Au-delà de PHP : langages, serveurs et systèmes des sites en .fr

PHP écrase tout, et le volet qui lui est consacré le détaille. Mais il reste des dizaines de milliers de sites en .fr construits avec d’autres langages, et servis par des serveurs dont la version se lit dans les en-têtes HTTP. Ce volet fait le tour de ce qui est visible, et de ce qui n’est plus maintenu.

des sites actifs ne laissent deviner aucun langage

46,3 %

des sites actifs ne laissent deviner aucun langage

Citer ce chiffre

des serveurs Windows identifiables tournent sur une version sans support

10,4 %

des serveurs Windows identifiables tournent sur une version sans support

Citer ce chiffre

des sites Python à version visible sont sur une branche en fin de vie

44,3 %

des sites Python à version visible sont sur une branche en fin de vie

Citer ce chiffre

Les langages détectés

Hors PHP, aucun langage ne dépasse quelques pour cent des 2 327 297 sites actifs. Node.js, porté par les frameworks JavaScript comme Next.js, arrive en tête, devant ASP.NET, le langage web de Microsoft. Python, Java et Ruby restent confidentiels sur les sites vitrines. Surtout, 46,3 % des sites ne trahissent aucun langage : sites statiques, plateformes hébergées ou serveurs correctement configurés.

1. PHP 50,8 % (1 181 987)
2. Node.js 2,0 % (45 789)
3. ASP.NET 0,6 % (14 339)
4. Java 0,2 % (5 084)
5. Python 0,1 % (2 621)
6. Ruby 0,0 % (808)

En part des 2 327 297 sites actifs. 1 076 669 sites ne laissent deviner aucun langage.

Qui affiche sa version ?

Tous les langages ne se dévoilent pas de la même façon. Node.js, Java et Ruby n’annoncent pratiquement jamais leur version : impossible de savoir s’ils sont à jour depuis l’extérieur. ASP.NET et Python, eux, le font assez souvent pour qu’on en tire une mesure.

Windows Server : la version se lit dans IIS

Le serveur web de Microsoft, IIS, annonce son numéro de version, et chaque version d’IIS est livrée avec une version précise de Windows Server. Sur les 14 229 sites servis par IIS qui la laissent voir, 1 476 tournent sur un Windows Server que Microsoft ne maintient plus.

1. Windows Server 2016 ou plus récent 89,6 % (12 753)
2. Windows Server 2012 R2· fin de support 6,1 % (871)
3. Windows Server 2012· fin de support 0,4 % (61)
4. Windows Server 2008 R2· fin de support 3,1 % (435)
5. Windows Server 2008· fin de support 0,3 % (38)
6. Windows Server 2003· fin de support 0,4 % (62)
7. Windows 2000 Server· fin de support 0,1 % (9)

Base : 14 229 sites actifs servis par IIS à version visible. IIS 10 équipe Windows Server 2016, 2019, 2022 et 2025, que l’on ne peut pas distinguer.

Le cas de Windows Server 2012 R2 (871 sites) est le plus parlant. Son support étendu a pris fin le 10 octobre 2023, et la troisième et dernière année de mises à jour de sécurité étendues, payantes, s’est achevée le 13 octobre 2026, dix jours avant notre relevé. Plus aucun correctif n’est publié, quel que soit le contrat. Windows Server 2008 R2, lui, n’est plus maintenu depuis janvier 2020.

Même la ligne « 2016 ou plus récent » mérite attention : le support de Windows Server 2016 s’arrête le 12 janvier 2027. Une partie de ces serveurs basculera hors support dans moins de trois mois.

Python : des branches en fin de vie

Python n’affiche sa version que sur une petite partie des sites qui l’utilisent, mais le tableau est net. Au moment du relevé, seules les branches 3.11 et suivantes étaient maintenues ; la 3.10 venait d’arriver en fin de vie, le 1er octobre 2026. On trouve encore du Python 2.7, abandonné depuis le 1er janvier 2020.

1. 3.14 3,7 % (21)
2. 3.13 5,2 % (30)
3. 3.12 36,2 % (208)
4. 3.11 10,6 % (61)
5. 3.10· fin de vie 15,1 % (87)
6. 3.9· fin de vie 7,3 % (42)
7. 3.8· fin de vie 7,5 % (43)
8. 3.7· fin de vie 6,4 % (37)
9. 3.6· fin de vie 2,1 % (12)
10. 3.5· fin de vie 1,0 % (6)
11. 3.3· fin de vie 0,2 % (1)
12. 2.7· fin de vie 4,7 % (27)

Base : 575 sites actifs dont la version de Python est visible.

ASP.NET

Côté Microsoft, l’en-tête de version d’ASP.NET désigne une famille plutôt qu’une version précise : « 4.0.30319 » couvre toutes les versions du .NET Framework 4.x. Il ne permet donc pas de dire si l’application est à jour, mais il montre que l’immense majorité de ces sites reposent sur le .NET Framework historique, et non sur le .NET moderne multiplateforme.

1. .NET Framework 4.x 96,5 % (3 995)
2. .NET Framework 2.0 à 3.5 3,5 % (144)

Base : 4 139 sites actifs dont la version d’ASP.NET est visible.

Apache et nginx : des versions affichées, pas toujours parlantes

7,5 % des sites servis par Apache et 11,1 % de ceux servis par nginx annoncent leur version exacte. Attention à la lecture : les distributions Linux comme Debian ou Ubuntu figent un numéro de version pour toute la durée de vie de leur version, et y appliquent les correctifs de sécurité sans le changer. Une version ancienne à l’affichage n’est donc pas forcément vulnérable ; elle indique surtout l’âge du système qui l’héberge.

1. 2.4.68 22,9 % (12 793)
2. 2.4.69 18,9 % (10 607)
3. 2.4.38 10,3 % (5 762)
4. 2.4.52 7,4 % (4 117)
5. 2.4.58 7,2 % (4 035)
6. 2.4.67 7,1 % (3 990)
7. 2.4.10 5,4 % (2 997)
8. 2.4.25 3,6 % (2 003)
9. 2.4.62 3,2 % (1 813)
10. 2.4.29 2,8 % (1 577)
11. 2.4.41 2,8 % (1 567)
12. 2.4.66 2,6 % (1 440)
13. 2.4.59 2,4 % (1 356)
14. 2.4.6 2,2 % (1 221)
15. 2.4.37 1,3 % (708)

Base : 55 986 sites actifs, parmi les 15 versions les plus fréquentes.

Les systèmes d’exploitation

Quand le serveur le laisse voir, le système est d’abord Linux, Debian et Ubuntu en tête, puis Windows. La plupart des sites ne disent rien de leur système : ces chiffres ne portent que sur ceux qui le font.

1. Debian 41,2 % (37 203)
2. Ubuntu 36,0 % (32 461)
3. Windows Server 2016+ 14,1 % (12 753)
4. Unix 3,3 % (2 956)
5. Centos 1,7 % (1 506)
6. Windows Server 2012 R2 1,0 % (871)
7. Almalinux 0,9 % (795)
8. Win64 0,6 % (551)
9. Windows Server 2008 R2 0,5 % (435)
10. Rocky 0,5 % (430)
11. Fedora 0,2 % (164)
12. Freebsd 0,1 % (104)

Base : 90 229 sites actifs dont le système est visible.

Ce que cela veut dire pour vous

Un site n’est jamais plus à jour que le système qui le sert. Le langage, le serveur web et le système d’exploitation ont chacun leur propre calendrier de fin de support, rarement suivi de près une fois le site livré. Si vous ne savez pas sur quoi tourne votre site, ni jusqu’à quand ces briques sont maintenues, c’est la première question à poser à votre prestataire, et le point de départ d’un audit technique.