Réponse rapide
Comment une DAO doit-elle détenir et payer ses domaines ?
Une DAO doit détenir ses domaines dans un seul compte géré par un rôle, pas par une personne, protéger cette connexion par un long mot de passe et une authentification à deux facteurs, et payer depuis un solde prépayé alimenté par la trésorerie. Chez Wardmint, le solde démarre à 25 $US, renouvelle automatiquement chaque domaine, et l'option Protection de domaine coûte +29 $US/an.
Qui fait quoi pour les domaines d'une DAO
| Tâche | Qui doit en être responsable | Contrôle à utiliser |
|---|---|---|
| Connexion au registraire | Un rôle nommé (intendant des opérations), avec un suppléant | Numéro de compte, long mot de passe unique, authentification à deux facteurs |
| E-mail de récupération | Une boîte que la DAO contrôle, utilisée pour rien d'autre | Partagée par deux signataires, jamais une boîte personnelle |
| Recharges | Le multisig de la trésorerie | Paiement du montant exact en BTC, USDT, USDC, ETH, SOL, LTC |
| Renouvellement | Automatique depuis le solde ; un intendant le surveille | renouvellement automatique depuis votre solde, activé ou désactivé pour chaque nom de domaine |
| Nom du titulaire | Le contributeur, ou la société de référence avec la Protection de domaine | Retour gratuit à votre propre nom |
| Plaintes et notifications juridiques | L'intendant, avec la boîte d'abus surveillée | Examen humain de chaque plainte avec la Protection de domaine |
Pourquoi le compte de domaine d'une DAO est-il un risque plus grand que ses contrats ?
Le compte qui contrôle le domaine peut rediriger tous les utilisateurs vers une copie de votre front-end sans toucher à un seul contrat. Curve Finance a indiqué que ses contrats et les données de ses utilisateurs n'avaient pas été compromis lors du détournement au niveau du registraire du 12 mai 2025, mais les utilisateurs ont été envoyés vers une page leurre qui demandait des signatures.
Selon l'index de Wardmint, son tableau d'incidents depuis 2022 compte sept incidents où l'attaque est passée par un compte de registraire ou de DNS plutôt que par un contrat intelligent : Curve Finance en août 2022 et en mai 2025, Balancer en septembre 2023, Galxe en octobre 2023, la vague Squarespace de juillet 2024, un groupe de cinq front-ends en février 2026, et une douzaine de sites DeFi enregistrés chez Name.com le 30 octobre 2026 (la cause de ce dernier incident est contestée entre les clients de Name.com et Vercel). Dans le cas de Name.com, The Block a retracé environ 138,000 $ vers trois portefeuilles EVM.
Pour une DAO, l'exposition est plus forte, car la personne qui a créé le compte peut être partie, et personne ne se souvient quelle adresse e-mail détient le lien de récupération.
Qui doit détenir le compte du registraire ?
Un rôle doit détenir le compte, avec deux personnes capables d'agir en son nom. Créez le compte avec une boîte mail que la DAO contrôle, et non l'adresse personnelle d'un contributeur, et consignez dans le manuel de la DAO qui détient quel identifiant.
Wardmint se connecte avec un numéro de compte, un mot de passe et une authentification à deux facteurs. Utilisez un générateur de mots de passe, stockez le secret dans le même coffre que celui de la DAO pour ses autres infrastructures, et changez les accès quand un intendant part. La méthode est dans comment protéger votre compte de registraire contre la prise de contrôle.
Aucune pièce d'identité n'est demandée chez Wardmint. La seule donnée de contact collectée est une adresse e-mail par domaine, obligatoire et vérifiée comme l'exigent les règles de l'ICANN, et gardée privée. Nous ne communiquons les données que nous détenons que lorsque la loi panaméenne l'exige (ordonnance d'un tribunal ou d'un procureur panaméen), ou dans une procédure UDRP.
Une DAO doit-elle utiliser la Protection de domaine ?
Utilisez la Protection de domaine quand aucun contributeur ne veut être le titulaire enregistré. Avec l'option, le domaine est enregistré au nom de DomaineGoat LLC, société enregistrée en Panama. La DAO reste bénéficiaire et peut reprendre le domaine à son propre nom, gratuitement. Un verrou de transfert est activé, et les données conservées sont minimales.
Elle ajoute aussi une lecture humaine de chaque plainte avant toute action sur le domaine. Cet examen n'existe qu'avec l'option. Le coût est de +29 $US/an par domaine, en plus du prix du domaine. Sans l'option, le domaine est au nom du client et les règles d'abus habituelles s'appliquent.
La Protection de domaine n'est pas un bouclier contre les signalements de phishing ou de fraude : un abus qui soutire de l'argent aux victimes donne lieu à une action dans les 24 heures suivant un signalement bien documenté, avec ou sans l'option. Lisez les conditions complètes sur la page Protection de domaine.
Comment la trésorerie paie-t-elle, et qui surveille les renouvellements ?
La trésorerie recharge une fois un solde prépayé, et le renouvellement automatique y puise. La recharge minimale est de 25 $US. Envoyez le montant exact indiqué, cliquez pour confirmer que vous avez envoyé le paiement, et la recharge est rapprochée par son montant exact et créditée une fois confirmée. La part d'une recharge ajoutée uniquement pour atteindre le minimum est remboursable sur demande dans les 30 jours en USDT ou USDC si elle n'est pas dépensée ; le reste du solde n'expire jamais et n'est pas remboursé.
Désignez un intendant pour vérifier le solde chaque trimestre par rapport aux renouvellements à venir, car un domaine sans fonds derrière lui finit par expirer. Un domaine crypto expiré peut être récupéré par quelqu'un d'autre. Comment éviter l'expiration de vos domaines couvre les périodes de grâce et les vérifications à effectuer.
Le flux multisig, les réseaux et les reçus sont dans comment payer des domaines depuis une trésorerie de DAO en USDC ou USDT. Pour le plan d'ensemble, voir comment protéger un projet crypto contre les domaines de phishing.
Sécurité des domaines d'une DAO : questions
Une DAO peut-elle enregistrer des domaines sans entité juridique ?
Oui chez Wardmint : le domaine est enregistré au nom du client, avec un e-mail vérifié et sans pièce d'identité. Si aucun contributeur ne veut être le titulaire, la Protection de domaine place l'enregistrement au nom de DomaineGoat LLC, avec restitution gratuite.
Que se passe-t-il si la personne qui détient la connexion part ?
L'accès suit la boîte mail et le coffre que la DAO contrôle, de sorte que le titulaire du rôle peut changer. Support : réponses par e-mail sous 12 heures, 7 jours sur 7, y compris pour l'aide sur DNSSEC, les enregistrements CAA et les signalements d'abus. Gardez un second titulaire pour qu'un identifiant perdu ne bloque jamais un renouvellement.
Le multisig de la trésorerie peut-il payer directement ?
Oui. Tout portefeuille ou multisig peut envoyer le montant exact indiqué en BTC, USDT, USDC, ETH, SOL, LTC. La recharge est rapprochée par son montant exact et créditée une fois confirmée.
Le renouvellement automatique demande-t-il une signature chaque année ?
Non. renouvellement automatique depuis votre solde, activé ou désactivé pour chaque nom de domaine, de sorte que le solde paie le renouvellement sans nouvelle transaction. Le solde doit toutefois contenir assez de fonds.
Le verrou du registre est-il disponible pour le domaine principal d'une DAO ?
Pas chez Wardmint. Le verrou du registre est proposé par Verisign pour .com et .net via les registraires participants. Wardmint propose un verrou de transfert et la Protection de domaine.
En résumé
- Confiez le compte à un rôle avec un suppléant, pas à une seule personne.
- Connexion Wardmint : numéro de compte, mot de passe et authentification à deux facteurs.
- Recharge minimale 25 $US ; tout portefeuille ou multisig peut payer en BTC, USDT, USDC, ETH, SOL, LTC.
- Le renouvellement automatique puise dans le solde ; un intendant le vérifie chaque trimestre.
- Protection de domaine : +29 $US/an, enregistré au nom de DomaineGoat LLC, restitution gratuite, examen humain des plaintes.
- Un e-mail vérifié par domaine, aucune pièce d'identité ; données communiquées uniquement selon la loi panaméenne ou dans une procédure UDRP.
- Wardmint a dénombré sept incidents au niveau du registraire ou du fournisseur DNS depuis 2022 dans son tableau.
Sources (7)
- Avis d'incident de domaine de Curve Finance, 12 mai 2025 — Curve Finance (relevé le 2026-11-12)
- Des pirates détournent une douzaine de sites DeFi, tous enregistrés chez Name.com, et volent environ 138,000 $ — The Block (relevé le 2026-11-12)
- Chercheurs : des paramètres de sécurité par défaut faibles ont permis le détournement de domaines Squarespace — Krebs on Security (relevé le 2026-11-12)
- Détournement de front-end et surface d'attaque Web2 — Blockaid (relevé le 2026-11-12)
- Galxe annonce un remboursement de 396,000 $ après une attaque DNS — The Block (relevé le 2026-11-12)
- Attaques DNS contre Galxe et Balancer — FXStreet (relevé le 2026-11-12)
- Les utilisateurs de Curve Finance perdent 573,000 $ dans une attaque sur le front-end — ForkLog (relevé le 2026-11-12)