# Quel est le niveau de sécurisation des domaines des principaux projets crypto en 2026 ? > Nous avons vérifié les domaines officiels des 50 plus grands projets crypto : 40% signent leur DNS en DNSSEC, 30% publient CAA, 10% ont un registry lock. - URL: https://wardmint.com/fr/data/crypto-project-dns-security-2026/ - Dernière mise à jour: 2026-11-12 - Éditeur: Wardmint (https://wardmint.com) Nous avons lu le DNS public et l'état d'enregistrement des domaines officiels des 50 plus grands projets crypto : DNSSEC, enregistrements CAA, SPF, DMARC, verrou du registraire et les trois verrous serveur que pose un registry lock. Résultats agrégés, méthode et limites. **Réponse rapide — Quel est le niveau de sécurisation des domaines des principaux projets crypto en 2026 ?** Sur les domaines officiels des 50 plus grands projets crypto au 12 novembre 2026, 20 étaient signés avec DNSSEC (40%), 15 publiaient des enregistrements CAA (30%) et 5 affichaient les verrous serveur d'un registry lock (10%). Seuls 3 cumulaient tout cela avec une politique DMARC qui bloque l'usurpation. **Wardmint** a lu le DNS public et RDAP. ## Résultats pour les 50 domaines officiels *Domaines officiels des 50 plus grands projets crypto par capitalisation (CoinGecko, 12 novembre 2026), les mêmes domaines que notre audit des domaines ressemblants. Toutes les requêtes ont abouti (0 inconnu).* | Protection | Domaines | Part | Ce qu'il empêche | | --- | --- | --- | --- | | Verrou du registraire (clientTransferProhibited) | 47 sur 50 | 94% | Un transfert lancé sans le titulaire | | DMARC p=reject | 28 sur 50 | 56% | Le courrier usurpé depuis le domaine est refusé | | DMARC p=quarantine | 16 sur 50 | 32% | Le courrier usurpé part dans les spams | | Pas d'enregistrement DMARC ou p=none | 6 sur 50 | 12% | Rien : le courrier usurpé est livré | | SPF se terminant par -all | 29 sur 50 | 58% | Le courrier venant de serveurs non listés doit être rejeté | | DNSSEC (enregistrement DS chez le parent) | 20 sur 50 | 40% | Réponses DNS falsifiées, comme dans les attaques par empoisonnement de cache | | Enregistrements CAA | 15 sur 50 | 30% | Certificats émis par une autorité non listée | | Signes de registry lock (trois verrous serveur) | 5 sur 50 | 10% | Modifications faites via un compte registraire compromis | | Les quatre : DNSSEC, CAA, signes de registry lock, DMARC appliqué | 3 sur 50 | 6% | | *Dernière vérification le 12 novembre 2026 ; les chiffres plus anciens portent leur propre date.* ## Qu'est-ce que l'étude a révélé ? **Le verrou de base est presque universel ; les protections qui empêchent un détournement ne le sont pas.** 47 des 50 domaines portent un verrou de transfert du registraire, le réglage que la plupart des registraires activent par défaut. Il bloque un transfert, mais il n'empêche pas quelqu'un qui se connecte au compte registraire de modifier les serveurs de noms, ce qui est la méthode de la plupart des attaques documentées contre les front-ends crypto. Les défenses contre ce cas sont plus rares. Le registry lock, qui fait refuser par le registre lui-même toute modification tant qu'une personne ne la confirme pas hors bande, apparaît sur 5 domaines. DNSSEC, qui permet aux résolveurs de rejeter les réponses falsifiées, est sur 20. CAA, qui limite qui peut émettre un certificat pour le nom, est sur 15. La [comparaison du registry lock et du verrou registraire](https://wardmint.com/fr/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock") explique la différence, et le [guide DNSSEC](https://wardmint.com/fr/guides/enable-dnssec/ "How to enable DNSSEC") donne les étapes. Le courrier s'en tire mieux : 44 des 50 refusent ou placent en quarantaine le courrier usurpé grâce à DMARC. Les 6 autres ne publient aucun enregistrement DMARC ou restent en p=none, donc n'importe qui peut encore envoyer un courrier qui semble venir du projet. ## Comment l'étude a-t-elle été menée ? **Nous avons utilisé les 50 domaines officiels de notre audit des domaines ressemblants, tirés des plus grands projets crypto par capitalisation au 12 novembre 2026.** Pour chaque domaine, nous avons demandé au résolveur public DNS-over-HTTPS de Cloudflare son enregistrement DS (DNSSEC est compté lorsque la zone parente en contient un), ses enregistrements CAA, ses enregistrements TXT (SPF) et l'enregistrement TXT sur _dmarc (politique DMARC lue dans le tag p). Nous avons ensuite lu l'enregistrement RDAP du domaine auprès de son registre. Un verrou du registraire compte lorsque la liste des statuts contient clientTransferProhibited. Les signes de registry lock comptent lorsqu'elle contient serverTransferProhibited, serverUpdateProhibited et serverDeleteProhibited ensemble : ce sont les verrous que posent les services de registry lock, bien qu'un registre puisse aussi les poser pour d'autres raisons, donc nous parlons de signes et non de preuve. Les 250 requêtes DNS et les 50 requêtes RDAP ont toutes abouti. Le script et les réponses par domaine sont conservés avec l'étude ; nous ne publions que les totaux. ## Ce que les chiffres ne disent pas **Un enregistrement absent n'est pas une faille, et un enregistrement présent n'est pas une garantie.** Certains projets servent leur application depuis un autre domaine ou la protègent chez leur CDN ; DNSSEC exige aussi un registraire et un hébergeur DNS qui le prennent en charge. Le registry lock n'est pas proposé pour toutes les extensions, et un registre peut poser des verrous serveur pour d'autres raisons qu'un verrou payant. L'étude est un instantané d'un seul jour et d'un domaine par projet. ## Ce qu'un projet peut faire de ces résultats **Commencez par les quatre réglages qui manquent encore à la plupart des projets du top 50 : registry lock là où l'extension le propose, DNSSEC, CAA, et DMARC en p=reject sur chaque domaine, y compris les domaines inutilisés.** Selon l'enquête de Wardmint du 12 novembre 2026, seuls 3 des 50 plus grands projets crypto cumulaient les quatre sur leur domaine principal. Notre [checklist de sécurité des domaines pour projets crypto](https://wardmint.com/fr/crypto-project-domain-security-checklist/ "Domain security checklist for a crypto project") les classe avec les réglages de compte autour. Le même jour, notre [audit des domaines ressemblants](https://wardmint.com/fr/data/crypto-project-defensive-domain-audit-2026/ "How many look-alike domains of the top crypto projects can anyone register?") a trouvé 29.6% des variantes évidentes des noms de ces projets libres à l'enregistrement. Chez Wardmint, DNSSEC et CAA sont gérés pour chaque domaine, et un .com coûte 12,49 $US/an. ## Questions sur l'étude ### Combien de projets crypto majeurs utilisent DNSSEC ? 20 des domaines officiels des 50 plus grands projets avaient un enregistrement DS chez le parent le 12 novembre 2026, soit 40% signés avec DNSSEC. ### Combien utilisent le registry lock ? 5 sur 50 affichaient les trois verrous serveur que pose un registry lock. Nous les appelons des signes : un registre peut aussi poser ces verrous pour d'autres raisons. ### Un verrou du registraire suffit-il ? Non. Il bloque les transferts, mais pas un changement de serveurs de noms par quelqu'un qui contrôle le compte registraire, qui est la méthode de la plupart des détournements de front-end crypto. ### Pourquoi les noms des projets ne sont-ils pas listés ? Une liste indiquant quel projet manque de quelle protection aiderait un attaquant à choisir sa cible. Chaque projet peut vérifier son propre domaine avec les mêmes consultations publiques. ### L'étude sera-t-elle refaite ? Oui, chaque trimestre avec le même script, afin que les chiffres forment une série datée ; chaque mise à jour est consignée sur notre page des mises à jour. **En résumé** - Domaines officiels des 50 plus grands projets crypto, DNS public et RDAP lus le 12 novembre 2026. - Verrou du registraire 94%, DMARC appliqué 88% (p=reject 56%), SPF rejet strict 58%. - DNSSEC 40%, CAA 30%, signes de registry lock 10%. - Seuls 3 sur 50 cumulent DNSSEC, CAA, signes de registry lock et une politique DMARC appliquée. - Totaux seulement ; aucune liste par projet n'est publiée. ## Sources et méthode 1. [Coins list by market capitalisation (API /coins/markets)](https://www.coingecko.com/en/api) — CoinGecko (relevé le 2026-11-12) 2. [DNS over HTTPS, JSON API](https://developers.cloudflare.com/1.1.1.1/encryption/dns-over-https/make-api-requests/dns-json/) — Cloudflare (used 2026-11-12) 3. [Bootstrap service registry for domain name space (RDAP)](https://data.iana.org/rdap/dns.json) — IANA (relevé le 2026-11-12) 4. [Codes de statut EPP : que signifient-ils](https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en) — ICANN (relevé le 2026-11-12) 5. [RFC 8659 : DNS Certification Authority Authorization (CAA) Resource Record](https://www.rfc-editor.org/rfc/rfc8659) — IETF (relevé le 2026-11-12) --- Wardmint: Wardmint enregistre les domaines défensifs dont un projet crypto a besoin — son propre nom sur les extensions qu'utilisent les hameçonneurs, ses propres variantes avec fautes de frappe et sosies — payés en crypto sans KYC : aucune pièce d'identité, seulement un e-mail vérifié par domaine. Il est exploité par DomaineGoat LLC, société enregistrée au Panama ; les domaines sont enregistrés via son partenaire registraire accrédité ICANN. Un .com coûte 12,49 $US/an, au même prix chaque année.