Trouvez les contacts abuse du registraire et du réseau d'un domaine ou d'une IP via RDAP.
Réseau: RDAP + DoHNouveau
Générateur de signalements d'abus
Exécution localeNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Générateur de signalements d'abus
Fonctionnalités
Saisissez les URL, les adresses IP, les dates et les preuves d'un site de phishing ou d'arnaque, et obtenez un e-mail de signalement prêt à envoyer à son registraire, à son hébergeur ou à son CDN. Les empreintes (hashes) des fichiers sont calculées dans votre navigateur et rien n'est envoyé nulle part.
Tout se passe entièrement dans votre navigateur : aucune des données que vous saisissez n'est transmise.
Comment utiliser Générateur de signalements d'abus
- Choisissez le destinataire et l'attaque. Dans Report to (destinataire), choisissez Registrar, Hosting provider ou CDN / reverse proxy. Dans Attack type (type d'attaque), choisissez l'option la plus proche parmi six, comme Phishing ou Crypto wallet drainer.
- Saisissez ce que vous avez vu. Collez les URL, une par ligne ; les formes désamorcées comme hxxps:// et [.] sont reconverties en URL réelles. Laissez Domain vide pour utiliser le domaine enregistrable de la première URL, et ajoutez les adresses IP si vous les connaissez.
- Indiquez les horaires. Remplissez First seen et Last seen (première et dernière observation) ; ils sont interprétés en UTC et affichés au format ISO sous chaque champ. Now règle Last seen sur l'heure actuelle.
- Ajoutez des preuves. Collez des empreintes, ou déposez des fichiers pour obtenir leur SHA-256 dans votre navigateur. Ajoutez des liens d'analyse et une courte description de ce que la page demande.
- Générez et corrigez. Appuyez sur Generate report (générer le signalement). Les éléments rouges Fix before sending (à corriger avant l'envoi) bloquent le signalement ; les éléments jaunes Check sont des conseils. Après le premier signalement, le texte se met à jour au fil de vos modifications.
- Envoyez-le. Copiez l'objet et le corps, ouvrez-les dans votre messagerie, ou téléchargez un .txt ou un .json. Pour Cloudflare, collez le corps dans son formulaire d'abus.
Exemple
Drainer de portefeuille sur un domaine sosie
hxxps://connect.wallet-verify[.]example/claimFind the registrar's abuse address with Abuse Contact Lookup. Section 3.18 of the RAA binds ICANN-accredited registrars of gTLDs (.com, .net, .xyz and the other generic TLDs); for country-code domains the report cites the registry's policy instead.
Subject
Abuse report: crypto wallet drainer domain wallet-verify[.]example (impersonating Example Wallet)
Body
Hello abuse team,
I am reporting the domain name wallet-verify.example, registered through your company. It is used for a crypto wallet drainer: a fake site that asks visitors to connect a wallet and sign transactions that send their funds to the attacker, impersonating Example Wallet.
Details
Attack type: Crypto wallet drainer
Brand: Example Wallet
Domain: wallet-verify.example
URLs: https://connect.wallet-verify.example/claim
IP addresses: 192.0.2.10
First seen: 2026-10-19T08:00:00Z (UTC)
Last seen: 2026-10-20T09:30:00Z (UTC)
Evidence
https://urlscan.io/result/00000000-0000-4000-8000-000000000000/
Description
The page copies the Example Wallet site and asks visitors to connect a wallet and sign a token approval for all their assets.
Request
Section 3.18 of the ICANN Registrar Accreditation Agreement requires accredited registrars to investigate abuse reports and, when there is actionable evidence that a domain name is used for DNS abuse such as phishing or malware, to take prompt mitigation action. Please suspend this domain name (for example with the clientHold status) so that it stops resolving, and lock it against transfer while you investigate.
Please confirm that
…Un signalement au registraire pour wallet-verify.example : l'objet contient le domaine désamorcé, le corps l'URL réelle, l'IP 192.0.2.10, les dates de première et de dernière observation en UTC, un lien urlscan.io et une demande de suspension citant la section 3.18 de l'ICANN RAA.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| Report to | Registrar demande la suspension (par exemple clientHold) et un verrouillage du transfert. Hosting provider demande de retirer le contenu et de conserver les journaux. CDN demande l'hôte d'origine, la transmission du signalement et une page d'avertissement. |
| Attack type | Les signalements de phishing, de drainer et de malware adressés à un registraire de gTLD invoquent l'abus du DNS au titre de la section 3.18 du RAA et demandent une atténuation rapide. Pour les faux investissements, le faux support technique et les autres fraudes, le texte indique seulement que les registraires doivent enquêter et réagir de manière appropriée. |
| Domaine tiré des URL | Le domaine enregistrable de la première URL comportant un nom d'hôte, déterminé avec la Public Suffix List : connect.wallet-verify.example devient ainsi wallet-verify.example. Les URL sur une simple adresse IP ne donnent aucun domaine. |
| Fix before sending | Par exemple des URL sans http://, https:// ou ftp://, des IP ou des empreintes invalides, des dates incorrectes, un Last seen antérieur au First seen, des adresses e-mail invalides ou des liens de preuve qui ne sont pas des liens web. |
| Avertissements Check | Un TLD de code pays (le RAA ne s'applique pas), un domaine sur une plateforme partagée (utilisez le modèle hébergeur), une date dans le futur, un signalement au registraire sans domaine, ou aucune preuve pour l'instant. |
| Réglage du désamorçage | Par défaut, seul l'objet est désamorcé, pour que les filtres de messagerie ne prennent pas votre signalement pour du phishing, tandis que le service abuse reçoit quand même les vrais liens. Vous pouvez aussi désamorcer les indicateurs du corps, ou rien du tout. |
| Empreintes des preuves | MD5, SHA-1, SHA-256 ou SHA-512 en hexadécimal, une par ligne, avec un nom de fichier facultatif. Les fichiers déposés, jusqu'à 50 Mo chacun, sont hachés en SHA-256 et jamais téléversés. |
| Lien mailto trop long | Si le lien de messagerie dépasse 2 000 caractères, une note avertit que certaines applications de messagerie le tronquent. Utilisez plutôt Copy. |
D'autres exemples
Signalement à l'hébergeur pour une page sur une simple IP
Report to: Hosting provider · Attack: Phishing · URL: hxxp://198.51.100.23/secure/login.php · IP: 198.51.100.23 · Brand: Example Bank · First seen: 2026-10-21 14:05Objet : Abuse report: phishing content at hxxp://198[.]51[.]100[.]23/secure/login[.]php on 198[.]51[.]100[.]23 (impersonating Example Bank). Le corps indique l'URL réelle, l'IP et First seen 2026-10-21T14:05:00Z (UTC), et demande de retirer le contenu et de conserver les journaux. Un encadré Check signale qu'aucune preuve n'a encore été ajoutée.
Signalement au CDN pour une fausse mise à jour
Report to: CDN / reverse proxy · Attack: Malware delivery · URL: https://update.example.org/chrome-update.exe · Description: fake browser updateObjet : Abuse report: malware delivery site example[.]org served through your network. Le corps demande au fournisseur d'identifier l'hébergeur, de transmettre le signalement et d'afficher une page d'avertissement, sans communiquer vos coordonnées.
Saisie à corriger
Report to: Registrar · URL: login.example.net/verify · First seen: 2026-10-21 10:00 · Last seen: 2026-10-20 10:00 · Hash: 12345 kit.zipAucun signalement. Fix before sending liste : Not a URL (elle doit commencer par http://, https:// ou ftp://), Not a hash, et Last seen is earlier than first seen. Un encadré Check ajoute : No evidence yet.
FAQ
Que demandent les trois modèles ?
Le modèle registraire demande la suspension du domaine (par exemple clientHold) et un verrouillage du transfert, en citant la section 3.18 du Registrar Accreditation Agreement de l'ICANN pour les TLD génériques. Le modèle hébergeur demande le retrait du contenu et la conservation des journaux, et le modèle CDN demande au fournisseur d'identifier l'hôte d'origine, de transmettre le signalement et d'afficher un avertissement de phishing.
Le générateur vérifie-t-il que le site est malveillant ?
Non. Il met en forme ce que vous saisissez et ne vérifie que la forme : syntaxe des URL, des adresses IP, des empreintes et des dates, dernière observation postérieure à la première, et présence d'un domaine pour les signalements au registraire. C'est à vous de juger si les preuves suffisent, et la référence au RAA ne s'applique qu'aux registraires accrédités par l'ICANN pour les TLD génériques.
Le signalement ou mes coordonnées sont-ils envoyés quelque part ?
Non. Le signalement est construit dans votre navigateur et les fichiers déposés sont hachés localement, sans être téléversés. Il ne quitte la page que lorsque vous le copiez, l'ouvrez dans votre messagerie ou le téléchargez.
Faut-il signaler au registraire, à l'hébergeur ou au CDN ?
Un registraire peut empêcher la résolution du domaine ; un hébergeur peut retirer la page ; un CDN peut révéler le véritable hébergeur et afficher un avertissement. Il est courant d'envoyer des signalements distincts au registraire et au réseau derrière l'IP. Abuse Contact Lookup trouve les deux adresses.
Comment signaler un site derrière Cloudflare ?
Choisissez le modèle CDN. Cloudflare reçoit les signalements d'abus via son formulaire sur abuse.cloudflare.com, catégorie Phishing & Malware : collez-y le corps généré au lieu d'envoyer un e-mail.
Que contient le fichier JSON téléchargé ?
L'heure de génération, le modèle, le type d'attaque, la marque, le domaine, les URL, les IP, les dates de première et de dernière observation, les liens et empreintes de preuve, la description, le destinataire, votre nom et votre e-mail si vous les avez saisis, ainsi que l'objet et le corps. Il est pratique pour garder la trace de ce que vous avez signalé et de la date.