Un domaine non sécurisé est un domaine qui attend un problème. Chaque année, des marques perdent l'accès à leur domaine à cause d'attaques qui auraient pu être évitées avec quelques réglages simples. Les dégâts vont au-delà de la perte d'une adresse web. Quand quelqu'un prend le contrôle de votre domaine, il contrôle votre site, vos e-mails, votre classement dans les recherches et la confiance que vos visiteurs accordent à votre nom. La sécurité du domaine n'est pas un seul outil ni un seul réglage. C'est une combinaison de protections qui travaillent ensemble pour rendre votre domaine difficile à compromettre.
Que couvre la sécurité d'un domaine ?
La sécurité du domaine, c'est tout ce qui protège un nom de domaine contre l'accès non autorisé, le transfert non autorisé et les modifications non autorisées. Elle couvre trois domaines.
Le premier est la sécurité du compte. Il s'agit de protéger votre compte chez le registrar pour que personne d'autre ne puisse s'y connecter et faire des changements. Cela comprend des mots de passe solides, l'authentification à deux facteurs et la protection de votre e-mail de contact.
Le deuxième est la protection contre le transfert. Elle empêche quelqu'un de déplacer votre domaine chez un autre registrar sans votre accord. Le verrou du registrar et les codes d'autorisation sont les principaux outils.
Le troisième est la protection du DNS. Vos enregistrements DNS indiquent à internet où se trouve votre site et où vont vos e-mails. Si quelqu'un modifie ces enregistrements, il peut rediriger votre trafic sans même transférer le domaine.
La plupart des failles de sécurité d'un domaine viennent de l'un de ces trois domaines laissé ouvert. Sécuriser les trois est ce qu'il faut pour garder votre domaine en sécurité.
Quelles sont les plus grandes menaces pour votre domaine ?
Les menaces pour les domaines se répartissent en plusieurs catégories. Chacune vise une faiblesse différente, et chacune demande une défense différente.
Détournement de domaine
Il y a détournement quand quelqu'un transfère votre domaine chez un autre registrar ou attribue la propriété à son propre compte. Une fois le transfert terminé, vous perdez la possibilité de gérer le domaine, de le renouveler ou de le faire pointer ailleurs. La récupération est lente et ne réussit pas toujours. Pour un guide complet sur le fonctionnement du détournement et sa prévention, le chapitre sur comment protéger votre domaine contre le détournement détaille chaque étape.
Récupération de domaines expirés
Quand l'enregistrement d'un domaine arrive à échéance, il entre dans une période de grâce puis devient disponible pour tout le monde. Des attaquants et des spéculateurs surveillent activement les domaines qui expirent, surtout ceux qui ont un trafic et des backlinks établis. Dès qu'un domaine se libère, ils l'enregistrent. À ce stade, le récupérer implique de négocier avec celui qui s'en est emparé. Le chapitre sur l'expiration d'un domaine explique chaque phase du calendrier d'expiration et ce qui se passe à chaque étape.
Attaques de phishing sur les comptes de registrar
C'est l'un des points d'entrée les plus courants. Un attaquant envoie un e-mail qui semble venir de votre registrar. Il vous avertit que votre domaine est sur le point d'expirer, qu'une connexion suspecte a été détectée ou que votre compte doit être vérifié. Le lien mène à une fausse page de connexion. Si vous saisissez vos identifiants, l'attaquant a votre nom d'utilisateur et votre mot de passe et peut se connecter à votre vrai compte.
La défense est simple mais demande de la discipline. Ne cliquez jamais sur des liens de connexion dans des e-mails. Allez toujours directement sur le site de votre registrar depuis votre navigateur.
Falsification du DNS
La falsification du DNS change l'endroit où pointe votre domaine sans changer son propriétaire. Un attaquant qui accède à votre compte chez le registrar ou à votre fournisseur DNS peut modifier vos enregistrements A, vos enregistrements MX ou vos serveurs de noms. Le trafic de votre site est envoyé vers un autre serveur. Vos e-mails sont acheminés vers une boîte que vous ne contrôlez pas. Les visiteurs voient une page qui ressemble à la vôtre mais n'en est pas une.
Le plus pernicieux, c'est que la falsification du DNS peut passer inaperçue pendant des heures ou des jours si vous ne surveillez pas activement vos enregistrements DNS. Quand vous la remarquez, l'attaquant a peut-être déjà intercepté des données clients, capturé des identifiants ou nui à votre réputation.
Ingénierie sociale
Certains attaquants laissent complètement de côté l'approche technique. Ils appellent le support de votre registrar, se font passer pour vous et demandent de réinitialiser les identifiants du compte. Si vos informations WHOIS sont visibles publiquement, ils ont déjà votre nom, votre e-mail, votre numéro de téléphone et votre adresse pour rendre leur histoire convaincante. Avec assez de données personnelles, ils peuvent passer des contrôles d'identité conçus pour vous protéger.
Comment sécuriser votre domaine avec un verrou du registrar ?
Le verrou du registrar, parfois appelé verrou de transfert, est un réglage de statut qui empêche le transfert de votre domaine vers un autre registrar. Quand le verrou est activé, toute demande de transfert est rejetée automatiquement. C'est la protection la plus efficace contre les transferts non autorisés.
La plupart des registrars proposent cette fonction gratuitement. Certains la laissent désactivée par défaut, ce qui signifie que vous devez vous connecter et l'activer vous-même. Ne la désactivez que lorsque vous transférez activement le domaine vers un nouveau registrar, et réactivez-la immédiatement après.
Le chapitre suivant traite du verrouillage de domaine en détail, avec les différents types de verrous et les cas où chacun s'applique.
Pourquoi l'authentification à deux facteurs compte-t-elle pour les domaines ?
L'authentification à deux facteurs (2FA) ajoute une deuxième étape de vérification quand vous vous connectez à votre compte chez le registrar. Même si un attaquant vole votre mot de passe par phishing ou lors d'une fuite de données, il ne peut pas entrer sans contrôler aussi votre deuxième facteur.
Utilisez une application d'authentification plutôt qu'une vérification par SMS. Les codes SMS peuvent être interceptés par des attaques de type SIM swap, où quelqu'un convainc votre opérateur mobile de transférer votre numéro vers un appareil qu'il contrôle. Un authentificateur sous forme d'application est plus difficile à compromettre.
Activez la 2FA sur votre compte chez le registrar et sur l'adresse e-mail liée à ce compte. Si l'un des deux n'est pas protégé, un attaquant peut s'en servir comme porte d'entrée.
Comment un mot de passe solide protège-t-il votre domaine ?
Le mot de passe de votre compte chez le registrar est la première barrière entre un attaquant et votre domaine. S'il est court, courant ou réutilisé depuis un autre service, cette barrière n'existe plus.
Les attaquants utilisent des outils automatiques qui testent sur les pages de connexion des registrars des combinaisons d'identifiants et de mots de passe issues d'autres fuites de données. Si vous avez utilisé le même mot de passe sur un forum compromis il y a trois ans, votre compte chez le registrar est menacé aujourd'hui.
Utilisez un gestionnaire de mots de passe pour générer un mot de passe aléatoire d'au moins 16 caractères. Conservez-le dans le gestionnaire de mots de passe. Ne l'écrivez pas, ne le réutilisez pas et n'utilisez pas une variante d'un mot de passe utilisé ailleurs.
Quel rôle joue la protection WHOIS dans la sécurité du domaine ?
La protection WHOIS remplace vos informations personnelles d'enregistrement dans la base WHOIS publique par des informations de substitution fournies par votre registrar. Votre vrai nom, votre e-mail, votre numéro de téléphone et votre adresse restent cachés pour toute personne qui fait une recherche publique.
Cela compte pour la sécurité, car chaque information personnelle qu'un attaquant peut trouver facilite l'ingénierie sociale. S'il connaît votre nom, votre e-mail et votre adresse, se faire passer pour vous devient simple. La protection WHOIS retire ces informations de la vue du public. Le chapitre sur la confidentialité du domaine explique comment elle fonctionne et qui devrait l'activer.
Faut-il activer le renouvellement automatique ?
Oui. Le renouvellement automatique empêche votre domaine d'expirer parce que vous avez oublié la date de renouvellement ou parce qu'un e-mail de rappel est tombé dans vos courriers indésirables. Un domaine expiré est une cible facile. Les attaquants surveillent les bases d'expiration et enregistrent les domaines de valeur dès qu'ils deviennent disponibles.
Activez le renouvellement automatique sur chaque domaine que vous possédez. Vérifiez ensuite que le moyen de paiement enregistré est à jour. Un paiement refusé rend le renouvellement automatique inutile. Programmez en plus un rappel dans votre agenda 60 jours avant l'expiration. Si le renouvellement automatique échoue pour une raison quelconque, vous avez le temps de corriger avant que le domaine ne se libère.
Comment choisir un registrar qui prend la sécurité au sérieux ?
Tous les registrars n'offrent pas le même niveau de protection. Avant de choisir un registrar, vérifiez s'il prend en charge la 2FA, s'il propose le verrou du registrar, si la protection WHOIS est incluse et comment son équipe de support traite les demandes de récupération de compte.
Un registrar qui vérifie soigneusement l'identité avant de modifier un compte est plus sûr qu'un registrar qui traite les demandes rapidement avec un minimum de contrôles. La commodité d'un support rapide devient une faille quand c'est un attaquant qui appelle.
Cherchez des registrars qui proposent toutes les fonctions de sécurité dans l'enregistrement standard, et non comme des options payantes qu'il faut penser à activer.
À quoi doit ressembler votre liste de contrôle de sécurité du domaine ?
Passez en revue cette liste pour chaque domaine que vous possédez. Si un point n'est pas coché, corrigez-le maintenant.
- Le verrou du registrar est activé
- L'authentification à deux facteurs est activée sur votre compte chez le registrar
- L'authentification à deux facteurs est activée sur l'e-mail lié à votre compte chez le registrar
- Le mot de passe de votre registrar est unique, aléatoire et fait au moins 16 caractères
- Le mot de passe de l'e-mail de votre registrar est unique et protégé par la 2FA
- La protection WHOIS est activée
- Le renouvellement automatique est activé
- Le moyen de paiement enregistré est à jour et n'expirera pas avant votre prochain renouvellement
- Vous avez confirmé que la procédure de récupération de compte de votre registrar exige une vérification d'identité rigoureuse
- Vous vérifiez régulièrement vos enregistrements DNS pour confirmer que rien n'a changé
Chaque point de cette liste répond à une menace précise. Le verrou du registrar bloque les transferts non autorisés. La 2FA empêche les mots de passe volés de servir. La protection WHOIS retire la matière première de l'ingénierie sociale. Le renouvellement automatique évite les attaques basées sur l'expiration. Ensemble, ils forment une configuration complète de sécurité du domaine.
Comment WEMASY sécurise-t-il votre domaine ?
Les domaines enregistrés via WEMASY incluent le verrou de transfert activé par défaut, la protection WHOIS sans frais supplémentaires et le renouvellement automatique activé dès l'enregistrement. Votre compte WEMASY prend en charge l'authentification à deux facteurs, donc gérer votre domaine demande à la fois votre mot de passe et votre deuxième facteur.
Des rappels de renouvellement sont envoyés 90, 60 et 30 jours avant l'expiration. Les paramètres DNS sont gérés depuis le même compte que votre site, donc il y a un seul endroit à surveiller et un seul jeu d'identifiants à protéger.
Découvrez ce qui est inclus dans chaque offre sur la page tarifs WEMASY.
Questions fréquentes
Quelqu'un peut-il voler mon domaine si tous les réglages de sécurité sont activés ?
Aucune configuration de sécurité n'est totalement infaillible, mais avoir en même temps le verrou du registrar, la 2FA, un mot de passe solide et unique et la protection WHOIS rend une attaque réussie extrêmement improbable. Chaque couche bloque une méthode d'attaque différente. Un attaquant devrait tout contourner à la fois, ce qui demande bien plus d'efforts que de viser un domaine moins protégé. Avec le créateur de site web de WEMASY, vous pouvez le configurer directement sur votre site.
À quelle fréquence dois-je vérifier les réglages de sécurité de mon domaine ?
Au moins une fois tous les trois mois. Connectez-vous à votre compte chez le registrar, confirmez que le verrou est toujours activé, vérifiez que votre e-mail de contact est toujours accessible, que le renouvellement automatique est actif et que vos enregistrements DNS ne comportent aucun changement que vous n'avez pas fait. Si votre registrar envoie des e-mails de notification, assurez-vous qu'ils arrivent dans une boîte que vous surveillez activement.
La sécurité du domaine est-elle différente de la sécurité du site web ?
Oui. La sécurité du domaine protège le nom de domaine lui-même : qui le possède, où il pointe et qui peut le transférer. La sécurité du site protège le contenu, le code et les données du serveur vers lequel pointe votre domaine. Il vous faut les deux. Un site parfaitement sécurisé reste vulnérable si quelqu'un prend le contrôle du domaine et détourne le trafic.
Un certificat SSL compte-t-il comme sécurité du domaine ?
Un certificat SSL chiffre la connexion entre le navigateur de votre visiteur et votre serveur. Il protège les données en transit, mais il ne protège pas la propriété ni le contrôle du domaine lui-même. Si un attaquant transfère votre domaine vers son propre compte, il peut émettre un nouveau certificat SSL pour lui. Le SSL fait partie de la sécurité globale du site, pas de la sécurité du domaine à proprement parler.
Que faire en premier si je pense que mon domaine a été compromis ?
Changez immédiatement le mot de passe de votre compte chez le registrar et activez la 2FA si ce n'est pas déjà fait. Vérifiez ensuite vos enregistrements DNS pour repérer toute modification non autorisée. Contactez le support de votre registrar et signalez la compromission présumée. Si un transfert a été lancé, demandez-lui de le geler. Documentez tout avec des captures d'écran pour toute procédure de litige qui suivrait.
Le chapitre suivant traite du verrouillage de domaine, avec les différents types de verrous, leur fonctionnement et les cas où utiliser chacun.