Fichiers security.txt (RFC 9116) sur 3 581 domaines d'organismes publics francais (aout 2026)

Relevé reproductible de la présence d'un fichier /.well-known/security.txt (RFC 9116) sur 3 581 noms de domaine déclarés par des administrations et organismes publics français. Mesure du 25 août 2026.

Le fichier security.txt publie le canal par lequel signaler une faille de sécurité à un organisme. Sa mise en place est recommandée par l'ANSSI et il est normalisé par la RFC 9116.

Résultat principal : sur 3 240 domaines joignables, 85 publient un security.txt valide, soit 2,6 %.

Une précaution de mesure qui change le résultat du simple au triple. 301 domaines répondent HTTP 200 sur cette adresse, mais 216 d'entre eux ne servent pas un security.txt : ils renvoient leur page « introuvable » avec un code 200, ou une page HTML quelconque. Compter les codes 200 aurait donné un taux de 8,4 % au lieu de 2,6 %. Un domaine n'est compté ici que si la réponse porte un champ Contact: (RFC 9116, section 2.5.3) et un Content-Type qui n'est pas du HTML.

Second résultat, sur la conformité des fichiers trouvés : la RFC 9116 rend le champ Expires obligatoire. 52 des 85 fichiers valides n'en ont aucun, et 6 des 33 qui en ont un portent une date déjà dépassée. Quatre fichiers sont signés avec PGP.

Ce que ce jeu de données ne dit pas. Ce n'est pas un audit de sécurité. L'absence de security.txt ne dit rien de la sécurité d'un service : un organisme peut n'en publier aucun et être parfaitement administré, ou en publier un et être vulnérable. La mesure porte sur une seule chose, la publication d'un canal de signalement.

Limites, énoncées franchement. La population vient des 10 000 premiers enregistrements de l'Annuaire de l'administration (api-lannuaire.service-public.fr), dont les adresses ont été extraites puis dédupliquées par domaine : elle n'est pas exhaustive de l'administration française. 341 domaines n'ont pas répondu (délai dépassé, DNS, TLS) et figurent au fichier avec leur code, sans être comptés parmi les joignables. La mesure a été faite une fois, sans nouvelle tentative pour les échecs réseau.

Méthode et reproduction : une requête HTTPS par domaine sur /.well-known/security.txt, une seule par hôte, avec vérification de la présence du champ Contact:. Le fichier CSV donne le résultat domaine par domaine, y compris les codes de réponse, pour que la mesure puisse être rejouée ou contestée.

Mesure réalisée dans le cadre de travaux publics sur les en-têtes et les fichiers de sécurité du web, publiés sur anonymflow.com.