Un SMS annonce qu’un colis est bloqué. Le lien paraît correct, le nom de la marque figure dans l’adresse, la page imite à la perfection le site officiel. Pourtant, ce domaine a été enregistré il y a quarante heures. Cette information, n’importe qui peut la consulter en quelques secondes, et c’est précisément le rôle de l’analyse WHOIS : elle aide à repérer un domaine malveillant avant de lui confier un mot de passe ou un numéro de carte bancaire.
En 2026, le sujet n’a plus rien d’anecdotique. Les fraudeurs enregistrent des noms de domaine en rafales, les exploitent quelques jours, puis les abandonnent. Les listes de blocage n’arrivent pas toujours à suivre. L’âge d’un domaine, son bureau d’enregistrement ou ses serveurs de noms deviennent alors des indices souvent plus fiables que l’apparence du site lui-même.
Petite précision de vocabulaire : depuis 2025, le protocole RDAP remplace officiellement le WHOIS historique pour les extensions génériques comme le .com. L’expression « analyse WHOIS » reste pourtant la plus courante, et nous l’employons ici au sens large : consulter les données publiques d’enregistrement d’un domaine pour juger de sa fiabilité.
Les chiffres qui alertent
Les chiffres varient selon les méthodes de comptage, mais ils racontent tous la même histoire. L’APWG a recensé 3,8 millions d’attaques de phishing en 2025. De son côté, le Cybercrime Information Center, qui analyse les signalements du 1er mai 2025 au 30 avril 2026, en compte bien davantage.
4 251 720 attaques de phishing signalées, contre 1 963 390 sur la période précédente.
3 103 438 noms de domaine uniques signalés, dont 2 295 824 enregistrés dans une intention malveillante, soit près de 74 %.
Un nombre de domaines enregistrés pour nuire qui a presque doublé en un an (1 192 794 auparavant).
3 375 marques usurpées, contre 2 694 un an plus tôt.
Le trimestre de mai à juillet 2026 confirme la pente : 1 450 117 attaques et 914 576 domaines enregistrés de manière malveillante.
Pourquoi ça vous concerne directement
Un faux site de l’Assurance maladie, des impôts ou d’un transporteur ne cible pas une élite technique. Il vise tout le monde, y compris vos parents, vos collègues ou vos clients. Pour une entreprise, un seul domaine imitant le sien suffit à ruiner la confiance et à déclencher une fraude au virement. Savoir lire les données d’enregistrement, c’est se donner un réflexe de vérification simple, gratuit et rapide.
Qu’est-ce que l’analyse WHOIS d’un domaine exactement ?
Le WHOIS est un protocole de consultation né dans les années 1980 (son premier document de référence, la RFC 812, date de 1982). Il interroge une base qui dit à qui appartient un nom de domaine, chez quel intermédiaire il a été acheté, quand il a été créé et quand il expire. L’analyse WHOIS consiste à lire ces informations avec un oeil d’enquêteur pour y chercher des signaux d’alerte.
Son évolution récente est décisive. Depuis le 28 janvier 2025, l’ICANN n’oblige plus les registres génériques à maintenir un service WHOIS sur le port 43. Dans le mois qui a suivi, 74 registres ont coupé le leur. En juin 2025, le volume de requêtes RDAP a dépassé celui du WHOIS pour la première fois. RDAP renvoie des données structurées en JSON via HTTPS, avec des accès modulables selon le profil du demandeur. Et en janvier 2026, l’ICANN a retiré son accréditation à un bureau d’enregistrement, Brennercom, faute d’avoir mis RDAP en place. Le message est clair : la transition n’est pas facultative.
Les mécanismes cachés
Depuis l’entrée en vigueur du RGPD en 2018, la plupart des coordonnées des titulaires sont masquées, quel que soit le protocole. Un champ marqué comme confidentiel ne signifie pas que la donnée a disparu : elle reste stockée chez le registre ou le bureau d’enregistrement, accessible sur demande motivée.
Deux modèles coexistent. Dans un registre dit « thin », comme celui du .com géré par Verisign, le registre ne fournit que les informations de base et renvoie vers le bureau d’enregistrement pour le reste. Dans un registre « thick », comme celui du .fr tenu par l’Afnic, tout est centralisé. Cette différence explique pourquoi une même recherche donne des résultats très inégaux d’une extension à l’autre.
Les acteurs principaux
L’ICANN, qui fixe les règles pour les extensions génériques et accrédite les bureaux d’enregistrement.
Les registres, comme Verisign pour le .com ou l’Afnic pour le .fr, qui gèrent les bases de chaque extension.
Les bureaux d’enregistrement, par exemple OVHcloud, Gandi ou GoDaddy, qui vendent les noms et détiennent les données de contact complètes.
Les services de confidentialité, qui substituent leurs propres coordonnées à celles du titulaire.
Les hébergeurs, les chercheurs en sécurité et les CERT, qui exploitent ces données pour signaler et faire tomber des sites frauduleux.
Les impacts concrets en 2026
La fraude par domaine n’est plus un risque théorique. Les campagnes de faux SMS, de faux courriels et de QR codes piégés reposent toutes sur une adresse web crédible, enregistrée pour l’occasion. C’est aussi pour cette raison que la date de création reste l’un des meilleurs indicateurs disponibles.
Pour les particuliers
Les scénarios français sont bien connus : faux colis, faux remboursement d’impôts, fausse mise à jour de carte Vitale, faux conseiller bancaire. Dans la plupart des cas, le domaine de la page de destination a quelques jours d’existence, alors que le vrai site de l’organisme existe depuis des années. Une vérification de trente secondes suffit à faire apparaître l’incohérence. Les SMS suspects se transfèrent au 33700, et les courriels douteux à Signal Spam.
Pour les entreprises
Le typosquatting, c’est-à-dire l’enregistrement d’un nom très proche du vôtre (une lettre en moins, un tiret en trop, une extension différente), alimente la fraude au président et le détournement de factures. Avec plus de 3 000 marques usurpées sur un an, aucune structure n’est à l’abri. Les équipes qui surveillent les nouveaux enregistrements ressemblant à leur marque gagnent un temps précieux, parfois avant la première victime.
Les risques juridiques
Enregistrer un domaine pour se faire passer pour autrui expose à des poursuites : usurpation d’identité numérique (article 226-4-1 du Code pénal, jusqu’à un an de prison et 15 000 euros d’amende) ou escroquerie (article 313-1, jusqu’à cinq ans et 375 000 euros). Côté victime, la procédure UDRP pour les extensions génériques et le dispositif Syreli pour le .fr permettent de récupérer ou de faire supprimer un nom litigieux.
Côté analyste, une règle de prudence : les données d’enregistrement relèvent du RGPD quand elles concernent une personne physique. On les consulte pour évaluer un risque, pas pour harceler un titulaire ni pour le désigner publiquement. Ce contenu ne remplace pas l’avis d’un avocat.
Comment ça fonctionne techniquement
Imaginez le registre d’un domaine comme un cadastre. Avant d’acheter un terrain, vous consultez qui en est propriétaire, depuis quand et s’il fait l’objet d’un litige. L’analyse WHOIS applique la même logique aux adresses web.
Étape 1 : interroger les données d’enregistrement
Vous saisissez le nom de domaine dans un outil RDAP, comme le service de recherche officiel de l’ICANN. La requête part vers le registre de l’extension. Pour un .com, Verisign répond avec les données de base et un lien vers le serveur RDAP du bureau d’enregistrement. Pour un .fr, l’Afnic répond directement. Voici les champs à relever :
la date de création et la date de dernière modification ;
la date d’expiration et la durée de l’enregistrement ;
le nom du bureau d’enregistrement et son contact pour les abus ;
les serveurs de noms associés ;
les codes de statut du domaine ;
l’éventuelle mention de confidentialité sur le titulaire.
Étape 2 : croiser les indices
Un seul signal ne prouve rien. C’est leur accumulation qui compte. Suivez cet ordre de lecture :
L’âge : un domaine créé il y a moins de 30 jours qui prétend représenter une institution doit éveiller votre méfiance.
La durée : un enregistrement limité à un an, sans historique, est fréquent chez les fraudeurs.
La ressemblance : comparez l’orthographe à celle de la vraie marque, en cherchant homoglyphes, lettres inversées et mots ajoutés.
L’infrastructure : des serveurs de noms ou un hébergeur déjà vus dans d’autres campagnes constituent un signal fort.
Le certificat : une recherche dans les journaux de transparence des certificats montre quand et comment le site a été mis en ligne.
Les failles de sécurité
L’analyse WHOIS n’est pas une baguette magique. Les fraudeurs le savent et s’adaptent.
Ils achètent des domaines anciens ou piratent des sites légitimes, ce qui neutralise le critère de l’âge.
Ils utilisent des revendeurs de sous-domaines : 432 990 attaques sur la période de mai 2025 à avril 2026 passaient par là, et le domaine principal est alors parfaitement respectable.
Ils saisissent de fausses coordonnées chez des bureaux d’enregistrement peu regardants.
Certaines extensions nationales n’ont pas encore migré vers RDAP et conservent un WHOIS plus rudimentaire.
Les limites de requêtes automatiques freinent la surveillance à grande échelle.
La conclusion pratique est simple : le WHOIS sert à confirmer ou à renforcer un doute, jamais à garantir qu’un site est sûr.
Solutions et bonnes pratiques
La bonne approche combine un réflexe individuel, quelques outils fiables et une routine de vérification.
Protection immédiate (3 étapes)
Ne cliquez pas. Copiez l’adresse affichée ou saisissez-la à la main dans un outil d’analyse, sans ouvrir la page.
Interrogez les données d’enregistrement et regardez en priorité la date de création et le bureau d’enregistrement.
Vérifiez par un canal indépendant : application officielle, numéro figurant sur votre carte ou votre contrat. En cas de doute, signalez et supprimez le message.
Outils et services pros
ICANN Lookup (lookup.icann.org) pour interroger RDAP sur les extensions génériques.
Le service de recherche de l’Afnic pour les noms en .fr.
VirusTotal et urlscan.io pour analyser une adresse sans l’ouvrir.
crt.sh pour consulter les certificats émis au nom d’un domaine.
Google Safe Browsing et PhishTank pour recouper avec des listes de signalements.
Pour les équipes sécurité, des services payants de veille sur les nouveaux enregistrements et l’historique des domaines (DomainTools, SecurityTrails).
Cybermalveillance.gouv.fr et internet-signalement.gouv.fr pour signaler et obtenir de l’aide.
Checklist de vérification
La date de création est-elle cohérente avec l’ancienneté de l’organisme ?
Le bureau d’enregistrement est-il connu et joignable pour les abus ?
L’orthographe du domaine correspond-elle exactement à celle de la marque ?
Les serveurs de noms et l’hébergeur sont-ils habituels pour cet organisme ?
Le message exerce-t-il une pression (urgence, menace, délai très court) ?
Un second canal confirme-t-il la demande ?
FAQ : toutes vos questions
Un domaine récent est-il forcément malveillant ? Non. Beaucoup de projets légitimes sont jeunes. Un domaine récent devient suspect quand il prétend représenter une organisation établie, ou quand il s’accompagne d’autres signaux comme une fausse urgence.
Le WHOIS fonctionne-t-il encore depuis 2025 ? Oui, mais sous une autre forme. Pour les extensions génériques, RDAP est désormais la référence et les outils modernes l’interrogent à votre place. Certaines extensions nationales conservent le WHOIS classique.
Peut-on identifier le propriétaire d’un domaine masqué ? Pas directement. Les données existent chez le registre ou le bureau d’enregistrement, mais leur communication passe par une demande motivée, par exemple auprès de l’Afnic pour le .fr, ou par une réquisition judiciaire.
Comment signaler un domaine frauduleux ? Transférez les SMS au 33700, les courriels à Signal Spam, déposez un signalement sur internet-signalement.gouv.fr et prévenez le bureau d’enregistrement par son contact abus. En cas de préjudice, déposez plainte, notamment en ligne via Thésée pour une escroquerie.
Une entreprise peut-elle surveiller les domaines qui l’imitent ? Oui. Il faut suivre les nouveaux enregistrements proches de sa marque, enregistrer les variantes les plus évidentes à titre défensif et mettre en place SPF, DKIM et DMARC pour compliquer l’usurpation par courriel.
Agissez maintenant
Trois idées à retenir :
Plus de 2,2 millions de domaines ont été enregistrés pour nuire entre mai 2025 et avril 2026, et la tendance reste orientée à la hausse.
La date de création, le bureau d’enregistrement et l’infrastructure forment un trio d’indices très utile pour repérer un domaine malveillant.
Le WHOIS confirme un doute mais ne remplace ni la vigilance, ni la vérification par un second canal.
Prenez une minute dès aujourd’hui : ouvrez l’outil de recherche officiel de l’ICANN, testez-le sur trois adresses que vous recevez habituellement, puis enregistrez-le dans vos favoris. Pour signaler une fraude ou être accompagné, rendez-vous sur Cybermalveillance.gouv.fr.
En 2027, il faut s’attendre à une adoption plus large de RDAP, à des campagnes de phishing plus personnalisées grâce à l’IA et à des domaines encore plus éphémères. Celles et ceux qui auront pris l’habitude de vérifier tôt auront une longueur d’avance.
