Comment protéger votre domaine contre le détournement DNS ?

Qu'est-ce que le détournement DNS, et pourquoi vise-t-il les interfaces crypto ?

Le détournement DNS est la modification non autorisée des enregistrements ou de l'inscription qui indiquent aux navigateurs où se trouve un domaine. L'attaquant ne touche pas à vos smart contracts. Il envoie les utilisateurs de votre vraie adresse vers une copie de votre interface qui demande des signatures de portefeuille.

C'est pourquoi l'attaque convient au monde crypto. Un utilisateur qui saisit la bonne adresse et voit un cadenas valide n'a aucune raison de douter de la page. Curve Finance a déclaré, après son incident du 12 mai 2025, que ses contrats et les données de ses utilisateurs n'avaient pas été compromis, mais que les visiteurs avaient été redirigés vers un leurre statique qui demandait des signatures. La perte vient de la signature, pas d'une faille du code.

L'attaquant doit prendre le contrôle de l'un de ces trois éléments : le compte du registraire qui détient le domaine, le fournisseur DNS qui sert ses enregistrements, ou le chemin de résolution entre l'utilisateur et le serveur. Ce guide traite les deux premiers, car ce sont ceux qu'un projet contrôle. Protéger le troisième est le rôle de DNSSEC, expliqué dans comment activer DNSSEC sur votre domaine.

Quels incidents réels montrent comment se produisent les détournements ?

Les incidents publics depuis 2022 montrent des attaquants qui passent par les comptes et le personnel du support, et non par la cryptographie. Le tableau ci-dessus les liste, et le schéma se répète.

D'après le décompte de Wardmint au 12 novembre 2026, le tableau des incidents de ses recherches compte sept entrées entre août 2022 et octobre 2026 (Curve deux fois, Balancer, Galxe, la vague Squarespace de juillet 2024, le groupe de février 2026 et la vague d'octobre 2026), et chacune d'elles a agi sur le domaine, le fournisseur DNS ou le compte du registraire. La liste complète avec les sources se trouve dans quels projets crypto ont fait perdre des utilisateurs à cause du détournement DNS.

Comment verrouiller le compte du registraire ?

Considérez le compte du registraire comme la clé de toute l'interface, et donnez-lui la connexion la plus solide dont vous disposez. Utilisez un mot de passe long, aléatoire et utilisé nulle part ailleurs, et activez l'authentification à deux facteurs. Conservez l'identifiant dans un gestionnaire de mots de passe ou un coffre adossé à du matériel, pas dans une discussion partagée.

Réduisez le nombre de personnes qui peuvent se connecter. Désignez un responsable et un suppléant, notez qui détient chaque identifiant et supprimez l'accès le jour où quelqu'un quitte l'équipe. Gardez la procédure de récupération aussi stricte que la connexion : un compte protégé par l'authentification à deux facteurs mais qu'un agent du support peut réinitialiser sur simple demande n'est aussi solide que la liste de contrôle de cet agent. Les cas Balancer et Avantis ont tous deux impliqué une personne chez un fournisseur.

La routine complète, y compris la manière de repérer l'hameçonnage visant les identifiants de registraire, se trouve dans comment protéger votre compte de registraire contre la prise de contrôle. Chez Wardmint, réponses par e-mail sous 12 heures, 7 jours sur 7, y compris pour l'aide sur DNSSEC, les enregistrements CAA et les signalements d'abus, n'hésitez donc pas à demander l'aide du support pour l'un de ces réglages.

Que bloquent respectivement un verrou de transfert et un verrou de registre ?

Un verrou de transfert empêche le domaine de passer chez un autre registraire ; un verrou de registre va plus loin et bloque les modifications au niveau du registre lui-même. Ce sont deux couches différentes, et un projet peut en détenir une sans l'autre.

Un verrou de transfert est le statut côté registraire clientTransferProhibited. Il empêche un transfert non autorisé, mais il n'empêche pas la modification des enregistrements DNS dans l'hébergement DNS du registraire. Wardmint propose un verrou de transfert que vous activez ou désactivez pour chaque domaine dans l'espace client ; le code de transfert (EPP) s'y demande aussi.

Un verrou de registre, proposé pour .com et .net par Verisign via des registraires participants, ajoute une vérification hors bande afin que les changements de serveurs de noms, de transfert et de propriété ne puissent pas être effectués avec les seuls identifiants du compte. Les registraires facturent généralement environ 100 à 600 USD par an pour ce service, selon des chiffres de DomainNameWire et d'une page de revendeur, datés et non vérifiés. Wardmint ne propose pas de verrou de registre. Il propose à la place le verrou de transfert, et la Protection de domaine à +29 $US/an par domaine, où le domaine est enregistré au nom de DomaineGoat LLC, maintenu sous verrou de transfert, et où chaque plainte est lue par une personne avant toute action. La différence est expliquée dans verrou de registre ou verrou de registraire.

DNSSEC et les enregistrements CAA empêchent-ils un détournement ?

DNSSEC et CAA réduisent les dégâts d'un détournement ; ils n'arrêtent pas un attaquant qui possède votre compte. DNSSEC signe vos enregistrements pour qu'un résolveur puisse rejeter les réponses falsifiées en chemin. Un attaquant connecté au registraire peut remplacer l'enregistrement DS ou les serveurs de noms, et la signature protège alors les données de l'attaquant.

Les enregistrements CAA désignent les autorités de certification autorisées à émettre des certificats pour votre domaine. La RFC 8659 les définit. Ils comptent parce que les attaquants de février 2026 ont obtenu des certificats le jour même du changement DNS ; un enregistrement CAA qui ne nomme que votre autorité les oblige à le modifier d'abord, ce qu'une alerte peut détecter. Aucun de ces deux contrôles ne remplace un compte verrouillé, et chacun représente quelques minutes de travail. La syntaxe est décrite dans comment configurer les enregistrements CAA.

Comment repérer un détournement en quelques minutes ?

Surveillez les deux traces publiques que laisse tout détournement : un nouveau certificat et une réponse DNS modifiée. Les journaux Certificate Transparency montrent chaque certificat de confiance publique émis pour votre nom, et une recherche ou un flux gratuit fait rapidement apparaître un certificat inattendu. Une vérification planifiée qui compare vos serveurs de noms et vos enregistrements A aux valeurs attendues détecte le changement lui-même.

Préparez la réponse avant d'en avoir besoin. Gardez une adresse officielle alternative annoncée à l'avance, un court message prêt pour vos réseaux sociaux et le contact d'urgence du registraire. Curve a utilisé curve.finance comme point d'accès provisoire le 12 mai 2025, ce qui montre l'intérêt de disposer d'un second domaine que vous contrôlez. Un ensemble défensif enregistré à l'avance vous donne cette seconde adresse ; .com, .net, .org, .io, .xyz, .app coûte $128.94 par an chez Wardmint.

Quelle est la version courte ?

Un domaine résistant au détournement est un domaine dont le compte est difficile à prendre, dont le transfert exige un code, dont les réponses sont signées et dont les certificats sont surveillés. Selon la lecture que Wardmint fait du dossier public, le compte et son circuit de support sont la cible dans les sept incidents qu'elle suit. Les sécuriser d'abord, puis ajouter DNSSEC et CAA, est l'ordre qui correspond aux faits. Wardmint vend les enregistrements et les outils DNS ; hébergement DNS gratuit avec enregistrements A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV et CAA, DNSSEC géré, et vos propres serveurs de noms si vous préférez (2 à 13). Elle ne vend pas de surveillance, et les outils gratuits du guide de surveillance couvrent donc cette étape.