Les conséquences de la perte d'un domaine sont immédiates et graves. Votre site tombe, vos e-mails cessent de fonctionner et tout visiteur qui saisit votre adresse arrive sur un endroit que vous ne contrôlez pas. Pour une marque dont la réputation repose sur un nom précis, les dégâts dépassent de loin la panne technique. Récupérer un domaine détourné est possible, mais c'est lent, incertain et parfois sans succès. Il vaut bien mieux rendre le détournement difficile dès le départ.
Qu'est-ce que le détournement de domaine ?
Le détournement de domaine, c'est quand quelqu'un prend le contrôle d'un domaine qui vous appartient sans votre permission. L'attaquant transfère le domaine vers un autre registraire, change la propriété du domaine vers un autre compte, ou fait les deux à la suite. Une fois le transfert terminé, vous ne pouvez plus gérer le domaine, le renouveler ni le faire pointer vers votre serveur.
C'est différent du squat de domaine, où quelqu'un enregistre un nom proche du vôtre. Le détournement vise un domaine que vous possédez déjà et autour duquel vous avez bâti votre marque. Le but de l'attaquant est généralement de vous revendre le domaine à prix gonflé, de le garder contre rançon, de rediriger votre trafic ou de prendre le contrôle de votre messagerie pour accéder à d'autres comptes liés à cette adresse.
Pour comprendre pourquoi c'est possible, il faut savoir comment fonctionne normalement un transfert de domaine. Quand vous déplacez un domaine d'un registraire à un autre, vous fournissez un code d'autorisation et confirmez la demande. Le transfert prend plusieurs jours et peut être annulé pendant ce délai. Les pirates exploitent ce processus en accédant à votre compte chez le registraire ou à votre adresse e-mail, en autorisant eux-mêmes le transfert et en le terminant avant que vous ne remarquiez quoi que ce soit. Vous en saurez plus sur le fonctionnement du transfert dans le chapitre sur ce qu'est un transfert de domaine.
Comment se produit un détournement de domaine ?
Un détournement commence presque toujours par l'une de quatre portes d'entrée. Les fermer toutes les quatre est la façon de vous protéger.
Attaques d'hameçonnage visant votre connexion chez le registraire
La méthode la plus courante est un e-mail d'hameçonnage qui imite un message de votre registraire de domaine. Le message peut vous prévenir que votre domaine va bientôt expirer, qu'une connexion suspecte a été détectée ou que vous devez vérifier votre compte. Le lien de l'e-mail mène à une fausse page de connexion qui capte votre identifiant et votre mot de passe. Avec ces identifiants, l'attaquant se connecte à votre vrai compte et lance un transfert.
Les e-mails d'hameçonnage visant les propriétaires de domaines sont devenus très convaincants. Ils copient exactement l'identité visuelle et le ton des vraies communications des registraires. La seule défense fiable est de ne jamais cliquer sur les liens d'e-mails qui vous demandent de vous connecter. Ouvrez plutôt le site de votre registraire directement depuis votre navigateur et consultez votre compte à partir de là.
Comptes e-mail compromis
Votre compte chez le registraire n'est aussi sûr que l'adresse e-mail qui y est liée. Si un attaquant accède à votre messagerie, il peut utiliser la fonction « mot de passe oublié » de votre registraire pour réinitialiser votre connexion et prendre le contrôle de votre compte. C'est pourquoi l'e-mail de contact de votre registraire est l'un des actifs les plus sensibles que vous possédez. Un mot de passe faible ou réutilisé sur ce compte e-mail ouvre une voie directe vers votre domaine.
Mots de passe faibles ou réutilisés
Un mot de passe faible sur votre compte chez le registraire est une invitation ouverte. Les attaquants utilisent des outils automatisés qui prennent des combinaisons identifiant et mot de passe issues d'autres fuites de données et les essaient automatiquement sur les pages de connexion des registraires. Si vous réutilisez un mot de passe d'un autre service ayant déjà été compromis, votre domaine est menacé.
Attaques d'ingénierie sociale
Certains pirates contournent entièrement les méthodes techniques et contactent directement le support de votre registraire en se faisant passer pour vous. Ils prétendent avoir perdu l'accès à leur compte et demandent au support de réinitialiser les identifiants. Si vos coordonnées WHOIS sont visibles publiquement, ils ont déjà votre nom, votre e-mail et votre adresse pour appuyer leur demande. C'est l'une des raisons pour lesquelles la protection WHOIS compte pour la sécurité du domaine, un sujet traité dans le chapitre précédent sur ce qu'est la protection WHOIS.
Quelles sont les conséquences d'un détournement de domaine ?
Les effets d'un détournement réussi vont plus loin que le domaine lui-même. Votre site passe hors ligne dès que l'attaquant modifie les paramètres DNS. Les visiteurs obtiennent des erreurs ou arrivent sur une page que vous n'avez pas créée. Les e-mails envoyés à votre domaine sont rejetés ou vont dans la boîte de l'attaquant, y compris les e-mails de réinitialisation de mot de passe de tout service lié à cette adresse. Chaque compte qui utilise votre e-mail de domaine devient exposé.
Les dégâts pour la marque s'aggravent vite. Les clients qui essaient de vous joindre n'y arrivent pas. Les partenaires qui écrivent n'obtiennent aucune réponse. Si l'attaquant met en ligne une page frauduleuse sur votre domaine, les visiteurs peuvent être trompés ou voir leurs données volées, et le nom de votre marque sera associé à cette expérience.
Récupérer le domaine par la procédure de litige de l'ICANN ou par décision de justice peut prendre de quelques semaines à plusieurs mois. Rien ne garantit la récupération. Certains domaines sont transférés vers des registraires de pays où les litiges sont difficiles à poursuivre, et certains attaquants revendent les domaines assez vite pour que la piste devienne compliquée. Plus la récupération dure, plus le classement de la marque dans la recherche et sa réputation e-mail se dégradent.
Comment prévenir le détournement de domaine ?
La prévention est simple. Chacune des mesures ci-dessous répond à l'une des portes d'entrée des attaquants. Ensemble, elles rendent le détournement de votre domaine bien plus difficile que celui de quelqu'un qui n'a pas pris ces mesures.
Gardez le verrou du registraire (verrou de transfert) activé
Le verrou du registraire, aussi appelé verrou de transfert ou verrou de domaine, est un réglage d'état qui empêche le transfert de votre domaine vers un autre registraire tant que vous ne le désactivez pas explicitement. Quand le verrou est activé, toute demande de transfert est rejetée automatiquement. La plupart des registraires proposent cette fonction et la laissent désactivée par défaut, ce qui est l'inverse de ce que vous voulez.
Connectez-vous dès maintenant à votre compte chez le registraire et vérifiez si le verrou de votre domaine est activé. S'il est désactivé, activez-le. Vous ne devez le désactiver que lorsque vous êtes en train de transférer vous-même le domaine, et le réactiver dès la fin du transfert.
Utilisez un mot de passe fort et unique pour votre compte chez le registraire
Le mot de passe de votre compte chez le registraire doit être long, aléatoire et utilisé nulle part ailleurs. Un gestionnaire de mots de passe rend cela facile. Générez un mot de passe d'au moins 16 caractères et conservez-le dans un gestionnaire plutôt que de l'écrire ou d'essayer de le retenir. Ne réutilisez jamais pour la connexion à votre registraire un mot de passe d'un autre service.
Activez l'authentification à deux facteurs sur votre compte chez le registraire
L'authentification à deux facteurs (2FA) exige un second élément de vérification, en général un code d'une application d'authentification, en plus du mot de passe à la connexion. Même si un attaquant obtient votre mot de passe par hameçonnage ou fuite de données, il ne peut pas accéder à votre compte sans contrôler aussi votre second facteur. La plupart des grands registraires prennent en charge la 2FA. Si le vôtre ne le fait pas, c'est une raison d'envisager d'en choisir un qui le fait.
Utilisez une application d'authentification plutôt qu'une vérification par SMS quand c'est possible. Les codes SMS peuvent être interceptés par des attaques où quelqu'un trompe votre opérateur mobile pour faire passer votre numéro sur un appareil qu'il contrôle. Une application d'authentification résiste mieux à cela.
Gardez votre e-mail de contact WHOIS sécurisé et accessible
L'adresse e-mail de l'enregistrement WHOIS de votre domaine est celle que votre registraire utilise pour envoyer les demandes de confirmation de transfert. Si un attaquant lance un transfert, un e-mail de confirmation part vers cette adresse. Si vous n'y avez plus accès, ou si l'attaquant la contrôle, le transfert peut aboutir à votre insu.
Utilisez une adresse e-mail dédiée à l'enregistrement de votre domaine, pas une adresse personnelle que vous pourriez abandonner ni une boîte partagée accessible à d'autres. Veillez à ce que ce compte ait un mot de passe fort et la 2FA activée. Consultez-le assez régulièrement pour remarquer un e-mail de confirmation de transfert avant la fin du délai de transfert.
Activez la protection WHOIS pour réduire le risque d'ingénierie sociale
Quand la protection WHOIS est désactivée, votre nom, votre adresse e-mail, votre numéro de téléphone et votre adresse postale peuvent être consultés publiquement dans la base WHOIS mondiale. Ces informations donnent à un ingénieur social tout ce qu'il lui faut pour se faire passer pour vous auprès du support de votre registraire. La protection WHOIS remplace vos coordonnées personnelles par des coordonnées génériques du registraire, ce qui retire la matière première de ce type d'attaque.
Le détail du fonctionnement de la protection WHOIS et de ce qu'elle protège est traité dans le chapitre précédent sur la protection WHOIS. Si elle n'est pas encore activée sur votre domaine, l'activer maintenant supprime un risque de plus.
Enregistrez votre domaine chez un registraire de bonne réputation
Tous les registraires n'ont pas les mêmes normes de sécurité ni les mêmes pratiques de support. Un registraire qui vérifie rigoureusement l'identité, a des procédures claires de remontée pour les litiges de compte et prend bien en charge la 2FA risque moins de remettre votre domaine à quelqu'un qui se fait passer pour vous qu'un registraire qui se contente d'une vérification minimale. Enregistrer un domaine chez un fournisseur bon marché pour économiser quelques euros crée un compromis de sécurité qui n'en vaut pas la peine. Le chapitre sur comment enregistrer un domaine indique ce qu'il faut regarder pour choisir un registraire.
Renouvelez votre enregistrement avant son expiration
Un domaine expiré est un domaine vulnérable. Quand votre enregistrement arrive à échéance, le domaine entre dans un délai de grâce puis devient disponible pour quiconque veut l'enregistrer. Les attaquants surveillent les domaines qui expirent, surtout ceux qui ont une marque établie et des backlinks, et les enregistrent dès leur libération. À ce stade, récupérer le domaine demande de négocier avec celui qui l'a enregistré, ce qui peut être coûteux ou impossible.
Activez le renouvellement automatique sur chaque domaine que vous possédez. Programmez un rappel dans votre agenda au moins 60 jours avant l'expiration, en renfort. Veillez à ce que votre moyen de paiement enregistré soit à jour pour que le renouvellement automatique n'échoue pas en silence. Pour comprendre tout le calendrier d'expiration et ce qui se passe à chaque étape, le chapitre sur l'expiration d'un domaine et comment la vérifier détaille chaque phase. Le chapitre sur comment acheter un nom de domaine de façon permanente présente des stratégies d'enregistrement à long terme qui réduisent encore le risque d'expiration.
Que faire si votre domaine a été détourné ?
La rapidité compte. Plus vous agissez tôt, meilleures sont les chances de récupération. Voici l'ordre des actions à mener.
Contactez immédiatement le support de votre registraire et signalez le transfert non autorisé. Fournissez le plus de documents possible, dont les reçus d'enregistrement d'origine, l'historique des paiements et toute correspondance vous montrant comme propriétaire légitime. Les registraires ont des procédures pour traiter les signalements de détournement, et ils peuvent parfois geler ou annuler un transfert s'il a été lancé récemment et n'est pas entièrement terminé.
Si le domaine a déjà été transféré vers un autre registraire, déposez une plainte auprès de l'ICANN via sa procédure de litige sur les transferts. Cette procédure est conçue spécialement pour traiter les transferts non autorisés et peut obliger un registraire à en annuler un. Elle prend en général de 30 à 60 jours et exige des preuves de propriété.
En parallèle, documentez tout. Faites des captures d'écran de votre compte chez le registraire, de tous les e-mails reçus et de tout changement visible dans WHOIS. Cette documentation appuie la plainte auprès de l'ICANN comme toute action en justice que vous pourriez devoir engager.
Changez immédiatement le mot de passe et activez la 2FA sur votre compte chez le registraire et sur votre e-mail de contact WHOIS, même si le domaine est déjà parti. Si un attaquant a compromis ces comptes, les laisser ouverts expose d'autres domaines que vous possédez et lui permet de gêner toute tentative de récupération.
Combien de temps dure la récupération ?
Le délai de récupération varie beaucoup selon la rapidité de votre réaction, la coopération du registraire d'arrivée et le nombre de changements de mains du domaine. La procédure formelle de litige de l'ICANN prend de quelques semaines à plusieurs mois. La coopération volontaire du registraire d'arrivée peut l'accélérer, mais elle n'est pas garantie. Une procédure judiciaire par décision de justice est plus longue encore et sans certitude de succès.
Un détournement de domaine est plus difficile à rattraper que la plupart des incidents de sécurité, car il n'y a pas de bouton « annuler ». Un mot de passe compromis peut être réinitialisé. Un compte e-mail piraté peut être récupéré. Un domaine transféré est sous le contrôle de quelqu'un d'autre, dans un autre compte, peut-être chez un autre registraire dans un autre pays. Les documents d'enregistrement d'origine aident, mais ils ne suffisent pas toujours seuls.
C'est pourquoi les mesures de prévention ci-dessus comptent plus que les mesures de récupération. Le but est de rendre le détournement de votre domaine si difficile qu'un attaquant passe à une cible plus facile. Pour éviter les erreurs les plus courantes qui laissent les domaines exposés dès le départ, le chapitre sur les erreurs de nom de domaine à éviter traite des schémas plus larges qui mettent les propriétaires de domaines en danger.
Comment WEMASY gère la sécurité des domaines
Quand vous enregistrez un domaine via WEMASY, le verrou de transfert est activé par défaut sur tous les domaines. La protection WHOIS est incluse dans chaque enregistrement sans frais supplémentaires. Votre enregistrement de domaine est lié directement à votre compte WEMASY, qui prend en charge l'authentification à deux facteurs : l'accès à la gestion de votre domaine demande donc à la fois votre mot de passe et votre second facteur.
Le renouvellement automatique est activé par défaut pour tous les domaines enregistrés via WEMASY, et des rappels de renouvellement sont envoyés 90, 60 et 30 jours avant l'expiration, pour éviter tout risque de renouvellement manqué. Voyez ce que comprend chaque offre sur les tarifs WEMASY.
Questions fréquentes sur le détournement de domaine
Un domaine peut-il être détourné même si je n'ai rien fait de mal ?
Oui. Un détournement n'est pas toujours dû à une négligence du propriétaire. Une fuite de données sur un service où vous aviez réutilisé le mot de passe de votre registraire, un e-mail d'hameçonnage sophistiqué difficile à repérer ou un appel d'ingénierie sociale au support de votre registraire peuvent réussir même si vous avez été prudent. C'est pourquoi une protection en couches, avec verrou du registraire, 2FA et protection WHOIS, compte. Aucune mesure n'est infaillible seule, mais ensemble elles élèvent nettement la difficulté. Avec le créateur de site web de WEMASY, vous pouvez le configurer directement sur votre site.
Le verrou du registraire empêche-t-il tous les types de détournement de domaine ?
Le verrou du registraire empêche les transferts non autorisés vers un autre registraire. Il n'empêche pas un attaquant qui a déjà accédé à votre compte chez le registraire de modifier vos enregistrements DNS, vos serveurs de noms ou vos coordonnées. Pour une protection complète, il vous faut le verrou du registraire, un mot de passe fort, la 2FA et un e-mail de contact sécurisé. Chaque couche bloque un type d'attaque différent.
Quelle différence entre détournement de domaine et détournement de DNS ?
Le détournement de domaine transfère la propriété de l'enregistrement lui-même. Le détournement de DNS change la destination du domaine sans transférer la propriété. Dans un détournement de DNS, l'attaquant modifie les enregistrements DNS de votre compte chez le registraire pour rediriger le trafic vers un serveur qu'il contrôle, mais votre nom figure toujours sur l'enregistrement. Les deux sont graves, et les deux se préviennent par la sécurité du compte. Le verrou du registraire traite précisément le détournement de domaine en bloquant les transferts. Le détournement de DNS se prévient en sécurisant l'accès au compte avec un mot de passe fort et la 2FA.
Si mon domaine est détourné, Google désindexera-t-il mon site ?
Pas immédiatement. L'index de Google reflète le dernier état exploré de votre site. Mais si l'attaquant change votre DNS pour pointer vers un autre contenu, Google finira par explorer le nouveau contenu et mettre l'index à jour en conséquence. Si le nouveau contenu enfreint les règles de Google, une pénalité manuelle peut suivre. Plus le domaine reste hors de votre contrôle, plus votre classement dans la recherche et la réputation de votre site peuvent se dégrader. Agir vite est important pour protéger votre présence dans la recherche, pas seulement l'accès à votre site.
Dois-je enregistrer mon domaine au même endroit que l'hébergement de mon site ?
Les avis diffèrent. Garder le domaine et l'hébergement ensemble simplifie la gestion et réduit le nombre de comptes à sécuriser. Certaines marques préfèrent enregistrer leur domaine séparément de leur hébergeur par précaution, pour que la compromission d'un compte n'expose pas aussitôt les deux. Les deux approches peuvent être sécurisées avec une bonne hygiène de compte. Si vous les gardez ensemble, la priorité est que ce compte partagé ait un mot de passe fort, la 2FA activée et le verrou du registraire en place.
Le chapitre suivant traite des certificats SSL et des domaines : ce que fait un certificat SSL, son lien avec votre domaine et pourquoi il influence la façon dont les visiteurs et les navigateurs perçoivent votre site.