Vendredi, nous vous expliquions que le nom de domaine qouv.fr venait d’être déposé… et gelé dans la foulée par l’Afnic. Il faut dire que son nom laisse fortement penser à une tentative de typosquatting/cybersquatting des sites officiels en gouv.fr.

• Gouv.fr cybersquatté : le g devient un q et c’est le drame

Comment l’Afnic a détecté puis gelé qouv.fr

Nous nous sommes entretenus avec Marianne Georgelin, responsable du service juridique de l’Association française pour le nommage Internet en coopération (Afnic). Elle nous explique la suite des événements et les possibilités qui sont sur la table.

Nous demandons d’abord comment la procédure a été lancée : détection interne ? Signalement à l’Afnic (via le formulaire dédié) ? Sans nous donner le déroulement exact des opérations, Marianne Georgelin pense que le nom de domaine qouv.fr a été à la fois détecté et signalé par les internautes.

« Chaque jour, on publie notre liste des noms de domaine enregistrés en .fr [par exemple, celle du 2 septembre 2024, ndlr]. On a des détections bien sûr, et puis on a des personnes qui nous font des signalements, via un formulaire sur notre site web […]

Une fois qu’on en a pris connaissance, on a lancé une procédure de vérification des données du titulaire du nom de domaine […] du fait du potentiel problème qu’il peut représenter par la suite ».

7 jours de gel, 30 jours de blocage… et ensuite ?

La première étape de la procédure était donc le gel du nom de domaine, en place dès vendredi. Cette procédure dure 7 jours. Le titulaire du nom de domaine doit pendant ce laps de temps prouver son identité.

Pour rappel, en tant que titulaire d’un nom de domaine en .fr, vous devez respecter certaines obligations : « résider sur le territoire de l’un des États membres de l’Union européenne ou sur l’un des états suivants : Islande, Liechtenstein, Norvège, Suisse […] Vous avez l’obligation de fournir des coordonnées (numéro de téléphone, adresse et éléments d’identification) exactes et ce, pendant toute la durée de vie de votre nom de domaine ».

Le guide pratique du .fr précise aussi que, « par auto-saisine ou suite à une demande justifiée d’un tiers, l’Afnic peut être amenée à lancer une procédure de justification ». On est en plein dans le premier cas.

Après tout, il pourrait s’agir d’un enregistrement légitime de monsieur ou madame « Qouv » qui souhaite enregistrer un nom de domaine… mais les sous-domaines créés ne laissaient pas franchement de place au doute. On retrouvait en effet passeport.ants.qouv.fr, bas-rhin.qouv.fr, education.qouv.fr, messervices.etudiant.qouv.fr, legifrance.qouv.fr, etc.

Faute de réponse, ou s’il ne peut pas démontrer qu’il est bien la personne qu’il dit être, « alors le nom de domaine sera bloqué pendant une période 30 jours ». C’est une procédure des plus classiques à l’Afnic, « on en lance beaucoup tous les jours », nous explique la responsable du service juridique.

Gel vs blocage, quelles différences ?

D’un point de vue technique, « le gel du nom de domaine empêche le titulaire de mettre à jour ses données ». Le nom de domaine reste utilisable. Le blocage est différent, puisqu’il « empêche la résolution du nom de domaine : sites web et adresses email associées au nom de domaine ne fonctionneront plus ».

Au bout des 37 jours de cette procédure (7 jours de gel initial + 30 jours de blocage), et toujours sans aucune réponse du titulaire, « le nom de domaine est supprimé et retombe dans le domaine public ». Cela signifie donc qu’il est de nouveau possible de l’enregistrer.

Ainsi, « en à peine plus d'un mois, le titulaire du nom de domaine qui n’a pas justifié ou corrigé ses coordonnées, verra la totalité de son portefeuille de noms de domaine supprimé avec un effet immédiat », résume l’Afnic dans son guide à l'attention de l'ayant droit.

C’est la procédure de l’Afnic, telle que définie dans le Code des postes et des communications électroniques, nous explique Marianne Georgelin. Elle ajoute que l’Association est limitée à ce que lui permet ce Code dans ses actions.

« Si l’État français souhaite se mobiliser […] il peut le faire »

Cette procédure de l’Afnic n’est pas incompatible avec une demande Syreli (ou un autre procédure) : « Si l’État français souhaite se mobiliser là-dessus, il peut le faire et l’a déjà fait » à plusieurs reprises par le passé.

La procédure Syreli – acronyme de SYstème de REsolution de Litiges, que nous avons déjà longuement détaillée – peut être lancée sans attendre la fin des 7 jours de gel ou des 30 jours de blocage. L’Afnic raisonne « procédure par procédure » : si une procédure Syreli est lancée, l’Association va suspendre celle qu’elle a en cours pour permettre à l’autre de s’ouvrir.

• Syreli de l’Afnic : la résolution des litiges sur les noms de domaine .fr

Dans l’écrasante majorité des cas (95 %, à la louche), si l’utilisation du nom de domaine est « problématique », le titulaire ne donne pas ses informations personnelles… de peur d’être identifié justement. D’autant que « l’État peut demander la divulgation des données personnelles […] et donc avoir le nom, l’adresse, etc. du titulaire du domaine », précise l’Afnic.

La procédure de vérification agit donc comme un premier filtre, de manière assez efficace. Pour Marianne Georgelin, c’est un bon compromis. Le délai de 7 jours permet au titulaire de justifier de son identité si besoin, car l’utilisation peut être tout à fait légitime. Mais c’est aussi « suffisamment court pour agir dans des délais raisonnables » en cas d’utilisation problématique. Un juste milieu, en quelque sorte.

Notez que l’Afnic ne peut pas lancer de procédure Syreli en autonomie (sauf pour la vérification des données du titulaire), notamment à cause du principe du contradictoire : un requérant qui doit avoir un intérêt à agir et le titulaire qui doit pouvoir se défendre. De plus, il est parfois plus intéressant et/ou utile de laisser le site en ligne afin de « constituer des preuves » et tracer les personnes à l'origine de la ou des infractions.

Une précédente affaire assez similaire : gouve.fr

Dans d’anciennes décisions Syreli, on retrouve plusieurs exemples, dont un assez proche. En 2023 [.pdf], nous avons eu le cas de gouve.fr. Le requérant était alors « L’État français, représenté par le Premier ministre, Service d’information du Gouvernement (SIG) ».

Dans sa demande, ce dernier expliquait que le nom de domaine gouve.fr était « identique ou apparenté à celui de la République française […] alors que son Titulaire ne dispose d’aucun intérêt légitime et a agi de mauvaise foi en enregistrant et en utilisant le nom de domaine précité ».

Il ajoutait que le titulaire avait créé plus de « 850 sous-domaines composés de dénominations en lien direct avec des ministères/directions/services/plateformes de l’État et notamment en lien avec le paiement des impôts, d’amendes et plus généralement de démarches administratives ». C’était aussi le cas avec qouv.fr, dans une moindre mesure sur le nombre de sous-domaines, mais avec la même similitude sur les services de l’État.

Le requérant demandait donc à l’Afnic le transfert du nom de domaine. Le contradictoire fut rapide : « Le titulaire n’a pas adressé de réponse à l’Afnic ». Résultat des courses, la demande de transmission de gouve.fr a été actée. Si gouve.fr n’abrite aucun site, son titulaire est bien l’État français dans le Whois de l’Afnic.

D’autres exemples : ants(-)gouv.fr, et vacances-scolaires-gouv.fr

Citons également la procédure sur le nom de domaine ants-gouv.fr. Là encore, le titulaire n’a pas répondu, mais la conclusion était un peu différente avec la suppression du nom de domaine. Pour vacances-scolaires-gouv.fr, la procédure est aussi arrivée à une suppression.

Notez qu’il n’est plus possible depuis des années maintenant d’enregistrer des sites en -gouv.fr, le transfert n’aurait pas donc eu d’intérêt. Notez qu’il existe aussi une liste de termes soumis à examen préalable (.pdf) (évolutive) des noms de domaine dont l’enregistrement est soumis à une demande d’autorisation préalable.

Mais revenons à vacances-scolaires-gouv.fr. Cette fois-ci, le titulaire s’était manifesté, mais sans succès :

« Je me permets avant tout d'indiquer que le domaine vacances-scolaires-gouv.fr n'est plus exploité, il n'y a aucune confusion possible pour l'utilisateur puisque ce nom de domaine n'est plus accessible, il n'apparait pas dans la barre d'url du navigateur internet. De plus, le site précédent n'a jamais voulu se faire passer pour le site du gouvernement, comme il était précisé dans les mentions légales.

Il existe de nombreux sites dont le nom de domaine utilise "-gouv.fr" dans son nom sur le web actuellement, il me semble que cette procédure syreli ici présente n'existe simplement car le site fut bien bien référencé sur le moteur de recherche google. Il est légitime de se poser la question de savoir si le plaignant ne voulait simplement plus voir le site vacances-scolaires-gouv.fr en tête des résultats de recherche…

Encore une fois, ce nom de domaine n'est plus exploité, je ne comprends pas vraiment pourquoi j'aurais alors à le céder ».

Terminons avec antsgouv.fr transmis à l’établissement public l’Agence Nationale des Titres Sécurisés (ANTS), avec la bénédiction du titulaire de l’époque dans sa réponse à l’Afnic : « Bonjour, je suis d’accord pour retirer le nom de domaine et le céder à l’ants. Je l’ai acquis sur Godaddy car il était disponible. Loin d’imaginer que je me mettais en infraction. Je n’ai rien à ajouter à ma réponse, sauf si ce n’est que le nom de domaine n’a jamais été actif en ligne. Cordialement ».