Quinze ans après les premiers travaux de l’Observatoire de la résilience de l’Internet français, certaines fragilités semblent avoir traversé les années sans véritablement reculer. Dans leur rapport 2026, l’ANSSI et l’Afnic constatent une amélioration de la sécurité des protocoles et des échanges, mais aussi une concentration persistante des infrastructures et des fournisseurs dont dépend le fonctionnement d’Internet. Une situation qui interroge la capacité des organisations à maintenir leurs services lorsqu’un maillon de cette chaîne vient à défaillir.
Neuf ans après la précédente publication, l’Observatoire de la résilience de l’Internet français livre une nouvelle photographie des infrastructures nationales. Publié le 3 novembre par l’ANSSI et l’Afnic, le rapport 2026 examine les évolutions des réseaux, des noms de domaine et des connexions sécurisées, tout en élargissant son analyse à la messagerie électronique. Les résultats témoignent d’une modernisation réelle, portée notamment par le déploiement d’IPv6 et l’adoption de mécanismes cryptographiques plus robustes. Ils rappellent également combien la sécurité d’un service et sa capacité à résister à une défaillance relèvent de deux réalités différentes.
Quinze ans plus tard, les mêmes dépendances
Le système de noms de domaine (DNS) reste l’un des points où cette concentration est la plus marquée. Près de 80 % des zones DNS déléguées sous .fr sont hébergées dans un seul système autonome, c’est-à-dire un réseau administré par un même opérateur. Cette proportion atteignait déjà 83 % dans le rapport 2016 et avait peu évolué depuis les premières observations de 2011. Même si les périmètres de mesure ne permettent pas d’établir une évolution précise, les données disponibles suggèrent que la diversification des infrastructures DNS a peu progressé en quinze ans.
Cette concentration ne signifie pas que quatre domaines sur cinq sont directement menacés d’indisponibilité. Un opérateur peut répartir ses serveurs sur plusieurs sites et disposer de mécanismes de secours efficaces. Elle montre en revanche les limites d’une redondance qui reste confinée à un même réseau. Pour une entreprise, disposer de plusieurs serveurs DNS ne garantit pas nécessairement la continuité de ses services si ces derniers dépendent tous de la même infrastructure. La question n’est donc pas seulement de savoir combien de serveurs sont disponibles, mais ce qu’ils partagent et quelles défaillances pourraient les affecter simultanément.
Le contraste est d’autant plus intéressant que les mécanismes de protection ont sensiblement évolué. TLS 1.3 est désormais couramment pris en charge par les serveurs de la zone .fr et le déploiement de DNSSEC, destiné à vérifier l’authenticité des réponses DNS, progresse. Ces améliorations contribuent à protéger les échanges et à limiter certaines attaques, sans toutefois résoudre les risques liés à la concentration des infrastructures. Un service peut ainsi être correctement sécurisé et rester dépendant d’un fournisseur unique pour son fonctionnement.
Une concentration qui dépasse les réseaux
Le phénomène se retrouve dans la délivrance des certificats numériques, indispensables à l’établissement des connexions HTTPS. Selon l’Observatoire, près de 90 % des certificats TLS étudiés sont émis par des autorités de certification américaines, dont 75 % par une seule organisation. À l’inverse, seules 1,59 % des zones étudiées disposent d’un certificat délivré par une autorité française.
Ces chiffres ne décrivent pas une vulnérabilité immédiate. Les certificats déjà délivrés continuent généralement de fonctionner si leur autorité de certification rencontre une interruption de service. Cependant, leur renouvellement, leur révocation éventuelle ou les conditions dans lesquelles ils sont délivrés restent liés aux décisions et à la disponibilité d’un nombre réduit d’acteurs. Une dépendance qui prend une autre dimension lorsqu’elle concerne des services essentiels, soumis à des exigences élevées de continuité et de maîtrise de leurs infrastructures.
L’ANSSI et l’Afnic invitent ainsi à considérer les dépendances sous leurs dimensions techniques, mais aussi commerciales et juridiques. La disponibilité d’un service peut être affectée par une défaillance matérielle ou une cyberattaque, mais également par une décision du fournisseur ou l’application d’une législation étrangère. Le choix d’un prestataire ne se résume donc pas à ses performances ou à ses garanties de sécurité ; il engage aussi la capacité de l’organisation à conserver la maîtrise de ses services dans la durée.
La résilience se joue aussi dans les choix des entreprises
Pour les entreprises et les administrations, ces constats posent une difficulté très concrète. Les services numériques reposent sur une succession de prestataires dont les dépendances ne sont pas toujours visibles. Un hébergeur, un fournisseur DNS ou une autorité de certification peuvent intervenir à différents niveaux d’une même architecture, parfois sans que l’organisation mesure précisément ce qui dépend de chacun. Multiplier les contrats ou les solutions ne suffit pas à diversifier les risques lorsque plusieurs services reposent, en définitive, sur une infrastructure commune.
C’est l’un des enseignements que l’on peut tirer de cette édition 2026. Les progrès réalisés dans la sécurisation des protocoles témoignent des efforts engagés par les opérateurs, mais les concentrations observées depuis plus d’une décennie montrent que la résilience ne peut être appréciée à travers les seuls indicateurs techniques. Elle suppose aussi de connaître les interdépendances entre fournisseurs, de vérifier l’indépendance réelle des dispositifs de secours et d’identifier les services pour lesquels une solution de remplacement serait difficile à mettre en œuvre.
Les chiffres de l’Observatoire ne permettent pas, à eux seuls, de trancher sur la question suivante : pourquoi certaines dépendances ont-elles si peu évolué depuis quinze ans ? Les contraintes économiques, la complexité technique d’une diversification ou la confiance accordée aux grands prestataires constituent autant de pistes d’explication, sans que leur poids respectif puisse être établi à partir des données présentées. C’est pourtant dans ces arbitrages, autant que dans l’adoption de nouveaux mécanismes de sécurité, que se joue une partie de la résilience de l’Internet français.
