Verrou registrar vs verrou registry : explications

Le verrou registrar et le verrou registry bloquent tous deux les transferts de domaine non autorisés, mais ils agissent à des niveaux différents et protègent contre des menaces différentes. Le verrou registrar est un réglage gratuit, activé par défaut, que vous basculez depuis votre compte ; le verrou registry est un service premium payant qui exige une autorisation manuelle, hors bande, au niveau du registre lui-même avant tout changement. Pour la plupart des domaines, le verrou gratuit suffit — le registry lock ne justifie son coût que pour les noms dont la perte serait catastrophique.

Ce guide explique précisément ce que fait chaque verrou au niveau du protocole, comment lire les codes de statut de votre propre domaine et où se situe la frontière entre « le réglage par défaut convient » et « ce nom vaut la peine d'être protégé à prix fort ».

Ce que fait réellement un verrou registrar

Un verrou registrar (parfois appelé « domain lock » ou « transfer lock ») est appliqué par votre registrar — Porkbun, Namecheap, Cloudflare, GoDaddy et les autres — et il est activé par défaut dès que vous enregistrez la plupart des domaines. Techniquement, il définit un ou plusieurs codes de statut EPP qui commencent par le mot client :

• clientTransferProhibited — bloque les transferts vers un autre registrar
• clientUpdateProhibited — bloque les modifications des coordonnées et des enregistrements de serveurs de noms
• clientDeleteProhibited — bloque la suppression du domaine

Le mot « client » est l'indice : ces indicateurs sont contrôlés par le registrar (le client du registre), ce qui signifie en pratique que toute personne capable de se connecter à votre compte registrar peut les désactiver en deux clics. C'est précisément pourquoi un verrou registrar stoppe les accidents et les méfaits opportunistes, mais fait peu de chose contre un attaquant qui a déjà hameçonné votre mot de passe ou détourné votre compte.

Ce qu'ajoute le registry lock au niveau du registre

Le registry lock est appliqué un niveau au-dessus, au niveau du registre qui gère réellement le TLD — Verisign pour .com et .net, et des opérateurs équivalents pour les autres extensions. Au lieu d'indicateurs côté client, il définit les équivalents côté serveur : serverTransferProhibited, serverUpdateProhibited et serverDeleteProhibited. Ceux-ci ne peuvent pas du tout être retirés depuis le tableau de bord de votre registrar.

Lever un registry lock est une procédure délibérée et manuelle. Le registre, par l'intermédiaire du guichet dédié de votre registrar, vérifie votre identité hors bande — un rappel téléphonique vers un numéro convenu à l'avance, une phrase secrète de sécurité ou la confirmation de contacts autorisés nommément désignés — avant de déverrouiller le nom pour un changement précis et limité dans le temps. Cette étape hors bande est tout l'intérêt : un mot de passe volé, une boîte mail compromise ou un agent du support manipulé par ingénierie sociale ne suffit plus, car l'autorisation finale a lieu sur un canal que l'attaquant ne contrôle pas.

Verrou registrar vs verrou registry : les différences essentielles

Les deux verrous partagent un même objectif — aucun transfert, suppression ou modification d'enregistrement non autorisé — mais ils se situent à des couches différentes et coûtent des montants très différents :

• Qui l'applique : le verrou registrar est défini par votre registrar ; le registry lock est défini par l'opérateur du registre.
• Codes de statut : codes client* contre codes server*, tous deux visibles dans n'importe quelle recherche WHOIS ou RDAP.
• Comment on le retire : un simple bouton en libre-service dans votre compte contre une demande manuelle, vérifiée et hors bande.
• Coût : le verrou registrar est gratuit et généralement activé par défaut ; le registry lock est une option payante, facturée en général à l'année et proposée uniquement par les registrars qui le prennent en charge.
• Menace qu'il stoppe : les accidents et les détournements occasionnels contre une compromission totale du compte, une action interne et l'ingénierie sociale du support.

Quand un simple verrou registrar suffit

Pour l'écrasante majorité des domaines, le verrou registrar gratuit associé à une bonne hygiène du compte est la bonne réponse. Si votre nom est un projet de loisir, un site personnel, une page vitrine de petite entreprise ou tout domaine que vous pourriez réenregistrer ou récupérer sans dommage financier ou de réputation sérieux, payer pour un verrou premium relève de la sur-ingénierie. Ce qui compte bien davantage à ce niveau, c'est que le verrou gratuit soit réellement activé et que le compte qui le contrôle soit difficile à compromettre :

• Vérifiez que clientTransferProhibited apparaît sur le domaine.
• Activez la 2FA par application (authentificateur) — pas par SMS, qui est exposé au SIM-swapping.
• Utilisez pour le compte registrar une adresse e-mail hébergée sur un domaine différent, afin que la perte d'un nom ne puisse jamais vous verrouiller hors du compte qui le contrôle.

N'oubliez pas non plus que l'ICANN impose déjà un verrou de transfert de 60 jours après tout enregistrement ou changement de titulaire : les noms fraîchement achetés ou mis à jour bénéficient donc d'un délai de réflexion intégré, quels que soient vos réglages.

Quand le registry lock vaut la peine d'être payé

Le registry lock justifie son abonnement annuel pour les noms dont un transfert non autorisé, ou même quelques heures de détournement DNS, constituerait une véritable urgence : e-commerce vital pour le chiffre d'affaires, tout ce qui gère des connexions ou des paiements, sites médias à fort trafic et domaines premium brandables que vous avez payés une vraie somme. Le contexte aide à mesurer les enjeux. Un domaine du marché secondaire change de mains en général pour environ 2 000 à 3 000 $, les noms en .com représentent près de 80 % du volume de ce marché, et le tout premier segment est extraordinaire — la vente record de AI.com se serait conclue à 70 millions de dollars en février 2026. Lorsqu'un seul nom constitue de fait un actif à cinq, six ou sept chiffres, un verrou qui élimine le scénario « un mot de passe hameçonné et tout est perdu » est une assurance bon marché.

C'est aussi pourquoi le chemin d'acquisition compte. Si vous achetez un nom premium et brandable sur une place de marché sélective comme Atom.com — où les annonces s'accompagnent d'une estimation IA gratuite, d'une vérification de marque USPTO, d'un séquestre sécurisé et d'un logo conçu livré avec le domaine — vous traitez ce nom comme un actif commercial essentiel dès le premier jour. Verrouillez-le en conséquence : verrou registrar immédiatement, registry lock dès qu'il devient le pilier d'une marque que vous ne pouvez pas vous permettre de perdre.

Comment vérifier le statut de verrouillage de votre domaine

Vous n'avez pas à vous fier à un bouton du tableau de bord — les codes de statut sont publics. Lancez une recherche RDAP ou WHOIS sur votre domaine et lisez le champ « Domain Status » :

1. Vous voyez clientTransferProhibited (et idéalement clientUpdateProhibited et clientDeleteProhibited) ? Votre verrou registrar est actif.
2. Vous voyez serverTransferProhibited, serverUpdateProhibited ou serverDeleteProhibited ? Un registry lock est actif.
3. Vous ne voyez que ok ou active ? Le domaine est déverrouillé et librement transférable — corrigez cela immédiatement.

La même recherche vaut la peine d'être lancée avant d'acheter n'importe quel nom, pour savoir dans quel état il se trouve et à quelle vitesse il pourrait passer sous votre contrôle.

Les verrous sont une couche, pas tout le mur

Un verrou ne protège que ce qu'il couvre : traitez donc les deux types comme des éléments d'un empilement plutôt que comme une défense complète :

• DNSSEC signe vos réponses DNS afin qu'elles ne puissent pas être falsifiées silencieusement en transit — une protection distincte des verrous de transfert, qu'il vaut la peine d'activer sur les noms importants.
• La 2FA par authentificateur sur le compte registrar est le contrôle à la plus forte valeur, car l'accès au compte est ce dont dépendent en définitive la plupart des verrous.
• L'étape hors bande du registry lock est ce qui survit même à une prise de contrôle totale du compte — ce qui explique précisément pourquoi les noms de grande valeur justifient la dépense.

Adaptez le verrou aux enjeux : verrou registrar gratuit et 2FA robuste pour les domaines du quotidien, registry lock ajouté par-dessus pour la poignée de noms que vous ne pouvez vraiment pas vous permettre de perdre.

Questions fréquentes

Le registry lock est-il la même chose que le verrou registrar ?

Non. Un verrou registrar est défini par votre registrar à l'aide des codes EPP client* et peut être désactivé depuis votre compte. Un registry lock est défini par le registre à l'aide des codes server* et ne peut être retiré que via une vérification d'identité manuelle et hors bande — une couche de protection différente et plus robuste.

Un verrou registrar empêche-t-il le détournement de domaine ?

En partie. Il empêche les transferts accidentels et les tentatives occasionnelles et opportunistes. Il n'arrête pas un attaquant qui a déjà compromis votre compte registrar, puisque toute personne connectée peut le désactiver. Pour cette menace, il vous faut un registry lock ainsi qu'une 2FA par authentificateur.

Combien coûte le registry lock ?

C'est un service premium payant, généralement facturé à l'année, et seuls certains registrars le proposent. Les tarifs et les frais par modification varient selon le registrar et le TLD : vérifiez donc directement auprès du registrar qui gère vos noms de grande valeur avant de vous engager.

Quel statut EPP signifie que mon domaine est déverrouillé ?

Si une recherche WHOIS ou RDAP n'affiche que « ok » ou « active » sans les codes clientTransferProhibited ou serverTransferProhibited, le domaine est déverrouillé et peut être transféré librement. Activez au moins le verrou registrar sans tarder.

Puis-je ajouter un registry lock à n'importe quel domaine ?

Uniquement si le registre du TLD le prend en charge et si votre registrar propose le service. Il est largement disponible sur .com et .net ainsi que sur plusieurs autres extensions, mais pas universel : confirmez donc la disponibilité pour votre domaine et votre registrar spécifiques.