Anti-abus : l’ICANN veut remonter des domaines isolés aux campagnes organisées

L’ICANN vient de confirmer l’ouverture de deux chantiers ciblés sur les domaines associés et l’accès automatisé aux outils d’enregistrement. Derrière ces travaux techniques se dessine une évolution majeure : la lutte contre les abus ne peut plus se limiter au traitement d’un nom de domaine à la fois.

La mise à jour du statut des avis du Comité consultatif gouvernemental de l’ICANN, publiée le 23 juillet 2026, confirme l’avancement de deux processus ciblés de développement de politiques contre les abus liés aux noms de domaine.

Le premier porte sur les Associated Domain Checks, c’est-à-dire la recherche de domaines associés à un même compte, un même titulaire ou une même infrastructure lorsqu’un premier domaine a été identifié comme malveillant.

Le second doit examiner les garanties entourant l’accès par API aux outils d’enregistrement de noms de domaine par de nouveaux clients.

Le rapport final sur l’atténuation des abus DNS avait été transmis au Conseil du GNSO en décembre 2025. Le 11 décembre 2025, celui-ci a décidé d’engager deux processus distincts et volontairement limités.

La charte du premier processus a été adoptée le 15 janvier 2026, permettant au groupe de travail de commencer ses travaux. Le second processus sera lancé lorsque l’avancement du premier et les ressources disponibles au sein de la communauté de l’ICANN le permettront.

À première vue, il pourrait s’agir d’une nouvelle évolution procédurale au sein de l’écosystème de l’ICANN.

En réalité, le changement est beaucoup plus profond.

Le domaine frauduleux n’est souvent que la partie visible

Pendant longtemps, la lutte contre les abus a été organisée autour d’une unité relativement simple : un nom de domaine, un signalement, une analyse, puis éventuellement une suspension.

Cette méthode reste nécessaire. Mais elle ne correspond plus entièrement à la manière dont les campagnes frauduleuses modernes sont organisées.

Un acteur malveillant utilise rarement un seul domaine pendant plusieurs mois.

Il peut enregistrer plusieurs dizaines ou plusieurs centaines de noms, les répartir entre différentes campagnes, n’en activer qu’une partie et remplacer rapidement ceux qui sont détectés ou suspendus.

Le domaine signalé n’est alors qu’un élément visible d’une infrastructure beaucoup plus vaste.

Plusieurs noms peuvent notamment partager :

• le même compte client ou les mêmes informations d’enregistrement,
• une période d’enregistrement très rapprochée,
• des serveurs DNS ou des hébergements communs,
• des modèles de construction ou des chaînes de caractères similaires,
• des certificats, des contenus ou des services de messagerie associés,
• une même logique technique, commerciale ou comportementale.

Le rapport final de l’ICANN souligne précisément cette limite : les obligations actuelles des registrars sont principalement concentrées sur le domaine faisant l’objet du signalement.

Même lorsqu’un registrar confirme qu’un nom a été enregistré à des fins malveillantes, il n’existe pas encore d’obligation contractuelle générale lui imposant de rechercher les autres domaines actifs éventuellement liés au même compte ou au même titulaire.

Autrement dit, il ne suffit plus de fermer une adresse lorsque l’infrastructure qui l’a produite peut en générer immédiatement dix autres.

Une politique anti-abus efficace ne doit pas seulement fermer la porte utilisée par l’attaquant. Elle doit comprendre comment il a construit le couloir.

Que signifie réellement un « Associated Domain Check » ?

Le principe peut être résumé simplement.

Lorsqu’un registrar dispose d’éléments exploitables démontrant qu’un domaine a été enregistré à des fins malveillantes, il pourrait être tenu de vérifier si d’autres domaines placés sous sa gestion sont raisonnablement associés au même acteur, au même compte ou à la même campagne.

Il faut cependant être précis : aucune nouvelle obligation définitive n’a encore été adoptée.

Le groupe de travail devra déterminer les conditions exactes dans lesquelles une telle vérification pourrait être exigée.

Plusieurs questions devront être tranchées :

• Quels éléments doivent déclencher une recherche de domaines associés ?
• Quels critères permettent d’établir une association suffisamment solide ?
• Jusqu’où un registrar doit-il conduire son investigation ?
• Quels délais doivent être respectés ?
• Quelles données peuvent être utilisées légalement ?
• Comment protéger la confidentialité et les droits des titulaires légitimes ?
• Quel recours prévoir en cas de suspension injustifiée ?
• Comment mesurer l’efficacité de la future politique ?

L’équilibre sera délicat.

Un lien technique n’est pas une preuve définitive. Deux domaines peuvent utiliser le même hébergeur, le même fournisseur DNS, le même registrar ou la même adresse IP sans appartenir au même acteur.

Une infrastructure mutualisée peut héberger des milliers de clients parfaitement légitimes.

L’association doit donc être considérée comme un signal à examiner, et non comme une condamnation automatique.

Relier des domaines ne signifie pas les déclarer coupables. Cela signifie refuser d’ignorer les relations visibles lorsqu’elles révèlent une campagne organisée.

L’API n’est pas le problème

Le second chantier concerne les interfaces de programmation utilisées pour automatiser les enregistrements.

Les API sont indispensables au fonctionnement moderne du marché des noms de domaine. Elles permettent aux revendeurs, aux agences, aux grands portefeuilles de marques et aux prestataires techniques d’enregistrer ou d’administrer efficacement des volumes importants.

Le problème n’est donc pas l’automatisation elle-même.

Le risque apparaît lorsqu’un nouveau compte peut accéder immédiatement, sans vérification ou mécanisme de confiance suffisant, à des capacités d’enregistrement à haute volumétrie.

La même technologie qui permet à une entreprise de sécuriser rapidement plusieurs centaines de noms peut permettre à un acteur malveillant de construire en quelques minutes une infrastructure complète de phishing ou de diffusion de logiciels malveillants.

Le futur processus doit donc examiner l’introduction de garanties proportionnées avant qu’un nouveau client puisse accéder à des outils d’enregistrement massif.

Cela pourrait passer par une montée en puissance progressive de l’accès, à mesure que la relation de confiance est établie.

Les mesures concrètes restent toutefois à définir par la communauté.

L’objectif ne doit pas être de bloquer les usages légitimes, les revendeurs ou les nouveaux acteurs du marché. Il doit être de réduire la capacité d’un compte inconnu à industrialiser immédiatement une campagne frauduleuse.

La question devient donc :

À partir de quel niveau d’automatisation la fluidité doit-elle être accompagnée d’une responsabilité renforcée ?

Le registrar devient un point de contrôle stratégique

Ces travaux confirment également l’évolution du rôle des registrars.

Le registrar n’est plus seulement l’intermédiaire chargé d’enregistrer un nom de domaine et d’encaisser son renouvellement. Il occupe une position privilégiée dans la chaîne opérationnelle.

Il peut disposer d’informations que les observateurs extérieurs ne voient pas :

• l’organisation des comptes clients,
• les commandes réalisées au même moment,
• certaines informations de contact,
• les moyens de paiement ou les signaux de risque associés,
• les habitudes d’utilisation de sa plateforme,
• les accès aux interfaces automatisées,
• les comportements révélant une activité inhabituelle.

Cette visibilité lui confère une responsabilité particulière.

Elle soulève également des questions de coût, de proportionnalité et de responsabilité juridique.

Tous les registrars n’ont pas la même taille, les mêmes outils, les mêmes marchés ni les mêmes modèles économiques. Une future politique devra donc créer une obligation suffisamment claire, sans supposer qu’un petit registrar spécialisé fonctionne comme une plateforme internationale gérant plusieurs millions de noms.

Une mesure trop faible laisserait les campagnes frauduleuses se reconstituer.

Une mesure trop large pourrait affecter des titulaires légitimes, introduire une surveillance disproportionnée ou provoquer des suspensions injustifiées.

La crédibilité de la future politique dépendra de cet équilibre.

La veille de marque doit changer d’échelle

Pour les entreprises, les institutions et les titulaires de marques, cette évolution remet en cause une partie des pratiques traditionnelles de surveillance.

Une veille classique recherche principalement :

• les variantes orthographiques d’une marque,
• les homoglyphes et substitutions de caractères,
• les noms ajoutant un mot générique ou géographique,
• les extensions nouvellement utilisées,
• les domaines identiques à certaines dénominations protégées.

Ces contrôles restent indispensables, mais ils ne suffisent plus.

Une surveillance moderne doit également rechercher les relations entre les domaines détectés.

Elle doit pouvoir répondre à des questions plus larges :

• Quels domaines sont apparus pendant la même période ?
• Utilisent-ils les mêmes serveurs DNS, hébergeurs ou certificats ?
• Présentent-ils des architectures ou des contenus similaires ?
• Partagent-ils des enregistrements MX ou des configurations de messagerie suspectes ?
• Redirigent-ils vers les mêmes ressources ?
• Une première alerte révèle-t-elle une campagne plus étendue ?
• Quels éléments peuvent être transmis au registrar ou au registre concerné ?

La veille ne doit donc plus produire uniquement une liste de noms.

Elle doit produire une cartographie des relations, accompagnée d’un niveau de confiance, d’une analyse de risque et d’un dossier de preuves.

Certaines informations resteront naturellement accessibles uniquement au registrar. Les outils externes ne doivent donc pas transformer une corrélation en attribution définitive.

Ils peuvent néanmoins identifier des grappes, documenter les signaux, hiérarchiser les risques et faciliter l’intervention des acteurs disposant de données complémentaires.

La lecture stratégique de NAAM

Pour NAAM, cette évolution ouvre une direction très concrète : faire évoluer la veille de marque vers une veille des infrastructures associées.

Dans le cadre de NAAM Watch et des offres de Protection Afrique, l’analyse pourrait être organisée autour de plusieurs couches.

1. La couche lexicale

Variantes de marque, fautes intentionnelles, homoglyphes, substitutions de caractères et combinaisons avec des secteurs, des services ou des pays.

2. La couche temporelle

Domaines enregistrés dans une même fenêtre, activés simultanément ou renouvelés selon un schéma commun.

3. La couche DNS et technique

Serveurs de noms, adresses IP, certificats, hébergeurs, redirections, sous-domaines et configurations de messagerie.

4. La couche comportementale

Pages similaires, formulaires identiques, mécanismes de collecte de données, outils de suivi et contenus réutilisés.

5. La couche opérationnelle

Registrar, revendeur, extension utilisée, procédure de signalement, délai de réponse et possibilité d’escalade.

6. La couche de confiance

Évaluation de la solidité des relations observées afin de distinguer une simple coïncidence technique d’une campagne probablement coordonnée.

Cette méthode permettrait de ne plus remettre au client un simple inventaire de domaines suspects, mais une vision structurée de la menace :

• domaine initial détecté,
• domaines probablement associés,
• infrastructures communes,
• niveau de risque,
• éléments de preuve,
• acteurs à contacter,
• actions recommandées.

La valeur ne résiderait plus uniquement dans la détection.

Elle résiderait dans la capacité à comprendre la campagne et à organiser la réponse.

Une direction à observer pour les ccTLD africains

Les processus du GNSO concernent principalement les politiques applicables aux registres et registrars sous contrat avec l’ICANN dans l’univers des extensions génériques.

Ils ne créeront donc pas automatiquement de nouvelles obligations pour les registres nationaux africains.

Mais les ccTLD auraient tort de considérer ces travaux comme une affaire extérieure.

Ils peuvent y trouver un laboratoire de pratiques pour :

• encadrer les accès automatisés à leurs plateformes,
• renforcer l’intégration et la supervision des revendeurs,
• détecter les enregistrements massifs ou anormaux,
• organiser des procédures de vérification proportionnées,
• mettre en place des mécanismes de notification de confiance,
• coordonner les réponses entre registre, registrar, hébergeur et autorités compétentes.

Chaque extension nationale devra naturellement adapter ces principes à son cadre juridique, à la maturité de son marché et à ses capacités opérationnelles.

L’enjeu n’est pas de reproduire mécaniquement les politiques de l’ICANN.

Il est de comprendre la direction prise par l’écosystème mondial, puis de déterminer ce qui doit être adapté aux réalités africaines.

Le nom de domaine ne peut plus être analysé seul

Ces deux processus ne résoudront pas, à eux seuls, l’ensemble des abus liés au DNS.

Ils ne supprimeront ni les faux positifs, ni les déplacements de campagnes entre fournisseurs, ni l’utilisation de comptes compromis, de sous-domaines ou d’infrastructures situées en dehors du périmètre contractuel de l’ICANN.

Mais ils reconnaissent une réalité déterminante : la fraude numérique est devenue industrielle, automatisée et distribuée.

La réponse ne peut plus rester artisanale.

Le nom de domaine demeure l’unité visible de l’abus. Mais la véritable unité d’analyse devient progressivement la campagne, le compte et l’infrastructure qui les relie.

Pour les titulaires de marques, protéger un nom ne consiste donc plus seulement à surveiller ses variantes.

Pour les registrars, traiter un signalement pourrait ne plus se limiter au seul domaine mentionné.

Pour les registres et les institutions, une politique anti-abus doit désormais être pensée comme une capacité permanente de détection, de coopération et de réaction.

Demain, la meilleure veille ne sera pas celle qui détectera le plus de noms. Ce sera celle qui comprendra le plus rapidement les relations qui les unissent.