Namecheap : un utilisateur raconte comment son compte a été remis à un tiers non vérifié sur simple demande

Un utilisateur affirme sur Hacker News que le registrar Namecheap a transféré son compte à une personne qui prétendait être lui, sans procédure de vérification sérieuse. Si les faits sont confirmés, l'affaire relance la question du maillon faible du modèle DNS : le support client du registrar.

Un post publié en front page de Hacker News ce 23 juillet 2026 raconte une expérience préoccupante avec Namecheap, l'un des registrars grand public les plus utilisés au monde. Selon l'auteur, le support de Namecheap aurait remis l'accès à son compte à un tiers sans vérification robuste d'identité, à la simple demande de ce dernier.

Ce qui est affirmé

L'auteur du post relate qu'un individu s'est fait passer pour lui auprès du support Namecheap, a demandé la reprise en main du compte, et l'aurait obtenue après ce qu'il décrit comme une procédure de vérification très faible. Les conséquences peuvent être lourdes pour la victime : accès aux noms de domaine du compte (donc au DNS, donc aux emails et à l'hébergement liés), à l'historique de facturation, et potentiellement à des méthodes de paiement stockées.

Faits :

• Source : post original en front page de Hacker News, 2026-07-23, item id 49028037 (URL ci-dessous).
• Réponse officielle Namecheap : à date de publication de cet article, nous n'avons pas de communication officielle publique du registrar reprenant ou réfutant le récit.
• Vérification indépendante : le récit provient d'une seule partie et n'est pas encore corroboré par des logs publiés ni par un communiqué du registrar.

C'est important d'insister sur ce point : à ce stade, nous rapportons les affirmations de l'utilisateur. Elles sont graves, elles méritent d'être connues et discutées, mais elles ne constituent pas une confirmation d'un défaut de procédure documenté chez Namecheap.

Analyse : le vrai maillon faible du DNS

Le récit résonne parce qu'il touche à une faiblesse structurelle connue de tout l'écosystème registrar : les procédures de récupération de compte reposent, en bout de chaîne, sur des humains du support qui doivent arbitrer entre facilité pour les vrais utilisateurs qui perdent leurs identifiants (cas fréquent) et sécurité contre les attaquants qui font du social engineering (cas rare mais dévastateur).

Il y a un précédent que nous suivons depuis longtemps : le vol de comptes cryptomonnaies via SIM swap exploite exactement la même primitive côté opérateur télécom. Et il y a eu, historiquement, plusieurs incidents publics chez des registrars (dont, en 2020, une compromission de comptes chez GoDaddy via ingénierie sociale de leur support). Le patron menace-registrar est un classique, et il est difficile à couvrir en pur automatique.

Pour l'attaquant, la cible est juteuse : prendre le contrôle d'un domaine, c'est pouvoir modifier les enregistrements MX (interception d'email), rediriger le site (A / AAAA), voire pivoter vers un takeover complet des services SaaS liés à ce domaine (Google Workspace, Microsoft 365, tout ce qui utilise you@yourdomain.com comme identifiant).

À faire maintenant

Quel que soit votre registrar, si vous gérez des domaines importants :

• Activez le registrar lock (clientTransferProhibited) sur tous vos domaines : ça bloque les transferts sortants, y compris ceux initiés depuis votre compte tant que le lock n'est pas explicitement levé.
• Activez la 2FA renforcée - application TOTP (Authy, Aegis, Bitwarden) et non SMS. Le SMS est cassable par SIM swap.
• Considérez un registrar « corporate » pour vos domaines critiques : MarkMonitor, CSC Global, Gandi Corporate offrent des procédures d'account recovery documentées avec vérification d'identité forte (pièces d'identité, mots de code, contacts prédéfinis) - au prix d'une friction assumée et d'un tarif plus élevé.
• Surveillez vos WHOIS et vos DNS avec un service d'alerte (DNSTwist, GoDaddy Domain Monitoring, ou simple cron sur dig) : une modification non demandée doit vous parvenir dans l'heure.
• Séparez les domaines de production critique du reste. Le domaine sur lequel repose votre entreprise ne doit pas être dans le même compte que le domaine perso que vous avez pris pour un side-project en 2018.

Nous surveillerons la réponse éventuelle de Namecheap et mettrons à jour cet article. Nous encourageons aussi le registrar à publier sa version des faits - c'est comme ça qu'on progresse collectivement.