Un domaine cousin est un nom de domaine enregistré par un tiers pour imiter le vôtre : une faute de frappe (exmple.fr), une lettre qui ressemble à une autre (exernple.fr), un mot ajouté (exemple-paiement.fr) ou une autre extension (exemple.com). Il n'est pas à vous, donc vos protections email (DMARC) ne s'y appliquent pas. Vous pouvez les repérer gratuitement avec des outils publics comme dnstwist et les logs de Certificate Transparency, enregistrer vous-même les variantes les plus dangereuses, et faire transférer ou supprimer les autres par une procédure UDRP ou Syreli.
Ces domaines servent surtout au phishing. Après une fuite de données, ils deviennent plus rentables : l'escroc connaît vos clients, leurs adresses et le contexte, et il lui suffit d'un domaine crédible pour leur écrire.
Les quatre familles de domaines cousins
| Famille | Principe | Exemples pour exemple.fr |
|---|
| Typosquatting | Une faute de frappe probable : lettre oubliée, doublée, inversée, ou touche voisine | exmple.fr, exemlpe.fr, exemplle.fr, ezemple.fr |
| Homoglyphes | Des caractères qui se ressemblent à l'œil : rn pour m, l pour I, 0 pour o, ou des lettres accentuées et d'autres alphabets (domaines internationalisés, IDN) | exernple.fr, exémple.fr |
| Combosquatting | Votre nom, plus un mot qui inspire confiance ou urgence | exemple-paiement.fr, exemple-support.com, espace-client-exemple.fr |
| Autre extension | Le même nom sous un autre TLD | exemple.com, exemple.eu, exemple.shop |
Une cinquième variante n'exige même pas d'enregistrer un domaine proche du vôtre : placer votre nom en sous-domaine d'un domaine quelconque, comme exemple.fr.verification-compte.com. Sur un écran de téléphone, l'adresse tronquée commence par votre nom.
Les homoglyphes jouent aussi dans le texte du message. En 2025, un faux courriel de l'ANTAI écrivait « ANTAl », avec un L minuscule à la place du I. Pour les noms de domaine, le .fr accepte depuis 2012 une trentaine de caractères accentués (é, è, ç…), ce qui permet d'enregistrer exémple.fr. Techniquement, ce nom est stocké sous une forme « punycode » commençant par xn--, et les navigateurs affichent souvent cette forme brute quand ils détectent un mélange d'alphabets suspect.
Pourquoi ils apparaissent après une fuite
Un domaine cousin coûte quelques euros et s'enregistre en quelques minutes. Son intérêt pour un escroc tient à un point technique : comme il en est le titulaire légitime, il peut y configurer SPF, DKIM et DMARC. Ses emails passent donc tous les contrôles d'authentification et arrivent plus facilement en boîte de réception.
Votre DMARC en p=reject empêche l'usurpation exacte de votre domaine, ce qui pousse justement les fraudeurs vers les domaines voisins. Les deux protections se complètent : nous détaillons la première dans notre article sur les faux mails à votre nom.
Après une fuite, les messages typiques annoncent un « incident de sécurité » et demandent de « confirmer » un RIB, de « réactiver » un compte ou de régler une facture sur un nouveau compte bancaire. L'ensemble des mesures à prendre côté entreprise est dans notre guide des 48 premières heures.
Repérer les domaines cousins vous-même
dnstwist : générer et tester les variantes
dnstwist est un outil libre qui génère des centaines de variantes de votre domaine (fautes de frappe, homoglyphes, caractères cyrilliques, inversions, ajout de tirets, changement d'extension…) et vérifie lesquelles sont enregistrées. Il s'installe avec pip install dnstwist, brew install dnstwist ou apt install dnstwist. Une version web existe sur dnstwist.it.
# Variantes déjà enregistrées uniquement
dnstwist --registered exemple.fr
# Avec la date de création WHOIS et un test des serveurs mail
dnstwist --registered --whois --mxcheck exemple.fr
# Export pour un tableur
dnstwist --registered --format csv exemple.fr > cousins.csv
L'option --mxcheck teste si le serveur mail du domaine cousin accepte des emails, donc s'il pourrait recevoir des réponses destinées à vous. Les options --lsh et --phash comparent le contenu et l'apparence des pages avec votre site, pour repérer les copies.
Les logs de Certificate Transparency : chercher par mot-clé
Un site de phishing a presque toujours un certificat HTTPS, et chaque certificat émis est inscrit dans des journaux publics. Le moteur crt.sh permet d'y chercher votre marque avec le caractère joker % :
https://crt.sh/?q=%25exemple%25
Cette recherche remonte aussi les combosquattings (exemple-paiement.fr) que dnstwist ne génère pas forcément. Elle est lente pour un mot court ou courant, et le service est parfois indisponible : réessayez plus tard ou affinez le mot-clé.
Qualifier ce que vous trouvez
Un domaine cousin enregistré n'est pas forcément malveillant : il peut appartenir à un homonyme. Vérifiez chaque résultat :
dig +short MX exemple-paiement.fr
dig +short A exemple-paiement.fr
| Signal | Ce qu'il indique |
|---|
| Création récente (consultable avec un outil WHOIS) | Enregistré peu avant ou après l'incident : à examiner en priorité |
| Enregistrement MX présent | Le domaine peut envoyer et recevoir des emails |
| Certificat HTTPS récent | Un site est prêt ou en ligne |
| Page qui copie votre site ou votre page de connexion | Phishing probable : signalez-le immédiatement |
| Page de parking ou « domaine à vendre » | Revente ou réserve pour plus tard : à surveiller |
Le dépôt défensif : enregistrer avant eux
Vous ne pouvez pas enregistrer toutes les variantes. Concentrez-vous sur celles qui tromperaient vos clients :
- votre nom en
.com et .eu si vous ne les avez pas ;
- les deux ou trois fautes de frappe les plus probables ;
- les versions avec et sans tiret si votre nom en compte plusieurs mots ;
- les combinaisons évidentes avec votre activité si vous êtes souvent ciblé (
-paiement, -client).
Configurez ensuite ces domaines pour qu'ils ne servent à personne, vous compris : redirection 301 vers votre site, et refus explicite de tout email.
exmple.fr. MX 0 .
exmple.fr. TXT "v=spf1 -all"
_dmarc.exmple.fr. TXT "v=DMARC1; p=reject; sp=reject"
Ces domaines doivent ensuite être renouvelés comme les autres. Un domaine défensif qui expire peut être racheté, ce que nous décrivons dans l'article sur les anciens domaines rachetés.
Faire fermer ou récupérer un domaine cousin
En urgence : le signalement
Si le domaine sert déjà au phishing, signalez-le sans attendre au registrar et à l'hébergeur (leur contact « abuse » figure dans le WHOIS ou le RDAP), ainsi que sur la plateforme publique internet-signalement.gouv.fr. Un registrar peut suspendre un domaine de phishing rapidement. Prévenez aussi vos clients en citant le faux domaine.
Pour un .com et la plupart des extensions génériques : l'UDRP
La procédure UDRP permet d'obtenir le transfert ou la suppression d'un domaine si trois conditions sont réunies : le domaine est identique ou similaire au point de prêter à confusion avec votre marque, le titulaire n'a ni droit ni intérêt légitime sur ce nom, et le domaine a été enregistré et utilisé de mauvaise foi. Devant l'OMPI, les frais sont de 1 500 dollars pour un à cinq domaines avec un expert unique, et de 4 000 dollars avec trois experts. Il faut détenir une marque.
Pour un .fr : Syreli ou PARL Expert
L'AFNIC, qui gère le .fr, propose deux procédures. Syreli coûte 250 euros HT, se déroule par écrit et aboutit généralement à une décision dans les deux mois suivant la recevabilité. PARL Expert, confiée à un expert de l'OMPI, coûte environ 1 500 euros HT. Le fondement est l'article L. 45-2 du code des postes et des communications électroniques, qui vise notamment l'atteinte à des droits de propriété intellectuelle ou de la personnalité, sauf intérêt légitime et bonne foi du titulaire.
Dans les deux cas, ces procédures récupèrent le domaine mais n'accordent pas de dommages et intérêts. Un conseil en propriété industrielle ou un avocat vous aidera à constituer le dossier.
Ce que Domains Defender surveille, et ce qu'il ne fait pas
Domains Defender ne détecte pas les domaines cousins enregistrés par d'autres. Il protège votre propre domaine : il vous alerte quand votre configuration SPF, DKIM ou DMARC se dégrade et quand un enregistrement DNS change. Quand un client vous signale un faux message, vous savez ainsi rapidement si votre domaine est en cause ou s'il s'agit d'un domaine tiers. Pour vérifier votre domaine gratuitement, lancez un audit complet.
Questions fréquentes
Qu'est-ce que le typosquatting ?
C'est l'enregistrement d'un nom de domaine qui reprend une faute de frappe probable sur un domaine connu, comme exmple.fr pour exemple.fr. Il sert à capter du trafic par erreur ou à envoyer du phishing crédible.
Comment savoir si quelqu'un a enregistré un domaine qui ressemble au mien ?
Lancez dnstwist --registered sur votre domaine et cherchez votre marque sur crt.sh avec le joker %. Vérifiez ensuite la date de création, les MX et le contenu de chaque domaine trouvé.
DMARC bloque-t-il les mails envoyés depuis un domaine cousin ?
Non. DMARC ne protège que votre domaine exact. Le titulaire d'un domaine cousin peut configurer son propre DMARC, et ses emails passeront les contrôles.
Peut-on récupérer un .fr qui imite sa marque ?
Oui, par la procédure Syreli de l'AFNIC (250 euros HT) ou PARL Expert, si le domaine porte atteinte à vos droits et que le titulaire n'a pas d'intérêt légitime ni de bonne foi. La décision transfère ou supprime le domaine.