{"database": "catalogue", "table": "datasets", "rows": [["data.gouv.fr", "https://www.data.gouv.fr/datasets/6a8d06c98a4dbcbf26f40178", 1, "Fichiers security.txt (RFC 9116) sur 3 581 domaines d'organismes publics francais (aout 2026)", "Relev\u00e9 reproductible de la pr\u00e9sence d'un fichier `/.well-known/security.txt` (RFC 9116) sur 3 581 noms de domaine d\u00e9clar\u00e9s par des administrations et organismes publics fran\u00e7ais. Mesure du 25 ao\u00fbt 2026.\n\nLe fichier `security.txt` publie le canal par lequel signaler une faille de s\u00e9curit\u00e9 \u00e0 un organisme. Sa mise en place est recommand\u00e9e par l'ANSSI et il est normalis\u00e9 par la RFC 9116.\n\n**R\u00e9sultat principal** : sur 3 240 domaines joignables, **85 publient un `security.txt` valide, soit 2,6 %**.\n\n**Une pr\u00e9caution de mesure qui change le r\u00e9sultat du simple au triple.** 301 domaines r\u00e9pondent HTTP 200 sur cette adresse, mais **216 d'entre eux ne servent pas un `security.txt`** : ils renvoient leur page \u00ab introuvable \u00bb avec un code 200, ou une page HTML quelconque. Compter les codes 200 aurait donn\u00e9 un taux de 8,4 % au lieu de 2,6 %. Un domaine n'est compt\u00e9 ici que si la r\u00e9ponse porte un champ `Contact:` (RFC 9116, section 2.5.3) et un `Content-Type` qui n'est pas du HTML.\n\n**Second r\u00e9sultat, sur la conformit\u00e9 des fichiers trouv\u00e9s** : la RFC 9116 rend le champ `Expires` obligatoire. **52 des 85 fichiers valides n'en ont aucun**, et 6 des 33 qui en ont un portent une date d\u00e9j\u00e0 d\u00e9pass\u00e9e. Quatre fichiers sont sign\u00e9s avec PGP.\n\n**Ce que ce jeu de donn\u00e9es ne dit pas.** Ce n'est pas un audit de s\u00e9curit\u00e9. L'absence de `security.txt` ne dit rien de la s\u00e9curit\u00e9 d'un service : un organisme peut n'en publier aucun et \u00eatre parfaitement administr\u00e9, ou en publier un et \u00eatre vuln\u00e9rable. La mesure porte sur une seule chose, la publication d'un canal de signalement.\n\n**Limites, \u00e9nonc\u00e9es franchement.** La population vient des 10 000 premiers enregistrements de l'Annuaire de l'administration (api-lannuaire.service-public.fr), dont les adresses ont \u00e9t\u00e9 extraites puis d\u00e9dupliqu\u00e9es par domaine : elle n'est pas exhaustive de l'administration fran\u00e7aise. 341 domaines n'ont pas r\u00e9pondu (d\u00e9lai d\u00e9pass\u00e9, DNS, TLS) et figurent au fichier avec leur code, sans \u00eatre compt\u00e9s parmi les joignables. La mesure a \u00e9t\u00e9 faite une fois, sans nouvelle tentative pour les \u00e9checs r\u00e9seau.\n\n**M\u00e9thode et reproduction** : une requ\u00eate HTTPS par domaine sur `/.well-known/security.txt`, une seule par h\u00f4te, avec v\u00e9rification de la pr\u00e9sence du champ `Contact:`. Le fichier CSV donne le r\u00e9sultat domaine par domaine, y compris les codes de r\u00e9ponse, pour que la mesure puisse \u00eatre rejou\u00e9e ou contest\u00e9e.\n\nMesure r\u00e9alis\u00e9e dans le cadre de travaux publics sur les en-t\u00eates et les fichiers de s\u00e9curit\u00e9 du web, publi\u00e9s sur <a href=\"https://anonymflow.com\">anonymflow.com</a>.", "https://www.data.gouv.fr/datasets/fichiers-security-txt-rfc-9116-sur-3-581-domaines-dorganismes-publics-francais-aout-2026", "Leroy Leroy", "http://opendatacommons.org/licenses/pddl/summary/", "2026-08-25T03:06:49.611000", "2026-08-27T15:01:48.543000", "[\"administration\", \"anssi\", \"cyberdefense\", \"open-data\", \"rfc-9116\", \"securite\", \"security-txt\", \"vulnerabilite\"]", "[]", "https://www.data.gouv.fr/datasets/6a8d06c98a4dbcbf26f40178", "6a8d06c98a4dbcbf26f40178"]], "columns": ["portal_id", "key", "harvest_id", "title", "description", "landing_page", "publisher", "licence", "issued", "modified", "keywords", "themes", "uri", "identifier"], "primary_keys": ["portal_id", "key"], "primary_key_values": ["data.gouv.fr", "https://www.data.gouv.fr/datasets/6a8d06c98a4dbcbf26f40178"], "units": {}, "query_ms": 3.8844740001877653, "source": "Dateno, DataPortals.org, data.europa.eu, opendatArchives, and each portal's DCAT catalogue", "source_url": "https://github.com/datenoio/dataportals-registry", "license": "CC BY 4.0 (portal directory, derived from Dateno); dataset metadata as each portal publishes it", "license_url": "https://creativecommons.org/licenses/by/4.0/"}