Prestataires cyber mobilisés par l'État : plus d'un sur trois laisse sa messagerie usurpable

Ce que j'ai mesuré, et comment le vérifier

Le 28 octobre 2026, j'ai pris une photographie de chaque acteur à partir d'informations publiques uniquement, sans aucune intrusion :

• La messagerie du domaine de l'adresse de contact déclarée (et du site, s'il est différent) : SPF, DMARC, DKIM, DNSSEC, MTA-STS. Le verdict est exactement celui de mon test en ligne, sans note : protégé, ou usurpable. Chaque protection est expliquée simplement dans mon guide SPF, DKIM, DMARC expliqués simplement.
• Le site web : la note de l'Observatory de Mozilla (son moteur open source, même barème), le certificat HTTPS et le fichier security.txt. Le guide Sécurité d'un site web : HTTPS, HSTS, CSP expliqués simplement détaille chaque critère et la note de Mozilla.

Cette page est une photographie datée du 28 octobre 2026 : elle ne sera pas mise à jour. Pour connaître l'état actuel d'un acteur, chaque ligne du tableau final propose un bouton « Re-tester » qui relance l'analyse sur mon site, et un bouton vers SHS, l'observatoire des en-têtes de sécurité de Vincent Schneider (Cyber Alsace), où chacun peut inscrire son site et suivre son historique dans le temps.

Les labels ne font pas la configuration

On pourrait penser qu'un visa de l'ANSSI ou un label garantit au moins une messagerie verrouillée. Ce n'est pas ce que montrent les chiffres : l'écart avec la moyenne tient en quelques points.

Parmi ceux qui cochent « messagerie » dans les thèmes de sécurité qu'ils traitent et affichent un visa ou un label, 17 restent usurpables au 28 octobre 2026 :

• ORANGE CYBERDEFENSE (PASSI, PDIS, PACS, PRIS · ExpertCyber) : orange.com, DMARC en simple surveillance ; site noté A+
• NUMERYX TECHNOLOGIES (SecNumCloud · France Cybersecurity) : numeryx.fr, DMARC en simple surveillance ; site noté F
• Docaposte (eIDAS, PVID, SecNumCloud, PASSI, CSPN · France Cybersecurity) : docaposte.fr, DMARC en simple surveillance ; site noté F
• ACESI (ExpertCyber) : ace-si.com, DMARC en simple surveillance ; site noté B
• Actadata – SAS Data Droit Protection & Expertise (PASSI) : actadata.fr, DMARC p=none sans rapports ; site noté B
• QUICK SOURCE (France Cybersecurity) : quicksource.fr, aucun DMARC ; site noté D-
• GATEWATCHER (CSPN · France Cybersecurity · France 2030) : gatewatcher.com, DMARC p=none sans rapports ; site noté F
• Anthéa (ExpertCyber) : anthea-si.fr, DMARC en simple surveillance ; site noté C
• AVANGARDE (PASSI · ExpertCyber · France Cybersecurity) : avangarde-consulting.com, DMARC p=none sans rapports ; site noté B
• COMPAGNIE PHOCEENNE D EQUIPEMENTS MULTISITES (France Cybersecurity) : effseit.fr, DMARC p=none sans rapports ; site noté F
• ARTELIA DIGITAL SOLUTIONS (SecNumCloud) : arteliadigitalsolutions.fr, DMARC en simple surveillance ; site noté F
• N-CyP (SecNumCloud · ExpertCyber) : n-cyp.com, aucun DMARC ; site noté F
• ACG CYBERSECURITY (PASSI · ExpertCyber · France Cybersecurity) : acgcybersecurity.fr, DMARC en simple surveillance ; site noté F
• CSM - Cybersécurité Management (ExpertCyber) : cybersecurite-management.fr, DMARC en simple surveillance ; site noté B
• CYBER PREVENTYS (ExpertCyber) : cyberpreventys.com, DMARC invalide ; site noté F
• DATIGARD (Certification CC) : datigard.com, DMARC p=none sans rapports ; site noté D-
• ERCOM (CSPN, PASSI, Certification CC) : ercom.fr, DMARC en simple surveillance ; site noté F

Les paradoxes : vitrine A+, courrier ouvert

Sur les 7 sites notés A+, la note maximale de Mozilla, plusieurs appartiennent à des acteurs dont la messagerie reste ouverte. La preuve que la sécurité d'un site et celle d'une messagerie sont deux chantiers distincts, et que même les plus soigneux en oublient un.

• Cybereval, Cyrenity et Nystek : site noté A+, aucun DMARC.
• Veyan : site A+ (125/100) et domaine veyan.fr protégé, mais l'adresse de contact déclarée est sur un autre domaine, bogenschutz.fr, sans DMARC.
• Orange Cyberdefense : site A+ et orangecyberdefense.com en p=reject, exemplaire. Mais l'adresse de contact déclarée est sur orange.com, dont le DMARC est en simple surveillance (p=none).
• CartographIT : site A+, adresse de contact sur un domaine inexistant (voir plus haut).

À l'inverse, de grands noms au domaine verrouillé affichent un site noté F : KPMG Advisory (kpmg.com), SFR (sfrbusiness.fr), ou le site Thales déclaré par ERCOM.

Ceux qui montrent l'exemple

Domaine en p=reject et site noté au moins B+ : la bonne configuration est à portée de main, et ces acteurs l'ont posée.

• Adacis : adacis.net en p=reject, site noté B+
• Tranquil IT : tranquil.it en p=reject, site noté B+, DNSSEC, MTA-STS, security.txt
• SANCUAC : sancuac.fr en p=reject, site noté B+, DNSSEC, security.txt
• INSPEERE : inspeere.com en p=reject, site noté B+, DNSSEC
• BULL SAS : eviden.com en p=reject, site noté B+, security.txt
• COREO : coreo-group.fr en p=reject, site noté B+
• EQUANS DIGITAL CYBER : equans.com en p=reject, site noté B+, DNSSEC, security.txt
• SOOIZ : sooiz.fr en p=reject, site noté B+, DNSSEC, security.txt

Mention spéciale à Tranquil IT, le seul à cumuler rejet DMARC, DNSSEC, MTA-STS et security.txt.

Les 224 acteurs, un par un

Photographie du 28 octobre 2026, à partir des informations déclarées dans le recensement (fichier du 14 janvier 2026, exploré le 8 février 2026). Les noms de personnes physiques ont été retirés.

Accompagner ceux qui n'ont pas d'expert sous la main

Cette étude ne vise personne. Il y a en France des experts qui font un travail remarquable, et certains figurent ici. Mais elle pose une question : quelle est la maturité réelle de l'expertise cyber, entre ceux qui se disent cyber et ceux qui le sont vraiment ? Le plombier qui a une fuite chez lui n'est pas le meilleur argument pour sa propre plomberie.

Beaucoup d'entrepreneurs, de la TPE à l'ETI, ne peuvent pas s'appuyer sur un service de sécurité interne. C'est pour eux que je fais ce travail : les aider à atteindre, pas à pas, un niveau de sécurité sur Internet de plus en plus avancé. Je suis Fabrice Hallé, courtier en assurance indépendant à Chessy (Val d'Europe), après 18 ans d'ingénierie réseaux télécom. J'accompagne mes clients sur toutes leurs assurances, dont la cyber, avec le même niveau d'exigence technique que je m'applique au quotidien : vérifier une messagerie, aider à corriger un site web, comprendre un risque avant de l'assurer. C'est cela, pour moi, le devoir de conseil.