Comment éviter les arnaques à la vente de domaines

L'argent dans le domain flipping se gagne au moment où un nom finit par se vendre. C'est aussi précisément le moment où les escrocs font leur apparition. Une annonce de mise en vente active est une invitation ouverte à quiconque est prêt à se faire passer pour un acheteur, un courtier ou une société de séquestre. L'erreur la plus coûteuse qu'un flipper puisse commettre n'est pas d'acheter le mauvais nom. C'est de remettre un bon nom à la mauvaise personne.

Presque toutes les arnaques à la vente de domaines sont une variation autour d'un même geste : vous amener à céder soit le domaine, soit l'argent avant que l'autre partie n'ait réellement livré. Une fois que vous repérez ce geste, les défenses deviennent simples et elles ne ralentissent presque pas une transaction légitime. Ce guide passe en revue les arnaques que vous rencontrerez vraiment, puis les habitudes qui les déjouent toutes. Il fait partie de la série sur les compétences du domain flipping, et il s'accompagne étroitement du volet juridique abordé dans le domain flipping et la loi.

L'unique tour de passe-passe derrière chaque arnaque : qui agit en premier

Toute vente entre inconnus repose sur le même bras de fer. L'acheteur ne veut pas payer avant d'avoir reçu le domaine, et le vendeur ne veut pas transférer le domaine avant d'être payé. Quelqu'un doit y aller en premier, et y aller en premier, c'est faire confiance à l'autre partie. C'est tout le problème que le séquestre a été inventé pour résoudre, et nous en détaillons les mécanismes dans le séquestre de domaine expliqué.

Les arnaques ne sont rien d'autre que des attaques contre ce bras de fer. L'unique objectif d'un escroc est de fabriquer une raison pour que vous agissiez en premier — transférer le nom, envoyer un remboursement ou régler des « frais » — avant que la moindre valeur réelle n'ait changé de mains. Gardez cette grille de lecture sur chaque message que vous recevez et les ruses précises ci-dessous cessent d'être surprenantes. Ce sont toutes la même ruse sous des déguisements différents.

Les faux sites de séquestre

C'est l'arnaque classique, et elle est efficace parce qu'elle transforme en arme l'outil même que vous êtes censé considérer comme fiable. Un acheteur accepte avec enthousiasme votre prix, puis insiste pour utiliser « son » service de séquestre et vous envoie un lien. Le site a l'air professionnel. Il affiche votre transaction, votre nom, le montant convenu, un rassurant statut « fonds reçus ». Rien de tout cela n'est réel.

Wikipédia décrit le stratagème sans détour : l'arnaque au faux séquestre est une escroquerie à la confiance toute simple dans laquelle un escroc exploite un faux service de séquestre. Le faux site existe pour vous mentir au moment précis où vous écoutez le plus attentivement. Comme le formule Wikipédia, ce faux service de séquestre assure à la victime que l'escroc a envoyé son article et que la victime devrait envoyer le sien au service de séquestre. Vous voyez « l'acheteur a provisionné le séquestre », vous transférez le domaine pour finaliser la transaction, et l'argent n'a jamais été là. Le site s'éteint, et l'acheteur aussi.

Le signal d'alarme ne tient pas simplement à la personne qui a proposé le service de séquestre, mais à la pression exercée pour utiliser un prestataire ou un lien que vous n'avez pas vérifié indépendamment. Vérifiez l'identité juridique du prestataire, son agrément le cas échéant, son nom de domaine officiel et ses coordonnées auprès de sources faisant autorité. Le Department of Financial Protection and Innovation de Californie recommande de vérifier qu'une société de séquestre en ligne est agréée et avertit qu'un acheteur ou un vendeur qui insiste sur un service particulier peut chercher à vous orienter vers un site frauduleux. Lancez la transaction en saisissant vous-même le nom de domaine officiel connu du prestataire ou en vous connectant à un compte que vous avez ouvert chez lui — jamais via le lien de l'autre partie — puis vérifiez la transaction dans ce compte authentifié. Les conseils d'Escrow.com sur la prévention de la fraude recommandent eux aussi d'accéder directement au site de l'entreprise dans votre navigateur plutôt que de cliquer sur un lien. Un prestataire suggéré par l'acheteur peut être légitime ; la protection vient du fait que vous confirmez et utilisez indépendamment le service authentique.

Les faux acheteurs et les faux courtiers

Toutes les arnaques n'ont pas besoin d'un faux site web. Certaines n'ont besoin que d'une personne convaincante. Un « acheteur » vous écrit avec un intérêt sérieux pour un nom, cite le nom d'une entreprise, joint peut-être un logo, et avance rapidement vers un montant un peu trop beau. La pression est le produit. L'objectif est de vous engager émotionnellement dans une vente à cinq chiffres afin que, lorsque la « petite étape » se présente — payer des frais de transfert, couvrir un dépôt de séquestre, envoyer un remboursement — vous le fassiez sans réfléchir.

Une variante courante est celle du faux courtier ou faux agent de place de marché. Vous recevez un message affirmant qu'un acheteur prêt à payer cher est sur le point de conclure, mais la transaction doit passer par un service d'estimation précis, une certification ou des frais de « déblocage » que vous payez d'avance. Les courtiers et places de marché légitimes prélèvent une commission sur une vente conclue. Ils ne demandent pas au vendeur de payer de l'argent à l'avance pour débloquer un acheteur qui existerait soi-disant déjà. Toute transaction qui exige que vous payiez d'abord pour être payé ensuite est l'arnaque, point final.

Ces attaques misent sur un nom qui paraît plus légitime qu'il ne l'est, raison de plus pour prendre le temps de lire les registres de propriété. Une recherche WHOIS rapide et une recherche sur l'entreprise que le « acheteur » prétend représenter feront souvent s'effondrer l'histoire en moins d'une minute. Les vrais acheteurs survivent à une recherche Google. Ceux qui sont inventés, non.

Les arnaques au trop-perçu et à la rétrofacturation

L'arnaque au trop-perçu est plus ancienne que les domaines et elle s'y adapte à la perfection. Le « acheteur » envoie un paiement supérieur au prix convenu — une erreur, dit-il, ou une bévue de son comptable — et vous demande de lui rembourser la différence. Vous avez désormais sous les yeux de l'argent qui semble être arrivé sur votre compte, si bien que renvoyer quelques milliers de dollars de « son » argent paraît anodin. Puis le paiement initial est annulé et vous voilà délesté du remboursement que vous avez envoyé sur vos propres fonds.

Le moteur ici, c'est la rétrofacturation. Wikipédia la définit comme un retour d'argent au payeur d'une transaction, en particulier d'une transaction par carte de crédit. Point crucial, la rétrofacturation annule un transfert d'argent depuis le compte bancaire, la ligne de crédit ou la carte de crédit du consommateur. Cette annulation peut survenir des jours, voire des semaines après que le paiement semblait abouti, et c'est une protection standard de l'acheteur que les escrocs exploitent en payant avec un instrument volé ou contestable. Le temps que la rétrofacturation tombe, vous avez déjà transféré le domaine et remboursé le « trop-perçu ». Vous perdez les deux.

La défense consiste à ne jamais agir sur de l'argent qui peut encore être repris. Une notification de « réception » n'équivaut pas à des fonds encaissés et irréversibles, et une demande de remboursement venant s'ajouter à un paiement tout récent est un signal d'alarme criant plutôt qu'une marque de courtoisie.

Le transfert avant paiement

Parfois l'arnaque fait l'économie de toute mise en scène et se contente de faire appel à votre honnêteté. Le « acheteur » explique que son entreprise ne peut régler une facture qu'après avoir reçu l'actif — règles d'approvisionnement, politique comptable, un supérieur qui doit d'abord voir le domaine sur le compte. Pourriez-vous le transférer maintenant, et il débloquera le paiement immédiatement ? Il a l'air raisonnable. Il a presque l'air vexé que vous puissiez douter de lui.

Ne transférez pas en premier. Une fois qu'un domaine échappe à votre contrôle, votre rapport de force s'évapore, et le récupérer signifie un litige lent et incertain plutôt qu'un remboursement. Cela compte d'autant plus en raison du fonctionnement réel des transferts. Déplacer un domaine vers un autre bureau d'enregistrement nécessite un code d'autorisation — l'ICANN explique qu'un Auth-Code est requis pour que le titulaire d'un nom de domaine transfère celui-ci d'un bureau d'enregistrement à un autre — et une fois ce code sorti et le transfert achevé, le nom lui appartient. La politique de transfert actuelle de l'ICANN permet toujours de refuser un transfert lorsqu'un domaine se trouve dans les 60 jours suivant sa création ou un précédent transfert entre bureaux d'enregistrement. Elle impose également un verrouillage de 60 jours des transferts entre bureaux d'enregistrement après un changement de titulaire, sauf si le bureau d'enregistrement avait offert au titulaire la possibilité de refuser ce verrouillage et que celui-ci l'avait exercée (Politique de transfert de l'ICANN, sections 3.7.5 à 3.8.5 et II.C.2). Ces règles actuelles de 60 jours n'ont pas été globalement remplacées par un verrouillage universel de 30 jours, et aucune ne vous aide si vous avez déjà remis le nom à un voleur.

Une proche cousine de cette arnaque vise le nom que vous achetez, et non que vous vendez : le vendeur encaisse le paiement et ne libère jamais le code d'autorisation, ou en libère un qui ne fonctionne pas. Le principe est identique des deux côtés. Celui qui agit en premier sans qu'une partie neutre détienne l'autre moitié de la transaction est celui qui s'expose.

Les habitudes qui les battent toutes

Les arnaques ci-dessus sont variées. Les défenses, non. Une courte liste de vérification, aussi ennuyeuse soit-elle, neutralise la quasi-totalité des attaques à la vente de domaines, et un interlocuteur légitime s'y pliera de bon cœur.

Utilisez toujours un règlement adossé à un séquestre et vérifié indépendamment. Faites appel à un service de séquestre réputé ou à une place de marché réputée, puis vérifiez indépendamment l'identité juridique du prestataire, son agrément le cas échéant et son nom de domaine officiel avant de vous connecter ou de verser des fonds. Ouvrez ou rejoignez la transaction sur le site officiel du prestataire et depuis votre compte authentifié, et non via un lien fourni par l'une des parties. Le refus par un acheteur de recourir à tout service neutre vérifié indépendamment est une raison d'arrêter la transaction ; le simple fait de suggérer un prestataire légitime ne prouve pas une fraude. Notre explication complète de ce à quoi cela devrait ressembler figure dans le séquestre de domaine expliqué et la liste de vérification du vendeur dans comment vendre un nom de domaine que vous possédez.

Vérifiez l'autre partie avant de faire confiance à la transaction. Lancez une recherche WHOIS, vérifiez l'entreprise que l'acheteur prétend être, confirmez que les domaines de messagerie correspondent, et méfiez-vous des adresses de webmail gratuites qui se font passer pour un service d'approvisionnement d'entreprise. Une vérification d'identité de deux minutes désamorce presque entièrement les arnaques au faux acheteur et au faux courtier.

Ne transférez jamais en premier, et n'agissez jamais sur de l'argent non encaissé. Ne libérez pas le domaine ni le code d'autorisation tant que le séquestre n'a pas confirmé un paiement réel et irréversible. Ne remboursez pas un « trop-perçu ». Ne traitez pas un écran « fonds reçus » comme une preuve de quoi que ce soit. Le temps joue toujours en faveur de la partie honnête, alors laissez l'horloge tourner.

Ne payez jamais de frais d'avance pour débloquer une vente. Les courtiers et places de marché légitimes sont rémunérés sur une transaction conclue. Une exigence de frais anticipés, d'« estimations » ou de paiements de « déblocage » pour accéder à un acheteur est l'arnaque elle-même.

Ralentissez quand l'urgence s'emballe. La pression, la flatterie et une transaction un peu trop belle sont les outils essentiels de l'escroc, car ils vous poussent tous à sauter les étapes ci-dessus. Plus un acheteur vous bouscule, plus vous devriez avancer avec précaution.

Si un nom a assez de valeur pour attirer un escroc, il en a assez pour être vendu correctement. L'objet de ces habitudes n'est pas la paranoïa. C'est que vous puissiez conserver le gain pour lequel vous avez travaillé au lieu d'en faire don à quelqu'un doté d'un e-mail convaincant.

L'angle Namefi

L'essentiel de ce guide porte sur la défense du moment de la remise — prouver que le paiement est réel avant que le nom ne bouge, et prouver que le nom est réel avant que l'argent ne bouge. Tout ce bras de fer existe parce que, dans le système traditionnel, la propriété et le paiement résident dans deux endroits distincts qui doivent être réconciliés par un intermédiaire de confiance.

Namefi réduit cet écart en tokenisant la propriété de véritables domaines ICANN, ce qui rend le contrôle du nom auditable tout en préservant la continuité du DNS pendant la remise. Toutefois, le transfert du token ne constitue pas à lui seul un règlement atomique du paiement contre le transfert de propriété : les fonctions de transfert standard d'ERC-721 définissent le transfert de la propriété d'un NFT d'une adresse à une autre, sans imposer de volet correspondant au paiement du prix d'achat. Si les deux volets sont exécutés onchain, un contrat de vente spécifique peut lier le paiement et la remise de la propriété dans une même transaction et annuler celle-ci si l'un des deux échoue ; l'EIP-140 précise que REVERT interrompt l'exécution et annule toutes les modifications d'état effectuées jusque-là. C'est cette liaison au niveau du contrat — et non la tokenisation à elle seule — qui crée un règlement atomique de livraison contre paiement (DvP) et réduit le problème du « qui agit en premier ». Sans elle, les parties ont toujours besoin d'un séquestre ou d'un autre mécanisme de règlement. Nous creusons ce changement dans comment les places de marché tokenisées remplacent le séquestre.

Avertissement amical (À lire !)

Nous ne sommes ni avocats, ni comptables, ni conseillers financiers, ni médecins, et rien dans cet article ne constitue un conseil juridique, financier, fiscal, comptable, médical ou de toute autre nature professionnelle. Nous écrivons ces articles pour nous instruire nous-mêmes et par commodité pour nos clients. Les informations qui s'y trouvent peuvent être périmées, propres à une zone géographique, ou tout simplement fausses. Nous faisons des erreurs nous aussi.

Pour toute décision importante, veuillez consulter un véritable professionnel (sérieusement !). Ou si ce n'est pas votre truc, demandez à un ami, demandez à Twitter, demandez à Reddit, demandez à une IA, ou demandez à un médium. En bref : DOYR — Do Your Own Research (faites vos propres recherches). Apprenons et amusons-nous.

Sources et lectures complémentaires

• Wikipédia — Bogus escrow (définition et mécanismes de l'arnaque au faux séquestre)
• Wikipédia — Chargeback (définition et fonctionnement de l'annulation d'un paiement par rétrofacturation)
• ICANN — Politique de transfert · FAQ des titulaires sur les transferts
• Ethereum Improvement Proposals — Sémantique des transferts de tokens ERC-721 · Sémantique d'annulation des transactions de l'EIP-140
• California DFPI — 10 conseils pour éviter la fraude au séquestre en ligne
• Escrow.com — Prévention de la fraude
• Ressources Namefi — Le séquestre de domaine expliqué · Comment vendre un nom de domaine que vous possédez · Comment se produit réellement le détournement de domaine