Un SMS vous annonce qu’un colis est bloqué et qu’il reste 48 heures pour régler 1,99 euro de frais. Le lien semble correct, le logo aussi. Pourtant, une recherche WHOIS de dix secondes montre que le nom de domaine a été enregistré il y a trois jours, chez un prestataire obscur, par un titulaire dissimulé. Ce détail sépare une arnaque d’un message légitime. C’est tout l’intérêt de prévenir le phishing avec WHOIS.
Le WHOIS est l’annuaire public des noms de domaine. Il ne bloque rien à votre place, mais il raconte l’histoire d’un site : qui l’a créé, quand, chez quel bureau d’enregistrement, avec quels serveurs. Les fraudeurs fabriquent leurs domaines en série et laissent presque toujours des traces dans ces métadonnées. En 2026, avec l’arrivée du protocole RDAP et le masquage des données personnelles, savoir lire ces traces devient une vraie compétence.
Les chiffres qui alertent
Plus de 500 000 victimes ont été assistées par Cybermalveillance.gouv.fr en 2025, soit 20 % de plus qu’en 2024 (rapport publié le 26 mars 2026).
L’hameçonnage progresse de 70 % tous publics confondus, et les violations de données de 107 %.
93 % des demandes d’aide proviennent de particuliers, pas d’entreprises.
Selon le baromètre Cybermalveillance/Ipsos de 2026, 45 % des Français disent avoir été informés d’une fuite de leurs données, contre 30 % un an plus tôt.
Une étude Surfshark de juillet 2026 place la France en tête des pays européens pour les comptes piratés au premier semestre, avec plus de la moitié du total continental.
Pourquoi ça vous concerne directement
Ces chiffres ne décrivent pas des cibles lointaines. Une fuite de données est le carburant du phishing : quand un escroc connaît votre nom, votre e-mail et votre date de naissance, son message devient crédible. Après l’attaque contre l’ANTS du 15 avril 2026, le ministère de l’Intérieur a lui-même conseillé aux personnes concernées de redoubler de vigilance face aux tentatives d’escroquerie.
Que vous soyez un particulier qui paie une amende en ligne ou un gérant de PME qui valide des factures, vous cliquez chaque semaine sur des liens dont vous ne connaissez pas l’origine. Apprendre à interroger l’identité d’un domaine vous donne un réflexe de contrôle simple, gratuit et souvent décisif.
Qu’est-ce que la prévention du phishing par WHOIS exactement ?
Le WHOIS est un protocole de requête et de réponse, décrit aujourd’hui dans la RFC 3912, qui permet de consulter les données d’enregistrement d’un nom de domaine : dates, bureau d’enregistrement, serveurs de noms, statuts et, selon les cas, coordonnées du titulaire. Il remonte aux années 1980, à l’époque où quelques centaines de machines composaient l’ancêtre d’Internet. Prévenir le phishing avec WHOIS consiste à utiliser ces informations pour évaluer la fiabilité d’un domaine avant de lui faire confiance, ou pour le signaler efficacement.
Le RGPD de 2018 a changé la donne : la plupart des données personnelles des titulaires ont été masquées. Le 28 janvier 2025, l’ICANN a ensuite désigné le RDAP (Registration Data Access Protocol) comme source officielle pour les domaines génériques comme le .com, le .net ou le .org. On continue pourtant de parler de WHOIS, au sens large, pour désigner la consultation de ces données. Pour les extensions nationales comme le .fr, la migration reste volontaire, car ces registres ne dépendent pas des contrats de l’ICANN.
Les mécanismes cachés
Une fiche d’enregistrement contient plusieurs champs qui ont chacun une valeur d’indice :
La date de création : un domaine vieux de quelques jours qui prétend représenter une banque ou un service public est un signal fort.
La date d’expiration : les domaines jetables sont souvent enregistrés pour la durée minimale, un an.
Le bureau d’enregistrement (registrar) : certains concentrent davantage d’abus que d’autres, sans que cela prouve quoi que ce soit isolément.
Les serveurs de noms : ils révèlent l’infrastructure, et plusieurs domaines frauduleux partagent souvent les mêmes.
Les statuts de verrouillage : un domaine sans verrou de transfert est plus facile à détourner.
Le contact d’abus : l’adresse où adresser un signalement, souvent la clé pour faire retirer un site.
Les acteurs principaux
L’ICANN, qui définit les règles des domaines génériques et propose un outil de recherche RDAP officiel.
Les registres, comme Verisign pour le .com ou l’Afnic pour le .fr, qui tiennent les bases de référence.
Les bureaux d’enregistrement, qui vendent les domaines et détiennent les données complètes.
L’Afnic, qui masque les données des personnes physiques mais continue de publier celles des personnes morales.
Cybermalveillance.gouv.fr, Pharos et le CERT-FR, côté signalement et assistance.
Les hébergeurs, qui peuvent suspendre un site une fois alertés.
Les impacts concrets en 2026
Pour les particuliers
Les scénarios se répètent : faux avis d’infraction routière, faux suivi de colis, fausse mise à jour de carte Vitale, faux message de l’ANTS ou de l’Assurance Maladie. Dans la plupart des cas, l’URL imite un nom connu avec un tiret, un mot ajouté ou une extension inhabituelle. Les fuites massives rendent ces messages plus personnalisés, donc plus convaincants.
Le réflexe WHOIS ne remplace pas la prudence, mais il tranche vite : un site « officiel » créé la semaine dernière n’a rien d’officiel.
Pour les entreprises
Pour une entreprise, le danger prend deux formes. La première : on usurpe votre marque avec un domaine proche du vôtre (typosquatting) pour piéger vos clients. La seconde : on se fait passer pour un fournisseur ou un dirigeant pour obtenir un virement. Cybermalveillance.gouv.fr a relevé en 2025 une hausse de 170 % des fraudes au virement et de 159 % des faux conseillers bancaires.
Une surveillance régulière des nouveaux domaines ressemblant au vôtre, couplée à une lecture WHOIS des cas suspects, permet de réagir avant que les premiers clients ne soient piégés.
Les risques juridiques
L’usurpation d’identité numérique est punie par l’article 226-4-1 du Code pénal (un an d’emprisonnement et 15 000 euros d’amende).
L’escroquerie relève de l’article 313-1 (jusqu’à cinq ans et 375 000 euros).
L’usage d’un domaine imitant votre marque peut constituer une contrefaçon, avec des recours devant le juge ou par les procédures UDRP (OMPI) et Syreli (Afnic pour le .fr).
Si des données personnelles sont exposées, une entreprise doit notifier la CNIL dans les 72 heures.
Attention aussi à l’inverse : consulter un WHOIS est légal, mais réutiliser des données personnelles de titulaires pour les contacter ou les exposer publiquement est encadré par le RGPD. Passez par les canaux de signalement officiels.
Comment ça fonctionne techniquement
Imaginez l’acte de naissance d’un site. Il ne dit pas si la personne est honnête, mais il indique quand elle est née, qui l’a déclarée et où elle habite. Une « personne » née hier qui prétend travailler pour votre banque depuis vingt ans éveille forcément des soupçons.
Étape 1 : interroger la base d’enregistrement
Copiez uniquement le nom de domaine, sans « https:// » ni chemin. Dans l’adresse « https://impots-remboursement.example/login », le domaine à rechercher est « impots-remboursement.example ».
Saisissez-le dans un outil de recherche. Votre outil interroge d’abord le registre racine tenu par l’IANA, qui indique le serveur RDAP compétent pour l’extension concernée.
Le registre renvoie les données de base et, pour un domaine générique, un lien vers le bureau d’enregistrement qui détient la fiche complète. Pour un .fr, l’Afnic centralise tout.
Le résultat arrive au format JSON structuré ou sous forme lisible dans l’interface web.
Étape 2 : lire et croiser les indices
Aucun signal ne suffit à lui seul. C’est leur accumulation qui compte :
Création de moins de 30 jours, sans que ce soit une règle officielle, mais un seuil d’alerte couramment retenu par les équipes de sécurité.
Titulaire masqué alors que le site prétend appartenir à une grande marque.
Extension sans lien avec l’activité annoncée.
Caractères trompeurs : un « xn-- » dans le domaine signale un nom internationalisé, parfois utilisé pour imiter des lettres.
Serveurs de noms partagés avec d’autres domaines déjà signalés.
Comparez ensuite avec le domaine officiel : ancienneté, titulaire, bureau d’enregistrement. Les écarts sautent aux yeux.
Les failles de sécurité
Le WHOIS reste utile, mais il a des limites qu’il faut connaître :
Le masquage est légitime : beaucoup de sites honnêtes cachent aussi leurs coordonnées, donc un titulaire masqué n’est jamais une preuve de fraude.
Les fraudeurs peuvent déclarer de fausses identités ou des identités volées.
Un site légitime compromis garde un WHOIS parfaitement sain, alors que la page piégée est malveillante.
Les raccourcisseurs d’URL cachent le domaine réel avant même la consultation.
Le cadenas HTTPS ne prouve rien : les certificats gratuits sont accessibles aux escrocs.
Le WHOIS ne décrit pas le contenu d’un site, seulement son enregistrement.
Solutions et bonnes pratiques
Protection immédiate (3 étapes)
Ne cliquez pas sur le lien reçu. Tapez vous-même l’adresse officielle dans votre navigateur ou utilisez l’application du service concerné.
Recherchez le domaine douteux via l’outil de l’ICANN (lookup.icann.org) ou via l’Afnic pour un .fr, et vérifiez la date de création, le bureau d’enregistrement et les serveurs de noms.
Signalez le message : 33700 pour les SMS, Signal Spam pour les e-mails, Cybermalveillance.gouv.fr ou Pharos pour les sites. Si vous avez saisi des identifiants ou une carte bancaire, changez immédiatement vos mots de passe et faites opposition auprès de votre banque.
Outils et services pros
ICANN Lookup : la recherche RDAP officielle pour les domaines génériques.
Afnic : consultation et demande de divulgation de données pour les domaines en .fr.
crt.sh : l’historique des certificats émis, utile pour repérer les domaines clones.
URLScan.io et VirusTotal : analyse de la réputation et du comportement d’une URL.
dnstwist : génération de variantes typographiques d’un domaine, pour anticiper le typosquatting.
Phishing Initiative et Google Safe Browsing : signalement et blocage des pages frauduleuses.
Pour les entreprises : SPF, DKIM et DMARC sur vos propres domaines, enregistrements défensifs des variantes de votre marque et veille automatisée sur les nouveaux domaines.
Checklist de vérification
Le domaine a-t-il été créé il y a plus de trois mois ?
Le titulaire ou le bureau d’enregistrement est-il cohérent avec l’organisation annoncée ?
L’extension et l’orthographe correspondent-elles exactement au site officiel ?
Y a-t-il des caractères inhabituels, des tirets ou des mots ajoutés ?
Le message crée-t-il une urgence ou menace-t-il de sanction ?
L’URL finale est-elle visible, sans raccourcisseur ?
Une analyse sur URLScan ou VirusTotal remonte-t-elle des alertes ?
Avez-vous vérifié le contact par un canal indépendant (téléphone officiel, application) ?
FAQ : Toutes vos questions
Le WHOIS existe-t-il encore depuis l’arrivée du RDAP ? Pour les domaines génériques, le RDAP est devenu la source officielle depuis le 28 janvier 2025, et le service WHOIS classique n’est plus obligatoire. On dit encore « WHOIS » par habitude, et la plupart des outils grand public interrogent désormais le RDAP en arrière-plan. Les extensions nationales comme le .fr gardent leur propre calendrier.
Un domaine au WHOIS masqué est-il forcément frauduleux ? Non. Le RGPD a généralisé le masquage pour les particuliers, et de nombreuses entreprises l’utilisent aussi. Considérez-le comme un élément neutre, à croiser avec la date de création et le contexte du message.
Peut-on identifier le fraudeur grâce au WHOIS ? Rarement. Les données sont souvent masquées ou fausses. Pour accéder aux informations protégées, il existe des procédures encadrées : demande de divulgation auprès de l’Afnic pour le .fr, service de demandes d’accès de l’ICANN pour les génériques, et surtout plainte, qui permet aux enquêteurs d’obtenir les données complètes.
À partir de quel âge un domaine devient-il fiable ? Il n’existe aucun seuil officiel. En pratique, un domaine de moins de 30 jours mérite une extrême prudence, et un domaine ancien n’est pas pour autant garanti sain, car il peut avoir été racheté ou piraté.
Que faire si j’ai déjà saisi mes identifiants sur un faux site ? Changez immédiatement le mot de passe concerné et ceux que vous réutilisez ailleurs, activez la double authentification, contactez votre banque si une carte est en cause, puis signalez les faits sur Cybermalveillance.gouv.fr et déposez plainte si un préjudice existe.
Agissez maintenant
Trois idées à retenir. Un domaine récent qui imite une marque connue doit vous alerter, même si le message paraît parfait. Le WHOIS est un indice puissant mais jamais une preuve isolée : croisez la date, le bureau d’enregistrement et les serveurs. Enfin, signaler un site frauduleux protège aussi les autres internautes, car chaque alerte accélère sa suppression.
Prenez dès aujourd’hui le réflexe de vérifier un domaine avant de saisir la moindre information. Testez vos premières recherches sur whoisip.fr et gardez la checklist ci-dessus à portée de main.
Pour 2027, la tendance va vers davantage de contrôles d’accès aux données d’enregistrement, une adoption progressive du RDAP par les extensions nationales et un recours croissant aux clés d’accès (passkeys) contre le vol d’identifiants. La stratégie nationale de cybersécurité 2026-2030 prévoit par ailleurs un portail national d’information contre les attaques en ligne. Ceux qui auront pris l’habitude de vérifier tôt auront une longueur d’avance.
