Que peut vérifier une machine sur les sites web du secteur public espagnol ?

Certaines obligations et bonnes pratiques des sites web publics laissent une trace qu'un programme peut vérifier sans marge d'appréciation : un fichier security.txt (RFC 9116), une déclaration d'accessibilité signalée par un lien sur le site et « actualizada periódicamente, como mínimo una vez al año » (Real Decreto 1112/2018, art. 15.1), HTTPS avec HSTS, et une politique déclarée à l'égard des robots d'IA. Nous les avons vérifiées sur les sites web de 6 648 des 8 132 communes d'Espagne (81,8 % des communes, 98,9 % de la population) ainsi que sur ceux des 19 gouvernements régionaux, des 52 conseils provinciaux et insulaires, des 50 universités publiques et des 22 ministères. Sur 6 730 entités dont nous avons pu mesurer la page d'accueil, 5 245 (77,9 %) ont renvoyé leur propre page d'accueil ; 179 URL municipales menaient à autre chose que le site de la mairie (domaines détournés ou parqués, panneaux d'hébergement). Sur ces 5 245, 5 130 (97,8 %) servaient la page d'accueil en HTTPS lorsqu'on la leur demandait ainsi, mais 1 688 de ces 5 130 (32,9 %) envoient HSTS. **Sur 5 570 entités dont le serveur a répondu pour /.well-known/security.txt, 12 servent un fichier, 8 avec ses champs obligatoires et 4 strictement valides au sens de la RFC 9116, tandis que 329 (5,9 %) répondent à ce chemin par un HTTP 200 et autre chose. 2 492 des 5 245 pages d'accueil (47,5 %) comportent un lien vers la déclaration d'accessibilité que notre détecteur peut voir ; sur 1 247 déclarations lues avec un extracteur de dates audité, 908 (72,8 %) indiquent une date d'établissement ou de révision et 160 (12,8 %) en indiquent une datant des 365 derniers jours**. Le suivi officiel en Espagne vérifie déjà, par des experts et sur un échantillon d'environ 63 sites par an, si une déclaration est fournie et ce qu'elle dit ; il n'indique pas si les pages d'accueil y renvoient ni l'ancienneté de sa date, ce qu'apporte ce recensement. Les six dates les plus fréquentes apparaissent chacune dans une seule province et couvrent 479 des 908 déclarations datées (52,8 %), ce qui indique des déclarations produites en série pour de nombreuses communes à la fois ; nous n'avons pas identifié par qui. 326 des 6 012 entités (5,4 %) bloquent au moins l'un des robots GPTBot, ClaudeBot, Google-Extended ou CCBot, et sont concentrées dans quelques régions ; un llms.txt au format de la spécification figure sur 7 des 1 020 sites d'un sous-échantillon aléatoire (0,7 %). Il n'existe pas de liste officielle nationale des sites web municipaux ; les URL proviennent de Wikidata et d'un annuaire régional, et les petites communes sont moins bien couvertes (3 612 des 4 980 communes de moins de 1 000 habitants, soit 72,5 %, ont une URL connue). Une première version de notre scanner a récupéré la page d'accueil de 123 entités, ainsi que le security.txt, le llms.txt ou la déclaration de 722 autres, alors que leur robots.txt ne le permettait pas ; ces enregistrements ont été supprimés, non utilisés, et les 123 sont déclarées non mesurables. Nous publions le tableau par entité, les enregistrements d'analyse nettoyés, le scanner et la méthode, et proposons un outil gratuit, gov-web-lint, que toute administration pourrait exécuter sur son propre site.