Domain transfer lock : ce que c'est et comment le désactiver

Le domain transfer lock est un statut de sécurité posé par votre registrar qui empêche tout transfert de votre domaine vers un autre registrar sans action explicite de votre part. Dans la terminologie RDAP et WHOIS, il apparaît sous le nom clientTransferProhibited. Il existe pour protéger contre le vol de domaine, et ne doit être levé que lorsque vous initiez vous-même un transfert légitime. Cet article traite le lock en détail, pour le processus complet de transfert, consultez comment transférer un nom de domaine.

Qu'est-ce que clientTransferProhibited ?

clientTransferProhibited est un statut EPP standardisé défini dans la RFC 5731. Quand votre registrar pose ce statut sur un domaine, toute demande de transfert initiée chez un autre registrar est automatiquement rejetée par le registre. Peu importe le code d'autorisation, peu importe l'approbation du contact administratif, la demande ne passe tout simplement pas.

Voici à quoi il ressemble dans une réponse WHOIS brute :

Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited

Et dans une réponse RDAP (format JSON) :

{
  "ldhName": "example.com",
  "status": [
    "client transfer prohibited"
  ]
}

Distinction essentielle : clientTransferProhibited est posé par le registrar et peut être levé par vous via l'interface de votre registrar. C'est ce qui le distingue des autres statuts de protection.

Les différents statuts de protection d'un domaine

Statut	Ce qu'il bloque	Qui peut le lever	Cas d'usage typique
clientTransferProhibited	Transfert vers un autre registrar	Vous, via le registrar	Sécurité standard pour tous les domaines
serverTransferProhibited	Transfert (niveau registre)	Le registre uniquement	Domaines en litige ou en période de rachat
clientDeleteProhibited	Suppression du domaine	Vous, via le registrar	Domaines premium ou critiques
clientUpdateProhibited	Modification DNS ou contacts	Vous, via le registrar	Domaines où la stabilité est critique

Un domaine peut porter plusieurs statuts simultanément. serverTransferProhibited ne peut pas être levé par votre registrar, si vous le voyez, contactez le registre ou le support de votre registrar pour comprendre pourquoi il a été posé.

Pourquoi le domain transfer lock existe

Avant la généralisation des locks, le vol de domaine était étonnamment facile. Un attaquant qui obtenait un code d'autorisation valide (par phishing, ingénierie sociale sur le support du registrar, ou fuite de données) pouvait initier un transfert et prendre le contrôle du domaine en quelques heures. Le propriétaire légitime n'avait pas le temps de réagir.

Deux incidents ont rendu le problème concret : le détournement de Panix en 2005 (le domaine de cet opérateur internet a été transféré vers un registrar australien à son insu) et la tentative de transfert de Twitter.com en 2009. Le registrar lock a été conçu comme une friction délibérée, il ne rend pas le vol impossible, mais il impose une action explicite de quelqu'un ayant accès au compte, ce qui donne au vrai propriétaire une fenêtre pour détecter et bloquer une activité non autorisée.

C'est aussi pourquoi vous ne devriez pas désactiver le lock de façon permanente. Il ne vous coûte que 10 minutes lors d'un transfert légitime.

Comment vérifier si votre domaine est locké

Trois méthodes, dans l'ordre de facilité :

1. Le tableau de bord de votre registrar. Cherchez dans les paramètres du domaine ou les paramètres de sécurité un toggle intitulé "Transfer Lock" ou "Registrar Lock". C'est la méthode la plus rapide.

• Namecheap : Domain List > Manage > Security > Transfer Lock
• GoDaddy : My Products > Domaines > Paramètres > Transfer Lock
• Gandi : Domaines > [domaine] > Paramètres > Transfert
• OVH : Manager > Domaines > [domaine] > Protection contre le transfert

2. Un WHOIS lookup. Vérifiez le champ "Domain Status" dans la réponse WHOIS de votre domaine. Si vous voyez clientTransferProhibited, le lock est actif. Vous pouvez utiliser n'importe quel outil WHOIS public ou lancer whois example.com depuis votre terminal.

3. Un RDAP lookup. RDAP est le successeur moderne du WHOIS et retourne du JSON structuré. Lancez :

curl https://rdap.org/domain/example.com

Cherchez "client transfer prohibited" dans le tableau status de la réponse. Domain Sentinel effectue cette vérification et l'affiche de façon lisible, utile si vous voulez confirmer le statut sans parser du JSON manuellement.

Comment désactiver le domain transfer lock

Namecheap

1. Connectez-vous et allez dans Domain List.
2. Cliquez sur "Manage" à côté du domaine.
3. Allez dans l'onglet "Security".
4. Basculez "Transfer Lock" sur Off.
5. Le changement est immédiat.

GoDaddy

1. Connectez-vous, allez dans My Products > Domaines.
2. Cliquez sur le nom de domaine, puis "Manage DNS" ou allez dans Paramètres.
3. Trouvez "Transfer Lock" et cliquez sur "Disable".
4. GoDaddy peut afficher une boîte de confirmation. Acceptez.
5. Prévoyez quelques heures avant que le changement de statut apparaisse dans le WHOIS.

Gandi

1. Connectez-vous, allez dans Domaines.
2. Cliquez sur le domaine concerné.
3. Allez dans Paramètres > Transfert.
4. Déverrouillez le transfert. Le changement est quasi-immédiat.

OVH

1. Connectez-vous au Manager OVH.
2. Allez dans Domaines > [domaine] > Informations générales.
3. Cliquez sur le verrou à côté de "Protection contre le transfert".
4. Désactivez la protection. La propagation peut prendre quelques heures.

Cloudflare Registrar

Cloudflare ne propose pas de toggle de registrar lock classique. Les transferts depuis Cloudflare nécessitent d'aller dans la section Registrar du tableau de bord, de sélectionner le domaine, et d'initier une "Authorization to Transfer". Cloudflare génère alors le code d'autorisation et marque le domaine pour un transfert sortant. Il n'y a pas d'étape séparée "désactiver le lock".

Quand lever le lock: et quand ne pas le faire

Lever le lock si	Ne pas lever le lock si
Vous initiez un transfert vers un registrar que vous contrôlez	Vous avez reçu un email non sollicité vous demandant de le désactiver
La demande de transfert vient exclusivement de vous	Quelqu'un se présentant comme "support technique" vous appelle pour vous demander de le faire
Vous avez vérifié que le registrar de destination est légitime	Vous n'êtes pas en train d'initier un transfert de votre propre initiative

Le schéma d'attaque par ingénierie sociale est constant : les attaquants créent de l'urgence ("votre domaine va expirer", "nous devons migrer votre compte") et demandent au propriétaire de lever le lock ou de partager son code d'autorisation. Ne donnez jamais suite à ces demandes sans vérifier directement via la page de connexion officielle de votre registrar.

Après le transfert : réactiver le lock

Une fois le transfert terminé et le domaine installé chez le nouveau registrar, réactivez le registrar lock. Cela prend 2 minutes et vous protège des mêmes vecteurs d'attaque chez le nouveau registrar.

Certains registrars réactivent automatiquement le lock 60 jours après un transfert (reflétant la règle ICANN des 60 jours). D'autres le laissent inactif indéfiniment. Ne supposez pas qu'il a été réactivé, vérifiez dans votre tableau de bord. Confirmez le statut final avec un RDAP lookup ou via Domain Sentinel pour vous assurer que clientTransferProhibited est bien de retour.