Historique des éditions
Lecture- 3Édition 3
Library category reassigned: exploration → sovereignty
- 2Édition 2
Published content updated
- 1Édition 1
Published content updated
Le fossé de souveraineté · Édition 2
SHA-256: 47bdfebbac8b12419fd388e147e8d7fb41ed74a9452307dc86882e15c191f07f
La souveraineté numérique fait partie de ces expressions qui paraissent solides jusqu’au moment où l’on essaie de la mesurer.
La Confédération en a fait un enjeu stratégique. Sa propre stratégie en matière de centres de calcul lie explicitement l’exploitation souveraine à la capacité de faire tourner l’informatique critique sous son propre contrôle, tandis que la stratégie cloud de l’administration fédérale combine à dessein infrastructures de l’État, clouds privés et fournisseurs de cloud public, selon le risque et la sensibilité.[^1][^2]
D’où une question plus simple.
**Où tourne réellement la politique suisse elle-même ?**
Pas au sens figuré. Au sens technique.
Qui sert les sites web des partis représentés au Conseil national ? Qui contrôle leur DNS ? Qui reçoit leurs e-mails ? Qui exploite l’origine de l’application derrière un CDN ? Et lorsqu’un fournisseur d’infrastructure porte un nom suisse, est-il vraiment sous contrôle suisse ?
J’ai examiné l’infrastructure publique des dix partis représentés au Conseil national.[^3][^4] Le résultat n’est ni un palmarès de la vertu politique ni une accusation d’hypocrisie. C’est quelque chose de plus utile : une petite radiographie des dépendances sur lesquelles repose la communication politique suisse.
Le constat principal n’est d’ailleurs pas que les partis suisses utilisent des technologies étrangères. Chacun sait que les systèmes numériques modernes sont internationaux.
Le constat le plus intéressant, c’est que **le mot « suisse » devient étonnamment glissant dès que l’on passe de l’endroit où un serveur semble se trouver à l’entreprise qui exploite le service, puis à celle qui contrôle en dernier ressort la société ou l’infrastructure qui se trouve dessous.**
Cet écart, c’est le fossé de souveraineté.
---
## La première erreur : demander où se trouve le serveur
La version la plus facile de cette recherche aurait été une carte.
On résout un domaine. On trouve une adresse IP. On la géolocalise. On plante un drapeau suisse à côté de tout ce qui atterrit à Zurich, Genève ou Bâle.
Mais cette carte aurait induit en erreur.
Un serveur peut se trouver physiquement en Suisse alors que l’infrastructure est contrôlée par une société en mains étrangères. Une société d’exploitation suisse peut appartenir à un groupe international. Une marque suisse peut revendre une infrastructure exploitée par quelqu’un d’autre. Et un edge CDN sous contrôle américain peut se placer devant une application en réalité hébergée par un fournisseur sous contrôle suisse.
Ce ne sont pas des cas marginaux. C’est ainsi qu’est bâti l’internet d’aujourd’hui.
La méthodologie distingue donc trois questions :
1. **Emplacement** : où un point de terminaison observé semble-t-il se trouver physiquement ?
2. **Exploitant** : quelle entreprise exploite le service ?
3. **Contrôle** : qui contrôle en dernier ressort le fournisseur ou l’infrastructure sous-jacente ?
Seule la troisième question détermine la classification de contrôle retenue pour le score de base.
L’emplacement physique est indiqué, mais il ne rapporte **aucun** point de souveraineté.
Ce choix a une raison : sans lui, l’étude récompenserait la géographie même lorsque le contrôle capitalistique ou opérationnel se trouve ailleurs.
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-03-fr-fefd7c23b864a9e8887241d8decdb552d7646e824cc791b9b0e7dd895ace5f9c.webp" alt="Schéma « Comment fonctionne le score » : emplacement ≠ exploitant ≠ contrôle. Quatre cases pour les composants de base notés : distribution web, DNS, boîte aux lettres/MX et origine (si déterminée). Formule : score suisse = composants connus sous contrôle suisse divisés par les composants connus ; l’inconnu est exclu, une origine directe ne compte pas deux fois, chaque composant pèse autant. Quatre notes sur ce qui n’est pas noté : emplacement physique (indiqué), services tiers (dimension distincte), expéditeurs SPF (autorisés à envoyer, pas l’hébergeur de la boîte) et inconnu (gris, jamais deviné en rouge ou en vert)." />
<figcaption>Quatre composants de base font le score ; l’emplacement, les services tiers et les expéditeurs SPF sont présentés à part. Un indicateur technique du contrôle, ni audit juridique ni audit de sécurité.</figcaption>
</figure>
---
## Ce que nous avons réellement mesuré
La population est volontairement banale : tous les partis représentés au Conseil national, sans ajout ni tri idéologique. L’ordre suit les parts de suffrages aux élections au Conseil national de 2023, et non le résultat de cette étude.[^3][^4]
La mesure technique a été effectuée le **7 octobre 2026**. La propriété et le contrôle des fournisseurs ont été examinés le **8 octobre 2026**. L’infrastructure change : il s’agit donc d’une observation datée, et non d’une propriété permanente d’un parti.
Le travail s’inspire de la méthodologie publique de staysin.eu, qui examine l’hébergement, le DNS, la messagerie, le CDN et les services externes pour juger si une infrastructure reste sous contrôle européen.[^5] Remplacer simplement « UE » par « Suisse » aurait pourtant donné une piètre méthodologie suisse. Plusieurs choses ont donc été modifiées.
### Quatre composants de base
Pour chaque parti, nous avons évalué un petit nombre de composants d’architecture :
- **Distribution web** : le fournisseur qui répond à la requête publique adressée au site.
- **DNS** : l’infrastructure qui exploite les serveurs de noms faisant autorité.
- **Boîte aux lettres / MX** : le fournisseur qui reçoit les e-mails entrants.
- **Hébergement de l’origine** : uniquement lorsque l’origine de l’application, derrière un edge/CDN distinct, a pu être attribuée avec des preuves suffisantes.
La formule est délibérément transparente :
> **Score de base suisse = composants connus applicables sous contrôle suisse / composants connus applicables**
Un site hébergé directement ne reçoit pas deux points pour « web » et « origine » : ce serait compter deux fois la même relation d’infrastructure. Un CDN distinct et une origine identifiable séparément peuvent en revanche compter tous les deux, car ils correspondent à deux niveaux de contrôle différents.
### Inconnu veut dire inconnu
C’est peut-être la règle la plus importante de tout le projet.
Lorsque la propriété n’a pas pu être établie de manière positive, le fournisseur n’a pas été tenu pour suisse à la légère, au seul motif qu’il avait une entité juridique suisse, une adresse en Suisse ou un domaine `.ch`.
Il est devenu **UNKNOWN_CONTROL**.
De même, lorsqu’un CDN masquait l’origine de l’application et que les indices passifs ne suffisaient pas à l’attribuer, l’origine est restée **inconnue**.
Les composants inconnus apparaissent en gris et sont exclus du dénominateur. Ils ne sont jamais rangés en silence parmi les étrangers ou les suisses.
### L’edge n’est pas l’origine
Cloudflare en est la meilleure illustration.
Dans la configuration mesurée, l’UDC, le PS, le Centre et les VERT-E-S utilisent tous Cloudflare en périphérie publique et pour le DNS. Cela ne prouve pas pour autant que Cloudflare héberge l’application elle-même.
L’OSINT passive a permis d’attribuer l’origine du site du PS à **Nine**, et celle des VERT-E-S à **cyon**. Les origines correspondantes de l’UDC et du Centre n’ont pas pu être établies avec une confiance suffisante ; elles restent donc inconnues.[^6]
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-04-fr-e2dc044a47937c26d6b9c833205d290a792520741f5f0d42abb8dd9560118563.webp" alt="Schéma « L’edge n’est pas l’origine » : UDC, PS, Le Centre et VERT-E-S mènent tous à un même bloc Cloudflare (edge et DNS, sous contrôle américain, étranger). Derrière : UDC origine inconnue, non attribuée ; PS origine Nine, sous contrôle suisse ; Le Centre origine inconnue, non attribuée ; VERT-E-S origine cyon, sous contrôle suisse, confiance moyenne." />
<figcaption>Le même edge Cloudflare cache des origines différentes : Nine pour le PS, cyon pour les VERT-E-S, inconnue pour l’UDC et le Centre. OSINT passive uniquement ; le contrôle suisse de cyon est classé avec une confiance moyenne.</figcaption>
</figure>
### Le MX n’est pas le SPF
La messagerie exigeait une autre distinction.
Un enregistrement MX indique quelle infrastructure reçoit le courrier entrant. Le SPF indique quels systèmes sont autorisés à envoyer du courrier au nom du domaine.
Une inclusion Microsoft dans le SPF peut désigner un expéditeur autorisé, un flux CRM ou un outil d’infolettre. Elle ne signifie pas automatiquement que Microsoft héberge la boîte aux lettres. Le MX entre donc dans le score de base ; les expéditeurs SPF sont présentés à part.
### Les services tiers comptent à part
Statistiques d’audience, polices, gestionnaires de balises, vidéos intégrées et autres services chargés par le navigateur ont été observés avant tout consentement et, lorsqu’un gestionnaire de consentement existait, après refus du suivi optionnel.
Ils n’entrent **pas** dans le score de base.
C’est voulu. Sinon, un site complexe comptant dix services optionnels serait pénalisé dix fois plus qu’un site simple, même si l’infrastructure critique des deux était identique.
Les dépendances externes forment une dimension à part entière.
On y reviendra.
---
## Le résultat
Sur les dix partis, le modèle a produit **30 composants d’infrastructure de base connus** et **4 composants inconnus**.
Parmi les composants connus :
- **8 étaient sous contrôle suisse**
- **22 étaient sous contrôle étranger**
Sur l’ensemble de l’échantillon, cela fait environ **26,7 % des composants de base connus sous contrôle suisse**. Ce total est purement descriptif : il n’est pas pondéré par les résultats électoraux, ce n’est pas une moyenne des partis, et il ne prétend pas que tous les composants ont la même importance stratégique.
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-08-fr-078d1a3c5b329ee824e85dedd9267103ed6481f61c3f73e2cb73b6dd28dd6500.webp" alt="Trois cartes chiffrées « La pile dans son ensemble », dix partis, 30 composants de base connus plus 4 inconnus : 8 sous contrôle suisse (26,7 % des connus), 22 sous contrôle étranger (73,3 % des connus), 4 inconnus (hors du dénominateur). En dessous, une bande de 34 blocs : 8 verts pleins, 22 rouges hachurés, 4 gris vides." />
<figcaption>Sur les dix partis, 8 des 30 composants de base connus sont sous contrôle suisse et 22 sous contrôle étranger ; 4 autres restent inconnus. Un total descriptif : non pondéré par les suffrages, pas une moyenne des partis, pas un classement.</figcaption>
</figure>
Le tableau parti par parti en dit davantage :
| Parti | Composants de base sous contrôle suisse | Observation principale |
|---|---:|---|
| UDC | **0 sur 3 connus · 0 % · +1 inconnu** | Cloudflare en edge/DNS, boîte aux lettres Microsoft, origine inconnue |
| PS | **1 sur 4 · 25 %** | Cloudflare en edge/DNS, origine chez Nine |
| PLR | **0 sur 1 connu · 0 % · +2 inconnus** | Boîte aux lettres Microsoft, connue et étrangère ; contrôle d’OpenBusiness/WNG non démontré |
| Le Centre | **0 sur 3 connus · 0 % · +1 inconnu** | Cloudflare en edge/DNS, boîte aux lettres Microsoft, origine inconnue |
| VERT-E-S | **1 sur 4 · 25 %** | Cloudflare en edge/DNS, origine chez cyon |
| PVL | **0 sur 3 · 0 %** | Pile METANET ; DNS Kreativ Media sur infrastructure METANET |
| PEV | **1 sur 3 · 33 %** | Boîte aux lettres chez Hostpoint ; web/DNS chez Hetzner |
| UDF | **0 sur 3 · 0 %** | Web, DNS et messagerie chez METANET |
| Lega | **3 sur 3 · 100 %** | Infomaniak pour tous les composants de base connus |
| MCG | **2 sur 3 · 67 %** | Web chez Infomaniak, messagerie chez Swisscom, DNS chez Dynu |
Les preuves détaillées, la classification des fournisseurs, le registre des affirmations et le jeu de données public reproductible font partie de la publication de recherche qui accompagne ce texte.[^7][^8][^9]
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-01a-fr-5066500390ca1c7d77688ad694d80edba110e1ea0a28816c8debcea6caf77b18.webp" alt="Tableau « Où tourne l’infrastructure numérique des partis suisses ? » (partie 1 sur 3), mesure du 7 oct. 2026, examen du contrôle le 8 oct. 2026. UDC (27,93 %, 62 sièges) : edge Cloudflare (US), origine inconnue, DNS Cloudflare (US), messagerie Microsoft 365 (US) ; 0 sur 3 connus sous contrôle suisse, 0 %, plus 1 inconnu ; 2 fournisseurs étrangers avant consentement (Google, BootstrapCDN). PS (18,27 %, 41 sièges) : edge Cloudflare (US), origine Nine (CH), DNS Cloudflare (US), messagerie AppRiver/VIPRE (US) ; 1 sur 4, 25 % ; 1 fournisseur (WPForms). PLR (14,25 %, 28 sièges) : edge OpenBusiness/SwissCenter (contrôle inconnu), origine directe, DNS WNG (contrôle inconnu), messagerie Microsoft 365 (US) ; 0 sur 1 connu, 0 %, plus 2 inconnus ; 3 fournisseurs (Cloudflare, unpkg, Google). Le Centre (14,06 %, 29 sièges) : edge Cloudflare (US), origine inconnue, DNS Cloudflare (US), messagerie Microsoft 365 (US) ; 0 sur 3 connus, 0 %, plus 1 inconnu ; 3 fournisseurs (Google, unpkg, jsDelivr, Pologne, UE/EEE)." />
<figcaption>Partie 1 sur 3 : UDC, PS, PLR et Le Centre, dans l’ordre des suffrages de 2023. Le gris signifie inconnu et reste hors du score ; un indicateur technique, pas un audit juridique.</figcaption>
</figure>
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-01b-fr-340a3b2d9de25723b596baa323648235689b52a3dd1445219168578ac950e6e6.webp" alt="Tableau « Où tourne l’infrastructure numérique des partis suisses ? » (partie 2 sur 3), mesure du 7 oct. 2026, examen du contrôle le 8 oct. 2026. VERT-E-S (9,78 %, 23 sièges) : edge Cloudflare (US), origine cyon (CH), DNS Cloudflare (US), messagerie Microsoft 365 (US) ; 1 sur 4 sous contrôle suisse, 25 % ; aucun fournisseur étranger observé avant consentement. PVL (7,55 %, 10 sièges) : edge METANET (UK/CA), origine directe, DNS Kreativ Media sur infrastructure METANET (UK/CA), messagerie METANET (UK/CA) ; 0 sur 3, 0 % ; 1 fournisseur (Google). PEV (1,95 %, 2 sièges) : edge Hetzner (Allemagne), origine directe, DNS Hetzner (Allemagne), messagerie Hostpoint (CH) ; 1 sur 3, 33 % ; aucun observé avant consentement." />
<figcaption>Partie 2 sur 3 : VERT-E-S, PVL et PEV ; Hetzner (Allemagne) compte comme étranger, car un contrôle UE/EEE n’est pas un contrôle suisse. Un indicateur technique, pas un audit juridique.</figcaption>
</figure>
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-01c-fr-2ff2d09693c5bd43213fc4a87583af8efab5fa01b1028bf166d5d4c218745f1d.webp" alt="Tableau « Où tourne l’infrastructure numérique des partis suisses ? » (partie 3 sur 3), mesure du 7 oct. 2026, examen du contrôle le 8 oct. 2026. UDF (1,23 %, 2 sièges) : edge, DNS et messagerie METANET (UK/CA), origine directe ; 0 sur 3 sous contrôle suisse, 0 % ; aucun observé avant consentement. Lega (0,55 %, 1 siège) : edge, DNS et messagerie Infomaniak (CH), origine directe ; 3 sur 3, 100 % ; 5 fournisseurs étrangers avant consentement (Meta, Google, Font Awesome, unpkg, jsDelivr, Pologne, UE/EEE). MCG (0,51 %, 2 sièges) : edge Infomaniak (CH), origine directe, DNS Dynu Systems (US), messagerie Swisscom/Bluewin (CH) ; 2 sur 3, 67 % ; 4 fournisseurs (Google, TikTok, Meta, Automattic)." />
<figcaption>Partie 3 sur 3 : UDF, Lega et MCG ; parmi les cinq fournisseurs étrangers de la Lega avant consentement figure jsDelivr (Pologne, UE/EEE). Un indicateur technique, pas un audit juridique.</figcaption>
</figure>
Plusieurs choses sautent aux yeux.
D’abord, les deux pourcentages les plus élevés de cet indicateur technique étroit reviennent à des partis régionaux : la Lega et le MCG. Ce n’est pas la preuve d’un engagement politique plus fort en faveur de la souveraineté numérique. Cela reflète simplement l’infrastructure qu’ils utilisaient le jour de la mesure.
Ensuite, plusieurs des plus grands partis nationaux dépendent fortement des mêmes fournisseurs mondiaux. Cloudflare sert d’edge web à quatre partis. Microsoft 365 héberge la boîte aux lettres de quatre partis.
Enfin, un zéro n’en vaut pas toujours un autre. Le PVL et l’UDF ont trois composants connus sous contrôle étranger. Le PLR n’a qu’un seul composant connu au dénominateur, car le contrôle de deux marques d’exploitation suisses n’a pas pu être établi de manière positive. L’UDC et le Centre ont chacun une origine masquée qui reste inconnue.
La fraction compte davantage que le pourcentage.
C’est pourquoi chaque résultat est présenté sous la forme **n sur d connus**, les composants inconnus étant affichés explicitement.
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-02-fr-c0e5b3be6cf40629e321d44641db95bd139b4c081d9da2166c9f767fa5a07449.webp" alt="Diagramme en blocs « Qu’est-ce qui est vraiment contrôlé depuis la Suisse ? », un bloc par composant de base (distribution web, DNS, boîte aux lettres, origine distincte si déterminée). UDC 0 sur 3 connus, 0 %, plus 1 inconnu ; PS 1 sur 4, 25 % ; PLR 0 sur 1 connu, 0 %, plus 2 inconnus ; Le Centre 0 sur 3 connus, 0 %, plus 1 inconnu ; VERT-E-S 1 sur 4, 25 % ; PVL 0 sur 3, 0 % ; PEV 1 sur 3, 33 % ; UDF 0 sur 3, 0 % ; Lega 3 sur 3, 100 % ; MCG 2 sur 3, 67 %. Les fournisseurs sous contrôle UE/EEE comptent comme étrangers." />
<figcaption>Un bloc par composant de base connu, des blocs vides pour l’inconnu : seuls deux partis atteignent une majorité de composants sous contrôle suisse. L’inconnu est montré, pas deviné ; lire la fraction, pas seulement le pourcentage.</figcaption>
</figure>
---
## Le cas le plus intéressant n’est pas américain. Il est suisse.
C’est avec METANET que cette recherche est devenue plus intéressante qu’une simple liste de fournisseurs de cloud étrangers.
METANET AG est un exploitant suisse. Son infrastructure est visible en Suisse. Sa marque est suisse.
Mais METANET fait partie de group.one, un groupe européen d’hébergement soutenu par Cinven et l’Ontario Teachers’ Pension Plan. Selon les annonces publiques, l’ensemble formé par group.ONE et dogado – dont METANET est l’une des marques – a été acquis et financé par Cinven et Ontario Teachers, aux côtés des fondateurs et de cadres actionnaires.[^10][^11]
Selon la définition retenue par cette étude, l’infrastructure est donc **sous contrôle étranger**, malgré la société d’exploitation suisse.
Cela touche directement le PVL et l’UDF.
Cela touche aussi Kreativ Media. Kreativ Media est une marque DNS tournée vers la clientèle suisse, mais ses serveurs de noms faisant autorité se trouvent dans l’AS21069 de METANET. Le score suit le contrôle de l’infrastructure, pas l’étiquette du revendeur.
C’est exactement le genre de cas qui disparaît lorsqu’on réduit la souveraineté à l’adresse d’un centre de données.
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-06-fr-c483e3f3401118482f2f4c1513669de2951587a34e128fdff95fa6628b9b625f.webp" alt="Schéma en quatre volets « Exploitant ≠ contrôle ». 1, cas principal : METANET AG (Zurich, ASN propre, exploitant suisse) appartient à group.one (One.com Group AB, Malmö, Suède), dont le contrôle et le capital reviennent à Cinven (Royaume-Uni) et Ontario Teachers’ (Canada) ; classé sous contrôle étranger (UK/CA), ce qui concerne le PVL et l’UDF. 2, marque DNS : Kreativ Media, marque de revendeur à façade suisse du PVL, a ses serveurs de noms dans l’AS21069 de METANET et compte comme étrangère. 3, fournisseurs suisses avec preuve positive de contrôle : Infomaniak (une fondation suisse détient la majorité des droits de vote), Nine (détenue à 100 % par ses employés), Hostpoint (dirigée par ses propriétaires, en mains suisses), Swisscom (la Confédération détient 51 %) et cyon (sous contrôle suisse, confiance moyenne). Groupe distinct « Étranger, contrôle connu » : Hetzner, sous contrôle UE/EEE (Allemagne), compté comme étranger. 4, exploitants suisses sans preuve positive de contrôle : OpenBusiness/SwissCenter et WNG, tous deux inconnus." />
<figcaption>Un exploitant suisse n’est pas forcément un contrôle suisse : METANET opère en Suisse mais appartient à group.one, contrôlé par Cinven et Ontario Teachers’. Le contrôle suit la propriété ultime et l’infrastructure – une définition de recherche.</figcaption>
</figure>
Le problème inverse est apparu avec le PLR.
OpenBusiness / SwissCenter et WNG sont des entités d’exploitation suisses dans la pile observée. Mais les sources publiques ne nous ont pas permis d’établir avec assez de solidité qui les contrôle en dernier ressort.
La réponse tentante aurait été de les colorer en vert.
Nous ne l’avons pas fait.
Ils restent inconnus.
Le résultat est peut-être moins spectaculaire, mais la recherche y gagne en solidité. **L’absence de preuve d’un contrôle étranger n’est pas une preuve de contrôle suisse.**
---
## Un edge étranger peut cacher un cœur suisse
Le PS et les VERT-E-S illustrent le problème inverse.
Vus de l’extérieur, les deux sites paraissent d’abord fortement sous contrôle étranger : Cloudflare se trouve en périphérie et exploite le DNS faisant autorité.
Mais l’origine de l’application, derrière cette couche, a pu être déterminée grâce à des indices passifs.
Pour le PS, les indices menaient à Nine Internet Solutions AG. Nine déclare appartenir à 100 % à ses collaboratrices et collaborateurs, et son infrastructure d’hébergement est exploitée en Suisse.[^12]
Pour les VERT-E-S, l’origine a pu être attribuée à cyon. Cette classification est volontairement plus prudente : l’événement public le plus récent touchant à la propriété plaide pour un contrôle suisse, mais le registre des actions actuel de la SA n’est pas consultable publiquement. Le niveau de confiance est donc moyen, et non absolu.[^13]
Voilà pourquoi « site Cloudflare » ne suffit à décrire aucune des deux architectures.
Un CDN est une couche de distribution. Il peut avoir une importance stratégique. Il peut aussi masquer une relation d’infrastructure très différente.
L’architecture a des couches ; l’analyse de la souveraineté doit en avoir aussi.
---
## Le score ne dit pas tout
Voici la partie des données que je préfère.
La Lega a **3 composants de base connus sur 3 sous contrôle suisse**. Pourtant, lors du passage mesuré dans le navigateur, son site a contacté cinq fournisseurs sous contrôle étranger avant tout consentement.
Les VERT-E-S, à l’inverse, n’avaient que **1 composant de base sur 4** sous contrôle suisse, mais aucun fournisseur tiers étranger n’a été observé avant consentement lors de ce passage.
L’UDF a obtenu **0 sur 3** pour son infrastructure de base et n’a, elle non plus, chargé aucun fournisseur tiers étranger avant consentement.
Ce ne sont pas des contradictions.
Elles montrent que nous mesurons deux choses différentes :
- Qui contrôle les **couches d’infrastructure critiques** ?
- Quels **services externes** reçoivent des requêtes lorsqu’un visiteur ouvre le site ?
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-07-fr-9a4bf93abeda4e71e4feedb1e8dfadaecdd00b96bc06fbbe147e17f493f11775.webp" alt="Nuage de points « Contrôle du cœur et dépendances web sont deux dimensions distinctes ». x = part des composants de base connus sous contrôle suisse, y = fournisseurs sous contrôle étranger observés avant consentement. Lega 100 %, 5 ; MCG 67 %, 4 ; PLR et Le Centre 0 %, 3 ; UDC 0 %, 2 ; PS 25 %, 1 ; PVL 0 %, 1 ; PEV 33 %, 0 ; VERT-E-S 25 %, 0 ; UDF 0 %, 0. Un passage dans le navigateur le 7 oct. 2026 ; jsDelivr (Pologne, UE/EEE) compte comme étranger." />
<figcaption>Contrôle suisse du cœur et dépendances web étrangères ne vont pas de pair : les deux partis aux parts suisses les plus élevées présentent aussi le plus de fournisseurs étrangers avant consentement. Un seul passage dans le navigateur ; pas un constat de conformité.</figcaption>
</figure>
Google est apparu comme dépendance avant consentement sur six des dix sites. Parmi les autres fournisseurs observés figuraient Meta, TikTok, Automattic, unpkg et jsDelivr.[^7]
Rien de tout cela ne constitue en soi une conclusion juridique. L’observation dans le navigateur ne dit pas si une requête donnée enfreint le droit suisse de la protection des données, si des données personnelles ont été transmises, ni si un dispositif de consentement était conforme.
Elle dit quelque chose de plus étroit, mais d’utile :
**quelle infrastructure externe a été contactée dans l’état de navigation mesuré.**
C’est pourquoi ce projet n’est pas un audit de conformité en matière de protection des données.
<figure>
<img src="/api/media/field-notes/sovereignty-gap-fig-05-fr-4f0fee33a41a59bccab66bcf97f0330f32e2149040f030e1f177bc51981a2663.webp" alt="Matrice « Quel service tourne où – au niveau des fournisseurs », quatre colonnes : edge web, origine, DNS, messagerie. UDC : Cloudflare (US), inconnue, Cloudflare (US), Microsoft 365 (US). PS : Cloudflare (US), Nine (CH), Cloudflare (US), AppRiver/VIPRE (US). PLR : OpenBusiness/SwissCenter (contrôle inconnu), directe, WNG (contrôle inconnu), Microsoft 365 (US). Le Centre : Cloudflare (US), inconnue, Cloudflare (US), Microsoft 365 (US). VERT-E-S : Cloudflare (US), cyon (CH), Cloudflare (US), Microsoft 365 (US). PVL : METANET (UK/CA), directe, Kreativ Media sur infrastructure METANET (UK/CA), METANET (UK/CA). PEV : Hetzner (Allemagne), directe, Hetzner (Allemagne), Hostpoint (CH). UDF : METANET (UK/CA), directe, METANET (UK/CA), METANET (UK/CA). Lega : Infomaniak (CH), directe, Infomaniak (CH), Infomaniak (CH). MCG : Infomaniak (CH), directe, Dynu Systems (US), Swisscom/Bluewin (CH)." />
<figcaption>Seules les quatre couches notées, fournisseur par fournisseur : edge web, origine, DNS et messagerie. Couleur et symbole indiquent le contrôle ultime, pas l’emplacement du serveur ; un indicateur technique, pas un audit juridique.</figcaption>
</figure>
---
## Ce n’est pas un indice d’hypocrisie
Il serait facile d’en tirer un graphique partisan.
« Le parti parle de souveraineté, le parti utilise un cloud américain. »
Ce n’est pas ce que prouvent les données, et ce serait gâcher la leçon la plus importante.
Les choix d’infrastructure des partis politiques reflètent la même structure de marché que celle à laquelle font face chaque PME, chaque association et chaque institution publique en Suisse :
- les fournisseurs mondiaux de CDN sont faciles à déployer ;
- Microsoft 365 est apparu comme fournisseur de messagerie pour quatre des dix partis de cet échantillon ;
- les agences web choisissent des piles qu’elles connaissent ;
- le DNS est souvent vendu avec l’hébergement ou les services de domaine ;
- la propriété change après les rachats ;
- les relations de revente masquent les fournisseurs sous-jacents ;
- le service le plus facile à acheter n’est pas toujours le plus facile à classer.
L’administration fédérale elle-même ne vise pas l’autarcie technologique. Sa stratégie cloud est explicitement hybride et multi-cloud. Il s’agit de choisir le bon niveau selon le risque, la sensibilité et les exigences opérationnelles.[^2]
C’est une manière plus mûre de penser la souveraineté.
**La souveraineté n’est pas l’isolement. C’est savoir où se trouvent les dépendances, décider lesquelles sont acceptables et garder des alternatives crédibles là où elles comptent.**
---
## Le problème du mot « suisse »
Cette étude suggère une question d’achat qu’on devrait sans doute poser bien plus souvent :
> Quand quelqu’un nous vend un « cloud suisse », quelle partie est suisse ?
L’entité juridique ?
Les personnes qui l’exploitent ?
Le centre de données ?
L’ASN ?
Le logiciel ?
La société mère ?
Les droits de vote ?
Le capital ?
Le fournisseur de l’infrastructure sous-jacente ?
Les réponses peuvent désigner des pays différents.
C’est pourquoi je pense que le secteur a besoin de quelque chose de plus précis que des promesses marketing sur la résidence des données.
Pour décrire les composants d’un logiciel, nous avons déjà des nomenclatures, les « software bills of materials ». Une idée semblable serait utile pour l’infrastructure :
### Une nomenclature de souveraineté
Pour tout service numérique critique, publier une courte déclaration lisible par machine, qui indique :
- l’entité juridique qui exploite le service ;
- l’entité qui le contrôle en dernier ressort, ou la catégorie de propriétaire ;
- les fournisseurs d’infrastructure ;
- le fournisseur du DNS faisant autorité ;
- le fournisseur de messagerie ;
- le fournisseur de CDN ou d’edge ;
- les principales juridictions de traitement ;
- les sous-traitants connus ;
- si les services sont exploités directement ou revendus ;
- le niveau de confiance et la date de la dernière vérification.
Non que chaque dépendance étrangère soit inacceptable.
Mais parce qu’**une dépendance inconnue est une bien mauvaise base pour décider d’une stratégie.**
---
## Ce que la méthodologie ne peut pas dire
Un résultat défendable doit être aussi explicite sur ses limites que sur ses constats.
### 1. Un indicateur technique, pas un jugement juridique
Le score ne dit rien du respect de la loi sur la protection des données, du RGPD, du droit des marchés publics, des obligations de secret ou des réglementations sectorielles.
Le contrôle juridique peut passer par des contrats, des garanties organisationnelles et des mécanismes légaux invisibles de l’extérieur. Les indications du PFPDT sur la communication de données personnelles à l’étranger forment un contexte pertinent, mais le projet se garde délibérément d’en tirer un verdict binaire sur la conformité d’un site.[^14]
### 2. La propriété, une définition de recherche du contrôle
Contrôle du capital, contrôle des droits de vote, contrôle opérationnel et juridiction sont liés, mais pas identiques.
Cette étude suit la propriété ou le contrôle ultime lorsqu’ils peuvent être établis, et le contrôle de l’infrastructure lorsqu’un revendeur à façade suisse dépend d’un autre fournisseur. Des experts raisonnables pourraient retenir une autre définition de la souveraineté.
### 3. La pondération égale est un choix méthodologique
Distribution web, DNS, boîte aux lettres et origine distincte pèsent autant les uns que les autres lorsqu’ils sont connus et applicables.
Le score y gagne en transparence, mais cela ne veut **pas** dire que ces composants ont la même importance dans tous les modèles de menace. Une équipe de sécurité de l’administration pourrait donner plus de poids au DNS ou à l’hébergement de l’origine. Une campagne politique pourrait juger la messagerie plus sensible. Un modèle pondéré pourrait se défendre – mais les pondérations introduiraient un autre choix subjectif.
Nous avons choisi la pondération égale parce qu’elle est visible et reproductible.
### 4. Les architectures CDN peuvent avoir un dénominateur plus grand
Un site hébergé directement compte généralement trois composants de base : distribution web, DNS et boîte aux lettres. Si un site utilise un CDN distinct et que l’origine sous-jacente peut aussi être déterminée, il peut en compter quatre.
C’est voulu : un edge sous contrôle étranger et une origine sous contrôle suisse sont deux relations de contrôle distinctes.
Cela signifie aussi qu’il ne faut jamais lire un pourcentage sans la fraction à côté.
### 5. L’attribution de l’origine est imparfaite
Un CDN est précisément conçu pour empêcher l’internet public de s’adresser directement à l’origine.
Nous n’avons utilisé que des indices passifs. Aucun contrôle d’accès n’a été contourné. Là où les indices ne suffisaient pas, l’origine est restée inconnue.
### 6. Les observations du navigateur sont des instantanés
Les requêtes vers des tiers peuvent varier selon les tests A/B, le chargement différé, la géolocalisation, l’état du consentement ou les mises à jour du site.
Les résultats du navigateur décrivent ce qui a été observé dans les conditions du relevé, et non toutes les requêtes qu’un site pourrait jamais émettre.
### 7. L’infrastructure bouge
Le DNS change. Les hébergeurs migrent leurs clients. Des entreprises sont rachetées. Les structures de propriété évoluent.
C’est pourquoi les preuves sont horodatées, et pourquoi la publication publique comprend des outils de reproduction.
---
## Ce que je demanderais à chaque parti – et à chaque institution publique
La question utile qui suit n’est pas : « Pourquoi utilisez-vous Cloudflare ? »
C’est une courte liste de contrôle de gouvernance :
**Savez-vous qui contrôle en dernier ressort vos fournisseurs critiques ?**
**Pouvez-vous séparer la distribution publique de votre site des systèmes qui détiennent des données sensibles ?**
**Savez-vous quels fournisseurs étrangers sont contactés avant qu’un visiteur ait fait un choix ?**
**Pouvez-vous remplacer votre fournisseur de DNS, de messagerie ou d’hébergement sans tout reconstruire ?**
**Avez-vous une règle explicite qui fixe quelles charges de travail exigent un contrôle suisse, lesquelles peuvent rester européennes et lesquelles peuvent être mondiales ?**
**Quand vous achetez un service suisse, vérifiez-vous la chaîne de propriété et d’infrastructure – ou seulement l’adresse sur la facture ?**
Ce ne sont pas des questions politiques.
Ce sont des questions d’architecture.
Et l’architecture a l’habitude de ne devenir politique qu’après avoir failli.
---
## Le fossé de souveraineté
La version facile de la souveraineté, c’est un drapeau à côté d’un serveur.
La vraie est plus désordonnée.
Une entreprise suisse peut reposer sur une infrastructure sous contrôle étranger. Un serveur suisse peut appartenir à des capitaux étrangers. Un edge sous contrôle américain peut cacher une origine suisse. Un site peut avoir un cœur entièrement sous contrôle suisse et appeler malgré tout plusieurs services étrangers dès que quelqu’un ouvre la page.
Ce n’est pas un plaidoyer pour l’isolement numérique.
C’est un plaidoyer pour la précision.
Le résultat le plus important de cette étude n’est pas que la Lega ait obtenu 100 %, le MCG 67 %, ni que plusieurs partis nationaux aient obtenu zéro pour leurs composants de base connus.
Ce qui compte, c’est le modèle sous ces chiffres :
**l’emplacement n’est pas l’exploitant ; l’exploitant n’est pas le contrôle ; l’infrastructure de base n’est pas la même chose que les dépendances du navigateur ; et l’inconnu doit rester inconnu tant que les preuves ne changent pas.**
La souveraineté numérique entre dans la stratégie suisse.[^1]
Si nous voulons employer l’expression sérieusement, nous devrions aussi pouvoir décrire l’architecture sérieusement.
Cela commence par une habitude simple :
**suivre la pile jusqu’en bas.**
---
## Sources
[^1]: Chancellerie fédérale, secteur Transformation numérique et gouvernance de l’informatique. [Schwerpunkt 4: Digitale Souveränität stärken](https://www.bk.admin.ch/de/schwerpunkt-4-digitale-souveraenitaet-staerken) ; [Strategie Rechenzentren der zivilen Bundesverwaltung](https://www.bk.admin.ch/de/rz-strategie). Consulté le 2026-10-09.
[^2]: Chancellerie fédérale. [Cloud](https://www.bk.admin.ch/en/cloud-6) ; [Cloud-Strategie der Bundesverwaltung](https://www.bk.admin.ch/de/sb020-cloud-strategie-der-bundesverwaltung). Une approche multi-cloud hybride, pas une autarcie technologique. Consulté le 2026-10-09.
[^3]: Services du Parlement de l’Assemblée fédérale. [Im Parlament vertretene Parteien](https://www.parlament.ch/de/organe/fraktionen/im-parlament-vertretene-parteien). Définit les dix partis de l’étude. Consulté le 2026-10-09.
[^4]: Office fédéral de la statistique, wahlen.admin.ch. [Ergebnisse Parteien im Überblick: Schweiz — Nationalrat 2023](https://www.wahlen.admin.ch/de/2023/ch/23-table-results-national-council-election/). Les parts de suffrages servent uniquement à ordonner les partis. Consulté le 2026-10-09.
[^5]: staysin.eu. [Methodology](https://staysin.eu/methodology). Un modèle centré sur l’UE, qui compte la Suisse comme pays tiers ; cet audit adapte la méthode au contrôle suisse et utilise son propre modèle de score. Consulté le 2026-10-09.
[^6]: Swiss Political Parties Digital Sovereignty Audit, méthodologie v2.2. Attribution des origines derrière les CDN : OSINT passive uniquement, sans contournement du CDN ni des contrôles d’accès. Mesure technique du 7 octobre 2026.
[^7]: Swiss Political Parties Digital Sovereignty Audit, méthodologie v2.2. Résultats structurés pour les dix partis : scores, attribution des prestataires, nombre de dépendances étrangères et horodatage des relevés. Mesure technique du 7 octobre 2026 ; examen des prestataires et du contrôle le 8 octobre 2026.
[^8]: Swiss Political Parties Digital Sovereignty Audit. Registre des affirmations : relie chaque affirmation publiée à ses preuves, à son niveau de confiance et à ses réserves.
[^9]: Swiss Political Parties Digital Sovereignty Audit. Méthodologie v2.2 : définition du score, taxonomie du contrôle, traitement de l’inconnu, distinctions edge/origine et MX/SPF, pondération égale et limites.
[^10]: Cinven. [Cinven and Ontario Teachers' to invest in the combination of group.ONE and dogado group](https://www.cinven.com/news-insights/cinven-and-ontario-teachers-to-invest-in-the-combination-of-group-one-and-dogado-group/). METANET figure parmi les marques de dogado. Consulté le 2026-10-09.
[^11]: group.one. [group.one announces new leadership team and corporate identity](https://www.group.one/news/group-one-announces-new-leadership-team-and-corporate-identity) ; [Imprint](https://careers.group.one/pages/imprint). Consulté le 2026-10-09.
[^12]: Nine. [Impressum](https://www.nine.ch/de/impressum/) ; [Contrat de traitement des données](https://docs.nine.ch/docs/legal-documents/data-processing-agreement/). Consulté le 2026-10-09.
[^13]: cyon. [Das war das cyon-Jahr 2025](https://www.cyon.ch/blog/das-war-das-cyon-jahr-2025) ; Moneyhouse, [cyon AG](https://www.moneyhouse.ch/en/company/cyon-ag-12012943231). Le registre des actions actuel de la SA n’est pas consultable publiquement ; le contrôle suisse est classé avec un niveau de confiance moyen. Consulté le 2026-10-09.
[^14]: Préposé fédéral à la protection des données et à la transparence (PFPDT). [Bekanntgabe von Personendaten ins Ausland](https://www.edoeb.admin.ch/de/bekanntgabe-von-personendaten-ins-ausland). Contexte juridique uniquement ; pas utilisé pour conclure à la conformité. Consulté le 2026-10-09.