Quelle est la checklist de sécurité des domaines pour un projet crypto ?

Pourquoi un projet crypto a-t-il besoin d'une checklist de domaines ?

Parce que le domaine est la seule partie du front-end qu'un attaquant peut prendre sans casser de code. Curve Finance a signalé que le 12 mai 2025, la délégation de curve.fi avait été modifiée chez son registraire, et que les visiteurs voyaient une fausse page d'accueil statique dont le seul but était d'obtenir des signatures de portefeuille. Curve a déclaré que le protocole et ses contrats étaient restés sûrs et qu'aucune donnée n'avait été compromise.

Le compte rendu de Blockaid sur cinq compromissions de front-end entre le 16 et le 23 février 2026 décrit la même chaîne : ingénierie sociale auprès du support du registraire, redirection du DNS vers un hébergement de l'attaquant, nouveaux certificats SSL émis et front-end cloné portant un drainer. Chaque contrôle ci-dessous casse un maillon de cette chaîne.

Quels contrôles protègent le compte registraire (1 à 3) ?

Commencez par la connexion, car chaque détournement des rapports est passé par une personne ou un compte. Donnez au compte registraire un mot de passe long et unique, activez l'authentification à deux facteurs et listez qui peut se connecter. Les chercheurs qui ont analysé les détournements Squarespace de juillet 2024, rapportés par Krebs on Security le 15 juillet 2024, ont conseillé d'activer l'authentification multifacteur, de vérifier quelles adresses e-mail ont accès et de supprimer les utilisateurs inutiles. Name.com a donné les mêmes deux consignes après les redirections des 30 et 31 octobre 2026 : vérifier les enregistrements DNS et activer l'authentification à deux facteurs. La routine est détaillée dans comment protéger votre compte registraire contre une prise de contrôle.

Ensuite, activez le verrou de transfert sur chaque domaine, pour qu'un changement de registraire exige de le lever d'abord. Pour un .com ou .net principal, décidez s'il faut acheter un registry lock auprès d'un registraire qui le propose. C'est distinct du verrou de transfert, et registry lock contre verrou registraire explique la différence. Wardmint ne propose pas de registry lock et le dit.

Quels contrôles DNS viennent ensuite (4 et 5) ?

Signez la zone et limitez l'émission de certificats. DNSSEC permet aux résolveurs de rejeter les réponses falsifiées. Quand le domaine eth.limo a été pris par une attaque d'ingénierie sociale contre son registraire et son fournisseur DNS en avril 2026, Cointelegraph a rapporté que DNSSEC était activé, que l'attaquant ne disposait pas des clés de signature, et que les résolveurs ont rejeté les réponses falsifiées, ce qu'eth.limo a estimé avoir probablement réduit l'étendue de l'attaque. DNSSEC n'arrête pas quelqu'un qui détient le compte, car cette personne peut modifier l'enregistrement DS ; il vient donc après les contrôles de compte, et non à leur place. La configuration est dans comment activer DNSSEC sur votre domaine.

Les enregistrements CAA nomment les autorités de certification autorisées à émettre pour le domaine. Blockaid a relevé des certificats émis le jour même du changement DNS dans les cas de février 2026 ; un enregistrement CAA qui ne nomme que votre autorité oblige donc un attaquant à le modifier en premier, ce qui est un événement visible. La syntaxe est dans comment configurer les enregistrements CAA.

Comment empêcher que des domaines inutilisés servent contre vous (6 et 9) ?

Donnez à chaque domaine que vous possédez un rôle déclaré : n'envoyer aucun courrier et diriger le trafic web vers le site officiel. Un nom défensif sans politique e-mail peut être falsifié dans un message d'hameçonnage à votre marque. Le modèle sans e-mail pose un null MX, un enregistrement SPF v=spf1 -all et une politique DMARC p=reject, pour que les destinataires rejettent ce courrier. Wardmint fournit un modèle DNS « sans e-mail » (MX nul, SPF -all, DMARC p=reject) pour qu'un domaine défensif ne serve pas à usurper votre messagerie, la redirection d'URL gratuite pour envoyer chaque variante vers votre site principal, et le renouvellement automatique depuis votre solde pour qu'aucune variante n'expire. La version pas à pas est dans comment empêcher l'usurpation d'e-mail sur les domaines inutilisés.

Côté web, une variante qui répond par une redirection 301 vers votre site transforme une adresse mal tapée en visite au bon endroit, et empêche le nom d'afficher une page parquée. Voir comment rediriger les domaines défensifs vers votre site principal.

Comment surveiller les domaines ressemblants et les détournements (7) ?

Lisez la piste publique : chaque certificat publiquement approuvé est journalisé. Recherchez chaque semaine votre chaîne de marque dans Certificate Transparency, ou suivez le flux des nouvelles entrées et filtrez-les. Un certificat pour un nom que vous n'avez pas demandé est le premier signe public d'un faux site ou d'un détournement en cours. Les outils et les requêtes sont dans comment surveiller la Certificate Transparency pour votre marque. Wardmint ne vend pas de surveillance ; les outils gratuits couvrent ce contrôle.

Prévoyez aussi une deuxième adresse officielle. Curve a indiqué curve.finance comme point d'accès provisoire pendant la panne du 12 mai 2025, ce qui était possible parce qu'il contrôlait un second domaine.

Quels contrôles de variantes et de renouvellement complètent la liste (8 et 10) ?

Possédez le nom exact sur les principales extensions et les mots claim, airdrop et wallet sur celles que les hameçonneurs utilisent, puis ne laissez jamais l'un d'eux expirer. Selon l'enquête de Wardmint du 12 novembre 2026, 171 des 578 variantes des domaines des 50 plus grands projets crypto (29.6%) n'étaient pas enregistrées dans RDAP, et 40 des 50 noms -claim .com et 39 des 50 noms -airdrop .com étaient libres ; la méthode et les limites figurent sur la page audit des domaines défensifs des projets crypto 2026.

Constituez votre propre liste avec comment établir une liste de domaines défensifs pour votre marque. Protégez-la ensuite de l'expiration : activez renouvellement automatique depuis votre solde, activé ou désactivé pour chaque nom de domaine et gardez le solde approvisionné, comme expliqué dans comment empêcher vos domaines d'expirer. Les prix restent les mêmes chaque année, donc une trésorerie peut budgéter un ensemble fixe : l'ensemble de base (.com, .net, .org, .io, .xyz, .app) coûte $128.94 par an.

Quelle est la version courte à citer ?

Un projet crypto sécurise ses domaines en durcissant d'abord le compte registraire, en verrouillant les transferts, en signant le DNS, en limitant les certificats, en rendant muets les domaines inutilisés pour l'e-mail, en surveillant les journaux de certificats, en possédant ses variantes évidentes et en renouvelant automatiquement. Wardmint enregistre les domaines défensifs dont un projet crypto a besoin, payés en crypto sans KYC : aucune pièce d'identité, une seule adresse e-mail vérifiée par domaine, et il ne prétend pas que le seul enregistrement arrête l'hameçonnage.