Ce n’est qu’un au revoir, la France

Nous avons des nouvelles à vous annoncer.

Résumé

À compter du 24 novembre, Quad9 ne sera plus en mesure d’offrir son service gratuit de cyberprotection aux utilisateurs situés en France.

Les tribunaux français ont rendu hier une décision défavorable à Quad9 dans une affaire majeure qui porte atteinte à la stabilité de l’Internet. Cette décision en faveur de beIN contraint Quad9 à bloquer la résolution DNS récursive pour un certain nombre de noms de domaine pour les utilisateurs situés en France.

La bonne nouvelle est que le tribunal a considérablement réduit la pénalité financière, qui passe de 580 000 € à 1 000 € par jour. Cependant, pour Quad9, la question n’a jamais été uniquement financière : c’est une question de principes.

Nous ne pouvons pas nous conformer à cette décision sur le long terme tout en restant fidèles à notre mission de protéger votre vie privée, de vous défendre contre les cybermenaces et de préserver l’intégrité d’Internet. Pour nous, la résolution DNS récursive est un service neutre et passif. Nous refusons catégoriquement d’altérer ou de vous mentir sur les réponses DNS que vous recevez contre vos attentes.

Cette décision nous place dans une position intenable. Sa mise en conformité est techniquement irréalisable, et son exécution contredit directement notre mandat d’intérêt public. Par conséquent, nous avons pris la décision difficile de retirer les services de Quad9 de la France à compter du mardi 24 novembre. Nous regrettons profondément que les internautes français se retrouvent sans alternative capable de protéger adéquatement leur cybersécurité tout en restant conforme au droit européen de la protection de la vie privée.

Contexte

beIN, une société qatarie disposant d’une filiale et de bureaux en France, a précédemment cherché à forcer Quad9 à bloquer la résolution d’un ensemble de noms de domaine qui, selon elle, participent à la violation de ses droits audiovisuels sur les retransmissions de compétitions sportives. Ces noms de domaine ne sont ni possédés ni gérés par Quad9, et nous n’avons aucun lien avec les exploitants de ces sites. Les tribunaux français ont donné raison à beIN et ont autorisé l’application d’une astreinte (pénalité financière journalière) à l’encontre de Quad9 si nous continuons à fournir des réponses DNS exactes et complètes aux utilisateurs situés en France.

Quad9 est une fondation suisse sans but lucratif et d’utilité publique créée expressément pour protéger la cybersécurité des internautes. Notre service est entièrement gratuit et ouvert à toute personne ou organisation, quel que soit son pays, à la recherche d’une version fiable, privée et exacte du système de noms de domaine (DNS). Nos valeurs fondamentales reposent sur la mise à disposition de la confidentialité, la sécurité et l’intégrité à l’ensemble des internautes. Notre mission consiste à appliquer universellement ces principes directeurs à nos services de résolution DNS récursive, dans l’intérêt exclusif des utilisateurs finaux.

Nous tenons à être très clairs : nous sommes opposés au piratage de contenu. Quad9 existe pour offrir une expérience internet plus sûre et plus fiable aux utilisateurs finaux. Nous proposons, sur option, le filtrage des cyberactivités malveillantes ciblant les utilisateurs à l’échelle mondiale. Nous ne bloquons aucun contenu, et nous laissons chacun libre d’activer ou non nos services de filtrage des cybermenaces, selon ses besoins et ses intérêts. Le piratage de contenu doit être traité à la source – là où les contenus illicites sont hébergés. Forcer des intermédiaires de résolution DNS récursive à violer les protocoles d’exploitation de l’Internet au bénéfice d’intérêts privés et au détriment du réseau internet mondial lui-même, est non seulement une erreur, mais c’est également contre-productif. Ce n’est qu’un écran de fumée qui détourne l’attention de la véritable solution : s’attaquer à l’hébergement des contenus ou agir sur les pressions du marché qui favorisent le piratage. Les intermédiaires de résolution DNS récursive sont des spectateurs impuissants dans ce combat. Non seulement nous sommes le mauvais interlocuteur pour agir efficacement contre le piratage, mais exercer une pression juridique sur Quad9 aura également des conséquences indésirables sur des millions d’internautes innocents.

Pour Quad9, se conformer à cette décision est tout simplement impossible. Nous n’avons pas de base de données d’utilisateurs : notre service est gratuit et ne nécessite ni inscription ni justificatif d’identité. La résolution DNS récursive est un rouage tellement fondamental d’internet qu’il n’existe aucune méthode fiable pour déterminer la juridiction d’un utilisateur et nous estimons d’ailleurs qu’il ne devrait pas être nécessaire de prouver son identité pour effectuer des recherches de noms de domaine. Nos objectifs fondamentaux – la confidentialité des données des utilisateurs et l’intégrité des réponses – sont en opposition directe avec les méthodes requises pour mettre en œuvre cette décision de justice sur notre plateforme gratuite. Il nous est impossible de savoir à quels utilisateurs ce jugement s’applique : nous n’avons pas de liste d’utilisateurs situés en France, car nous n’avons aucune liste d’utilisateurs.

Si nous ne nous y conformons pas, nous devrons régler une astreinte de 1 000 euros jusqu’à la conclusion du blocage le 14 novembre, soit 24 000 euros sans compter les honoraires pour la défense. Quad9 ne saurait survivre à l’accumulation d’astreintes à fixer dans les 20 autres affaires en cours, ni à celles de dossiers futurs similaires à celui intenté par beIN. L’inaction n’est donc pas une option pour contester cette décision.

Quad9 peut-il simplement se conformer via un blocage mondial?

Nous pourrions ajouter ces noms à notre base de données mondiale de blocage des domaines malveillants, celle-là même que nous utilisons pour notre protection optionnelle contre les logiciels malveillants et le hameçonnage (phishing). Il s’agit d’un ensemble unique et monolithique de noms appliqué mondialement à tous les utilisateurs de nos services intégrant le filtrage de cyberprotection (9.9.9.9 et secondaires), mais pas à nos services sans filtrage de cyberprotection (9.9.9.10 et secondaires). Sur un plan fonctionnel, bloquer ces noms pour beIN à l’échelle mondiale et ajouter ces blocages à nos adresses « non filtrées » satisferait aux exigences du tribunal.

Cependant, cela reviendrait à appliquer à l’ensemble des internautes du monde entier des décisions de justice françaises, applicables au territoire français uniquement, à la demande d’une société commerciale privée affiliée à un groupe étranger. Nous nous doutons bien que si d’autres nations peu amicales envers la France cherchaient à imposer leur législation à l’intérieur des frontières françaises, une réaction ferme des internautes et des autorités se manifesterait. L’inverse est tout aussi vrai : le reste du monde ne souhaite pas se voir imposer la législation française. Un tel système créerait un précédent permettant à n’importe quel pays d’imposer ses lois, sa morale, ses exigences économiques ou ses préceptes sociaux à n’importe quelle autre nation en bloquant des noms au système DNS, et donc en bloquant les communications et les contenus.

Par conséquent, cette méthode de blocage mondial est totalement irréalisable pour nous en tant que solution permanente pour se conformer à la décision du tribunal dans le cadre de notre mission.

Qu’est-ce que la « France » du point de vue d’internet?

Il existe des raisons plus fondamentales pour lesquelles le blocage par geoIP ne peut pas fonctionner. Ayant déjà fait l’objet d’une procédure judiciaire en Allemagne entre 2021 et 2023, nous en avons tiré une leçon majeure : au début de l’affaire, nous avons tenté d’utiliser le blocage basé sur l’adresse IP comme une solution de contournement temporaire (un « bricolage ») ce qui nous permettait de maintenir nos services sans un retrait complet en attendant le jugement définitif. Le demandeur (Sony Music Entertainment GmbH) a ensuite utilisé un VPN pour contourner ce filtrage par IP et accéder au contenu bloqué depuis l’Allemagne. Le tribunal a donné raison à Sony en concluant à notre non-conformité, et nous avons été condamnés à une pénalité pour inexécution.

Forte de cette expérience, Quad9 sait que ce modèle fondé sur la geoIP est non seulement inadapté sur le plan technique, mais qu’il conduit inévitablement à des pénalités financières infligées par des tribunaux. Pour quiconque maîtrise ces technologies, une telle décision paraît absurde et aberrante – mais c’est la réalité à laquelle nous faisons face dans ces procès où le décalage est criant entre la compréhension des tribunaux et le fonctionnement réel des protocoles internet. Nous ne pouvons pas prendre le risque de subir à nouveau un tel revers, dans cette affaire comme d’en d’autres, face à des jugements déconnectés de la réalité technique qui semblent devenus la norme dans ce type de dossiers.

Nous avons finalement remporté ce procès contre Sony, mais cela a pris plusieurs années, coûté des centaines de milliers d’euros à Quad9 et généré un gaspillage de temps monumental – freinant notre capacité à fournir des services et créant une dette en ressources que nous payons encore aujourd’hui. Cette nouvelle affaire n’est que la suite de la même histoire : la partie adverse dispose de plus d’avocats que nous n’avons de temps et d’argent.

La décision de Quad9

Compte tenu de ces conditions et fidèles à notre mission, forts de notre expérience passée et désireux de rester dans le cadre de la loi face à cette décision de justice, nous sommes confrontés à un choix difficile.

Ces exigences nous placent face à une impasse : nous devons nous conformer à la décision de justice, ou faire face à des risques existentiels croissants. Or, pour mettre en œuvre ces mesures de filtrage, il nous faudrait soit étendre la loi française au monde entier (en appliquant un blocage mondial), soit accepter une situation de vulnérabilité juridique permanente en recourant à des méthodes techniques n’offrant pas le niveau de garantie requis, y compris au regard des impératifs de protection des données personnelles.

Cela nous conduit à la seule conclusion logique qui élimine notre risque juridique tout en restant fidèles à notre mission : nous devons rendre notre option de cyberprotection de même que nos services de résolution DNS récursive indisponibles aux utilisateurs situés en France. Notre départ est prévu pour le 24 novembre 2026.

En tout état de cause, il s’agit pour Quad9 d’une question de principe au regard du dévoiement possible de ce type de mesures de blocage. Permettre à des sociétés privées de filtrer ce qui est accessible sur internet constitue à nos yeux une dérive dangereuse. Des démarches qui paraissent aujourd’hui ciblées et exceptionnelles ouvriront demain la voie à une avalanche de demandes intempestives visant à étouffer des contenus politiques, religieux, économiques ou sociaux. Nous refusons d’être les rouages, même minimes, d’une telle dégradation de la liberté du savoir. Une fois instaurés, les outils de censure sont rarement utilisés avec modération ou justice.

Cette affaire avec beIN n’est d’ailleurs pas le seul litige auquel nous faisons face en France. Il existe environ 20 procédures différentes en cours contre Quad9 (et d’autres opérateurs de résolution DNS récursive) exigeant le filtrage de centaines de noms de domaines. Nous nous attendons à ce que nombre d’entre elles s’aggravent pour atteindre des conditions similaires à celles de l’affaire beIN, mettant Quad9 en péril quelle que soit l’issue de ce dossier précis.

D’après nos statistiques de trafic agrégées à haut niveau, nous savons que nous comptons de très nombreux utilisateurs en France. Avec notre départ, ces derniers seront de nouveau exposés aux cybermenaces que nous bloquions pour eux depuis près de 9 ans. Nous regrettons profondément cette issue, mais nous n’avons d’autre choix. Vous trouverez ci-dessous une liste partielle des réseaux depuis lesquels nous observons du trafic en France: vous y constaterez la présence de nombreux réseaux d’infrastructure, de sécurité nationale, de finance, d’éducation et d’autres secteurs d’importance vitale, au-delà des abonnés grand public aux FAI et aux opérateurs de réseau mobile. Tous perdront l’accès à nos services le 24 novembre en raison des risques juridiques qui pèsent sur Quad9 en France.

Quel est le but de tout ce procès, au juste?

La partie la plus troublante de cette décision réside dans son inefficacité en pratique. Forcer Quad9 à bloquer certains noms de domaine ne supprime aucun contenu d’internet et n’a aucun impact sur les serveurs qui hébergent les contenus visés.

Nous proposons un service gratuit, mais il existe des milliers d’autres opérateurs de résolution DNS récursive ouverts qui offrent la même fonction que Quad9 - mais avec une confidentialité, une sécurité et une fiabilité moindres. Les internautes cherchant ces contenus basculeront simplement leur DNS vers l’un de ces autres services gratuits, quitte à confier leurs données personnelles à des systèmes situés dans des juridictions dont les intentions en matière de vie privée et de sécurité sont bien moins honorables. C’est l’équivalent de brandir une feuille de journal devant un stade plein à craquer pour espérer masquer la scène d’un concert. Il s’agit d’un problème insoluble via la résolution DNS récursive. L’impact de décisions juridiques comme celle-ci est imperceptible, en dehors des honoraires versés aux avocats et des communiqués de presse célébrant les victoires de façade.

Même beIN n’en retirera aucun bénéfice concret. Peut-être cela est-il à dessein et que l’intention est sciemment punitive – nous ne saurions expliquer pourquoi de telles ressources ont été déployées contre une modeste organisation sans but lucratif comme Quad9, dont la seule vocation est d’offrir un service plus sûr et plus fiable aux utilisateurs. Mais une chose est sûre: ces procédures représentent un gaspillage tragique de temps et de ressources, tout en entraînant des séquelles bien réelles et néfastes pour l’ensemble des internautes en France, qu’il s’agisse ou non de nos utilisateurs.

Ce que nous ferons à partir du 24 novembre

Quad9 ne bloquera pas les noms de domaines en question- nous souhaitons rester fidèles à notre engagement de fournir une vue complète du DNS aux utilisateurs qui désirent ce service. Cependant, à compter du 24 novembre nous cesserons de permettre l’accès à nos services aux utilisateurs situés en France, tentant ainsi de mettre Quad9 à l’abri de risques similaires, sinon plus importants à l’avenir. Nous espérons que 30 jours seront suffisants pour la substitution, même si nous regrettons à l’avance que ce message n’atteindra sans doute pas certains utilisateurs à temps.

Un appel est en cours et nous continuerons de défendre notre position devant les tribunaux dans cette affaire comme dans toutes celles que nos moyens permettront de mener. Nous poursuivrons notre combat contre la censure de la résolution DNS récursive. Nos ressources sont limitées, mais notre détermination à maintenir un internet libre et ouvert reste inébranlable. Vous pouvez faire un don ici pour nous aider à poursuivre notre mission et à faire face aux frais juridiques engagés dans cette bataille et les suivantes.

Ce que vous pourriez faire

Nous sommes convaincus que cette situation est réversible. Citoyens français : dites à vos députés que la résolution de noms de domaine n’est pas un délit. Internet doit rester un espace ouvert et librement accessible à tous: les intermédiaires neutres comme Quad9 (ou tout autre opérateur de résolution DNS récursive) ne devraient pas être traînés devant les tribunaux au seul motif qu’ils associent des noms de domaine à des adresses IP. Par ailleurs, nous savons que des projets sont actuellement à l’étude en France (et d’en d’autres pays européens) pour accorder à des entreprises privées et à d’autres entités le pouvoir d’imposer un filtrage automatisé et non vérifié des contenus qu’elles seules jugent indésirables - ouvrant la porte, potentiellement, à des dérives massives, opaques et anti-démocratiques. Nous sommes convaincus que vous désapprouvez ces méthodes autant que nous. Faites-vous entendre sous peine de voir vos droits confisqués dans le silence.

L’ARCOM est votre autorité de régulation : signalez-lui que ce précédent met la France en danger tant sur le plan pratique que stratégique.

Rappelez-lui que son mandat lui impose de préserver l’équilibre entre vos droits numériques de citoyens et le respect des droits audiovisuels sur les retransmissions de compétitions sportives des ayants droit. Il ne saurait y avoir équilibre lorsque la confidentialité et la sécurité des internautes sont traitées comme dommages collatéraux.

En conclusion

Lutter contre le piratage en bloquant la résolution DNS récursive est inefficace. C’est une réponse disproportionnée, inadaptée et vaine, car les contenus sources demeurent pleinement accessibles pour réapparaître sous d’autres noms de domaine. Forcer Quad9 à se retirer nuit à la stratégie et à la souveraineté numériques de la France en matière de sécurité, de vie privée et d’intégrité des réseaux - compromettant les intérêts supérieurs de la nation au profit d’une victoire commerciale illusoire à court terme.

Nous regrettons profondément de devoir priver nos utilisateurs situés en France de nos services de cyberprotection, mais nous gardons l’espoir que l’avenir verra prévaloir une interprétation plus éclairée de la loi qui nous permettra de revenir.

Sincèrement,
L’équipe Quad9

* Cet article a été rédigé et traduit par des humains, membres de l’équipe Quad9

Liste partielle des réseaux français utilisant Quad9

Cette liste est extraite des métriques de réseau sur environ une heure d’utilisation typique. Quad9 suit les numéros de systèmes autonomes (ASN) des réseaux conformément à sa politique de confidentialité, mais nous n’identifions pas les adresses IP individuelles ni les utilisateurs au sein de ces réseaux. Il existe des centaines d’autres réseaux français qui utilisent Quad9 ; nous en avons sélectionné quelques-uns au hasard pour illustrer l’étendue de cette utilisation. Les systèmes autonomes n’étant pas exclusivement cartographiés par zone géographique, ils ne peuvent pas servir d’identifiant de juridiction, bien qu’il soit raisonnable d’affirmer que la plupart de ces réseaux comptent une part importante de leurs utilisateurs en France.

Administration centrale et agences publiques
60855 — Direction interministérielle du numérique (DINUM) — Direction rattachée au Premier ministre ; définit la stratégie numérique de l’État et exploite le Réseau interministériel de l’État (RIE).
43717 — Business France (EPIC) — Agence nationale d’accompagnement des entreprises françaises à l’export et d’attraction des investissements étrangers.
205461 — France Travail (EPA ; anciennement Pôle emploi) — Service public de l’emploi : placement, accompagnement des demandeurs d’emploi, versement des allocations chômage.
777 — CEA Paris-Saclay (EPIC) — Centre de Saclay du Commissariat à l’énergie atomique et aux énergies alternatives ; recherche publique en énergie nucléaire et alternatives, défense et technologies pour la santé.
44850 — Institut de recherche pour le développement (IRD ; EPST) — Institut public de recherche travaillant avec des partenaires des pays du Sud sur la santé, l’environnement et les sciences sociales.
29110 — Institut Pasteur (fondation privée reconnue d’utilité publique) — Fondation de recherche biomédicale à but non lucratif à Paris (maladies infectieuses, vaccins, microbiologie) ; héberge des centres nationaux de référence.

Réseau de l’enseignement et de la recherche
1307, 1712, 1715, 1942, 1945, 2060, 2094, 2198, 2200, 2202, 2259, 2269, 2457, 2470, 2472 — RENATER (GIP) — Réseau national de l’enseignement et de la recherche ; ses membres sont l’État et des organismes publics de recherche.

Réseaux de campus gérés par des étudiants
204515 — Crans (association) — Association réseau des étudiants de l’ENS Paris-Saclay fournissant connectivité, hébergement et messagerie à ses membres.
212424 — ViaRézo (Association des réseaux de CentraleSupélec) — Association étudiante fournissant accès internet et services informatiques sur le campus de CentraleSupélec.
207849 — ESIEESPACE — Club étudiant de l’ESIEE Paris qui exploite OpenGate, un FAI associatif étudiant.

Enseignement privé
56339 — IONIS Education Group (SAS) — Groupe privé à but lucratif d’enseignement supérieur (EPITA, Epitech, ESME, IPSA, ISG, Sup’Biotech).

Collectivités territoriales
208458 — Région Nouvelle-Aquitaine — Collectivité régionale regroupant 12 départements ; siège à Bordeaux ; créée en 2016.
208820 — Département de la Seine-Saint-Denis — Département d’Île-de-France ; conseil départemental siégeant à Bobigny.
50036 — Département des Pyrénées-Atlantiques — Département de Nouvelle-Aquitaine ; conseil départemental siégeant à Pau.
34000 — Département des Bouches-du-Rhône — Conseil départemental.
48799 — Ville et Eurométropole de Strasbourg — Administration commune de la Ville de Strasbourg et de l’Eurométropole (33 communes).
204897 — Grand Besançon Métropole — Communauté urbaine de 67 communes autour de Besançon.
208574 — Communauté de communes du Pays de Bitche — Intercommunalité de 46 communes en Moselle ; propriétaire du réseau public de fibre optique Tubéo.
202834 — Commune d’Échirolles — Commune au sud de Grenoble ; membre de Grenoble-Alpes Métropole.
211127 — SITPI (Syndicat intercommunal pour les télécommunications et les prestations informatiques) — Dix communes de l’agglomération grenobloise mutualisant services de télécommunications, informatique et SIG.

Infrastructures numériques publiques (réseaux et informatique des collectivités)
200245 — Manche Numérique (syndicat mixte) — Déploie le réseau de fibre optique de la Manche ; fournit services informatiques, d’e-administration et de télécommunications aux collectivités.
44842 — Somme Numérique (syndicat mixte) — Propriétaire du réseau de fibre optique de la Somme ; fournit des services numériques aux collectivités et aux établissements scolaires.
214589 — Essonne Numérique (syndicat mixte ouvert) — Réseau public de fibre optique de l’Essonne, avec services d’interconnexion, d’hébergement et de datacenter pour les sites publics.
47608 — Gigalis (GIP) — Réseau régional de fibre optique des Pays de la Loire pour les collectivités, la santé, les services de secours et l’enseignement.
41114, 62038 — Orne THD (SPL) — Société détenue par Rombas et des communes voisines en Moselle ; commercialise internet et télévision par fibre sur leurs réseaux.
39271 — C’Chartres Innovations Numériques (SEM) — Société de Chartres Métropole exploitant fibre optique, réseau 5G privé, datacenter et services informatiques.
207430 — SITEC, Société informatique et télématique corse (SEM ; Collectivité de Corse 56 %) — Hébergement, cloud, cybersécurité et services informatiques pour les organismes publics corses.
50547 — Régie du réseau câblé du Haut Sundgau (régie de collectivité) — Réseau public de télécommunications filaires dans le sud de l’Alsace.
49011 — MACS THD (SASU, groupe SFR) — Société privée exploitant le réseau très haut débit de Maremne-Adour-Côte-Sud (Landes) dans le cadre d’une délégation de service public.

Énergie et services publics
1301 — Électricité de France (EDF ; détenue à 100 % par l’État) — Producteur et fournisseur national d’électricité ; exploite le parc nucléaire français.
62141 — Compagnie nationale du Rhône (CNR ; actionnariat public majoritaire, Engie actionnaire de référence) — Concessionnaire du Rhône : barrages hydroélectriques, navigation et irrigation, ainsi que production éolienne et solaire.
39830 — Teréga (SA privée ; anciennement TIGF) — Opérateur de transport et de stockage souterrain de gaz dans le sud-ouest de la France.
43734 — UEM (SEM locale ; anciennement Usine d’électricité de Metz) — Entreprise de services publics de Metz : électricité, gaz, chauffage urbain, éclairage public.
12727, 42487, 208719 — Vialis (SEM ; Colmar premier actionnaire) — Entreprise de services publics de Colmar : électricité et gaz, ainsi que télévision par câble, internet et fibre.
204645 — Régie ENES (Régie municipale d’électricité de Creutzwald) — Régie municipale : électricité, internet par fibre, télévision locale, chauffage urbain.

Transports
203885 — SNCF (Société nationale SNCF SA ; détenue par l’État) — Société mère du groupe ferroviaire national.
34809 — Sanef (SA ; filiale d’Abertis) — Concessionnaire d’autoroutes du nord et de l’est de la France.

Santé
201659 — AP-HM (Assistance Publique – Hôpitaux de Marseille) — Groupe hospitalier universitaire public de Marseille.
51588 — SESAN (GIP) — Organisme régional d’Île-de-France fournissant des services numériques de santé partagés aux professionnels et établissements de soins.
49692 — Compagnie Générale de Santé (SAS ; privée) — Ancien nom du groupe hospitalier privé aujourd’hui appelé Ramsay Santé.

Audiovisuel et médias
24843, 43930 — France Télévisions (SA détenue par l’État) — Diffuseur national de télévision de service public.
43646 — TDF (SASU ; détenue par des fonds d’infrastructure) — Opérateur d’infrastructures de diffusion et de pylônes.

Industrie et technologies (privé)
29104 — Thales Services Numériques (SAS ; groupe Thales) — Services informatiques, cloud, centres d’opérations de sécurité et intégration pour clients de la défense, du spatial et du secteur public.
49068 — Stormshield (SAS ; Airbus Defence and Space) — Éditeur de cybersécurité (pare-feux, protection des postes, chiffrement) ; produits qualifiés par l’ANSSI.
57226 — IDEMIA Identity & Security France (SAS) — Documents d’identité, identification biométrique et systèmes de contrôle aux frontières et d’accès ; anciennement Safran Morpho.
41935 — Dassault Systèmes (SE ; cotée) — Logiciels de conception 3D et de simulation (CATIA, SOLIDWORKS) ; distincte de Dassault Aviation.
42924 — VINCI Construction SI (SNC) — Direction des systèmes d’information interne de VINCI Construction.
201647 — SI-nerGIE (GIE d’Orano et Framatome) — Exploitation informatique mutualisée des deux entreprises : datacenters et support de proximité.
49920 — Flowbird (SAS) — Fabricant d’horodateurs et de systèmes de billettique pour les transports.
20493 — Viparis Le Palais des Congrès de Paris (SA ; CCI Paris Île-de-France et Unibail-Rodamco-Westfield à 50/50) — Exploite le centre de congrès du Palais des Congrès de Paris.