Perimetry Research · édition de novembre 2026
L’État britannique protège‑t‑il bien ses sites et sa messagerie ?
Nous avons mesuré les 497 domaines de l’administration centrale britannique de listes ouvertes : GOV.UK lui-même, les domaines en .gov.uk enregistrés pour les ministères, agences, organismes publics et gouvernements dévolus, et les sites des organismes qui en gardent un à eux. 463 sont actifs ; les 236 qui ont un site à eux sont notés, avec les mêmes contrôles passifs que notre étude de l’État français et que Perimetry Cloud, et les 227 qui n’en ont pas sont présentés à part.
Télécharger le rapport complet (PDF) Constats, graphiques, tous les tableaux, la comparaison avec l’État français, des recommandations et la méthodologie.
- 236
- domaines avec un site à eux, notés
- 54
- note moyenne sur 100
- 74,6 %
- appliquent DMARC (quarantine ou reject)
- 30,1 %
- ont A ou B
Ce qui ressort
84,3 % des domaines notés publient une politique DMARC et 74,6 % l’appliquent (l’État français : 43,3 %). Pour les autres, un e-mail falsifié au nom de l’administration est en général distribué.
Côté sites : 67,4 % ont un certificat valide et 75 % renvoient les visiteurs de HTTP vers HTTPS ; 42,1 % utilisent HSTS d’au moins six mois et 47,8 % envoient les en-têtes de protection de base.
3,8 % des domaines notés sont signés avec DNSSEC (l’État français : 3,8 %) ; 4,7 % publient un enregistrement CAA.
Sur les mêmes neuf contrôles, l’État britannique a en moyenne 54 sur 100, l’État français 46.
227 domaines actifs n’ont pas de site à eux : 129 renvoient vers un autre site, 98 ne servent qu’à la messagerie. 33,9 % d’entre eux n’appliquent pas DMARC : un e-mail falsifié à leur nom est distribué.
25,5 % des domaines actifs sont hors du .gov.uk, surtout les sites d’organismes publics (.org.uk, .co.uk…).
Notes
Chaque domaine qui a un site à lui reçoit une note : la part des neuf contrôles ci-dessous qu’il réussit, parmi ceux qui le concernent (la note de nos autres études, sans le contrôle de l’adresse de contact, que les listes ne donnent pas). 236 domaines sont notés ; la moyenne est de 54 sur 100, la médiane de 56.
A : 90 ou plus · B : 75 · C : 60 · D : 40 · E : 20 · F : moins de 20
34 des 497 domaines inscrits sont inactifs (1 absents du DNS, 33 sans site en service ni serveur de messagerie) et écartés.
Contrôle par contrôle
Part des domaines notés qui réussissent chaque contrôle, parmi ceux qu’il concerne.
Site web
- Certificat HTTPS valide67,4 %
Le site répond en HTTPS avec un certificat en cours de validité, émis pour son nom et reconnu par les navigateurs. 159 sur 236.
- HTTP renvoie vers HTTPS75 %
Quelqu’un qui tape l’adresse arrive sur le site chiffré, et non sur une page que n’importe qui sur le réseau peut lire ou modifier. 177 sur 236.
- HSTS d’au moins six mois42,1 %
Les navigateurs retiennent qu’il faut utiliser HTTPS : la première requête non chiffrée ne peut pas être détournée. 96 sur 228.
- En-têtes de protection de base47,8 %
X-Content-Type-Options: nosniff, et une protection contre l’affichage du site dans le cadre d’un autre site (X-Frame-Options ou frame-ancestors dans la CSP). 109 sur 228.
DNS
- DNSSEC3,8 %
Les réponses DNS du domaine sont signées : on ne peut pas faire croire à un résolveur que le site ou la messagerie de l’administration sont ailleurs. 9 sur 236.
- Enregistrement CAA4,7 %
Le domaine désigne les autorités de certification autorisées à émettre des certificats à son nom. 11 sur 236.
- SPF strict85,6 %
Le domaine liste les serveurs autorisés à envoyer son courrier et demande de rejeter ou de signaler les autres (-all ou ~all). 202 sur 236.
- Enregistrement DMARC84,3 %
Le domaine publie une politique DMARC, la norme qui relie SPF et DKIM à l’expéditeur affiché. 199 sur 236.
- DMARC appliqué74,6 %
La politique est quarantine ou reject : un message falsifié au nom de l’administration, adressé à des usagers par exemple, part en indésirables ou est refusé, au lieu d’être distribué. 176 sur 236.
Par catégorie
La classification des organisations de GOV.UK. Les catégories de moins de dix domaines notés ne sont pas détaillées, pour qu’aucun ne puisse être reconnu.
| Groupe | Notés | Moyenne | A ou B | DMARC appliqué | Médiane |
|---|---|---|---|---|---|
| GOV.UK | 1 | – | |||
| Ministères | 61 | 36 | 6,6 % | 70,5 % | 33 |
| Départements non ministériels | 15 | 54 | 46,7 % | 73,3 % | – |
| Agences exécutives | 22 | 52 | 27,3 % | 77,3 % | – |
| Organismes publics (non départementaux) | 116 | 65 | 42,2 % | 83,6 % | 67 |
| Cours et tribunaux | 2 | – | |||
| Gouvernements dévolus | 12 | 40 | 25 % | 33,3 % | – |
| Autres organismes centraux | 7 | – | |||
Les domaines sans site à eux
Un domaine qui ne fait que renvoyer ailleurs (vers GOV.UK, souvent), ou qui ne sert qu’à la messagerie, peut quand même servir à falsifier des e-mails au nom de l’administration. Ces 227 domaines sont jugés sur leur DNS et leur messagerie seulement.
- 227
- domaines (129 renvoient vers un autre site, 98 messagerie seule)
- 33,9 %
- n’appliquent pas DMARC
- 84,1 %
- enregistrement DMARC
- 47
- note moyenne (DNS et messagerie seulement)
Les indicateurs propres à l’État
- 25,5 %
- des domaines actifs hors du .gov.uk
- 0,2 %
- des domaines inscrits absents du DNS
Comparaison avec l’État français et nos autres études
Les mêmes contrôles dans nos études de l’État français, des communes, des collectivités, de l’enseignement supérieur et des domaines .fr (dernières éditions) : part des domaines notés qui réussissent chacun. Les communes et les collectivités comptent dix contrôles, les autres neuf. Une étude comparant les approches des deux États suivra.
Vous utilisiez Mail Check ou Web Check ? Ce que Perimetry Cloud fait à leur place
| Royaume-Uni (9 contrôles) | État français (9 contrôles) | Communes (10 contrôles) | Collectivités (10 contrôles) | Enseignement supérieur (9 contrôles) | Domaines .fr (9 contrôles) | |
|---|---|---|---|---|---|---|
| Note moyenne | 54 | 46 | 47 | 60 | 64 | 32 |
| Certificat HTTPS valide | 67,4 % | 63,8 % | 93,4 % | 98,7 % | 100 % | 59,1 % |
| HTTP renvoie vers HTTPS | 75 % | 77,3 % | 86,4 % | 90,9 % | 95,2 % | 53,4 % |
| HSTS d’au moins six mois | 42,1 % | 33,3 % | 28,3 % | 38,8 % | 46,1 % | 17,3 % |
| En-têtes de protection de base | 47,8 % | 51,9 % | 26,1 % | 40,7 % | 57,5 % | 14,1 % |
| DNSSEC | 3,8 % | 3,8 % | 22,1 % | 25,9 % | 12,7 % | 25,9 % |
| Enregistrement CAA | 4,7 % | 18,5 % | 2,8 % | 2,6 % | 41 % | 1,2 % |
| SPF strict | 85,6 % | 56,2 % | 85,9 % | 97,1 % | 93 % | 71,6 % |
| Enregistrement DMARC | 84,3 % | 56,7 % | 45,2 % | 77,8 % | 86,9 % | 38,6 % |
| DMARC appliqué | 74,6 % | 43,3 % | 19,2 % | 32,8 % | 45,4 % | 11,7 % |
Tableau d’honneur
2 domaines réussissent les neuf contrôles et n’ont aucun problème grave.
- officeforstudents.org.uk (Organismes publics (non départementaux))
- thenational.academy (Organismes publics (non départementaux))
Les problèmes graves ont été signalés en privé
5 domaines ont un problème grave. Ils ne sont pas nommés ici : nous les signalons au NCSC avant la publication.
- Domaines dont les réponses DNS échouent : 1
- Enregistrements SPF qui laissent n’importe qui écrire au nom du domaine : 1
- Certificats expirés : 3
Comment nous avons mesuré
Des contrôles passifs uniquement : la page d’accueil de chaque site en HTTP et en HTTPS et rien d’autre, les enregistrements DNS publics, un robot qui dit qui il est. Sources : la liste des noms de domaine en .gov.uk du Cabinet Office et les organisations de GOV.UK, toutes deux sous Open Government Licence v3.0.
Lire la méthodologie Télécharger les chiffres (JSON) Télécharger le rapport complet (PDF)
Vous pouvez réutiliser ces chiffres avec un lien vers cette page. Contient des informations du secteur public britannique sous Open Government Licence v3.0.