L'ICANN teste un accès rapide de la police aux données masquées des titulaires de domaines

L'ICANN, l'organisation américaine à but non lucratif qui gère le système mondial des noms de domaine, teste un dispositif permettant aux policiers de se connecter directement à son service de demandes pour réclamer aux bureaux d'enregistrement les données masquées des propriétaires de domaines. L'essai est mené avec le FBI et Interpol, a indiqué l'ICANN lors de sa réunion annuelle, ICANN 87 à Bali, selon The Register le 20 octobre. Il ne concerne que les cas urgents : menace imminente pour la vie, risque de blessures graves, menace contre des infrastructures critiques ou exploitation d'enfants.

Ce qui est masqué et qui peut le demander

Depuis l'entrée en vigueur du RGPD européen en 2018, la plupart des bureaux d'enregistrement n'affichent plus le nom, l'adresse, l'e-mail ni le numéro de téléphone du titulaire dans les fiches WHOIS publiques. Le bureau d'enregistrement conserve pourtant ces données, et toute personne ayant un motif légitime peut les demander. Depuis novembre 2023, l'ICANN gère à cet effet le Registration Data Request Service (RDRS). Le demandeur remplit un formulaire type, et l'ICANN transmet la demande au bureau d'enregistrement qui a vendu le domaine. C'est lui qui décide de communiquer ou non les données.

Le service est ouvert aux avocats, aux titulaires de marques, aux chercheurs en sécurité et aux agents publics, pas seulement à la police. Au cours de ses deux premières années, jusqu'au 30 novembre 2025, il a traité plus de 3 700 demandes portant sur 40 400 domaines. 26 % ont été acceptées, 55 % refusées, et les autres ont été acceptées en partie ou concernaient des données déjà publiques. Les forces de l'ordre représentaient 16 % des demandes. Les bureaux d'enregistrement participent sur la base du volontariat : à la fin du projet pilote, ils étaient 80, couvrant 46 % des domaines. Après la fin du pilote, le conseil d'administration de l'ICANN a prolongé le service pour une durée maximale de deux ans.

Comment fonctionnerait la connexion des policiers

Aujourd'hui, le RDRS exige seulement un compte ICANN, et le comité de l'ICANN chargé d'évaluer le pilote a cité la vérification de l'identité des demandeurs parmi ses enseignements. Selon les règles de l'ICANN, les bureaux d'enregistrement doivent traiter les demandes urgentes sous 24 heures, et la communauté a désigné la vérification de l'identité réelle du demandeur comme l'un des principaux obstacles au respect de ce délai. Le nouveau dispositif confie cette vérification aux agences elles-mêmes. L'ICANN privilégie SAML, une norme d'authentification unique très répandue : l'agent se connecte via le système de sa propre agence, et le RDRS reçoit la confirmation que la demande émane bien d'un vrai policier.

D'après The Register, les agences désigneraient nommément les personnes autorisées à déposer des demandes, et un jeton échangé lors de la connexion garantirait le respect de cette règle. L'objectif est aussi d'empêcher une grande agence comme le FBI de submerger le service de demandes émanant de nombreux agents individuels. L'ICANN se dit ouverte à d'autres méthodes de connexion pour les agences qui n'utilisent pas SAML, et souhaite publier une spécification que toute force de police pourra suivre.

Le groupe de travail a été créé en juin. Son calendrier prévoit le début des tests en décembre 2026 et la publication des conclusions en mars 2027.

Ce qui reste à trancher

Le groupe ne développe que la partie technique. Il ne rédige pas de règles et ne modifie pas celles qui encadrent déjà les données. Le contenu du jeton, les règles d'utilisation acceptable et le sort des demandes qui ne remplissent pas le critère d'urgence seront décidés par d'autres groupes de l'ICANN. Les bureaux d'enregistrement pourront toujours refuser une demande qu'ils ne jugent pas urgente, et disposent de 72 heures au maximum pour les cas complexes. Des représentants de Namecheap et de Verisign se sont prononcés en faveur du dispositif. Une question reste en suspens : la protection des policiers eux-mêmes, dont les adresses e-mail figurant dans les demandes pourraient les exposer à du harcèlement.

Pourquoi c'est important

Pour la police, l'enjeu est la rapidité : les domaines servant au phishing, aux logiciels malveillants ou à l'extorsion restent souvent en ligne tant que leur propriétaire ne peut pas être identifié. Pour les propriétaires de sites, cela signifie qu'une fiche WHOIS masquée les protège du public, mais pas des autorités. Le bureau d'enregistrement connaît les informations fournies lors de l'enregistrement, et en cas d'urgence, la police pourra les demander par un canal vérifié. On ignore encore avec quelle rigueur les bureaux d'enregistrement apprécieront l'urgence.