Données Whois : l’ICANN prépare un accès d’urgence pour les forces de l’ordre

Réponse immédiate

Les données Whois masquées des noms de domaine génériques (.com, .net, .org) ne s’ouvrent pas à la police. L’ICANN teste un accès d’urgence réservé aux enquêteurs authentifiés : réponse du bureau d’enregistrement en 24 heures, en cas de menace pour la vie, pour une infrastructure critique ou d’exploitation d’enfants. La règle est écrite depuis mai 2026, mais elle ne s’appliquera qu’une fois l’authentification en place. Le premier essai est prévu en décembre 2026.

Ce que l’ICANN a décidé, et ce qui n’est pas encore en vigueur

L’ICANN, l’organisme qui coordonne les noms de domaine, a annoncé le 12 mai 2026 l’ajout d’une obligation à sa politique sur les données d’enregistrement : les bureaux d’enregistrement et registres sous contrat doivent répondre en 24 heures aux demandes urgentes de divulgation de données non publiques. Le texte définit l’urgence de façon étroite : menace imminente pour la vie, de blessure grave, contre une infrastructure critique, ou d’exploitation d’enfants.

La même annonce pose une condition qui change tout : la règle n’entrera en vigueur qu’après la mise en place d’un mécanisme d’authentification des forces de l’ordre. Sans moyen de savoir qu’une demande vient vraiment d’un service d’enquête, un bureau d’enregistrement ne peut pas répondre vite sans risquer de livrer l’identité d’un client à un usurpateur.

C’est le rôle d’un groupe de travail créé en juin 2026 sur l’authentification des forces de l’ordre. Sa page officielle fixe le calendrier : réunions depuis juillet, maquettes présentées en octobre, début des essais en décembre 2026, synthèse publiée en mars 2027. Elle précise aussi que ce groupe n’écrit aucune règle : il donne un avis technique et opérationnel, sans fixer les obligations de divulgation ni la façon dont les bureaux d’enregistrement examinent les demandes.

Le 19 octobre 2026, à la réunion annuelle de l’ICANN à Bali, le groupe a présenté l’état de ses travaux. Selon The Register, l’ICANN privilégie le protocole SAML, un standard de connexion unique, et teste déjà ce schéma avec le FBI et Interpol. Les services d’enquête désigneraient les agents autorisés à déposer des demandes. Le même article évoque un délai porté à 72 heures pour les cas complexes ; nous ne l’avons pas retrouvé dans les documents de l’ICANN, il faut donc le tenir pour une information de presse.

Pourquoi les données Whois sont masquées depuis 2018

Le Whois est l’annuaire des titulaires de noms de domaine, interrogé aujourd’hui surtout par son successeur, le protocole RDAP (notre fiche Whois détaille les deux). Jusqu’en 2018, il affichait le nom, l’adresse, le courriel et le téléphone du titulaire. L’entrée en application du RGPD a conduit l’ICANN à faire masquer ces champs pour les personnes physiques. Le résultat est visible sur n’importe quel domaine en .com.

Nous avons interrogé le 20 octobre 2026 l’annuaire RDAP pour damien-hernandez.com, le domaine de l’auteur de cet article, déposé en 2011 chez OVHcloud. La réponse du bureau d’enregistrement liste 30 champs masqués : nom, organisation, rue, ville, code postal, téléphone, télécopie et courriel, pour le titulaire comme pour les contacts administratif et technique. Il reste les dates de création et d’expiration, le nom du bureau d’enregistrement et un lien vers le formulaire de plainte de l’ICANN pour données inexactes. Pour un enquêteur, le Whois public d’un particulier ne dit donc plus qui se cache derrière un domaine.

Le RDRS en chiffres : un guichet où le refus domine

Pour obtenir des données Whois masquées, un demandeur doit s’adresser au bureau d’enregistrement. Depuis le 28 novembre 2023, l’ICANN propose un guichet commun, le Registration Data Request Service (RDRS), qui transmet la demande au bon bureau d’enregistrement. Son rapport sur deux ans, publié en février 2026, donne une mesure rare de ce que vaut ce canal.

Trois enseignements ressortent de ces chiffres. D’abord, le refus est la réponse la plus fréquente : un peu plus de deux demandes clôturées sur trois. Ensuite, le guichet ne couvre pas tout le marché : la participation des bureaux d’enregistrement est volontaire, et le rapport indique qu’elle est retombée en 2025 à 78 bureaux, qui gèrent moins de la moitié des domaines. Enfin, les forces de l’ordre sont devenues les premiers utilisateurs au fil de la deuxième année, devant les titulaires de droits de propriété intellectuelle.

Avec 7 jours en moyenne pour une réponse positive, le guichet actuel ne sert à rien face à un site d’hameçonnage qui vit quelques heures. C’est l’écart que la règle des 24 heures veut combler, pour une catégorie de cas très restreinte.

Et pour le .fr et le .eu ?

La politique de l’ICANN ne vise que les extensions génériques. Les extensions nationales suivent leurs propres règles, et c’est souvent là que se trouvent les domaines qui intéressent une enquête sur une entreprise française.

• .fr (Afnic). Selon sa politique de publication et d’accès aux données datée du 1er janvier 2023, les données des titulaires personnes physiques sont en « diffusion restreinte » par défaut. L’Afnic ne les transmet que sur décision de justice, à une autorité disposant d’un droit de communication (DGCCRF, douanes, Trésor public), ou à un tiers qui motive sa demande par un formulaire. Dans ce dernier cas, la levée d’anonymat n’est pas automatique. Les données des titulaires personnes morales, elles, restent publiées.
• .eu (EURid). Depuis octobre 2024, EURid applique une politique de divulgation alignée sur la transposition belge de la directive NIS 2 : les données sont communiquées en 72 heures à une demande motivée par un intérêt légitime, et en 24 heures en cas d’urgence.

Le contraste est net. Pour le .eu, le délai court existe déjà, et pour tout demandeur légitime, pas seulement la police. Pour les extensions génériques, il reste suspendu à un dispositif technique encore en essai. La directive NIS 2 impose d’ailleurs aux registres et bureaux d’enregistrement établis dans l’Union de répondre aux demandes légitimes d’accès dans un délai de 72 heures (article 28).

Ce que cela change pour une enquête en sources ouvertes

Pour un analyste en OSINT, une entreprise qui mène une due diligence ou un journaliste, la réponse courte est : presque rien. Le futur accès d’urgence est réservé aux services d’enquête authentifiés, sur des cas graves. Il ne rouvre pas le Whois au public, et rien n’annonce un tel retour.

Notre lecture est que cette évolution renforce plutôt la valeur des traces que le masquage n’efface pas. Un domaine laisse d’autres signaux : ses serveurs de noms et ses enregistrements DNS, ses certificats, ses archives dans la Wayback Machine, les mentions légales du site lui-même, que la loi française impose à tout éditeur professionnel. Pour une société, l’identité de l’éditeur se recoupe ensuite avec le registre du commerce et, le cas échéant, le registre des bénéficiaires effectifs.

Le cas limite est celui du domaine malveillant enregistré par un particulier, ou sous une fausse identité, chez un bureau d’enregistrement étranger. Là, ni l’analyste privé ni l’entreprise victime n’ont de voie rapide : il faut une plainte, puis une réquisition ou une demande d’un service d’enquête. Le dispositif de l’ICANN pourra accélérer cette dernière étape, pas la remplacer.

Méthode : que faire face à un domaine dont le titulaire est masqué

1. Interroger le RDAP plutôt que le Whois. La réponse est structurée, indique les champs masqués et donne le bureau d’enregistrement responsable, celui à qui adresser toute demande.
2. Relever les traces techniques. Serveurs de noms, adresses IP, historique DNS, certificats et captures archivées : noter la date de chaque relevé, car ces données changent.
3. Lire le site. Mentions légales, conditions générales, politique de confidentialité : un éditeur professionnel est tenu de s’identifier.
4. Recouper avec les registres publics. Raison sociale, numéro d’immatriculation, dirigeants et bénéficiaires effectifs se vérifient dans les registres officiels.
5. Choisir la bonne voie de demande. RDRS ou bureau d’enregistrement pour une extension générique, formulaire de l’Afnic pour le .fr, formulaire d’EURid pour le .eu, avec une motivation précise et un usage limité des données obtenues.
6. En cas d’infraction, passer par la plainte. Une menace grave ou une escroquerie relève des services d’enquête, seuls concernés par l’accès d’urgence.

Limites et précautions

Une donnée Whois obtenue par une demande de divulgation reste une donnée personnelle : elle ne peut servir qu’à la finalité invoquée. La réutiliser pour autre chose, ou la publier, expose à des poursuites sur le fondement du RGPD. Les politiques citées ici ont été lues le 20 octobre 2026 ; celle de l’Afnic date de 2023 et peut avoir évolué depuis. Enfin, le calendrier de l’ICANN est celui d’une preuve de concept : il peut glisser, et la date d’entrée en vigueur de la règle des 24 heures n’est pas fixée.

Questions fréquentes

Peut-on encore savoir à qui appartient un nom de domaine ?

Pour une entreprise, souvent oui : les personnes morales restent publiées pour le .fr, et le site doit afficher ses mentions légales. Pour un particulier, le Whois public est masqué ; il faut une demande motivée auprès du bureau d’enregistrement ou de l’office d’enregistrement.

Qu’est-ce que le RDRS de l’ICANN ?

Un guichet en ligne qui transmet les demandes d’accès aux données non publiques des extensions génériques au bureau d’enregistrement concerné. La décision reste celle du bureau d’enregistrement, et sa participation est volontaire.

Les forces de l’ordre françaises auront-elles accès au Whois en 24 heures ?

Pas encore. La règle existe depuis mai 2026, mais elle ne s’applique qu’aux demandeurs authentifiés, et le mécanisme n’est testé qu’avec le FBI et Interpol. L’ICANN dit vouloir publier une spécification à laquelle d’autres services pourront se conformer.

Le RDAP remplace-t-il le Whois ?

Pour les extensions génériques, oui : le RDAP est le protocole de référence et renvoie des données structurées, avec la liste des champs masqués. Le mot Whois reste employé pour désigner l’annuaire.

Un journaliste peut-il utiliser le RDRS ?

Oui, tout demandeur peut créer un compte, mais la demande doit être motivée et le bureau d’enregistrement peut refuser. Les chiffres de l’ICANN montrent que le refus est la réponse la plus fréquente.

Sources

1. ICANN Adds Urgent Requests Requirement to Registration Data Policy, ICANN, icann.org, 12/05/2026
2. Input Group: Law Enforcement Agency Authentication Mechanisms, ICANN, icann.org, consulté le 20/10/2026
3. Registration Data Request Service, Two-Year Pilot Summary Report, ICANN, icann.org, février 2026
4. ICANN testing tech to let law enforcement access non-public WHOIS info, The Register, theregister.com, 20/10/2026
5. Politique de publication et d’accès à l’information, Afnic, afnic.fr, 01/01/2023
6. EURid introduces new Policies to comply with Belgian transposition of the NIS2 Directive, EURid, eurid.eu, 18/10/2024
7. Directive (UE) 2022/2555 (NIS 2), Union européenne, EUR-Lex, 14/12/2022
8. Relevé RDAP de damien-hernandez.com (rdap.verisign.com puis rdap.ovh.com), Intelligence Stratégique, 20/10/2026

À jour au 20/10/2026.

PUBLIÉ LE 20.10.2026 · UNE ERREUR ? SIGNALEZ-LA