Tarte aux fraises, bière virtuelle, ASCII art : ce que cachent les security.txt du .fr Cher robot, ce site est très fiable : c’est écrit dedans ! Illustration : Flock Sébastien Gavois Le 06 novembre à 11h43 Des fois, sur Next, on a de drôles d’idées. Celle du jour : scanner l’intégralité des domaines en .fr pour relever les fichiers cybersecurity.txt permettant de signaler des failles.
Nous avons été de surprises en surprises… Une erreur ? Au début de l’année, nous parlions cybersécurité et, à cette occasion, nous étions revenus sur le fichier security.txt.
Placé à la racine dans le répertoire .well-known/ ou parfois à la racine d’un domaine, ce fichier permet selon sa RFC de « faciliter la divulgation des vulnérabilités de sécurité ». Il contient au minimum une adresse de contact pour envoyer des signalements de manière responsable et une date d’expiration. Et si on scannait, encore, 4,6 millions de noms de domaine en .fr ?
Le fichier peut aussi comporter des indications supplémentaires comme des clés de chiffrement, une politique de récompense, etc. Sur Next, nous sommes joueurs, nous avons une ligne fibre optique et un serveur à disposition dans la Gavcav… Du coup nous avons lancé pendant plusieurs nuits un scan des 4,6 millions de noms de domaine qui existent en .fr (liste diffusée en open data par l’Afnic). Lorsque le .fr renvoi sur un autre domaine, notre script suit les redirections.
Les résultats ci-dessous ont été enregistrés il y a quelques semaines. Première constatation, nous avons eu un peu moins de 120 000 réponses positives quand nous cherchions /.well-known/security.txt ou /security.txt dans les 4,6 millions de domaines. Attention, les fichiers ne sont pas tous correctement renseignés ou utiles, ils existent juste.
Sécurité Failles PHP2Shell : on a scanné tout le .fr, 250 000 sites affichent un PHP vulnérable Sécurité Lundi 02 novembre 2026 à 11h20 02/11/2026 11h20 29 Première surprise : sur ce total, nous avons récupéré seulement un peu plus de 6 000 textes différents. L’explication est assez simple : 68 000 noms de domaine ont exactement le même security.txt, des copies qui pointent toutes vers le même chez Dovendi, un registrar qui vend des noms de domaine. Si on ajoute Webador et Nameshift, on arrive à près de 100 000 security.txt sur les 120 000.
Autre manière de le dire : 85 % des security.txt correspondent à ces trois là. Soutenez un journalisme indépendant, libre de ton, sans pub et sans reproche. Accédez en illimité aux articles Profitez d'un média expert et unique Intégrez la communauté et prenez part aux débats Partagez des articles premium à vos contacts Abonnez-vous La suite de cet article est réservée à nos abonnés Soutenez un journalisme indépendant, expert et sans pub.
Abonnez-vous sur next.ink/subs CharlesP. Premium À l'instant Message 1 Signaler Bloquer cet utilisateur Promis, pas de recette de tarte aux fraises à la fin de cette actu (enfin on l’espère).Quand j'ai lu ça j'ai scroll directement à la fin de l'actu, pas déçu. Signaler un commentaire Voulez-vous vraiment signaler ce commentaire ?
Non Oui