De la détection à la mise en œuvre

La question est plus précise que « qui a échoué ? » : quels délais observables entre des preuves validées et une action proportionnée sont évitables, et quelle intervention réduit le préjudice subi par les victimes sans provoquer de faux positifs ni d’effets collatéraux inacceptables ?

Le champ couvre l’écosystème contractuel des gTLD : titulaires, revendeurs, bureaux d’enregistrement, registres et fonction de conformité contractuelle d’ICANN. Les hébergeurs, CDN, navigateurs, services de paiement, plateformes publicitaires, CERT nationaux et services répressifs ne sont inclus que lorsqu’ils influent sur la chaîne des preuves ou de réponse. Les ccTLD relèvent d’une gouvernance différente et ne sont pas réputés soumis aux contrats gTLD d’ICANN.

État d'avancement des thèses principales

• Cet article analyse l'ICANN en tant qu'institution de gouvernance privée et de contrôle du respect des contrats au sein de l'écosystème de l'gTLD. L'ICANN n'est ni un organisme de régulation gouvernemental ni une autorité chargée de faire respecter la loi, mais elle accrédite les bureaux d'enregistrement, conclut des contrats avec les opérateurs de registre et veille au respect de ces accords ; ce champ d'action limité n'exonère pas l'institution de sa responsabilité.
• La fourchette de 60 à 85 % constitue une estimation quantitative centrale dans le modèle d’évaluation des préjudices présenté dans cet article. Elle est présentée comme une estimation vérifiable, dérivée d’hypothèses explicites et d’observations de cas concrets — et non comme une statistique déjà établie pour l’ensemble de la fraude mondiale. La publication d’un ensemble de données au niveau des incidents, qui aligne les horodatages relatifs à la détection, à la notification, à l’atténuation et aux préjudices, constitue la prochaine étape en matière de preuve.
• Le chiffre de 100 à 150 dollars correspond à une estimation budgétaire technique vérifiable pour la collecte continue et le triage initial d’un ensemble défini de données issues des zones accessibles, du programme « Certificate Transparency » et des flux publics sur une infrastructure standard. Il ne s’agit pas du coût d’une visibilité mondiale complète, d’un examen juridique, des recours, d’une haute disponibilité ou de la mise en application. Le document le considère donc comme une référence à reproduire à l’aide d’une charge de travail publiée, d’un inventaire des sources et d’un journal des coûts — et non comme un prix universel déjà validé. Cette distinction nuance l’affirmation sans pour autant effacer l’asymétrie des coûts faisant l’objet du test.
• La comparaison sur trois semaines présentée dans cet article porte sur le délai de mise en conformité, et non sur un accord de niveau de service (SLA) universel relatif à la suppression de sites web. ICANN’s FAQ sur la conformité contractuelle précise que la plupart des types de plaintes peuvent faire l'objet de trois délais de réponse successifs de cinq jours ouvrés avant qu'une escalade formelle ne soit engagée, alors que de nombreuses campagnes malveillantes se poursuivent pendant des heures, voire des jours. Les contrats exigent par ailleurs, de manière distincte, la mise en œuvre de mesures correctives rapides et appropriées dès l'obtention de preuves permettant d'agir. [2][4]
• Dans le cas d'un enregistrement malveillant avéré et à usage unique, serverHold C'est l'une des mesures correctives les plus perturbatrices au niveau de l'DNS, car elle supprime la délégation de la zone. Elle n'est pas universelle : elle peut également perturber la messagerie, les sous-domaines et les services légitimes ; les réponses mises en cache peuvent persister jusqu'à l'expiration du TTL ; et les services compromis ou partagés peuvent nécessiter des mesures d'atténuation plus ciblées. [4][7]

Le premier rapport semestriel d’ICANN sur la mise en œuvre des modifications de 2024 recense 192 enquêtes, plus de 2 700 domaines suspendus, plus de 350 pages de phishing désactivées et deux notifications formelles de manquement contractuel (Notices of Breach). Ces chiffres ne prouvent pas que les contrôles actuels suffisent, mais excluent l’affirmation absolue selon laquelle le système n’agit jamais. [5]

Certaines campagnes de hameçonnage se déroulent sur une durée de quelques heures ou de quelques jours. Dans une étude réalisée en 2021, Bijmans et al. ont fait état d’une durée de vie moyenne observée de 45 heures et d’une médiane de 24 heures pour 1 288 domaines de hameçonnage. Une étude de 2026 portant sur des domaines de hameçonnage nouvellement enregistrés a révélé une distribution très asymétrique : sur 14 112 domaines dont la durée de vie était mesurable, la moyenne était de 8,6 jours et la médiane d’un jour. Aucun de ces échantillons ne peut être généralisé à toutes les catégories de menaces, mais les deux montrent pourquoi un processus mesuré uniquement en jours ouvrés peut passer à côté de campagnes de courte durée. [11][12]

L’actif économiquement déterminant n’est souvent pas le prix d’enregistrement, mais le trafic, les créations, l’infrastructure et la confiance accumulés autour d’un domaine. Cette intuition est plausible, mais son ampleur varie selon la campagne frauduleuse. Le calculateur expose donc chaque entrée plutôt que de présenter un résultat hypothétique comme une moyenne observée.

visits(T)   = daily_traffic × T / 24
victims(T)  = visits(T) × conversion_rate
proceeds(T) = victims(T) × average_loss × (1 − cashout_attrition)
profit(T)   = proceeds(T) − campaign_budget

La « perte après détection » ne peut constituer un critère d’évaluation utile que si les notions de détection, de transmission et de préjudice sont définies de manière cohérente. L’horodatage d’une liste noire ne constitue pas une preuve que le bureau d’enregistrement a reçu des éléments de preuve exploitables. Une transaction de portefeuille n’est pas automatiquement attribuable à un domaine donné. Le fait qu’un domaine devienne inaccessible ne permet pas d’identifier l’acteur à l’origine de ce changement.

Schéma minimal d'événement

Post-notice harm share =
  attributable harm with t_harm > t_notice
  ─────────────────────────────────────────
  all attributable harm in the observation window

Le numérateur et le dénominateur doivent suivre la même règle d'attribution. Les résultats doivent indiquer la cohorte, l’intervalle de confiance, la censure à droite, les sources manquantes, le traitement des victimes en double et la sensibilité à la fenêtre d’observation. Le terme « évitable » doit être réservé à un plan d’étude causal ou, au minimum, à une comparaison appariée — et non à tout événement survenant après la notification.

Aucun acteur ne voit ni ne contrôle l’intégralité de l’incident. Le bureau d’enregistrement connaît la relation avec le titulaire ; le registre contrôle le statut du domaine défini au niveau du registre ; l’hébergeur et le CDN contrôlent la diffusion du contenu ; les navigateurs et éditeurs de sécurité contrôlent les avertissements ; les prestataires de paiement et de portefeuilles peuvent interrompre les transferts ; les autorités peuvent ordonner la conservation ou la saisie. ICANN rédige et fait respecter les contrats dans l’écosystème gTLD, mais n’exploite pas de plan de contrôle EPP universel.

La décentralisation des compétences n’implique pas la disparition des responsabilités. Un bureau d’enregistrement parrain ne se dégage pas de ses obligations contractuelles en déléguant la gestion des abus à un revendeur ; le registre contrôle l’état EPP défini au niveau du serveur ; l’ICANN veille au respect des obligations contractuelles. La piste d’audit doit consigner non seulement qui a agi, mais aussi qui a reçu des preuves permettant d’engager une action, qui a réorienté le dossier, qui n’a pas répondu ou qui a manqué à une obligation qui lui était assignée. L’autorité légale reste entre les mains de l’acteur habilité à appliquer une mesure ; la responsabilité s’étend également aux manquements documentés.

Les modifications mondiales d’avril 2024 du Registrar Accreditation Agreement et du Base Registry Agreement ont instauré des obligations expresses de lutte contre le DNS Abuse. Les bureaux d’enregistrement doivent agir rapidement lorsqu’ils disposent de preuves exploitables qu’un nom qu’ils parrainent est utilisé à des fins de DNS Abuse. Les opérateurs de registre doivent agir rapidement lorsqu’ils déterminent raisonnablement, sur la base de preuves exploitables, qu’un nom enregistré est utilisé à des fins de DNS Abuse. Dans les deux cas, la mesure appropriée dépend du contexte, de la gravité et des effets collatéraux. [2][3]

Trois échéances souvent confondues

Cette flexibilité présente des avantages : un domaine universitaire compromis ne doit pas être traité comme un domaine de hameçonnage à usage unique nouvellement enregistré. Le problème en matière de responsabilité réside dans le fait qu’il est difficile de comparer ce qui est « rapide » et ce qui est « approprié » en l’absence d’horodatages, de catégories de cas et de codes de résultat publiés. La proposition ci-dessous prévoit des mesures d’évaluation et de contrôle sans prétendre qu’un délai unique puisse s’appliquer à tous les cas.

Le phishing relève explicitement de la définition contractuelle du DNS Abuse. La frontière la plus difficile concerne les sites qui trompent sous un nom original plutôt que d’usurper un tiers identifiable : certaines fausses plateformes d’investissement, boutiques frauduleuses, escroqueries à la récupération et manœuvres visant les signatures de portefeuilles. Selon les faits, ils peuvent relever de l’abus de contenu web, de la fraude à la consommation ou d’une autre catégorie juridique plutôt que du DNS Abuse contractuel.

Une consultation de politique publique pourrait déterminer si une catégorie étroitement circonscrite et étayée par des preuves, telle que VFHA, doit figurer dans de futurs contrats, un cadre intersectoriel de saisine ou le droit national. Toute extension devrait exiger un critère précis de préjudice, des preuves fiables, des remèdes proportionnés, un contrôle de compétence et un recours. Les qualificatifs vagues comme « arnaque » sont insuffisants.

Un serveur standard peut télécharger des instantanés accessibles des fichiers de zone gTLD participants et calculer les modifications localement, ingérer des événements « Certificate Transparency » sélectionnés et des flux ouverts, normaliser les chaînes de caractères, calculer des hachages et hiérarchiser les candidats. Il s’agit d’un critère de référence technique utile et vérifiable — et non d’une « surveillance complète d’Internet ». Au deuxième trimestre 2026, Verisign a fait état de 401,6 millions d’enregistrements sur l’ensemble des TLD ; le CZDS couvre les fichiers de zone gTLD participants plutôt que l’ensemble des TLD, et le CT recense les certificats ou pré-certificats enregistrés publiquement plutôt que tous les domaines actifs ou malveillants. [8][9][17]

Le cadre proposé est une architecture de référence, non un « interrupteur d’arrêt » mondial automatique. Il normalise l’evidence envelope, le dossier de décision et les horodatages, tout en permettant à l’opérateur habilité de choisir la mesure efficace produisant le moins d’effets collatéraux.

Niveaux de preuve

L’APIe doit créer un dossier vérifiable et déclencher un compte à rebours de réponse pouvant faire l’objet d’un audit ; un déclarant ne doit pas pouvoir émettre directement une commande de suspension. Si un dossier E3/E4 concerne un enregistrement malveillant à usage unique et arrive à expiration sans décision motivée ni mesure corrective efficace, le système le transmet automatiquement à l’opérateur du registre ou à un autre acteur disposant d’une autorité contractuelle ou légale. A serverHold Une commande ne peut provenir que d'un acteur autorisé. L'escalade automatique et le pouvoir du registre d'intervenir en cas d'expiration constituent des modifications proposées de la politique, et non des affirmations concernant une autorité existante. Chaque transition d'état est signée et consignée dans le journal d'audit.

{
  "indicator": {"type": "domain", "value": "example.invalid"},
  "alleged_category": "credential_phishing",
  "observed_at": "2026-08-02T06:14:22Z",
  "evidence": [
    {
      "type": "http_capture",
      "sha256": "a3f1c9…",
      "collection_method": "isolated_browser_v2",
      "source_id": "reporter:ed25519:7c2a…"
    }
  ],
  "provenance_graph": "ipfs-or-object-store:sha256:91bd…",
  "collateral_context": {
    "registered_domain_scope": true,
    "shared_service": false,
    "mail_observed": true,
    "suspected_compromise": false
  },
  "requested_action": "review",
  "reporter_signature": "ed25519:…"
}

Une réponse réussie renvoie l’ID du dossier, l’acteur destinataire, le niveau de preuve, les erreurs d’exhaustivité, le délai d’examen attendu et une URL publique de transparence. Aucun remède précis ne doit être promis avant qu’un acteur compétent ait évalué son pouvoir et les effets collatéraux.

Les objectifs de niveau de service doivent distinguer l’accusé de réception, le triage, la décision et l’atténuation effective. Les performances deviennent ainsi mesurables sans présumer que la suspension constitue toujours la bonne issue.

Il s'agit d'objectifs indicatifs. Les valeurs exactes doivent être déterminées à partir de la durée de vie observée des menaces, des effectifs, du coût des erreurs et des contraintes juridiques, puis publiées sous forme de distributions de réalisation plutôt que sous la forme d'une simple moyenne.

Une réaction rapide, en l'absence de mesures de protection, peut transformer des données erronées en censure, en sabotage commercial ou en pannes d'infrastructure. Une architecture adéquate considère donc les faux positifs et les dommages collatéraux comme des défaillances de sécurité majeures.

Garanties minimales en matière de procédure régulière

1. Pour chaque mesure restrictive, le code de motif, le niveau de preuve et le décideur responsable sont consignés.
2. Le titulaire peut obtenir un exposé des motifs respectueux de la vie privée et présenter des contre-preuves.
3. Les recours d'urgence sont examinés par une personne qui n'a pas pris la décision initiale.
4. L'annulation se propage par le même canal signé que l'action d'origine.
5. Les statistiques globales relatives aux erreurs et aux restaurations sont publiques ; l'accès aux éléments de preuve sensibles reste soumis à des restrictions.

Une note publique attribuée à un bureau d’enregistrement peut renforcer la responsabilité, mais les classements simplistes sont faussés par la taille du portefeuille, la couverture des flux, la composition de la clientèle et la distinction entre enregistrement malveillant et compromission ultérieure. Une note ne doit jamais justifier le blocage collectif de tous les clients d’un bureau d’enregistrement.

RQI = report as a vector, not a single opaque rank:

  coverage-adjusted validated-abuse rate
  median / p90 acknowledge, triage and decision times
  mitigation effectiveness and recurrence
  false-positive and reversal rates
  median / p95 appeal-resolution time
  evidence completeness and transparency rate

Always publish N, observation window, confidence intervals,
feed coverage and malicious-registration / compromise split.

Si un indicateur composite est nécessaire à des fins de gouvernance, les pondérations doivent être définies avant l'évaluation, soumises à des tests de sensibilité et validées rétrospectivement sur des cas mis de côté. Les résultats doivent être stratifiés par TLD, taille du bureau d’enregistrement, classe de menace et source des preuves. Le résultat obtenu est un indicateur de responsabilité — et non un verdict automatisé concernant le domaine.

Un registre de transparence peut mettre fin aux litiges concernant l'existence d'une notification, la date à laquelle elle a été transmise et les mesures qui ont été prises par la suite. La publication de toutes les données pourrait toutefois exposer les victimes, les données à caractère personnel, les méthodes d'enquête et les vecteurs d'attaque actifs. La solution réside dans un accès à plusieurs niveaux.

Chaque mise à jour est de type « ajout uniquement », horodatée et signée. Les corrections n'effacent pas l'historique ; elles ajoutent un enregistrement qui remplace le précédent. La recherche publique doit respecter les règles de conservation, empêcher l'identification massive des victimes et offrir un recours en cas de données à caractère personnel inexactes.

Un projet pilote utile doit être assez restreint pour être gouverné et assez vaste pour tester la chaîne causale. Périmètre suggéré : trois bureaux d’enregistrement volontaires, deux opérateurs de registre, un partenaire d’hébergement/CDN, deux flux de recherche indépendants et un comité de recours qualifié. Le protocole d’étude et les définitions des résultats doivent être enregistrés avant l’affectation des dossiers.

Critères d'évaluation principaux de l'étude pilote

• Durée médiane et durée au 90e centile entre la mise à disposition de données validées et la mise en œuvre effective de mesures d'atténuation.
• Différence au niveau du préjudice imputable survenu après la notification ou d'un indicateur prédéfini de l'exposition des victimes.
• Taux de faux positifs, gravité des mesures injustifiées et délai médian de rétablissement.
• Récurrence chez le même titulaire, dans le même cluster d’infrastructure et au niveau de la même campagne.
• Coût opérationnel direct par cas validé et par mesure d'atténuation efficace.

La réponse au DNS Abuse n’est ni un simple filtre technique ni un problème qu’une institution peut résoudre seule. Les contrats en vigueur depuis 2024 ont instauré des obligations d’atténuation substantielles, tout en laissant une marge d’appréciation importante sur les preuves, les délais et le remède. Cette latitude est nécessaire à la proportionnalité ; sans registres comparables, elle complique aussi l’évaluation des performances.

1. Normaliser l’evidence envelope. Adopter des champs communs de provenance, d’horodatage et de résultat pour les auteurs de signalements, bureaux d’enregistrement, registres et fournisseurs d’infrastructure.
2. Mesurer les étapes séparément. Publier les délais d’accusé, de triage, de décision, d’atténuation et de recours par classe de menace et niveau de preuve.
3. Faire la distinction entre un enregistrement malveillant et une compromission. Privilégier les mesures de remédiation au niveau du chemin d'accès ou du compte pour les services légitimes compromis, et réserver les mesures à l'échelle du domaine aux cas où celles-ci sont proportionnées.
4. Piloter les objectifs de réponse. Tester des objectifs horaires pour les enregistrements malveillants à usage unique et de forte confiance, plutôt que déclarer un délai universel.
5. Publier des données de responsabilité respectueuses de la vie privée. Utiliser un registre de transparence gradué, assorti d’historiques signés et de preuves restreintes.
6. Évaluer l'impact causal. Il ne faut pas conclure qu'une suspension plus rapide permet de réaliser des économies tant qu'une étude préenregistrée n'aura pas évalué l'impact sur les victimes et les répercussions.

La conclusion constructive n’est pas que le problème initial disparaît une fois que ses affirmations ont été nuancées. Elle réside dans le fait que les affirmations centrales peuvent désormais être vérifiées : la fourchette de préjudice post-détection comprise entre 60 et 85 % constitue une hypothèse quantitative explicite ; la fourchette de 100 à 150 $ constitue une hypothèse budgétaire technique vérifiable pour une couche définie de capteurs et de triage ; et les objectifs de réponse à l’échelle de l’heure peuvent faire l’objet d’un projet pilote pour les enregistrements malveillants à usage unique et hautement fiables. Publier la charge de travail, les coûts, les horodatages et les résultats, les comparer à une référence, puis mesurer les écarts et les erreurs. Une confirmation justifierait une modification des contrats et des politiques ; un rejet permettrait d’identifier quelle hypothèse s’est révélée erronée.