GuiGui's Show

L’Hôpital privé de la Loire (HPL) est une clinique privée du groupe Ramsay santé.

Entre le 26 juin et le 1er juillet 2025, elle a subi une intrusion informatique via son service d’accès à distance dédié aux praticiens. Environ 524 000 fiches patients, 202 000 fiches de personnes de confiance, des justificatifs d’identité, et les données de santé de 43 patients ont été exfiltrées. La CNIL a reçu neuf plaintes.

[…]

Le Rapporteur de la CNIL a soulevé les griefs suivants :

• Accès distant par le web avec un identifiant + mot de passe, sans VPN ni authentification multifacteurs […] La double authentification (2FA) était prise en charge par l’outil mais désactivée ;
  
  
• Absence d’habilitations fines : tous les praticiens pouvaient accéder aux données à caractère personnel de tous les patients et personnes de confiance ;
  
  
• Absence d’analyse automatique des journaux des événements informatiques (logs), ni en différé, ni en temps réel. Cinq jours d’exfiltration ont eu lieu sans réaction. La violation a été découverte par le service informatique intervenant auprès d’un praticien qui ne parvenait plus à se connecter au Dossier Patient Informatisé (DPI) ;
  
  
• Les mots de passe ont été remplacés par un unique commun à tous les utilisateurs, communiqué par le directeur, leur retirant tout caractère secret ;
  
  
• Dans le cadre du contrat de maintenance, l’éditeur logiciel avait accès aux données en permanence et sans contrôle ;
  
  
• Absence de notification de la violation aux personnes de confiance (les patients ont, eux, été notifiés) ;
  
  
• Comme toujours, les risques avaient été identifiés (analyse d’impact sur la sécurité des données personnelles de 2021) mais non pris en compte. Caractère négligeant retenue par la CNIL.

En conséquence, le Rapporteur a proposé que les mesures correctrices soient une injonction, sous astreinte de 5 000/jour après 15 mois, de mise en conformité sur les manquements à la sécurité, 350 000 d’amende, et la publicité de la décision.

En défense, la clinique a soulevé les points suivants :

[…]

• Le DPI actuel, Expert Santé, ne permet pas des habilitations fines. Des développements spécifiques, à l’initiative de la clinique après l’intervention de la CNIL, sont en cours, terminés à moitié
  
  
• Recours à Centreon (qui n’est pas un SIEM ni un XDR) et à une équipe sécurité, mais toujours pas d’analyse en temps réel des logs ;

[…]

• Les personnes de confiance n’ont pas été notifiées car le risque engendré par la violation a été estimé comme faible et que les coordonnées étaient souvent absentes (téléphone, email) ou non-structurées (adresse postale). La CNIL n’avait rien trouvé à redire à ce plan lorsque la violation lui a été notifiée ;

[…]

Pour PURR, ce dossier est représentatif de l’état désastreux de la sécurité des systèmes d’information en France.

Je ne peux que confirmer la conclusion : la protection des données personnelles est un échec total, tous secteurs confondus, privé comme public.

Une des excuses préférées, notamment sur les permissions et les durées de conservation, est « le logiciel ne fait pas ». On voit ici que la clinique a su remuer son éditeur après l'intervention de la CNIL.

Plus largement, elle a su renforcer la protection des données par des solutions temporaires (accès distant hors web, bastion, etc.) en attendant les solutions ultimes. Pourquoi cela n'avait-il pas été fait avant ?

Par un arrêt du 15 juillet 2026 Société Z Machine, le [juge des référés du] Conseil d'État confirme la légalité de la fermeture administrative d'un établissement parisien organisant des soirées de type Gang Bang. […]

En l'espèce, le préfet de police de Paris a ordonné, par un arrêté du 21 janvier 2026, la fermeture d'un club, La Factory, pratiquant ce type d'activité. Saisi en référé, le tribunal administratif suspend cet arrêté le 9 février 2026, en se fondant principalement sur le fait que les femmes qui participent au Gang Bang y ont consenti. Il insiste ainsi sur "une organisation particulière permettant aux femmes de déterminer la nature et les conditions de déroulement de l'événement, dont elles peuvent demander l'arrêt à tout moment".

La notion de dignité n'est pas apparue tout de suite une norme juridique mais a plutôt constitué le fondement de normes juridiques.

On la trouve d'abord en droit international dans le Préambule de la Charte des Nations Unis […] Elle figure également dans la Déclaration universelle des droits de l'homme, les Pactes de 1966, la Convention contre la torture de 1984 et dans de multiples traités.

En droit interne, le Conseil constitutionnel se réfère pour la première au principe de dignité dans sa décision sur la loi de bioéthique du 29 juillet 1994. […] Le Conseil constitutionnel valide ce texte, sans trop s'appesantir sur le principe de dignité, mais c'est le Conseil d'État qui va lui donner un contenu réel.

La décision trouve son origine dans la très célèbre jurisprudence Ville de Morsang-sur-Orge du 27 octobre 1995, par laquelle le Conseil d'État fait du principe de dignité une composante autonome de l'ordre public. Le juge avait alors admis qu'un maire puisse interdire un spectacle de "lancer de nain", alors même qu'aucun trouble matériel à l'ordre public n'était avéré, et que la personne concernée avait consenti au spectacle, et était d'ailleurs rémunérée pour y participer. Des atteintes à la dignité peuvent donc être interdites, nonobstant le consentement des intéressés. […]

La décision Société Z Machine étend tout de même sensiblement la jurisprudence Morsang-sur-Orge, car la vulnérabilité physique ne suffit plus à caractériser l'atteinte à la dignité. Dans le cas présent, le Conseil d'État écarte cet élément en traitant la question du consentement. Il considère que certaines pratiques de violences sexuelles et d'humiliations dépassent ce que le consentement individuel peut légitimer. L'arrêt mentionne que "les hommes étaient explicitement invités à se montrer injurieux et virulents à l'encontre des femmes, ainsi réduites à un rôle exclusif d'objet sexuel". Le principe de dignité est ainsi présenté comme un principe objectif, protégeant l'humanité de la personne, indépendamment de sa volonté.

A cela s'ajoute, mais les deux éléments sont étroitement liés, que les risques d'infraction pénale sont très élevés. Le Conseil d'État relève que l'organisation concrète des soirées ne permettait pas de garantir un consentement maintenu. […] Par conséquent, les femmes qui participaient à ces soirées, qui ignoraient souvent à quoi elles avaient consenti, étaient soumises "à des risques graves d'atteintes à leur intégrité physique et morale et d'agression sexuelle". Ce risque pénal a certainement beaucoup compté dans la décision, surtout si l'on se souvient que des faits de ce type avaient déjà été signalés à la justice.

Il reste tout de même à se demander pourquoi le Conseil d'Etat n'invoque pas l'article 3 de la Convention européenne des droits de l'homme qui prohibe les traitements inhumains ou dégradants.

L'article 3 est surtout utilisé par les juges pour sanctionner une carence de l'État, lorsqu'il n'a pas su protéger une personne placée sous sa garde contre des actes imputables aux services publics, voire contre des violences privées. Dans le premier cas, on trouve notamment les personnes incarcérées, et la Cour de cassation n'a pas hésité, le 8 juillet 2020, à valider une décision des juges du fond qui avaient ordonné la mise en liberté d'une personne en détention provisoire, au motif que ses conditions de détention étaient indignes. Dans le second cas se trouve la jurisprudence très constructive du juge administratif qui considère l'excision comme un traitement inhumain et dégradant susceptible de justifier l'annulation d'une décision d'éloignement vers la Guinée d'une femme accompagnée de deux fillettes. Il est vrai que cette annulation concerne aujourd'hui le choix du pays de renvoi et non plus l'éloignement stricto sensu.

Dans l'affaire La Factory, il est évident qu'aucune négligence n'était imputable à l'État. Au contraire, la fermeture administrative apparait comme l'instrument de protection des femmes victimes de traitements portant atteinte, non pas seulement à leur dignité, mais encore au principe de dignité considéré comme un élément de l'ordre public immatériel.

L'apport essentiel de la décision réside peut-être dans l'analyse du consentement et de son caractère réel et éclairé. […] Le consentement peut ainsi être une pure fiction, masquant une relation de puissance sur quelqu'un qui n'est pas en mesure de s'y soustraire. C'était sans doute le cas des femmes de La Factory, et le Conseil d'État exige ainsi des juges du fond l'examen de la réalité du consentement. […]

La société Z Machine menait ce type d'activités depuis 15 ans, et je constate que la décision tourne beaucoup autour du caractère éclairé du consentement qui a été ajouté par la loi de 2025. Cela m'interroge sur un éventuel apport de cette loi que je n'avais pas soupçonné. Mais, d'un autre côté, le motif « réification de la femme » dans le cas d'espèce, au regard des réclames de la société Z Machine, emporte atteinte à la dignité humaine, sur laquelle un consentement est vain, ce qui entraîne la cassation.

#LLC

Ça fait des semaines que ça tourne en boucle : dés août 2026, Doctolib va utiliser les données de santé qu'il détient pour entraîner son IA avec des partenaires (INSERM, INRIA, université Paris-Cité). (Le Canard rapporte que l'INSERM n'a pas encore signé… à une semaine du début annoncé, et que le prétendu engagement semble léger côté INRIA.)

Doctolib informe ici. On peut exercer son droit d'opposition. C'est simple : formulaire web, nom, prénom, date de naissance, une case à cocher, cliquer pour envoyer le formulaire, terminé. Oui, je n'y croyais pas, mais c'est bien le cas. Mon conseil : prend des captures d'écran du formulaire rempli puis du message « Votre opposition a bien été enregistrée », ça servira à agir devant la CNIL quand Doctolib n'aura pas respecté ton opposition.

J'viens d'capter que si tu n'es pas client Doctolib, que tu n'y as pas de compte, tes données de santé peuvent quand même être aspirées. En effet, l'un de tes docteurs peut utiliser Doctolib comme logiciel de gestion de son cabinet et de sa patientèle. À ce titre, il peut donc donner son autorisation à l'utilisation de tes données de santé, si tu ne t'es pas opposé. Doctolib l'annonce clairement (question « Qui décide si mes données peuvent être utilisées pour la recherche ? »).

C'est la même histoire que les pharmaciens et les médecins généralistes qui filent, dans notre dos, nos données de santé à IQVIA. Je rappelle que l'autorisation CNIL d'IQVIA portait sur des « études [d’intérêt public] visant à l’évaluation de la bonne utilisation du médicament en vie réelle, l’analyse scientifique et statistique des phénomènes liés à la persistance, la conformité, le respect des prescriptions et des contre-indications », alors que Cash investigation a mis en évidence des usages pour des études de marché à 20 k€ minimum. Donc, Doctolib qui affirme « Doctolib ne vend pas et ne partage pas les données personnelles à des fins commerciales […] Les recherches menées présentent toutes un intérêt public […] », je n'y crois pas.

Je rappelle que les hôpitaux peuvent également constituer, dans notre dos et après notre venue, des entrepôts de données de santé et/ou filer, toujours dans notre dos, nos données de santé pour des projets de recherche. La CNIL, en interprétant la loi de manière souple et minimaliste, accepte qu'ils n'informent pas au motif d'un effort disproportionné (nombre de personnes, absence des emails et téléphones et coût d'un courrier postal, etc.). Exemple : autorisation CNIL pour l'hosto de Grenoble.

Tu peux signifier ton opposition aux entrepôts de données de santé et aux projets de recherche dès l'entrée en relation avec un hosto, un toubib, ou une pharmacie… mais les logiciels de gestion de la patientèle ne sont pas prévus pour stocker cette information sous forme exploitable (c'est-à-dire pas un champ de texte libre « commentaire »), et je passe sur la secrétaire non-formée qui ne comprendra pas ta demande (histoires vraies), donc ton choix sera ignoré si, plus tard, un partenariat est noué ou un entrepôt est constitué.

Je ne suis pas opposé à la recherche médicale ni même à l'entraînement de l'IA, mais pas dans ces conditions (en douce, à marche forcée, avec une démarche à faire pour s'opposer, avec des guignols qui manipulent mes données, et avec un usage commercial des données). C'est ces conditions qui me font m'opposer.

Je mets en œuvre DANE TLSA depuis bientôt 10 ans, y compris pour mes serveurs de courriels personnels, en envoi comme en réception.

Il y a six ans, j'ai rencontré un problème avec DANE TLSA : pour un destinataire, le certificat x509 présenté par le serveur de courriels différait de celui consigné dans l'enregistrement DNS TLSA, donc mon serveur emails ne parvenait pas à délivrer un courriel.

En juin 2026, c'est moi qui ai bouleté et qui ne pouvais plus recevoir des courriels émis par des gens qui font correctement de l'email en 2026.

Le 20 juin 2026, précisément. Jour du renouvellement de mon certificat x509 annuel autosigné qui expirerait le lendemain.

Involontairement, j'ai ajouté un caractère dans l'enregistrement TLSA, le rendant invalide.

Dans un bref premier temps, je me suis aperçu de rien puisque les courriels automatiques envoyés par plusieurs administrations (pour la 2FA, pour accuser réception, etc.) me sont parvenus.

Cependant, le même jour, je constate que je ne reçois pas les bulletins de sécurité de Debian. (Je les consulte également par RSS, d'où j'ai pu constater un écart, alors que, usuellement, le courriel précède amplement la publication web.) Puce à l'oreille.

Je consulte le journal de mon serveur emails : plusieurs émetteurs initient une connexion, mais la poignée de main TLS échoue.

Le comportement traditionnel est de réémettre sans TLS (= en clair). Or, là, je ne constate pas cela, les réémissions ont lieu en TLS.

Cela signifie que les émetteurs recourent à MTA-STS ou à DANE TLSA.

Je ne mets pas en œuvre MTA-STS, car la politique doit être diffusée via un serveur web (donc un serveur emails doit savoir causer HTTP, ce que je trouve ridicule), et que DANE prodigue en sus la validation d'un certificat x509.

Donc, il y a un dysfonctionnement de DANE. Comme j'ai changé de certificat x509, je comprends immédiatement que j'ai dû foirer l'enregistrement DNS DANE TLSA, et je le corrige. À systématiser : vérifier la validité TLSA après un renouvellement de certif.

Environ une heure après, je reçois les emails. Une heure, car c'est la durée de vie de mes enregistrements DNS. Hé, oui, le délai de 24 h que tout le monde rabâche n'est plus d'actualité depuis bien longtemps. Je rappelle également que le DNS ne propage pas.

Donc Debian, Infomaniak, et une connaissance geek recourent à DANE TLSA. \o/ Donc attaque par repli (retrait de TLS par un attaquant) impossible.

Je n'attendais pas ça d'Infomaniak, c'est bien. Un acteur de cette envergure qui fait avancer les choses, c'est bien.

Infomaniak et Debian publient également un enregistrement DANE TLSA (pour les courriels entrants chez eux) \o/ :
_25._tcp.mta-gw.infomaniak.ch. 300 IN TLSA 3 1 1 01BBBC3A65E5F2067AA43DBAB107583E1A14567ED2569C63445D21E1 DE556926

_25._tcp.bendel.debian.org. 600 IN TLSA 3 1 1 9E8248347B06C8F8F7D24800207525642F5E5DA2CE52F08B22298010 A4389875
_25._tcp.bendel.debian.org. 600 IN TLSA 3 1 1 7D8AC6B95A22EFBE727768523798BC914AFA9F22A10F7847023E2D8A B982D23

Les administrations, notamment celle chargée de la protection des données à caractère personnel, qui ne mettent pas en œuvre DANE TLSA et dont le serveur de courriels n'implémente pas TLS 1.3 (de 2018 !), je vous juge très fort, à défaut d'être surpris.

"If you’re thinking without writing, you only think you’re thinking." - Leslie Lamport, quoted in https://fs.blog/how-to-think/ , which also states "Writing is the process by which we realize we don’t understand and the process by which we come to understand".

Écrire ou parler. L'important, c'est l'explication, pas sa modalité. D'où la méthode du canard en plastique… à laquelle l'IA générative se prête bien (en plus cher et énergivore). On retrouve aussi cela dans la verbalisation de l'enchaînement de la pensée (CoT) des LLM.

Via https://mastodon.gougere.fr/@bortzmeyer.

Avant de contester en justice certaines décisions de France Travail, comme une radiation de la liste des privés d'emploi ou une suspension d'un revenu de remplacement (ex. : ASS), il faut obligatoirement saisir le Médiateur France Travail (article R5312-47 du Code du travail). (Attention également à saisir le bon juge. 😑️)

Avant de saisir ce médiateur, il faut obligatoirement avoir déposé une réclamation auprès de France Travail. C'est l'article L5312-12-1 Code du travail, qui crée le Médiateur FT : « Le médiateur national, placé auprès du directeur général, coordonne l'activité de médiateurs régionaux, placés auprès de chaque directeur régional, qui reçoivent et traitent les réclamations dans le ressort territorial de la direction régionale. Les réclamations doivent avoir été précédées de démarches auprès des services concernés. »

Comment trouver cette information ?

• Une décision de sanction de FT, qui précise bien qu'il faut déposer une réclamation puis saisir le Médiateur, pointe exclusivement vers les articles L5412-1, R5412-1, R5412-2, et R5412-3 du Code du travail. Ils définissent les sanctions. Elle référence aussi les articles R5312-47 et R5412-7 Code du travail, et L213-11 du Code de justice administrative. Ils sont relatifs à la médiation. Aucun d'eux ne précise l'obligation d'une réclamation préalable.
  
  
• Il est souvent judicieux de lire les articles attenants à ceux pointés, notamment ceux de la même section, mais, ici, ça ne sert à rien.
  
  
• Le Médiateur FT, saisi d'une demande non précédée d'une réclamation auprès de FT, renvoie froidement à sa Charte. Les sections aisément compréhensibles, comme la 2 et la 3, renvoient à la loi, sans plus de précision. La loi et le décret figurant en note de bas de page, ne prévoient pas l'obligation recherchée. Si l'on est consciencieux, on lira la page 3, qui cite la loi de 2008… qui a crée le fameux L5312-12-1 du Code du travail.
  
  

• Admettons qu'on n'ait pas vu ou qu'on attende une réponse accessible. On demande au Médiateur de nous pointer la disposition légale ou législative qui prévoit qu'une médiation doit être précédée d'une réclamation. Après tout, la motivation d'une décision prise par une administration est une obligation et il est là pour aider, non ? Perdu, il renvoie, à nouveau et tout aussi froidement, à sa fichue Charte.

• On aurait également pu utiliser un moteur de recherche juridique accessible au public, comme celui de Pappers, afin de chercher dans la jurisprudence. (Non, le moteur de recherche dans l'open data des décisions de justice administrative n'est clairement pas efficace pour cette tâche.)

  • Mots-clés : « "France Travail" réclamation ».

    • On trouve un premier jugement, mais il se contente d'affirmer que la décision de sanction ne dit pas clairement que les étapes qu'elle prévoit, réclamation et médiation, sont obligatoires (joli coup de pied du juge), et que la saisine du Médiateur peut être concomitante avec le dépôt d'une réclamation, qui n'est pas ce que nous cherchons.
      
      
    • On trouve un deuxième jugement. Il cite l'article L5312-12-1 du Code du taff, bingo. Mais, admettons qu'on a encore un doute sur le sens de cet article.
  • Nouvelle recherche avec les mots-clés « "L.5312-12-1 du Code du travail" ». On trouve alors un, deux, trois, quatre jugements qui commentent l'article de loi : « les réponses adressées par le médiateur de France Travail aux auteurs des réclamations qui le saisissent en vertu de l'article L. 5312-12-1 du code du travail après avoir effectué les démarches auprès des services concernés n'ont pas le caractère de décisions ». Là, c'est limpide.
• Un autre raisonnement aurait permis de trouver ce fameux L5312-12-1 Code taff : la décision de sanction renvoie au R5312-47 Code taff qui prévoit la médiation ; il y a donc forcément une disposition législative ou réglementaire qui institue le Médiateur FT et ses missions ; c'est lui qu'il aurait fallu chercher.
  
  
• À la fin d'un article, Légifrance propose les « textes liés ». Mais le L5312-12-1 Code taff n'est pas référencé dans les textes liés au R5312-47 Code taff (qui impose une médiation dans les cas énumérés). Cette fonctionnalité ne m'a jamais été utile.
  
  
• Me concernant, une recherche plus large dans le Code du travail, via Légifrance, n'aurait conduit au même résultat, car je n'aurais pas pensé à chercher le mot « démarches », je n'aurais utilisé que le terme « réclamation », qui est le terme utilisé dans la décision de sanction.
  
  
• À ceux qui préconiseront d'utiliser l'IA : j'ai essayé, sans succès. J'ai utilisé GPT-5.4 mini en mode raisonnement via DuckDuckGo. Il m'a d'abord répondu que, oui, la réclamation est obligatoire, en se basant sur deux sources officielles (site web FT et service-public.fr), ce qui est plutôt bien (ça ne met pas le demandeur en danger, mais ça ne satisfait pas sa soif de connaissance). J'ai indiqué que ce n'est pas prévu par le R5312-47 Code du taff qu'il m'avait aussi pointé. Il m'a répondu que les sites web FT et service-public disent ça, avant de me proposer de chercher si c'est juridiquement opposable. J'ai demandé cela. Il m'a alors indiqué, sans source, que, oui en fait « l'assise juridique est faible », que la réclamation n'est pas une « condition légale autonome de recevabilité de la médiation », que « cette étape semble relever de la procédure interne de traitement des litiges, pas d’une exigence » , avant de me proposer de rédiger une contestation en ce sens. Cette réponse est étonnante car, dans l'enchaînement des pensées (CoT), on voit qu'il envisage de chercher dans la jurisprudence. (Je précise que je n'ai pas envie de filer de la thune à un LLM. À choisir, je préfère payer un avocat.)

Je déplore que FT, comme toutes les administrations, ne communique pas spontanément l'ensemble des circonstances de droit et de fait de ses décisions. C'est anormal. Article 15 DDHC, où es-tu ?

Je déplore que le Médiateur FT, comme toutes les administrations, refuse tacitement de justifier sa décision en langage clair, y compris sur demande de l'usager, et préfère renvoyer vers un document imbitable. En comparaison, un informaticien qui renverrait vers un manuel ou vers une documentation technique se ferait défoncer. Mais nous tolérons que nos administrations nous baragouinent des trucs imbitables.

Une personne incapable de justifier sa décision me fait flipper. Ça signifie qu'il n'y a pas de raisonnement derrière. Ça signifie que l'arbitraire et la folie ne sont jamais loin.

🥲️

Khaled Freak, toujours.

Avec un serveur web, je veux diffuser des fichiers textes encodés en UTF-8 / Unicode.

J'ai la flemme de configurer mon serveur web pour ajouter, pour ces fichiers, un entête HTTP de réponse « content-type ».

On peut utiliser la byte order mark (BOM), sorte de nombre magique (magic number), pour marquer un fichier et informer que son texte est encodé en UTF-8.

Pour marquer un fichier : uconv --add-signature -t utf-8 <fichier> | sponge <fichier>.

Dans Debian, uconv est empaquetée dans le paquet logiciel icu-devtools. L'utilisation de sponge, dont j'ai déjà causé ici, est une fioriture pour éviter un changement du nom du fichier (la directive -o d'uconv ou une redirection shell écrasent le contenu du fichier).

La présence de la BOM se vérifie avec file.

J'ai envie d'être notifié quand une décision de justice précise, qui m'intéresse, et qui ne me concerne pas (sinon la juridiction notifie les parties), est publiée.

Cahier des charges :

• Ne pas recourir à un service tiers à la juridiction, souvent payant ;
  
  
• Je ne suis pas sur les réseaux sociaux, et, toute façon, toutes les décisions ne font pas l'objet d'un communiqué de presse ;
  
  
• Je veux un unique moyen pour effectuer ma veille. J'ai arrêté les listes de discussion en janvier 2025, je ne compte pas y revenir, je n'ai que des flux RSS ;

Il suffit de transformer une page web, d'une juridiction, en flux RSS.

Plein d'outils sur le web font ça. Mais, il faut créer un compte voire payer. Ça ne m'intéresse pas. Les quelques services restants sont bloqués par les protections anti-robots des juridictions.

C'pas bien compliqué d'écrire un programme qui digère une page web, notamment avec XPATH, et génère un flux RSS. Certaines juridictions, comme le Conseil d'État, fournissent une API JSON.

Voici mes programmes codés en PHP. Fournis sans garantie. J'suis pas dev, et pas besoin d'IA pour pisser du code de merde. Ça tourne depuis des mois pour un usage strictement personnel, c'est tout ce que je peux dire.

Pour le Conseil constitutionnel.

Pour le Conseil d'État.

Pour la Cour de justice de l'UE.

Le moteur de recherche de la Cour européenne des droits de l'Homme dispose d'une fonctionnalité RSS, donc rien à coder. On peut faire une unique recherche, et donc un unique flux, en utilisant le mot-clé « OR ».

L'ARCEP, le régulateur français des télécoms, publie son rapport 2026 sur l'état de l'Internet en France.

Cela inclut le baromètre sur la transition française vers IPv6 :

La transition IPv6 se fait plus rapidement du côté des opérateurs que du côté des hébergeurs et autres acteurs du contenu. Fin 2025, côté fournisseurs d’accès à internet grand public, 94 % des clients sur le fixe (+7 points en 1 an) et 83 % sur le mobile (+13 points en 1 an) ont l’IPv6 activé. L’augmentation de l’activation IPv6 s’explique notamment par les progrès de SFR sur le fixe (+26 points) et de Free sur le mobile (+48 points). Côté fournisseurs de contenu et hébergeurs, 38 % des sites web sont disponibles en IPv6 (+3 points en 1 an), et 25 % des serveurs e-mail (+2 points en 1 an).

Sur le fixe, SFR est en retrait (80 %) car pas d'IPv6 sur son infra câble ni sur son offre ADSL/VDSL. Sur le mobile, c'est Free (50 %) qui active IPv6 uniquement pour les terminaux > 2021.

La statistique concernant les sites web est faussée à la hausse par les CDN.

Le baromètre vulgarise également les différents mécanismes techniques de transition IPv4/IPv6 mis en œuvre par les opérateurs. J'en recommande vivement la lecture.

On retrouve des FAI alternatifs de la FFDN dedans : Aquilenet, FDN. :D

Cela inclut également le baromètre sur l'interconnexion entre opérateurs en France :

Au deuxième semestre de 2025, le trafic entrant dans les réseaux des opérateurs provient essentiellement du transit (55,2 % environ) et du peering privé (43,2 % environ). Le peering public, celui ayant lieu dans les points d’échanges internet, ou IXP, n’en représente qu’une part minime (1,5 %) (cf. figure 2). La part élevée du transit s’explique en grande partie par le trafic de transit entre Open Transit International (OTI), Tier 1 appartenant à Orange, et le Réseau de Backbone et de Collecte Internet d’Orange (RBCI), qui permet d’acheminer le trafic vers les clients finals de ce FAI. Ce taux de transit est beaucoup moins élevé chez les autres FAI qui, n’ayant pas en parallèle une activité de transitaire, font davantage appel au peering.

Le trafic entrant vers les quatre principaux FAI en France à l’interconnexion est passé de 50,8 Tbit/s fin 2024 à 56 Tbit/s fin 2025, soit une augmentation de 10,4 % en un an (cf. figure 1). Cette augmentation est comparable à celle de l’année 2024 (9,2 %).

À la fin de l’année 2025, le trafic sortant du réseau des quatre principaux FAI en France à l’interconnexion atteint environ 6,6 Tbit/s, soit une augmentation annuelle de 28,1 % en comparaison avec les augmentations de 14,6 % et 17,5 % constatées au cours des deux années précédentes (cf. figure 3). Entre fin 2019 et fin 2025, ce trafic a quasiment quadruplé.

Toutefois, le ratio d’asymétrie entre les trafics entrant et sortant du réseau des principaux FAI poursuit la baisse amorcée en 2022 : en 2025, il y a eu 8,5 Gbit/s reçus dans le sens entrant pour 1 Gbit/s de trafic transmis dans le sens sortant. Ce ratio est en baisse depuis 2022 : il était de 10,6 Gbit/s entrant pour 1 Gbit/s sortant en 2023, puis de 9,9 Gbit/s en 2024 (cf. figure 4). [Attention : stat faussée par les CDN internes qui ne sont pas pris en compte. On n'a pas le trafic sortant vers ces CDN, mais, au pire du pire, le trafic total entrant vers les clients est de 70,8 Tbps pour 6,6 Tbps sortant aux intercos, soit un ratio de 10,7. C'est donc surtout la montée en puissance des CDN internes que l'on constate.]

Entre fin 2024 et fin 2025, le trafic provenant des CDN internes vers les clients des principaux FAI en France a légèrement augmenté, passant de près de 12,1 Tbit/s à 14,8 Tbit/s environ (cf. figure 10). [56 Tbps entrant sur l'interco, dont 1,5 Tbps pour les CDN internes, qui envoient ensuite 14,8 Tbps aux clients, pour un total de 56 Tbps + 14,8 Tbps = 70,8 Tbps, donc les CDN internes, qui peuvent fermer le marché représentent environ 1/5^e du trafic.]

Cette année, le plus important fournisseur de CDN et les quatre plus grands fournisseurs de contenus en termes de part de trafic demeurent Akamai, Netflix, Amazon, Google, et Meta. Leur part agrégée est estimée fin 2025 à 48,9 % du trafic à destination des utilisateurs finals contre 46,9 % en 2024.

S’agissant des fournisseurs de CDN, la part d’Akamai est toujours stable : 12 % du trafic en 2025 […] Fastly continue sa croissance : en 2025, la part de trafic s’élève à 4,8 % […] [Rigolo, ça contredit d'autres stats.]

Le trafic en provenance des acteurs de la catégorie « GAFAM » (qui fournissent des produits et services très diversifiés augmente légèrement, comptant pour 26,5 % du trafic (contre 25 % en 2024).

Là encore, l'ARCEP vulgarise les modalités d'interconnexion : transit, peering public (points d'échange) ou privé (PNI), CDN internes (on-net), etc. J'en recommande vivement la lecture.

Comme le note Bortz, mesurer le débit écrase les usages les moins consommateurs. Il faut donc relativiser l'insignifiance des points d'échange (du trafic plus important peut y circuler), l'asymétrie entre débit descendant et débit montant (depuis ma fibre, je peux émettre beaucoup de contenus peu gourmands tout en regardant quelques vidéos YouTube, qui écraseront tout), etc.

Via https://mastodon.gougere.fr/@arcep@social.numerique.gouv.fr/116928561353864523 via https://mastodon.gougere.fr/@bortzmeyer.