Résumé

  • L’étude présentée le 10 septembre sur Internet Society Pulse porte sur environ un million d’URL gouvernementales dans 61 pays et sépare l’hébergement, le DNS faisant autorité et les autorités de certification.
  • Les auteurs parlent de concentration « structurelle » lorsque le secteur public ressemble au web commercial du même pays, et « stratégique » lorsque les répartitions s’écartent de manière significative. Cet écart suggère une influence institutionnelle; il ne constitue pas la trace d’un achat.
  • Les administrations classées stratégiques sont souvent plus localisées et affichent une latence d’hébergement plus faible. En revanche, aucune des deux catégories ne présente généralement une véritable redondance de prestataires.
  • Un reçu public de dépendance et de décision devrait joindre à chaque mesure l’autorité responsable, les options alors disponibles, le compromis accepté, la portabilité réelle, le dernier essai de sortie et la date de réexamen.

Une observation technique ne reconstitue pas un dossier administratif

Un portail fiscal et un site de ministère ressemblent à des pages web ordinaires jusqu’au jour où une panne commune empêche plusieurs services publics de répondre. La question de la concentration ne porte donc pas seulement sur la concurrence entre fournisseurs. Elle porte sur la continuité de l’État et sur la personne qui a accepté le risque partagé.

Le billet publié par Internet Society Pulse le 10 septembre rend compte d’un travail de Rashna Kumar, Fabián E. Bustamante, Marinho Barcellos et Amreesh Phokeer. Les auteurs ont étudié près d’un million d’URL gouvernementales dans 61 pays, représentant plus de 82 % de la population mondiale connectée. Le texte est signé par une autrice invitée et précise que les opinions exprimées ne sont pas nécessairement celles de l’Internet Society.

La comparaison ne repose pas sur un unique palmarès mondial. Pour chaque pays, les sites publics sont confrontés à trois groupes de sites commerciaux: les plus fréquentés, un groupe intermédiaire et un groupe situé plus bas dans la distribution de popularité. L’objectif est d’éviter que quelques grandes plateformes internationales définissent seules la référence.

La présentation de recherche détaille le dispositif. Les domaines publics proviennent de sources officielles. La collecte, effectuée à travers une connexion VPN locale au pays, relève les organisations qui hébergent les ressources de la page d’accueil, les serveurs DNS faisant autorité et les autorités de certification visibles lors de la négociation TLS. Les sites commerciaux proviennent de CrUX; mille domaines sont échantillonnés dans chacune des trois strates.

La concentration est exprimée par l’indice Herfindahl-Hirschman. Cinq mille rééchantillonnages servent à construire, pour chaque pays, couche et strate, une distribution de l’écart entre l’indice commercial et l’indice gouvernemental. Cette architecture donne un regard extérieur cohérent. Elle peut révéler qu’un catalogue d’achat apparemment ouvert aboutit, dans le code déployé, à un petit nombre d’opérateurs.

Elle ne peut cependant pas lire le dossier de marché public. Un nom de serveur ne dit pas si une solution concurrente satisfaisait l’homologation, la résidence des données, le budget ou les délais à la date du choix. Il ne montre ni l’exception signée, ni le responsable du renouvellement, ni les coûts d’intégration, ni le test de réversibilité. Ce sont deux objets de preuve différents.

« Stratégique » doit rester le nom d’un écart mesuré

Lorsque les distributions publiques et commerciales se ressemblent, les chercheurs qualifient la consolidation de structurelle. Le marché local peut alors offrir peu de prestataires, et une réforme des achats publics ne suffira pas nécessairement à créer de nouvelles capacités d’hébergement ou de DNS.

Lorsque l’écart est statistiquement significatif, ils parlent de consolidation stratégique. Le billet indique que les règles d’achat, les plateformes approuvées, les exigences de conformité ou d’autres décisions de gouvernance peuvent façonner la répartition. Le verbe « peuvent » protège une frontière essentielle. Le calcul repère un résultat compatible avec une action institutionnelle; il ne prouve pas l’intention d’un gouvernement particulier.

Les exemples rendent la méthode concrète. L’Australie et le Viêt Nam illustrent la catégorie structurelle. En Inde, plus de 85 % des sites gouvernementaux observés dépendent du National Informatics Centre pour le DNS et l’hébergement, selon la présentation. Le profil des certificats est différent: eMudhra représente 17 % des chaînes gouvernementales observées. Le Kazakhstan et l’Algérie sont également montrés comme des cas stratégiques.

Ces constats ne sont ni un acte d’accusation ni un audit de légalité. Une centralisation publique peut résulter d’une exigence de sécurité, d’une plateforme commune, d’un manque de compétences distribuées ou d’un choix de performance. La décrire ne suffit pas à évaluer le choix.

La couche des certificats constitue d’ailleurs un avertissement méthodologique. Le Web PKI repose déjà sur un ensemble limité d’émetteurs reconnus par les navigateurs. Un indice élevé y raconte une histoire différente de celle d’un marché d’hébergement. Une administration peut centraliser ses certificats, répartir son DNS et confier son contenu à plusieurs hébergeurs. Une note unique de « souveraineté » effacerait ces responsabilités distinctes.

La catégorie structurelle ne doit pas davantage servir d’excuse. Même face à un marché étroit, une administration décide de la durée du contrat, du format des données, du couplage de ses applications, de la sauvegarde du DNS et du moment où une sortie sera testée. La contrainte réduit le choix; elle n’annule pas le devoir de continuité.

La localisation peut améliorer le service sans créer un secours

L’étude évite une conclusion automatique selon laquelle toute concentration serait mauvaise. Les gouvernements classés stratégiques disposent souvent d’une infrastructure plus locale et d’une latence plus faible. Une version antérieure indexée sur SSRN chiffre à 16 % l’écart de latence d’hébergement. Une plateforme commune peut donc apporter proximité, normalisation et simplicité opérationnelle.

Mais le résultat sur la redondance est moins rassurant. Dans les deux catégories, les administrations ne s’appuient généralement pas sur plusieurs prestataires indépendants capables d’assurer un véritable repli. Deux contrats ne forment pas deux chemins si leurs DNS, leurs identités, leurs liaisons ou leur plan de contrôle sont communs.

L’indice de concentration ne peut pas le vérifier. Il répartit des parts observées entre des fournisseurs; il n’exécute aucune bascule. Une faible concentration n’atteste ni la fraîcheur des données secondaires, ni la présence de clés utilisables, ni la capacité disponible, ni l’autorité d’ordonner le passage au secours. Une forte concentration, inversement, ne démontre pas que les avantages acceptés étaient injustifiés.

Les pouvoirs publics britanniques fournissent une approche utile dans leur guide sur le verrouillage technique dans le nuage, mis à jour le 3 septembre. Le document reconnaît qu’un certain verrouillage est inévitable. Il demande de surveiller le portefeuille, d’estimer le temps et le coût de sortie, de préparer des plans de continuité et, si cela est pertinent, de reconstruire ou tester périodiquement des composants dans un autre environnement. La décision doit associer équipes commerciales, financières et techniques.

Le règlement européen sur les données traite un autre maillon: les droits de changement de service de traitement de données doivent figurer par écrit, avec assistance, continuité et information sur les risques connus. Ce cadre n’est pas une règle mondiale pour tous les DNS ou certificats. Il montre néanmoins comment une promesse de mobilité devient une obligation attribuée.

Le reçu doit dire pourquoi la dépendance existe encore

Le bon complément à la carte des fournisseurs est un reçu de décision. Pour chaque service matériel, il indiquerait la fonction publique, sa criticité et l’autorité responsable. L’hébergement, le DNS faisant autorité et la chaîne de certification resteraient des lignes séparées. À la mesure seraient attachés sa date, son périmètre, son dénominateur et ses limites.

Le reçu relierait ensuite cette observation au marché ou à la décision d’architecture applicable. Il énumérerait les solutions réellement disponibles à l’époque, les conditions d’homologation, les contraintes juridiques et les motifs d’exclusion. Si une plateforme approuvée ou une urgence a fermé le choix, il nommerait l’autorité, la durée et la date d’expiration.

Le compromis doit rester visible. Localisation, latence, coût, sécurité, intégration et compétences peuvent justifier une dépendance accrue. Le public doit pouvoir voir qui a accepté ces gains et quel risque commun les accompagne. Un simple nombre de prestataires ne permet pas cette appréciation.

Enfin, le reçu porterait la preuve opérationnelle: données et configurations exportables, délai et coût de migration, indépendance du secours, dernier essai de reprise, obstacles non résolus et prochain examen. « Multicloud » n’aurait aucune valeur probante sans chemin de bascule éprouvé.

Cette proposition est un test éditorial de Daniel Kade, non un dispositif annoncé par les chercheurs ou l’Internet Society. Elle distribue correctement l’autorité: la recherche mesure l’extérieur du système; l’administration explique et assume la décision intérieure.

Le marché de référence n’est ni un juge ni un alibi

Comparer l’État aux sites commerciaux du même pays neutralise une partie du contexte. Cela ne signifie pas que les deux groupes poursuivent les mêmes fins. Une boutique optimise une conversion; une caisse publique doit respecter la conservation des dossiers, l’accessibilité, la sécurité, la continuité et parfois la résidence des données. Une divergence peut être parfaitement rationnelle.

La similitude n’acquitte pas non plus l’autorité. Si le marché entier dépend de deux prestataires, le service public doit encore connaître l’effet d’une panne sur les soins, les prestations ou les tribunaux. L’affirmation « c’est la structure du marché » doit être étayée par la liste des capacités absentes, les barrières d’entrée et les solutions écartées.

L’OCDE rapporte que 27 pays sur 36 disposaient en 2025 de lignes directrices dédiées aux achats numériques, mais que 20 seulement employaient un éventail plus large de mécanismes adaptés à la livraison numérique. Une règle centrale peut rendre les achats cohérents; sans compétences et contrats flexibles, elle peut aussi renforcer la standardisation.

Le million d’URL est donc une sonde puissante, pas un substitut à la reddition de comptes. La gouvernance commence lorsque le résultat mesuré peut être confronté au choix signé qui l’a produit.

Sources