Un nom de domaine volé peut mettre à l'arrêt, en quelques heures, tout ce que votre marque a construit en ligne. Le vol de domaine vous retire entièrement le contrôle de votre adresse web, et emporte avec lui votre site, vos e-mails, votre classement dans les recherches et la confiance de votre audience. Le chemin pour le récupérer n'est jamais simple.
Qu'est-ce que le vol de domaine ?
Le vol de domaine, c'est quand quelqu'un prend la propriété ou le contrôle d'un nom de domaine qui vous appartient, à votre insu et sans votre accord. Votre site tombe. Vos e-mails cessent de fonctionner. La personne qui l'a volé peut le vendre, le garder contre rançon ou s'en servir pour mener des arnaques sous votre nom.
Le pire, c'est que le vol de domaine se produit souvent en silence. Vous ne le remarquez peut-être pas pendant des heures, voire des jours. Quand vous réalisez que votre nom de domaine est volé, les dégâts se sont déjà étendus à vos e-mails, à votre communication avec les clients et à votre réputation.
En quoi le vol de domaine diffère-t-il du détournement de domaine ?
Le vol de domaine et le détournement de domaine se recoupent, mais ils décrivent des parties différentes du même problème. Le détournement est la méthode. Le vol est le résultat.
Le détournement de domaine désigne l'acte d'obtenir un accès non autorisé à un domaine, que ce soit en s'introduisant dans un compte chez le registrar, en trompant un agent du support ou en exploitant un e-mail faible. Un domaine peut être détourné puis récupéré en quelques heures si le propriétaire réagit assez vite. Mais une fois le domaine entièrement transféré, revendu ou déplacé entre registrars, il devient un nom de domaine volé, et le récupérer est un tout autre défi.
Le chapitre précédent explique en détail comment fonctionne le détournement. Ce chapitre se concentre sur ce qui se passe ensuite et sur vos options.
Comment les domaines sont-ils volés ?
La plupart des vols de domaine partent de l'un de ces quatre points d'entrée. Chacun vise une faiblesse différente dans la façon dont vous gérez votre domaine.
Comptes chez le registrar compromis. Si un attaquant obtient votre identifiant chez le registrar par un e-mail de phishing, une fuite de données ou un mot de passe réutilisé, il peut désactiver votre verrou de transfert et déplacer le domaine vers son propre compte.
Comptes e-mail compromis. Votre compte chez le registrar n'est sûr que dans la mesure où l'est l'e-mail qui lui est lié. Un attaquant qui accède à cette boîte peut réinitialiser votre mot de passe du registrar et prendre le contrôle. Il n'a jamais besoin de vos identifiants du registrar.
Ingénierie sociale. Certains attaquants appellent le support de votre registrar et se font passer pour vous. Si vos données personnelles sont visibles dans la base WHOIS publique, ils ont assez d'informations pour être convaincants. Activer la confidentialité du domaine supprime cette vulnérabilité.
Récupération de domaines expirés. Si l'enregistrement de votre domaine expire et que vous ne le renouvelez pas à temps, n'importe qui peut l'enregistrer. Des robots automatiques surveillent les domaines qui expirent et s'emparent des plus précieux en quelques minutes. Ce n'est pas du vol au sens juridique, mais le résultat est ressenti de la même façon.
Pour un détail de chaque méthode d'attaque, consultez le chapitre sur le détournement de domaine plus haut dans cette série.
Que se passe-t-il quand quelqu'un achète votre domaine et vous le revend ?
Il existe une autre forme de perte de domaine qui n'est pas illégale mais qui peut être tout aussi douloureuse. Quelqu'un surveille la date d'expiration de votre domaine, attend que vous manquiez la fenêtre de renouvellement, puis l'enregistre dès qu'il devient disponible. Il le possède maintenant, et si vous voulez le récupérer, vous devez le lui racheter au prix qu'il fixe.
Cela arrive plus souvent qu'on ne le pense. Des outils automatiques suivent chaque jour des milliers de domaines qui expirent, et ceux qui ont du trafic établi, des backlinks ou des noms de marque reconnaissables sont récupérés dans les minutes qui suivent leur disponibilité. Le nouveau propriétaire n'a aucune obligation de vous le revendre, ni de garder un prix raisonnable. Des domaines qui coûtent 15 $ à enregistrer peuvent être revendus des centaines, voire des milliers de dollars.
Ce n'est pas techniquement du vol. Le domaine a expiré, l'ancien propriétaire ne l'a pas renouvelé, et quelqu'un d'autre l'a enregistré par les voies normales. Mais pour la marque qui l'a perdu, le résultat est le même. Votre site a disparu, vos e-mails cessent de fonctionner, et le récupérer dépend de la volonté de quelqu'un d'autre de négocier.
La meilleure défense est simple. Activez le renouvellement automatique sur chaque domaine que vous possédez, gardez votre moyen de paiement à jour et assurez-vous que l'e-mail de votre compte chez le registrar est une adresse que vous consultez régulièrement. Si vous vous apercevez d'un renouvellement manqué pendant la période de grâce, vous pouvez encore le récupérer au prix de renouvellement standard. Une fois cette fenêtre fermée, la récupération devient vite coûteuse.
Que faire si votre domaine est volé ?
La rapidité est tout. Plus vous agissez vite, meilleures sont vos chances de récupération. Voici quoi faire, dans l'ordre.
Contactez immédiatement votre registrar. Appelez son support. N'attendez pas les réponses par e-mail. Dites-lui que votre domaine a été transféré sans votre autorisation et demandez-lui de le geler. Si le transfert est encore en cours, il peut parvenir à l'annuler.
Documentez tout. Faites des captures d'écran de votre compte chez le registrar, des échanges d'e-mails, des documents d'enregistrement d'origine et des reçus de paiement. Enregistrez les résultats de recherche WHOIS qui montrent le nouveau titulaire. Cette documentation est essentielle pour chaque voie de récupération.
Changez tous les mots de passe concernés. Si l'attaquant est entré par votre e-mail ou vos identifiants du registrar, changez ces mots de passe tout de suite. Activez l'authentification à deux facteurs sur chaque compte connecté. Considérez que tout compte utilisant le même mot de passe est compromis.
Déposez une plainte auprès de l'ICANN. Si le domaine a été transféré chez un autre registrar sans votre accord, déposez une plainte Transfer Dispute Resolution. Cette procédure formelle traite les transferts non autorisés entre registrars.
Envisagez une action en justice. Si la procédure de règlement de litiges ne suffit pas, consultez un avocat spécialisé en droit d'internet ou de la propriété intellectuelle. Des décisions de justice peuvent obliger un registrar à rendre un domaine volé, mais cette voie est coûteuse et lente.
Comment fonctionne le règlement de litiges de l'ICANN ?
L'ICANN propose deux procédures formelles. La Transfer Dispute Resolution Policy (TDRP) traite les transferts non autorisés entre registrars. Vous déposez la plainte auprès de votre registrar d'origine, il enquête et peut annuler le transfert. Cela prend en général de 30 à 60 jours.
L'Uniform Domain-Name Dispute-Resolution Policy (UDRP) couvre les litiges de propriété plus larges, y compris l'usage de mauvaise foi d'un domaine. Une commission examine les preuves et peut ordonner la restitution du domaine. Les frais de dépôt vont de 1 500 à 5 000 $. Les deux procédures exigent une documentation solide.
Peut-on récupérer un domaine volé ?
Parfois. Cela dépend de la rapidité de votre réaction, de l'endroit où le domaine a fini et de la qualité de votre documentation de propriété.
Si vous repérez le vol en quelques heures et que votre registrar peut geler le transfert, la récupération est souvent simple. Si le domaine a déjà été déplacé chez un nouveau registrar, la procédure TDRP vous offre un chemin formel, mais elle prend des semaines. Si le domaine volé a été revendu à un tiers qui l'a acheté de bonne foi, la récupération devient bien plus difficile et demande en général une action en justice entre plusieurs juridictions.
Si le domaine a expiré et que quelqu'un l'a enregistré par les voies normales, vous n'avez aucun recours juridique. La seule option est de le racheter au nouveau propriétaire, souvent à un prix bien plus élevé.
La prévention est toujours plus facile que la récupération. Chaque heure passée à sécuriser votre domaine maintenant vous épargne des semaines de stress et des milliers de dollars si quelque chose tourne mal.
Comment prévenir le vol de domaine ?
Prévenir le vol d'un nom de domaine consiste à fermer chaque faille qu'un attaquant pourrait utiliser.
Activez le verrouillage du domaine. Le verrou de transfert empêche quiconque de déplacer votre domaine sans que vous le déverrouilliez d'abord manuellement. Ce seul réglage bloque la méthode de vol la plus courante.
Utilisez l'authentification à deux facteurs. Activez-la sur votre compte chez le registrar et sur l'e-mail qui lui est lié. Utilisez une application d'authentification plutôt que des codes SMS, car les numéros de téléphone peuvent être compromis par un SIM swap.
Utilisez des mots de passe solides et uniques. Votre compte chez le registrar et l'e-mail de contact de votre domaine doivent chacun avoir leur mot de passe unique. Ne réutilisez jamais le mot de passe d'un autre compte.
Activez la protection WHOIS. Sans elle, votre nom, votre e-mail, votre numéro de téléphone et votre adresse sont visibles dans la base WHOIS publique. Les attaquants s'en servent pour l'ingénierie sociale.
Activez le renouvellement automatique. Les domaines expirés sont des cibles faciles. Le renouvellement automatique garantit que votre enregistrement reste actif même si vous oubliez de renouveler manuellement.
Surveillez votre domaine. Configurez des alertes pour les changements WHOIS, les demandes de transfert ou les modifications DNS. Repérer tôt les changements non autorisés fait la différence entre une frayeur et un domaine volé.
Pour le détail complet des bonnes pratiques de sécurité du domaine, consultez le chapitre dédié de cette série.
Comment WEMASY protège-t-il contre le vol de domaine ?
Les domaines enregistrés via WEMASY sont livrés avec le verrou de transfert et la protection WHOIS activés par défaut, sans frais supplémentaires. La gestion de votre domaine est liée à votre compte WEMASY, qui prend en charge l'authentification à deux facteurs.
Le renouvellement automatique est activé par défaut, et WEMASY envoie des rappels de renouvellement 90, 60 et 30 jours avant l'expiration. Si une demande de transfert est lancée, un e-mail de confirmation est envoyé au propriétaire du domaine avant que tout changement ne prenne effet. Découvrez ce qui est inclus dans chaque offre sur la page tarifs WEMASY.
Questions fréquentes sur le vol de domaine
Le vol de domaine est-il une infraction pénale ?
Dans la plupart des pays, le vol de domaine relève de la fraude informatique ou de l'accès non autorisé à des systèmes informatiques. L'application de la loi est inégale au-delà des frontières. Déposer plainte aide pour la documentation, mais la récupération passe en général par votre registrar ou l'ICANN plutôt que par les forces de l'ordre. Avec le créateur de site web de WEMASY, vous pouvez le configurer directement sur votre site.
Combien coûte la récupération d'un domaine volé ?
Si votre registrar annule le transfert directement, cela peut ne rien coûter. La procédure TDRP de l'ICANN est traitée par les registrars sans frais supplémentaires. Un dépôt UDRP coûte entre 1 500 et 5 000 $. Une action en justice devant les tribunaux peut coûter des dizaines de milliers de dollars selon les juridictions concernées.
Peut-on voler un domaine dont la protection WHOIS est activée ?
La protection WHOIS réduit le risque d'ingénierie sociale en cachant vos données dans la base publique. Elle ne rend pas le vol impossible à elle seule. Si un attaquant compromet votre compte chez le registrar ou votre e-mail, la protection WHOIS ne l'arrêtera pas. Elle fonctionne mieux comme une couche parmi d'autres, avec le verrouillage du domaine, l'authentification à deux facteurs et des mots de passe solides.
Que devient un site hébergé sur un domaine volé ?
Les fichiers et le contenu de votre site restent sur votre serveur d'hébergement. Mais le domaine ne pointe plus vers eux. Les visiteurs qui tapent votre adresse web voient une page d'erreur ou un site mis en place par l'attaquant. Votre contenu est toujours à vous, mais personne ne peut y accéder tant que vous n'avez pas récupéré le domaine ou fait pointer un nouveau domaine vers votre hébergement.
Faut-il souscrire une assurance contre le vol de domaine ?
Certains fournisseurs proposent des offres de protection de domaine avec assistance à la récupération. Avant d'acheter, vérifiez si votre registrar inclut déjà le verrou de transfert, la protection WHOIS et l'authentification à deux facteurs sans frais supplémentaires. Si ces protections sont actives, une assurance supplémentaire n'apportera peut-être pas grand-chose. Concentrez-vous d'abord sur la prévention.
Le chapitre suivant explique comment protéger votre nom de domaine avec une liste de contrôle de sécurité complète et les réglages qui comptent le plus.