Un sosie est un domaine enregistré pour se faire passer pour le vôtre : une lettre changée, un tiret ajouté, une autre extension, ou votre marque à côté d’un mot comme « login ». Les audits d’un domaine prouvé les cherchent ; quand l’un d’eux envoie du courrier ou affiche une page de connexion, la page Domaines sosies du domaine vous aide à le faire retirer.

L’aide au retrait est incluse à partir de l’offre Solo, comme la surveillance des sosies elle-même. Avec Free, la page dit ce qu’elle apporte et renvoie vers les offres.

Ouvrir un dossier de retrait

Ouvrez un domaine prouvé. La carte Domaines sosies indique combien le dernier audit en a trouvé ; suivez son lien (ou Préparer un retrait sous un constat de sosie).
La page liste chaque sosie avec la raison de sa présence (le type de faute de frappe, un serveur de messagerie, un site web, ou votre marque dans un certificat) et sa date d’enregistrement. Les plus risqués viennent en premier. Les noms que vous avez déclarés comme vôtres dans les réglages du domaine sont écartés.
Cliquez sur Préparer un retrait pour celui qui se fait passer pour vous.

Le dossier s’ouvre et les preuves sont relevées en une minute environ ; la page se met à jour d’elle-même.

Les preuves

Nous les relevons de façon passive, comme le ferait un enquêteur, sans jamais remplir un formulaire ni cliquer sur le sosie :

son DNS : adresses, serveurs de messagerie, serveurs de noms ;
son enregistrement (RDAP) : le bureau d’enregistrement, son numéro IANA et son contact d’abus, la date de création et le statut. Rien sur le titulaire : son nom, son adresse et son e-mail ne sont jamais lus, même quand le registre les publie ;
le réseau de ses adresses (RDAP des registres régionaux) : l’hébergeur et son contact d’abus ;
les certificats émis pour lui, d’après les journaux publics Certificate Transparency ;
une seule requête de sa page d’accueil, avec l’agent utilisateur de Perimetry : son titre, un extrait, et si elle montre un formulaire de connexion ou de paiement, nomme votre marque, charge des ressources depuis votre propre site, et à quel point son titre et son texte ressemblent aux vôtres.

Chaque élément porte l’heure à laquelle il a été lu et son empreinte SHA-256, et le dossier entier a sa propre empreinte, affichée sur la page et dans les courriers. Téléchargez-le en Preuves (PDF), dans la langue de l’espace, ou en Preuves (JSON) : le fichier JSON a exactement cette empreinte. Relever à nouveau (une fois toutes les 10 minutes au plus) est utile avant un second signalement.

Envoyer les courriers

La section Courriers prêts à envoyer contient trois courriers, en français, en anglais ou en allemand (la langue de l’espace d’abord ; changez-la avec les liens au-dessus) :

Au bureau d’enregistrement : les faits, l’empreinte des preuves, et la demande de suspendre le domaine et d’en conserver les données ;
À l’hébergeur : de même, en demandant de retirer le contenu et de suspendre le compte ;
Aux services de signalement : un court signalement à coller dans leurs formulaires, et la liste des services officiels avec leurs adresses : Google Safe Browsing, Microsoft, Netcraft, APWG (pour un e-mail d’hameçonnage), et pour la France PHAROS et Signal Spam.

Ajoutez votre nom, votre fonction et vos coordonnées en bas, puis envoyez-les depuis votre propre messagerie. Copier le courrier, Télécharger le .txt, ou Télécharger le .eml : un brouillon que votre logiciel de messagerie ouvre avec l’adresse, l’objet et les preuves (PDF et JSON) déjà jointes. Nous n’envoyons jamais rien au bureau d’enregistrement, à l’hébergeur ni à personne à votre place.

Si aucune adresse d’abus n’est publiée, le courrier le dit : cherchez le formulaire d’abus sur leur site.

Suivre le dossier

Sous Noter un signalement, notez chaque signalement envoyé : à qui et quel jour, avec un numéro de ticket si vous en avez un. Le dossier indique alors à qui il a été signalé et quand.

Tant que le dossier est ouvert, nous vérifions le sosie toutes les 6 heures : sa page répond-elle encore, son nom résout-il encore ? Vos canaux d’alerte sont prévenus quand il tombe et quand il revient. Le dossier affiche Retiré dès que son nom ne résout plus.

Clore le dossier une fois réglé, ou si le domaine se révèle inoffensif ou à vous : les vérifications s’arrêtent, et vous pouvez le rouvrir. S’il est à vous, ajoutez-le aussi aux noms détenus dans les réglages du domaine pour que les audits cessent de le lister.

Les lecteurs peuvent lire les dossiers et télécharger les preuves et les courriers ; les membres, administrateurs et propriétaires les ouvrent, notent les signalements et les closent.

Les pages qui copient votre marque (urlscan.io)

Les domaines sosies se repèrent par leur nom. Mais une page d’hameçonnage peut aussi se trouver sur un domaine qui ne ressemble en rien au vôtre. Pour les attraper, collez votre propre clé urlscan.io dans Réglages › Veille de l’usurpation de marque (un compte urlscan gratuit suffit pour la plupart des espaces ; les recherches comptent sur son quota, pas sur le nôtre). Chaque jour, pour chaque domaine prouvé, les analyses publiques d’urlscan sont fouillées pour trouver les pages d’autres domaines qui chargent des fichiers de votre domaine (un kit d’hameçonnage garde souvent votre logo et vos scripts) ou portent son nom dans leur adresse. Rien n’est jamais soumis à urlscan en votre nom.

Les pages trouvées apparaissent dans la carte Veille de l’usurpation de marque de la page du domaine, avec le verdict d’urlscan et un lien vers son rapport et sa capture. La première recherche sert de référence et ne prévient personne ; les nouvelles pages ensuite partent vers vos canaux d’alerte. Écartez une page traitée, ou marquez tout son site comme légitime (un partenaire qui affiche votre logo, un de vos autres sites) pour qu’il ne soit plus jamais signalé pour ce domaine. Pour une vraie copie, les courriers de cette page s’emploient de la même façon : écrivez à l’hébergeur et au bureau d’enregistrement du domaine qui la sert.