Vérifier un nom de domaine : les contrôles qui comptent

Vérifier un nom de domaine recouvre quatre questions distinctes : est-il libre, qui le détient, quand expire-t-il, et mérite-t-il votre confiance. Les données d'enregistrement se lisent en RDAP ou en WHOIS, la configuration réelle avec dig, et aucune des deux ne remplace l'autre.

Quatre questions différentes derrière la même demande

Un client vous écrit : peux-tu vérifier monentreprise.fr ? Avant de taper quoi que ce soit, tranchez laquelle des quatre questions il pose, parce que les outils ne sont pas les mêmes.

La disponibilité se vérifie auprès du registre : l'AFNIC pour .fr, Verisign pour .com. L'identité du titulaire se lit dans les données d'enregistrement, le plus souvent partiellement masquées. La date d'expiration figure dans ces mêmes données, mais celle affichée par un revendeur tiers peut avoir plusieurs jours de retard sur celle du registre. La légitimité ne se déduit d'aucun champ unique : elle se reconstruit en croisant date de création, certificats émis, enregistrements DNS et forme punycode du nom.

L'erreur la plus fréquente tient en une phrase : conclure qu'un domaine est libre parce que le site ne s'affiche pas. Un domaine peut être enregistré, payé jusqu'en 2031, et ne pointer vers rien.

WHOIS et RDAP : lire les données d’enregistrement

Le WHOIS est né en 1982 (RFC 812) et a été formalisé par la RFC 3912 en 2004 : du texte en clair sur le port TCP 43, sans format imposé, donc chaque registre répond comme il veut. RDAP le remplace, avec du JSON sur HTTPS, des réponses normalisées et un contrôle d'accès : RFC 9082 pour les requêtes, RFC 9083 pour les réponses. Depuis le 28 janvier 2025, les registres et bureaux d'enregistrement de gTLD ne sont plus tenus par l'ICANN de maintenir un service WHOIS sur le port 43.

En pratique la commande whois fonctionne encore à peu près partout, y compris chez l'AFNIC. Mais dès que vous automatisez, passez à RDAP : rdap.org suit le fichier de bootstrap publié par l'IANA (data.iana.org/rdap/dns.json) et vous redirige vers le bon serveur, ce qui vous évite de maintenir une table TLD par TLD.

Depuis l'application du RGPD en mai 2018, les coordonnées des titulaires personnes physiques sont masquées par défaut. Vous récupérez un formulaire de contact ou une adresse relais, pas un nom. Pour les personnes morales, l'AFNIC publie encore les coordonnées du titulaire ; sur un .com, cela dépend du bureau d'enregistrement. Si vous cherchez à identifier quelqu'un derrière un domaine anonymisé, la voie technique s'arrête là, la suite passe par une réquisition judiciaire.

Ce que vous cherchez	Commande	Piège
Données d'enregistrement d'un gTLD	curl -s https://rdap.org/domain/exemple.com | jq .	Les statuts sont dans le tableau status, les dates dans events
Données d'un .fr	whois exemple.fr ou https://rdap.nic.fr/domain/exemple.fr	L'AFNIC limite le nombre de requêtes par IP, scriptez lentement
Serveurs de noms réellement délégués	dig +short NS exemple.com	Une réponse vide ne signifie pas que le domaine est libre
Adresse IP servie en ce moment	dig +short A exemple.com @1.1.1.1	Interroger un résolveur public court-circuite le cache de votre box
Date d'expiration qui fait foi	champ expiration du tableau events en RDAP	Celle du panneau d'un revendeur peut être désynchronisée

Disponible, ou seulement mal configuré ?

Le premier champ à lire n'est pas la date d'expiration, c'est le statut EPP.

Sur un gTLD, un domaine non renouvelé ne redevient pas libre le lendemain. Il passe d'abord par une période de renouvellement automatique côté registre, jusqu'à 45 jours. Puis, si le bureau d'enregistrement le supprime, il entre en redemptionPeriod pendant 30 jours, où seul l'ancien titulaire peut le récupérer moyennant des frais de restauration bien supérieurs à un renouvellement, plusieurs dizaines d'euros chez la plupart des registrars. Viennent ensuite 5 jours de pendingDelete, pendant lesquels plus personne ne peut rien faire, puis la libération.

Le cas de panne classique du vendredi soir ressemble à ça : le site est tombé, les mails rebondissent, et le domaine est en redemptionPeriod. Il a été retiré de la zone DNS, donc plus rien ne résout, mais il reste indisponible à l'achat pendant 35 jours au minimum. Inutile de le surveiller chez un concurrent : appelez le bureau d'enregistrement d'origine, c'est le seul qui peut le restaurer.

Statut EPP	Signification	Le domaine résout-il ?
ok	Actif, aucune restriction posée	Oui
clientTransferProhibited	Transfert bloqué par le bureau d'enregistrement, posé par défaut chez la plupart	Oui
serverHold	Retiré de la zone par le registre, souvent après un litige ou une adresse non validée	Non
autoRenewPeriod	Expiré mais renouvelé d'office par le registre, régularisation possible	Oui en général
redemptionPeriod	Supprimé par le registrar, restaurable 30 jours contre des frais	Non
pendingDelete	5 jours avant libération, plus aucune action possible	Non

Vérifier qu’un domaine est légitime avant de cliquer

Le nom affiché dans la barre d'adresse ne prouve rien. L'Unicode permet d'écrire un a cyrillique visuellement identique à un a latin, et selon les règles du TLD le navigateur affiche parfois la forme punycode xn--, parfois le nom rendu. La démonstration de référence reste xn--80ak6aa92e.com, qui s'affichait comme apple.com dans plusieurs navigateurs en 2017. Décodez avant de croire : python3 -c 'print(b"xn--80ak6aa92e".decode("idna"))' vous renvoie un mot écrit intégralement en cyrillique.

• La date de création dans les données d'enregistrement. Sous une boutique qui annonce 70 % de remise sur du matériel photo, une création remontant à six jours suffit à conclure.
• La forme punycode du nom, à décoder systématiquement quand il contient un accent ou qu'il arrive par un lien reçu par mail.
• Les certificats : crt.sh liste tout ce qui a été émis pour le domaine, et expose au passage des sous-domaines oubliés. Attention au contresens, un certificat valide prouve seulement que quelqu'un contrôle le domaine, pas qu'il est honnête.
• La messagerie : dig +short TXT _dmarc.exemple.fr. Un domaine qui se présente comme une banque et n'a aucune politique DMARC, ça se remarque.

Avant d’acheter : ce qui ne se vérifie pas en ligne de commande

Un nom libre à l'enregistrement n'est pas un nom libre à l'usage. La base marques de l'INPI est consultable gratuitement sur data.inpi.fr, et déposer un domaine qui reprend une marque enregistrée dans la même classe vous expose à une procédure SYRELI pour un .fr ou UDRP pour un gTLD. Vous perdez le domaine, sans remboursement.

Pour un .fr, l'éligibilité compte aussi. Depuis 2011 l'AFNIC l'ouvre aux résidents de l'Union européenne, auxquels s'ajoutent la Suisse, la Norvège, l'Islande et le Liechtenstein. Une adresse hors zone bloque l'enregistrement ou entraîne une suppression après vérification.

Regardez enfin ce que le domaine a hébergé avant vous : web.archive.org remonte souvent à plus de dix ans et vous évitera de racheter l'ancien site d'un revendeur de contrefaçons. En revanche, soyez lucide sur la limite : aucun outil public ne dit de façon fiable si un domaine est pénalisé par Google. Les scores d'autorité vendus par les plateformes SEO sont des estimations propriétaires, pas des données Google, et un domaine expiré peut très bien porter une pénalité invisible depuis l'extérieur.

Questions fréquentes

Un domaine sans site web est-il disponible ?

Non. Beaucoup de domaines sont enregistrés puis laissés sans serveur web, parfois pendant des années, pour protéger une marque ou par simple abandon. Seule une interrogation du registre en RDAP ou en WHOIS répond à la question. Un dig qui ne renvoie rien indique une absence de délégation DNS, pas une disponibilité.

Pourquoi le WHOIS n’affiche plus le nom du propriétaire ?

Depuis mai 2018 et l'entrée en application du RGPD, les coordonnées des titulaires personnes physiques sont masquées par défaut sur la plupart des extensions. Vous voyez un formulaire de contact ou une adresse relais. Les personnes morales restent en général visibles chez l'AFNIC pour les .fr.

Combien de temps attendre avant de racheter un domaine expiré ?

Sur un gTLD, comptez la période de renouvellement automatique (jusqu'à 45 jours), puis 30 jours de redemptionPeriod, puis 5 jours de pendingDelete. Le domaine n'est libérable qu'au bout de ce parcours, et les domaines à valeur commerciale sont capturés en quelques secondes par des services de backorder.

Le vérificateur de mon registrar dit indisponible alors que le WHOIS ne trouve rien. Pourquoi ?

Trois causes courantes : le nom fait partie des noms réservés du registre, il est classé premium et vendu à un tarif spécifique, ou l'extension applique des règles d'éligibilité qui vous excluent. Recoupez toujours avec le RDAP du registre, qui distingue un domaine absent d'un domaine réservé.

whois ou dig, lequel utiliser ?

Les deux, ils ne répondent pas à la même question. whois et RDAP interrogent le registre sur l'enregistrement administratif : titulaire, dates, statuts. dig interroge le DNS sur la configuration technique réelle : serveurs de noms, adresses IP, MX, TXT. Un domaine peut être parfaitement enregistré et totalement injoignable.

À lire aussi

commande dig · certificat ssl · cloudflare dns 1 1 1 1 · cache

Testez vos connaissances