{"database": "catalogue", "table": "datasets", "rows": [["data.gouv.fr", "https://www.data.gouv.fr/datasets/6a8d760e64eea3cbb5c61bad", 1, "Signature DNSSEC de 3 581 domaines d'organismes publics francais (aout 2026)", "Relev\u00e9 de la signature DNSSEC de 3 581 noms de domaine d\u00e9clar\u00e9s par des administrations et organismes publics fran\u00e7ais. Mesure du 25 ao\u00fbt 2026.\n\n**R\u00e9sultat principal : 639 domaines sur 3 580 mesur\u00e9s ont une d\u00e9l\u00e9gation sign\u00e9e, soit 17,8 %.** 2 941 ne le sont pas. Un domaine n'a pas pu \u00eatre mesur\u00e9 et n'est compt\u00e9 ni parmi les pr\u00e9sences ni parmi les absences.\n\nDNSSEC signe les r\u00e9ponses DNS et permet \u00e0 un r\u00e9solveur validant de d\u00e9tecter une r\u00e9ponse falsifi\u00e9e. Sa mise en place est recommand\u00e9e par l'ANSSI. Sans lui, la r\u00e9solution d'un nom de domaine public repose sur la confiance faite au chemin r\u00e9seau.\n\n**Une pr\u00e9caution de m\u00e9thode, et elle change le chiffre.** La fa\u00e7on la plus simple de tester DNSSEC est de lire le drapeau AD (Authenticated Data) d'une r\u00e9ponse DNS. Elle est trompeuse: AD signifie que le r\u00e9solveur a valid\u00e9 ce qu'il a re\u00e7u, y compris l'absence de signature d'une zone non sign\u00e9e. Sur cette population, s'y fier aurait donn\u00e9 **679 domaines soit 19,0 %**, contre 639 soit 17,8 % en mesurant ce qui prouve r\u00e9ellement une d\u00e9l\u00e9gation sign\u00e9e: la pr\u00e9sence d'un enregistrement DS chez le parent. L'\u00e9cart est de 40 domaines. Il est modeste ici, mais il va toujours dans le sens de la surestimation, et le fichier publie les deux colonnes pour que chacun puisse le v\u00e9rifier.\n\n**Ce que ce jeu de donn\u00e9es ne dit pas.** Il ne mesure pas la validit\u00e9 des signatures, ni la solidit\u00e9 des algorithmes employ\u00e9s, ni la configuration des r\u00e9solveurs utilis\u00e9s par les agents publics. Une d\u00e9l\u00e9gation sign\u00e9e peut l'\u00eatre avec des param\u00e8tres faibles ou une cha\u00eene cass\u00e9e: ce relev\u00e9 constate la signature, pas sa qualit\u00e9.\n\n**Limites.** La population provient des 10 000 premiers enregistrements de l'Annuaire de l'administration (api-lannuaire.service-public.fr), adresses extraites puis d\u00e9dupliqu\u00e9es par domaine: elle n'est pas exhaustive de l'administration fran\u00e7aise. La mesure passe par DNS over HTTPS, une requ\u00eate DS par domaine, sans aucun chargement de page: elle n'impose aucune charge aux serveurs concern\u00e9s. Elle a \u00e9t\u00e9 faite une fois, sans nouvelle tentative apr\u00e8s \u00e9chec r\u00e9seau.\n\nMesure r\u00e9alis\u00e9e dans le cadre de travaux publics sur l'infrastructure et les fichiers de configuration du web, publi\u00e9s sur <a href=\"https://anonymflow.com\">anonymflow.com</a>.", "https://www.data.gouv.fr/datasets/signature-dnssec-de-3-581-domaines-dorganismes-publics-francais-aout-2026", "Leroy Leroy", "http://opendatacommons.org/licenses/pddl/summary/", "2026-08-25T11:01:34.109000", "2026-08-27T15:01:47.344000", "[\"administration\", \"anssi\", \"dns\", \"dnssec\", \"donnees-ouvertes\", \"infrastructure\", \"securite\"]", "[]", "https://www.data.gouv.fr/datasets/6a8d760e64eea3cbb5c61bad", "6a8d760e64eea3cbb5c61bad"]], "columns": ["portal_id", "key", "harvest_id", "title", "description", "landing_page", "publisher", "licence", "issued", "modified", "keywords", "themes", "uri", "identifier"], "primary_keys": ["portal_id", "key"], "primary_key_values": ["data.gouv.fr", "https://www.data.gouv.fr/datasets/6a8d760e64eea3cbb5c61bad"], "units": {}, "query_ms": 4.232945000694599, "source": "Dateno, DataPortals.org, data.europa.eu, opendatArchives, and each portal's DCAT catalogue", "source_url": "https://github.com/datenoio/dataportals-registry", "license": "CC BY 4.0 (portal directory, derived from Dateno); dataset metadata as each portal publishes it", "license_url": "https://creativecommons.org/licenses/by/4.0/"}