Cette analyse consolide les résultats des scans de cybersécurité menés sur les infrastructures critiques suisses. Trois axes mesurés : security.txt (point de contact pour signaler une faille), en-têtes de sécurité, et sécurité e-mail (SPF, DMARC, DNSSEC).
État au 11 octobre 2026 Source : Sites officiels des 26 cantons suisses (curation DCOD).
Entités recensées
26
22 mesurées · 4 non présentes · 0 inatteignables
Type d'infrastructure critique
Autorités
Parlement, gouvernement, justice, administration
Résultats
Taux de présence
Combien d'entités publient un fichier, quel qu'en soit le contenu.
- Publient un fichier 22
- N'en publient aucun 4
| Résultat | Entités | % |
|---|---|---|
| Publient un fichier | 22 | 85 % |
| N'en publient aucun | 4 | 15 % |
Niveau de conformité
Combien d'entités publient un fichier security.txt conforme au standard internationalement reconnu RFC 9116.
- Solide 18
- Partiel 4
- Non présent 4
| Résultat | Entités | % |
|---|---|---|
| Solide | 18 | 69 % |
| Partiel | 4 | 16 % |
| Non présent | 4 | 15 % |
Comparaison entre domaines
Tous les domaines d'infrastructure critique comparés entre eux, au niveau suisse – sur le taux de présence, puis sur le niveau de conformité.
Taux de présence
- Publient un fichier
- N'en publient aucun
- Inatteignables
Niveau de conformité
- Solide
- Partiel
- Non présent
- Inatteignable
Comparaison des communes par canton
Part des communes qui publient un fichier security.txt, puis niveau de conformité de ces fichiers, par canton. Cette vue regroupe l'ensemble des communes de chaque canton : elle ne reflète pas le résultat du site du canton lui-même, dont le score reste réservé aux responsables sécurité concernés.
Taux de présence
- Publient un fichier
- N'en publient aucun
- Inatteignables
Niveau de conformité
- Solide
- Partiel
- Non présent
- Inatteignable
Problèmes à corriger
Types d'erreurs rencontrés, classés par gravité et non par fréquence. La part indique combien d'entités mesurées sont touchées.
| Gravité | Contrôle | Entités | Correction recommandée |
|---|---|---|---|
| Critique | Fichier security.txt publié STXT-PRESENT | Publier un fichier texte à l'adresse /.well-known/security.txt du site, avec au moins une ligne « Contact: » et une ligne « Expires: ». Choisir une adresse générique relevée par plusieurs personnes (par exemple securite@…), jamais la boîte d'une seule personne. | |
| Majeur | Date de validité renseignée (champ Expires) STXT-EXPIRES date de validité dépassée | Renouveler la date du champ « Expires: » (ISO 8601, par exemple dans un an) et prévoir un rappel avant la prochaine échéance. | |
| Majeur | Date de validité renseignée (champ Expires) STXT-EXPIRES | Ajouter ou mettre à jour la ligne « Expires: » avec une date d'ici un an au plus, et prévoir un rappel pour la repousser avant l'échéance. | |
| Mineur | Clé de chiffrement publiée (champ Encryption) STXT-ENCRYPTION | Ajouter une ligne « Encryption: https://exemple.ch/cle-pgp.asc » pointant vers la clé publique de l'équipe de sécurité. | |
| Mineur | Fichier accessible avec et sans www STXT-BOTH-VARIANTS | Servir le même fichier sur les deux variantes, ou rediriger l'une vers l'autre. | |
| Mineur | Langues de contact indiquées (champ Preferred-Languages) STXT-LANGUAGES | Ajouter une ligne « Preferred-Languages: fr, de, it, en » listant les langues acceptées pour un signalement. |
Pour corriger pas à pas, le guide complet : security.txt : le guide complet du signalement des vulnérabilités
Évolution
Tendance mensuelle de l'ensemble du registre, toutes entités confondues.
| Mois | Solide | Partiel | À renforcer | Entités évaluées |
|---|---|---|---|---|
| 2026-08 | 77 % | 23 % | 0 % | 22 |
| 2026-09 | 69 % | 16 % | 15 % | 26 |
| 2026-10 | 69 % | 16 % | 15 % | 26 |
Méthodologie et limites
Les évaluations sont établies à la date d'observation, sur la seule base d'informations publiquement accessibles, collectées de manière passive et sans authentification. Elles ne constituent ni un audit de sécurité, ni un test d'intrusion, ni une certification. Un résultat « solide » ne garantit pas l'absence de vulnérabilité ; un point « à renforcer » n'implique ni compromission, ni manquement à une obligation légale ou contractuelle.