Con­fi­den­tia­lité de domaine : plus de sphère privée avec la pro­tec­tion du nom de domaine

Quand on en­re­gistre un domaine auprès d’un re­gis­traire de nom de domaine, on doit ren­seig­ner des coor­don­nées complètes qui peuvent sous certaines cir­cons­tances être ac­ces­sibles au public. Si vous aspirez à plus de sou­ve­rai­neté de données, sécurité et sphère privée, vous devez alors mettre en place une con­fi­den­tia­lité du domaine sans faille. Avec la pro­tec­tion du nom de domaine, vous ou votre re­gis­traire de domaine pouvez supprimer les données per­son­nelles ou d’en­tre­prise ac­ces­sibles au public dans l’entrée WHOIS du domaine.

La pro­tec­tion de nom de domaine, c’est quoi ?

La pro­tec­tion de nom de domaine est souvent associée aux termes con­fi­den­tia­lité du domaine ou WHOIS address privacy. Tous ceux-ci reflètent le principe d’un anonymat fiable et d’une con­fi­den­tia­lité lors de l’en­re­gis­tre­ment d’un domaine. Toute personne en­re­gis­trant un domaine doit ren­seig­ner diverses in­for­ma­tions à cet effet. Les in­di­ca­tions con­cer­nant la personne, l’en­tre­prise et les coor­don­nées sont requises pour conclure of­fi­ciel­le­ment l’achat d’un domaine propre. Elles re­couvrent en général :

• nom
• adresse(s) email
• adresse(s) com­mer­ciale(s)
• coor­don­nées té­lé­pho­niques

Le problème rencontré ici est que les in­for­ma­tions sur les personnes et les coor­don­nées associées à un domaine lors de l’en­re­gis­tre­ment ne sont pas privées, mais ac­ces­sibles au public via la base de données WHOIS. Ceci s’applique tout du moins lorsque le registre de nom de domaine ou le déclarant ne se soucient pas d’une con­fi­den­tia­lité et d’une pro­tec­tion de domaine complètes. La con­fi­den­tia­lité de domaine permet l’ano­ny­mi­sa­tion des in­for­ma­tions associées et consiste à les remplacer par les in­for­ma­tions relatives au domaine ou au four­nis­seur de services d’hé­ber­ge­ment. Ceci vous permet de protéger vos données per­son­nelles ou d’en­tre­prise de manière fiable.

WHOIS, c’est quoi ?

Les domaines avec les IP cor­res­pon­dants et les données per­son­nelles et d’en­tre­prise associées sont gérés par l’ICANN (Internet Cor­po­ra­tion for Assigned Names and Numbers) dans des espaces de noms de domaine. Pour coor­don­ner les adresses IP et les serveurs de noms de domaine (DNS), l’ICANN détermine comment les domaines sont en­re­gis­trés. De plus, l’organisme gère l’at­tri­bu­tion des DNS, IP et données associées par une antenne nommée IANA.

Lors de l’en­re­gis­tre­ment d’un domaine, les clients com­mu­ni­quent des données à caractère personnel aux re­gis­traires et aux bureaux d’en­re­gis­tre­ment, qui peuvent être con­sul­tées à leur tour dans la base de données WHOIS. Ainsi, WHOIS est un registre Internet qui fournit toutes les in­for­ma­tions dis­po­nibles sur un domaine. Le but principal de la collecte de données est de vérifier la lé­gi­ti­mité d’un en­re­gis­tre­ment de domaine. Les entrées WHOIS, en revanche, sont destinées à garantir que le contact avec le titulaire du domaine est possible en cas de problèmes ju­ri­diques ou tech­niques, ainsi qu’en cas d’autres demandes.

Une entrée WHOIS dans la base de données WHOIS comprend les in­for­ma­tions suivantes :

• nom de domaine
• re­gis­traire de domaine
• entrées DNS / Serveur DNS
• date de l’en­re­gis­tre­ment
• date d’ex­pi­ra­tion de l’en­re­gis­tre­ment du domaine
• in­for­ma­tions sur la date de re­nou­vel­le­ment de l’en­re­gis­tre­ment
• statut du domaine
• ADMIN-C et TECH-C
• coor­don­nées (email, téléphone, adresse, nom) du titulaire du domaine

Selon le type de domaine ou les ex­ten­sions de domaine, la portée et le contenu des in­for­ma­tions WHOIS ren­seig­nées peuvent varier, car dif­fé­rents bureaux d’en­re­gis­tre­ment peuvent en être res­pon­sables. En vertu du RGPD, de nom­breuses entrées WHOIS de domaines dans l’espace européen sont de plus ano­ny­mi­sées au­to­ma­ti­que­ment pour des raisons de Domain Privacy et ne sont dis­po­nibles que sur demande légitime.

Une demande WHOIS, c’est quoi ?

Si vous visitez un site Web ou souhaitez en savoir plus sur un domaine, vous pouvez effectuer une recherche WHOIS. Cela permet de dé­ter­mi­ner quand un domaine a été autorisé pour quelle personne ou en­tre­prise. Selon la portée des entrées WHOIS, les coor­don­nées et les données per­son­nelles con­cer­nant le titulaire du domaine peuvent également être dis­po­nibles. Une recherche WHOIS, également connue sous le nom de demande « WHOIS-Lookup », est gratuite et peut être effectuée auprès de divers bureaux d’ad­mi­nis­tra­tion de domaine.

En voici quelques-uns :

• ICANN via l’ICANN service WHOIS LOOKUP
• le service WHO.IS sous WHO.IS
• recherche de domaine pour les domaines spé­ci­fiques au pays via l’Afnic (As­so­cia­tion française pour le nommage Internet en coo­pé­ra­tion) sous afnic.fr

Les bénéfices d’une recherche WHOIS sont les suivants :

• vérifier et prouver la lé­gi­ti­mité et l’unicité d’un domaine
• re­cueil­lir des in­for­ma­tions sur un domaine avant d’en en­re­gis­trer un nouveau
• permettre la prise de contact avec les ti­tu­laires de domaine en cas de problèmes tech­niques ou ju­ri­diques

Quel rôle occupe le RGPD pour la con­fi­den­tia­lité de domaine ?

Depuis que le RGPD (Règlement général sur la pro­tec­tion des données) est entré en vigueur le 25 mai 2018 dans toute l’Europe, le trai­te­ment, la pu­bli­ca­tion et le stockage des données à caractère personnel sont soumis à des dis­po­si­tions strictes. Cela s’applique également à la collecte et à la pu­bli­ca­tion d’in­for­ma­tions con­cer­nant les domaines. Grâce au RGPD, cela s’applique également à la pro­tec­tion de la vie privée dans la gestion de domaine. Depuis lors, les re­gis­traires de noms de domaine sont soumis à l’obli­ga­tion de supprimer ou d’ano­ny­mi­ser les données à caractère personnel dans l’entrée WHOIS – tout du moins dans l’UE pour les ccTLD (domaines de premier niveau), ainsi que pour les domaines de premier niveau générique (en anglais : generic Top-Level Domain ou gTLD).

Les opé­ra­teurs et les four­nis­seurs de domaines doivent, con­for­mé­ment au RGPD et sauf in­di­ca­tion contraire du titulaire du domaine, supprimer les données per­son­nelles des entrées de WHOIS ac­ces­sibles au public. De nombreux bureaux d’en­re­gis­tre­ment de domaine proposent désormais leurs propres services de pro­tec­tion de nom de domaine au­to­ma­tique lors de l’en­re­gis­tre­ment. En voici quelques-uns :

• adresse de re­di­rec­tion ou de contact ano­ny­mi­sée pour les re­cherches WHOIS afin de fournir des données sé­lec­tion­nées ou de traiter les requêtes
• les entrées WHOIS sur les ti­tu­laires de domaine sont rem­pla­cées par des in­for­ma­tions provenant du bureau d’en­re­gis­tre­ment ou d’un tiers
• pro­tec­tion WHOIS sé­lec­tion­née pour des domaines sé­lec­tion­nés
• au­then­ti­fi­ca­tion à deux facteurs et ad­mi­nis­tra­tion privée de WHOIS

Quels sont les avantages de la con­fi­den­tia­lité de domaine ?

Quand on se penche sur les avantages apportés par les entrées WHOIS, il convient de mettre en balance les avantages des entrées WHOIS et ceux d’une meilleure con­fi­den­tia­lité de domaine. Les in­for­ma­tions sur les domaines ac­ces­sibles au public offrent l’avantage de pouvoir répondre aux demandes et aux problèmes formulés par les visiteurs du site ou de s’informer sur l’at­tri­bu­tion et la propriété des domaines.

Les avantages de la pro­tec­tion de nom de domaine sont les suivants :

• ano­ny­mi­sa­tion des in­for­ma­tions per­son­nelles ou com­mer­ciales sensibles
• pré­ven­tion de l’uti­li­sa­tion abusive des coor­don­nées dis­po­nibles pu­bli­que­ment pour envoyer des courriers in­dé­si­rables ou « spams » ou les mails d’ha­me­çon­nage ou de « phishing »
• con­fi­den­tia­lité et pro­tec­tion de domaine complètes pour prévenir l’usur­pa­tion d’identité et de domaine
• pos­si­bi­li­tés de contact avec les ti­tu­laires de domaine via l’adresse de re­di­rec­tion ano­ny­mi­sée

Peut-on utiliser WHOIS Address Privacy pour chaque domaine de premier niveau ?

La pos­si­bi­lité d’utiliser la con­fi­den­tia­lité de domaine dépend du bureau d’en­re­gis­tre­ment respectif ou du four­nis­seur de domaine respectif. Il convient de vérifier si la pro­tec­tion du nom de domaine est com­pa­tible avec les con­di­tions con­trac­tuelles res­pec­tives du four­nis­seur. Pour les domaines de premier niveau dans l’UE, le RGPD s’applique dans la mise en œuvre res­pec­tive par les bureaux d’en­re­gis­tre­ment quant à l’en­re­gis­tre­ment de domaine, comme l’Afnic, l’ICANN et d’autres.

Par exemple, la mise en œuvre de la directive RGPD par le bureau d’en­re­gis­tre­ment AFNIC compétent pour les adresses Internet .fr impose l’en­re­gis­tre­ment des données suivantes pa­ral­lè­le­ment à l’en­re­gis­tre­ment du domaine :

• nom
• adresse email et postale
• deux adresses email pour la prise de contact
• données tech­niques du domaine

Toutefois, ces données n’ap­pa­rais­sent pas dans l’entrée publique WHOIS. Pour les domaines .fr en­re­gis­trés, on y trouve uni­que­ment le statut du domaine (en­re­gis­tré ou non en­re­gis­tré), les données tech­niques du domaine, une adresse email ano­ny­mi­sée pour les demandes générales et tech­niques ainsi qu’une adresse email ano­ny­mi­sée pour les demandes en cas d’uti­li­sa­tion illégale ou abusive du domaine.