Whois : qui voit les informations de votre nom de domaine ?

Une société vous écrit pour « renouveler » votre nom de domaine et cite, en gras, la bonne date d'expiration. Cette date n'a rien de secret : elle figure dans le Whois, l'annuaire public des noms de domaine, que n'importe qui peut consulter. Voici ce qu'il montre, ce que le RGPD y masque et comment vous en servir sans tomber dans les pièges.

Ce que montre une recherche Whois

Le Whois répond à deux questions : à qui ce nom de domaine est-il attribué, et chez qui est-il enregistré ? Pour un .fr, la recherche se fait sur le site de l'Afnic, l'association qui gère cette extension. Pour un .com et la plupart des extensions génériques, l'outil de recherche de l'ICANN, l'organisme qui coordonne le système des noms de domaine, joue le même rôle.

Un résultat comporte en général :

• le bureau d'enregistrement, c'est-à-dire la société chez qui le domaine est réservé ;
• la date de création et la date d'expiration ;
• le statut du domaine, qui indique par exemple un verrouillage contre les transferts non voulus ;
• les serveurs de noms, qui orientent le domaine vers son hébergement ;
• l'identité du titulaire, quand elle est publiée.

Vous croiserez aussi le sigle RDAP. Ce protocole plus récent remplace progressivement le Whois d'origine : il présente les mêmes informations de façon structurée et gère mieux les données protégées. Pour vous, la différence tient surtout au nom de l'outil, car les sites de recherche affichent le résultat sous une forme lisible.

Ce qui reste caché : vos données personnelles

Pendant longtemps, le Whois affichait le nom, l'adresse, le téléphone et l'e-mail du titulaire, ce qui alimentait les fichiers de démarchage. Depuis l'entrée en application du RGPD en 2018, la plupart de ces données sont masquées, souvent remplacées par une mention indiquant qu'elles ne sont pas diffusées. Le bureau d'enregistrement conserve pourtant vos coordonnées réelles, et peut les communiquer aux autorités ou, selon des procédures propres à chaque extension, à des demandeurs qui justifient d'un intérêt légitime.

Le cas particulier du .fr

L'Afnic applique des règles propres aux personnes physiques : un particulier voit ses données personnelles protégées par défaut, alors que celles d'une société peuvent apparaître. Si vous êtes entrepreneur individuel, vérifiez sur afnic.fr comment votre domaine est classé et ce qu'il affiche : les règles de diffusion et les démarches possibles y sont présentées. Pour un nom en .com, tout dépend du bureau d'enregistrement : regardez ce que le vôtre affiche.

Vérifier ce que l'on voit de vous

Cherchez votre propre domaine dans l'outil adapté à son extension. Si votre nom, votre adresse ou votre numéro de téléphone apparaissent, ouvrez les réglages du compte chez votre bureau d'enregistrement : une option de protection des données y figure souvent, parfois incluse, parfois proposée en supplément.

Cette protection a une limite : le bureau d'enregistrement exige des informations exactes et peut suspendre un domaine dont le titulaire reste injoignable. Indiquez le nom de votre entreprise ou le vôtre, un numéro et une adresse e-mail que vous lisez, de préférence une adresse générique extérieure au domaine. Vos mentions légales, elles, restent publiques sur votre site, comme le rappelle l'article pour protéger son adresse personnelle en ligne.

Joindre le propriétaire d'un nom de domaine

Quand le nom que vous voulez est déjà pris, le Whois vous met sur la piste du titulaire sans toujours le nommer. Procédez dans cet ordre :

1. Ouvrez l'adresse dans votre navigateur : un site actif affiche souvent un contact, et une page « à vendre » renvoie vers un formulaire ou une place de marché de noms de domaine.
2. Dans le résultat Whois, cherchez un formulaire de contact ou une adresse relais : beaucoup de bureaux d'enregistrement transmettent votre message sans révéler l'adresse du titulaire.
3. Écrivez en quelques lignes qui vous êtes, quel domaine vous intéresse et comment vous répondre. Demandez d'abord si le nom est à vendre avant d'avancer un montant.
4. Si vous concluez un achat, passez par un service de séquestre, qui ne verse l'argent qu'une fois le transfert effectué.

Le Whois sert aussi à signaler un abus : le résultat indique un contact de signalement du bureau d'enregistrement, utile si un site copie le vôtre ou envoie du spam en votre nom. L'hébergeur du site concerné peut aussi être prévenu. Pour vérifier si un nom est libre avant de le réserver, suivez les étapes de l'article sur la disponibilité d'un nom de domaine.

Quand le Whois sert aux arnaqueurs

Un annuaire public nourrit aussi les fichiers des escrocs et des démarcheurs. Même masqué, le Whois laisse voir le nom de domaine, son bureau d'enregistrement et sa date d'expiration, de quoi fabriquer un message crédible. Trois scénarios reviennent souvent :

• la fausse facture de renouvellement, qui cite votre vraie date d'expiration pour passer pour un courrier de votre bureau d'enregistrement ;
• l'e-mail qui imite ce bureau d'enregistrement et demande de « confirmer vos coordonnées » sur une page piégée, afin de voler vos identifiants ;
• l'appel d'un prétendu spécialiste du référencement, qui a repéré la création récente de votre domaine.

Une information exacte ne prouve donc rien sur l'expéditeur. Pour vérifier un message, connectez-vous à votre compte en tapant vous-même l'adresse de votre bureau d'enregistrement, ou appelez votre prestataire au numéro que vous connaissez. L'article sur les arnaques au nom de domaine détaille chaque cas et les bons réflexes.

Votre contrôle en cinq minutes

1. Cherchez votre domaine dans l'outil de l'Afnic ou de l'ICANN, selon son extension, et relevez le bureau d'enregistrement, la date d'expiration et le titulaire affiché.
2. Vérifiez que le titulaire est votre entreprise ou vous-même, et que l'adresse de contact est une boîte que vous lisez.
3. Si des données personnelles s'affichent, activez la protection proposée par votre bureau d'enregistrement, ou demandez-la à votre prestataire.
4. Si vous faites créer un site, exigez que le domaine soit enregistré à votre nom : le configurateur de devis permet de lancer la demande.