Agence web : surveiller les domaines de tous vos clients

Une agence web qui gère trente, cinquante ou deux cents sites finit par gérer autant de noms de domaine, de zones DNS, de certificats et d'échéances. Chacun chez un registrar différent, parfois au nom du client, parfois au nom d'un ancien freelance. Tant que tout fonctionne, personne n'y pense. Le jour où un domaine expire ou qu'un MX est modifié par le service informatique du client, c'est l'agence qu'on appelle. Voici un processus concret, en six étapes, pour reprendre la main sur les domaines de vos clients sans y passer vos journées.

Étape 1 : faire l'inventaire, vraiment

La première difficulté n'est pas technique : c'est de savoir ce que vous gérez. Commencez par un tableau unique, partagé dans l'équipe, avec une ligne par domaine.

Récupérer les informations techniques en ligne de commande

Pour une liste de domaines dans un fichier texte, une boucle suffit à récupérer serveurs de noms et MX :

while read d; do
  ns=$(dig +short NS "$d" | sort | tr '\n' ' ')
  mx=$(dig +short MX "$d" | sort | tr '\n' ' ')
  printf "%s;%s;%s\n" "$d" "$ns" "$mx"
done < domaines.txt > inventaire.csv

Pour la date d'expiration, le protocole RDAP a remplacé WHOIS comme source de référence pour les extensions génériques (.com, .net, .org…) : depuis le 28 janvier 2025, l'ICANN n'impose plus aux registres et registrars de ces extensions de maintenir un service WHOIS. RDAP renvoie du JSON, facile à exploiter :

curl -s https://rdap.org/domain/exemple.com \
  | jq -r '.events[] | select(.eventAction=="expiration") | .eventDate'

Pour les extensions nationales comme le .fr, qui ne relèvent pas des règles de l'ICANN, la disponibilité et le format dépendent du registre. Notre outil WHOIS permet de vérifier un domaine ponctuellement. Gardez aussi en tête que la date publiée par le registre ne correspond pas toujours à l'échéance de facturation chez le registrar.

Ne pas oublier les sous-domaines

Préproductions, anciennes campagnes, outils tiers : les journaux Certificate Transparency (https://crt.sh/?q=%25.client.fr) révèlent souvent des sous-domaines que plus personne ne connaît, et qui peuvent devenir une faille. Nous en parlons dans Pourquoi surveiller vos sous-domaines est aussi important que votre domaine principal.

Étape 2 : sécuriser la propriété et les échéances

L'inventaire fait apparaître des situations à risque. Traitez-les dans cet ordre :

1. Domaines au nom d'une personne (ancien salarié, freelance, dirigeant parti) : organisez le changement de titulaire vers le client pendant que la personne est encore joignable.
2. Renouvellement automatique désactivé ou moyen de paiement expiré : activez-le et vérifiez la carte ou le crédit associé.
3. Adresse e-mail de contact du compte registrar qui n'existe plus : c'est par elle que passent les avis d'expiration et les confirmations de transfert.
4. Double authentification absente sur les comptes registrar et DNS : activez-la, et stockez les accès dans un gestionnaire de mots de passe partagé plutôt que dans un tableur.
5. Verrouillage de transfert non activé chez le registrar : activez-le sur les domaines importants.

Côté alertes, prévoyez plusieurs paliers avant l'expiration du domaine (par exemple 30 jours, 7 jours, 1 jour) : le premier laisse le temps de joindre un client qui paie lui-même son renouvellement, les suivants signalent une urgence.

Étape 3 : clarifier qui a accès au DNS

Trois situations coexistent souvent dans un portefeuille d'agence :

• L'agence gère la zone : documentez chaque modification (date, auteur, raison) et exportez régulièrement la zone.
• Le client gère la zone (souvent son service informatique ou son prestataire e-mail) : vous ne contrôlez rien, mais vous serez tenu pour responsable si le site tombe. Surveiller les changements est alors le seul moyen de savoir ce qui a bougé.
• Personne ne sait vraiment : c'est le cas à régulariser en priorité.

Dans tous les cas, préférez les accès délégués (compte utilisateur dédié chez l'hébergeur DNS) au partage des identifiants du client, et convenez d'une règle simple : toute modification DNS est annoncée à l'autre partie. Notre guide pour surveiller la configuration DNS détaille les enregistrements à suivre en priorité.

Étape 4 : router les alertes vers la bonne personne

Le piège classique : toutes les alertes de tous les clients arrivent dans une seule boîte e-mail, que tout le monde croit surveillée par quelqu'un d'autre. Deux principes changent tout.

Séparer l'urgent du reste

Attribuer chaque client à un responsable

Un canal par client ou par chef de projet (par exemple #alertes-client-dupont) rend la responsabilité évidente. Un webhook peut aussi créer automatiquement un ticket dans votre outil de gestion, ce qui garde une trace de la prise en charge. Définissez qui reçoit les alertes urgentes en dehors des heures ouvrées, même si la réponse est « personne, et le client le sait » : c'est un point à écrire dans le contrat de maintenance.

Étape 5 : rendre compte aux clients

La surveillance est invisible quand elle fonctionne. Un compte rendu régulier, mensuel ou trimestriel, la rend tangible et justifie le contrat de maintenance. Il peut tenir sur une page :

• la disponibilité du site sur la période et les incidents éventuels, avec leur cause et leur durée ;
• les échéances à venir : renouvellement du domaine, certificats renouvelés à la main ;
• les changements DNS constatés, surtout ceux que l'agence n'a pas faits ;
• l'état de la sécurité e-mail (SPF, DKIM, DMARC) et les recommandations associées ;
• deux ou trois actions recommandées, chiffrées si elles sortent du périmètre.

Ce document est aussi un excellent support commercial : un DMARC resté en p=none ou un certificat encore renouvelé à la main alors que les durées de validité baissent, ce sont des prestations concrètes à proposer.

Étape 6 : formaliser l'arrivée et le départ d'un client

À l'arrivée

• Ajouter le domaine à l'inventaire et à la surveillance dès la signature, avant toute intervention.
• Exporter la zone DNS existante comme référence.
• Vérifier titulaire, échéance, renouvellement automatique et accès.
• Identifier toutes les sources d'envoi d'e-mails.

Au départ

• Confirmer par écrit que le titulaire du domaine est bien le client.
• Transmettre les accès et la documentation, puis supprimer les accès de l'agence.
• Retirer le domaine de la surveillance et des canaux d'alerte.
• Signaler au client les échéances proches, pour qu'elles ne soient pas perdues dans la transition.

Checklist agence

• Un inventaire unique et à jour de tous les domaines clients.
• Aucun domaine au nom d'une personne physique extérieure au client.
• Renouvellement automatique et verrouillage activés sur les domaines importants.
• Double authentification sur tous les comptes registrar et DNS.
• Changements DNS détectés automatiquement, y compris ceux faits par le client.
• Alertes urgentes routées en temps réel vers un responsable identifié.
• Événements non urgents regroupés dans un récapitulatif.
• Compte rendu régulier envoyé aux clients sous contrat.

Passer de l'inventaire à la surveillance

Domains Defender a été pensé pour ce travail : un tableau de bord pour tous les domaines de vos clients, la gestion d'équipe, la surveillance du DNS, des certificats, de l'expiration des domaines et de la disponibilité, avec des alertes urgentes envoyées immédiatement et le reste regroupé dans un récapitulatif quotidien, par e-mail, Slack, Discord ou webhook. L'import de domaines en masse est disponible sur le plan Enterprise.

Pour démarrer par un client ou un prospect, lancez un audit gratuit de domaine : vous obtiendrez un état des lieux complet à présenter, et une première ligne de votre inventaire. Pour aller plus loin sur la complémentarité entre disponibilité et DNS, lisez notre article sur la surveillance uptime et la continuité de service.