Que veut dire « certificat refusé » ?

Le domaine répond bien en TLS, et le certificat présenté n'est pas accepté par le magasin de confiance public : expiré, auto-signé, émis pour un autre nom, ou servi avec une chaîne incomplète. La connexion est chiffrée, et le navigateur arrête quand même le visiteur.

Que mesure exactement cet indice ?

La part des domaines .fr servis en HTTPS avec un certificat valide, celle dont le certificat est refusé, celle qui ne répond qu'en clair, et la part des réponses TLS qui portent un en-tête HSTS. Relevé chaque semaine sur un panier figé de 15 000 domaines tirés du fichier open data de l'Afnic.

Pourquoi lire le certificat du domaine plutôt que celui du site d'arrivée ?

Parce que l'adresse tapée est celle du domaine. Un domaine qui redirige vers un autre hôte présente d'abord son propre certificat, et c'est celui-là que le navigateur juge. Lire celui de la destination reviendrait à publier le certificat des grands hébergeurs devant les domaines de leurs clients.

Le chiffrement du parc .fr

Ce qu'un navigateur obtient en ouvrant l'adresse d'un domaine .fr, avant même la page.

Au relevé du 21/09/2026, 61,9 % des domaines .fr qui répondent sont servis en HTTPS avec un certificat que le navigateur accepte.

HTTPS, certificat valide

61,9 %

Certificat refusé

8,8 %

En clair seulement

29,3 %

Imposent HTTPS (HSTS)

32,8 %

Ce sur quoi un visiteur est arrêté

38,1 % des domaines .fr arrêtent le visiteur avant la page : 8,8 % sur un certificat que le navigateur refuse, 29,3 % faute de TLS exploitable.

Les deux cas sont publiés séparément et se lisent ensemble : ils ont des causes différentes et produisent le même écran, celui qui demande au visiteur de passer outre.

L'évolution semaine après semaine

Voir les chiffres en tableau

Date	HTTPS, certificat valide
2026-09-21	61,9 %
2026-09-14	61,4 %
2026-09-07	61,1 %
2026-09-05	61,1 %
2026-09-04	61,0 %

La méthode

Le panier: Le même panier que les autres indices du parc .fr : 15 000 domaines tirés au sort dans le fichier open data de l'Afnic, qui recense les 4 590 553 domaines .fr actifs. Le tirage classe chaque domaine par l'empreinte sha256 de son nom, et la graine publiée suffit à le rebâtir.
La cadence: Chaque domaine est appelé le lundi, dans le passage hebdomadaire qui ouvre déjà le panier. Le panier reste le même d'une semaine à l'autre : un mouvement de la série est une décision du parc.
La lecture: Le verdict vient d'une poignée de main TLS sur le port 443 du domaine tiré, et non de la page qu'il finit par servir. Beaucoup de domaines .fr renvoient leur racine vers un autre hôte, et le certificat lu après la redirection est celui de la destination : la poignée de main séparée garantit que le certificat jugé est bien celui du domaine.
L'en-tête HSTS: Strict-Transport-Security est compté sur les réponses arrivées en TLS, c'est-à-dire sur celles qui pouvaient le porter. Un site qui offre HTTPS et un site qui l'impose sont deux affirmations différentes, et cette part publie la seconde.
La base: Le verdict existe pour tout domaine qui répond sur le réseau, même quand la page suivante est refusée ou en erreur : la poignée de main n'attend pas de page. Soit 80 % du panier relevé.
L'API: GET https://api.stileex.xyz/v1/series/fr/web-encryption-share/latest

Mesurés sur le même panier, dans le même passage hebdomadaire : Le retard de correctif WordPress en France et Les CMS du parc .fr