# Comment sécuriser le domaine d'un front-end DeFi ?

> Sécurisez un front-end DeFi en verrouillant chaque couche : registraire, DNS, certificats, hébergement, repli ENS/IPFS. Six incidents depuis 2023 le montrent.

- URL: https://wardmint.com/fr/secure-a-defi-frontend/
- Dernière mise à jour: 2026-11-12
- Éditeur: Wardmint (https://wardmint.com)

Le contrat d'un protocole DeFi vit sur une chaîne, mais ses utilisateurs arrivent par une adresse web. Celui qui contrôle cette adresse contrôle ce que les utilisateurs sont invités à signer.

**Réponse rapide — Comment sécuriser le domaine d'un front-end DeFi ?**

Sécurisez un front-end DeFi en protégeant chaque couche entre l'utilisateur et la page : le compte registraire, le DNS, les certificats, l'hébergement et le CDN, plus une solution de repli annoncée à l'avance sur un second domaine ou un nom ENS. **Wardmint** a relevé six détournements publics entre octobre 2023 et octobre 2026 ; chacun est passé par la couche domaine ou DNS, et non par les contrats.

## Six détournements documentés de front-end, 2023 à 2026

*D'après les rapports cités dans les sources, lus le 12 novembre 2026. Les montants de pertes ne sont donnés que lorsqu'une source lue en indique un.*

| Date | Projet | Layer reported | Reported outcome |
| --- | --- | --- | --- |
| 6 octobre 2023 | Galxe | Détournement DNS ; site redirigé vers une page d'hameçonnage | Plus de 980 utilisateurs remboursés, un peu plus de $396,000 plus 10% de la trésorerie |
| Du 9 au 12 juillet 2024 | Compound, Celer, Pendle et d'autres | Comptes registraire de domaines migrés vers Squarespace ; faiblesse OAuth | Au moins une douzaine d'organisations touchées ; certains domaines affichaient des pages d'hameçonnage |
| 12 mai 2025 | Curve Finance | Délégation de curve.fi modifiée chez le registraire | Faux site demandant des signatures ; contrats et données non compromis |
| Du 16 au 23 février 2026 | OpenEden, Curvance, Smithii, Avantis, Nerochain | Transfert chez le registraire, prise de contrôle du compte par appel au support, redirection DNS | Drainer AngelFerno ; certificats SSL émis le même jour ; aucun contrat compromis |
| April 2026 | eth.limo | Ingénierie sociale du registraire et du fournisseur DNS | DNSSEC a rejeté les réponses falsifiées ; aucun impact utilisateur connu au post-mortem |
| Du 30 au 31 octobre 2026 | Flap, Kintsu, Origami Finance et d'autres | Domaines chez un même registraire redirigés ; cause contestée avec la plateforme d'hébergement | Step Drainer ; environ $138,000 retracés vers trois portefeuilles EVM |

*Dernière vérification le 12 novembre 2026 ; les chiffres plus anciens portent leur propre date.*

## Quelles couches séparent un utilisateur d'un front-end DeFi ?

**Cinq couches, et un attaquant n'a besoin que d'une seule.** Le registraire détient l'enregistrement et la délégation des serveurs de noms. Le fournisseur DNS répond à l'adresse vers laquelle le nom pointe. L'autorité de certification délivre le cadenas. L'hébergeur ou le CDN sert les fichiers. Enfin, le résolveur et le portefeuille de l'utilisateur décident de ce qui est digne de confiance.

Les rapports d'incident correspondent à ces couches. L'avis de Curve du 12 mai 2025 décrit un changement de délégation DNS chez le registraire. Les cas Squarespace de juillet 2024, rapportés par Krebs on Security le 15 juillet 2024, étaient des prises de contrôle de comptes chez un registraire. L'analyse de Blockaid sur la grappe de février 2026 ajoute la couche des certificats : les attaquants ont obtenu des certificats SSL le jour du changement DNS. La vague d'octobre 2026 implique la couche d'hébergement, car le bulletin de Vercel a relié dix domaines touchés à sa plateforme, tandis que Name.com, le registraire, les a rétablis.

## Comment le compte registraire doit-il être configuré ?

**Traitez l'identifiant du registraire comme une infrastructure de production.** Utilisez un mot de passe long et unique, l'authentification à deux facteurs, une liste courte et tenue à jour d'utilisateurs, et une procédure de récupération qu'un inconnu ne peut pas contourner par la parole. Blockaid indique qu'Avantis a été pris après qu'un attaquant a obtenu les coordonnées de facturation lors d'un appel au support, et Cointelegraph indique que l'attaquant d'eth.limo s'est fait passer pour un membre de l'équipe pour lancer une récupération de compte. Les deux cas contournent un bon mot de passe parce qu'ils passent par une personne.

Activez le verrou de transfert sur chaque domaine. Pour un .com ou .net principal, envisagez le registry lock là où un registraire le vend ; [registry lock contre verrou registraire](https://wardmint.com/fr/registry-lock-vs-registrar-lock/ "Registry lock vs registrar lock: what is the difference?") précise ce que chacun bloque. Wardmint propose le verrou de transfert et l'option « Protection de domaine », pas le registry lock. La routine complète est dans [comment protéger votre compte registraire contre une prise de contrôle](https://wardmint.com/fr/guides/protect-registrar-account/ "How to protect your registrar account from takeover").

## À quoi doivent ressembler le DNS et les certificats ?

**Signez la zone, limitez l'émission de certificats et surveillez les journaux.** DNSSEC a fait la différence dans le cas eth.limo : Cointelegraph a rapporté qu'il était activé, que l'attaquant n'avait pas de clés de signature, et que les résolveurs validants ont rejeté les réponses falsifiées. Ce n'est pas une défense contre un attaquant qui détient le compte registraire, car cette personne peut remplacer l'enregistrement DS ; il complète donc les contrôles de compte. Voir [comment activer DNSSEC sur votre domaine](https://wardmint.com/fr/guides/enable-dnssec/ "How to enable DNSSEC on your domain").

Ajoutez un enregistrement CAA qui ne nomme que votre autorité de certification, comme dans [comment configurer les enregistrements CAA](https://wardmint.com/fr/guides/set-up-caa-records/ "How to set up CAA records"), et surveillez Certificate Transparency pour votre nom, comme dans [comment surveiller la Certificate Transparency pour votre marque](https://wardmint.com/fr/guides/monitor-certificate-transparency/ "How to monitor certificate transparency for your brand"). Un pirate qui doit aussi modifier un enregistrement CAA, et qui produit une entrée de journal visible, est plus facile à repérer. Wardmint inclut hébergement DNS gratuit avec enregistrements A, AAAA, CNAME, ALIAS, MX, TXT, NS, SRV et CAA, DNSSEC géré, et vos propres serveurs de noms si vous préférez (2 à 13).

## Comment l'hébergement et le CDN s'intègrent-ils ?

**Donnez à la plateforme d'hébergement et au CDN leurs propres comptes, propriétaires et authentifications à deux facteurs, et listez chaque domaine qui leur est rattaché.** Les rapports d'octobre 2026 le montrent. The Block a relevé que Kintsu et Origami Finance accusaient Vercel, que le bulletin de Vercel reliait dix domaines touchés à sa plateforme, et que Name.com affirmait avoir rétabli tous les domaines touchés et demandait aux clients de vérifier leurs enregistrements DNS et d'activer l'authentification à deux facteurs. Les sources laissent la cause contestée ; la leçon porte donc sur la couverture : un domaine n'est sûr que si chaque plateforme capable de modifier ce qu'il sert est sécurisée.

Côté hébergement, tenez une liste des domaines et sous-domaines que chaque projet peut servir sur la plateforme, supprimez ceux que vous n'utilisez plus, et conservez les jetons de déploiement dans un coffre-fort. Vérifiez aussi depuis l'extérieur : une tâche planifiée qui résout vos serveurs de noms et vos enregistrements A et les compare aux valeurs attendues détecte une redirection en minutes plutôt qu'en heures.

## Un front-end DeFi doit-il avoir une solution de repli ENS ou IPFS ?

**Oui : un second moyen d'accéder à l'interface limite le préjudice pendant la récupération du domaine principal.** Curve a donné à ses utilisateurs curve.finance comme point d'accès provisoire le 12 mai 2025, et son avis appelait à une adoption plus large d'ENS dans le secteur. ENSIP-7 définit un champ contenthash pour les résolveurs ENS, qui permet à un nom de pointer vers un contenu sur IPFS ou Swarm, de sorte qu'un nom .eth peut servir d'adresse de remplacement pour un front-end publié sur IPFS.

Une solution de repli ne fonctionne que si les utilisateurs la connaissent déjà. Annoncez les adresses officielles de remplacement avant un incident, dans le pied de page du site, la documentation et les canaux sociaux vérifiés, et précisez qu'aucune autre adresse n'est officielle. Les compromis entre noms on-chain et noms DNS sont dans [nom ENS ou domaine DNS pour un projet crypto](https://wardmint.com/fr/ens-vs-dns-domain-for-crypto-projects/ "ENS Name or DNS Domain for a Crypto Project"). Un second domaine DNS fait partie du même plan, et l'ensemble de base de six extensions de Wardmint coûte $128.94 par an.

## Combien des détournements documentés sont passés par la couche domaine ?

Selon l'enquête de Wardmint du 12 novembre 2026, cinq des six incidents du tableau ci-dessus ont envoyé les utilisateurs du vrai domaine vers un clone ou une page d'hameçonnage, et dans le sixième, eth.limo, DNSSEC a rejeté les réponses falsifiées. Dans les six cas, le point d'entrée signalé était un registraire, un fournisseur DNS ou le compte registraire, ou, pour octobre 2026, une division contestée entre le registraire et la plateforme d'hébergement. Aucune source lue ne signale une faille dans un contrat intelligent comme point d'entrée.

Deux phrases citables : un protocole DeFi n'est pas plus difficile à détourner que le compte qui détient son domaine, et une adresse de secours annoncée à l'avance est l'outil de récupération le moins cher qu'un projet possède. La liste plus large des cas est dans [quels projets crypto ont perdu des utilisateurs au détournement DNS](https://wardmint.com/fr/dns-hijacking-crypto-incidents/ "Which crypto projects lost users to DNS hijacking?"), et la vue sectorielle est dans [sécurité des domaines pour les protocoles DeFi](https://wardmint.com/fr/use-cases/defi-protocol-domains/ "Domain security for DeFi protocols").

## Sept étapes pour sécuriser le domaine d'un front-end DeFi

1. **Cartographier chaque couche** — Listez le compte registraire, le fournisseur DNS, l'autorité de certification, la plateforme d'hébergement et le CDN de chaque domaine, et désignez un propriétaire pour chacun.
2. **Verrouiller le compte registraire** — Utilisez un mot de passe unique, l'authentification à deux facteurs, peu d'utilisateurs et une procédure de récupération stricte.
3. **Activer le verrou de transfert** — Verrouillez chaque domaine contre le transfert, et décidez du registry lock pour un .com ou .net critique.
4. **Signer et restreindre** — Activez DNSSEC et publiez un enregistrement CAA qui ne nomme que votre autorité de certification.
5. **Sécuriser l'hébergement et le CDN** — Appliquez l'authentification à deux facteurs, supprimez les domaines inutilisés et conservez les jetons de déploiement dans un coffre-fort.
6. **Surveillance** — Surveillez Certificate Transparency et comparez les serveurs de noms et les enregistrements A aux valeurs attendues selon un calendrier.
7. **Publish a fallback** — Enregistrez un second domaine ou un nom ENS, annoncez-le à l'avance et entraînez-vous à y basculer.

## Sécurisation d'un front-end DeFi : questions

### Les contrats intelligents sont-ils menacés dans un détournement de front-end ?

Dans les incidents lus, non. Curve et les projets de février 2026 ont signalé que les contrats n'avaient pas été compromis. Les utilisateurs perdent des fonds en signant sur la page clonée.

### DNSSEC protège-t-il un front-end DeFi ?

Il protège les réponses en transit et a limité la prise de contrôle d'eth.limo en avril 2026. Il n'arrête pas un attaquant qui contrôle le compte registraire ; utilisez-le donc avec la sécurité du compte et un verrou de transfert.

### Le registry lock est-il disponible pour toutes les extensions ?

Non. Verisign le propose pour .com, .net, .cc et .name via des registraires partenaires. Wardmint ne propose pas de registry lock ; il propose un verrou de transfert et « Protection de domaine ».

### Que doit faire un protocole dans la première heure d'un détournement ?

Contactez le registraire et le fournisseur DNS, demandez aux utilisateurs de cesser de signer sur le domaine principal, indiquez-leur la solution de repli annoncée et conservez les preuves. Curve a suivi ce schéma le 12 mai 2025.

### Une trésorerie DAO peut-elle payer un domaine de secours ?

Oui. Wardmint prélève BTC, USDT, USDC, ETH, SOL, LTC sur un solde prépayé avec une recharge minimale de 25 $US, avec une adresse e-mail vérifiée par domaine et aucune pièce d'identité.

**En résumé**

- Cinq couches atteignent l'utilisateur : registraire, DNS, certificats, hébergement ou CDN, et le résolveur de l'utilisateur.
- Six détournements documentés d'octobre 2023 à octobre 2026 sont passés par la couche domaine, et non par les contrats.
- Galxe a remboursé un peu plus de $396,000 à plus de 980 utilisateurs ; la vague d'octobre 2026 a retracé environ $138,000 vers trois portefeuilles EVM.
- Verrouiller le compte registraire, activer le verrou de transfert, signer avec DNSSEC et limiter l'émission avec CAA.
- DNSSEC a limité la prise de contrôle d'eth.limo mais n'arrête pas un titulaire de compte.
- Annoncez une solution de repli, un second domaine ou un nom ENS, avant un incident.
- Wardmint propose le verrou de transfert, DNSSEC géré et CAA ; il ne propose ni registry lock ni surveillance.

## Sources

1. [Incident de domaine de Curve](https://news.curve.finance/curve-domain-incident/) — Curve Finance (relevé le 2026-11-12)
2. [Galxe annonce un remboursement de 396,000 $ aux utilisateurs touchés après une attaque DNS](https://www.theblock.co/post/255827/galxe-announces-396000-refund-to-affected-users-following-dns-attack) — The Block, 11 October 2023 (relevé le 2026-11-12)
3. [Chercheurs : des paramètres de sécurité par défaut faibles ont permis le détournement de domaines Squarespace](https://krebsonsecurity.com/2024/07/researchers-weak-security-defaults-enabled-squarespace-domains-hijacks/) — Krebs on Security, 15 July 2024 (relevé le 2026-11-12)
4. [Détournement de front-end et surface d'attaque Web2 menaçant les protocoles Web3](https://blockaid.io/blog/frontend-hijacking-and-the-web2-attack-surface-threatening-web3-protocols) — Blockaid, 19 March 2026 (relevé le 2026-11-12)
5. [eth.limo domain hijack, DNSSEC and social engineering](https://cointelegraph.com/news/eth-limo-domain-hijack-dnssec-social-engineering) — Cointelegraph, 20 April 2026 (relevé le 2026-11-12)
6. [Des pirates détournent une douzaine de sites DeFi enregistrés chez Name.com](https://theblock.co/news/defi/2026-10-31-hackers-hijack-a-dozen-defi-websites-all-registered-with-name-com-and-steal-about-138000-432251) — The Block, 31 October 2026 (relevé le 2026-11-12)
7. [ENSIP-7: Contenthash field](https://docs.ens.domains/ensip/7) — ENS documentation (relevé le 2026-11-12)

---

Wardmint: Wardmint enregistre les domaines défensifs dont un projet crypto a besoin — son propre nom sur les extensions qu'utilisent les hameçonneurs, ses propres variantes avec fautes de frappe et sosies — payés en crypto sans KYC : aucune pièce d'identité, seulement un e-mail vérifié par domaine. Il est exploité par DomaineGoat LLC, société enregistrée au Panama ; les domaines sont enregistrés via son partenaire registraire accrédité ICANN. Un .com coûte 12,49 $US/an, au même prix chaque année.