En-têtes de sécurité HTTP de 500 sites d'administrations publiques françaises (août 2026)

Relevé reproductible de six en-têtes de réponse HTTP de sécurité largement recommandés, sur un échantillon systématique de 500 sites web déclarés par des administrations publiques françaises. Mesure du 14 août 2026.

Ce que ce jeu de données mesure : ce que chaque serveur web déclare au navigateur, et rien d'autre. Ce n'est pas un audit de sécurité des services concernés : un site peut n'annoncer aucun de ces en-têtes et être par ailleurs correctement administré.

Une erreur de collecte laisse le champ vide, jamais un zéro : « non mesuré » et « absent » ne sont pas la même chose, et les confondre est la façon la plus courante de rendre un relevé faux sans que personne s'en aperçoive.

Le scanner qui a produit les données est publié sous licence MIT, sans dépendance, afin que n'importe qui puisse rejouer la mesure et obtenir les mêmes chiffres — ou nous contredire. Citer la date de mesure : une configuration d'en-têtes change le jour où quelqu'un l'édite.

Version archivée et citable (DOI) : https://doi.org/10.5281/zenodo.21948938
Méthode détaillée et jeux de données connexes : https://www.vpnsmith.com/en/blog/vpn-privacy-security-headers-2026