Protéger votre nom de domaine

Module 4: E-mail, site web et domaine · Temps de lecture : 11 minutes

Objectif pédagogique : après cette leçon, vous saurez protéger votre nom de domaine contre l'expiration, le piratage et les enregistrements DNS incorrects, et vérifier le statut, la date d'expiration, DNSSEC et CAA de votre propre domaine.
Notions clés : bureau d'enregistrement (registrar), titulaire, expiré, quarantaine, code d'autorisation de transfert, verrou registrar (registrar-lock), verrou registry (registry lock), 2FA chez le bureau d'enregistrement, DNSSEC, CAA, enregistrement orphelin (dangling DNS), détournement de sous-domaine

Qui détient votre domaine détient votre messagerie

Votre nom de domaine semble un détail : une facture annuelle et quelques réglages. Mais presque tout en dépend. Votre site web, vos adresses e-mail, et donc aussi le bouton « mot de passe oublié » de tous vos autres comptes : votre logiciel de comptabilité, votre banque, votre plateforme de boutique en ligne, vos réseaux sociaux. Quiconque prend le contrôle de example.com peut recevoir les e-mails destinés à info@example.com et ainsi réinitialiser partout votre mot de passe.

Un domaine peut vous échapper ou être détourné de trois façons :

1. il expire et quelqu'un d'autre l'enregistre ;
2. quelqu'un le détourne via votre compte chez le bureau d'enregistrement ou via un transfert falsifié ;
3. un enregistrement DNS oublié pointe vers quelque chose que vous ne gérez plus.

Dans la formation DNS (leçon 1.3), vous avez appris qui gère quoi : le registry gère l'extension (SIDN (.nl), gardez cet exemple pour .nl), le bureau d'enregistrement (registrar) enregistre en votre nom, et vous êtes le titulaire. Dans cette leçon, nous examinons cette chaîne avec le regard d'un attaquant.

Le titulaire est-il correct ?

Le titulaire est le propriétaire juridique. Si c'est votre créateur de site, un ancien collaborateur ou une entreprise qui n'existe plus qui y figure, il vous sera difficile de prouver en cas de conflit ou de faillite que le domaine vous appartient. Vérifiez donc :

• votre entreprise est-elle enregistrée comme titulaire, avec le bon nom ?
• adresse e-mail du titulaire est-elle joignable, et n'est-elle pas sur le domaine lui-même ? Si example.com expire, l'alerte envoyée à info@example.com risque de ne plus arriver. Utilisez une seconde adresse, par exemple sur un autre domaine.
• répondez-vous aux véritables demandes de confirmation de votre adresse ? Pour de nombreuses extensions, l'ICANN exige que l'adresse e-mail du titulaire soit confirmée. Si vous ne le faites pas, le domaine peut être suspendu.

Expiration : le risque le plus ennuyeux et le plus fréquent

Les domaines se perdent le plus souvent à cause d'une carte bancaire expirée, d'une facture arrivée chez un collaborateur parti, ou d'un changement de prestataire pendant lequel personne n'a pensé au domaine. Ce qui se passe ensuite varie selon l'extension :

Ensuite, quelqu'un d'autre peut l'enregistrer. Il existe des acteurs qui enregistrent automatiquement les domaines libérés, justement parce qu'il y a encore du trafic dessus. Si le nouveau propriétaire configure un catch-all sur la messagerie, il reçoit tout ce que vos clients et fournisseurs envoient encore à vos anciennes adresses, y compris les e-mails de récupération de mot de passe.

Protection :

• activez le renouvellement automatique et maintenez vos coordonnées bancaires à jour ;
• répertoriez tous vos domaines dans une liste, y compris ceux que vous conservez « par précaution » ;
• ne résiliez jamais à la légère un ancien domaine qui a servi à la messagerie. Conservez-le, et sécurisez-le comme domaine sans messagerie (leçon 4.1).

Piratage : votre compte chez le bureau d'enregistrement et le code de transfert

Le chemin le plus rapide vers un domaine passe par le compte chez votre bureau d'enregistrement. Quiconque s'y connecte peut changer les serveurs de noms et ainsi rediriger d'un coup votre site web et votre messagerie. Traitez donc ce compte comme l'un des plus importants :

• activez l'authentification à deux facteurs (2FA) (module 2) ;
• n'accordez l'accès qu'aux personnes disposant d'un compte propre et des droits dont elles ont besoin (leçon 7.1). Votre créateur de site devrait de préférence avoir accès à la DNS, pas à l'ensemble du compte ;
• méfiez-vous du phishing autour de votre domaine. « Votre domaine expire aujourd'hui, payez ici » ou « confirmez vos données auprès de l'ICANN » sont des ruses connues. Ne passez jamais par le lien, connectez-vous vous-même chez votre bureau d'enregistrement.

Un code de transfert (aussi appelé code d'autorisation, code EPP ou token) est nécessaire pour transférer un domaine vers un autre bureau d'enregistrement. Considérez ce code comme une clé : ne le demandez que si vous transférez vous-même le domaine, ne le partagez qu'avec le nouveau bureau d'enregistrement, et soyez immédiatement vigilant si vous recevez une confirmation de transfert que vous n'attendiez pas.

Il existe également des verrous :

• Un verrou registrar (registrar-lock) met le statut clientTransferProhibited (souvent avec clientDeleteProhibited et clientUpdateProhibited). Le registry refuse alors un transfert tant que vous ou votre bureau d'enregistrement n'avez pas retiré le verrou. Pour .com et extensions similaires, c'est courant ; l'ICANN le recommande.
• Un verrou registry (registry lock) va plus loin : les modifications ne sont appliquées chez le registry lui-même qu'après un contrôle manuel supplémentaire auprès du titulaire. Pour .nl, ce service s'appelle .nl Control. Il est surtout destiné aux grandes marques et coûte un supplément ; pour la plupart des petites entreprises, la 2FA et un compte bien géré chez le bureau d'enregistrement suffisent.

Enregistrements orphelins et détournement de sous-domaine

C'est le risque le moins connu et le plus sournois. Un exemple concret (anonymisé) :

La Boulangerie Example a eu, de 2021 à 2024, une boutique en ligne sur winkel.example.com, avec un enregistrement CNAME pointant vers bakkerij-example.webwinkelplatform.example, et en 2024 la boulangerie a changé de prestataire et résilié son abonnement. L'enregistrement CNAME est resté en place. Un an plus tard, quelqu'un d'autre a créé une boutique sur la même plateforme sous le nom libéré bakkerij-example. À partir de ce moment, winkel.example.com affichait une fausse boutique, avec un certificat valide et sous le nom de la boulangerie.

Un enregistrement orphelin (dangling DNS) est un enregistrement DNS qui pointe vers quelque chose que vous ne gérez plus : un service résilié, un serveur cloud supprimé, une adresse IP entre-temps attribuée à quelqu'un d'autre. Si une autre personne peut revendiquer cette cible, on parle de détournement de sous-domaine (subdomain takeover). L'attaquant obtient un sous-domaine vous appartenant, et peut ainsi héberger des pages de phishing qui paraissent totalement authentiques, lisant parfois même les cookies de votre domaine principal.

Protection :

1. Résilier = d'abord retirer l'enregistrement DNS, ensuite résilier le service. Intégrez cela dans votre procédure de départ des services.
2. Passez en revue toute votre zone DNS une fois par an. Si vous ne savez pas à quoi sert un enregistrement, renseignez-vous. Faites une sauvegarde de la zone avant de supprimer quoi que ce soit.
3. Soyez particulièrement prudent avec les wildcards (*.example.com) qui pointent vers un service externe.

DNSSEC et CAA : des verrous supplémentaires

DNSSEC appose une signature numérique sur les réponses de votre DNS, afin qu'un résolveur puisse vérifier qu'elles sont authentiques et n'ont pas été falsifiées en chemin. Pour .nl, c'est activé par défaut chez de nombreux fournisseurs. Cela protège contre les réponses DNS falsifiées, pas contre un compte registrar compromis. Une explication en langage simple figure dans la leçon 8.1 de la formation DNS.

CAA est un enregistrement DNS dans lequel vous indiquez quelles autorités de certification sont autorisées à délivrer un certificat pour votre domaine (RFC 8659). Sans CAA, n'importe quel émetteur de confiance peut le faire. Avec CAA, vous compliquez la tâche d'un attaquant qui voudrait obtenir ailleurs un certificat pour votre nom. Si vous configurez CAA, pensez bien à inclure l'émetteur utilisé par votre hébergeur, sinon votre propre certificat ne pourra plus être renouvelé. Plus de détails dans la leçon 5.2 de la formation DNS.

En pratique : à quoi cela ressemble-t-il

Le statut et la date d'expiration de votre domaine figurent dans les données d'enregistrement publiques (RDAP, le successeur du whois). Un domaine .com affiche par exemple :

Statut :     client delete prohibited, client transfer prohibited, client update prohibited
Enregistrement : 2019-03-01
Expire :    2027-03-01
DNSSEC :    oui

Tous les registry n'affichent pas une date d'expiration : SIDN (.nl) ne la montre pas pour .nl dans le RDAP. Consultez alors votre bureau d'enregistrement. Chez WebOké, l'expiration, le renouvellement automatique, la quarantaine, DNSSEC et CAA figurent ensemble sur la carte Domaine / Santé e-mail de la page de domaine dans Mon WebOké, et dans les paramètres DNS se trouve un bouton pour créer une sauvegarde de votre zone. Chez d'autres fournisseurs, le fonctionnement est similaire.

Résumé

• Quiconque gère votre domaine reçoit votre messagerie et peut ainsi réinitialiser partout votre mot de passe.
• Maintenez les données du titulaire exactes, utilisez une adresse de titulaire en dehors du domaine lui-même et activez le renouvellement automatique.
• Protégez votre compte chez le bureau d'enregistrement avec la 2FA et des comptes individuels ; considérez le code de transfert comme une clé ; un verrou registrar bloque les transferts indésirables.
• Lors de la résiliation d'un service, retirez d'abord l'enregistrement DNS ; passez votre zone en revue chaque année pour repérer les enregistrements orphelins.
• DNSSEC protège contre les réponses DNS falsifiées, CAA limite qui peut délivrer des certificats pour votre domaine.

Quiz

Exercice

Exercice A4.3 : Vérifier la protection de votre domaine. Indiquez votre propre nom de domaine (si vous n'en avez pas, utilisez sidn.nl). Le programme récupère le statut et la date d'expiration auprès du registry (RDAP) et vérifie DNSSEC et CAA. Vous obtenez pour chaque point un résultat vert, orange ou rouge, ou un message informatif.

Exercice D4.3 : Liste des domaines et contrôle de zone. Établissez une liste de tous vos domaines avec le bureau d'enregistrement, le titulaire, la date d'expiration et qui y a accès. Passez ensuite en revue la zone DNS de votre domaine principal et déterminez pour chaque enregistrement à quoi il sert.

Pour aller plus loin

Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• E-mails d'ICANN ou du registre concernant votre domaine : vrais ou faux, et que devez-vous faire ?
• Guide WebOké 5.17: Santé du domaine et de l'e-mail : vérifier et corriger
• Créer et restaurer une sauvegarde de votre DNS
• Santé publique du domaine : https://www.weboke.lu/sante-du-domaine
• Formation DNS, leçons 1.3 (registry, bureau d'enregistrement et titulaire), 5.2 (CAA) et 8.1 (DNSSEC) : https://www.weboke.lu/dns-cursus
• ICANN, explication des codes de statut EPP (en anglais) : https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, résilier votre nom de domaine et la quarantaine : https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, détournement de sous-domaine (en anglais) : https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers