Perimetry Research · édition de novembre 2026
Les councils britanniques protègent‑ils bien leurs sites et leur messagerie ?
Nous avons mesuré les sites et la messagerie des 366 domaines des councils du Royaume-Uni : comtés, districts, districts métropolitains, autorités unitaires et arrondissements de Londres en Angleterre, conseils du pays de Galles, d’Écosse et d’Irlande du Nord. 359 ont un site à eux et sont notés, avec les mêmes contrôles passifs que nos études des États français et britannique et que Perimetry Cloud.
Télécharger le rapport complet (PDF) Constats, graphiques, tous les tableaux, la comparaison avec nos autres études, des recommandations et la méthodologie.
- 359
- domaines avec un site à eux, notés
- 69
- note moyenne sur 100
- 95,5 %
- appliquent DMARC (quarantine ou reject)
- 35,9 %
- ont A ou B
Ce qui ressort
99,4 % des domaines notés publient une politique DMARC et 95,5 % l’appliquent (collectivités françaises : 32,8 % ; collectivités allemandes : 41,1 %). Quand il n’est pas appliqué, un e-mail falsifié au nom de la collectivité, adressé aux habitants par exemple, est en général distribué.
Côté sites : 98,1 % ont un certificat valide et 85,5 % renvoient les visiteurs de HTTP vers HTTPS ; 57 % utilisent HSTS d’au moins six mois et 74,3 % envoient les en-têtes de protection de base.
1,9 % des domaines notés sont signés avec DNSSEC ; 11,4 % publient un enregistrement CAA.
Sur les mêmes neuf contrôles, les councils ont en moyenne 69 sur 100, l’État britannique 54.
7 domaines actifs n’ont pas de site à eux (0 renvoient vers un autre site, 7 ne servent qu’à la messagerie) ; ils sont jugés sur leur DNS et leur messagerie seulement et laissés hors des notes.
Notes
Chaque domaine qui a un site à lui reçoit une note : la part des neuf contrôles ci-dessous qu’il réussit, parmi ceux qui le concernent. 359 domaines sont notés ; la moyenne est de 69 sur 100, la médiane de 67.
A : 90 ou plus · B : 75 · C : 60 · D : 40 · E : 20 · F : moins de 20
Quand un site répond à notre robot par une page d’erreur (souvent un filtre qui écarte les réseaux de centres de données), son certificat et sa redirection HTTP restent notés, mais pas ses en-têtes, qui seraient ceux du filtre.
Contrôle par contrôle
Part des domaines notés qui réussissent chaque contrôle, parmi ceux qu’il concerne.
Site web
- Certificat HTTPS valide98,1 %
Le site répond en HTTPS avec un certificat en cours de validité, émis pour son nom et reconnu par les navigateurs. 352 sur 359.
- HTTP renvoie vers HTTPS85,5 %
Quelqu’un qui tape l’adresse arrive sur le site chiffré, et non sur une page que n’importe qui sur le réseau peut lire ou modifier. 307 sur 359.
- HSTS d’au moins six mois57 %
Les navigateurs retiennent qu’il faut utiliser HTTPS : la première requête non chiffrée ne peut pas être détournée. 171 sur 300.
- En-têtes de protection de base74,3 %
X-Content-Type-Options: nosniff, et une protection contre l’affichage du site dans le cadre d’un autre site (X-Frame-Options ou frame-ancestors dans la CSP). 223 sur 300.
DNS
- DNSSEC1,9 %
Les réponses DNS du domaine sont signées : on ne peut pas faire croire à un résolveur que le site ou la messagerie de l’administration sont ailleurs. 7 sur 359.
- Enregistrement CAA11,4 %
Le domaine désigne les autorités de certification autorisées à émettre des certificats à son nom. 41 sur 359.
- SPF strict100 %
Le domaine liste les serveurs autorisés à envoyer son courrier et demande de rejeter ou de signaler les autres (-all ou ~all). 359 sur 359.
- Enregistrement DMARC99,4 %
Le domaine publie une politique DMARC, la norme qui relie SPF et DKIM à l’expéditeur affiché. 357 sur 359.
- DMARC appliqué95,5 %
La politique est quarantine ou reject : un message falsifié au nom de l’administration, adressé à des usagers par exemple, part en indésirables ou est refusé, au lieu d’être distribué. 343 sur 359.
Par catégorie
Les catégories de moins de dix domaines notés ne sont pas détaillées, pour qu’aucun ne puisse être reconnu.
| Groupe | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|
| Comtés (Angleterre) | 21 | 71 | 38,1 % | 95,2 % | – |
| Districts (Angleterre) | 154 | 69 | 33,8 % | 94,8 % | 67 |
| Districts métropolitains | 35 | 69 | 28,6 % | 97,1 % | 67 |
| Autorités unitaires (Angleterre) | 53 | 69 | 39,6 % | 96,2 % | 67 |
| Arrondissements de Londres et City de Londres | 33 | 73 | 51,5 % | 100 % | 78 |
| Conseils du pays de Galles | 21 | 66 | 23,8 % | 95,2 % | – |
| Conseils écossais | 31 | 69 | 32,3 % | 96,8 % | 67 |
| Conseils d’Irlande du Nord | 11 | 75 | 54,5 % | 81,8 % | – |
Comparaison avec nos autres études
Les mêmes contrôles dans nos autres études (dernières éditions) : part des domaines notés qui réussissent chacun. Les collectivités françaises comptent dix contrôles, les autres neuf.
| Councils britanniques (9 contrôles) | Collectivités allemandes (9 contrôles) | Collectivités françaises (10 contrôles) | État britannique (9 contrôles) | |
|---|---|---|---|---|
| Note moyenne | 69 | 62 | 60 | 54 |
| Certificat HTTPS valide | 98,1 % | 96,4 % | 98,7 % | 67,4 % |
| HTTP renvoie vers HTTPS | 85,5 % | 92 % | 90,9 % | 75 % |
| HSTS d’au moins six mois | 57 % | 74,3 % | 38,8 % | 42,1 % |
| En-têtes de protection de base | 74,3 % | 68,6 % | 40,7 % | 47,8 % |
| DNSSEC | 1,9 % | 15 % | 25,9 % | 3,8 % |
| Enregistrement CAA | 11,4 % | 12,4 % | 2,6 % | 4,7 % |
| SPF strict | 100 % | 88,6 % | 97,1 % | 85,6 % |
| Enregistrement DMARC | 99,4 % | 73,6 % | 77,8 % | 84,3 % |
| DMARC appliqué | 95,5 % | 41,1 % | 32,8 % | 74,6 % |
Tableau d’honneur
1 councils réussissent les neuf contrôles et n’ont aucun problème grave.
- Newry, Mourne and Down District Council (Conseils d’Irlande du Nord)
Votre organisme fait-il partie de cette étude ?
Demandez sa page privée : sa note, les contrôles de l’étude et sa place face aux organismes comparables. Le lien n’est envoyé qu’à une adresse sur le domaine de votre organisme ; rien d’autre ne suit.
Les problèmes graves ont été signalés en privé
2 domaines ont un problème grave. Ils ne sont pas nommés ici : nous l’avons dit en privé aux collectivités avant la publication.
- Certificats expirés : 2
Comment nous avons mesuré
Des contrôles passifs uniquement : la page d’accueil de chaque site en HTTP et en HTTPS et rien d’autre, les enregistrements DNS publics, un robot qui dit qui il est. Sources : les noms et codes des autorités locales britanniques de mySociety (CC BY 4.0) pour la liste, les fiches des autorités locales de GOV.UK (Open Government Licence v3.0) pour le site de chaque council.
Lire la méthodologie Télécharger les chiffres (JSON) Télécharger le rapport complet (PDF)
Vous pouvez réutiliser ces chiffres avec un lien vers cette page. Contient des données de mySociety (CC BY 4.0) et des informations du secteur public britannique sous Open Government Licence v3.0.