Fichier security.txt (RFC 9116) sur 1 000 sites publics locaux français (octobre 2026)

Relevé reproductible, mesuré le 15 octobre 2026, de la présence et de la conformité du fichier security.txt (RFC 9116, IETF) sur 1 000 sites web de collectivités et services publics locaux français.

Population : l'annuaire officiel Service-public.gouv.fr, base de données locales (DILA, Licence Ouverte), version du 31 juillet 2026. Échantillon : 1 000 domaines tirés au hasard avec la graine fixe 20260802, le même que les relevés des en-têtes de sécurité (août 2026) et de /.well-known/change-password (14 octobre 2026), ce qui permet de croiser les trois.

Méthode : GET de /.well-known/security.txt (emplacement normatif), puis de /security.txt en repli, et d'une adresse inexistante en contrôle (un serveur qui répond 200 à tout ne prouve rien). Redirections suivies. Un fichier est « présent » s'il est servi en 200 et n'est pas une page HTML, « conforme » s'il contient les deux champs obligatoires de la RFC, Contact et Expires. Aucun balayage de chemins, de ports ni de sous-domaines. Témoins du même jour : google.com et github.com conformes, example.com absent.

Résultats : 795 domaines concluants (160 sans réponse HTTPS, 45 non concluants car ils répondent 200 à tout). 38 servent un fichier security.txt (4,8 %), 6 seulement sont conformes (0,75 %), dont un déjà expiré à la date de mesure. Sur les 32 fichiers incomplets, 29 n'ont pas de champ Expires. 25 des 38 fichiers présents désignent comme contact le domaine d'un même prestataire. 35 domaines servent une page HTML à la place du fichier.

Ce que ce n'est pas : un audit de sécurité. L'absence de security.txt n'est pas une faille, c'est l'absence d'un canal documenté pour en signaler une. Citer la date de mesure.

Producteur : Secure OS, sécurité des systèmes d'exploitation et de la vie numérique : https://secure-os.org/fr/