AuthCode de transfert : à quoi il sert et comment l'obtenir

Vous voulez changer de bureau d'enregistrement, et l'on vous demande un AuthCode. Le terme n'apparaît nulle part dans votre espace client, ou bien le code que vous avez copié est refusé sans explication. C'est à ce stade que de nombreux transferts s'arrêtent, pour une question de procédure, pas de compétence technique. Ce guide détaille :

• ce qu'est ce code d'autorisation ;
• où le trouver ;
• combien de temps il reste valable ;
• pourquoi il est parfois refusé.

Qu'est-ce qu'un AuthCode ?

Un AuthCode est un code d'autorisation délivré par le bureau d'enregistrement qui gère actuellement votre nom de domaine. Pour les extensions qui l'utilisent, il sert à authentifier le titulaire lors du transfert du domaine vers un autre prestataire. Sans un code valide, la demande de transfert ne peut pas aboutir.

Le code se présente généralement sous la forme d'une chaîne de lettres, de chiffres et parfois de caractères spéciaux. Sa longueur et ses règles de validité dépendent de l'extension et du prestataire concerné. Il reste lié au domaine jusqu'à son utilisation, son expiration éventuelle ou son remplacement par un nouveau code.

À quoi sert un code d'autorisation ?

L'AuthCode constitue un élément de sécurité utilisé pour identifier le titulaire du domaine dans le cadre d'un transfert. Pour les extensions génériques relevant de l'ICANN, sa validité est vérifiée lors de la procédure, mais le code ne constitue pas à lui seul l'autorisation complète du transfert : les étapes d'autorisation ou de confirmation prévues par la politique applicable restent nécessaires.

Ce mécanisme contribue ainsi à sécuriser les transferts entre registrars. Le titulaire doit également conserver la maîtrise de son compte et des moyens d'authentification ou de communication associés au domaine.

Pourquoi l'appelle-t-on aussi code EPP ou code de transfert ?

Le terme EPP vient de l'Extensible Provisioning Protocol, un protocole utilisé pour les échanges techniques entre registrars et registres. L'AuthInfo est le code d'autorisation associé au domaine dans les systèmes qui utilisent ce mécanisme. Dans les interfaces commerciales, les expressions « AuthCode », « code EPP », « AuthInfo » ou « code de transfert » sont fréquemment employées pour désigner le code nécessaire au transfert.

Cette diversité de vocabulaire peut rendre sa recherche moins évidente dans un espace client : l'intitulé varie selon le registrar.

Qui délivre l'AuthCode ?

C'est le registrar actuel, celui chez qui le domaine est enregistré au moment de la demande, qui génère ou communique l'AuthCode. Le registre ne le délivre généralement pas directement au titulaire : il vérifie le code transmis dans le cadre de la procédure de transfert.

Le titulaire du domaine doit donc s'adresser en priorité à son prestataire actuel, et non au prestataire de destination. Si le domaine a été enregistré il y a plusieurs années et que vous ne savez plus chez qui, une recherche WHOIS ou RDAP permet généralement de retrouver le rôle du bureau d'enregistrement qui gère le domaine.

Comment obtenir un AuthCode ?

La procédure d'obtention varie selon le registrar. Trois voies principales existent :

• affichage du code dans l'espace client de gestion du domaine, souvent dans une section « Transfert sortant » ou « Déverrouillage » ;
• génération à la demande, avec affichage immédiat ou envoi par e-mail ;
• demande écrite au support lorsque le code n'est pas accessible en libre-service.

Avant toute chose, vérifiez le statut du domaine : un statut `clientTransferProhibited` ou `serverTransferProhibited` peut empêcher le transfert. Le premier peut généralement être géré auprès du registrar selon les conditions applicables au domaine, tandis que le second est appliqué au niveau du registre et nécessite d'en identifier la cause. Le statut se consulte en suivant la procédure permettant de vérifier le statut d'un domaine au WHOIS.

Où trouver l'AuthCode dans son espace client ?

Dans la plupart des interfaces modernes, le code figure sous l'onglet du domaine concerné, dans une section dédiée au transfert ou à la gestion avancée. Certains registrars affichent le code en clair, tandis que d'autres le masquent et proposent un bouton « Révéler », « Générer » ou « Copier ». Quelques prestataires envoient systématiquement le code par e-mail dès qu'une demande de transfert sortant est amorcée.

Si vous ne trouvez pas le code après avoir parcouru les sections de gestion du domaine, consultez la documentation du registrar ou contactez son support.

Que faire si le code n'apparaît nulle part ?

Si aucun champ ni aucun bouton ne permet d'afficher l'AuthCode, adressez une demande écrite au support du registrar actuel. Pour les extensions génériques soumises à la politique de l'ICANN, le registrar doit fournir le code dans un délai maximal de cinq jours calendaires s'il ne permet pas au titulaire de le générer lui-même. Les modalités peuvent différer pour les extensions nationales.

Précisez le nom du domaine concerné et utilisez de préférence l'adresse e-mail associée à votre compte. Le support pourra vous demander de confirmer votre identité ou vos droits sur le domaine avant de communiquer cette donnée sensible.

Un bureau d'enregistrement peut-il refuser de le fournir ?

Pour les extensions génériques relevant de l'ICANN, un registrar ne peut pas retenir un AuthCode pour de simples raisons commerciales ou en raison d'un litige portant sur le paiement d'une période d'enregistrement future. Selon la politique de transfert de l'ICANN, il doit donner au titulaire un moyen d'obtenir son code ou le lui fournir dans le délai prévu.

Le prestataire peut néanmoins procéder à des vérifications avant de communiquer le code, notamment si le titulaire n'a pas été correctement authentifié. Par ailleurs, la remise d'un AuthCode ne garantit pas que le transfert sera accepté : un verrouillage, une procédure judiciaire, un litige relatif au domaine ou une période de blocage réglementaire peuvent empêcher l'opération.

Combien de temps un AuthCode reste-t-il valable ?

Il n'existe pas de durée de validité universelle. Selon l'extension et le prestataire, un AuthCode peut rester valable jusqu'à son utilisation ou à son remplacement, ou expirer après un délai déterminé. Cette durée ne doit pas être confondue avec le délai de traitement du transfert lui-même.

Avant toute opération, vérifiez les règles applicables auprès de votre registrar actuel, du registrar de destination ou du registre de l'extension concernée.

Quelle est la durée de validité d'un AuthCode ?

La durée varie selon les extensions et les procédures. Pour un .com ou un .net, la politique de transfert de l'ICANN ne fixe pas une durée de validité unique applicable à tous les AuthCodes : les modalités de génération et de renouvellement peuvent varier selon le registrar. Pour un .fr, l'Afnic impose ses propres règles concernant l'AuthInfo. Pour un .eu, EURid prévoit un code de transfert valable 40 jours à compter de sa génération, ou jusqu'à son utilisation.

Avant de lancer un transfert, demandez confirmation au registrar concerné. Un code expiré ou remplacé avant son utilisation sera refusé.

Que se passe-t-il si le code expire pendant le transfert ?

Si le code a expiré avant d'être validé, la demande ne peut pas être acceptée. Le domaine reste alors chez le registrar actuel, et il faut obtenir un nouveau code avant de relancer l'opération.

Si le code a déjà été accepté et que le transfert est en cours, la suite dépend de la procédure appliquée par le registre. L'expiration ultérieure du code n'entraîne pas nécessairement l'échec d'une demande déjà validée.

Peut-on demander un nouveau code ?

Oui. La plupart des registrars permettent de régénérer un AuthCode depuis l'espace client ou en contactant le support. La génération d'un nouveau code invalide généralement le précédent.

Si vous avez déjà transmis un code au registrar de destination, n'en générez pas un autre sans nécessité : le premier pourrait ne plus être accepté, ce qui vous obligerait à mettre à jour ou à relancer la demande de transfert.

Les règles sont-elles les mêmes pour toutes les extensions ?

Non. Chaque registre définit sa propre procédure de transfert, et certaines extensions n'utilisent pas d'AuthCode. Les règles du .fr ne sont pas celles du .com, et celles du .eu diffèrent encore. Avant toute opération, il est indispensable de vérifier la procédure applicable à l'extension concernée.

Comment obtenir l'AuthCode d'un .fr ?

Le .fr est géré par l'Afnic. Son transfert repose bien sur un AuthInfo associé au nom de domaine. Le bureau d'enregistrement actuel doit donner gratuitement au titulaire un moyen d'accéder à ce code. Celui-ci est généralement disponible dans l'interface de gestion du domaine ; à défaut, il faut le demander au prestataire.

Le titulaire transmet ensuite l'AuthInfo au nouveau bureau d'enregistrement, qui adresse la demande de transfert à l'Afnic. Le bureau d'enregistrement sortant dispose de huit jours pour accepter l'opération ou s'y opposer. Il peut également accepter la demande plus rapidement. Sans réponse de sa part à l'issue des huit jours, le transfert est automatiquement effectué. En cas d'opposition, la procédure est prolongée et le transfert intervient à l'issue d'un délai total de 22 jours.

La procédure complète est détaillée sur la page de transfert de l'AFNIC.

Comment obtenir l'AuthCode d'un .com ou d'un .net ?

Les extensions génériques comme le .com et le .net suivent la procédure de transfert définie par l'ICANN. Le titulaire obtient l'AuthCode auprès du registrar actuel, déverrouille le domaine si nécessaire, puis transmet le code au registrar de destination.

Le nouveau registrar lance alors la demande. Le registrar actuel reçoit une notification et peut approuver le transfert, le laisser se poursuivre ou le refuser pour l'un des motifs autorisés par la politique applicable. En l'absence de refus valable, le transfert est normalement réalisé dans un délai maximal de cinq jours calendaires après son lancement.

Selon les prestataires, le titulaire peut également recevoir un e-mail lui permettant de confirmer ou de refuser l'opération.

Comment obtenir l'AuthCode d'un .eu ?

Le .eu est géré par EURid. Son transfert repose sur un code d'autorisation de 16 caractères, présenté au format `XXXX-AAAA-BBBB-CCCC`. Ce code peut être obtenu auprès du registrar actuel ou, dans certaines situations, depuis le compte My .eu du titulaire.

Le code reste valable pendant 40 jours à compter de sa génération ou jusqu'à son utilisation. Il doit être transmis au nouveau registrar pour que celui-ci puisse effectuer le transfert.

Quelles extensions n'utilisent pas d'AuthCode ?

Certaines extensions nationales appliquent des procédures spécifiques qui ne passent pas par un code d'autorisation. Le .uk, par exemple, utilise un système d'IPS TAG : le titulaire demande que le domaine soit rattaché au TAG du nouveau registrar.

D'autres extensions peuvent imposer une validation manuelle par le registre ou exiger une preuve d'identité du titulaire. Avant tout transfert, vérifiez la procédure applicable à l'extension concernée : les règles ne se déduisent pas de celles d'une autre extension.

Pourquoi un AuthCode est-il refusé ?

Un code d'autorisation peut être refusé pour plusieurs raisons. Les causes les plus courantes sont :

• le code est expiré ou a été remplacé ;
• il a été mal copié ;
• le domaine est verrouillé ;
• une période de blocage est en cours ;
• le code ne correspond pas au domaine concerné.

Dans tous les cas, la demande de transfert n'aboutit pas et le domaine reste chez le registrar actuel. Le diagnostic passe par la vérification du statut du domaine, du code utilisé et des éventuelles restrictions applicables à l'extension.

Le domaine est-il verrouillé ?

Un domaine en statut `clientTransferProhibited` ou `serverTransferProhibited` ne peut pas être transféré tant que le blocage correspondant n'a pas été retiré. Ce statut se vérifie en consultant le WHOIS du domaine.

Le statut `clientTransferProhibited` est une mesure de sécurité courante, activée par de nombreux registrars pour protéger son domaine contre un transfert non autorisé. Pour le désactiver, connectez-vous à votre espace client chez le registrar actuel et recherchez l'option « Déverrouiller » ou « Autoriser le transfert ».

Le statut `serverTransferProhibited` est appliqué au niveau du registre. Il ne peut généralement pas être retiré directement depuis l'espace client : contactez alors votre registrar pour connaître la cause du blocage et la procédure à suivre.

Le domaine est-il en période de blocage ?

Pour les extensions génériques relevant de l'ICANN, un transfert peut notamment être bloqué pendant les 60 jours suivant l'enregistrement initial du domaine. Le registrar peut également refuser un nouveau transfert pendant les 60 jours suivant un précédent changement de registrar.

Pour les extensions génériques concernées, un verrouillage de 60 jours peut également s'appliquer après un changement de titulaire répondant aux critères définis par la politique ICANN. Selon les modalités prévues par le registrar et la politique applicable, une option permettant de renoncer à ce verrouillage peut être proposée avant le changement.

Ces règles ne s'appliquent pas nécessairement aux extensions nationales. Vérifiez donc les restrictions associées à votre extension et à l'opération réalisée avant de relancer un transfert.

Le code a-t-il été mal copié ?

Un AuthCode peut contenir des caractères facilement confondables. Les erreurs les plus fréquentes concernent :

• la lettre O et le chiffre 0 ;
• la lettre I majuscule et le chiffre 1 ;
• la lettre l minuscule et le chiffre 1 ;
• un espace en trop au début ou à la fin du code ;
• une erreur de casse entre les majuscules et les minuscules.

Copiez le code directement depuis l'interface ou l'e-mail qui vous l'a fourni, sans le retaper manuellement. Collez-le tel quel dans le formulaire du nouveau registrar, sans ajouter d'espace ni de retour à la ligne.

L'AuthCode présente-t-il un risque de sécurité ?

Oui, l'AuthCode doit être traité comme un mot de passe. Toute personne qui en dispose peut tenter d'initier un transfert du domaine vers un autre registrar. Si le code est communiqué par erreur ou volé, il faut en demander un nouveau immédiatement afin d'invalider l'ancien.

Le risque est particulièrement important lorsque le titulaire a perdu l'accès à son espace client ou à l'adresse e-mail associée au domaine.

Faut-il traiter l'AuthCode comme un mot de passe ?

Oui. Ne le communiquez qu'au registrar de destination, via un canal sécurisé. Évitez de l'envoyer par e-mail en clair lorsque le prestataire propose un formulaire de transfert sécurisé dans lequel vous pouvez saisir directement le code.

Ne partagez jamais votre AuthCode sur un forum, dans une capture d'écran ou dans une demande de support publique.

Que faire si un AuthCode a été communiqué par erreur ?

Demandez immédiatement à votre registrar actuel de remplacer ou de régénérer le code compromis selon la procédure prévue pour l'extension concernée. Vérifiez ensuite que l'ancien code n'est plus utilisable et consultez le statut du domaine afin de vous assurer qu'aucune demande de transfert non autorisée n'a été lancée.

Si un transfert non autorisé est déjà en cours, contactez votre registrar actuel en urgence. Selon l'extension et l'état d'avancement de la procédure, il pourra s'opposer au transfert, appliquer un verrouillage ou vous indiquer la procédure de contestation appropriée.

Le verrouillage du domaine protège-t-il contre un transfert non autorisé ?

Oui. Tant qu'un statut interdisant le transfert, tel que `clientTransferProhibited` ou `serverTransferProhibited`, est actif, la demande ne peut pas aboutir, même avec un AuthCode valide. Le verrouillage constitue donc une protection importante contre les transferts frauduleux.

Activez-le pour tout domaine que vous ne prévoyez pas de transférer dans l'immédiat. Déverrouillez le domaine uniquement au moment où vous lancez la procédure. Une fois le transfert terminé, vérifiez que le verrouillage est de nouveau actif chez le nouveau registrar.

Que se passe-t-il après la transmission du code ?

Une fois l'AuthCode transmis au nouveau registrar, celui-ci lance la demande de transfert selon la procédure de l'extension. Le code est vérifié, ainsi que le statut du domaine et les éventuelles restrictions en cours. Si toutes les conditions sont réunies, le transfert est engagé.

Le titulaire peut alors recevoir un ou plusieurs e-mails de confirmation ou de notification, selon l'extension et les procédures des registrars concernés.

Quelles sont les étapes suivantes ?

Après l'initiation du transfert, le titulaire peut recevoir un message contenant un lien pour approuver ou refuser l'opération, ou une simple notification indiquant que le transfert est en cours. Ces communications sont envoyées aux coordonnées conservées par le registrar ou associées au compte du titulaire.

Le registrar actuel reçoit également une notification. Il peut approuver le transfert, le laisser se poursuivre ou le refuser pour un motif prévu par les règles applicables. Le délai varie selon l'extension : un transfert de domaine générique prend généralement jusqu'à cinq jours calendaires, tandis qu'un transfert de .fr est réalisé après huit jours en l'absence de réponse du bureau sortant et peut être prolongé en cas d'opposition.

Pendant cette période, le domaine continue normalement de fonctionner, à condition que sa configuration DNS ne soit pas modifiée ou interrompue.

Pour une description complète de la procédure complète de transfert, consultez notre guide dédié.

Peut-on annuler un transfert en cours ?

Dans de nombreux cas, oui. Tant que le transfert n'a pas été finalisé, le titulaire peut contacter le registrar actuel ou utiliser le lien de refus éventuellement reçu par e-mail. L'annulation reste toutefois soumise à la procédure propre à l'extension et au stade d'avancement de l'opération.

Si le transfert a déjà été effectué et que le domaine a changé de registrar, l'annulation n'est plus possible. Un transfert dans l'autre sens peut être envisagé, mais une période de blocage, notamment pour certaines extensions génériques, peut empêcher de le réaliser immédiatement. En cas de transfert frauduleux, contactez sans délai les deux registrars afin d'engager la procédure de contestation appropriée.

Comment éviter de rester bloqué à cette étape ?

La plupart des blocages liés à l'AuthCode proviennent d'un oubli de déverrouillage, d'un code expiré, remplacé ou mal copié, ou encore d'une période de blocage méconnue. Une vérification méthodique avant de lancer le transfert permet d'éviter ces écueils.

Avant de demander votre code, consultez le statut du domaine et vérifiez les informations disponibles dans votre espace client. Assurez-vous que l'adresse e-mail associée au titulaire est bien la vôtre et qu'elle est active.

Que vérifier avant de demander son code ?

Trois vérifications sont indispensables avant de demander un AuthCode :

• vérifiez que le domaine n'est pas verrouillé : si le statut affiche `clientTransferProhibited`, déverrouillez-le avant de lancer le transfert ; si le statut affiche `serverTransferProhibited`, contactez votre registrar ;
• vérifiez que l'adresse e-mail associée au titulaire et à votre compte est exacte et accessible : elle peut servir à recevoir les notifications ou demandes de validation ;
• vérifiez la date du dernier enregistrement, transfert ou changement important concernant le titulaire : pour certaines extensions, notamment les extensions génériques, une période de blocage de 60 jours peut empêcher le transfert même avec un code valide.

Si vous envisagez de transférer votre domaine chez nous, notre équipe peut vérifier ces points avec vous avant de lancer la procédure. Acteur du secteur depuis 1996, Domaine.fr est un registrar accrédité par l'ICANN et l'Afnic, avec une assistance humaine en français.

Foire aux questions

Qu'est-ce qu'un AuthCode ?

C'est un code d'autorisation délivré par le bureau d'enregistrement qui gère actuellement votre nom de domaine. Pour les extensions qui l'utilisent, il sert à authentifier le titulaire lors d'un transfert vers un autre prestataire. On l'appelle aussi code EPP, AuthInfo ou code de transfert.

Où trouver son code d'autorisation ?

Il se demande auprès du bureau d'enregistrement actuel, le plus souvent depuis l'espace client de gestion du domaine, parfois en adressant une demande au support. S'il n'apparaît nulle part dans l'interface, une demande écrite au prestataire reste la voie la plus directe pour l'obtenir.

Combien de temps un AuthCode reste-t-il valable ?

Il n'existe pas de durée universelle. Selon l'extension et le prestataire, le code peut rester valable jusqu'à son utilisation ou à son remplacement, ou expirer après une période déterminée. Le code d'un .eu, par exemple, reste valable pendant 40 jours à compter de sa génération ou jusqu'à son utilisation.

Pourquoi mon AuthCode est-il refusé ?

Les causes les plus fréquentes sont un code expiré, remplacé ou mal copié, une erreur de casse, un espace ajouté par inadvertance, un domaine resté verrouillé, une période de blocage ou l'utilisation d'un code qui ne correspond pas au domaine concerné.

Toutes les extensions utilisent-elles un AuthCode ?

Non. Le principe est très répandu sur les extensions génériques et sur plusieurs extensions nationales, mais certains registres appliquent une procédure différente. Les règles se vérifient auprès du registre ou du registrar de l'extension concernée avant toute opération : elles ne se déduisent pas de celles d'une autre extension.

L'AuthCode est-il une donnée sensible ?

Oui. L'AuthCode est une donnée sensible utilisée dans la procédure de transfert et doit être protégé avec précaution. Ne le communiquez qu'au prestataire concerné par l'opération et privilégiez son interface sécurisée. S'il a été exposé ou si le transfert est abandonné, demandez à votre registrar s'il doit être remplacé ou régénéré et vérifiez le statut du domaine.