{"database": "catalogue", "table": "datasets", "rows": [["data.gouv.fr", "https://www.data.gouv.fr/datasets/6ad047dc5300d90ae2f0d2cf", 1, "Fichier security.txt (RFC 9116) sur 1 000 sites publics locaux fran\u00e7ais (octobre 2026)", "Relev\u00e9 reproductible, mesur\u00e9 le 15 octobre 2026, de la pr\u00e9sence et de la conformit\u00e9 du fichier `security.txt` (RFC 9116, IETF) sur 1 000 sites web de collectivit\u00e9s et services publics locaux fran\u00e7ais.\n\n**Population** : l'annuaire officiel Service-public.gouv.fr, base de donn\u00e9es locales (DILA, Licence Ouverte), version du 31 juillet 2026. **\u00c9chantillon** : 1 000 domaines tir\u00e9s au hasard avec la graine fixe `20260802`, le m\u00eame que les relev\u00e9s des en-t\u00eates de s\u00e9curit\u00e9 (ao\u00fbt 2026) et de `/.well-known/change-password` (14 octobre 2026), ce qui permet de croiser les trois.\n\n**M\u00e9thode** : GET de `/.well-known/security.txt` (emplacement normatif), puis de `/security.txt` en repli, et d'une adresse inexistante en contr\u00f4le (un serveur qui r\u00e9pond 200 \u00e0 tout ne prouve rien). Redirections suivies. Un fichier est \u00ab pr\u00e9sent \u00bb s'il est servi en 200 et n'est pas une page HTML, \u00ab conforme \u00bb s'il contient les deux champs obligatoires de la RFC, `Contact` et `Expires`. Aucun balayage de chemins, de ports ni de sous-domaines. T\u00e9moins du m\u00eame jour : google.com et github.com conformes, example.com absent.\n\n**R\u00e9sultats** : 795 domaines concluants (160 sans r\u00e9ponse HTTPS, 45 non concluants car ils r\u00e9pondent 200 \u00e0 tout). **38 servent un fichier security.txt (4,8 %), 6 seulement sont conformes (0,75 %)**, dont un d\u00e9j\u00e0 expir\u00e9 \u00e0 la date de mesure. Sur les 32 fichiers incomplets, 29 n'ont pas de champ `Expires`. 25 des 38 fichiers pr\u00e9sents d\u00e9signent comme contact le domaine d'un m\u00eame prestataire. 35 domaines servent une page HTML \u00e0 la place du fichier.\n\n**Ce que ce n'est pas** : un audit de s\u00e9curit\u00e9. L'absence de security.txt n'est pas une faille, c'est l'absence d'un canal document\u00e9 pour en signaler une. Citer la date de mesure.\n\nProducteur : Secure OS, s\u00e9curit\u00e9 des syst\u00e8mes d'exploitation et de la vie num\u00e9rique : https://secure-os.org/fr/", "https://www.data.gouv.fr/datasets/fichier-security-txt-rfc-9116-sur-1-000-sites-publics-locaux-francais-octobre-2026", "Leroy Leroy", "http://www.opendefinition.org/licenses/cc-by", "2026-10-15T03:26:20.095000", "2026-10-15T03:26:30.719000", "[]", "[]", "https://www.data.gouv.fr/datasets/6ad047dc5300d90ae2f0d2cf", "6ad047dc5300d90ae2f0d2cf"]], "columns": ["portal_id", "key", "harvest_id", "title", "description", "landing_page", "publisher", "licence", "issued", "modified", "keywords", "themes", "uri", "identifier"], "primary_keys": ["portal_id", "key"], "primary_key_values": ["data.gouv.fr", "https://www.data.gouv.fr/datasets/6ad047dc5300d90ae2f0d2cf"], "units": {}, "query_ms": 3.9773549997335067, "source": "Dateno, DataPortals.org, data.europa.eu, opendatArchives, and each portal's DCAT catalogue", "source_url": "https://github.com/datenoio/dataportals-registry", "license": "CC BY 4.0 (portal directory, derived from Dateno); dataset metadata as each portal publishes it", "license_url": "https://creativecommons.org/licenses/by/4.0/"}