datasets: data.gouv.fr, https://www.data.gouv.fr/datasets/6a8d06c98a4dbcbf26f40178
Data license: CC BY 4.0 (portal directory, derived from Dateno); dataset metadata as each portal publishes it · Data source: Dateno, DataPortals.org, data.europa.eu, opendatArchives, and each portal's DCAT catalogue
This data as json
| portal_id | key | harvest_id | title | description | landing_page | publisher | licence | issued | modified | keywords | themes | uri | identifier |
|---|---|---|---|---|---|---|---|---|---|---|---|---|---|
| data.gouv.fr | https://www.data.gouv.fr/datasets/6a8d06c98a4dbcbf26f40178 | 1 | Fichiers security.txt (RFC 9116) sur 3 581 domaines d'organismes publics francais (aout 2026) | Relevé reproductible de la présence d'un fichier `/.well-known/security.txt` (RFC 9116) sur 3 581 noms de domaine déclarés par des administrations et organismes publics français. Mesure du 25 août 2026. Le fichier `security.txt` publie le canal par lequel signaler une faille de sécurité à un organisme. Sa mise en place est recommandée par l'ANSSI et il est normalisé par la RFC 9116. **Résultat principal** : sur 3 240 domaines joignables, **85 publient un `security.txt` valide, soit 2,6 %**. **Une précaution de mesure qui change le résultat du simple au triple.** 301 domaines répondent HTTP 200 sur cette adresse, mais **216 d'entre eux ne servent pas un `security.txt`** : ils renvoient leur page « introuvable » avec un code 200, ou une page HTML quelconque. Compter les codes 200 aurait donné un taux de 8,4 % au lieu de 2,6 %. Un domaine n'est compté ici que si la réponse porte un champ `Contact:` (RFC 9116, section 2.5.3) et un `Content-Type` qui n'est pas du HTML. **Second résultat, sur la conformité des fichiers trouvés** : la RFC 9116 rend le champ `Expires` obligatoire. **52 des 85 fichiers valides n'en ont aucun**, et 6 des 33 qui en ont un portent une date déjà dépassée. Quatre fichiers sont signés avec PGP. **Ce que ce jeu de données ne dit pas.** Ce n'est pas un audit de sécurité. L'absence de `security.txt` ne dit rien de la sécurité d'un service : un organisme peut n'en publier aucun et être parfaitement administré, ou en publier un et être vulnérable. La mesure porte sur une seule chose, la publication d'un canal de signalement. **Limites, énoncées franchement.** La population vient des 10 000 premiers enregistrements de l'Annuaire de l'administration (api-lannuaire.service-public.fr), dont les adresses ont été extraites puis dédupliquées par domaine : elle n'est pas exhaustive de l'administration française. 341 domaines n'ont pas répondu (délai dépassé, DNS, TLS) et figurent au fichier avec leur code, sans être comptés parmi les joignables. La mesure a été faite une fois, sans nouvelle tentative pour les échecs réseau. **Méthode et reproduction** : une requête HTTPS par domaine sur `/.well-known/security.txt`, une seule par hôte, avec vérification de la présence du champ `Contact:`. Le fichier CSV donne le résultat domaine par domaine, y compris les codes de réponse, pour que la mesure puisse être rejouée ou contestée. Mesure réalisée dans le cadre de travaux publics sur les en-têtes et les fichiers de sécurité du web, publiés sur <a href="https://anonymflow.com">anonymflow.com</a>. | https://www.data.gouv.fr/datasets/fichiers-security-txt-rfc-9116-sur-3-581-domaines-dorganismes-publics-francais-aout-2026 | Leroy Leroy | http://opendatacommons.org/licenses/pddl/summary/ | 2026-08-25T03:06:49.611000 | 2026-08-27T15:01:48.543000 | ["administration", "anssi", "cyberdefense", "open-data", "rfc-9116", "securite", "security-txt", "vulnerabilite"] | [] | https://www.data.gouv.fr/datasets/6a8d06c98a4dbcbf26f40178 | 6a8d06c98a4dbcbf26f40178 |