2FA du compte de domaine : verrouillez l'unique compte qui contrôle tout

Activez dès aujourd'hui l'authentification à deux facteurs par application pour votre compte de domaine, et utilisez une application d'authentification plutôt que des messages texte. Ce simple changement est l'étape de sécurité la plus précieuse que la plupart des propriétaires de domaines ne franchissent jamais, car le compte chez votre bureau d'enregistrement contrôle discrètement votre site web, votre messagerie et les réinitialisations de mot de passe de presque tous les autres services que vous possédez.

La raison pour laquelle le SMS est insuffisant est précise : une attaque par SIM-swap permet à quelqu'un de transférer votre numéro de téléphone sur sa propre carte SIM, d'intercepter les codes envoyés par texto et de s'introduire dans votre compte. Une 2FA de compte de domaine solide, reposant sur un code d'authentification à usage unique basé sur le temps, élimine complètement le numéro de téléphone de l'équation, de sorte qu'un numéro volé ne déverrouille plus la clé maîtresse.

Pourquoi la 2FA de compte de domaine est votre correctif prioritaire numéro un

Réfléchissez à ce que votre compte de bureau d'enregistrement gouverne réellement. Il détient les enregistrements DNS qui dirigent votre domaine vers votre hébergeur web, les enregistrements MX qui acheminent votre messagerie, et les paramètres de serveurs de noms qui peuvent rediriger une marque entière en quelques minutes. Celui qui contrôle ce compte contrôle les trois.

C'est l'effet domino qui rend cela catastrophique. La plupart des services en ligne envoient les réinitialisations de mot de passe à votre adresse e-mail. Si un attaquant s'empare du compte de domaine, il peut rediriger votre messagerie, intercepter chaque lien de réinitialisation et se propager jusqu'à vos processeurs de paiement, vos comptes sociaux et votre infrastructure cloud. Le domaine n'est pas qu'un identifiant de plus ; c'est la racine de l'arbre.

C'est pourquoi renforcer ce seul compte l'emporte sur presque toute autre tâche de sécurité de votre liste. Un mot de passe SaaS compromis est agaçant. Un compte de domaine compromis peut faire tomber votre entreprise et vous coûter des semaines de récupération, plus des frais de rachat de 80 à 200 dollars ou plus si un nom détourné est laissé entrer dans la période de rachat.

Comment la 2FA par SMS échoue face aux SIM-swaps

Les codes par SMS donnent l'impression d'une véritable authentification à deux facteurs, mais ils protègent un numéro de téléphone, pas votre appareil physique. Ce numéro vit sur le réseau de l'opérateur, et les opérateurs peuvent le déplacer.

Voici comment un SIM-swap fonctionne en pratique :

1. Un attaquant rassemble quelques informations personnelles vous concernant, souvent issues de fuites de données ou de profils publics.
2. Il contacte votre opérateur mobile en se faisant passer pour vous, prétend avoir perdu ou changé de téléphone, et demande le portage du numéro vers une nouvelle carte SIM qu'il contrôle. Dans certains cas, il se contente de soudoyer un employé de boutique ou de le manipuler par ingénierie sociale.
3. Une fois le numéro en sa possession, chaque code 2FA par SMS et chaque texto de réinitialisation de mot de passe arrive sur son appareil au lieu du vôtre.
4. Il déclenche une réinitialisation sur votre compte de bureau d'enregistrement, reçoit le code et se connecte.

Au-delà des SIM-swaps, d'anciennes failles de signalisation (interception SS7) et le clonage de carte SIM peuvent aussi exposer les codes texte. Le point commun est que le SMS est transmis par le réseau, de sorte que quiconque capture le numéro capture le code. La 2FA par SMS reste préférable à un mot de passe seul, mais c'est la forme de protection la plus faible et le mauvais choix pour votre compte le plus important.

Comment configurer la 2FA de compte de domaine avec une application d'authentification

Une application d'authentification génère un mot de passe à usage unique basé sur le temps (TOTP) sur votre appareil à l'aide d'un secret partagé qui ne transite jamais par le réseau mobile. Le code change toutes les 30 secondes et fonctionne hors ligne. Voici comment effectuer la transition :

1. Connectez-vous à votre bureau d'enregistrement et ouvrez les paramètres de sécurité ou d'authentification à deux facteurs. Porkbun, Cloudflare, Namecheap, Spaceship et la plupart des bureaux d'enregistrement réputés prennent en charge la 2FA par application.
2. Choisissez application d'authentification (parfois intitulée TOTP ou Google Authenticator) plutôt que SMS.
3. Scannez le code QR avec une application telle qu'Aegis, 2FAS, Authy, Microsoft Authenticator ou Google Authenticator.
4. Enregistrez les codes de secours ou de récupération que le bureau d'enregistrement vous affiche. Conservez-les hors ligne, dans un gestionnaire de mots de passe ou sur papier, jamais dans la même boîte de réception e-mail que le domaine contrôle.
5. Saisissez un code généré pour confirmer l'association, puis déconnectez-vous et reconnectez-vous pour vérifier que tout fonctionne.
6. Si votre bureau d'enregistrement le permet, supprimez le repli par SMS afin qu'un attaquant ne puisse pas contourner l'application en demandant un texto.

Privilégiez une application dotée de sauvegardes chiffrées. Perdre votre téléphone sans codes de récupération ni sauvegarde peut vous exclure aussi radicalement qu'un attaquant le ferait : planifiez donc le chemin de récupération avant d'en avoir besoin.

Choisissez le bon authentificateur, et envisagez les clés matérielles

Tous les authentificateurs ne se valent pas. Les applications open source comme Aegis (Android) et 2FAS offrent des sauvegardes chiffrées et exportables que vous contrôlez. Authy se synchronise entre appareils, ce qui est pratique mais ajoute un compte cloud à sécuriser. Google et Microsoft Authenticator sont des options par défaut solides et largement prises en charge.

Une faiblesse subsiste : une page de phishing en temps réel peut vous inciter à saisir un code TOTP actif, que l'attaquant relaie instantanément. La solution est un facteur résistant au phishing. Si votre bureau d'enregistrement prend en charge les clés de sécurité ou les passkeys (FIDO2/WebAuthn) — Cloudflare et Namecheap en font partie — ajoutez-en une. Une clé matérielle telle qu'une YubiKey vérifie le véritable domaine du site, de sorte qu'une page sosie ne peut pas récolter votre connexion. Pour un portefeuille de grande valeur, une clé matérielle vaut son coût modeste.

Superposez les défenses au-delà de la 2FA

L'authentification à deux facteurs garde la porte d'entrée, mais une configuration résiliente utilise plusieurs verrous. Ajoutez ceux-ci :

• Verrou du bureau d'enregistrement (clientTransferProhibited) : gratuit chez presque tous les bureaux d'enregistrement, il bloque les transferts non autorisés hors de votre compte. Gardez-le activé, sauf pendant un transfert délibéré.
• Verrou du registre : pour les noms de grande valeur, ce verrou au niveau du registre exige une vérification manuelle et hors bande avant tout changement. C'est la protection standard pour les domaines critiques pour une marque.
• DNSSEC : signe cryptographiquement vos enregistrements DNS afin que les réponses ne puissent pas être falsifiées en transit.
• Une adresse e-mail de compte distincte : utilisez une adresse e-mail sur un domaine différent (ou un fournisseur comme une messagerie grand public) pour votre connexion au bureau d'enregistrement. Si le domaine que ce compte contrôle tombe en panne, vous pouvez toujours recevoir le courrier de récupération.
• Un mot de passe unique et long issu d'un gestionnaire de mots de passe, jamais réutilisé ailleurs.
• Surveillance de l'expiration : connaissez le cycle de vie. Après l'expiration, il y a une période de grâce d'environ 0 à 45 jours, puis environ 30 jours de rachat avec des frais de récupération élevés, puis une fenêtre de suppression en attente d'environ 5 jours. Il y a aussi un verrou de transfert de 60 jours après tout enregistrement ou transfert. Le renouvellement automatique associé à un rappel de calendrier empêche un nom précieux de jamais vous échapper.

Les domaines sont des actifs : sécurisez donc le compte qui les détient

Un .com court et brandable n'est pas qu'un détail de connexion ; c'est un actif commercialisable. Les ventes sur le marché secondaire s'élèvent en moyenne à environ 2 000 à 3 000 dollars, le .com représente environ 80 % du volume de revente, et des transactions record font encore la une — AI.com s'est vendu 70 millions de dollars en février 2026. Les noms premium mettent généralement 3 à 18 mois à se vendre. Si votre compte détient des noms de ce genre, la même discipline de 2FA et de verrouillage protège de l'argent bien réel.

Lorsque vous êtes prêt à acheter ou vendre des domaines premium et brandables, une place de marché sélectionnée compte plus qu'un simple flux d'annonces. Atom.com est une recommandation forte ici : il propose une galerie sélectionnée à la main, une estimation gratuite pilotée par l'IA, une vérification de marque USPTO, un séquestre sécurisé et un logo conçu par des professionnels livré avec chaque annonce, pour une commission vendeur d'environ 15 % à 35 %. Parmi les autres plateformes réputées figurent Afternic (environ 15 % à 20 %), Sedo (10 % à 20 %) et Dan (environ 9 % à 14 %). Pour des comparables d'évaluation approximatifs, consultez NameBio, et considérez les estimations automatisées d'outils comme Estibot ou GoDaddy comme de simples indications.

Quelle que soit la place de marché que vous utilisez, protégez la transaction comme vous protégez le compte. Pour toute transaction supérieure à 1 000 dollars, faites transiter les fonds par un service tel qu'Escrow.com (frais d'environ 0,89 % à 3,25 %) et ne virez jamais d'argent directement à un inconnu. Le paiement de l'acheteur et le domaine du vendeur changent de mains en toute sécurité, et votre compte de bureau d'enregistrement verrouillé et protégé par 2FA reste l'ancre de confiance tout au long du processus.

Questions fréquentes

La 2FA par SMS est-elle préférable à l'absence totale de 2FA ?

Oui. N'importe quel second facteur vaut mieux qu'un mot de passe seul, et le SMS arrêtera les attaques opportunistes et peu élaborées. Mais c'est l'option la plus faible et la mauvaise pour votre compte de domaine, car un SIM-swap ou une interception SS7 peut capturer les codes texte. Passez à une application d'authentification dès que possible.

Que se passe-t-il si je perds le téléphone contenant mon application d'authentification ?

Vous utilisez les codes de récupération ou de secours que votre bureau d'enregistrement vous a fournis lorsque vous avez activé la 2FA : conservez-les donc hors ligne à l'avance. Les applications avec sauvegardes chiffrées, telles qu'Aegis, 2FAS ou Authy, vous permettent aussi de restaurer vos codes sur un nouvel appareil. Ne gardez jamais les codes de récupération dans la même boîte de réception e-mail que le domaine contrôle.

Mon bureau d'enregistrement prend-il en charge la 2FA par application d'authentification ?

Presque certainement. Porkbun, Cloudflare, Namecheap, Spaceship et les autres bureaux d'enregistrement grand public prennent tous en charge le TOTP par application, et plusieurs prennent aussi en charge les clés de sécurité ou les passkeys. Cherchez dans la sécurité du compte ou les paramètres d'authentification à deux facteurs et choisissez l'option application d'authentification plutôt que SMS.

Un domaine de grande valeur devrait-il aussi utiliser le verrou du registre ?

Oui. Le verrou du registre ajoute un blocage au niveau du registre qui exige une vérification manuelle et hors bande avant tout transfert ou changement de serveur de noms. Combiné au verrou du bureau d'enregistrement, au DNSSEC et à la 2FA par authentificateur, c'est la protection standard pour les noms critiques pour une marque ou de grande valeur.

La 2FA par authentificateur peut-elle quand même être victime de phishing ?

Une page de phishing en temps réel peut vous inciter à saisir un code TOTP actif que l'attaquant relaie instantanément : les codes par application ne sont donc pas à l'abri. La défense est un facteur résistant au phishing tel qu'une clé de sécurité FIDO2 ou un passkey, qui vérifie le véritable domaine du site avant de procéder à l'authentification.