Fichier security.txt (RFC 9116) sur 1 000 sites publics locaux français (octobre 2026)

About this dataset

Relevé reproductible, mesuré le 15 octobre 2026, de la présence et de la conformité du fichier `security.txt` (RFC 9116, IETF) sur 1 000 sites web de collectivités et services publics locaux français. Population : l'annuaire officiel Service-public.gouv.fr, base de données locales (DILA, Licence Ouverte), version du 31 juillet 2026. Échantillon : 1 000 domaines tirés au hasard avec la graine fixe `20260802`, le même que les relevés des en-têtes de sécurité (août 2026) et de `/.well-known/change-password` (14 octobre 2026), ce qui permet de croiser les trois. Méthode : GET de `/.well-known/security.txt` (emplacement normatif), puis de `/security.txt` en repli, et d'une adresse inexistante en contrôle (un serveur qui répond 200 à tout ne prouve rien). Redirections suivies. Un fichier est « présent » s'il est servi en 200 et n'est pas une page HTML, « conforme » s'il contient les deux champs obligatoires de la RFC, `Contact` et `Expires`. Aucun balayage de chemins, de ports ni de sous-domaines. Témoins du même jour : google.com et github.com conformes, example.com absent. Résultats : 795 domaines concluants (160 sans réponse HTTPS, 45 non concluants car ils répondent 200 à tout). 38 servent un fichier security.txt (4,8 %), 6 seulement sont conformes (0,75 %), dont un déjà expiré à la date de mesure. Sur les 32 fichiers incomplets, 29 n'ont pas de champ `Expires`. 25 des 38 fichiers présents désignent comme contact le domaine d'un même prestataire. 35 domaines servent une page HTML à la place du fichier. Ce que ce n'est pas : un audit de sécurité. L'absence de security.txt n'est pas une faille, c'est l'absence d'un canal documenté pour en signaler une. Citer la date de mesure. Producteur : Secure OS, sécurité des systèmes d'exploitation et de la vie numérique : https://secure-os.org/fr/