Nous avons analysé les 4,7 millions de .fr : un sur deux n’est pas un site

On parle souvent du web français comme d’un ensemble de sites. Nous avons voulu le compter. Fin octobre, notre robot a interrogé chacun des 4,7 millions de noms de domaine en .fr publiés par l’Afnic, sans échantillon ni extrapolation, et relevé ce que chacun affiche réellement.

Le résultat tient en sept pages, une par volet, réunies dans notre étude « État du web en .fr ». En voici les cinq constats qui nous ont le plus marqués.

Un .fr sur deux n’est pas un site#

Sur 4,7 millions de noms, 2,3 millions seulement affichent un site actif. Les autres ne répondent pas, répondent par une erreur, ou présentent une page qui n’est pas un site : 573 000 domaines affichent encore « en construction », plus de 200 000 sont parqués, près de 90 000 sont à vendre.

Enregistrer un nom coûte quelques minutes, et le renouvellement automatique le fait vivre indéfiniment. Mais pour un prospect qui tape le nom de votre entreprise, un chantier en vitrine dit « entreprise à l’arrêt ». Le détail du parc.

Le PHP vieillit sous les sites#

C’est le chiffre qui devrait inquiéter le plus. PHP fait tourner la moitié des sites actifs, dont tous les WordPress. Or 44,5 % des sites qui affichent leur version de PHP tournent sur une version qui ne reçoit plus de correctifs de sécurité. PHP 7.4, abandonné en 2022, reste l’une des versions les plus répandues.

Et la situation va se dégrader sans que personne ne touche à rien : PHP 8.2 sort du support le 31 décembre. Au 1er janvier, la part passera à 58,5 %.

Le hasard du calendrier a ajouté un test grandeur nature : le 21 octobre, deux jours avant notre relevé, le projet PHP a publié un correctif pour deux failles critiques permettant d’exécuter du code à distance. Quelques jours plus tard, 30,5 % des sites sur une branche encore maintenue n’affichaient pas la version corrigée, et 79 000 sites tournaient sur une branche pour laquelle aucune version corrigée officielle n’existe. Le volet PHP détaille ces chiffres branche par branche, avec leurs limites.

HTTPS est la norme, pas encore la règle#

87 % des sites actifs sont servis en HTTPS valide. Il en reste pourtant plus de 300 000 sans HTTPS ou avec un certificat que les navigateurs refusent : le visiteur y voit une alerte en pleine page, ou la mention « Non sécurisé ». Le volet HTTPS.

WordPress est l’infrastructure par défaut#

WordPress équipe 38 % des sites actifs, plus de dix fois son premier concurrent, et son extension WooCommerce 15 %. Bonne nouvelle : le CMS se met à jour tout seul, et la grande majorité des installations sont sur la dernière branche. Le maillon faible est ce qu’il y a dessous : WordPress représente les deux tiers des sites en PHP hors support. Le volet technologies.

Beaucoup de sites existent sans rien dire#

Le site médian compte une douzaine de pages, et un tiers des WordPress mesurés n’ont jamais publié un seul article. Pour être trouvé sur Google, ou cité par un assistant comme ChatGPT, c’est trop peu : on ne se positionne que sur ce qu’on a écrit. Le volet contenu, et celui sur les redirections, qui montre que près de 15 % des .fr ne sont qu’un panneau vers un autre domaine.

Une étude ouverte#

La méthodologie détaille ce que nous avons mesuré, comment, et surtout ce que la mesure ne permet pas de dire. Les données agrégées sont téléchargeables en JSON, sous Licence Ouverte 2.0 : réutilisez-les, citez-nous.

Pour la lire hors ligne ou la partager, l’étude existe aussi en dossier complet A4 (ou A5), et en diaporama de 13 pages, au format portrait pour LinkedIn ou paysage. Elles ne contiennent aucune donnée par domaine, et nous ne nommons aucun site à propos d’un défaut de sécurité.

Et votre site ?#

Trois questions suffisent pour savoir de quel côté des statistiques vous êtes : votre site est-il servi en HTTPS sans alerte ? Quelle version de PHP le fait tourner, et jusqu’à quand est-elle maintenue ? Quand avez-vous publié une page pour la dernière fois ? Si l’une des réponses vous échappe, c’est exactement le périmètre d’un audit technique.