Defaults.Exposed › Rapports

Plongée dans le WHOIS : les TLD les plus performants en matière de sécurité des domaines (2026)

Publié 2026-06-29

Chiffres au 2026-06-28 · méthodologie v7. Données de recensement agrégées – aucune note d’entreprise individuelle n’est jamais publiée. Voir comment nous avons noté Internet.

Exécutez un dig contre l’ensemble d’Internet et un chiffre se démarque de tous les autres : parmi 260 millions de domaines notés, seuls 0,022% – environ 1 sur 4 600 – obtiennent un A ou A+, les deux meilleures notes pour la configuration de sécurité. Le niveau A est l’air le plus rare en ligne. Mais il n’est pas distribué uniformément : quelques domaines de niveau supérieur portent environ 5,8× leur part. Alors, exécutons un WHOIS sur les gagnants et demandons quels TLD configurent réellement bien la sécurité.

dig +short : le classement A/A+

Classé par la part des domaines notés de chaque TLD gagnant A ou A+ – uniquement les terminaisons à couverture robuste (au moins 100 000 domaines notés, ce qui laisse 112 TLD en lice) :

.email mène avec 0,12%. Lisez ce chiffre deux fois : même le coin le mieux configuré d’Internet n’atteint qu’une fraction de un pour cent au niveau A. « Meilleur résultat » ici est une couronne relative, pas une victoire – ce qui est le thème inconfortable qui traverse toute la courbe de notation.

WHOIS gagnant réellement

Deux tribus siègent au sommet du tableau, et aucune n’y est par hasard.

Les terminaisons des constructeurs. Les domaines comme .email, .dev et .io sont achetés, de façon écrasante, par des gens qui savent déjà ce qu’est un enregistrement MX. Les développeurs, les équipes d’infrastructure et les entreprises technologiques gravitent vers ces terminaisons – et les mêmes personnes se tournent vers DMARC, HSTS et DNSSEC par réflexe. Le TLD est vraiment un proxy pour la littératie technique de celui qui publie son DNS.

Europe du Nord. Les terminaisons de pays comme .nl, .dk et .no se regroupent près du sommet car leurs registres ont passé des années à promouvoir de bons paramètres par défaut – l’adoption de DNSSEC aux Pays-Bas et dans les pays nordiques est parmi les plus élevées de la planète. Quand un registre pousse chaque titulaire à signer sa zone, toute la courbe de notation du TLD se décale avec elle.

L’enseignement n’est pas « achetez un domaine .email et vous êtes en sécurité ». C’est que la bonne configuration se concentre chaque fois que l’acheteur ou le registre s’en soucie déjà.

Résoudre la question .com

Voici le rebondissement. La part A/A+ de .com – le plus grand domaine de niveau supérieur sur Internet – n’est que de 0,017%, en dessous de la moyenne 0,022% sur Internet et une fraction des 0,12% que .email réalise. L’échelle n’est pas la sécurité. Une terminaison avec des centaines de millions de domaines est une terminaison avec des centaines de millions de propriétaires, dont la plupart n’ont jamais publié d’enregistrement SPF – et la moyenne se résout à la baisse en conséquence.

C’est exactement pourquoi un classement récompense les terminaisons petites et opinâtres plutôt que la géante par défaut.

Ce n’est pas le TLD – ce sont les enregistrements que vous publiez

Un domaine n’obtient pas un A à cause des lettres après le point. Il en obtient un parce que quelqu’un a publié les bons enregistrements DNS et HTTP :

• Email qui ne peut pas être contrefait – SPF, DKIM et DMARC en application (p=quarantine ou p=reject), jamais p=none. (Corriger DMARC →)
• TLS bien fait – un certificat moderne valide plus HSTS. (Corriger HSTS →)
• Une zone renforcée – DNSSEC pour que les réponses ne puissent pas être contrefaites discrètement, et CAA pour que seule votre autorité choisie puisse émettre des certificats. (Corriger DNSSEC →)
• Les en-têtes de sécurité qui terminent le travail – Content-Security-Policy, X-Frame-Options et le reste.

Chacun d’eux est gratuit et disponible sur n’importe quel TLD. Les leaders les ont simplement activés. Pour le modèle complet, consultez ce que fait différemment l’élite de classe A.