Un verrou de domaine est un indicateur de statut défini chez votre registrar qui empêche toute demande de transfert d'aboutir. Il reste discrètement en arrière-plan et ne change rien de visible pour votre site ou vos visiteurs. Mais dès que quelqu'un tente de lancer un transfert non autorisé, le verrou l'arrête net. Pas d'e-mail de confirmation à valider, pas de délai pour annuler. La demande est simplement rejetée.
La plupart des registrars appliquent automatiquement un verrou de domaine quand vous enregistrez un nouveau domaine. Le problème, c'est que beaucoup de propriétaires de domaine ne vérifient jamais s'il est toujours actif. Et s'il est désactivé par accident, par un membre de l'équipe ou via un compte compromis, aucune alerte ne vous prévient que votre domaine n'est plus protégé.
Qu'est-ce qu'un verrou de domaine ?
Un verrou de domaine est un réglage chez votre registrar qui bloque certaines actions sur votre domaine. Quand le verrou est actif, personne ne peut transférer le domaine vers un autre registrar, modifier les informations du propriétaire ni supprimer l'enregistrement. Le verrou s'applique au niveau du registre, ce qui signifie que ce que fait quelqu'un dans votre compte chez le registrar n'a pas d'importance. Le registre lui-même rejettera la demande.
Le nom officiel de ce réglage est « client transfer prohibited ». Vous le verrez aussi appelé verrou du registrar, verrou de transfert, ou simplement verrou de domaine. Tous désignent la même protection de base. C'est l'un des moyens les plus efficaces et les plus simples d'empêcher un transfert de domaine non autorisé, et il ne coûte rien à activer.
Vous pouvez en savoir plus sur l'aspect d'un transfert non autorisé et sur les dégâts qu'il cause dans le chapitre sur comment protéger votre domaine contre le détournement.
Quels sont les différents types de verrous de domaine ?
Il existe plusieurs types de verrous, chacun protégeant un aspect différent de l'enregistrement de votre domaine. Votre registrar peut en activer un ou plusieurs selon l'offre que vous avez.
Client transfer prohibited
C'est le verrou le plus courant. Il empêche le transfert de votre domaine vers un autre registrar. Quand quelqu'un soumet une demande de transfert, le registre vérifie la présence de ce verrou. S'il est présent, le transfert est refusé. Vous devez le retirer avant de pouvoir déplacer votre domaine où que ce soit. C'est le verrou auquel pensent la plupart des gens quand ils parlent de « verrou de domaine » ou de « verrou du registrar ».
Client update prohibited
Ce verrou empêche les modifications des données d'enregistrement du domaine. Cela comprend votre nom, vos coordonnées et les paramètres des serveurs de noms. Avec ce verrou actif, personne ne peut changer l'endroit où pointe votre domaine ni mettre à jour les informations du propriétaire dans l'enregistrement du registre, même en accédant à votre compte chez le registrar.
Client delete prohibited
Ce verrou empêche quiconque de supprimer entièrement l'enregistrement du domaine. Sans lui, un compte compromis pourrait servir à annuler le domaine, le rendant disponible pour que quelqu'un d'autre l'enregistre.
Server transfer prohibited
Ce verrou est posé par le registre lui-même, pas par vous ni par votre registrar. Il est appliqué pendant des litiges juridiques, des procédures UDRP, ou quand le domaine est dans un statut restreint (comme une période de grâce après l'enregistrement). Vous ne pouvez pas retirer ce verrou vous-même.
La plupart des registrars activent par défaut le verrou client transfer prohibited. Les verrous de mise à jour et de suppression sont disponibles mais pas toujours activés automatiquement. Si votre domaine est essentiel à votre marque, activer les trois verrous client vous donne la protection la plus forte disponible au niveau du registrar.
Comment vérifier si votre domaine est verrouillé ?
Il y a deux façons de vérifier l'état du verrou de votre domaine.
La première se fait dans votre compte chez le registrar. Connectez-vous, ouvrez le panneau de gestion des domaines et cherchez un réglage intitulé « domain lock », « transfer lock » ou « registrar lock ». C'est en général un interrupteur. S'il indique « on » ou « enabled », le verrou est actif.
La seconde passe par une recherche WHOIS. Faites une recherche sur votre domaine et descendez jusqu'au champ « Domain Status ». Si vous voyez « clientTransferProhibited », votre verrou de transfert est actif. Vous pouvez aussi voir « clientUpdateProhibited » et « clientDeleteProhibited » si ces verrous sont également activés.
Vérifiez cela au moins une fois tous les quelques mois. Aucune notification automatique ne vous prévient si le verrou est désactivé, donc un contrôle régulier est le seul moyen de s'en apercevoir tôt.
Comment déverrouiller un domaine ?
Déverrouiller un domaine est simple. Connectez-vous chez votre registrar, allez dans les paramètres du domaine et désactivez le verrou. Le changement de statut prend en général effet en quelques minutes, même si certains registres mettent jusqu'à 24 heures à le refléter.
Il n'y a qu'une seule raison de déverrouiller un domaine. Vous êtes sur le point de le transférer chez un autre registrar. Le registrar qui reçoit ne peut pas récupérer le domaine tant que le verrou de transfert est actif. Une fois le transfert terminé, le nouveau registrar appliquera automatiquement son propre verrou.
Si vous ne transférez pas, gardez-le verrouillé. Il n'y a aucun avantage de performance, aucun avantage SEO et aucune raison technique de laisser un domaine déverrouillé.
Faut-il garder le verrouillage de domaine activé ?
Oui. Toujours. Le verrouillage de domaine doit être activé sur chaque domaine que vous possédez, sauf si vous êtes en plein transfert. Le verrou ne coûte rien, ne demande aucune maintenance et n'ajoute aucune contrainte à votre quotidien. Il n'affecte en rien votre site, votre e-mail, vos paramètres DNS ni vos visiteurs.
La seule chose qu'il fait, c'est empêcher quelqu'un de déplacer, modifier ou supprimer votre domaine à votre insu. C'est un échange qui vaut la peine chaque fois.
Certains propriétaires de marque gèrent des dizaines de domaines chez plusieurs registrars. Si c'est votre cas, faites une liste et vérifiez l'état du verrou sur chacun d'eux. Cela prend cinq minutes et ferme l'une des voies d'attaque les plus faciles contre votre marque.
Que se passe-t-il si votre domaine est déverrouillé sans que vous le sachiez ?
Un domaine déverrouillé n'est pas forcément volé. Mais il perd sa première ligne de défense. Si un attaquant accède à votre compte chez le registrar ou intercepte un e-mail d'autorisation de transfert, rien ne l'empêche de lancer immédiatement un transfert.
Avec le verrou activé, même un compte compromis ne suffit pas. L'attaquant devrait d'abord désactiver le verrou, ce qui ajoute une étape, une ligne de plus dans le journal et, dans bien des cas, déclenche un e-mail de confirmation. Cette couche de friction supplémentaire peut faire la différence entre détecter la tentative à temps et perdre entièrement le domaine.
Les domaines sans verrou de transfert sont aussi plus vulnérables au détournement de domaine par ingénierie sociale. Si quelqu'un contacte votre registrar en se faisant passer pour vous et que votre domaine est déjà déverrouillé, il a une étape de vérification de moins à franchir.
Quelle différence entre un verrou du registrar et un verrou du registre ?
Un verrou du registrar (aussi appelé verrou client) est le verrou standard que vous gérez depuis le tableau de bord de votre registrar. Il est gratuit, instantané et disponible sur presque tous les domaines. Quand on parle de « verrou de domaine », c'est de celui-là que parlent la plupart des gens.
Un verrou du registre est une forme de protection plus avancée proposée par certains registres et par des offres premium de registrars. Au lieu d'être géré via une interface web, un verrou du registre exige une vérification manuelle par l'opérateur du registre avant toute modification. Cela implique en général un appel téléphonique, un contrôle d'identité et un délai d'attente avant que le verrou puisse être retiré.
Les verrous du registre sont conçus pour les domaines à forte valeur, pour lesquels le verrou standard n'est pas jugé suffisant. Les banques, les grandes marques et les organisations dont les domaines sont des cibles privilégiées du détournement utilisent des verrous du registre en couche supplémentaire par-dessus le verrou du registrar.
Pour la plupart des propriétaires de marque, un verrou du registrar suffit. Il bloque la grande majorité des tentatives de transfert non autorisées et ne coûte rien à maintenir. Si vous possédez un domaine qui génère un revenu important ou qui est une cible connue, un verrou du registre ajoute un second niveau de protection beaucoup plus difficile à contourner. Vous pouvez en apprendre davantage sur l'ensemble des mesures de sécurité du domaine dans le chapitre dédié.
Comment WEMASY gère-t-il le verrouillage de domaine ?
Quand vous enregistrez ou reliez un domaine via WEMASY, le verrou de transfert est activé par défaut. Vous n'avez pas besoin de le chercher dans un panneau de réglages ni de penser à l'activer. Il est actif dès le départ.
Si vous devez un jour transférer votre domaine hors de WEMASY, vous pouvez désactiver le verrou depuis les paramètres de votre domaine, demander votre code d'autorisation et lancer le transfert. Une fois la procédure terminée, vous réactivez le verrou chez votre nouveau registrar. La gestion des domaines de WEMASY est conçue pour garder la protection activée par défaut, afin que l'option sûre soit toujours la plus simple.
Pour savoir ce qui est inclus dans chaque offre, consultez la page des tarifs.
Questions fréquentes
Le verrouillage de domaine affecte-t-il mon site ou mes e-mails ?
Non. Un verrou de domaine contrôle uniquement si le domaine peut être transféré, modifié ou supprimé au niveau du registre. Il n'a aucun effet sur votre site, vos paramètres DNS, la réception de vos e-mails ni la façon dont les visiteurs accèdent à votre site. Tout continue de fonctionner exactement de la même façon, que le verrou soit activé ou non. Avec le créateur de site web de WEMASY, vous pouvez le configurer directement sur votre site.
Puis-je verrouiller un domaine enregistré ailleurs et relié à WEMASY ?
Oui, mais vous gérez le verrou chez le registrar où le domaine est enregistré, pas via WEMASY. Connectez-vous à votre compte chez le registrar et activez-y le verrou de transfert. WEMASY gère le DNS et l'hébergement, mais le réglage du verrou se trouve au niveau du registrar.
Combien de temps faut-il pour déverrouiller un domaine avant un transfert ?
La plupart des registrars traitent le déverrouillage en quelques minutes. Certains registres mettent jusqu'à 24 heures à mettre à jour le statut. Une fois le verrou retiré, vous pouvez demander votre code d'autorisation et commencer la procédure de transfert tout de suite.
Un verrou du registrar suffit-il à protéger entièrement mon domaine ?
Un verrou du registrar est le niveau de protection minimal que devrait avoir chaque domaine. Il arrête la plupart des tentatives de transfert non autorisées. Pour une protection plus forte, combinez-le avec l'authentification à deux facteurs sur votre compte chez le registrar, la protection WHOIS et un mot de passe solide et unique. Les domaines à forte valeur peuvent aussi profiter d'un verrou du registre pour une couche supplémentaire de vérification manuelle.
Quelle différence entre le verrouillage de domaine et la protection WHOIS ?
Le verrouillage de domaine empêche des actions sur l'enregistrement de votre domaine, comme les transferts et les changements de propriétaire. La protection WHOIS masque vos coordonnées personnelles dans la base WHOIS publique. Elles protègent des choses différentes et fonctionnent mieux quand les deux sont activées en même temps.