Protéger votre domaine contre le typosquatting : guide complet

Votre entreprise reçoit un signalement d’un client : il a cliqué sur un lien dans un email qui semblait venir de vous, saisi ses identifiants, et réalisé quelques minutes plus tard que quelque chose clochait. L’URL dans la barre d’adresse affichait votre-entreprlse.fr : un « i » remplacé par un « l », invisible à première lecture.

Le typosquatting et plus largement l’abus de domaines sosies alimentent de nombreuses campagnes de phishing ciblées. Pour les responsables IT et les équipes protection de marque, s’en défendre fait désormais partie de la sécurité de base.

Ce guide couvre l’ensemble du spectre : identification des techniques d’abus, outils de détection, stratégie d’enregistrement défensif, rôle de DMARC, et procédures juridiques pour reprendre le contrôle quand un domaine sosie est déjà actif.

Vérifiez dès maintenant la configuration d’authentification email de votre domaine principal avec notre test sécurité email. C’est la base avant d’aborder la protection contre les domaines sosies.

Ce qu’est le typosquatting et comment il fonctionne en France

Le typosquatting consiste à enregistrer un nom de domaine qui ressemble à celui d’une marque ou d’une organisation légitime, en exploitant les fautes de frappe courantes, les substitutions de caractères (rn pour m, 1 pour l) ou les caractères d’autres alphabets qui imitent les lettres latines. Le but : intercepter du trafic ou usurper l’identité de cette entité. Ce qui rend la technique redoutable, c’est que l’attaquant possède réellement le domaine : il peut y configurer SPF, DKIM et DMARC et obtenir un certificat HTTPS, si bien que ses emails et ses pages passent tous les contrôles automatiques. La technique tire parti d’un mécanisme cognitif simple : en lecture rapide, l’œil ne détecte pas les petites variations orthographiques.

Des exemples concrets dans le contexte français

Les services publics sont une cible de choix, justement parce qu’ils inspirent confiance et génèrent des actions sensibles (déclarations fiscales, remboursements, paiements). Des variantes comme impots-gouv.fr (le domaine légitime est impots.gouv.fr) ou amelii.fr, ameli-fr.com et ameli-remboursement.fr ont été utilisées pour des campagnes d’hameçonnage visant à collecter des numéros de Sécurité sociale et des coordonnées bancaires.

Pour les entreprises privées, les exemples sont plus discrets mais tout aussi fréquents. Un fournisseur dont le domaine est fournisseur.fr peut se retrouver imité par forunisseur.fr (transposition), furnisseur.fr (omission), ou fournisseur-factures.fr (ajout d’un mot générique pour donner une apparence de légitimité). Ces domaines servent ensuite à envoyer de fausses factures, des demandes de changement de RIB, ou des notifications de livraison frauduleuses.

L’ANSSI (cyber.gouv.fr) décrit régulièrement ces techniques dans ses publications sur la menace cybercriminelle en France.

Les cinq techniques d’abus de domaines

Comprendre les techniques permet de générer une liste exhaustive de variantes à surveiller et à enregistrer défensivement.

Transposition de caractères

Deux caractères adjacents sont inversés. entreprise.fr devient enrteprise.fr. C’est la faute de frappe la plus fréquente en dactylographie : les doigts anticipent le caractère suivant. Les transpositions sur les paires les plus courantes (er/re, oi/io, on/no, is/si) sont les premières à vérifier.

Omission de caractère

Un caractère est simplement absent. assurance.fr devient asurance.fr ou assurace.fr. Les doubles consonnes (ss, ll, rr, tt) sont particulièrement vulnérables à l’omission, car l’œil les perçoit souvent comme une seule lettre.

Ajout de caractère

Un caractère supplémentaire est inséré. banque.fr devient banqque.fr ou banquee.fr. Variante fréquente : l’insertion d’un tiret ou d’un mot générique pour donner une apparence institutionnelle : banque-france.fr, banque-securite.fr.

Substitution homophone ou visuelle

Un caractère est remplacé par un autre qui se ressemble visuellement ou phonétiquement : o remplacé par 0, i par l ou 1, e par 3. Ces substitutions sont difficiles à détecter dans certaines polices d’affichage. La variante rn pour m est classique : rnicrosoft.com ressemble à microsoft.com en lecture rapide.

Attaque homographe et substitution de TLD

L’attaque homographe exploite les caractères Unicode visuellement identiques aux caractères ASCII. Un а cyrillique remplace un a latin : la différence est invisible pour l’utilisateur mais le domaine est techniquement distinct. Les navigateurs modernes affichent généralement la version Punycode (xn--) pour ces domaines, ce qui limite leur efficacité sur le web, mais pas dans les clients email.

La substitution de TLD est plus simple : entreprise.fr devient entreprise.com, entreprise.eu ou entreprise.net. Quand ces variantes ne sont pas enregistrées par l’organisation légitime, elles sont disponibles à l’enregistrement.

Comment les attaquants exploitent les domaines sosies pour le phishing

Un domaine sosie seul ne suffit pas. Les attaquants construisent autour de lui une infrastructure de crédibilité qui passe les vérifications techniques courantes.

La chaîne d’attaque type

Après avoir enregistré un domaine sosie, l’attaquant configure un serveur MX pour envoyer et recevoir des emails, publie un enregistrement SPF et DKIM sur ce nouveau domaine (ces protocoles authentifient l’expéditeur déclaré sur le domaine sosie, pas votre domaine légitime), puis déploie une page web imitant le site légitime.

L’email de phishing est envoyé depuis une adresse comme facturation@votre-entreprlse.fr. Les vérifications SPF et DKIM passent, mais pour le domaine votre-entreprlse.fr. Un destinataire qui ne lit pas scrupuleusement chaque caractère de l’adresse expéditeur ne voit rien d’anormal.

Les scénarios d’attaque les plus fréquents en B2B

Fraude au virement

Un email prétendant émaner de votre direction financière ou d’un fournisseur connu demande un virement vers un nouveau compte. L’adresse expéditeur est une variante typosquattée de votre domaine ou de celui du fournisseur.

Collecte d’identifiants

Un email de notification (document partagé, alerte de sécurité, expiration de mot de passe) redirige vers une page de connexion imitant Microsoft 365 ou Google Workspace. Le domaine de la page ressemble à celui de votre entreprise.

Usurpation fournisseur

L’attaquant enregistre un sosie du domaine de votre fournisseur et envoie une fausse facture ou une demande de mise à jour de RIB à votre équipe comptable.

Dans tous ces cas, DMARC sur votre propre domaine n’intervient pas : l’email provient d’un domaine distinct, même s’il lui ressemble. C’est pour cela que ce guide traite aussi la surveillance et l’enregistrement défensif.

Outils pour détecter le typosquatting

dnstwist : générer et analyser les variantes

dnstwist est un outil open source qui génère automatiquement toutes les variantes connues d’un nom de domaine et vérifie leur résolution DNS. Il détecte les transpositions, omissions, ajouts, substitutions visuelles, variantes homographes et substitutions de TLD.

Exécuté contre votre domaine, il produit une liste de variantes avec pour chacune son statut de résolution (enregistré ou non), l’IP associée, et la présence d’un serveur MX. Les variantes avec une résolution active et un MX sont les plus préoccupantes : elles disposent d’une infrastructure capable d’envoyer et de recevoir des emails.

L’option --screenshots permet de comparer visuellement les pages des domaines suspects à votre propre site, ce qui accélère l’identification des copies malveillantes.

urlscan.io : analyser le contenu d’un domaine suspect

urlscan.io permet de soumettre un domaine ou une URL pour analyse sans le visiter directement. Le service capture le rendu de la page, les ressources chargées, les redirections et les indicateurs techniques (certificats SSL, scripts, formulaires). C’est l’outil de référence pour vérifier rapidement si un domaine sosie héberge une page imitant votre site.

La base de données publique de urlscan.io contient l’historique des scans : vous pouvez rechercher des analyses déjà effectuées sur des domaines similaires au vôtre pour identifier des campagnes en cours.

Certificate Transparency Logs via crt.sh

Tout certificat SSL émis pour un domaine est visible quasi en temps réel dans les Certificate Transparency Logs. Un attaquant qui configure un site de phishing avec HTTPS, ce qui est devenu quasi systématique, génère un certificat détectable.

Le site crt.sh permet de rechercher les certificats émis pour des domaines contenant une chaîne de caractères donnée. Une recherche sur votre marque ou votre domaine principal révèle les certificats récents sur des variantes typosquattées.

Services de surveillance continue

Pour les entreprises dont le domaine est régulièrement ciblé, une vérification manuelle périodique ne suffit pas. Des plateformes dédiées surveillent en temps réel les nouvelles inscriptions.

DomainTools Iris Detect surveille les nouvelles inscriptions similaires à vos domaines et envoie des alertes configurables avec scoring de risque.

WhoisXML API Domain Monitor offre une surveillance WHOIS en temps réel avec des règles de similarité personnalisables et une API pour l’intégration dans vos outils de sécurité.

SecurityTrails combine surveillance WHOIS, historique DNS et analyse de similarité.

Ces services analysent les nouvelles données WHOIS quotidiennes, les Certificate Transparency Logs et les résolutions DNS actives. Certaines solutions EDR d’entreprise intègrent aussi des flux de threat intelligence incluant les domaines sosies récemment détectés.

Stratégie d’enregistrement défensif

L’enregistrement défensif consiste à acquérir les variantes de votre domaine avant que des tiers ne le fassent. C’est une assurance plutôt qu’une défense active : un attaquant déterminé trouvera des variantes que vous n’avez pas couvertes. Elle réduit toutefois la surface d’attaque pour les techniques les plus courantes.

Prioriser les enregistrements à fort impact

Avec des centaines de variantes théoriquement possibles, il faut hiérarchiser. Commencez par :

Les TLD alternatifs principaux

Si votre domaine de référence est entreprise.fr, enregistrez entreprise.com, entreprise.eu et entreprise.net. Ces extensions sont peu coûteuses et fréquemment exploitées.

Les transpositions et omissions en début et en fin de nom

Couvrez d’abord les transpositions et omissions sur les 3 premiers et les 3 derniers caractères.

Les variantes avec tiret ou sans tiret

mon-entreprise.fr et monentreprise.fr si votre domaine principal diffère.

Les homophones phonétiques

Si votre marque contient des sons ambigus à l’écrit (ph/f, eau/o, c/k), enregistrez les variantes phonétiques.

Un enregistrement défensif coûte entre 8 et 15 euros par domaine et par an. Couvrir 15 variantes prioritaires représente entre 120 et 225 euros par an.

Configurer les domaines défensifs correctement

Un domaine enregistré défensivement doit être configuré pour ne pas créer de confusion et bloquer toute utilisation comme expéditeur email :

Redirigez-le vers votre domaine principal via une redirection HTTP 301.
Publiez un enregistrement SPF v=spf1 -all : aucun serveur n’est autorisé à envoyer en son nom.
Publiez un enregistrement DMARC v=DMARC1; p=reject sans tag rua= ni MX.
N’activez pas de serveur MX sur ces domaines.

Cette configuration signale aux serveurs email que le domaine ne doit envoyer aucun email légitime, et tout email prétendant provenir de ce domaine sera rejeté.

Les limites de l’enregistrement défensif

L’enregistrement défensif ne protège pas contre les domaines enregistrés dans des TLD que vous ne couvrez pas, ni contre les nouvelles extensions créées après votre enregistrement. Il ne couvre pas non plus les attaques homographes Unicode. Contre celles-ci, comptez sur la surveillance continue et la formation des utilisateurs.

DMARC comme protection contre l’usurpation directe de votre domaine

DMARC couvre une surface d’attaque distincte et tout aussi réelle : l’usurpation directe de votre domaine exact dans le champ From des emails. Il n’a en revanche aucun effet sur les domaines sosies.

Ce que DMARC p=reject bloque

Un attaquant qui tente d’envoyer un email depuis contact@votreentreprise.fr sans avoir accès à votre infrastructure voit ses messages rejetés par les serveurs destinataires si votre politique DMARC est en p=reject. Gmail, Microsoft Exchange Online, Orange, SFR Business et la quasi-totalité des fournisseurs de messagerie modernes appliquent cette politique.

Sans DMARC en p=reject, ce spoofing direct fonctionne. L’attaquant n’a pas besoin d’enregistrer un domaine sosie : il utilise directement votre adresse dans le From, et les emails arrivent dans les boîtes des destinataires avec votre identité affichée.

La complémentarité des deux défenses

Surface d’attaque	DMARC p=reject	Enregistrement défensif + surveillance
Email depuis contact@votredomaine.fr non autorisé	Bloqué	Pas d’effet
Email depuis contact@votre-domaine.fr (sosie)	Pas d’effet	Réduit si domaine enregistré
Email depuis contact@votre-domaïne.fr (homographe)	Pas d’effet	Surveillance nécessaire

Les deux défenses sont nécessaires. DMARC élimine le vecteur le plus simple : l’usurpation directe. L’enregistrement défensif et la surveillance réduisent la surface d’attaque par domaines sosies.

Passer en p=reject : la migration progressive

Si votre politique DMARC est encore en p=none ou p=quarantine, le passage en p=reject est la priorité technique immédiate pour éliminer le risque de spoofing direct. Notre plan pour passer DMARC en reject détaille la procédure progressive (inventaire des sources, analyse des rapports, montée par paliers) pour migrer sans perturber vos envois légitimes.

Utilisez notre test sécurité email pour évaluer votre niveau actuel d’authentification et identifier les écarts avant de démarrer la migration.

Que faire quand vous trouvez un domaine sosie

Évaluer la menace avant d’agir

Tous les domaines similaires ne sont pas malveillants. Avant d’engager une procédure, évaluez :

Le domaine résout-il ? Un domaine enregistré sans résolution DNS est probablement un enregistrement spéculatif ou défensif par un tiers sans intention malveillante immédiate.
Y a-t-il un serveur MX actif ? Un MX signale une capacité d’envoi ou de réception d’emails, donc un risque élevé.
Le site imite-t-il votre identité visuelle ? Analysez via urlscan.io. Une page parking d’un registrar est différente d’une copie de votre site de connexion.
Y a-t-il des signalements existants ? Cherchez le domaine dans PhishTank, Google Safe Browsing ou VirusTotal.

Signalement d’abus auprès du registrar

La voie la plus rapide pour obtenir la suspension d’un domaine malveillant est le signalement d’abus auprès du registrar. Tous les registrars accrédités ICANN ont l’obligation de maintenir un point de contact pour les abus et de traiter les signalements liés au phishing.

La demande doit inclure : le domaine signalé, les preuves de l’utilisation malveillante (captures d’écran, en-têtes d’emails), la preuve de vos droits sur la marque ou le domaine légitime, et un contact de suivi.

Pour les domaines .fr, l’AFNIC gère un système de signalement d’abus et peut suspendre rapidement un domaine .fr en cas de phishing avéré.

Procédure Syreli pour les domaines .fr

La procédure Syreli est le mécanisme officiel de l’AFNIC pour la résolution des litiges sur les domaines .fr. Elle permet à un titulaire de droits (marque déposée, dénomination sociale, nom commercial) d’obtenir le transfert ou la suppression d’un domaine .fr enregistré en violation de ces droits, sans passer par les tribunaux.

En pratique :

Coût : 250 euros HT pour une procédure à un expert (procédure standard)
Durée : environ deux mois entre le dépôt et la décision
Procédure extrajudiciaire

Pour initier une procédure Syreli, déposez votre dossier sur le site de l’AFNIC. Le dossier doit inclure les preuves de vos droits sur la marque, la démonstration que le domaine contesté viole ces droits, et les preuves de mauvaise foi du registrant si disponibles.

La mauvaise foi peut être établie par : la ressemblance délibérée avec votre marque, l’usage du domaine pour du phishing, des offres de vente à prix abusif, ou l’absence d’utilisation légitimement justifiable du domaine.

Procédure UDRP pour les extensions génériques

Pour les domaines en .com, .net, .org, .biz et la plupart des extensions génériques, la procédure applicable est l’UDRP (Uniform Domain-Name Dispute-Resolution Policy), administrée par les centres de résolution accrédités par l’ICANN.

Les deux principaux centres pour les litiges impliquant des marques françaises sont l’OMPI (Organisation Mondiale de la Propriété Intellectuelle, wipo.int) et le Forum (anciennement NAF). L’OMPI est généralement préféré pour les marques européennes.

Pour obtenir gain de cause en UDRP, trois conditions doivent être réunies :

Le domaine est identique ou semblable à votre marque au point de créer une confusion.
Le registrant n’a pas de droits légitimes sur ce domaine.
Le domaine a été enregistré et est utilisé de mauvaise foi.

Coût : entre 1 500 et 3 000 euros selon le nombre de domaines contestés et le centre choisi. Durée : 45 à 60 jours. La décision est contraignante pour le registrar.

Signalement aux autorités en cas de phishing actif

Si le domaine sosie est utilisé dans une campagne de phishing active ciblant vos clients ou collaborateurs, signalez-le en parallèle des procédures de reprise :

Cybermalveillance.gouv.fr : plateforme nationale de signalement des actes de cybermalveillance. Le signalement aide les autorités à suivre les campagnes en cours.
Pharos (internet-signalement.gouv.fr) : plateforme de signalement de contenus illicites en ligne du ministère de l’Intérieur.
CERT-FR (cyber.gouv.fr/le-cert-fr) : pour les incidents touchant des entités couvertes par NIS2 ou des opérateurs d’importance vitale.

Ces signalements peuvent déclencher des actions de blocage (listes noires, alertes des navigateurs) et contribuent à l’enquête judiciaire si une plainte est déposée.

Questions fréquentes

Quelle est la différence entre typosquatting et cybersquatting ?

Le cybersquatting désigne l’enregistrement d’un domaine correspondant à une marque existante dans un but spéculatif ou malveillant. Le typosquatting est une forme spécifique de cybersquatting qui exploite les fautes de frappe probables : nomdevotreentreprise.fr devient nomdevotreenreprise.fr ou nomdevotreenteprise.fr. Les deux constituent une violation des droits sur la marque, mais le typosquatting cible spécifiquement les erreurs humaines de saisie.

DMARC protège-t-il contre les domaines sosies ?

DMARC en politique reject protège uniquement contre l’usurpation directe de votre domaine exact, c’est-à-dire quelqu’un qui envoie un email depuis contact@votredomaine.fr sans en avoir l’autorisation. Il ne protège pas contre les domaines sosies : un attaquant qui enregistre votredomaïne.fr ou votre-domaine.fr peut envoyer des emails depuis ces domaines sans que votre DMARC n’intervienne. Les deux défenses se complètent.

Combien de variantes faut-il enregistrer défensivement ?

Cela dépend de la valeur de votre marque, de votre exposition aux attaques et de votre budget. Un domaine d’entreprise de taille moyenne devrait au minimum couvrir les TLD principaux (.fr, .com, .eu, .net) pour le domaine exact, plus les 5 à 10 variantes typosquattées les plus proches. Un enregistrement défensif coûte entre 8 et 15 euros par domaine et par an. C’est très peu comparé au coût d’une campagne de phishing qui exploite un domaine sosie.

Comment savoir si un domaine sosie est utilisé pour du phishing ?

Vérifiez trois indicateurs : la présence d’un enregistrement MX actif (un domaine avec MX peut recevoir ou envoyer des emails), la résolution du domaine vers une IP active (le site est en ligne), et le contenu de la page (imitation de votre site, formulaire de connexion). L’outil urlscan.io permet d’analyser le contenu d’un domaine sans le visiter directement. Un domaine sosie nouvellement enregistré avec MX actif et sans historique de trafic légitime est un indicateur fort de préparation d’une campagne de phishing.

Quelle est la procédure Syreli et pour quels domaines s’applique-t-elle ?

Syreli est la procédure de résolution des litiges de l’AFNIC pour les domaines en .fr et extensions régionales françaises. Elle permet d’obtenir le transfert ou la suppression d’un domaine .fr enregistré en violation des droits sur une marque, sans passer par les tribunaux. La procédure coûte 250 euros HT et dure environ deux mois. Pour les domaines .com, .net, .org et extensions génériques, c’est la procédure UDRP de l’ICANN qui s’applique, via les centres de résolution accrédités (OMPI, Forum).

Peut-on automatiser la surveillance des domaines sosies ?

Oui, et c’est recommandé : la surveillance manuelle ne tient pas à grande échelle. Des services comme DomainTools Iris Detect, WhoisXML API Domain Monitor, ou Recorded Future surveillent en continu les nouvelles inscriptions de domaines et alertent dès qu’un domaine similaire au vôtre est enregistré. Ces services analysent les données WHOIS quotidiennes, les certificats SSL émis via Certificate Transparency Logs, et les résolutions DNS actives.

Que faire si le registrant d’un domaine sosie est anonymisé par un service de privacy WHOIS ?

Adressez votre demande de takedown directement au registrar : il a l’obligation de transmettre les signalements d’abus à l’utilisateur final. Pour les procédures Syreli et UDRP, le mandataire de confidentialité est tenu de révéler l’identité du registrant dans le cadre de la procédure.

Les enregistrements défensifs, la surveillance et DMARC réduisent la surface d’attaque sur vos domaines. Les emails qui imitent votre marque depuis un autre domaine arrivent quand même jusqu’à vos équipes. Pour mesurer leur réaction, utilisez la simulation de phishing : 80 scénarios prêts à l’emploi ou les vôtres, un module de formation court après un clic, et le suivi de la progression.

Thomas Ferreira (CISSP, GCFA, GCIH, GCFE) est ingénieur sécurité chez nophi.sh. Les recommandations de ce guide s’appuient sur les publications de l’ANSSI, la documentation AFNIC sur la procédure Syreli, et les politiques UDRP de l’OMPI.