Le 24 juillet 2026, un message inquiétant est apparu sur Hacker News. Son titre était direct : « Tell HN: Namecheap a donné mon compte à un tiers non vérifié. »
L’auteur, qui utilise le pseudonyme Thrashed, raconte qu’il était client de Namecheap depuis 13 ans. Pendant toutes ces années, il avait hébergé un nom de domaine .com pour le compte d’une association étudiante — le domaine était enregistré à son nom personnel, avec son nom, son adresse et son numéro de téléphone.
C’était un geste d’entraide : les associations étudiantes changent souvent de responsables ; si le domaine n’était pas renouvelé à temps, il aurait pu être capturé par un squatteur. Thrashed payait donc le renouvellement de sa poche.
Jusqu’au jour où le bureau de l’association a changé de main.
Le nouveau responsable voulait modifier les paramètres DNS du domaine, mais ignorait qui le gérait. En cherchant, il a découvert que le domaine était chez Namecheap. Il a donc initié une réinitialisation de mot de passe via la fonction « Mot de passe oublié ». Thrashed a reçu l’email de réinitialisation et a immédiatement ouvert un ticket : « Je n’ai pas demandé cette opération. »
Le service client de Namecheap l’a effectivement rappelé — ils ont vérifié qu’il était bien l’auteur du ticket, puis lui ont envoyé un email générique lui conseillant de « vérifier son antivirus ».
Jusque-là, l’histoire reste banale.
Mais la suite est à glacer le sang.
Le post de Thrashed sur Hacker News, qui a recueilli 301 votes positifs et 105 commentaires. Au moment de la rédaction, de nombreux utilisateurs indiquaient migrer leurs domaines.
Un appel, un compte
Le nouveau responsable de l’association n’a pas abandonné. Il a directement appelé le service client de Namecheap.
Au téléphone, il a convaincu l’opérateur que le domaine, bien qu’enregistré au nom de Thrashed, appartenait en réalité à l’association.
Et là, Namecheap a fait une chose absolument sidérante —
Sans rappel de vérification, sans aucune confirmation d’identité supplémentaire, simplement parce que « l’interlocuteur avait l’air convaincant », Namecheap a modifié le mot de passe du compte de Thrashed et changé l’adresse email associée.
Oui, vous avez bien lu : le mot de passe a été changé, et l’email aussi.
Conséquence ? Même si Thrashed avait connu le nouveau mot de passe, il n’aurait pas pu se connecter — le lien de réinitialisation aurait été envoyé à la nouvelle adresse. Son compte lui a été purement et simplement arraché des mains — et Namecheap n’a même pas pris la peine de lui passer un coup de fil pour confirmer.
« Namecheap est tout à fait capable de décrocher son téléphone pour m’appeler (ils l’ont déjà fait), écrit Thrashed. Mais quand quelqu’un d’autre appelle en disant ‘je veux vraiment ce compte’, ils ne prennent même pas la peine de vérifier ? »
Il ajoute une phrase qui donne froid dans le dos : « Je n’ai même pas envie d’appeler ça du social engineering. C’est clairement une énorme faille de sécurité — n’importe quel tiers peut prendre le contrôle de votre compte Namecheap : il suffit de bien parler. »
Un service client plus facile à berner qu’un escroc
Décortiquons ce qui s’est passé.
Le mécanisme de sécurité de Namecheap a cédé à l’endroit le plus critique.
D’abord, quand Thrashed a ouvert son ticket de réinitialisation de mot de passe, Namecheap l’a bien rappelé pour vérifier. Cette étape prouve qu’ils ont une procédure de vérification par rappel.
Mais quand « l’attaquant » (dans ce cas, un responsable d’association sans mauvaise intention) a appelé de lui-même, Namecheap n’avait aucune procédure imposant à l’opérateur de rappeler le numéro enregistré sur le compte pour confirmer. L’opérateur s’est contenté de se laisser convaincre au téléphone et a effectué l’opération.
Cela révèle un problème systémique : la procédure de vérification de Namecheap est à sens unique — elle vérifie qui ouvre un ticket, mais pas qui appelle.
En d’autres termes, le dispositif de sécurité de Namecheap ressemble à une porte à moitié verrouillée :
- De l’intérieur vers l’extérieur : vérification nécessaire (rappel de confirmation)
- De l’extérieur vers l’intérieur : aucune vérification (n’importe qui peut passer)
Cette asymétrie réduit à néant l’ensemble du système défensif.
Plus inquiétant encore : Namecheap n’a pas seulement changé le mot de passe, mais aussi l’email associé. Cela signifie que même si le compte avait l’authentification à deux facteurs (2FA) activée, elle n’aurait pas nécessairement pu empêcher cette attaque — la prise de contrôle de l’email permet de maîtriser la procédure de réinitialisation du mot de passe, et le 2FA aurait même pu devenir un obstacle supplémentaire pour le véritable propriétaire cherchant à récupérer son compte.
Quelqu’un dans les commentaires a demandé à Thrashed s’il avait activé le 2FA. Il a répondu : « Oui, mais je ne vois pas à quoi ça aurait servi dans ce cas. »
Pourquoi un domaine vaut plus qu’un mot de passe
Prenons un instant pour expliquer un fait que beaucoup d’utilisateurs ignorent : votre domaine vaut bien plus que votre mot de passe.
Vous avez probablement des dizaines de comptes — WeChat, Alipay, email, réseaux sociaux — chacun protégé par un mot de passe. Si l’un d’eux est piraté, vous perdez au pire l’accès à cette plateforme. Vous changez le mot de passe, vous contactez le service client, et vous le récupérez.
Mais un domaine, c’est différent.
Un domaine, c’est la clé maîtresse de tous vos actifs numériques. Si vous possédez example.com :
- Tous vos emails ([email protected]) sont sous son contrôle
- Tout le contenu de votre site est sous son contrôle
- Toutes les portes d’entrée par lesquelles on vous trouve en ligne sont sous son contrôle
Une fois le domaine entre les mains d’un attaquant, il peut :
- Rediriger tous vos emails vers ses propres serveurs
- Utiliser vos emails pour réinitialiser les mots de passe de tous vos autres comptes
- Pointer votre site vers une page de phishing
- Même revendre votre domaine à quelqu’un d’autre
En d’autres termes, perdre le contrôle de son domaine ≈ perdre son identité numérique.
C’est pourquoi les exigences de sécurité d’un registrar devraient être plus élevées que celles d’une banque — mais la réalité est souvent l’inverse.
Qui est responsable ? Les trois maillons faibles de la chaîne
Maillon n°1 : une formation insuffisante du service client
Les opérateurs de Namecheap ne semblent avoir reçu aucune formation spécifique sur la prévention des reprises de compte. Ils se sont laissé convaincre par un inconnu au téléphone, au point de modifier le mot de passe et l’email du compte. Cela signifie que la procédure opérationnelle standard (SOP) de Namecheap ne contient tout simplement pas de protocole pour les demandes de reprise de compte par un tiers.
Tout registrar responsable devrait avoir une règle absolue : toute demande de modification des informations critiques du compte (mot de passe, email) par téléphone exige un rappel vers le numéro enregistré sur le compte pour confirmation.
C’est la barrière la plus élémentaire. Namecheap ne l’a pas.
Maillon n°2 : une faille de conception système
Thrashed souligne que la page de réinitialisation de mot de passe de Namecheap permet d’initier une réinitialisation en utilisant uniquement le nom de domaine — sans identifiant, sans email, sans aucune information que seul le propriétaire du compte pourrait connaître. C’est comme si le cadran d’un coffre-fort affichait : « Vous ne connaissez pas le code ? Donnez le numéro du coffre. »
Des commentateurs font remarquer que Namecheap propose une protection Whois (masquage des informations d’enregistrement du domaine), mais cette fonctionnalité est totalement inefficace dans ce scénario — l’attaquant n’a pas besoin de consulter le Whois, il lui suffit de connaître le nom de domaine pour lancer une réinitialisation.
La logique même de réinitialisation de mot de passe de Namecheap est donc intrinsèquement peu sûre.
Maillon n°3 : les conséquences d’un rachat
Plusieurs commentateurs évoquent un contexte clé : en septembre 2025, le fonds d’investissement CVC Capital Partners a acquis une participation majoritaire dans Namecheap, valorisant l’entreprise à 1,5 milliard de dollars. Le fondateur et PDG a quitté ses fonctions en décembre 2025.
La logique du private equity est simple : améliorer les marges, et la sécurité est un coût. Réduire le budget sécurité ne provoque pas d’incident à court terme — jusqu’à ce qu’il y en ait un.
Pourquoi ce sont les utilisateurs ordinaires qui trinquent
Il y a un détail subtil dans cette histoire : Thrashed était un « gentil ». Il avait hébergé le domaine, payé le renouvellement de sa poche, purement par solidarité avec l’association. Il était tout à fait disposé à transférer le domaine à la nouvelle équipe. Mais Namecheap ne pouvait pas le savoir — dans son système, Thrashed était un client fidèle qui payait sa facture depuis 13 ans. Quand quelqu’un a appelé pour réclamer le compte, Namecheap a choisi de croire l’appelant.
Un utilisateur dans les commentaires résume : « Les opérateurs du service client sont payés au lance-pierre dans un pays à bas coût. Ils se fichent de savoir qui est le vrai propriétaire du domaine. Ils veulent juste raccrocher vite et obtenir une note de satisfaction. »
C’est le cœur du problème : quand l’indicateur de performance d’un opérateur est le « taux de résolution » et la « durée d’appel », et non pas la « sécurité », satisfaire l’appelant devient le seul objectif.
La grande migration des domaines
Au moment de la rédaction, le post de Thrashed avait recueilli 301 votes positifs et 105 commentaires sur Hacker News. Dans les commentaires, de nombreux témoignages similaires ont émergé :
- Un utilisateur raconte que son domaine a été suspendu à tort à cause d’un bug ayant activé une protection Whois non supportée
- Un autre dit avoir perdu son domaine Namecheap simplement parce qu’il avait perdu son téléphone avec le 2FA
- Un autre encore rapporte que Namecheap force le paiement à passer par une plateforme tierce (Link), exigeant inscription et vérification par SMS
De nombreux utilisateurs annoncent qu’ils migrent leurs domaines. Cloudflare est la destination la plus populaire — avec des tarifs au prix coûtant (.com à 10,46 $ par an) et une meilleure réputation sécuritaire. Porkbun, NearlyFreeSpeech et Dynadot sont également fréquemment cités.
Mais des voix plus modérées se font entendre. Un utilisateur rappelle : « Cloudflare impose une restriction : vous ne pouvez pas changer vos serveurs de noms — vous devez utiliser les leurs. Cela signifie que vous perdez une partie du contrôle. »
Un autre pose une question plus profonde : « Nous avons besoin d’un registrar à but non lucratif, pour ne pas avoir à déménager tous les deux ou trois ans. »
Mais la réalité est que l’enregistrement de domaines est un secteur à faible marge et à haute responsabilité. Google a préféré fermer Google Domains (vendu à Squarespace). Cloudflare n’en fait qu’un accessoire de son écosystème. Les entreprises spécialisées, elles, finissent soit rachetées par du private equity, soit obligées d’augmenter leurs prix pour survivre.
Dans les discussions Hacker News sur cet incident, plusieurs utilisateurs rapportent des problèmes de sécurité similaires et évoquent des solutions de migration.
Que pouvons-nous faire ?
Le but de cet article n’est pas de clouer Namecheap au pilori — même si l’entreprise mérite des critiques. Ce que je veux dire, c’est : la sécurité de votre domaine ne peut pas reposer sur la conscience professionnelle de votre registrar.
Voici quelques mesures que vous pouvez prendre dès maintenant :
1. Ne pas héberger un domaine pour le compte d’autrui
Si vous gérez un domaine pour quelqu’un d’autre, transférez-le officiellement au plus vite. La détention pour autrui est juridiquement floue et sécuritairement fragile.
2. Activer l’authentification à deux facteurs
Le 2FA reste la défense la plus efficace contre les fuites de mots de passe. Utilisez de préférence une clé matérielle ou une application TOTP, évitez les SMS.
3. Utiliser le verrouillage registrar (Registry Lock)
C’est la protection la plus forte actuellement disponible pour les domaines. Toute modification nécessite une vérification supplémentaire hors ligne. Pour un domaine critique, cet investissement en vaut la peine.
4. Choisir son registrar sur sa réputation sécuritaire
Regardez leurs procédures de vérification client, leur historique de sécurité et leur attitude vis-à-vis des rachats par du private equity.
5. Utiliser une adresse email dédiée pour l’enregistrement
N’utilisez pas l’email de votre domaine pour enregistrer votre compte registrar. Si le domaine est repris, vous n’aurez plus aucun moyen de récupérer votre compte.
Épilogue
Thrashed écrit en conclusion qu’il a finalement réussi à contacter le nouveau responsable de l’association, et qu’ils ont résolu le problème à l’amiable. Le domaine a été officiellement transféré à l’association. « J’étais tout à fait heureux de leur donner le domaine, dit-il. Mais Namecheap n’avait aucun moyen de le savoir. Pour eux, c’était mon compte personnel. »
Cette phrase résume l’absurdité de toute l’affaire : un utilisateur qui avait fait tout ce qu’il fallait (payer, renouveler, activer le 2FA, ouvrir un ticket en temps utile) a perdu un compte de 13 ans à cause d’un appel téléphonique passé par un tiers.
Ce n’est pas du social engineering. Ce n’est pas une question de complexité de mot de passe. Ce n’est même pas lié à une action de l’utilisateur.
C’est une défaillance systémique de la sécurité — et c’est la confiance des utilisateurs envers leur registrar qui en paie le prix.
Références :
- Discussion HN : Namecheap gave my account to an unverified third party (item?id=49028037)
- Namecheap recommandations officielles : Authentification à deux facteurs et protection du compte
- Cloudflare meilleures pratiques de sécurité pour l’enregistrement de domaines
- Namesilo blog : Social Engineering Bypasses Domain Locks
- dn.org rapport : Analyse des 10 principales escroqueries au détournement de comptes de domaine en 2026
