La plupart des problèmes de sécurité de domaine ne s'annoncent pas. Ils s'accumulent silencieusement : une redirection mal configurée par-ci, un enregistrement qui arrive à expiration par-là. Au moment où les dégâts sont faits, Google est déjà passé à autre chose. Les sites qui se positionnent durablement ne sont pas nécessairement les plus rapides ni les plus techniquement parfaits. Ce sont ceux qui ne disparaissent jamais.
Voici les sept erreurs que nous observons le plus souvent, pourquoi chacune a plus d'impact qu'on ne le pense, et ce qu'il convient de faire.
Quand l'enregistrement de votre domaine expire, il ne se contente pas de se mettre hors ligne. Il traverse un processus progressif : période de grâce, période de rachat, puis disponibilité publique. N'importe qui peut s'en emparer pendant cette fenêtre. Des concurrents, des cybersquatteurs ou des acteurs malveillants qui placeront volontiers un site sur votre trafic avec votre réputation.
Les dégâts SEO sont immédiats et sévères. Google désindexe le domaine. Toute l'autorité de lien que vous avez bâtie sur des années est effacée. Quand vous tentez de le récupérer (si vous y parvenez), vous repartez de zéro aux yeux de chaque moteur de recherche.
Quand vous migrez vers HTTPS ou changez de serveur, des redirections cassées divisent l'autorité de votre domaine. Google traite http://votresite.fr et https://votresite.fr comme des URL distinctes. Si les redirections ne sont pas des 301 bien configurées, vous perdez du jus de lien au profit d'une version morte de votre site.
C'est aussi là qu'apparaît le contenu mixte : une page servie en HTTPS qui charge certaines ressources (images, scripts, polices) en HTTP. Les navigateurs le signalent. Google le remarque. Vos positions s'effritent.
Les verrous de transfert de domaine empêchent que votre domaine soit transféré vers un autre registrar sans votre approbation explicite. Sans ce verrou, un compte registrar compromis (ou une attaque d'ingénierie sociale ciblant le support du registrar) peut conduire au transfert de votre domaine en moins de 24 heures. Au moment où vous le constatez, c'est déjà trop tard.
L'ICANN exige un verrouillage de 60 jours après tout transfert, mais cela ne vous protège pas si le transfert a lieu contre votre gré. Le vol de domaine est un vecteur d'attaque réel, utilisé spécifiquement contre les sites à fort trafic et les marques établies.
Chaque fois que vous lancez un nouveau service, connectez un outil tiers ou configurez un environnement de staging, vous ajoutez des enregistrements DNS. La plupart des entreprises ne les nettoient jamais quand ces services sont abandonnés. Résultat : des enregistrements CNAME pointant vers des ressources cloud qui n'existent plus, réclamables par n'importe qui.
On appelle cela une prise de contrôle de sous-domaine. Un attaquant enregistre la ressource cloud abandonnée (un bucket S3, une application Heroku, un endpoint Fastly), prend possession du trafic de votre sous-domaine et peut y diffuser des pages de phishing, malwares ou contenu qui détruit votre marque depuis une URL qui paraît totalement légitime car elle est sur votre domaine.
Le contenu mixte survient quand votre page est servie en HTTPS mais que certaines ressources (une image, une police, un script, une iframe) sont encore chargées en HTTP. Les navigateurs gèrent cela de façon incohérente : certains bloquent les ressources silencieusement, d'autres affichent un avertissement, et le robot de Google note l'incohérence comme signal de qualité.
La forme la plus dangereuse est le contenu mixte actif (scripts et iframes chargés en HTTP). Les navigateurs les bloquent entièrement. Si un script critique ne se charge pas parce qu'il est en HTTP, votre page peut se casser complètement pour des utilisateurs qui ne comprendront jamais pourquoi.
upgrade-insecure-requests.
SPF, DKIM et DMARC sont des enregistrements DNS qui indiquent au monde quels serveurs sont autorisés à envoyer des emails depuis votre domaine, et ce qu'il convient de faire quand quelque chose de non autorisé tente de le faire. Sans eux, votre domaine est trivialement usurpable. Des attaquants peuvent envoyer des emails de phishing qui semblent provenir de facturation@votreentreprise.fr sans aucun obstacle technique.
Depuis 2024, Gmail et Yahoo exigent DMARC pour les expéditeurs en masse. Mais même pour les domaines plus modestes, l'absence de ces enregistrements est un signal négatif. Les directives de qualité de recherche de Google mentionnent la réputation du domaine comme facteur, et les attaques d'usurpation qui nuisent à votre marque affectent directement la façon dont Google perçoit la fiabilité de votre domaine.
p=none pour observer, puis passez à p=quarantine ou p=reject.
Le fil conducteur de ces six erreurs n'est pas leur complexité technique. C'est leur invisibilité. Aucun de ces problèmes ne s'annonce. Un certificat expiré, un enregistrement DNS fantôme, une redirection cassée, un domaine qui approche de l'expiration : tout échoue silencieusement, pendant que votre trafic chute et que vos positions s'effritent.
La question n'est pas de savoir si quelque chose va mal tourner sur votre infrastructure de domaine. C'est de savoir si vous l'apprendrez d'une alerte de monitoring, ou d'un client qui vous dit "votre site a l'air cassé".
QuickSSL surveille votre domaine et votre certificat SSL en continu, depuis l'extérieur, au même point d'observation que vos visiteurs et moteurs de recherche.
- Alertes d'expiration : Emails automatiques à J-30, J-14 et J-3 avant l'expiration de votre SSL ou de votre domaine. Fini les mauvaises surprises.
- Découverte de sous-domaines : Notre moteur OSINT cartographie l'ensemble de votre surface d'attaque pour identifier les sous-domaines oubliés ou vulnérables avant les attaquants.
- Rapport hebdomadaire : Un résumé de l'état de santé de votre domaine chaque lundi : un seul email, une vue complète.
- MFA et protection du compte : Authentification multi-facteurs intégrée pour sécuriser votre compte de surveillance.
Combien de ces 7 erreurs votre domaine commet-il en ce moment ?
QuickSSL vérifie votre certificat SSL et l'expiration de votre domaine en quelques secondes, puis les surveille à votre place, chaque jour, avec des alertes à J-30, J-14 et J-3.
Auditer mon domaine gratuitement →