Faire supprimer un domaine frauduleux : preuves, signalements et procédures

Faire supprimer un domaine frauduleux, c'est obtenir qu'un domaine qui imite le vôtre soit suspendu, ou au minimum privé de son site et de ses boîtes e-mail. Si quelqu'un enregistre une variante de dupont-immo.fr pour envoyer de fausses factures en votre nom, ceux qui peuvent agir sont les prestataires qui fournissent ce domaine, son hébergement et sa messagerie, chacun selon sa propre politique d'abus.

Ce guide présente l'ordre que nous recommandons : sécuriser les preuves, signaler le domaine aux bons interlocuteurs, rédiger un signalement exploitable, relancer, puis recourir aux procédures de règlement des litiges (UDRP, SYRELI, PARL EXPERT) quand les signalements ne suffisent pas. Il s'agit d'informations générales, pas d'un conseil juridique.

Premiers réflexes : ne pas interagir, réunir les preuves

Ne répondez pas aux e-mails frauduleux, ne cliquez pas sur leurs liens et ne vous connectez pas au site pour voir ce qu'il fait. Vous n'avez pas besoin de visiter le site pour constituer votre dossier : les messages reçus par vos clients et les enregistrements DNS publics suffisent en général, et une visite peut exposer votre poste ou alerter l'opérateur du site.

Rassemblez les éléments suivants, en notant la date et l'heure de chacun :

• le domaine sosie exact, et le domaine légitime qu'il imite ;
• ses enregistrements DNS : serveurs de noms (NS), hébergement web (A et AAAA), serveurs de messagerie (MX) et enregistrements TXT comme SPF ;
• ses données d'enregistrement issues de RDAP ou WHOIS : registrar, date de création, statut ;
• les e-mails frauduleux en fichier d'origine (.eml) ou avec leurs en-têtes complets, ainsi que des captures d'écran ;
• ce que demandaient les messages (nouveau RIB, paiement, mot de passe) et, si un client a payé, la date des faits.

Les enregistrements DNS publics se lisent depuis n'importe quel terminal, sans contacter le site suspect. Conservez le résultat avec sa date, car ces enregistrements peuvent changer à tout moment :

dig NS <domaine-sosie> +short
dig A <domaine-sosie> +short
dig AAAA <domaine-sosie> +short
dig MX <domaine-sosie> +short
dig TXT <domaine-sosie> +short
whois <domaine-sosie>

Les en-têtes complets comptent, car ils montrent quels serveurs ont réellement traité le message. La plupart des messageries proposent une option du type « afficher l'original » ou « afficher la source » pour les consulter.

Qui contacter pour faire supprimer un domaine frauduleux, et dans quel ordre

1. Le registrar

C'est le premier destinataire de votre signalement d'abus. Le registrar (bureau d'enregistrement) a vendu le domaine et peut le suspendre, ce qui le retire du DNS : le site et les boîtes e-mail cessent de fonctionner en même temps. RDAP, le successeur de WHOIS, indique le nom du registrar et, le plus souvent, son adresse de signalement d'abus. Pour les extensions génériques comme .com, l'ICANN impose aux registrars accrédités de publier un contact abus et d'examiner les signalements reçus ; elle propose aussi un outil de consultation des données d'enregistrement. Les extensions nationales suivent les règles de leur propre registre : pour le .fr, il s'agit de l'Afnic.

2. L'hébergeur web et le fournisseur de messagerie

Les enregistrements A et AAAA désignent les serveurs qui hébergent le site, les enregistrements MX ceux qui reçoivent les e-mails du domaine. Cherchez le réseau propriétaire de chaque adresse IP dans le RDAP ou le WHOIS du registre internet régional (RIPE NCC pour l'Europe, ARIN pour l'Amérique du Nord, etc.) : le résultat comporte un contact abus. Un hébergeur peut mettre le site hors ligne et un fournisseur de messagerie fermer les boîtes, même si le registrar ne fait rien.

3. Les listes de blocage des navigateurs

Google Safe Browsing, utilisé par plusieurs grands navigateurs, propose un formulaire public pour signaler les pages d'hameçonnage. Une fois le site listé, ses visiteurs voient un avertissement, ce qui limite les dégâts pendant le traitement des autres signalements. D'autres éditeurs de navigateurs disposent de services de signalement comparables.

4. Les messageries et les autorités

Si les fraudeurs écrivent depuis une adresse de messagerie gratuite, ou demandent qu'on leur réponde sur une telle adresse, signalez-la au service abus de ce fournisseur, en joignant les en-têtes. Le site cybermalveillance.gouv.fr publie des conseils pour les victimes et peut vous orienter vers des prestataires. Si de l'argent a été versé, prévenez la banque sans attendre et déposez plainte.

Ce que doit contenir un signalement d'abus

Les services abus traitent beaucoup de signalements. Un message court et factuel, accompagné de preuves, a plus de chances d'être traité qu'une longue plainte. Indiquez :

1. Le domaine et le type d'abus dans l'objet, par exemple « Phishing : domaine usurpant dupont-immo.fr ». Rédigez en anglais si le prestataire est étranger.
2. Les faits : à quoi sert le domaine et depuis quand, avec les dates des e-mails reçus.
3. Les preuves : enregistrements DNS, données RDAP, e-mails avec en-têtes complets et captures d'écran, en pièces jointes.
4. Votre qualité pour agir : vous êtes titulaire du domaine ou de la marque imités, ou mandaté par leur titulaire.
5. Le préjudice : clients invités à payer sur un nouveau RIB, mots de passe demandés, nom de votre entreprise utilisé pour tromper.
6. La demande : suspendre le domaine, retirer le site, fermer les boîtes e-mail.

Rédigez comme si le titulaire du domaine pouvait vous lire : certains prestataires transmettent les signalements à leur client. Masquez les données personnelles de vos clients sur les captures et gardez pour vous les informations internes.

Faire supprimer un domaine frauduleux : à quoi s'attendre

Chaque prestataire applique sa propre politique, et aucun n'est tenu de suivre votre demande à la lettre. Le résultat peut être la suspension du domaine (RDAP affiche alors un statut comme clientHold ou serverHold, et le domaine disparaît du DNS), le retrait du site ou des boîtes e-mail, ou aucune action. Certains prestataires demandent des compléments ; d'autres se contentent d'un accusé de réception automatique.

Relancez si rien ne bouge. Vérifiez de nouveau les enregistrements DNS, répondez dans le même fil avec les éléments nouveaux, et élargissez au registre de l'extension. Pour un registrar d'extension générique qui ignore les signalements, l'ICANN reçoit les plaintes contre les registrars qui ne respectent pas leurs obligations contractuelles.

Tenez un journal de chaque signalement : destinataire, date, contenu envoyé, réponse reçue. Il vous servira si vous engagez une procédure ou consultez un avocat.

Quand les signalements ne suffisent pas : procédure UDRP, SYRELI et PARL EXPERT

Un signalement d'abus vise une activité, comme l'hameçonnage. Si le domaine est simplement « parqué », ou si le prestataire juge les preuves insuffisantes, une procédure de règlement des litiges vise l'enregistrement lui-même.

La procédure UDRP pour les extensions génériques

L'UDRP (Uniform Domain-Name Dispute-Resolution Policy) s'applique aux extensions génériques comme .com. Elle est administrée par des centres agréés, notamment le Centre d'arbitrage et de médiation de l'OMPI. Le requérant doit démontrer que le domaine est identique ou semblable au point de prêter à confusion à une marque sur laquelle il a des droits, que le titulaire n'a ni droit ni intérêt légitime sur ce domaine, et qu'il l'a enregistré et l'utilise de mauvaise foi. La décision peut ordonner le transfert ou la radiation du domaine.

SYRELI et PARL EXPERT pour le .fr

Pour le .fr, l'Afnic propose deux procédures : SYRELI, dont la décision est rendue par l'Afnic elle-même, et PARL EXPERT, où un expert indépendant tranche. Toutes deux peuvent aboutir au transfert ou à la suppression du nom de domaine lorsque les conditions sont réunies. Le site de l'Afnic précise qui peut agir et comment.

Ces procédures demandent un dossier structuré et, pour l'UDRP, des droits sur une marque. Faites-vous conseiller par un avocat spécialisé en propriété intellectuelle ou en noms de domaine avant de déposer une demande.

Protéger vos clients en attendant

Un retrait prend du temps et peut ne pas aboutir : agissez aussi de votre côté. Les réflexes sont les mêmes que contre la fraude au faux RIB :

• prévenez vos clients par votre canal habituel qu'un domaine imitant le vôtre circule, et rappelez que vos coordonnées bancaires ne changent jamais par e-mail ;
• faites confirmer tout changement de RIB par un appel à un numéro déjà connu ;
• publiez DMARC sur votre propre domaine, en suivant notre guide DMARC p=reject, pour que les fraudeurs ne puissent pas aussi écrire avec votre adresse exacte ;
• continuez à surveiller l'apparition de nouveaux sosies : un fraudeur dont le domaine tombe peut en enregistrer un autre.

Les agences immobilières, administrateurs de biens et syndics, qui encaissent dépôts de garantie et loyers, trouveront des conseils adaptés dans notre guide sur la fraude au faux RIB en agence immobilière.

Le retrait assisté avec Spamr

L'analyse gratuite liste les sosies enregistrés de votre domaine à partir des seules données DNS et RDAP publiques, sans jamais visiter leurs sites. Tout le monde voit les totaux et les trois sosies les plus dangereux ; la liste complète est réservée à qui prouve qu'il gère le domaine.

Vous pouvez ensuite demander un retrait assisté. Vous donnez mandat à Spamr d'agir en votre nom, et la demande est vérifiée manuellement. Les signalements, accompagnés d'un dossier de preuve en PDF, partent alors vers le registrar et vers les contacts abus des hébergeurs trouvés dans RDAP, et vous recevez un lien de signalement Google Safe Browsing prérempli. Le domaine est contrôlé chaque nuit, et vous êtes prévenu dès qu'il disparaît du DNS. Chaque prestataire décide selon sa propre politique d'abus : aucun résultat n'est garanti. Une demande coûte 79 €, et des retraits sont inclus dans les offres Pro et Cabinet / Agence (voir les tarifs).

À retenir

• N'interagissez pas avec le site. Réunissez le domaine, les enregistrements DNS datés, les données RDAP et les e-mails avec en-têtes complets.
• Signalez d'abord au registrar, puis aux hébergeurs web et de messagerie, à Google Safe Browsing et aux messageries utilisées par les fraudeurs.
• Rédigez des signalements courts, factuels, appuyés par des preuves, en précisant votre qualité pour agir.
• Aucun prestataire ne garantit un résultat : relancez et tenez un journal.
• Si les signalements échouent, l'UDRP (extensions génériques) ou SYRELI et PARL EXPERT (.fr) visent l'enregistrement lui-même.