Perimetry Research

Comment nous mesurons

Perimetry Research publie des études sur la façon dont les organismes publics protègent leurs sites et leur messagerie. Chaque étude suit les mêmes règles.

Des contrôles passifs uniquement

Nous lisons ce que n’importe quel visiteur ou serveur de messagerie peut voir : les enregistrements DNS publics, l’enregistrement du domaine (RDAP), le certificat TLS, une requête sur la page d’accueil en HTTP (sa redirection est lue, pas suivie), et la page d’accueil en HTTPS (en suivant ses redirections, comme un navigateur). Rien d’autre n’est demandé au site. Quand un domaine publie une politique MTA-STS, son fichier de politique est lu aussi, comme le font les serveurs de messagerie.

Pas de balayage de ports, pas de recherche de sous-domaines, pas de tentative de connexion, pas de formulaire, pas de test de vulnérabilité. Le robot est lent exprès et répartit ses requêtes sur plusieurs heures.

Le robot

Il se présente comme PerimetryResearch/1.0 (+https://perimetry.cloud/research/methodology/). Si vous gérez un site qu’il a visité et préférez qu’il ne le fasse plus, écrivez à hello@perimetry.cloud : nous retirerons le domaine des prochaines éditions.

L’étude des communes françaises

Population étudiée : toutes les communes actuelles de l’API géographique de l’État, avec leur population et leur département. Pour chacune, la mairie principale dans l’annuaire officiel de l’administration (Service-Public.fr, publié par la DILA sous Licence Ouverte 2.0), son site web et son adresse e-mail.

Un domaine est propre à la commune quand aucune autre commune ne l’utilise. Les sites hébergés sur une plateforme (un créateur de sites, un portail mutualisé, une adresse d’hébergeur) sont notés en tant que plateformes, pas en tant que communes ; une page d’un site de l’État donnée comme site de la commune ne compte pas comme son site ; les sites partagés par plusieurs communes (un site intercommunal, par exemple) et les pages de réseaux sociaux sont comptés mais pas notés. Une adresse chez Orange, Wanadoo, Gmail, un fournisseur d’accès local ou un fournisseur semblable compte comme messagerie grand public.

Un certificat compte comme valide s’il est en cours de validité, émis pour le nom du site et non auto-signé ; une chaîne incomplète, que les navigateurs complètent d’eux-mêmes, n’est pas reprochée au site. Une réponse que nous n’avons pas pu obtenir (un site qui ne répond pas du tout, une requête DNS qui échoue) est écartée de la note au lieu de compter comme un échec.

Chaque commune qui a un domaine à elle reçoit une note sur 100 : la part des contrôles ci-dessous qu’elle réussit, parmi ceux qui la concernent. Les contrôles du site ne s’appliquent que si le site est sur le propre domaine de la commune ; ceux de la messagerie portent sur son domaine de messagerie quand elle en a un, sur le domaine de son site sinon. Une commune doit avoir au moins trois contrôles applicables pour être notée. Notes : A à partir de 90, B à partir de 75, C de 60, D de 40, E de 20, F en dessous.

Corrigé le 8 novembre 2026. Quand le certificat d’un site a pu être lu mais pas sa page d’accueil (délai dépassé ou connexion coupée, souvent un site qui refuse les robots), HSTS et les en-têtes de protection comptaient comme échoués, alors que la règle ci-dessus écarte une réponse que nous n’avons pas pu obtenir. Ils sont désormais écartés (une boucle de redirection et un site sans HTTPS les font toujours échouer). L’édition de novembre 2026 a été recalculée : 137 communes sont concernées ; la moyenne nationale reste de 47 sur 100 ; 31 communes gagnent une lettre, 16 de D à C et 15 de C à B (B : 1 172 → 1 187, C : 6 033 → 6 034, D : 9 864 → 9 848) ; HSTS passe de 28,1 % à 28,3 % et les en-têtes de 25,9 % à 26,1 % des sites concernés ; les moyennes des communes de 100 000 habitants et plus (65 → 66), de moins de 1 000 (43 → 44) et de neuf départements gagnent un point. Le tableau d’honneur et les meilleures de chaque tranche ne changent pas.

L’étude des intercommunalités, départements et régions

Population étudiée : toutes les intercommunalités à fiscalité propre de la liste officielle de l’API géographique de l’État (geo.api.gouv.fr, Licence Ouverte 2.0), rapprochées par leur numéro SIREN de leur fiche dans l’annuaire officiel de l’administration (Service-Public.fr, DILA, Licence Ouverte 2.0), le même fichier que pour l’étude des communes ; tous les conseils départementaux et régionaux de cet annuaire ; les collectivités à statut particulier qu’il recense (Collectivité de Corse, Martinique, Guyane, Mayotte, Ville de Paris, Collectivité européenne d’Alsace, Métropole de Lyon) et les collectivités d’outre-mer qu’il recense (Wallis-et-Futuna n’en fait pas partie). Les fiches d’autres organismes (des syndicats, par exemple) sont écartées et comptées.

Deux apports de la BANATIC, la base nationale des intercommunalités (DGCL, data.gouv.fr, Licence Ouverte 2.0) : les onze établissements publics territoriaux du Grand Paris, une catégorie à part (leur site est celui de l’annuaire quand il les recense, sinon leur site officiel dans Wikidata, CC0) ; et les intercommunalités créées au 1er janvier par une fusion, que l’API géographique ne recense pas encore : elles sont étudiées telles que l’annuaire les recense, avec le nom, la catégorie, la population et le nombre de communes de la BANATIC, et signalées comme fusions récentes ; les anciennes intercommunalités qu’elles remplacent sont écartées.

Catégories : métropoles, communautés urbaines, communautés d’agglomération et communautés de communes (d’après leur nom officiel), établissements publics territoriaux, départements, régions, collectivités à statut particulier et collectivités d’outre-mer. La population et le nombre de communes viennent de l’API géographique (le Rhône sans la Métropole de Lyon), ou de la BANATIC pour les organismes qu’elle seule recense.

Le site web et l’adresse e-mail sont ceux de l’annuaire. Les règles sont celles de l’étude des communes : un domaine utilisé par deux collectivités de l’étude est partagé et n’est pas noté ; un site sur une plateforme est noté comme celui de la plateforme ; une page d’un site de l’État ne compte pas. Une intercommunalité dont le site est une page du site d’une commune membre, ou dont l’adresse est sur un domaine depuis lequel écrit une commune extérieure, n’est pas notée sur le domaine de cette commune ; celle dont le site est à la racine d’un domaine qu’elle partage avec une commune (la ville et sa métropole, par exemple) est notée sur ce domaine, qui sert aux deux.

Les dix mêmes contrôles, la même note et les mêmes lettres que l’étude des communes : les deux études se comparent. Quand la page d’accueil n’a pas pu être lue en HTTPS (délai dépassé, connexion coupée, souvent un site qui refuse les robots), HSTS et les en-têtes de protection sont inconnus et écartés de la note ; une boucle de redirection les fait toujours échouer, car les visiteurs n’atteignent pas le site non plus. Une collectivité dont la page d’accueil n’a pas pu être lue n’est jamais nommée.

Petits groupes : une catégorie, une tranche de population ou une région n’est pas détaillée en dessous de dix collectivités notées, et les groupes non détaillés doivent compter ensemble au moins dix collectivités notées (sinon les plus petits groupes détaillés sont masqués aussi, ou, pour les catégories, les catégories masquées sont retirées des totaux), pour qu’aucun chiffre ne se déduise par soustraction. En dessous de trente collectivités notées, une catégorie ne nomme que son tableau d’honneur, jamais ses meilleures, et ne publie ni histogramme des notes ni quartiles : avec quatorze régions, en nommer sept et montrer la répartition des notes dirait que les autres sont en dessous.

Pour chaque catégorie et chaque tranche d’au moins trente collectivités notées, l’édition publie aussi la répartition des notes (combien de collectivités ont une note dans chaque tranche de cinq points, une tranche de moins de trois étant fusionnée avec sa voisine, et les quartiles) : de quoi situer une collectivité parmi ses pairs, sans en nommer aucune.

Mutualisation : la part des mairies (lues dans le même annuaire) dont le site ou l’adresse e-mail est sur le propre domaine de leur intercommunalité.

L’étude des universités et établissements d’enseignement supérieur

Population étudiée : tous les établissements de la liste des principaux établissements d’enseignement supérieur publiée par le ministère de l’Enseignement supérieur et de la Recherche (« Principaux établissements d’enseignement supérieur », data.enseignementsup-recherche.gouv.fr, Licence Ouverte 2.0 ; la licence est vérifiée à chaque passage, et une autre l’arrête). La liste donne le type de chaque établissement, son secteur (public ou privé) et son site officiel ; quand elle n’en donne pas, le site officiel de Wikidata (P856, CC0) est utilisé, trouvé par l’identifiant Wikidata que donne la liste.

Catégories : les universités et les établissements que le ministère leur assimile (d’après sa typologie des universités), les autres grands établissements (d’après leur type), et les écoles, selon leur secteur et ce que dit leur nom : écoles d’ingénieurs publiques ; écoles publiques d’art, d’architecture et de culture ; autres établissements publics (écoles françaises à l’étranger, instituts d’études politiques, écoles vétérinaires…) ; écoles de commerce et de management privées ; écoles d’ingénieurs privées ; autres établissements privés.

Le domaine noté est celui du site. Un site sur le domaine d’un autre organisme (une école sur un sous-domaine de son université, la page d’un programme d’un groupe d’écoles, une page du site de sa tutelle) est compté, pas noté ; quand plusieurs établissements utilisent un même domaine, celui dont la page d’accueil est à sa racine en est le propriétaire ; des écoles sur des sous-domaines d’un domaine qui n’appartient à aucune d’elles (les écoles d’architecture sur archi.fr) le partagent et ne sont notées sur aucun.

La liste du ministère ne donne pas d’adresse de contact, et aucune n’est inventée : le contrôle de l’adresse de contact ne s’applique pas, la note compte donc neuf contrôles, et le tableau d’honneur demande les neuf. Les contrôles de la messagerie (SPF, DMARC) portent sur le domaine du site, dont l’édition compte aussi les serveurs de messagerie (MX).

Les mêmes contrôles, la même note et les mêmes lettres que les études des communes et des collectivités : les trois se comparent. Quand la page d’accueil n’a pas pu être lue en HTTPS (délai dépassé, connexion coupée, souvent un site qui refuse les robots), HSTS et les en-têtes de protection sont inconnus et écartés de la note ; un établissement dont la page d’accueil n’a pas pu être lue n’est jamais nommé.

Petits groupes : une catégorie, un secteur ou une région n’est pas détaillé en dessous de dix établissements notés, et les groupes non détaillés doivent compter ensemble au moins dix établissements notés (sinon les plus petits groupes détaillés sont masqués aussi, ou, pour les catégories, les catégories masquées sont retirées des totaux et de leur secteur), pour qu’aucun chiffre ne se déduise par soustraction. En dessous de trente établissements notés, une catégorie ne nomme que son tableau d’honneur, jamais ses meilleurs, et ne publie ni histogramme des notes ni quartiles.

Les meilleurs d’une catégorie ne sont nommés que dans les catégories d’au moins trente établissements notés (en novembre 2026, les universités et les écoles d’ingénieurs privées) ; les égalités de note sont départagées par le nombre de contrôles applicables, puis par le nombre d’inscrits que donne la liste du ministère. Les sept écoles d’architecture sur archi.fr, qui n’appartient à aucune d’elles, ne sont pas notées.

Un site que la liste du ministère donne à tort (un ancien domaine après une fusion, par exemple) est corrigé dans un fichier public de l’étude (research/universites/site-overrides.json), chaque correction avec sa source et sa date ; l’édition de novembre 2026 en corrige un : l’Université de Toulouse, inscrite avec l’ancien domaine de l’Université Toulouse III – Paul Sabatier (univ-tlse3.fr), est notée sur le domaine de son propre site (utoulouse.fr), vers lequel l’ancien redirige.

L’étude des domaines de l’État français

Population étudiée : les domaines de l’État de deux listes ouvertes, toutes deux sous Licence Ouverte 2.0. La première est la liste des noms de domaine des organismes publics de la DINUM (gitlab.adullact.net), ses types de l’État seulement : Gouvernement, Préfecture, Ministère, Académie, Ambassade et Santé (communes, collectivités, universités et hôpitaux ont leurs propres études). La seconde est la liste des sites de l’Observatoire de l’écosystème numérique de l’État publiée par le Service d’information du Gouvernement (data.gouv.fr, fichier « audience-liste-sites »), sans les sites qu’elle indique comme parqués. Chaque adresse est ramenée à son domaine enregistrable (interieur.gouv.fr est un domaine) ; un domaine présent dans plusieurs groupes compte une fois, dans le premier de : préfectures, académies, ambassades, ministères, santé, autres domaines du Gouvernement, autres sites de l’Observatoire. L’édition de novembre 2026 compte 1 440 domaines.

Un domaine est inactif, compté et écarté, quand il n’existe pas dans le DNS ou n’a ni site en service ni serveur de messagerie : beaucoup sont d’anciens domaines de campagnes ou d’organismes disparus, toujours inscrits.

Les notes, les catégories et les types de site sont ceux des domaines qui ont un site à eux. Les domaines actifs qui n’en ont pas (un site qui renvoie vers un autre domaine, ou un domaine qui ne sert qu’à la messagerie) ne peuvent être jugés que sur leur DNS et leur messagerie : ils sont présentés à part, pour ce qu’ils sont, des domaines au nom desquels on peut falsifier des e-mails tant que DMARC n’est pas appliqué. La plupart des domaines d’ambassade (ambafrance-xx.org) renvoient vers un site sur un autre domaine : ils sont comptés parmi eux, et les ambassades ont donc trop peu de domaines notés pour être détaillées.

Les contrôles, la note et les lettres de l’étude des communes, sans le contrôle de l’adresse de contact, que les listes ne donnent pas : neuf contrôles, comme dans les études de l’enseignement supérieur et des domaines .fr. Un domaine doit avoir trois contrôles applicables pour être noté ; un groupe n’est pas détaillé en dessous de dix domaines notés.

Le tableau d’honneur nomme les domaines qui réussissent les neuf contrôles et n’ont aucun problème grave ; aucun autre domaine n’est nommé. Les problèmes graves (un certificat expiré, des réponses DNS en échec, un domaine inscrit que n’importe qui pourrait enregistrer…) ont été signalés au CERT-FR de l’ANSSI avant la publication ; l’étude n’en donne que le nombre.

L’étude des domaines de l’État britannique

Population étudiée : les domaines de l’administration centrale britannique de listes ouvertes sous Open Government Licence v3.0. GOV.UK lui-même, le site unique des ministères et de la plupart de leurs organismes. Les domaines de la liste des noms de domaine en .gov.uk du Cabinet Office enregistrés pour une organisation de l’administration centrale : les dernières éditions de la liste ne donnent que les noms de domaine ; pour qui un domaine est enregistré est donc lu dans l’édition du 30 mars 2023, la dernière à l’indiquer, rapproché par son nom des organisations de GOV.UK, et le domaine n’est gardé que s’il figure encore dans la dernière édition (31 mars 2026). Et les sites des organisations de GOV.UK qui en gardent un à elles. Les collectivités locales (conseils, conseils de paroisse et de ville), la police et les pompiers sont écartés, comme l’étude française écarte communes et collectivités ; de même les entreprises publiques (la BBC, Channel 4…) et les organismes que GOV.UK classe en « autres » (la Banque d’Angleterre…).

Catégories : la classification des organisations de GOV.UK (ministères et départements non ministériels, agences exécutives, organismes publics non départementaux, cours et tribunaux, gouvernements dévolus, autres organismes centraux). Un domaine enregistré après mars 2023, ou pour un nom différent de celui de l’organisation sur GOV.UK, ne peut pas être classé et n’est pas dans l’étude : la liste est complète pour les sites propres des organismes, pas pour chaque domaine en .gov.uk de l’administration centrale.

Tout le reste suit l’étude de l’État français : domaines inactifs comptés et écartés, chiffres principaux sur les domaines qui ont un site à eux, domaines sans site présentés à part, neuf contrôles, trois applicables pour être noté, groupes d’au moins dix domaines notés, seuls les domaines qui réussissent les neuf contrôles nommés. Les problèmes graves sont signalés au NCSC avant la publication ; l’étude n’en donne que le nombre.

L’étude des domaines .fr actifs

Population étudiée : les domaines .fr des données ouvertes de l’Afnic, le registre du .fr (fichier A, « Noms de domaine en .fr », Licence Ouverte), encore enregistrés, en .fr simple (pas asso.fr, com.fr ni semblables) et non internationalisés. Le fichier ne donne le type de titulaire que pour très peu de domaines, les données des titulaires étant protégées : les quelques domaines indiqués comme détenus par une personne physique, ou par un titulaire hors de France, sont écartés ; tous les autres sont gardés. L’édition de novembre 2026 part du fichier de septembre 2026 : 4 633 263 domaines retenus.

Un échantillon aléatoire de 20 000 d’entre eux est mesuré, tiré de nouveau à l’identique à partir de la graine de l’édition. Avec un échantillon de cette taille, une part mesurée sur l’ensemble est à environ un point près de la part parmi tous les domaines retenus (confiance de 95 %) ; pour un groupe, la marge grandit à mesure que le groupe est petit.

Comme le titulaire est inconnu pour la plupart des domaines, l’étude ne peut pas distinguer le domaine d’une entreprise de celui d’une association ou d’un particulier. C’est pourquoi elle ne nomme jamais un domaine, pas même les bons élèves : elle ne publie que des moyennes.

Un domaine est inactif, compté et écarté, quand il n’existe pas dans le DNS ou n’a ni site en service ni serveur de messagerie : une page parking ou une page d’attente d’hébergeur n’est pas un site en service. Le site est lu sur le domaine lui-même, puis sur www quand le domaine lui-même n’a pas de site. Un domaine dont le site renvoie vers un autre domaine (un alias de l’adresse principale d’une marque, par exemple) est noté sur son DNS et sa messagerie seulement, son site étant celui d’un autre.

Les contrôles, la note et les lettres de l’étude des communes, sans le contrôle de l’adresse de contact, qu’un domaine seul ne donne pas : neuf contrôles, comme dans l’étude de l’enseignement supérieur. Un domaine doit avoir trois contrôles applicables pour être noté.

Groupes : par âge (d’après la date de création du fichier de l’Afnic), par fournisseur de messagerie (d’après le nom des serveurs de messagerie, MX, du domaine : Microsoft 365, Google Workspace, OVHcloud, un autre fournisseur, aucun) et par type de site (d’après la page d’accueil : WordPress, un créateur de sites, un autre type de site, pas de site à lui). OVHcloud installe par défaut ses serveurs de messagerie sur une grande partie des domaines enregistrés chez lui : son groupe mêle des messageries en service et des réglages laissés tels quels. Les bureaux d’enregistrement ne sont pas publiés.

Uniquement les bons élèves

Nous nommons les communes qui font bien (le tableau d’honneur et les meilleures de chaque tranche de population), jamais celles qui font mal, et jamais une commune qui a un problème grave, quelle que soit sa note. Tout le reste est publié en moyennes : par taille de commune et par département, où un département de moins de dix communes notées n’est pas détaillé, pour qu’aucune d’elles ne puisse être reconnue.

Les plateformes de sites sont notées sur un échantillon de cinq sites de communes au plus : un contrôle compte comme réussi quand la majorité de l’échantillon le réussit.

Les problèmes graves sont signalés en privé

Certains constats pourraient servir tout de suite contre une commune : un domaine inscrit dans l’annuaire officiel qui n’existe plus (n’importe qui pourrait l’enregistrer), un domaine que le registre est en train de supprimer, un certificat expiré, un enregistrement SPF qui permet à n’importe qui d’envoyer du courrier en son nom. Ils ne sont jamais publiés. Nous prévenons d’abord la commune, discrètement, et nous les comptons dans l’étude sans nommer personne.

Limites

Chaque édition est une photographie prise en quelques heures. L’annuaire peut être en retard ou erroné ; nous l’utilisons tel qu’il est publié. Les clés DKIM ne sont cherchées que sur les sélecteurs courants : elles ne sont donc pas notées. Un site derrière un service de protection peut répondre à un robot autrement qu’à un visiteur. Les serveurs de messagerie ne sont pas testés (STARTTLS demande le port 25, que l’infrastructure de l’étude ne peut pas joindre).

Réutilisation

Les chiffres de chaque édition se téléchargent en JSON depuis la page de l’étude. Vous pouvez les réutiliser avec un lien vers l’étude. L’annuaire d’origine reste sous Licence Ouverte 2.0 (source : Service-Public.fr, DILA).

Les dix contrôles de l’étude des communes