25 ans d’existence numérique effacés en quelques mois
Neil Fraser est ingénieur chez Google. En 2002, il enregistre neil.fraser.name afin de s’assurer une présence stable et pérenne sur Internet, y rattachant son site personnel, sa boîte mail principale, un serveur d’API et ses objets connectés. Quelques minutes après la naissance de sa fille, il réserve également beverly.fraser.name. Les frais d’enregistrement ont été intégralement réglés jusqu’en 2040.
Fin août 2026, Fraser reçoit un courriel inattendu de son bureau d’enregistrement : VeriSign a décidé de supprimer définitivement tous les domaines de troisième niveau sous l’extension .name. L’ensemble des adresses associées à son nom cesseront d’exister en février 2027. Peu importe le nombre d’années prépayées : lorsque le registre décide de couper le service, tout s’éteint.
Figure : Schéma du processus de résiliation des domaines de troisième niveau .name. Source : Domain Name Wire
Une procédure bouclée à l’insu des utilisateurs
La chronologie des événements met en lumière l’opacité totale du processus. Le 15 avril 2026, VeriSign dépose une demande RSEP (Registry Services Evaluation Policy) auprès de l’ICANN, préconisant la destruction pure et simple de l’arborescence de troisième niveau du domaine .name afin de « simplifier sa gestion ». L’ICANN approuve la requête le 28 juillet, au terme de trois mois et demi d’évaluation interne. Fraser et les autres titulaires n’apprennent la nouvelle que fin août, lorsque les registrars commencent à diffuser les notifications.
Dans son dossier RSEP, VeriSign affirme à l’ICANN qu’environ 22 000 domaines de troisième niveau existent encore, tout en assurant que « beaucoup ne sont pas utilisés ». Cette simple allégation a servi de justification centrale à l’éradication du registre. Un opérateur monopolistique fait disparaître 22 000 enregistrements sur la base d’une prétendue inactivité, et l’ICANN valide la manœuvre sans jamais exiger de données précises sur les domaines réellement actifs ou assurant des fonctions critiques.
Piratage en cascade : l’expiration des domaines menace 25 ans de comptes
Les répercussions sécuritaires dépassent de loin le désagrément d’une page inaccessible. Dès que neil.fraser.name cessera de fonctionner, le domaine de second niveau fraser.name sera ouvert à l’enregistrement public. N’importe quel internaute pourra alors acquérir fraser.name pour une poignée de dollars et recréer l’adresse de messagerie neil.fraser.name.
Une fois cette adresse sous son contrôle, un attaquant pourra déclencher la procédure automatisée de « mot de passe oublié » sur l’ensemble des services associés : identités de commit de code, consoles d’administration cloud, accès serveurs et passerelles IoT. Fraser concède lui-même qu’il lui est impossible d’inventorier tous les services, en ligne ou hors ligne, ouverts avec cette adresse depuis un quart de siècle. La surface d’attaque est d’une ampleur telle que même la victime ne peut en mesurer les limites.
Figure : Système d’enregistrement de domaines et couverture du TLD .name. Source : NameOcean
Des alternatives viables proposées par la communauté, balayées par VeriSign
Sur Hacker News et Lobsters, la communauté technique a rapidement dégagé un consensus pragmatique : geler les nouveaux enregistrements de troisième niveau, préserver les titulaires existants et permettre aux détenteurs d’un domaine de troisième niveau unique de migrer vers le second niveau correspondant. Techniquement limpide et peu coûteuse, cette solution a pourtant été systématiquement ignorée. Certains utilisateurs ont révélé avoir sollicité cette transition pendant plus de 15 ans, sans que VeriSign n’accède jamais à leur demande.
La communauté souligne également une motivation commerciale évidente. Les domaines de troisième niveau de .name suscitaient des ambiguïtés d’attribution entre des variantes comme john.doe.name et john-doe.name. En nettoyant l’espace de troisième niveau, VeriSign libère de précieux domaines de second niveau qu’elle pourra revendre au tarif « premium ». Si le motif invoqué reste la « simplification administrative », l’identité des bénéficiaires ne fait aucun doute.
L’ICANN valide la suppression et recommande de rejeter les recours
Un titulaire directement touché a déjà introduit une demande de réexamen formelle (Reconsideration Request) auprès de l’ICANN. La réponse des équipes de l’ICANN ne s’est pas fait attendre : elles recommandent de rejeter la contestation.
L’équilibre des forces au sein de cette gouvernance est sans équivoque : VeriSign jouit d’un monopole d’exploitation, l’ICANN entérine ses requêtes contractuelles, et les bureaux d’enregistrement relaient passivement les avis de cessation. L’unique voie de recours des utilisateurs, la procédure de réexamen, est étouffée par les recommandations internes de l’ICANN. Quant au contrat payé jusqu’en 2040 ? Dans cette mécanique institutionnelle, il est dénué de toute valeur contraignante. Sur le plan juridique, un nom de domaine ne relève pas de la propriété mais du bail : le registre est le propriétaire bailleur, l’ICANN le syndic, et les locataires ne disposent même pas d’une association pour défendre leurs droits.
« Votre » nom de domaine n’a jamais été votre propriété
La mésaventure de Fraser met en lumière une vérité trop longtemps éludée : les utilisateurs ne détiennent aucun droit de propriété sur leurs domaines, mais seulement une licence d’utilisation révocable. Les conditions contractuelles stipulaient déjà que le registre conservait le droit d’interrompre le service. Pendant vingt-cinq ans, personne n’avait activé cette clause. Aujourd’hui, VeriSign est passée à l’acte, l’ICANN a apposé son visa, et 22 000 domaines seront rayés de la carte en février 2027, quelles que soient les années prépayées. Dans le système DNS, ce que vous pensiez posséder n’a jamais été qu’un prêt du registre. Et un prêt peut être révoqué dès lors que le bailleur décide de reprendre son bien.
Références :
- Neil Fraser’s News
- Domain Name Wire
- Domain Incite
- Discussion HN (item?id=49550772)
