Sécurité du domaine et du DNS : une checklist pratique

Pourquoi le domaine est votre compte le plus important

Si quelqu’un prend le contrôle de votre compte chez le registraire ou de votre DNS, il peut faire pointer votre site vers son serveur, lire vos e-mails entrants et réussir les vérifications de domaine utilisées par les autorités de certification, si bien que le navigateur affiche un cadenas valide sur sa copie. Aucun durcissement du serveur n’aide une fois le DNS perdu. L’essentiel de la protection tient en quelques réglages à faire une seule fois.

1. Sécurisez les comptes du registraire et du DNS

• Activez l’authentification à deux facteurs chez le registraire et chez l’hébergeur DNS (souvent la même société, ou Cloudflare).
• Utilisez un e-mail de récupération sur un domaine différent. Si l’adresse de récupération est sur le domaine lui-même et que celui-ci cesse de fonctionner, vous ne pourrez pas recevoir l’e-mail de réinitialisation.
• Enregistrez le domaine au nom de l’entreprise, avec une adresse de fonction partagée, pas au nom d’un ancien salarié ou de l’agence qui a créé le site.
• Notez qui a accès, et retirez l’accès aux personnes parties.

2. Ne laissez jamais expirer le domaine

Les domaines expirés sont parfois rachetés en quelques jours par d’autres, avec le trafic et les e-mails qui continuent d’arriver. Activez le renouvellement automatique, gardez la carte à jour et vérifiez la date d’expiration et les codes de statut :

whois yourdomain.com | grep -iE 'expir|status'

3. Activez le verrou de transfert

Dans les lignes de statut ci-dessus, vous devez voir clientTransferProhibited. Cela signifie que le domaine ne peut pas être transféré vers un autre registraire tant que vous ne le déverrouillez pas vous-même. La plupart des registraires l’appellent « registrar lock » ou « verrou de transfert ». Pour les domaines à forte valeur, demandez si le service de registry lock (verrous côté registre modifiés uniquement après vérification manuelle) est disponible pour votre extension.

4. Publiez des enregistrements CAA

Un enregistrement CAA liste les autorités de certification autorisées à émettre des certificats pour votre domaine ; toute AC publique doit le vérifier avant d’émettre. Identifiez l’AC utilisée par votre hébergeur ou votre CDN, puis publiez des enregistrements comme ceux-ci (cet exemple n’autorise que Let’s Encrypt et interdit les certificats wildcard) :

yourdomain.com.  3600  IN  CAA  0 issue "letsencrypt.org"
yourdomain.com.  3600  IN  CAA  0 issuewild ";"
yourdomain.com.  3600  IN  CAA  0 iodef "mailto:security@yourdomain.com"

dig +short CAA yourdomain.com

Attention : si votre CDN ou votre hébergeur émet des certificats via une autre AC non listée, ses renouvellements échoueront. Beaucoup de CDN documentent les valeurs CAA à ajouter, et certains les ajoutent pour vous.

5. Activez DNSSEC

DNSSEC signe vos réponses DNS, ce qui permet aux résolveurs qui les valident de détecter les réponses falsifiées. Activez-le chez votre hébergeur DNS, puis ajoutez chez le registraire l’enregistrement DS qu’il vous fournit (beaucoup de registraires le font automatiquement s’ils hébergent aussi votre DNS). Vérifiez que l’enregistrement DS existe et qu’un résolveur validant positionne le drapeau ad (données authentifiées) :

dig +short DS yourdomain.com
dig @1.1.1.1 +dnssec yourdomain.com A | grep -E 'flags:'

Une mise en garde : quand vous changez de fournisseur DNS, supprimez d’abord l’enregistrement DS (ou suivez les étapes de migration DNSSEC du nouveau fournisseur), sinon les résolveurs validants ne pourront plus du tout résoudre votre domaine.

6. Supprimez les enregistrements orphelins (prise de contrôle de sous-domaine)

Un enregistrement « orphelin » pointe vers un service que vous n’utilisez plus : un bucket de stockage cloud supprimé, un ancien outil de landing pages, un compte d’hébergement fermé. Si quelqu’un d’autre peut réclamer ce nom sur le même service, il contrôle le contenu de votre sous-domaine, avec votre domaine dans la barre d’adresse. Récupérez la liste de vos sous-domaines chez votre hébergeur DNS et vérifiez où pointe chaque CNAME :

for h in www shop blog staging old mail; do
  t=$(dig +short CNAME "$h.yourdomain.com")
  [ -n "$t" ] && echo "$h -> $t ($(dig +short "$t" | head -n1))"
done

Des parenthèses vides signifient que la cible ne se résout plus : retrouvez ce que c’était et supprimez l’enregistrement. Une cible qui se résout peut quand même être orpheline si le compte derrière a été fermé : ouvrez chaque sous-domaine et vérifiez qu’il affiche ce que vous attendez. Supprimez l’enregistrement DNS avant de résilier le service vers lequel il pointe.

7. Protégez les e-mails du même domaine

Publiez SPF et DMARC pour que personne ne puisse envoyer d’e-mails semblant venir de vous, et ajoutez une clé DKIM pour chaque service qui envoie en votre nom. Voir SPF, DKIM et DMARC pour les petites entreprises. Les domaines qui n’envoient jamais d’e-mails devraient publier v=spf1 -all et une politique DMARC reject.

Ce que vérifie HackGrade

L’analyse gratuite vérifie HTTPS, votre certificat et les enregistrements SPF et DMARC de votre domaine. Elle ne vérifie pas les réglages du registraire, CAA, DNSSEC ni les enregistrements orphelins : utilisez cette checklist pour cela, et refaites-la chaque fois que vous ajoutez ou retirez un service.