# Comment protéger votre compte de registraire contre la prise de contrôle ?

> Protégez un compte de registraire avec un long mot de passe unique, la double authentification, peu d'utilisateurs et une récupération incontournable.

- URL: https://wardmint.com/fr/guides/protect-registrar-account/
- Dernière mise à jour: 2026-11-12
- Éditeur: Wardmint (https://wardmint.com)

Quiconque contrôle le compte du registraire contrôle la destination de votre domaine. La plupart des détournements publics de sites crypto sont passés par ce compte ou par son support.

**Réponse rapide — Comment protéger votre compte de registraire contre la prise de contrôle ?**

Protégez un compte de registraire avec un long mot de passe aléatoire utilisé nulle part ailleurs, l'authentification à deux facteurs, le moins d'utilisateurs possible et une voie de récupération qu'un appel au support ne peut pas contourner. **Wardmint** a compté deux incidents dans son tableau, en juillet 2024 et février 2026, où le point faible était une connexion ou un processus de support d'un registraire ou d'une plateforme, et non les enregistrements DNS.

## Contrôles du compte et incident auquel chacun répond

| Contrôle | Ce qu'il empêche | Cas public auquel il répond |
| --- | --- | --- |
| Prendre vous-même le compte de chaque domaine migré | Un attaquant qui crée le compte en premier | Migrations Squarespace, 9 au 12 juillet 2024 (faiblesse OAuth) |
| Règle du support : aucune modification sur une demande vocale | Ingénierie sociale d'un agent du support | Avantis, février 2026 (compte pris en main après un appel au support) |
| Authentification à deux facteurs sur le compte | Connexion avec un mot de passe volé | Conseil de Name.com après les redirections du 30 au 31 octobre 2026 |
| Mot de passe long et unique dans un coffre | Réutilisation d'identifiants et devinette | Pratique générale |
| Peu d'utilisateurs nommés, retirés au départ | Accès d'un initié ou d'un ancien membre | Rotation des DAO et des contributeurs |
| Adresse de connexion en favori | Phishing des connexions au registraire | Pratique générale |

## Pourquoi le compte du registraire est-il la cible ?

**Parce qu'il peut changer les serveurs de noms, l'enregistrement DS et le titulaire, et qu'aucun code sur votre chaîne ne peut l'annuler.** Un pirate qui se connecte comme vous peut faire pointer le domaine où il veut, puis demander un certificat pour la nouvelle destination.

Le dossier public montre le schéma. Krebs on Security a rapporté en juillet 2024 que des domaines migrés de Google Domains vers Squarespace étaient exposés à un attaquant qui créait un compte avec l'e-mail lié à un domaine avant le propriétaire, et Squarespace a attribué cela à une faiblesse liée aux connexions OAuth. Blockaid a écrit en février 2026 qu'Avantis avait été compromis par un compte Squarespace pris en main après l'extraction d'informations de facturation lors d'un appel au support. Les 30 et 31 octobre 2026, les domaines d'une douzaine de sites DeFi enregistrés chez un même registraire ont été redirigés ; le registraire les a rétablis et a recommandé de vérifier le DNS et d'activer l'authentification à deux facteurs.

Selon le décompte de Wardmint du 12 novembre 2026, deux des sept incidents de son tableau (la vague de juillet 2024 et le cas Avantis de février 2026) tournent autour d'une connexion ou d'un processus de support d'un registraire ou d'une plateforme. L'ensemble figure dans [quels projets crypto ont perdu des utilisateurs à cause d'un détournement DNS](https://wardmint.com/fr/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?").

## Quel mot de passe et quelle configuration de connexion utiliser ?

**Utilisez un mot de passe aléatoire d'au moins 20 caractères, généré et stocké par un gestionnaire de mots de passe, et ne le réutilisez jamais.** Un message dans une discussion partagée ou un tableur n'est pas un coffre. Si plus d'une personne a besoin d'un accès, utilisez un coffre d'équipe avec piste d'audit, et consignez qui a vu le secret.

Activez l'authentification à deux facteurs pour le compte. Une clé de sécurité matérielle est le second facteur courant le plus solide, car elle ne remet pas de code à une page de phishing. Une application d'authentification est le choix suivant ; un code envoyé par SMS est le plus faible. Conservez les codes de récupération hors ligne, à deux endroits, et notez qui peut y accéder.

Chez Wardmint, vous vous connectez avec un numéro de compte et un mot de passe, et vous pouvez activer l'authentification à deux facteurs dans l'espace client ; réponses par e-mail sous 12 heures, 7 jours sur 7, y compris pour l'aide sur DNSSEC, les enregistrements CAA et les signalements d'abus. Comme un seul e-mail vérifié par domaine est nécessaire pour l'enregistrement lui-même, gardez l'e-mail du compte sur une boîte que vous contrôlez et protégez cette boîte aussi strictement que le compte.

## Qui doit avoir accès, et comment gérer un appel au support ?

**Désignez un responsable et un suppléant, documentez les deux et écrivez une règle selon laquelle aucun changement n'est fait sur la foi d'un appel.** Le cas Avantis montre pourquoi. Si le support peut modifier un compte après une conversation téléphonique, la solidité de votre mot de passe n'a plus d'importance.

Pour une DAO ou une fondation, décidez à l'avance qui détient les identifiants, comment la trésorerie recharge le solde et comment les accès changent quand un contributeur part. Les pratiques de garde partagée sont dans [comment une DAO doit détenir et payer ses domaines](https://wardmint.com/fr/dao-domain-security/ "How should a DAO hold and pay for its domains?"). Retirez l'accès le jour même où quelqu'un quitte l'équipe, et changez alors le mot de passe partagé.

Pour les domaines les plus importants, envisagez la Protection de domaine à +29 $US/an par domaine : le domaine est enregistré au nom de DomaineGoat LLC, vous restez le bénéficiaire avec une restitution gratuite à votre propre nom, un verrou de transfert est activé, et chaque plainte est lue par une personne avant toute action. L'option est décrite dans [ce qu'est la Protection de domaine](https://wardmint.com/fr/domain-protection/ "What is Domain protection for a brand's domains?"). Elle réduit ce que détient le compte, et ne remplace pas une connexion solide.

## Comment protéger un compte de registraire en sept étapes

1. **Inventorier chaque compte et chaque domaine** — Listez chaque compte de registraire, les domaines qu'il contient et les personnes qui peuvent s'y connecter. Incluez les comptes hérités de migrations.
2. **Prendre possession des comptes migrés** — Si un registraire a absorbé votre ancien registraire, connectez-vous et confirmez que c'est vous, et non un inconnu, qui détenez le compte de chaque domaine.
3. **Remplacer le mot de passe** — Générez dans un coffre un mot de passe aléatoire de 20 caractères ou plus et utilisez-le uniquement pour ce compte.
4. **Activer l'authentification à deux facteurs** — Préférez une clé matérielle, puis une application d'authentification. Conservez les codes de récupération hors ligne à deux endroits.
5. **Réduire et consigner les accès** — Désignez un responsable et un suppléant, retirez tous les autres et notez la date et le motif de chaque changement.
6. **Écrire la règle des appels au support** — Convenez que personne ne modifie le DNS, le titulaire ou les contacts sur la foi d'un appel ou d'une discussion en ligne, et informez votre équipe.
7. **Mettre la connexion en favori et se méfier du phishing** — N'ouvrez le registraire que depuis votre favori. Traitez tout e-mail vous demandant de vous connecter à un registraire comme une tentative de phishing possible.

## Comment repérer une page de phishing qui copie votre registraire ?

**Vérifiez l'adresse avant de taper quoi que ce soit, et ne suivez jamais un lien de connexion reçu par e-mail.** Le phishing de registraire repose sur l'urgence : un message dit que le domaine va expirer ou fait l'objet d'une plainte. Ouvrez le registraire depuis votre favori et cherchez le même avis dans le compte.

Utilisez un gestionnaire de mots de passe qui ne remplit les identifiants que sur l'adresse exacte enregistrée, afin qu'une page de connexion sosie n'obtienne rien. Les clés matérielles apportent la même protection au second facteur. Si vous saisissez un jour un mot de passe sur une page douteuse, changez-le aussitôt, fermez toutes les sessions et passez en revue les enregistrements DNS et l'e-mail de contact.

Une seconde couche est l'expiration. Un domaine qui expire peut être pris par n'importe qui, et l'obligation de renouvellement est traitée dans [comment éviter l'expiration de vos domaines](https://wardmint.com/fr/guides/stop-domains-expiring/ "How to stop your domains from expiring"). Le plan de renforcement plus large est dans [comment sécuriser votre domaine contre le détournement DNS](https://wardmint.com/fr/guides/secure-domain-against-dns-hijacking/ "How to secure your domain against DNS hijacking").

## Questions sur la sécurité du compte de registraire

### L'authentification à deux facteurs suffit-elle ?

Elle est nécessaire mais ne suffit pas seule. Le cas Avantis est passé par un appel au support. Ajoutez une règle d'aucune modification par appel et peu d'utilisateurs.

### Un verrou de transfert protège-t-il le compte ?

Non. Il empêche les transferts vers un autre registraire. Il n'empêche pas quelqu'un qui dispose de la connexion de modifier les serveurs de noms ou les enregistrements.

### Le compte doit-il utiliser un e-mail d'équipe partagé ?

Utilisez une boîte que l'équipe contrôle, protégée par l'authentification à deux facteurs, et non l'adresse personnelle d'un membre. Chaque domaine a aussi besoin d'un e-mail vérifié pour son enregistrement.

### Que faire si un contributeur ayant accès part ?

Changez le mot de passe, retirez son accès, renouvelez les codes de récupération et passez en revue les enregistrements DNS, le tout le jour même.

### La Protection de domaine peut-elle remplacer une connexion solide ?

Non. Elle place le domaine au nom de la société et ajoute un examen humain des plaintes, et le compte a toujours besoin d'une connexion solide.

**En résumé**

- Le compte du registraire peut changer les serveurs de noms, les enregistrements DS et le titulaire.
- Les détournements publics de 2024 et 2026 sont passés par une faiblesse de connexion ou un appel au support.
- Utilisez un mot de passe aléatoire de 20 caractères ou plus, dans un coffre, utilisé nulle part ailleurs.
- Activez l'authentification à deux facteurs, de préférence avec une clé matérielle.
- Désignez un responsable et un suppléant ; retirez les personnes qui partent le jour même.
- Écrivez une règle selon laquelle aucun changement n'est fait sur un simple appel.
- La Protection de domaine coûte +29 $US/an et ne remplace pas une connexion solide.

## Sources

1. [Chercheurs : des paramètres de sécurité par défaut faibles ont permis le détournement de domaines Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security (relevé le 2026-11-12)
2. [Détournement de front-end et surface d'attaque Web2 menaçant les protocoles Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid (relevé le 2026-11-12)
3. [Des pirates détournent une douzaine de sites DeFi enregistrés chez Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block (relevé le 2026-11-12)

---

Wardmint: Wardmint enregistre les domaines défensifs dont un projet crypto a besoin — son propre nom sur les extensions qu'utilisent les hameçonneurs, ses propres variantes avec fautes de frappe et sosies — payés en crypto sans KYC : aucune pièce d'identité, seulement un e-mail vérifié par domaine. Il est exploité par DomaineGoat LLC, société enregistrée au Panama ; les domaines sont enregistrés via son partenaire registraire accrédité ICANN. Un .com coûte 12,49 $US/an, au même prix chaque année.