | 57 % | 38,8 % | 33,3 % |
| En-têtes de protection de base | 68,6 % | 74,3 % | 40,7 % | 51,9 % |
| DNSSEC | 15 % | 1,9 % | 25,9 % | 3,8 % |
| Enregistrement CAA | 12,4 % | 11,4 % | 2,6 % | 18,5 % |
| SPF strict | 88,6 % | 100 % | 97,1 % | 56,2 % |
| Enregistrement DMARC | 73,6 % | 99,4 % | 77,8 % | 56,7 % |
| DMARC appliqué | 41,1 % | 95,5 % | 32,8 % | 43,3 % |
Tableau d’honneur
7 collectivités réussissent les neuf contrôles et n’ont aucun problème grave.
- Bayern (Länder (États fédérés))
- Hamburg (Länder (États fédérés))
- Landkreis Haßberge (Landkreise (arrondissements))
- Heilbronn (Kreisfreie Städte (villes-arrondissements))
- Ingolstadt (Kreisfreie Städte (villes-arrondissements))
- Kreis Plön (Landkreise (arrondissements))
- Landkreis Teltow-Fläming (Landkreise (arrondissements))
Votre organisme fait-il partie de cette étude ?
Demandez sa page privée : sa note, les contrôles de l’étude et sa place face aux organismes comparables. Le lien n’est envoyé qu’à une adresse sur le domaine de votre organisme ; rien d’autre ne suit.
Les problèmes graves ont été signalés en privé
1 domaine a un problème grave. Il n’est pas nommé ici : nous l’avons dit en privé à la collectivité avant la publication.
- Certificats expirés : 1
Comment nous avons mesuré
Des contrôles passifs uniquement : la page d’accueil de chaque site en HTTP et en HTTPS et rien d’autre, les enregistrements DNS publics, un robot qui dit qui il est. Source : Wikidata (CC0) pour la liste, la clé officielle (AGS) et le site officiel de chaque collectivité.
Lire la méthodologie Télécharger les chiffres (JSON) Télécharger le rapport complet (PDF)
Vous pouvez réutiliser ces chiffres avec un lien vers cette page. Liste tirée de Wikidata (CC0).