Le Registry Lock, ce mal aimé pourtant si efficace

Pourquoi ces freins à la décision ?

Compte tenu des sommes en jeu, et comme nous l’avons vu en introduction, il s’agit d’un investissement plus que raisonnable. Si ce n’est le coût, il semble donc qu’il faille chercher la raison ailleurs ; le défaut d’information sur le service en lui-même, le manque de compréhension du risque, la responsabilité (« quel équipe ou département doit prendre le sujet »), la peur de mal faire ? Certainement un peu de tout cela.

Rapide aparté pour battre en brèche une croyance infondée : ce verrou n’empêche pas de modifier la zone DNS (ce qui pourrait être fait, mais c’est un autre sujet). Il ne sert qu’à empêcher les modifications non autorisées du Whois d’un nom de domaine (contacts et/ou DNS). Modifications qui ne sont réalisées qu’en de rares cas (changement de nom de l’entreprise, changement d’adresse, nouveau prestataire DNS).

L’argument qui revient le plus souvent est que le risque est très faible. Et c’est probablement notre faute également, les Registrars Corporate sérieux. Nous faisons trop bien notre travail : certification ISO 27001, équipes expérimentées et formées en continu, gestion des utilisateurs bien cadrée, double authentification obligatoire, etc., tout est fait pour vous donner confiance. Vous pensez être entre de bonnes mains, et vous avez raison. Cependant le risque n’est pas nécessairement à chercher du côté du prestataire, qui, malgré toutes les précautions prises et dispositifs de sécurité mis en place, n’est d’ailleurs pas à l’abris d’une erreur humaine.

Ce risque d’erreurs humaines peut aussi venir des donneurs d’ordres (clients, titulaires de marque, prestataires et intermédiaires). Toutes les personnes qui travaillent dans les noms de domaine depuis quelques années vous dirons qu’elles ont déjà reçu des demandes pour modifier le nom abc.com, alors qu’il s’agissait en fait de modifier abc.fr. Une faute de frappe ou une étourderie qui peut avoir de lourdes conséquences.

Enfin, et surtout, le risque principal vient des cyberattaques toujours plus nombreuses et sophistiquées (merci au passage à l’intelligence artificielle de faciliter la vie des tiers malveillants). De nos jours, ne compter que sur le professionnalisme des individus et les dispositifs de sécurité mis en place (si robustes soient-ils) semble pour le moins audacieux.

L’ANSSI elle-même le dit. Dans son guide des « Bonnes pratiques pour l’acquisition et l’exploitation de noms de domaine », l’Agence Nationale de la Sécurité des Systèmes d’information liste vingt recommandations. La première d’entre elle est : « Utiliser le verrou de niveau registre, lorsque disponible ». Il est intéressant de noter le consensus des institutions au niveau international concernant le recours aux verrous, qu’il s’agisse des agences de cybersécurité ou des autorités de régulation comme l’ICANN ou le CENTR (regroupement des Registres européens) qui a mis en place une taskforce dont le but est de promouvoir cette pratique et concevoir un service de verrouillage pouvant être mis en œuvre facilement par les registres qui ne le proposent pas encore.

Il n’y a certes pas de petites économies, mais il existe aussi de petites dépenses qui semblent désormais indispensables. Et bonne nouvelle : nous pouvons vous aider à identifier les noms qui devraient bénéficier de cette protection supplémentaire. N’hésitez pas à nous contacter !