Referrer-Policy et exposition aux domaines tiers sur 466 pages d'accueil de sites publics francais (releve du 1er septembre 2026)

Une requete GET a ete envoyee le 1er septembre 2026 a chacun de 600 domaines d'organismes publics francais. 466 ont repondu. Pour chaque page d'accueil qui repond, ce jeu de donnees enregistre la valeur de l'en-tete de reponse Referrer-Policy, le nombre de domaines tiers distincts que la page demande au navigateur de charger, et si un cookie est pose des la premiere visite.

• 88 (19 %) declarent un en-tete Referrer-Policy
• 122 (26 %) posent un cookie des la page d'accueil, avant toute interaction
• 108 (23 %) ne chargent aucun domaine tiers
• mediane 2 tiers distincts, moyenne 2,52
• tiers les plus frequents : googleapis.com (196), gstatic.com (100), googletagmanager.com (72), cloudflare.com (67), hcaptcha.com (34)

1. Page d'accueil seulement, pas le site entier. Une page de recherche ou un formulaire peuvent charger d'autres tiers. Une requete par domaine donne de la largeur, pas de la profondeur.
2. Un tiers n'est pas un traceur. Une police de caracteres, une carte, un captcha, un lecteur video sont des tiers et peuvent etre legitimes. Le compte mesure une EXPOSITION, c'est-a-dire combien d'operateurs distincts recoivent une requete. Il ne mesure ni intention ni manquement.
3. Le compte de tiers est un PLANCHER, jamais un total. Seules les ressources presentes dans le HTML servi sont comptees. Ce qu'un script ajoute ensuite dans le navigateur est invisible a cette methode.
4. Un domaine qui n'a pas repondu n'est pas un domaine fautif. Les 134 non-repondants sont exclus de tous les taux et comptes a part.

Aucune conclusion de conformite ne peut etre tiree de ce fichier. Il enregistre ce qu'une page demande a un navigateur. Il ne dit rien de ce qu'un responsable de traitement a declare ou documente. A noter egalement : les navigateurs appliquent strict-origin-when-cross-origin par defaut depuis 2021, donc un en-tete absent signifie un defaut accepte et non une porte ouverte.

Une requete GET par domaine, delai d'attente 12 secondes, huit en parallele, un User-Agent qui se nomme. Le code de collecte, la methode et le commentaire sont publies ici : https://anonymflow.com/en/blog/referrer-policy-public-sites

Le CSV brut est egalement servi a l'adresse https://anonymflow.com/data/releve-tiers-sites-publics-2026-09-01.csv et archive avec un DOI : https://doi.org/10.5281/zenodo.22225318