Prévention du détournement de domaine : comment protéger votre domaine contre le vol

Chaque année, des milliers de noms de domaine sont volés par une pratique connue sous le nom de détournement de domaine. Selon le Comité consultatif sur la sécurité et la stabilité d'ICANN, les transferts de domaine non autorisés restent l'une des catégories d'abus les plus signalées, avec des incidents touchant des entreprises de toutes tailles. Les conséquences vont bien au-delà de la perte d'une adresse web. Un domaine détourné peut rediriger vos clients vers des sites de phishing, détruire des années de classement SEO et anéantir la crédibilité de votre marque du jour au lendemain. La bonne nouvelle est que le détournement de domaine est largement évitable. Avec la bonne combinaison de paramètres de registrar, de pratiques d'authentification et de surveillance continue, vous pouvez rendre vos domaines extrêmement difficiles à voler. Ce guide vous accompagne à travers les étapes spécifiques pour sécuriser votre portefeuille de domaines.

Qu'est-ce que le détournement de domaine ?

Le détournement de domaine est le transfert non autorisé d'un nom de domaine hors du contrôle de son propriétaire légitime. Les attaquants prennent le contrôle en exploitant la faiblesse de la sécurité du compte registrar, en manipulant le personnel de support du registrar par ingénierie sociale, ou en profitant de domaines expirés. Une fois le domaine transféré vers un nouveau registrar sous le contrôle de l'attaquant, la récupération peut prendre des semaines ou des mois, et nécessite parfois une action en justice. La politique de résolution des litiges de transfert d'ICANN existe à cet effet, mais le processus est lent et le succès n'est pas garanti.

L'impact d'un détournement réussi est sévère. Les entreprises perdent la fonctionnalité de messagerie, le trafic du site web tombe à zéro et les clients peuvent être exposés à du contenu malveillant diffusé depuis le domaine volé. En 2023, des chercheurs en sécurité de Palo Alto Networks ont documenté plusieurs cas où des domaines détournés ont été réutilisés pour des campagnes de phishing dans les heures suivant la finalisation du transfert. Pour les organisations qui s'appuient sur leur domaine pour l'authentification des e-mails via les enregistrements SPF et DKIM, un événement de détournement peut également compromettre la sécurité de chaque e-mail précédemment envoyé depuis ce domaine.

Méthodes courantes de détournement de domaine

Comprendre comment les attaquants volent les domaines est la première étape pour s'en prémunir. La plupart des incidents de détournement de domaine n'impliquent pas de piratage sophistiqué. Ils exploitent plutôt les erreurs humaines, une authentification faible ou des lacunes procédurales chez les registrars. L'ingénierie sociale est le vecteur le plus courant : les attaquants se font passer pour le propriétaire du domaine lorsqu'ils contactent le support du registrar. Mais il existe plusieurs autres méthodes tout aussi dangereuses qui méritent d'être comprises en détail.

• Ingénierie sociale - Les attaquants appellent ou envoient un e-mail au support du registrar en se faisant passer pour le propriétaire du domaine, utilisant les données WHOIS publiques pour répondre aux questions de vérification
• Vol d'identifiants - Des e-mails de phishing imitant les pages de connexion du registrar piègent les propriétaires de domaines pour qu'ils révèlent leur nom d'utilisateur et mot de passe
• Capture de domaine expiré - Lorsqu'un domaine expire à cause d'un renouvellement manqué, les attaquants l'enregistrent immédiatement pendant la période de libération
• Compromission du compte e-mail - Si l'adresse e-mail associée au compte registrar est compromise, les attaquants peuvent réinitialiser le mot de passe du registrar et en prendre le contrôle total
• Vulnérabilités du registrar - Occasionnellement, les registrars eux-mêmes présentent des failles de sécurité permettant un accès non autorisé aux panneaux de gestion des domaines
• Détournement DNS - Plutôt que de transférer le domaine, les attaquants modifient les enregistrements DNS pour rediriger le trafic pendant que le propriétaire détient encore techniquement le domaine

Le rôle des verrous de transfert

Les verrous de transfert constituent votre première ligne de défense contre les transferts de domaine non autorisés. Lorsqu'un domaine a le code de statut clientTransferProhibited activé, le registre rejettera toute demande de transfert tant que le verrou n'est pas explicitement retiré par le registrar actuel. Cela signifie que même si un attaquant accède à votre compte registrar, il doit encore effectuer l'étape supplémentaire de déverrouillage du domaine avant d'initier un transfert. Cette étape supplémentaire crée une fenêtre pendant laquelle les outils de surveillance peuvent détecter le changement et vous alerter. Bien qu'ils soient gratuits et disponibles chez pratiquement tous les registrars, un nombre surprenant de domaines restent déverrouillés.

Les verrous de registre, également appelés serverTransferProhibited, offrent une couche de protection encore plus robuste. Contrairement aux verrous côté client qui peuvent être retirés via le panneau de contrôle du registrar, les verrous de registre nécessitent une vérification directe auprès de l'opérateur du registre, généralement via un processus manuel en plusieurs étapes. Le service Registry Lock de Verisign pour les domaines .com et .net, par exemple, exige une vérification téléphonique d'un contact pré-autorisé avant que toute modification puisse être effectuée. Cela rend les transferts non autorisés pratiquement impossibles. L'inconvénient est le coût, car les verrous de registre ajoutent généralement de 25 à 300 dollars par an selon le TLD, ainsi que le désagrément d'un traitement plus long pour les transferts intentionnels.

Liste de contrôle de sécurité pour la protection des domaines

Protéger vos domaines nécessite une approche multicouche. Aucune mesure unique n'est suffisante à elle seule, mais la combinaison de plusieurs dispositifs de sécurité rend le détournement extrêmement improbable. La liste de contrôle suivante couvre les étapes essentielles que chaque propriétaire de domaine devrait suivre, classées approximativement des plus critiques aux complémentaires. Si vous ne faites que trois choses, activez les verrous de transfert, utilisez l'authentification à deux facteurs et configurez la confidentialité WHOIS. Ces trois mesures à elles seules déjoueront la majorité des tentatives de détournement.

• Activez clientTransferProhibited sur chaque domaine via le panneau de contrôle de votre registrar
• Activez l'authentification à deux facteurs sur votre compte registrar, de préférence avec une application d'authentification plutôt que par SMS
• Activez la protection de confidentialité WHOIS pour empêcher vos coordonnées d'apparaître dans les registres WHOIS publics
• Utilisez une adresse e-mail dédiée et sécurisée pour votre compte registrar, qui n'est utilisée nulle part ailleurs
• Envisagez les services de verrou de registre pour vos domaines les plus précieux
• Activez les notifications de modification de compte registrar afin de recevoir des alertes pour toute modification
• Passez en revue les contacts autorisés sur votre compte registrar chaque trimestre et supprimez toute personne n'ayant plus besoin d'accès
• Renouvelez l'enregistrement de vos domaines bien à l'avance, au moins 60 jours avant l'expiration
• Documentez votre portefeuille de domaines avec les identifiants de registrar stockés dans un gestionnaire de mots de passe

Surveillance des modifications non autorisées

Même avec des mesures préventives solides en place, la surveillance ajoute une couche de détection essentielle. Si un attaquant parvient à contourner vos verrous et votre authentification, les outils de surveillance peuvent vous alerter des modifications non autorisées avant que les dégâts ne deviennent permanents. Le processus de transfert d'ICANN inclut une période d'attente obligatoire de 5 jours pour la plupart des transferts de gTLD, ce qui vous offre une fenêtre étroite pour vous opposer. Mais vous ne pouvez utiliser cette fenêtre que si vous savez qu'un transfert est en cours. Des services comme DomainExpiryCheck.com détectent quand le statut de verrouillage de transfert d'un domaine change, vous offrant un signal d'alerte précoce. Vous devriez également surveiller les enregistrements DNS de votre domaine, les données d'enregistrement WHOIS et les paramètres de serveurs de noms pour détecter tout changement inattendu. La mise en place d'alertes automatisées pour ces points de données signifie que vous n'avez pas à vérifier manuellement chaque domaine chaque jour. Pour les portefeuilles importants, ce type de surveillance n'est pas facultatif, c'est indispensable. Combinez la surveillance externe avec le système de notification intégré de votre registraire, et vous aurez créé un filet de sécurité qui intercepte la plupart des tentatives de détournement dès leurs premières étapes.