Nom de domaine : se protéger d'un transfert non autorisé

Pour sécuriser son nom de domaine contre un transfert non autorisé, trois protections se cumulent : le verrouillage du nom chez votre bureau d'enregistrement, un code d'autorisation (AuthCode) que vous gardez secret et un compte client protégé par un mot de passe unique. DNSSEC reste utile, mais il sécurise les réponses DNS, pas le transfert. Les règles précises dépendent de l'extension.

Votre nom de domaine porte votre site et vos adresses e-mail. S'il change de bureau d'enregistrement sans votre accord, vous perdez la maîtrise des deux. Trois situations exposent un nom : un compte client mal protégé, un code d'autorisation transmis trop vite ou un nom enregistré par un prestataire à son propre nom.

Qu'est-ce qu'un transfert non autorisé de nom de domaine ?

Un transfert de nom de domaine désigne le changement de bureau d'enregistrement (registrar) qui gère votre nom. Le bureau d'enregistrement est l'intermédiaire accrédité qui enregistre votre nom auprès du registre, l'organisme chargé d'administrer une extension (.fr, .com, .eu). Vous restez titulaire du nom, mais vous changez de prestataire. Un transfert non autorisé survient lorsqu'un tiers obtient le contrôle de votre compte client ou du code d'autorisation, puis lance la procédure sans votre accord.

Quelle différence entre un transfert, un changement de titulaire et une modification des DNS ?

Le transfert change le bureau d'enregistrement, pas le propriétaire. Un changement de titulaire modifie le propriétaire légal du nom. Une modification des serveurs DNS fait pointer le nom vers un autre hébergeur, sans changer de bureau d'enregistrement ni de titulaire. Ces trois opérations sont indépendantes.

Comment un tiers peut-il obtenir le transfert d'un nom qui n'est pas le sien ?

L'attaquant vise le compte client. Trois types d'accès lui sont utiles : le mot de passe de votre compte chez le bureau d'enregistrement, le code d'autorisation du nom (AuthCode) et l'adresse e-mail de contact du titulaire. Avec le compte, il lève le verrouillage. Avec le code, il valide la demande de transfert. Avec la messagerie, il intercepte les notifications. Un mot de passe réutilisé ou une messagerie compromise lui ouvre la porte.

Que perdez-vous si le nom change de bureau d'enregistrement sans votre accord ?

Vous perdez la maîtrise des serveurs DNS : l'attaquant peut rediriger votre nom vers un autre site ou interrompre le fonctionnement de vos adresses e-mail. Vous ne pouvez plus renouveler le nom ni le transférer depuis votre ancien compte. Vous devez alors prouver que vous êtes le titulaire légitime et suivre la procédure de récupération prévue pour l'extension, ce qui peut prendre de plusieurs jours à plusieurs semaines.

Comment sécuriser son nom de domaine contre un transfert non autorisé ?

Trois protections se complètent : le verrouillage du nom, la confidentialité du code d'autorisation et la sécurisation de votre compte client.

Protection	Ce qu'elle vise	Ce qu'elle ne couvre pas
Verrouillage chez le bureau d'enregistrement	Demande de transfert tant que le verrou est actif	Accès au compte client permettant de lever le verrou
Code d'autorisation (AuthCode)	Transfert sans le code	Transfert avec un code transmis ou volé
Compte client protégé	Accès d'un tiers au compte	Demande effectuée depuis une messagerie compromise
Coordonnées à jour	Perte des notifications du registre	Validation depuis une messagerie compromise
DNSSEC	Falsification des réponses DNS	Transfert et changement de titulaire
Renouvellement automatique	Perte du nom par oubli	Transfert ou accès non autorisé

Par quoi commencer quand vous gérez un seul nom de domaine ?

Commencez par effectuer ces vérifications :

• vérifiez que le verrouillage est actif en ouvrant votre compte client, puis en recherchant « clientTransferProhibited » ou « verrouillé » sur la fiche du nom ;
• changez le mot de passe de votre compte s'il est réutilisé ailleurs ;
• contrôlez l'adresse e-mail de contact du titulaire, qui doit être valide, protégée et consultée régulièrement ;
• gardez le code d'autorisation secret et ne le transmettez qu'au moment où vous décidez vous-même d'un transfert.

Que vérifier quand un prestataire ou un ancien salarié a enregistré le nom ?

Contrôlez l'identité du titulaire dans les données WHOIS. Si le prestataire y figure, le nom ne vous appartient pas juridiquement : demandez alors un changement de titulaire. Vérifiez également que vous avez accès au compte client et que l'adresse e-mail de contact est sous votre contrôle. Dès que vous maîtrisez le nom, activez le verrouillage et régénérez le code d'autorisation.

Combien de temps prennent ces réglages ?

Vous pouvez vérifier le verrouillage, changer le mot de passe et mettre à jour l'adresse e-mail en quelques minutes. Un changement de titulaire passe par une procédure du registre, qui peut prendre de plusieurs jours à plusieurs semaines selon l'extension.

Le verrouillage du nom de domaine suffit-il à bloquer un transfert ?

Le verrouillage posé par le bureau d'enregistrement bloque les demandes de transfert tant qu'il reste actif. Un nom verrouillé porte le statut « clientTransferProhibited » dans le système EPP. Le registre refuse toute demande de transfert tant que ce statut figure sur le nom. Le verrouillage ne protège toutefois pas contre une personne qui accède à votre compte client : elle peut lever le verrou, demander le code d'autorisation, puis lancer le transfert.

Comment vérifier que le verrouillage est actif ?

Connectez-vous à votre compte client, affichez la fiche du nom et recherchez la mention « verrouillé », « transfert bloqué » ou « clientTransferProhibited ». Si vous ne trouvez pas cette information, interrogez l'assistance de votre bureau d'enregistrement et demandez-lui une confirmation écrite.

Quelle différence entre le verrou du bureau d'enregistrement et le verrou de registre ?

Le verrou du bureau d'enregistrement (clientTransferProhibited) se gère depuis votre compte client. Le verrou de registre se commande auprès du registre, par l'intermédiaire de votre bureau d'enregistrement, et nécessite une procédure de levée renforcée, comme une validation écrite ou une double authentification. Tous les registres ne le proposent pas. L'AFNIC propose un verrou de registre pour les.fr.

Faut-il lever le verrouillage pour un transfert que vous avez décidé ?

Oui. Pour effectuer un transfert que vous avez décidé, vous devez lever le verrouillage, puis transmettre le code d'autorisation au nouveau bureau d'enregistrement. Suivez la procédure permettant de transférer un nom de domaine sans coupure.

Comment protéger l'AuthCode et le compte client ?

Le code d'autorisation (AuthCode ou code EPP) est le mot de passe qui valide un transfert. Vous le demandez à votre bureau d'enregistrement lorsque vous décidez de changer de prestataire. Ce code doit rester aussi secret qu'un mot de passe.

À qui pouvez-vous communiquer le code d'autorisation ?

Vous ne communiquez le code qu'au bureau d'enregistrement vers lequel vous transférez le nom, au moment où vous avez décidé ce transfert. Ne le transmettez jamais dans un e-mail non chiffré. Si vous l'avez communiqué à la mauvaise personne, régénérez-le immédiatement et vérifiez que le verrouillage est actif.

Pourquoi l'adresse e-mail de contact compte-t-elle autant que le mot de passe ?

L'adresse e-mail de contact reçoit les notifications de transfert et les demandes de validation. Une personne qui accède à cette messagerie peut valider un transfert même sans connaître le mot de passe de votre compte client. Utilisez une adresse professionnelle protégée par un mot de passe unique.

La double authentification existe-t-elle chez tous les bureaux d'enregistrement ?

Non. La double authentification ajoute un code temporaire au mot de passe classique et complique l'accès d'un tiers. Certains bureaux d'enregistrement la proposent, d'autres non. Vérifiez les options de sécurité de votre compte ou interrogez l'assistance.

Qui doit avoir accès au compte client dans une entreprise ?

Limitez l'accès aux personnes qui gèrent effectivement les noms, comme le responsable informatique, le webmaster ou un prestataire mandaté. Lorsqu'un collaborateur quitte l'entreprise, changez immédiatement le mot de passe et régénérez les codes d'autorisation des noms sensibles.

DNSSEC protège-t-il contre le transfert d'un nom de domaine ?

Non. DNSSEC (DNS Security Extensions) authentifie les réponses DNS : il garantit que les informations renvoyées par les serveurs de noms n'ont pas été falsifiées. DNSSEC n'agit ni sur le transfert du nom entre bureaux d'enregistrement, ni sur la titularité, ni sur l'accès à votre compte client. Pour bloquer un transfert non autorisé, comptez sur le verrouillage, le code d'autorisation et la protection de votre compte.

À quoi sert DNSSEC, concrètement ?

DNSSEC protège contre les attaques qui modifient les réponses DNS. Un attaquant ne peut pas rediriger un visiteur vers un faux site en altérant l'adresse IP renvoyée. DNSSEC n'empêche toutefois pas une personne qui contrôle votre compte client de modifier les serveurs DNS déclarés.

DNSSEC est-il utile si le nom est déjà verrouillé ?

DNSSEC et le verrouillage répondent à deux menaces différentes. Le verrouillage empêche un transfert non autorisé, tandis que DNSSEC protège vos visiteurs contre la falsification des réponses DNS. Les deux protections peuvent coexister.

Que devient DNSSEC quand le nom change de bureau d'enregistrement ?

Cela dépend du registre et du nouveau bureau d'enregistrement. Certains registres désactivent DNSSEC lors d'un transfert, tandis que d'autres conservent la signature. Vérifiez la politique DNSSEC du registre et du nouveau bureau avant un transfert.

Quelles protections s'appliquent selon l'extension : .fr, .com, .net, .eu ?

Les règles dépendent du registre qui gère chaque extension. Les protections applicables aux extensions courantes sont présentées ci-dessous.

Extension	Registre	Verrouillage	Délai après création ou transfert	DNSSEC	Litige sur le droit au nom
.fr et .re	AFNIC	Verrou du bureau d'enregistrement, verrou de registre en option	Selon les règles de l'AFNIC	Pris en charge	SYRELI
.com et .net	Verisign, sous la politique de l'ICANN	clientTransferProhibited	60 jours	Pris en charge	UDRP
.org	PIR, sous la politique de l'ICANN	clientTransferProhibited	60 jours	Pris en charge	UDRP
.eu	EURid	Selon le bureau d'enregistrement	Selon les règles d'EURid	Pris en charge	Procédure ADR d'EURid

Que prévoit l'AFNIC pour un nom en .fr ?

L'AFNIC, registre du .fr et du .re, propose un verrouillage par le bureau d'enregistrement et un verrou de registre optionnel. DNSSEC est pris en charge. Les délais applicables à un transfert figurent dans les règles d'enregistrement de l'AFNIC. La procédure SYRELI de l'AFNIC permet de contester, hors tribunal, un nom enregistré au détriment de vos droits.

Que prévoit l'ICANN pour un .com ou un .net ?

L'ICANN définit la politique de transfert des extensions génériques. Le verrouillage (clientTransferProhibited) bloque les demandes, et le code d'autorisation est délivré par le bureau d'enregistrement. Un nom ne peut être transféré qu'à partir de 60 jours après sa création ou son dernier transfert. DNSSEC est pris en charge par Verisign. La procédure UDRP traite les noms enregistrés de mauvaise foi au détriment d'une marque.

Que prévoit EURid pour un nom en .eu ?

EURid, registre du .eu, encadre le transfert par un code d'autorisation délivré par le bureau d'enregistrement. DNSSEC est pris en charge. EURid propose une procédure extrajudiciaire (ADR) pour les litiges sur le droit à un nom.

Où trouver la règle pour une autre extension ?

Consultez la base des extensions de l'IANA pour identifier le registre, puis recherchez sa politique de transfert. Si la documentation reste peu claire, contactez l'assistance de votre bureau d'enregistrement.

Que faire si votre nom de domaine a été transféré sans votre accord ?

Agissez immédiatement :

• changez le mot de passe de votre compte client et celui de la messagerie de contact ;
• vérifiez le verrouillage de vos autres noms ;
• contrôlez les serveurs DNS déclarés ;
• contactez sans attendre votre bureau d'enregistrement.

Qui contacter en premier, et avec quelles preuves ?

Contactez d'abord votre bureau d'enregistrement actuel. Fournissez les preuves établissant que vous êtes le titulaire légitime, comme les factures, les e-mails de confirmation, une pièce d'identité, un extrait d'immatriculation ou des captures d'écran de votre compte. Votre bureau engagera les démarches auprès du registre et du bureau destinataire.

Quels recours selon l'extension du nom ?

Un transfert effectué sans votre accord se règle d'abord entre bureaux d'enregistrement : votre bureau saisit le bureau destinataire et, si nécessaire, le registre (pour un .com, un .net ou un .org, la politique de l'ICANN prévoit une procédure de litige sur les transferts engagée par le bureau d'enregistrement). Si un tiers détient le nom au détriment de vos droits, d'autres recours existent : SYRELI pour un .fr, UDRP pour un .com, un .net ou un .org, et la procédure ADR d'EURid pour un .eu. Nos procédures de litige SYRELI et UDRP détaillent ces recours.

Combien de temps avez-vous pour réagir ?

Contactez votre bureau d'enregistrement dès que vous constatez le transfert. L'AFNIC traite les réclamations au cas par cas. La rapidité de votre réaction conditionne vos chances de récupérer le nom sans procédure judiciaire.

Quelles autres protections ajouter : confidentialité, hameçonnage, surveillance ?

Trois autres protections renforcent la sécurité : la confidentialité des données WHOIS, la vigilance face aux e-mails frauduleux et la surveillance active.

Qu'est-ce que la protection de la confidentialité d'un nom de domaine ?

WHOIS est l'annuaire public des noms de domaine : il affiche le nom du titulaire, son adresse, son e-mail et son téléphone. Un service de confidentialité (WHOIS Privacy) remplace vos coordonnées par celles d'un intermédiaire. Cette protection ne bloque pas un transfert non autorisé, mais elle limite l'exposition aux attaquants. Pour lire les données WHOIS d'un nom de domaine, utilisez un outil de consultation en ligne.

Comment reconnaître un faux e-mail de renouvellement ou de transfert ?

Les e-mails frauduleux imitent les notifications officielles. Vérifiez l'adresse de l'expéditeur : un e-mail légitime de Domaine.fr provient du domaine domaine.fr. Ne cliquez jamais sur un lien suspect. Ouvrez plutôt votre navigateur, saisissez l'adresse de votre bureau d'enregistrement, connectez-vous, puis vérifiez si la notification y figure.

Faut-il surveiller son nom de domaine ?

Oui, si votre nom porte une activité sensible. Surveiller un nom consiste à vérifier régulièrement son statut, ses serveurs DNS et ses dates d'expiration. Vous pouvez effectuer ce contrôle manuellement une fois par mois ou utiliser un service automatique si votre bureau le propose. Une surveillance active permet de détecter un changement avant qu'un transfert ne soit engagé.

Faut-il enregistrer d'autres extensions et des variantes du nom ?

Enregistrer des variantes réduit le risque qu'un tiers ne les réserve à votre place. Les variantes courantes comprennent les fautes de frappe fréquentes, le singulier, le pluriel et les principales extensions (.fr, .com, .eu). Réservez au minimum celles qui pourraient porter atteinte à votre activité, puis redirigez-les vers votre site. Pour gérer un portefeuille de noms de domaine, regroupez-les chez un seul bureau et activez le renouvellement automatique.

Quelle routine de contrôle adopter pour vos noms de domaine ?

Une routine régulière permet de détecter une anomalie avant qu'elle ne conduise à un transfert non autorisé. Deux moments sont particulièrement importants : chaque renouvellement et chaque départ d'un collaborateur.

Que contrôler à chaque échéance de renouvellement ?

Vérifiez les éléments suivants pour chaque nom :

• le statut de verrouillage, qui doit afficher « clientTransferProhibited » ;
• les serveurs DNS, qui doivent correspondre à votre hébergeur ;
• l'adresse e-mail de contact, qui doit rester sous votre contrôle ;
• la date de la prochaine échéance.

Activez le renouvellement automatique pour éviter qu'un oubli ne fasse basculer le nom en période de rédemption.

Que changer quand un collaborateur ou un prestataire s'en va ?

Lors du départ d'un collaborateur ou d'un prestataire :

• changez le mot de passe du compte client ;
• régénérez les codes d'autorisation des noms sensibles ;
• vérifiez que l'adresse e-mail de contact n'est pas celle du collaborateur ;
• contrôlez les données du titulaire et le verrouillage de tous vos noms.

Si le prestataire figure comme titulaire, demandez un changement de titulaire.

Questions fréquentes

Le verrouillage d'un nom de domaine est-il activé par défaut ?

Cela dépend de votre bureau d'enregistrement et de l'extension. Certains prestataires l'activent dès l'enregistrement, tandis que d'autres vous laissent cette responsabilité. Ouvrez votre compte client, affichez la fiche du nom et consultez son statut. En cas de doute, demandez à l'assistance de vous confirmer par écrit que le verrouillage contre le transfert est actif.

DNSSEC empêche-t-il le vol d'un nom de domaine ?

Non. DNSSEC signe les réponses du DNS, l'annuaire qui relie votre nom à votre site : il aide à détecter une réponse falsifiée. Il n'agit ni sur le transfert ni sur le titulaire du nom. Pour bloquer un transfert, comptez sur le verrouillage, le code d'autorisation et la protection de votre compte client.

Que faire si j'ai transmis mon AuthCode à la mauvaise personne ?

Agissez immédiatement. Vérifiez que le nom est verrouillé, changez le mot de passe de votre compte client et celui de la messagerie de contact, puis demandez à votre bureau d'enregistrement de remplacer le code d'autorisation. Surveillez ensuite tout e-mail annonçant une demande de transfert.

Qui contacter si mon nom de domaine a été transféré sans mon accord ?

Contactez d'abord votre bureau d'enregistrement et transmettez-lui les preuves que vous êtes le titulaire, comme les factures, les e-mails de confirmation, une pièce d'identité ou un extrait d'immatriculation. Il engagera les démarches prévues pour l'extension.

La double authentification protège-t-elle un nom de domaine ?

Elle protège l'accès au compte client, depuis lequel il est possible de déverrouiller le nom et de demander le code d'autorisation. Un mot de passe volé ne suffit alors plus pour agir sur vos noms. Tous les bureaux d'enregistrement ne la proposent pas : vérifiez les options de sécurité de votre compte ou interrogez l'assistance de votre prestataire.

Une question sur le verrouillage de votre nom de domaine ? Contactez l'assistance de Domaine.fr : des personnes vous répondent en français, depuis 1996.