DNS Abuse en Afrique : pourquoi les classements de registres peuvent être trompeurs

Mesurer le DNS Abuse est indispensable pour évaluer la confiance dans une extension Internet. Mais un domaine signalé n’est pas nécessairement un domaine malveillant, et deux registres ne peuvent être sérieusement comparés si les définitions, les sources de données et les niveaux de preuve ne sont pas identiques.

Le DNS Abuse est progressivement devenu un indicateur de confiance pour l’industrie des noms de domaine.

Registres, registrars, chercheurs, fournisseurs de cybersécurité, gouvernements et grandes marques cherchent désormais à déterminer quelles extensions concentrent le plus de phishing, de malware, de botnets ou d’autres activités malveillantes.

L’objectif est légitime.

Mais derrière un classement apparemment simple se cache un problème beaucoup plus complexe : que mesure-t-on exactement ?

Le 10 août 2026, les équipes Security, Stability & Resiliency de l’ICANN ont publié une mise au point particulièrement importante.

Un domaine signalé comme suspect ou inscrit sur une liste de réputation n’est pas nécessairement un domaine pour lequel les preuves sont suffisantes pour conclure à une utilisation malveillante.

Et cette différence change presque tout.

Un domaine signalé n’est pas nécessairement un domaine malveillant

Les blocklists et autres sources de réputation jouent un rôle essentiel dans la cybersécurité.

Elles permettent de détecter rapidement des infrastructures potentiellement utilisées pour du phishing, du malware, du spam ou différentes formes d’activités malveillantes.

Mais elles poursuivent avant tout un objectif de protection.

Elles peuvent donc utiliser des méthodes différentes :

• observation directe d’une activité malveillante,
• analyse automatisée,
• honeypots,
• signalements communautaires,
• corrélation avec d’autres domaines,
• indicateurs comportementaux,
• modèles heuristiques ou prédictifs.

Un signal est extrêmement utile pour déclencher une investigation.

Il ne constitue pas nécessairement, à lui seul, une preuve suffisante pour suspendre un nom de domaine.

ICANN résume très clairement cette différence : les listes de réputation peuvent être utilisées pour observer des tendances, mais une mesure comme la suspension d’un domaine nécessite généralement une investigation ou une corroboration supplémentaire.

C’est une distinction fondamentale.

Un classement de DNS Abuse n’a de valeur que si l’on sait exactement ce qu’il compte, ce qu’il ignore et quel niveau de preuve il exige.

Le débat actuel montre pourquoi cette précision est indispensable

En juin 2026, Interisle Consulting Group a publié une étude consacrée aux domaines gTLD enregistrés en 2025.

Le rapport indique qu’environ 8,5 millions de domaines sur près de 85 millions de créations avaient déjà été inscrits sur des blocklists, soit environ 10 % des nouveaux enregistrements étudiés.

Interisle considère ce chiffre comme un plancher et estime, en intégrant notamment des domaines associés et de futures détections, que la proportion réelle de domaines enregistrés par des acteurs malveillants pourrait approcher 20 %.

Le chiffre est spectaculaire.

Mais la réaction de l’ICANN est précisément intéressante parce qu’elle ne consiste pas à nier l’existence du DNS Abuse.

Elle porte sur la manière dont nous transformons des observations en conclusions.

Une blocklist mesure des domaines signalés. Une extrapolation cherche à estimer une réalité plus large. Une décision de suspension doit, elle, reposer sur un niveau de preuve et sur une politique permettant d’agir.

Ce ne sont pas les mêmes objets statistiques.

ICANN et ccTLD : le mot « abus » ne recouvre pas toujours la même réalité

Une seconde difficulté apparaît lorsqu’on cherche à comparer différentes extensions.

Dans le cadre contractuel applicable aux gTLD, l’ICANN définit le DNS Abuse autour de cinq catégories :

• botnets,
• malware,
• pharming,
• phishing,
• spam lorsqu’il sert de vecteur aux formes d’abus précédentes.

Cette définition est volontairement liée au périmètre de compétence de l’ICANN.

Les ccTLD répondent à une logique différente.

Ils ne sont pas soumis au même cadre contractuel que les gTLD et peuvent construire leurs politiques en fonction de leur droit national, de leur gouvernance, de leur modèle de registre et de leurs propres choix.

Certains peuvent ainsi intégrer des notions comme :

• la fraude,
• les escroqueries,
• l’usurpation d’identité,
• certaines atteintes aux droits,
• ou d’autres usages interdits par leur réglementation.

Cela ne signifie pas qu’une définition est meilleure qu’une autre.

Cela signifie simplement qu’avant de comparer deux extensions, il faut vérifier qu’elles parlent de la même chose.

Pourquoi deux classements peuvent aboutir à des conclusions opposées

Imaginons deux registres.

Le premier utilise plusieurs fournisseurs de réputation, des techniques heuristiques et une définition large de l’abus.

Le second ne comptabilise que les incidents ayant fait l’objet d’une investigation et d’une confirmation.

Le premier pourra afficher davantage de « domaines abusifs ».

Pourtant, cela ne prouve absolument pas que son extension est moins sûre.

Cela peut simplement signifier qu’il détecte davantage.

L’inverse est encore plus problématique.

Un registre disposant de peu d’outils de surveillance et recevant peu de signalements peut statistiquement apparaître comme extrêmement propre alors que sa visibilité sur les abus est simplement insuffisante.

Autrement dit :

l’absence de données n’est pas une preuve d’absence d’abus.

Il faut également distinguer un domaine enregistré directement dans une intention malveillante d’un domaine parfaitement légitime compromis plusieurs mois ou plusieurs années après sa création.

Attribuer ces deux événements à la seule « qualité » du registre produirait une conclusion scientifiquement discutable.

Le problème particulier des ccTLD africains

Cette question devient particulièrement importante en Afrique.

Le continent rassemble des espaces de nommage très différents : registres de tailles très variables, règles d’éligibilité différentes, second levels structurés ou non, politiques locales, modèles économiques distincts et capacités techniques qui ne sont pas toujours comparables.

La disponibilité des données varie également.

Interisle rappelle d’ailleurs que les données transactionnelles et d’enregistrement disponibles dans l’univers des gTLD ne sont que partiellement disponibles, voire parfois indisponibles, pour certains ccTLD.

Les documentations publiques de .africa, .ng ou .ke montrent également des approches différentes concernant les signalements, les plaintes, les investigations et les mesures pouvant être prises.

Comparer directement ces extensions à partir d’un simple nombre de domaines présents sur une blocklist serait donc insuffisant.

Un petit ccTLD pourrait être fortement pénalisé par quelques dizaines ou centaines d’incidents.

Un très grand registre pourrait afficher davantage d’incidents en valeur absolue tout en ayant une concentration relative beaucoup plus faible.

Et un registre disposant d’une politique anti-abus particulièrement active pourrait paradoxalement faire apparaître davantage de cas simplement parce qu’il les détecte et les documente mieux.

Ce qu’il faudrait réellement mesurer

Si nous voulons un jour comparer sérieusement la sécurité et la qualité des ccTLD africains, il faudra dépasser le classement unique.

Je privilégierais une lecture autour de plusieurs familles d’indicateurs.

1. La qualité des données

• nombre et nature des sources utilisées,
• couverture temporelle,
• méthode de collecte,
• part des données heuristiques,
• possibilité de reproduire les résultats.

2. La qualification de l’abus

• phishing, malware, botnet, pharming, spam,
• fraude ou escroquerie lorsque la politique locale les inclut,
• domaine enregistré malicieusement ou domaine compromis,
• niveau de corroboration.

3. La taille et la dynamique du registre

• nombre de domaines sous gestion,
• volume de nouveaux enregistrements,
• taux d’abus rapporté à la taille de la zone,
• évolution dans le temps plutôt qu’une photographie isolée.

4. La capacité de réponse

• existence d’un canal de signalement,
• délai de traitement,
• mécanismes de corroboration,
• coopération avec les registrars,
• mesures de remédiation, de verrouillage ou de suspension,
• traçabilité des décisions.

5. La transparence

• politique anti-abus publique,
• définition précise des catégories d’abus,
• publication de statistiques,
• méthodologie documentée,
• possibilité de contester une décision ou un faux positif.

De « signalé » à « actionnable »

Pour l’Observatoire NAAM, une approche pourrait consister à ne jamais placer immédiatement un domaine dans une catégorie binaire « propre » ou « malveillant ».

Je préfère une chaîne de qualification beaucoup plus explicite :

signalé → suspect → corroboré → confirmé → actionnable.

Signalé : le domaine apparaît dans au moins une source ou fait l’objet d’un signalement.

Suspect : des éléments techniques ou comportementaux justifient une investigation.

Corroboré : plusieurs sources ou observations indépendantes convergent.

Confirmé : les éléments disponibles permettent raisonnablement de conclure à une activité correspondant à la définition retenue.

Actionnable : les preuves, la politique du registre et le cadre juridique permettent d’envisager une mesure opérationnelle.

Cette dernière catégorie ne signifie d’ailleurs pas automatiquement « suspension ».

Selon la situation, l’action appropriée peut être une demande d’information, une notification au registrar, une remédiation, un verrouillage, une suspension ou une orientation vers une procédure juridique.

L’Afrique n’a pas besoin d’un classement spectaculaire

Le futur Observatoire africain des extensions Internet ne devrait pas chercher à produire un palmarès simpliste des « meilleures » et des « pires » extensions.

Ce serait séduisant.

Mais ce serait intellectuellement fragile.

Ce dont les entreprises, les institutions, les régulateurs et les gestionnaires de ccTLD ont réellement besoin, c’est d’un instrument permettant de comprendre :

• ce qui est observé,
• comment cela est observé,
• avec quel niveau de confiance,
• comment le registre réagit,
• et comment la situation évolue.

Une extension nationale n’est pas uniquement une chaîne de caractères.

Elle est une infrastructure de confiance.

La qualité de sa gouvernance ne se mesure donc pas seulement au nombre d’incidents qu’elle connaît, mais également à sa capacité à les détecter, les comprendre, les traiter et rendre compte de son action.

Pour mesurer la confiance dans un ccTLD, compter les abus ne suffit pas. Il faut aussi mesurer la capacité du registre à les voir, à les qualifier et à y répondre.