Protéger votre nom de domaine : expiration, code de transfert, verrou de transfert et enregistrements DNS oubliés

Quiconque gère votre nom de domaine reçoit aussi les e-mails envoyés à ce domaine. Et avec ces e-mails, il peut cliquer sur « mot de passe oublié » pour presque tous vos autres comptes : votre comptabilité, votre banque, votre boutique en ligne, vos réseaux sociaux. C'est pourquoi votre nom de domaine est l'un de vos biens les plus importants. Dans cet article, vous découvrirez comment le protéger contre l'expiration, le détournement et les enregistrements DNS oubliés, et ce que vous devez configurer pour cela dans Mon WebOké.

Ne laissez pas votre domaine expirer

Les domaines sont le plus souvent perdus parce qu'ils ne sont pas renouvelés à temps, par exemple à cause d'une carte de paiement expirée ou d'une facture arrivée chez un collègue qui a quitté l'entreprise. Le domaine est alors mis hors ligne et, après un certain temps, il redevient disponible pour tout le monde. Celui qui l'enregistre ensuite reçoit les e-mails encore envoyés à vos anciennes adresses.

• Sur la page du domaine dans Mon WebOké, laissez l'option Renouvelé chaque année activée. C'est le réglage par défaut. Consultez Renouvellement et renouvellement automatique.
• Si vous réglez vos factures de renouvellement par prélèvement automatique, une facture oubliée ne pourra pas vous coûter votre domaine.
• Tenez une liste de tous vos domaines, y compris ceux que vous avez enregistrés uniquement par précaution.
• Ne résiliez pas à la légère un ancien domaine que vous avez utilisé autrefois pour vos e-mails. Conservez-le et verrouillez-le en tant que domaine qui n'envoie pas d'e-mails (voir ci-dessous).

C'est quand même arrivé ? Un domaine .nl reste en quarantaine pendant 40 jours après sa suppression. Pendant cette période, seul le dernier titulaire peut le récupérer. Pour savoir comment cela fonctionne, y compris pour les autres extensions, consultez Récupérer un domaine expiré ou résilié : quarantaine et période de restauration.

Vérifiez le titulaire et l'adresse e-mail du titulaire

Le titulaire est le propriétaire juridique du domaine. Si votre créateur de site, un ancien employé ou une entreprise qui n'existe plus y figure, il vous sera difficile, en cas de litige, de prouver que le domaine vous appartient. Vérifiez donc :

• que votre entreprise est bien enregistrée comme titulaire, avec le nom correct ;
• que l'adresse e-mail du titulaire fonctionne et qu'elle n'est pas hébergée sur le domaine lui-même. Si les e-mails de votre domaine ne fonctionnent plus, les avertissements concernant ce domaine ne vous parviendront pas non plus. Utilisez donc une adresse sur un autre domaine ;
• que vous avez confirmé l'adresse e-mail lorsque cela vous a été demandé. Pour de nombreuses extensions, c'est obligatoire. Si vous ne le faites pas, le domaine peut être suspendu. Sur la carte Santé domaine / e-mail de la page du domaine, vous voyez sous Confirmation du titulaire si la confirmation a réussi, et vous pouvez demander le renvoi de l'e-mail de confirmation.

Vous recevez un e-mail de l'ICANN ou du registre au sujet de votre domaine ? Lisez d'abord E-mails de l'ICANN ou du registre concernant votre domaine : authentiques ou frauduleux, et que faire ?. Ce type d'e-mail est aussi souvent imité.

Protégez votre compte, le code de transfert et le verrou de transfert

Toute personne qui accède à votre compte Mon WebOké peut modifier les nameservers ou le DNS de votre domaine et ainsi rediriger votre site web et vos e-mails. Traitez donc ce compte comme l'un de vos plus importants :

• Activez la vérification en deux étapes. Consultez Configurer la vérification en deux étapes dans Mon WebOké et une application d'authentification.
• Ne vous connectez jamais via un lien contenu dans un e-mail concernant votre domaine (« votre domaine expire aujourd'hui, payez ici »). Rendez-vous vous-même sur Mon WebOké. Consultez également Reconnaître le phishing : comment lire un lien et un expéditeur.

Le code de transfert (aussi appelé code EPP ou code d'autorisation) est la clé de votre domaine : quiconque le possède peut transférer le domaine vers un autre fournisseur. Ne le demandez que si vous effectuez vous-même un transfert, et ne le communiquez qu'au fournisseur vers lequel vous partez. Si vous recevez une confirmation de transfert inattendue, contactez-nous immédiatement.

Un verrou de transfert (transfer-lock) bloque les transferts que vous n'avez pas demandés : tant que le verrou est activé, le registre refuse le transfert. Vous le trouverez sur la page du domaine, dans la carte Avancé, sous Verrou de transfert. Si vous restez chez WebOké, laissez le verrou activé. Toutes les extensions ne disposent pas d'un verrou de transfert. Pour les extensions .nl, .eu, .be et .nu, entre autres, c'est le code de transfert lui-même qui assure la sécurité. Pour en savoir plus, consultez Transférer un domaine vers un autre fournisseur : code de transfert (EPP) et verrou de transfert.

Supprimez les enregistrements DNS oubliés

Un enregistrement orphelin est un enregistrement DNS qui pointe vers quelque chose que vous n'utilisez plus : une boutique en ligne résiliée, un serveur supprimé ou un service que vous avez quitté. Si quelqu'un d'autre peut s'approprier cette cible, par exemple en créant une boutique portant le même nom sur la même plateforme, votre sous-domaine affiche soudainement ses pages, sous votre nom. C'est ce qu'on appelle le détournement de sous-domaine.

• Vous résiliez un service ? Supprimez d'abord l'enregistrement DNS qui pointe vers ce service, puis résiliez le service.
• Une fois par an, passez en revue tous les enregistrements dans Mes domaines, onglet DNS. Si vous ne savez pas à quoi sert un enregistrement, renseignez-vous. Faites d'abord une sauvegarde de votre DNS, consultez Sauvegarder et restaurer votre DNS.
• Soyez prudent avec un enregistrement wildcard (*) qui pointe vers un service externe.

Un domaine qui n'envoie pas d'e-mails : verrouillez-le

Vous possédez un domaine qui n'envoie ni ne reçoit jamais d'e-mails, comme un nom de marque que vous avez uniquement enregistré ou un ancien domaine ? Les fraudeurs aiment utiliser ce type de domaine comme expéditeur, car personne ne les surveille. Avec trois enregistrements, vous indiquez clairement qu'aucun e-mail ne doit provenir de ce domaine ni y arriver :

MX    @        0 .
TXT   @        v=spf1 -all
TXT   _dmarc   v=DMARC1; p=reject

L'enregistrement MX avec 0 . (un null MX) indique qu'aucun e-mail n'est reçu sur ce domaine. -all indique qu'aucun serveur n'est autorisé à envoyer des e-mails au nom du domaine, et p=reject demande aux destinataires de refuser les e-mails qui utilisent malgré tout ce domaine comme expéditeur. Ne le faites que s'il n'existe réellement aucune boîte mail, aucune redirection ni aucun service qui utilise ce domaine pour les e-mails. Pour un tel domaine, la carte Santé domaine / e-mail affiche un point rouge à côté de MX. Pour un domaine qui ne reçoit jamais d'e-mails, c'est normal. Si vous n'arrivez pas à effectuer la configuration, créez un ticket.

Verrous supplémentaires : DNSSEC et CAA

DNSSEC appose une signature numérique sur les réponses de votre DNS, afin que personne ne puisse les falsifier en cours de route. Il ne protège pas contre une personne qui se connecte à votre compte. CAA est un enregistrement DNS qui indique quelles autorités de certification sont autorisées à émettre un certificat pour votre domaine. Si vous ajoutez un enregistrement CAA, incluez également l'autorité qui a émis le certificat que vous utilisez actuellement, sinon ce certificat ne pourra plus être renouvelé.

Pour savoir si DNSSEC et CAA sont correctement configurés pour votre domaine, consultez la carte Santé domaine / e-mail sur la page du domaine, ou utilisez l'outil public Santé du domaine. Consultez également Santé du domaine et des e-mails : vérifier et corriger.

Vous souhaitez en savoir plus ? Suivez le cours gratuit Sécurité en ligne, leçon 4.3 Protéger votre nom de domaine.