La sécurité d’Internet repose parfois sur des mécanismes invisibles, dont on mesure rarement l’importance. Le DNSSEC (Domain Name System Security Extensions) en fait partie.

Cette extension du DNS permet de vérifier l’authenticité des réponses fournies par les serveurs de noms et de limiter les attaques de type DNS spoofing ou cache poisoning, qui peuvent rediriger un internaute vers un site frauduleux à son insu.

Pourtant, une étude publiée le 6 novembre 2026 par l’Internet Cleanup Foundation, portant sur près de 48 000 domaines gouvernementaux dans 31 pays européens, met en évidence un paradoxe préoccupant. Les politiques publiques et les campagnes de promotion favorisent clairement l’adoption du DNSSEC, mais elles ne garantissent absolument pas la qualité ni la maintenance des déploiements.

Adopter le DNSSEC ne veut pas dire être protégé

Les écarts entre pays sont considérables. Les Pays-Bas affichent un taux d'adoption de 100%, suivis notamment de la Suède (87,21%), du Danemark (85%) et de la Norvège (76,98%). À l'autre extrémité, Chypre, l'Irlande, le Liechtenstein et Malte n'ont enregistré aucun déploiement sur les domaines étudiés.

Ces résultats montrent assez bien l'influence des politiques gouvernementales et des initiatives des registres de noms de domaine. Neuf des onze meilleurs taux d'adoption sont associés à une politique publique, à un dispositif promotionnel des registres, ou aux deux.

Mais c'est lorsqu'on examine la qualité technique des installations que le tableau devient beaucoup moins flatteur. Aux Pays-Bas, malgré une adoption totale, seuls 34,26% des domaines disposent d'une configuration considérée comme sécurisée. En Suède et en Norvège, les résultats sont nettement meilleurs, avec respectivement 54,21% et 52,38% d'implémentations sécurisées.

Cocher la case DNSSEC ne suffit pas. Encore faut-il que la configuration soit correcte et régulièrement actualisée.

Le cas français - Une dette technique qui ne dit pas son nom

La situation française mérite une attention particulière. Sur les 19 001 domaines gouvernementaux étudiés, seulement 20,16% utilisent le DNSSEC. Plus inquiétant encore, à peine 0,82% présentent une configuration jugée sécurisée.

La principale faiblesse identifiée concerne la longueur des clés cryptographiques RSA. Plus de 90% des déploiements DNSSEC français utilisent des clés inférieures aux recommandations actuelles.

L'étude avance une explication intéressante. Une campagne promotionnelle de l'AFNIC, terminée fin 2013, aurait favorisé des configurations qui n'ont ensuite jamais été actualisées. Les paramètres cryptographiques considérés comme acceptables à l'époque sont aujourd'hui dépassés.

C'est précisément le problème, une infrastructure de sécurité n'est jamais un investissement que l'on peut considérer comme définitivement terminé. La cryptographie évolue, les capacités de calcul progressent et les recommandations doivent suivre.

La maintenance, grande absente des politiques publiques

Ce constat dépasse largement le cas de l'hexagone. L'étude montre que plusieurs gouvernements européens ont intégré le DNSSEC dans leurs exigences de sécurité, sans pour autant prévoir explicitement les opérations de maintenance nécessaires.

L'Allemagne illustre également les limites d'une approche trop restrictive. Sa politique cible certains portails administratifs, laissant potentiellement de nombreux autres domaines gouvernementaux en dehors du périmètre.

À mon sens, les politiques publiques savent encourager l'adoption d'une technologie, notamment grâce aux obligations réglementaires et aux incitations financières. En revanche, elles peinent encore à intégrer la sécurité dans une logique de cycle de vie.

Une technologie de sécurité ne vaut que par sa capacité à rester efficace dans le temps. Déployer le DNSSEC sans surveiller les signatures, renouveler les clés et adapter les algorithmes revient à installer une serrure performante sans jamais vérifier son état.

L'Internet Cleanup Foundation recommande donc aux gouvernements européens d'intégrer le DNSSEC dans leurs politiques de sécurité, mais surtout d'y associer des exigences de maintenance et des contrôles réguliers, notamment avec des outils comme Zonemaster.