Declaration de l adresse standard de changement de mot de passe sur 600 sites d organismes publics francais (relevé du 2 septembre 2026)

Les sites d organismes publics francais declarent-ils l adresse standard de
changement de mot de passe, /.well-known/change-password ?

Une specification ouverte definit cette adresse : un site qui la sert amene l usager
directement a son formulaire de changement de mot de passe, et les gestionnaires de mots
de passe des navigateurs et des telephones s en servent pour proposer « changer ce mot de
passe » en un geste.

Releve du 2026-09-02 sur 600 domaines. 489 ont repondu, 111 n ont pas repondu.

DEUX LECTURES SONT DONNEES, ET AUCUNE N EST PRIVILEGIEE

• Lecture STRICTE : 21 domaines sur 489, soit 4,3 %, servent une reponse 200 SUR l adresse
  elle-meme.
• Lecture LARGE : 36 domaines sur 489, soit 7,4 %, aboutissent a une page servie, en
  incluant 15 domaines qui redirigent vers une autre page.
  L ecart entre les deux est publie parce qu il est la partie interessante : rediriger vers
  une page generique n a pas la meme valeur d usage que servir le formulaire attendu.

Codes finaux observes : 404 sur 347 domaines, 403 sur 69, 200 sur 51, 503 sur 12.

CE QUE CE RELEVE NE DIT PAS. Ces reserves font partie du jeu de donnees.

1. Il mesure une DECLARATION, pas une politique de mot de passe ni une securite. Un site
   sans cette adresse peut etre parfaitement sur.
2. Beaucoup de sites publics n ont AUCUN compte utilisateur : l adresse n y a alors aucun
   sens, et son absence n est pas un defaut. Le fichier ne distingue pas ces sites, et le
   chiffre doit se lire avec cette limite.
3. Un code 200 ne garantit pas que la page d arrivee soit un formulaire. Le fichier
   enregistre l adresse d arrivee pour que chacun puisse verifier.
4. Un domaine qui ne repond pas n est PAS un domaine fautif. Il est absent du calcul et
   compte a part. « Non mesure » n est pas zero.

METHODE. Une seule requete par domaine, sur l adresse que la specification designe, avec
un User-Agent qui se nomme. Ce n est pas un balayage de chemins : on interroge exactement
l adresse prevue par le standard, comme le ferait un gestionnaire de mots de passe.
Le script de collecte est joint et porte, en commentaire, la premiere version FAUSSE de
cette mesure et la raison pour laquelle elle a ete corrigee avant publication.

Producteur du releve : PwdFortress, https://pwdfortress.com/
Relevés connexes : https://www.data.gouv.fr/fr/organizations/leroy-leroy/