Le 6 octobre 2026, Google a indiqué que des attaquants avaient détourné des domaines dans plusieurs extensions nationales, puis obtenu des certificats TLS non autorisés pour certains services, dont des domaines Google. L’incident met en évidence le lien entre contrôle du registre, DNS et confiance accordée aux autorités de certification.
Le registre et le DNS au cœur de l’incident
Les extensions concernées incluent .gh, .sl et .as. Google rapporte que le contrôle de noms de domaine a permis de modifier des enregistrements DNS et d’obtenir des certificats pour certains noms. Cela ne signifie pas que les systèmes internes de Google ont été compromis : le problème porte sur la chaîne de résolution et l’émission de certificats.
Des certificats révoqués et bloqués dans Chrome
Google indique que les certificats identifiés ont été révoqués et que Chrome a diffusé des CRLSets pour bloquer ceux associés à l’incident. Cette réponse réduit le risque pour les utilisateurs de Chrome, mais les contrôles et délais de révocation dépendent aussi des navigateurs et des autorités de certification.
Pourquoi un cadenas ne suffit pas
Un certificat TLS valide chiffre une connexion et rattache un nom à une clé selon le processus de validation de l’autorité émettrice. Il ne prouve pas que l’opérateur du site est légitime si le contrôle du domaine a été détourné. Des changements DNS non planifiés et des certificats inattendus doivent donc être traités comme des signaux d’incident.
Mesures pour les organisations
Surveillez les modifications de DNS et de registrar, activez l’authentification multifacteur sur les comptes concernés et verrouillez les transferts de domaine. Inventoriez les certificats via les journaux de transparence et révoquez les certificats compromis en coordination avec l’émetteur. Après avoir rétabli le contrôle DNS, publiez une politique CAA restrictive qui limite les autorités autorisées et, si possible, lie l’émission aux comptes ACME autorisés. Ces règles ne peuvent pas empêcher une émission pendant un détournement DNS actif; elles renforcent la protection une fois le contrôle restauré. Vérifiez les canaux d’alerte du registrar et limitez les personnes capables de modifier les zones critiques.
Le lien avec Soclyde
Les comptes de registrar et de DNS sont des accès sensibles. Soclyde peut aider à stocker leurs identifiants dans un coffre chiffré et à les partager avec les personnes autorisées; il ne surveille pas les changements DNS. Consultez notre guide de partage des mots de passe en équipe ou contactez-nous.
À retenir
Activez le MFA et les alertes du registrar, verrouillez les transferts et surveillez les changements DNS ainsi que les certificats émis pour vos domaines. Pour les accès partagés, voir notre guide de partage sécurisé.