Guide · Domaines sosies
Comment vérifier si votre domaine est usurpé
Un domaine sosie se prépare en silence : dépôt, certificat, copie de votre page de connexion, puis campagne. Voici comment le repérer à chaque étape, avec des outils publics. Un domaine sosie se prépare en silence : dépôt, certificat, copie de votre page de connexion, puis campagne. Voici comment le repérer à chacune de ces étapes, avec des outils publics, et ce qu’une surveillance continue ajoute.
- Guide
- Guide
- Étapes
- 7 ·10 min de lecture
- Publié le
- Dernière mise à jour
- Services associés
- Domaines sosiesTakedown managéVeille cybercriminelle
En une phrase
Pour savoir si votre domaine est usurpé, générez ses variantes plausibles, cherchez-les dans les registres de domaines et les journaux de certificats, examinez leur DNS et leur contenu, puis demandez le retrait de celles qui imitent votre marque.
Il existe des centaines de variantes plausibles d’un nom de domaine : une lettre en moins, deux lettres inversées, un caractère d’un autre alphabet, une extension voisine, un mot-clé ajouté comme « login », « secure » ou « rh ». Un attaquant n’en dépose qu’une ou deux ; le travail consiste à regarder les bonnes au bon moment.
La bonne nouvelle : l’enregistrement d’un domaine et l’émission d’un certificat laissent des traces publiques. Quelqu’un qui regarde ces traces voit la préparation d’une campagne des jours avant le premier e-mail.
Étapes
Les sept étapes
- 01
Générer les variantes
Listez les permutations de votre domaine : fautes de frappe courantes sur un clavier, lettres doublées ou omises, homoglyphes (« rn » pour « m », caractères cyrilliques), tirets ajoutés, extensions .co, .net, .fr, .io, et combinaisons avec des mots-clés de votre activité. Des générateurs de permutations libres existent ; conservez la liste, elle servira à chaque contrôle.
- 02
Consulter les journaux de certificats
Les journaux publics de Certificate Transparency consignent chaque certificat émis. Cherchez-y votre marque et vos variantes : un certificat pour « votre-marque-login.example » émis hier est le signal le plus précoce d’une page de phishing en préparation.
Cherchez aussi vos noms de produits et vos abréviations internes, pas seulement le nom de l’entreprise.
- 03
Vérifier WHOIS, RDAP et DNS
Pour chaque variante enregistrée : date de création, registrar, serveurs de noms, présence d’enregistrements MX. Un domaine créé récemment, chez un registrar peu regardant, avec des MX configurés, est prêt à envoyer des e-mails en votre nom.
- 04
Examiner le contenu
Ouvrez la page dans un environnement isolé, ou via un service de capture. Formulaire de connexion, logo, mentions copiées : c’est une usurpation. Page de parking ou site sans rapport : notez-le et re-contrôlez ; les domaines sont souvent « armés » plus tard.
- 05
Verrouiller vos propres e-mails
Publiez SPF, signez avec DKIM et passez DMARC en politique « reject » avec des rapports agrégés. Cela n’empêche pas un domaine sosie d’exister, mais empêche l’usurpation directe de votre domaine exact et vous donne des rapports sur qui tente de l’utiliser.
- 06
Documenter et demander le retrait
Captures d’écran horodatées, enregistrements DNS, en-têtes des e-mails reçus. Écrivez au registrar (abuse), à l’hébergeur et, pour une page active, aux navigateurs et aux listes de blocage. Une demande précise, avec preuves, est traitée bien plus vite qu’un signalement vague.
- 07
Surveiller en continu
Un contrôle manuel vaut pour un instant. Les dépôts et certificats arrivent chaque jour ; automatisez la veille sur vos variantes, vos marques et vos mots-clés, et faites qualifier chaque nouveau domaine avant d’agir.
Pourquoi un domaine sosie est déposé des semaines avant d’être utilisé
Un domaine tout neuf est suspect pour les filtres de messagerie et les navigateurs. Les attaquants le laissent « vieillir », y déposent un contenu neutre, obtiennent un certificat, puis basculent la page au moment de la campagne. Cette latence est votre fenêtre : entre le dépôt et l’usage, le domaine est visible et rien n’a encore été envoyé.
Ce que la surveillance automatisée ajoute
Elle exécute les étapes 1 à 4 en continu : génération des variantes, lecture des registres et des journaux de certificats, résolution DNS, capture de la page. Elle rattache chaque domaine à une fiche (enregistrement, certificat, MX, capture, chronologie) et un analyste décide s’il faut demander un retrait, surveiller ou classer.
Questions fréquentes
Faut-il déposer soi-même toutes les variantes de son domaine ?
Déposez les plus évidentes (fautes fréquentes, extensions principales) ; il est impossible de toutes les couvrir. La surveillance complète le dépôt défensif.
Un domaine parqué sans contenu est-il dangereux ?
Pas encore, mais il est prêt à le devenir. Notez-le, surveillez son certificat et ses MX, et préparez la demande de retrait pour le jour où il bascule.
DMARC suffit-il contre le phishing ?
Il protège votre domaine exact contre l’usurpation directe. Il ne protège pas contre un domaine sosie, qui a ses propres SPF et DKIM parfaitement valides.
Voir les domaines qui vous imitent aujourd’hui
Une évaluation d’exposition inclut la recherche des variantes de vos domaines dans les registres et les journaux de certificats.
Offre sur mesure : un prix par service, aucun prix public, aucun pack.