Prise en charge de /.well-known/change-password par 1 000 sites publics locaux français (octobre 2026)

Relevé reproductible, mesuré le 14 octobre 2026, de la prise en charge de l'adresse normalisée W3C /.well-known/change-password par 1 000 sites web de collectivités et services publics locaux français.

Population : l'annuaire officiel Service-public.gouv.fr, base de données locales (DILA, Licence Ouverte), version du 31 juillet 2026. Échantillon : 1 000 domaines tirés au hasard avec la graine fixe 20260802, le même que celui du relevé des en-têtes de sécurité d'août 2026, ce qui permet de croiser les deux relevés.

Méthode : deux requêtes GET par domaine, redirections suivies : l'adresse elle-même, et l'adresse de contrôle prévue par la spécification (un serveur qui répond 200 à tout ne prouve rien). Aucun balayage de chemins, de ports ni de sous-domaines. Témoins du même jour : github.com et apple.com sont détectés comme prenant en charge l'adresse, google.com et example.com comme ne la prenant pas en charge.

Résultats : 813 domaines ont répondu en HTTPS. Aucun ne prend en charge l'adresse de manière vérifiable. 769 renvoient une erreur (dont 612 en 404), 44 sont non concluants parce qu'ils répondent 200 à toute adresse, 187 n'ont pas répondu.

Ce que ce n'est pas : un audit de sécurité. La plupart des sites de communes n'ont aucun compte utilisateur ; ne pas prendre en charge cette adresse est alors normal. Citer la date de mesure.

Version archivée et citable (DOI) : https://doi.org/10.5281/zenodo.23356386

Ce que fait cette adresse, et comment la tester : https://www.pwdfortress.com/fr/blog/well-known-change-password