emailmarketing.net
EnglishFrançais

Protection de la marque : gestion des domaines

Protéger un portefeuille de domaines contre le détournement, l’abus de domaines sosies et l’usurpation d’identité : inventaire, verrous du bureau d’enregistrement et du registre, enregistrement défensif, surveillance, procédures de retrait, et enregistrements DNS de protection pour les domaines qui n’envoient pas d’emails et les domaines parqués.

Opérationnel13 min de lecture

À qui cela s’adresse Expéditeurs, Opérateurs ESP

S’applique aux expéditeurs, quelle que soit leur plateforme

SommaireSur cette page : 5 sections

Les attaquants qui ne peuvent pas prendre le contrôle des vrais domaines d’une marque se rabattent sur la meilleure solution suivante : enregistrer une variante de ces domaines, ou envoyer des emails en usurpant leur identité. La gestion des domaines au service de la protection de la marque comporte trois niveaux : les exigences de sécurité minimales que toute organisation devrait respecter, les mesures renforcées à mesure que la marque gagne en maturité, et les parades propres à chaque vecteur d’attaque. Le fonctionnement de l’authentification est traité dans SPF, DKIM et DMARC ; cet article couvre la discipline de gestion du portefeuille qui les entoure.

Exigences de sécurité minimales

Exigence Pratique
Inventaire des domaines Recensez chaque domaine que possède l’entreprise (un tableur suffit ; un outil dédié est préférable, car il peut aussi servir à gérer les certificats et les serveurs de noms). Pour chaque domaine : sa finalité écrite, et les personnes nommément responsables de sa sécurité et de sa maintenance. Tenez l’inventaire à jour à mesure que des domaines et des collaborateurs sont ajoutés, supprimés ou changent. Suivez la façon dont chaque domaine est hébergé et configuré dans le DNS, et assurez-vous que tout prestataire externe s’intègre à votre fournisseur d’infrastructure DNS.
Protéger les comptes de titulaire Faites de la protection des noms de domaine un volet permanent de la politique de sécurité. Gardez confidentiels les identifiants des comptes de titulaire ; la récupération n’est confiée qu’aux responsables les plus haut placés de l’administration des domaines, et seulement dans des circonstances exceptionnelles. Lors des changements de personnel, renouvelez les identifiants des comptes concernés, en particulier les mots de passe. N’utilisez jamais l’adresse email du contact de transfert comme identifiant des pages d’administration des domaines (les pirates cherchent les contacts de transfert dans le WHOIS et vérifient systématiquement si cette adresse sert aussi de nom d’utilisateur). Utilisez des adresses de rôle, et non des adresses personnelles, pour les contacts. Authentification multifacteur (MFA) sur chaque compte de domaine.
Coordonnées à jour Toute modification du nom de l’entreprise, de son adresse légale, de son téléphone ou de son adresse email doit déclencher une mise à jour auprès de tous les bureaux d’enregistrement. Les bureaux d’enregistrement sont une défense essentielle contre les tentatives de détournement ; des coordonnées à jour leur donnent les meilleurs moyens de vous protéger.
Politiques officielles Formalisez les décisions et les processus, en particulier la mise hors service et la reconfiguration des domaines, la politique de gestion des changements et les services habilités à effectuer des modifications.
Tout documenter Les politiques, les registres et une communication régulière avec le personnel permettent à l’entreprise de rester préparée aux incidents et d’accepter rapidement les changements légitimes.

Mesures de sécurité renforcées (« gains rapides »)

  • Alias de rôle pour le contrôle des domaines et les notifications : envoyez les notifications du bureau d’enregistrement et du DNS à un compte de rôle (domainregistrar@example.com), et non à la boîte d’une personne, pour que les notifications survivent aux départs, aux vacances et aux congés.
  • Choisir délibérément l’autorité DNS : des serveurs faisant autorité open source hébergés en interne, une appliance sur site ou un service DNS faisant autorité dans le cloud présentent chacun des compromis différents en matière de DNSSEC, de prise en charge de l’authentification des emails et de sécurité. Auditez la configuration obtenue avec des outils gratuits (par exemple Zonemaster, https://zonemaster.iis.se/en/).
  • Choisir le bon bureau d’enregistrement : les bureaux d’enregistrement se spécialisent (petits budgets et amateurs, spéculateurs en gros volumes, ciblage linguistique). Enregistrez les domaines de production et les domaines essentiels chez un bureau d’enregistrement pour entreprises spécialisé dans la protection des actifs critiques ; un bureau d’enregistrement grand public peut convenir pour les enregistrements défensifs. Fonctionnalités minimales à exiger : infrastructure redondante, protection contre l’expiration accidentelle, surveillance des domaines (le domaine est-il en ligne et répond-il ?), double authentification (2FA) sur la console de gestion, un service de verrou du bureau d’enregistrement (registrar lock : la combinaison clientTransferProhibited + clientUpdateProhibited + clientDeleteProhibited, qui empêche la suppression, le transfert ou la modification non autorisés) et la prise en charge de DNSSEC.
  • Enregistrement défensif : enregistrez de manière proactive les variantes de TLD de la marque (brand.co.uk quand vous êtes brand.com) et établissez une politique pour les domaines à haut risque qui ne serviront jamais en production : noms ressemblants, fautes de frappe, abréviations et raccourcis courants (par exemple « BofA » pour « Bank of America »), combinés à des termes souvent détournés comme « login » ou « account », et tout vecteur que vous avez déjà dû combattre. Vous ne pouvez pas en enregistrer un nombre infini : fixez des priorités, définissez un budget, réévaluez à la lumière de l’expérience, et coordonnez avec vos programmes de surveillance et de retrait. Ce que vous ne pouvez pas acheter, compte tenu de votre tolérance au risque et de votre budget, vous devez le surveiller.
  • Regrouper la gestion des certificats SSL/TLS avec celle du DNS : même équipe, enjeux juridiques et techniques similaires. Surveillez la transparence des certificats (certificate transparency) pour repérer les enregistrements de certificats ressemblants, et pas seulement les domaines ressemblants. Publiez des enregistrements CAA pour empêcher l’émission non autorisée de certificats pour vos domaines.
  • Codes d’état EPP et verrous : appliquez clientTransferProhibited, clientDeleteProhibited et clientUpdateProhibited aux domaines de l’organisation. Au-delà, envisagez le verrou du registre (registry lock : protection hors bande contre les modifications ou suppressions non autorisées, mise en place par l’intermédiaire du bureau d’enregistrement) et, au-dessus encore, des services de verrou du bureau d’enregistrement exigeant une confirmation hors bande avant toute modification. Une fois les verrous posés, revérifiez régulièrement le WHOIS pour confirmer que le domaine est toujours verrouillé et que les serveurs de noms, la configuration DNS et les contacts n’ont pas été modifiés à votre insu ; envisagez un service tiers d’alerte en cas de modification.
  • Sauvegarder la configuration DNS : un stockage sécurisé de la configuration DNS vous permet de toujours revenir en arrière (par exemple après la compromission d’un compte). Intégrez la restauration urgente des domaines et du DNS au plan de continuité d’activité et aux exercices sur table ; vérifiez si votre assurance couvre les incidents de domaine et de DNS ; incluez le détournement de domaine dans la réponse aux incidents.
  • Surveiller les domaines tiers abusifs : des services commerciaux le font de manière fiable ; ne pas le faire expose la marque à des abus importants.

Vecteurs d’attaque et parades

Cybersquatteurs, domaines sosies (homographes) et empiètements

Surveillez les nouveaux enregistrements de domaines pour repérer les noms ressemblants (de nombreuses marques confient cette tâche à un service géré). Sources de données :

  • ICANN CZDS (Centralized Zone Data Service) : les fichiers de zone de tous les gTLD, mais pas des ccTLD ; ajoutez les fichiers de zone des ccTLD selon votre paysage de menaces.
  • Les enregistrements de certificats SSL (journaux de transparence des certificats).
  • Les flux payants de domaines nouvellement enregistrés ou nouvellement observés.

Les domaines sosies découverts doivent être triés entre bénins et malveillants. La définition du kit : un domaine malveillant est un domaine utilisé pour la distribution de logiciels malveillants, le commandement et le contrôle de botnets, le phishing, la compromission de messagerie en entreprise (BEC) ou le spam. Un enregistrement de mauvaise foi portant atteinte à une marque, s’il n’est pas aussi utilisé pour ces activités, est une atteinte à la marque, pas un domaine malveillant ; cette distinction détermine la voie de remédiation qui fonctionne.

Catégorie Voie Remarques
Malveillant (preuve de phishing, de vol d’identifiants, de logiciel malveillant, de commande et contrôle (C2) de botnet, de spam) Demande de retrait (takedown) auprès du bureau d’enregistrement du domaine (identifié via le WHOIS). Fournissez des preuves détaillées : captures d’écran du contenu litigieux, exemple d’email d’hameçonnage avec ses en-têtes complets. Si l’hébergement relève d’une entité distincte, contacter l’hébergeur peut faire disparaître le contenu plus vite. Si le bureau d’enregistrement ne répond pas, faites remonter le dossier à l’ICANN (qui accrédite les bureaux d’enregistrement). Les bureaux d’enregistrement accrédités par l’ICANN ne considèrent normalement un domaine comme malveillant que s’il a été enregistré et utilisé pour du phishing, des logiciels malveillants ou le commandement et le contrôle (C2) de botnets. Les domaines compromis (légitimes mais piratés) sont un autre problème : la suspension est généralement la mauvaise solution. Après le retrait, surveillez une éventuelle reprise d’activité ; vous pouvez aussi acheter le domaine (certains bureaux d’enregistrement le transfèrent à la marque), ce qui est utile pour alerter les victimes et recueillir des statistiques.
Atteinte à la marque (contrefaçon de marque, non malveillante) La même procédure de retrait ne fonctionne que si du phishing, des logiciels malveillants ou du commandement et contrôle (C2) sont aussi en jeu (gTLD ; pour les ccTLD, les procédures dépendent des conditions d’utilisation de chaque ccTLD). Sinon : démarche informelle auprès du propriétaire (identifié via le contenu hébergé ou le WHOIS), sauf si le titulaire semble malveillant, puis procédure formelle UDRP ou URS, ou action civile. Les procédures UDRP et URS coûtent de l’argent et prennent quelques mois, mais leur succès peut transférer le contrôle du domaine à la marque. Les litiges portant uniquement sur une marque sont des questions juridiques : voir conformité pour les articles de la base de connaissances consacrés aux juridictions, et faites intervenir un conseil en propriété intellectuelle.
Suspect mais non prouvé (ou retraits échoués) Achat, ou surveillance des changements du contenu hébergé et des enregistrements DNS. Meilleure pratique : acheter un nombre limité de domaines très suspects ou potentiellement utiles, et surveiller les autres par la technologie associée à un examen humain.

Usurpation d’identité (spoofing) par email

L’usurpation d’identité désigne des emails qui semblent provenir du domaine légitime (ou d’un domaine presque identique comme microsoftt.com) mais n’en proviennent pas ; un attaquant n’a besoin d’aucun contrôle sur un domaine pour émettre des emails qui prétendent en provenir. Parades :

  • Surveillez les domaines sosies (avec des outils open source ou des prestataires tiers) ; en cas d’abus, déposez une plainte auprès du bureau d’enregistrement selon la procédure de retrait décrite plus haut.
  • Authentifiez chaque domaine que vous possédez, y compris les domaines qui n’envoient jamais d’emails. SPF, DKIM et DMARC sur tout le portefeuille, conformément au M3AAWG Email Authentication BCP.
  • Envisagez de supprimer les enregistrements MX des domaines sur lesquels vous ne recevez ni n’envoyez jamais d’emails.

Enregistrements DNS de protection pour les domaines qui n’envoient pas d’emails et les domaines parqués

Pour la forme des enregistrements, le kit renvoie au M3AAWG Protecting Parked Domains BCP (voir aussi l’index des documents). Pour un domaine (ou un sous-domaine) qui n’envoie aucun email, publiez les quatre :

Enregistrement Valeur Effet
SPF example.com. TXT "v=spf1 -all" Aucun hôte n’est autorisé à envoyer des emails avec ce MAIL FROM ; les serveurs de réception rejettent sans ambiguïté (hard fail) les falsifications.
DKIM *._domainkey.example.com. TXT "v=DKIM1; p=" Enregistrement de clé générique avec une clé publique vide : il révoque tous les sélecteurs, si bien qu’aucune signature DKIM pour le domaine ne peut être vérifiée.
DMARC _dmarc.example.com. TXT "v=DMARC1; p=reject; rua=mailto:reports@yourbrand.example" Demande aux serveurs de réception de rejeter tout message qui revendique le domaine dans l’en-tête From: ; l’adresse rua vous montre quand même les tentatives d’abus. Les sous-domaines héritent de p=reject par défaut (sp non défini) ; voir Déploiement de DMARC.
MX nul example.com. MX 0 . RFC 7505 : déclare explicitement que le domaine ne reçoit aucun email, si bien que les expéditeurs échouent immédiatement au lieu de réessayer, et que l’absence de MX ne peut pas se replier sur l’enregistrement A.

Appliquez ces enregistrements aux enregistrements défensifs le jour même de leur achat : un domaine cousin enregistré à titre défensif mais non protégé est exactement l’actif qu’un auteur de phishing cherche à usurper. Quand un domaine parqué est ensuite activé pour l’envoi, retirez ces enregistrements dans le cadre de la configuration normale de l’authentification et de la chauffe du domaine (pratiques d’infrastructure d’envoi).

Prise de contrôle du compte chez le bureau d’enregistrement (ATO)

Un seul identifiant deviné, hameçonné ou obtenu par ingénierie sociale peut livrer à un attaquant l’ensemble du portefeuille de domaines, et entraver votre propre accès à ce portefeuille. Dynamiques particulières :

  • L’email est souvent le seul canal par lequel les bureaux d’enregistrement informent les titulaires de l’activité de leur compte, et un attaquant qui contrôle le compte peut modifier le DNS pour que ces notifications n’arrivent jamais (par exemple quand les adresses des contacts administratif et technique du titulaire sont hébergées dans le domaine compromis). Déclarez une adresse de contact extérieure à votre propre domaine pour que les notifications de prise de contrôle vous parviennent quand même.
  • Les auteurs de phishing se font aussi passer pour des bureaux d’enregistrement et des fournisseurs DNS afin de récolter les identifiants des titulaires. L’objectif habituel est de modifier les adresses IP de vos serveurs de noms : contrôler la résolution des noms donne accès à vos emails entrants, à une copie en temps réel de votre site web, à la capture d’identifiants et à l’utilisation du domaine pour du spam ou des activités criminelles.
  • Le domain shadowing : la variante la plus discrète. L’attaquant laisse votre site et vos emails intacts et crée discrètement de nouveaux sous-domaines (ou des domaines entièrement nouveaux, facturés sur votre moyen de paiement enregistré) sous son propre contrôle, par exemple login.yourcompany.com ou email.yourcompany.com, pointant vers son infrastructure. Très difficile à détecter, car peu de bureaux d’enregistrement surveillent l’ajout de nouveaux domaines ou sous-domaines à un compte. Contre-mesures : utilisez cette surveillance là où le bureau d’enregistrement la propose ; planifiez des contrôles ponctuels réguliers du compte de gestion des domaines pour repérer les modifications récentes ; et récupérez des rapports de DNS passif sur les nouveaux noms d’hôte apparus sur vos domaines.

Liste de contrôle des parades : MFA sur tous les comptes ; surveillance des comportements anormaux (connexions inhabituelles) ; surveillance des domaines sosies ; plainte auprès du bureau d’enregistrement en cas d’abus identifié (procédure de retrait ci-dessus) ; procédures de riposte documentées et partagées avec les équipes de sécurité.

Vulnérabilité logicielle

Les attaquants analysent les portails des bureaux d’enregistrement et d’administration à la recherche de vulnérabilités d’applications web (par exemple l’injection SQL) ; une seule exploitation réussie peut divulguer d’un coup les identifiants de nombreux comptes de domaine. Maintenez les logiciels à jour et gérez un programme de divulgation responsable des vulnérabilités.

Pertinence pour un ESP

Pour un ESP, le portefeuille dépasse la marque de l’entreprise : domaines d’envoi, domaines de rebond et de chemin de retour, domaines de suivi et sous-domaines délégués par client sont autant d’actifs que les attaquants peuvent détourner discrètement (shadowing), squatter ou usurper. La contamination de réputation par les domaines cousins et la hiérarchie de délégation des domaines clients sont traitées dans pratiques d’infrastructure d’envoi et listes de blocage et Spamhaus (stratégie de domaine pour les clients d’un ESP) ; DMARC ne protège explicitement pas contre les domaines sosies : la surveillance et l’enregistrement défensif sont les seuls moyens de combler cette lacune.

Lectures complémentaires citées par le kit

Vérifier votre propre enregistrement

Le diagnostic gratuit lit ce que votre domaine publie dans le DNS.

Dans ce thème

Les 14 articles du thème Référence →