Les données disponibles pour 2026 dessinent un tableau préoccupant pour le commerce en ligne français.
Selon la DGCCRF, les signalements liés à des boutiques en ligne frauduleuses ont progressé de 34 % entre 2023 et 2025.
Plus de 60 % des PME françaises ayant subi une attaque de phishing ciblée ont constaté que le domaine frauduleux avait moins de 90 jours d’ancienneté au moment de l’attaque.
En Europe, le coût moyen d’une fraude liée à l’usurpation de domaine dépasse 18 000 euros pour une TPE ou PME, selon un rapport de l’ENISA publié début 2026.
Environ 40 % des e-commerçants français déclarent ne jamais avoir effectué de recherche WHOIS avant de signer un contrat avec un nouveau fournisseur numérique.
Ces chiffres ne sont pas anecdotiques. Ils traduisent une réalité de terrain que les entrepreneurs découvrent souvent trop tard.
Pourquoi ça vous concerne directement
Peut-être pensez-vous que votre boutique est trop petite pour intéresser des fraudeurs. C’est précisément ce calcul qui rend les TPE vulnérables. Les attaques automatisées ne font pas de discrimination par taille : elles ciblent les failles, pas les revenus.
En tant que propriétaire d’un site e-commerce, vous êtes potentiellement exposé sur au moins trois fronts. D’abord, vos propres noms de domaine peuvent être usurpés ou imités. Ensuite, vos fournisseurs et partenaires technologiques peuvent opérer derrière des entités peu transparentes. Enfin, vos concurrents peuvent avoir des pratiques qui vous nuisent indirectement par association.
Savoir utiliser une requête WHOIS correctement, c’est disposer d’un outil de vérification rapide, gratuit et redoutablement efficace pour sécuriser vos décisions commerciales.
Qu’est-ce que le WHOIS exactement ?
Le WHOIS est un protocole de requête et de réponse permettant d’interroger des bases de données qui stockent des informations sur les ressources internet enregistrées. Concrètement, il permet d’obtenir des informations sur le propriétaire d’un nom de domaine, la date de création et d’expiration de ce domaine, le bureau d’enregistrement utilisé, ainsi que les serveurs DNS associés.
Créé dans les années 1980 par Elizabeth Feinler au sein du Network Information Center de Stanford, le protocole WHOIS a été formalisé dans plusieurs RFC, notamment la RFC 3912. À l’origine, il servait à identifier les responsables techniques des ressources réseau. Pendant longtemps, toutes les informations d’enregistrement étaient publiques et facilement accessibles.
Tout a changé en mai 2018 avec l’entrée en vigueur du RGPD. L’ICANN, l’organisme qui supervise l’attribution des noms de domaine, a revu ses politiques pour limiter l’accès aux données personnelles des titulaires de domaines. Depuis, les informations affichées via un WHOIS public sont partiellement masquées pour les particuliers, mais restent significativement plus complètes pour les entités professionnelles disposant d’un accès accrédité.
Les mécanismes cachés
Derrière une requête WHOIS apparemment simple se cachent plusieurs couches d’information que peu d’e-commerçants exploitent.
La date de création du domaine est l’un des indicateurs les plus fiables. Un domaine enregistré il y a moins de six mois qui prétend être une entreprise établie depuis dix ans devrait immédiatement éveiller les soupçons. De même, les informations sur le bureau d’enregistrement peuvent révéler des pratiques douteuses : certains registrars sont connus pour héberger un nombre disproportionné de domaines frauduleux.
Les services de confidentialité, souvent désignés sous le terme « privacy protection » ou « WHOIS privacy », masquent les données du propriétaire réel en les remplaçant par celles d’un service intermédiaire. Si cette pratique est tout à fait légitime pour protéger la vie privée d’un particulier, elle peut aussi servir à dissimuler l’identité d’acteurs malveillants.
Les acteurs principaux
L’écosystème du WHOIS implique plusieurs entités dont il faut connaître le rôle.
L’ICANN : organisme international qui coordonne les politiques d’attribution des noms de domaine.
Les registres : organismes qui gèrent les extensions de domaine. L’AFNIC gère le .fr, Verisign gère le .com.
Les bureaux d’enregistrement (registrars) : entreprises accréditées qui vendent des noms de domaine aux particuliers et entreprises.
Les RDAP : le protocole RDAP (Registration Data Access Protocol) vient progressivement remplacer le WHOIS classique avec une meilleure structuration des données et une gestion plus fine des droits d’accès.
Les impacts concrets en 2026
Comprendre le WHOIS en théorie, c’est bien. Mesurer ce qu’il change dans la pratique quotidienne d’un e-commerçant, c’est mieux.
Pour les particuliers
Un consommateur averti peut utiliser le WHOIS pour vérifier la légitimité d’un site avant d’y faire un achat. Un domaine récent, des informations opaques, un registrar peu connu : autant de signaux qui invitent à la prudence. Mais en tant que marchand, vous devez comprendre ce que vos clients peuvent voir de vous.
Si votre propre domaine affiche des informations incohérentes ou un historique suspect, cela peut freiner les achats. Certains consommateurs, notamment dans les tranches d’âge 35-55 ans, vérifient systématiquement l’ancienneté d’un site avant de communiquer leurs coordonnées bancaires.
Pour les entreprises
Pour un e-commerçant, les usages professionnels du WHOIS sont multiples et souvent sous-estimés.
La vérification des fournisseurs et partenaires est le cas d’usage le plus immédiat. Avant de confier l’hébergement de votre boutique à un prestataire, ou avant de signer un contrat avec un fournisseur dropshipping, une requête WHOIS sur son domaine principal révèle des informations utiles : ancienneté réelle, cohérence avec le discours commercial, stabilité des informations d’enregistrement.
La surveillance de votre marque constitue un autre usage stratégique. Des outils permettent de configurer des alertes automatiques dès qu’un domaine intégrant votre nom de marque ou une variante proche est enregistré. C’est souvent le premier signe d’une tentative de cybersquatting ou de phishing ciblé.
L’analyse concurrentielle bénéficie également du WHOIS. Connaître la date de création d’un concurrent, son registrar ou l’historique de modification de ses données DNS permet parfois de reconstituer des éléments de stratégie.
Les risques juridiques
En France, la responsabilité d’un commerçant en ligne ne s’arrête pas à son propre site. Si vous utilisez des scripts, plugins ou intégrations tierces dont les éditeurs sont peu identifiables, vous pouvez vous retrouver en situation de complicité involontaire en cas de litige. Le RGPD exige que vous connaissiez et documentiez vos sous-traitants technologiques.
Par ailleurs, la surveillance des dépôts de domaines similaires au vôtre permet d’agir rapidement en cas d’usurpation, notamment via une procédure UDRP (Uniform Domain-Name Dispute-Resolution Policy) devant l’ICANN, ou une action en justice en France pour contrefaçon ou concurrence déloyale.
Comment ça fonctionne techniquement
Une requête WHOIS suit un chemin précis, du navigateur ou de l’outil utilisé jusqu’à la base de données du registre concerné. Voici comment ce processus se déroule concrètement.
Étape 1 : L’identification de l’extension et du registre
Quand vous lancez une requête sur un domaine comme « monboutique.fr », le système identifie d’abord l’extension (.fr) pour déterminer quel registre contacter. Pour le .fr, c’est l’AFNIC qui fait autorité. Pour le .com, c’est Verisign. Chaque registre maintient sa propre base de données WHOIS et ses propres règles d’affichage.
Cette étape est automatisée dans tous les outils WHOIS modernes, qu’il s’agisse d’un site comme whoisip.fr, d’une commande en ligne de commande, ou d’un service professionnel de monitoring.
Étape 2 : La lecture et l’interprétation des données
Une fois les données brutes récupérées, leur interprétation demande un minimum de méthode. Les informations clés à analyser pour un e-commerçant sont les suivantes.
Date de création (Creation Date) : l’âge réel du domaine. Un domaine créé en 2024 ne peut pas appartenir à « une entreprise fondée en 2010 », quelle que soit la mention sur le site.
Date d’expiration (Expiry Date) : un domaine dont le renouvellement est imminent peut indiquer une entreprise en difficulté ou sur le point de disparaître.
Registrar : le bureau d’enregistrement utilisé. Certains registrars sont associés à des pratiques peu rigoureuses en matière de vérification d’identité.
Status : des statuts comme « clientHold » ou « serverHold » indiquent un domaine suspendu, souvent pour des raisons liées à des activités frauduleuses ou à un litige.
Name Servers (NS) : les serveurs DNS utilisés peuvent indiquer l’infrastructure technique et les prestataires hébergeurs.
Les failles de sécurité
Le WHOIS a ses limites, et les fraudeurs les connaissent. Le recours systématique aux services de confidentialité est la première parade utilisée. Un domaine parfaitement légitime peut afficher les coordonnées d’un service de protection de la vie privée comme seule information publique.
La technique du « drop catching » consiste à enregistrer un ancien domaine réputé dès son expiration pour profiter de son ancienneté WHOIS et de son autorité acquise. C’est particulièrement redoutable parce que le WHOIS affichera une date de création ancienne, donnant une fausse impression de légitimité.
Enfin, les transferts de registrar permettent de modifier certaines métadonnées associées à un domaine. Une vérification WHOIS historique, disponible via des services spécialisés de WHOIS historique, permet de détecter ces changements inhabituels.
Solutions et bonnes pratiques
La bonne nouvelle, c’est que se protéger efficacement ne nécessite ni compétences techniques avancées ni budget conséquent. Quelques réflexes bien ancrés suffisent à éliminer la grande majorité des risques.
Protection immédiate (3 étapes)
Sécurisez vos propres domaines. Activez le verrouillage de registrar (statut « clientTransferProhibited ») sur tous vos domaines actifs. Activez également l’authentification à deux facteurs sur votre compte registrar. Renouvelez vos domaines pour plusieurs années d’un coup pour éviter les risques d’expiration accidentelle.
Vérifiez systématiquement vos partenaires. Avant tout contrat ou paiement, effectuez une requête WHOIS sur le domaine principal de votre interlocuteur. Notez la date de création, le registrar et la cohérence des informations. En moins de deux minutes, vous obtenez des éléments objectifs qui complètent avantageusement une vérification au registre du commerce.
Mettez en place une surveillance continue. Configurez des alertes sur votre marque et vos variantes proches via un service de monitoring de domaine. Vous serez averti dès qu’un domaine potentiellement imitateur est enregistré, ce qui vous laisse le temps d’agir avant que la fraude ne prenne de l’ampleur.
Outils et services pros
Plusieurs solutions permettent d’aller plus loin que la simple requête WHOIS manuelle.
whoisip.fr : outil français offrant des requêtes WHOIS détaillées, la recherche WHOIS en masse et des fonctionnalités de surveillance, avec une interface pensée pour les non-techniciens.
DomainTools : référence internationale pour le WHOIS historique et l’analyse de risque de domaine. Particulièrement utile pour les e-commerçants ayant une exposition internationale.
ICANN Lookup : l’outil officiel de l’ICANN pour les requêtes RDAP, gratuit et fiable pour des vérifications ponctuelles.
WhoisXML API : solution programmatique pour les marchands souhaitant automatiser les vérifications dans leur workflow d’onboarding fournisseur.
Alertes Google : simple mais efficace pour surveiller les mentions de votre marque associées à des domaines suspects.
Checklist de vérification
Utilisez cette liste avant chaque décision impliquant un domaine tiers.
Le domaine a-t-il plus de 12 mois d’ancienneté ?
Les informations d’enregistrement sont-elles cohérentes avec le discours commercial du site ?
Le statut du domaine est-il actif (et sans mention de suspension) ?
Le registrar utilisé est-il connu et réputé ?
Y a-t-il des changements récents dans les serveurs DNS ou le registrar ?
Le domaine figure-t-il dans des bases de données de signalement de fraude (PhishTank, SURBL) ?
La date d’expiration est-elle raisonnablement lointaine ?
En cas de privacy protection, l’entité commerciale est-elle vérifiable par d’autres moyens (Kbis, LinkedIn, mentions légales cohérentes) ?
FAQ : Toutes vos questions
Un WHOIS peut-il me donner le nom du propriétaire réel d’un site concurrent ?
Depuis l’application du RGPD en 2018, les informations personnelles des titulaires de domaines sont très souvent masquées pour les particuliers. Vous accédez généralement au nom du registrar et aux coordonnées du service de confidentialité. Pour obtenir des données plus précises, des voies légales existent (injonctions judiciaires, demandes auprès du registrar) mais elles sont réservées à des situations de litige avéré.
Puis-je faire confiance à un site dont le WHOIS affiche une protection de la vie privée ?
La privacy protection est une pratique courante et parfaitement légitime, y compris pour des entreprises totalement honnêtes. Ce n’est pas un signal négatif en soi. En revanche, l’absence totale d’autres éléments de réassurance (mentions légales complètes, numéro SIRET vérifiable, présence physique attestée) devrait vous inciter à creuser davantage avant de vous engager.
Comment savoir si quelqu’un a enregistré un domaine qui ressemble au mien ?
Des outils de surveillance de domaine comme ceux proposés par whoisip.fr analysent en continu les nouveaux enregistrements et vous alertent dès qu’un domaine similaire au vôtre apparaît dans les bases de données. Vous pouvez aussi effectuer des recherches manuelles en testant des variantes typiques (fautes de frappe, ajout de traits d’union, extensions alternatives).
Le WHOIS est-il suffisant pour valider la fiabilité d’un fournisseur ?
Non, et il serait imprudent de s’y limiter. Le WHOIS est un point de départ solide, pas une garantie absolue. Croisez toujours les données WHOIS avec une vérification au registre du commerce (Infogreffe pour les entreprises françaises), une recherche de mentions légales et, pour les montants importants, une demande de référence client vérifiable.
Que faire si je découvre qu’un site frauduleux utilise un domaine imitant le mien ?
Agissez rapidement sur plusieurs fronts simultanément. Signalez le domaine auprès du registrar identifié via WHOIS, auprès de l’hébergeur si identifiable, et auprès de la plateforme Signal Conso de la DGCCRF pour les cas de fraude aux consommateurs. Si votre marque est déposée à l’INPI, vous pouvez engager une procédure UDRP auprès de l’ICANN ou une action en justice pour contrefaçon. Conservez toutes les captures d’écran datées dès la découverte.
Agissez maintenant
Trois points à retenir de ce guide.
Le WHOIS n’est pas un outil réservé aux techniciens. C’est un réflexe de due diligence accessible à tous les e-commerçants, quelle que soit la taille de leur boutique. Deux minutes de vérification peuvent éviter des semaines de gestion de crise.
La protection de votre propre domaine est aussi importante que la vérification des tiers. Verrouillez vos domaines, renouvelez-les à l’avance et mettez en place une surveillance active de votre marque.
L’environnement réglementaire et technique évolue. Le passage progressif au protocole RDAP, les nouvelles règles de l’ICANN sur l’accès aux données et l’essor de l’IA dans la détection de fraudes vont transformer les pratiques de vérification d’ici 2027. Les e-commerçants qui auront pris de bonnes habitudes maintenant partiront avec une longueur d’avance.
Effectuez votre première vérification WHOIS sur whoisip.fr et commencez par auditer vos propres domaines. Vous pourriez être surpris de ce que vous y découvrez.
