Sécurité des PME vue de l'extérieur : 10 609 sites mesurés et rapportés
à NIS2

Prenez une entreprise de travaux publics de 40 salariés. Son site affiche un formulaire de devis, une galerie de chantiers et, en pied de page, son numéro SIREN. N'importe qui peut en apprendre davantage sans rien lui demander : interroger le DNS de son domaine pour savoir si un faux courriel à son nom serait rejeté, ouvrir une connexion TLS, lire les en-têtes de sa page d'accueil, repérer la version de son CMS. C'est exactement ce que fait un attaquant avant de choisir une cible, et c'est ce que cette étude a fait, pour 10 609 PME de cinq secteurs, les 11 et 12 octobre 2026.

Le résultat est une photographie de la sécurité des PME telle qu'elle se voit de l'extérieur, secteur par secteur et taille par taille, rapportée aux mesures de l'article 21.2 de NIS2 auxquelles chaque signal se rattache. La méthode est détaillée plus bas, avec ses limites, l'incident de collecte et la contre-expertise qui a corrigé un chiffre avant publication.

Les chiffres clés : la messagerie d'abord

Le constat le plus net porte sur la messagerie. 84,7 % des PME mesurées n'appliquent pas DMARC : leur domaine ne demande ni le rejet ni la mise en quarantaine d'un courriel qui l'usurpe. Un faux message "du comptable" envoyé à un client ou à un fournisseur arrive donc avec, au mieux, le jugement du filtre antispam du destinataire. Plus de la moitié (58,4 %) n'ont même aucun enregistrement DMARC valide.

Le chiffrement du transport est presque partout en place, et c'est ce qui rend le reste frappant. 94,3 % des domaines redirigent vers HTTPS, la poignée de main négocie TLS 1.3 dans 94,2 % des cas et le certificat est valide pour 98,5 %. Mais 63,6 % des sites ne demandent pas au navigateur de s'en tenir à HTTPS (HSTS), et 56,5 % n'envoient aucun des cinq en-têtes de sécurité courants. Les sites affichent aussi volontiers leur version : 65,1 % la laissent lire dans un en-tête ou une balise, et pour 22,3 % cette version ne reçoit plus de correctifs ou est signalée vulnérable par son éditeur.

Deux chiffres résument l'état de la divulgation des vulnérabilités. 1,8 % des sites servent un fichier security.txt valide (RFC 9116), souvent celui d'un groupe ou d'un hébergeur ; 0,4 % seulement en ont un dont le contact est sur le domaine de l'entreprise. Ce n'est pas la preuve qu'aucune de ces PME ne sait recevoir un signalement, mais un chercheur qui trouve une faille sur leur site n'a, dans l'immense majorité des cas, aucune adresse publiée où l'envoyer.

Secteur par secteur

Les cinq secteurs ont été choisis parce qu'ils touchent NIS2 de près : les télécommunications et une partie du numérique (divisions NAF 61 à 63), le BTP (41 à 43), l'industrie manufacturière visée par l'annexe II (25 à 30), le transport et la logistique (49 à 53) et la santé (86). Le télécom et le numérique font mieux sur presque tout, la santé fait moins bien sur la messagerie. Lisez toujours la colonne de rattachement avant de comparer : elle dit quelle part du secteur ces chiffres décrivent.

Il faut résister à l'envie d'expliquer ces écarts. Rien dans ces données ne dit pourquoi un secteur fait mieux qu'un autre : la taille, le prestataire qui a monté le site, l'hébergeur et l'appartenance à un groupe s'y confondent. La santé en donne un exemple : ses PME rattachées appliquent rarement DMARC (91,1 % ne l'appliquent pas) mais affichent moins souvent une version en fin de vie (17,0 %) que le BTP ou l'industrie. Elles ne représentent que 6,8 % des PME de santé parcourues, le taux le plus bas des cinq secteurs.

Les télécommunications au sens strict (division 61), secteur de l'annexe I, ont été recensées en entier : 450 PME, dont 80 rattachées. Sur ces 80, 78,8 % n'appliquent pas DMARC, 51,3 % n'activent pas HSTS, 7,5 % laissent lire une version en fin de vie et 45,0 % n'envoient aucun des cinq en-têtes. Chez les 50 à 249 salariés, elles ne sont que 19 : trop peu pour publier une proportion.

Ce que change la taille

Les PME de 50 à 249 salariés font mieux que celles de 10 à 49 sur la messagerie et les en-têtes, nettement sur DMARC : 87,0 % des plus petites ne l'appliquent pas, contre 75,3 % des plus grandes. L'écart est faible sur la version en fin de vie. C'est aussi à partir de 50 salariés que la directive NIS2 s'applique, en règle générale, aux entreprises des secteurs qu'elle vise.

Le détail par secteur et par tranche suit. Toutes les cases comptent au moins 30 PME ; la plus petite est la santé en 50 à 249 salariés, avec 142.

Les sous-domaines : ce que les certificats publient

Chaque certificat TLS émis par une autorité publique est inscrit dans des journaux ouverts, les journaux Certificate Transparency. Ils listent donc les noms d'hôte d'une entreprise, y compris ceux qu'elle n'affiche nulle part : la préproduction, l'outil interne, le VPN. Ce volet porte sur un sous-échantillon fixé d'avance, les 300 premières PME rattachées de chaque secteur dans un ordre aléatoire fixe, et toutes celles de la division 61, soit 1 570 organisations.

35,4 % de ces PME ont au moins un nom, autre que le site et sa variante en www, qui répond sur le port 443. Pour 10,7 %, ce nom désigne un environnement ou un outil (dev, staging, recette, admin, vpn, gitlab…) : 9,0 % un environnement, 3,8 % un outil. 6,7 % présentent sur au moins un nom un certificat expiré, auto-signé ou qui ne couvre pas le nom, et 0,8 % publient dans le DNS public un nom qui ne résout que vers une adresse privée. Aucun nom n'a négocié une version de TLS antérieure à 1.2 dans une proportion mesurable : la borne haute de l'intervalle à 95 % est de 0,4 %.

Le télécom et le numérique sortent du lot, avec 81,8 % de PME dont un nom hors site répond. Là encore, aucune causalité : ces entreprises exploitent plus souvent des services sous leur propre domaine, et leur surface est mécaniquement plus large. La taille pèse aussi : 9,8 % des PME de 10 à 49 salariés ont un sous-domaine d'environnement ou d'outil qui répond, contre 14,7 % des 50 à 249, et les certificats défaillants passent de 5,1 % à 13,2 %. La méthode de lecture des journaux est celle de la mesure de surface réelle publiée avec le guide de l'EASM, et le mécanisme est expliqué dans l'article sur Certificate Transparency et le shadow IT.

Un repère : les organisations à programme de bug bounty

Pour situer ces chiffres, les mêmes mesures ont été appliquées aux organisations françaises qui affichent un programme public de bug bounty sur YesWeHack, HackerOne ou Intigriti : 22 couples organisation-domaine, 21 organisations, surtout de grandes structures. Ce n'est ni un groupe témoin ni un plafond à atteindre, et rien ne dit que le programme explique quoi que ce soit. C'est un repère, et il ne fait pas mieux partout.

Le repère fait mieux sur 29 des 32 indicateurs comparables, et moins bien sur trois : la redirection vers HTTPS, TLS 1.3 et l'erreur permanente de SPF. Pour les deux premiers, l'écart vient surtout des pages non obtenues : sur les 19 domaines qui ont répondu, les 19 redirigent vers HTTPS et 18 négocient TLS 1.3. Côté sous-domaines, comparer "au moins un nom qui répond" n'aurait pas de sens, un grand domaine en porte des centaines. Seuls les taux par nom se comparent : 6,4 % des noms qui répondent chez les PME ont un certificat expiré, auto-signé ou qui ne couvre pas le nom, contre 13,4 % chez le repère.

Ce que ces signaux disent de l'article 21.2

L'article 21.2 de la directive NIS2 liste dix mesures de gestion des risques, de (a) à (j). Une observation externe ne prouve jamais qu'une mesure est en place ou absente : elle donne un indice sur cinq d'entre elles. Le tableau rattache chaque signal à sa mesure. La version en fin de vie est rattachée ici à (e), maintenance et traitement des vulnérabilités ; les fichiers de l'étude la rangent sous (g), avec les autres signaux lus sur la page d'accueil.

Les cinq autres mesures, l'analyse des risques (a), la gestion des incidents (b), la continuité d'activité (c), l'évaluation de l'efficacité (f) et le contrôle d'accès (i), ne se voient pas de l'extérieur. Un security.txt est un point de contact, pas une procédure d'incident. C'est la limite de ce genre de mesure, et c'est là qu'un test prend le relais : un audit NIS2 dans son volet technique vérifie ce qu'un attaquant fait réellement de ces signaux, et rattache chaque constat aux dix mesures. Le guide de l'audit NIS2 détaille la preuve attendue mesure par mesure, et l'article sur NIS2 et les PME dit qui est concerné.

Méthode : comment l'étude a été menée

Le cadre : 67 798 PME, parcourues en entier

Le point de départ est le stock SIRENE des unités légales de l'INSEE, édition du 1er octobre 2026. Une PME y est ici une unité légale active de 10 à 249 salariés selon sa tranche d'effectif déclarée, sans contrôle du chiffre d'affaires, du bilan ni des liens de groupe : c'est une PME au sens de l'effectif seulement. Les catégories juridiques de droit public (établissements publics, collectivités) sont exclues. Cinq secteurs, définis par leur division NAF, donnent un cadre de 67 798 PME : 6 998 en télécom et numérique, 30 409 dans le BTP, 10 266 dans l'industrie, 13 666 dans le transport et la logistique, 6 459 dans la santé. La division 61 (télécommunications), qui ne pèse que 6,4 % du premier secteur, a été tirée en entier pour pouvoir en publier un chiffre propre.

Chaque secteur a été rangé dans un ordre aléatoire fixé d'avance (empreinte SHA-256 d'une graine et du SIREN), puis parcouru dans cet ordre jusqu'au bout. La méthodologie a été figée avant la première mesure, et les décisions prises en cours de route sont consignées à leur date, sans réécrire les précédentes.

Rattacher une PME à son site

Aucun moteur de recherche ni annuaire tiers n'a servi. Les domaines candidats sont fabriqués à partir des noms SIRENE (dénomination, sigle, dénominations usuelles, enseignes du siège), normalisés, puis confrontés à la liste ouverte des domaines en .fr de l'Afnic ; un candidat en .com est vérifié par une seule requête DNS. Au plus quatre domaines sont essayés par entreprise. Le lien n'est accepté que si le SIREN de l'entreprise apparaît sur la page d'accueil ou sur la page de mentions légales (en clair, dans un SIRET ou dans le numéro de TVA). Une page qui porte un autre SIREN que le sien, celui d'une maison mère ou d'un homonyme, n'est pas retenue.

Cette règle est stricte, et elle fabrique le principal biais de l'étude : seules les PME qui ont un site à leur nom et y publient leur SIREN sont mesurées. Le taux de rattachement varie de 6,8 % dans la santé à 30,8 % dans le télécom et le numérique. Dans la santé, 3 681 des 6 459 PME n'avaient même aucun domaine candidat. Les 50 à 249 salariés sont un peu plus souvent rattachées que les 10 à 49, sauf dans le numérique où les deux tranches sont à égalité.

Un recensement, pas un échantillon

Le cadre ayant été parcouru en entier, les 10 609 PME rattachées ne sont pas un échantillon : c'est toute la population des PME rattachées de ces cinq secteurs. Leurs proportions non pondérées sont exactes pour cette population. Les chiffres mis en avant dans cet article sont pourtant des ensembles pondérés par la part de chaque secteur dans le cadre, le télécom et le numérique étant en plus repondérés entre la division 61 et les divisions 62-63. Cette pondération extrapole aux PME non rattachées, en supposant qu'elles ressemblent aux rattachées dans chaque secteur. L'étude ne l'établit pas, et c'est peu probable : une PME qui publie son SIREN sur un site à son nom a déjà fait un effort de présence en ligne. Le chiffre non pondéré est donc publié à côté.

Les intervalles de confiance à 95 % des fichiers de l'étude (Wilson pour une proportion simple, approximation normale pour une estimation pondérée) ne mesurent donc aucun aléa de tirage sur les indicateurs hors sous-domaines : ils servent à juger si un écart entre secteurs ou tranches dépasse ce que le hasard produirait, et ne disent rien du biais de rattachement. Sur l'ensemble pondéré, ils font deux points de large au plus ; sur une case de 142 PME, une dizaine. Le volet sous-domaines, lui, porte sur un vrai sous-échantillon tiré au hasard parmi les rattachées, et ses intervalles gardent leur sens habituel. Quand un intervalle pondéré dégénère (proportion nulle), seule sa borne haute est publiée, comme pour le TLS ancien plus haut. Une case de moins de 30 organisations n'est publiée qu'en effectif.

Filiales de groupe et domaines partagés

Le site mesuré est celui où la PME vit réellement, après redirections. Certaines atterrissent ainsi sur le site d'un groupe : filiales redirigées vers le domaine de leur maison mère, réseaux d'agences, groupes de cliniques. Une règle fixée après la collecte, puis affinée après la contre-expertise, marque 352 organisations comme partageant leur domaine avec d'autres ou atterrissant sur le site d'une autre société ; la première version de la règle en marquait 610, à tort, en comptant le SIREN de l'hébergeur que la loi impose de citer dans les mentions légales. Retirer ces organisations déplace les indicateurs de site de 0,3 point au plus.

La règle ne voit pas les filiales qui gardent un domaine à leur nom. Au moins 75 organisations rattachées servent le même security.txt, celui d'un grand groupe dont elles sont filiales : leur DMARC, leur HSTS ou leur version de CMS sont vraisemblablement ceux du groupe. Une "PME" est ici une unité légale de 10 à 249 salariés, pas une entreprise indépendante au sens européen.

Ce qui a été mesuré

• Messagerie : SPF, DMARC, MTA-STS, TLS-RPT et DNSSEC, interrogés sur deux résolveurs publics. Quand le site redirige vers un autre domaine que celui qui porte le nom de l'entreprise (21,1 % des cas), les deux sont mesurés, et une PME n'est créditée que si les deux satisfont le critère : les deux peuvent être usurpés. DMARC est lu à son palier effectif (un pct inférieur à 100 abaisse la politique).
• Chiffrement : une poignée de main TLS sur le port 443 vers l'hôte de la page d'accueil (version, suite, validité du certificat), la redirection depuis http:// et l'en-tête HSTS.
• Page d'accueil : celle déjà obtenue pour vérifier le SIREN, sans second chargement. En-têtes de sécurité, versions annoncées comparées aux références figées le 7 octobre (WordPress, Drupal, Joomla, PHP), scripts tiers et attribut integrity.
• security.txt : une requête vers /.well-known/security.txt. Il compte comme servi s'il répond en text/plain avec un champ Contact, d'où les deux chiffres : 1,8 % servent un fichier valide, 0,4 % avec un contact sur le domaine de l'entreprise. Chez 68,7 % des PME qui en servent un, le contact est ailleurs, et un même fichier est servi par jusqu'à 75 organisations.
• Sous-domaines : les certificats des 12 derniers mois dans crt.sh, puis une résolution DNS et une poignée de main TLS par nom qui pointe vers une adresse publique.

Une mesure manquante n'est jamais créditée. Côté risque, "sans HSTS" se lit donc "HSTS non constaté", et une page qui oppose un défi anti-robot compte comme une page sans en-tête : les taux de bonnes pratiques sont des minorants. À l'inverse, une version cachée peut être vulnérable, et une version affichée peut avoir reçu un correctif rétroporté. Les scripts injectés après coup par un gestionnaire de balises ne sont pas vus.

Cadre légal et éthique

La mesure s'en tient à ce que fait un visiteur ordinaire ou un serveur de messagerie, dans le cadre de l'article 323-1 du Code pénal : aucun scan de ports, aucun autre port que 80 et 443 vers les organisations, aucun chemin deviné hormis security.txt et robots.txt, que la recherche de la page de mentions légales a respecté. Les requêtes HTTP portent le User-Agent own2pwn-research/1.0 (+https://own2pwn.fr), depuis une connexion fixe résidentielle en France, réglées pour ne pas dépasser une requête par seconde vers un même hôte (un verrou par nom d'hôte, distinct de l'ordonnanceur des sondes de sous-domaines dont il est question ci-dessous). La santé compte des sociétés d'exercice libéral qui portent le nom d'une personne : les données nominatives restent hors de toute publication, et seuls des agrégats sortent.

Débit des sondes de sous-domaines : un écart reconnu

L'étude surface-ct est la mesure de surface déclarée et de surface réelle sur 704 organisations, dont la méthode publiée annonçait le même plafond : elle porte désormais le même erratum.

La contre-expertise

Avant publication, une relecture adverse a repris les résultats hors ligne, sans aucune requête vers une organisation, et recompté les chiffres de façon indépendante depuis les données brutes. Son verdict tenait en une phrase : publiable avec corrections. Les chiffres se reproduisaient à 0,05 point près, sauf un. La version en fin de vie était sous-estimée d'environ un point, parce que les versions majeures de WordPress n'étaient pas lues sur la page de référence de l'éditeur : 753 sites sont classés vulnérables après correction au lieu de 634, et l'ensemble passe de 21,4 % à 22,3 %. Les deux autres points bloquants étaient la lecture du security.txt, d'où les deux chiffres publiés au lieu d'un, et la déclaration de débit, d'où l'erratum ci-dessus.

Dix autres constats ont été traités, dont la portée ("PME rattachées", jamais "PME françaises"), le chiffre non pondéré publié à côté, la règle des domaines partagés affinée, une phrase sur le biais de taille écrite d'après le pilote et démentie par les données (elle n'est pas publiée), le panel de bug bounty requalifié de "plafond" en repère, les intervalles dégénérés, les filiales de groupe chiffrées. Après corrections, 91 comparaisons entre les fichiers publiés et le recalcul indépendant tombent toutes à 0,05 point ou moins, écart dû au double arrondi.

Limites

• Une seule photographie. DNS, en-têtes et certificats changent ; la collecte s'étale sur trois jours, sous-domaines compris.
• Un domaine par entreprise. Les marques et les autres extensions d'une même PME ne sont pas mesurées, et un site hébergé sur une plateforme mutualisée montre surtout la posture de la plateforme.
• Un indice, jamais une preuve. Aucun indicateur ne dit qu'une mesure de l'article 21.2 est appliquée ou non ; (a), (b), (c), (f) et (i) ne sont pas observables.
• Une heuristique de nommage pour les sous-domaines. Un nom vu dans un certificat ne prouve ni que le service existe encore ni qu'il est exposé, et le lexique "environnement ou outil" repose sur le nom seul.

Le format de publication suit celui des autres mesures de première main du site, dont la mesure DMARC sur les grandes organisations publiques et cotées. Les définitions DNS et en-têtes en reprennent les règles, ce qui rend les chiffres comparables d'un panel à l'autre. Pour les spécifications de référence, voir la RFC 9116 (security.txt) et la RFC 7489 (DMARC).

À retenir

• La messagerie est le point faible : 84,7 % des PME rattachées à un site à leur nom n'appliquent pas DMARC, de 73,9 % dans le télécom et le numérique à 91,1 % dans la santé.
• Le chiffrement est en place, pas son durcissement : HTTPS et TLS 1.3 dépassent 94 %, mais 63,6 % n'activent pas HSTS et 56,5 % n'envoient aucun des cinq en-têtes.
• Une PME sur cinq affiche une version en fin de vie (22,3 %), et 10,7 % ont un sous-domaine d'environnement ou d'outil qui répond.
• Les 50 à 249 salariés font mieux, nettement sur DMARC, sans que l'étude dise pourquoi.
• La portée compte : ces chiffres décrivent 15,6 % des PME des cinq secteurs, celles qui ont un site à leur nom, et rien ne dit que les autres font mieux.

Ces signaux se lisent sans toucher à rien. Savoir ce qu'un attaquant en tire demande d'aller plus loin : c'est l'objet d'un audit NIS2 technique, qui teste vos systèmes exposés, rattache chaque constat aux mesures de l'article 21.2 et revient vérifier vos correctifs.

Questions fréquentes sur l'étude