Deux grandes villes sur trois n’appliquent pas encore de protection contre l’usurpation de leurs e-mails

Baromètre KrakenShield, octobre 2026 : nous avons observé, de l’extérieur et sans rien forcer, les sites officiels des 100 communes les plus peuplées de France. Le chiffrement de base est solide : 100 % des certificats sont valides et 93 % des sites proposent TLS 1.3. Mais les réglages de deuxième niveau, ceux qui protègent les habitants sur un Wi-Fi public ou contre les faux courriels, restent inégaux. 66 % des domaines n’appliquent aucune politique DMARC et 40 % des sites n’activent pas HSTS.

Les sites des mairies sont devenus des guichets : état civil, inscriptions scolaires, paiement de la cantine, signalements. Leur configuration de sécurité est donc un sujet de service public autant qu’un sujet technique. Ce baromètre ne cherche aucune faille : il relève uniquement ce que voit n’importe quel visiteur, et aucune ville n’y est nommée.

1. Un socle de chiffrement en bonne santé

Sur les 99 sites mesurés, tous présentent un certificat valide, 92,9 % acceptent TLS 1.3, la version la plus récente du protocole de chiffrement, et 94,9 % redirigent automatiquement la version HTTP vers HTTPS. Plus de la moitié des certificats (53,5 %) sont délivrés par une autorité gratuite et automatisée, signe que le renouvellement automatique est désormais la norme.

Ce que ça veut dire : la connexion entre l’habitant et sa mairie est chiffrée partout. C’est l’acquis principal des dernières années, et il faut le souligner.

2. Quatre sites sur dix sans HSTS

39,8 % des sites (37 sur 93 pages analysables) n’envoient pas l’en-tête Strict-Transport-Security, ou l’envoient avec une durée nulle. Seuls 43 % l’activent pour au moins un an.

Ce que ça veut dire : sans HSTS, la toute première connexion d’un habitant qui tape l’adresse sans « https » passe en clair un court instant. Sur un Wi-Fi public mal intentionné, ce court instant suffit pour détourner la visite vers une fausse page.

La correction : un seul en-tête à ajouter côté serveur, d’abord avec une durée de six mois, puis d’un an, une fois tous les sous-domaines passés en HTTPS.

3. Des protocoles retirés encore acceptés

4 % des sites acceptent encore TLS 1.0 et TLS 1.1, deux versions officiellement retirées depuis 2021 et refusées par tous les navigateurs actuels. Deux de ces quatre sites passent par un service de protection placé devant le site, dont le réglage par défaut accepte encore ces versions.

Ce que ça veut dire : aucun habitant n’en a besoin, mais ces versions élargissent inutilement la surface d’attaque et pèsent dans les audits de conformité.

La correction : fixer la version minimale à TLS 1.2, souvent une simple option dans la console de l’hébergeur.

4. L’e-mail, maillon faible : 66 % sans politique DMARC appliquée

C’est le constat le plus net. 22,2 % des domaines n’ont aucun enregistrement DMARC et 43,4 % en ont un en mode « surveillance seule » (p=none). Au total, 65,7 % des domaines ne demandent pas aux messageries de rejeter ou de mettre à l’écart les courriels qui usurpent leur nom. Seuls 13,1 % sont en mode « rejet ».

Ce que ça veut dire : un fraudeur peut plus facilement envoyer un faux avis de la mairie (amende, facture de cantine, convocation) depuis l’adresse exacte de la ville. Les filtres des messageries en arrêtent une partie, mais sans consigne claire du domaine.

La correction : une montée progressive. Publier DMARC en p=none avec rapports, identifier tous les services qui envoient au nom de la ville (newsletter, téléservices, prestataires), puis passer à p=quarantine et enfin à p=reject. Le SPF, lui, est déjà présent sur 94,9 % des domaines : la base existe.

Fait notable : la taille de la ville ne change presque rien ici. Les communes de plus de 200 000 habitants sont à 63,6 % sans politique appliquée, contre 65,9 % pour les autres.

5. Les en-têtes de défense du navigateur restent rares

Seuls 31,2 % des sites déclarent une Content-Security-Policy, qui limite les scripts autorisés sur la page et réduit l’impact d’une injection de code. 20,4 % envoient une Permissions-Policy et 32,3 % une Referrer-Policy. Au total, 22,6 % des sites n’ont aucune des six protections observées, et 17,2 % les réunissent toutes.

Ce que ça veut dire : ces en-têtes ne corrigent pas une faille, ils en limitent les conséquences. Ils sont particulièrement utiles sur des sites qui embarquent de nombreux services tiers (cartes, vidéos, statistiques).

La correction : déployer d’abord la CSP en mode « rapport seulement » pour repérer ce qui serait bloqué, puis l’appliquer. Les autres en-têtes s’ajoutent en quelques lignes.

Ici, la taille joue : 54,5 % des villes de plus de 200 000 habitants ont une CSP, contre 28 % pour les autres, et 72,7 % ont un HSTS d’au moins un an, contre 39 %.

6. Petites indiscrétions et cookies

14 % des sites affichent le numéro de version de leur serveur ou de leur langage dans les réponses HTTP, ce qui aide un attaquant à cibler une faille connue. 19,4 % posent dès la page d’accueil au moins un cookie sans l’attribut Secure. Enfin, 8,1 % seulement des domaines publient un enregistrement CAA, qui désigne les autorités autorisées à émettre leurs certificats.

La correction : masquer les versions dans la configuration du serveur, ajouter Secure et HttpOnly aux cookies, publier un enregistrement CAA en une ligne de DNS.

Une note globale encourageante

Avec notre note simplifiée, 57,4 % des sites notés obtiennent A ou A+, 38,3 % B et 4,3 % C. Aucun n’obtient F. Le passage de B à A tient le plus souvent à un seul en-tête (HSTS).

Et NIS2 ?

Au 6 octobre 2026, la directive européenne NIS2 n’est pas encore transposée en droit français. Le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité a été adopté par le Sénat en mars 2025, puis en commission spéciale à l’Assemblée nationale en septembre 2025 ; son examen en séance, prévu le 7 octobre 2026, a de nouveau été reporté. La Commission européenne a saisi la Cour de justice de l’Union le 8 juillet 2026 pour défaut de transposition. Le gouvernement a indiqué que les communes de plus de 30 000 habitants seraient visées directement, les plus petites via leur intercommunalité : toutes les villes de ce baromètre dépassent ce seuil. Le périmètre définitif dépendra du texte adopté ; ces réglages relèvent de toute façon de l’hygiène de base.

Méthodologie Mesure passive réalisée le 6 octobre 2026 sur les sites officiels des 100 communes les plus peuplées (populations municipales INSEE 2023, métropole et outre-mer). 99 sites mesurés avec succès, 1 échec. Seuls ont été lus la page d’accueil, ses en-têtes et des enregistrements DNS publics : ni scan de ports, ni test de vulnérabilité, ni formulaire. Les indicateurs d’en-têtes portent sur les 93 pages d’accueil servies normalement (6 sites ont renvoyé une page de filtrage anti-robot). Limites : photographie à une date, page d’accueil seulement, la messagerie peut utiliser un autre domaine que le site, et un en-tête présent ne garantit pas une politique efficace. Aucune ville n’est nommée.