Contenu de l'article :
📌 En bref
- Le domain hijacking est automatisé en 2026 — aucun site n’est trop petit pour être ciblé
- Registrar lock + 2FA + WHOIS privé : gratuit et activable en 10 minutes
- Dépôt de marque INPI (190 €, 10 ans) : la base juridique indispensable
- Procédures SYRELI et UDRP : récupérer un domaine usurpé en 2 à 3 mois
Dans le monde tech, un nom de domaine n’est pas qu’une adresse web : c’est un actif stratégique qui concentre votre référencement, votre notoriété et la confiance de vos utilisateurs. Le perdre, c’est comme se faire voler les clés de son datacenter. La protection nom de domaine est un sujet que tout éditeur de site, du blogueur tech à la startup SaaS, doit maîtriser en 2026.
Les menaces qui pèsent sur votre nom de domaine
Domain hijacking : le vol pur et simple
L’attaquant accède à votre compte registrar (phishing, credential stuffing, ingénierie sociale) et transfère le domaine vers un autre titulaire. En quelques heures, votre site pointe vers un serveur inconnu. Les conséquences : perte de trafic, vol de données utilisateurs, atteinte à la réputation.
Typosquatting : l’attaque silencieuse
Un tiers enregistre des variantes de votre domaine (lettre manquante, doublée, extension différente) pour détourner votre trafic vers des pages publicitaires, des sites concurrents ou des pages de phishing imitant votre interface.
Cybersquatting : la spéculation hostile
Quelqu’un enregistre un domaine correspondant à votre marque pour vous le revendre à prix d’or. Illégal mais fréquent, surtout pour les marques tech en croissance rapide qui n’ont pas encore protégé toutes les extensions.
Expiration non surveillée
Un domaine oublié qui expire est immédiatement racheté par des robots de backorder. Vous perdez l’adresse, le SEO accumulé et parfois même la capacité de la récupérer si le nouveau propriétaire refuse de vendre.
Les défenses techniques de la protection nom de domaine
Registrar Lock
Bloque tout transfert ou modification DNS sans déverrouillage manuel. Gratuit, activable en un clic chez tous les registrars. Vérifiez qu’il est actif sur chacun de vos domaines — c’est souvent désactivé par défaut après un transfert entrant.
Registry Lock
Ajoute une validation humaine par le registre (AFNIC, Verisign) avant toute modification. Coût : 50 à 200 €/an. Pour les domaines critiques (site principal, SaaS en production), c’est l’équivalent du coffre-fort pour vos clés privées.
Double authentification (2FA)
TOTP via application (Authy, Google Authenticator) sur le compte registrar. Obligatoire. Le SMS est vulnérable au SIM swapping — technique où l’attaquant duplique votre carte SIM auprès de l’opérateur. Pour les comptes critiques, envisagez une clé FIDO2 (YubiKey).
WHOIS privé / RDAP
Masque vos coordonnées personnelles dans l’annuaire public. Réduit le risque d’ingénierie sociale et assure la conformité RGPD. La plupart des registrars français l’incluent gratuitement.
DNSSEC
Signe cryptographiquement les enregistrements DNS pour empêcher le DNS spoofing (redirection vers un faux serveur). Encore peu déployé mais de plus en plus supporté par les registrars et les résolveurs DNS majeurs.
| Mesure | Coût | Protection | Contre |
|---|---|---|---|
| Registrar Lock | Gratuit | ★★★★ | Transfert non autorisé |
| Registry Lock | 50-200 €/an | ★★★★★ | Hijacking avancé |
| 2FA / FIDO2 | Gratuit | ★★★★★ | Accès piraté au compte |
| WHOIS privé | 0-10 €/an | ★★★ | Ingénierie sociale |
| DNSSEC | Gratuit | ★★★★ | DNS spoofing |
| Marque INPI | 190 € (10 ans) | ★★★★★ | Cybersquatting |
Protection juridique : marque et procédures de récupération
Dépôt de marque à l’INPI
190 € pour une classe, protection 10 ans renouvelable. C’est votre arme juridique principale. Sans marque déposée, prouver vos droits face à un cybersquatteur relève du parcours du combattant. Avec, le taux de succès des procédures dépasse 80 %.
SYRELI (domaines .fr)
Procédure AFNIC. Coût : 250 € HT. Délai : 2 à 3 mois. Vous devez démontrer l’atteinte à vos droits. Solution la plus rapide et économique pour les .fr.
UDRP (domaines .com/.net/.org)
Procédure OMPI. Coût : 1 500 à 5 000 $. Trois conditions : similitude avec votre marque, absence d’intérêt légitime du titulaire, enregistrement de mauvaise foi. Délai similaire.
URS (Uniform Rapid Suspension)
Version accélérée de l’UDRP pour les nouveaux gTLD (.tech, .io, .app). Coût réduit (~375 $), délai plus court, mais le domaine est simplement suspendu, pas transféré. Utile pour stopper rapidement une usurpation en attendant une procédure complète.
✅ Stack de protection idéal
- Marque INPI dès le MVP
- .fr + .com + .io/.tech si pertinent
- Registrar lock + registry lock (domaine principal)
- 2FA TOTP ou clé FIDO2
- DNSSEC activé
- Monitoring typosquatting automatisé
❌ Vulnérabilités classiques
- Pas de marque = aucun levier juridique
- Domaine au nom du freelance/agence
- Registrar lock désactivé après transfert
- 2FA par SMS uniquement
- Renouvellement manuel oublié
- Aucune veille sur les domaines similaires
Anti-typosquatting : stratégie technique
Cartographier les variantes
Générez automatiquement les permutations de votre domaine (outils : dnstwist, URLCrazy) : lettres adjacentes inversées, homoglyphes, extensions alternatives. Identifiez les 5-10 variantes les plus risquées.
Enregistrer et rediriger
Achetez les 2-3 variantes les plus probables et redirigez-les en 301. Coût : 10-50 €/variante/an. Pour les marques tech, enregistrez aussi le .io, le .tech et le .app si pertinent.
Monitoring automatisé
DomainTools, Nameshield, CSC ou des outils open source (dnstwist en cron) alertent dès qu’un domaine similaire est enregistré ou qu’un certificat SSL est émis pour une variante — signe précurseur de phishing.
🧮 Estimateur budget protection domaine
Calculez votre investissement sécurité :
FAQ sur la protection nom de domaine
Mon domaine a été hijacké, quelle est la procédure d’urgence ?
Contactez le registrar pour geler le domaine. Déposez plainte (THESEE). Lancez SYRELI (.fr) ou UDRP (.com). Prévenez vos utilisateurs si risque de phishing. Avec marque déposée, taux de récupération > 80 %.
DNSSEC est-il vraiment utile ?
Oui, il protège contre le DNS spoofing (cache poisoning). En 2026, les résolveurs DNS majeurs (Google, Cloudflare, Quad9) valident DNSSEC. L’activation est gratuite chez la plupart des registrars. Seul bémol : la gestion des clés lors des transferts.
Clé FIDO2 ou TOTP pour le 2FA ?
La clé FIDO2 (YubiKey, SoloKey) est plus sûre car résistante au phishing — elle vérifie l’origine du site. Le TOTP (Authy, Google Authenticator) reste vulnérable aux attaques MitM sophistiquées. Pour les domaines critiques, FIDO2 est le standard recommandé.
Quelle différence entre SYRELI et UDRP ?
SYRELI : AFNIC, .fr uniquement, 250 €, 2-3 mois. UDRP : OMPI, .com/.net/.org, 1 500-5 000 $, 2-3 mois. URS : gTLD récents, ~375 $, plus rapide mais suspension seulement (pas transfert).
Comment détecter du typosquatting sur ma marque ?
Utilisez dnstwist (open source) pour générer les permutations et vérifier lesquelles sont enregistrées. Pour un monitoring continu, abonnez-vous à DomainTools ou Nameshield. Surveillez aussi les Certificate Transparency Logs pour les SSL émis sur des variantes.
