Verificámos 1000 sites públicos: 86 % tinham HTTPS, metade não tinha mais nada

O cadeado na barra de endereços responde exatamente a uma pergunta: a ligação entre si e este servidor está cifrada? As pessoas leem-no como uma afirmação muito mais ampla sobre o site que está por trás. Queríamos saber qual é realmente a dimensão dessa diferença, por isso medimo-la.

O que fizemos

Pegámos no registo oficial das administrações locais francesas publicado pela DILA, o serviço de informação do primeiro-ministro francês, sob licença aberta, na sua versão datada de 31 de julho de 2026. Contém 86 051 registos, dos quais 58 563 indicam pelo menos um site. Depois de normalizar os nomes de anfitrião, restam 26 922 domínios distintos.

Destes retirámos 1000 ao acaso com uma semente fixa, e enviámos exatamente um pedido GET a cada página inicial, registando se respondia por HTTPS e quais dos seis cabeçalhos de segurança padrão voltavam.

Não varremos portas, não sondámos caminhos nem enumerámos subdomínios. Cada domínio foi contactado uma única vez, que é o que o seu navegador faz quando abre uma página.

O que obtivemos

862 dos 1000 domínios responderam por HTTPS, ou seja, 86,2 %. Os restantes 138 não responderam de todo: 135 erros de ligação, 2 tempos de espera esgotados e 1 ligação interrompida.

Todos os números abaixo são expressos como proporção desses 862 que responderam, nunca do milhar completo. Misturar os dois confundiria «não envia este cabeçalho» com «não respondeu de todo», e são factos diferentes.

Dois números descrevem o formato disto melhor do que a tabela:

• 412 sites que responderam, 47,8 %, não enviaram nenhum dos seis.
• 48, ou 5,6 %, enviaram os seis.

Ou seja, cerca de metade dos sites que serviram com sucesso uma página através de uma ligação cifrada não tinham mais nada configurado, e cerca de um em cada dezoito tinha o conjunto completo.

Haver um cadeado e uma porta estar segura são observações diferentes. Na verdade, é essa a conclusão toda.

O que isto significa e o que não significa

Somos deliberadamente cuidadosos aqui, porque este tipo de medição é fácil de exagerar.

Um cabeçalho em falta é um facto observado, não uma vulnerabilidade. Vários destes cabeçalhos só fazem trabalho útil em combinação com outras escolhas, e a sua ausência pode ser inteiramente inofensiva numa simples página estática sem formulários, sem autenticação e sem scripts de terceiros. Uma câmara municipal que publica horários de atendimento não está a gerir um banco.

Medimos apenas páginas iniciais. Um site pode definir cabeçalhos diferentes noutros locais.

É um instantâneo. Os valores são os de 2 de agosto de 2026 e não dizem nada sobre o dia anterior ou o seguinte.

Não nomeamos ninguém. O conjunto de dados contém domínios porque tem de ser reproduzível, mas não avalia ninguém, não classifica ninguém e não considera nenhum site inseguro.

Não extrapolamos. A amostra é aleatória, o que torna estatisticamente possível uma estimativa para os outros 25 922 domínios, mas não apresentamos nenhuma e não deve ser deduzida como uma certeza.

Porque é que isto importa para o que uma VPN faz de facto

Esta é a parte que preferimos dizer com clareza em vez de deixar que o leitor a presuma.

Uma VPN cifra a ligação entre o seu dispositivo e o servidor VPN. Isso protege-o de quem esteja a observar a rede em que se encontra, que é a ameaça real em Wi-Fi partilhado e público. É genuinamente útil, e é limitado.

Não faz absolutamente nada quanto à forma como o site de destino está configurado. Se um site não envia nenhuma Content-Security-Policy, não envia nenhuma, quer lhe chegue através de uma VPN ou não. Se não define Strict-Transport-Security, a sua VPN não acrescenta nenhum. Os cabeçalhos que medimos são decisões tomadas pelo site, no site, e nenhuma ferramenta do lado do cliente as substitui.

As duas coisas protegem contra ameaças diferentes, e o cadeado incentiva as pessoas a fundi-las numa única sensação de segurança. O que os nossos números mostram é que a cifragem do transporte se tornou quase universal, aqui 86 %, enquanto tudo o resto não acompanhou o mesmo ritmo. O primeiro problema está em grande medida resolvido. O segundo é uma questão de configuração a que só quem opera o site pode responder.

Os dados

Os resultados brutos, os números agregados e o script de recolha são publicados em conjunto, para que os números acima possam ser verificados em vez de acreditados. A amostra é retirada com a semente fixa 20260802 sobre a lista ordenada de domínios, o que a torna idêntica em qualquer máquina.

Se o executar e obtiver números diferentes, a diferença é uma mudança real nesses sites, não uma diferença de método. É esse o propósito de publicar o script juntamente com os números.

A versão curta

De 1000 sites do setor público francês retirados ao acaso do registo oficial, 86,2 % responderam por HTTPS. Entre esses, 47,8 % não enviaram nenhum dos seis cabeçalhos de segurança padrão e 5,6 % enviaram os seis.

A cifragem em trânsito está praticamente resolvida. A configuração não está, e o cadeado não distingue entre as duas. Uma VPN também não: protege o caminho até ao servidor e nunca as definições do próprio servidor.

A população provém do registo das administrações locais francesas publicado pela DILA sob licença aberta, versão de 31 de julho de 2026. As medições são nossas, recolhidas a 2 de agosto de 2026 com o script publicado juntamente com este conjunto de dados, um pedido GET por página inicial. Os números descrevem os 862 domínios que responderam e não são extrapolados ao resto do registo. Os links comerciais têm o atributo rel="sponsored nofollow"; pode aplicar-se uma comissão de afiliação sem custo adicional para si.