Résumé

  • À RIPE 93, Matteo Liberato a estimé que .kids ne tenait pas sa promesse de sécurité. Lors des questions, il a raconté qu’un parcours de signalement était défaillant et qu’un formulaire ne permettait de déclarer qu’un nom à la fois.
  • Le fichier de transactions d’ICANN compte 7 176 noms .kids en juin 2026. L’archive publique ne montre pas les menaces détectées ni les mesures prises que le contrat exige de documenter et de fournir à ICANN sur demande.

Analyse

Le tableau public d’ICANN sait compter les noms. Il ne sait pas dire si le registre a donné suite aux alertes de sécurité.

C’est cette différence que Matteo Liberato a fait apparaître pendant la session Sécurité de RIPE 93, le 27 octobre. Le chercheur de l’Université de Twente présentait une étude longitudinale de .kids, couvrant la période de mai 2022 à mars 2026. Selon le transcript officiel, sa conclusion était sans détour : l’extension n’avait pas rempli sa mission de sécurité pour les enfants.

Le point le plus concret est venu ensuite, pendant les questions. Liberato a déclaré avoir trouvé une voie de signalement d’abus qui ne fonctionnait pas et avoir prévenu DotKids Foundation, l’opérateur du registre. D’après son récit, l’organisation lui a répondu qu’un accès avait été rétabli sur une partie du site, mais que l’autre chemin restait inutilisable. Le formulaire réclamait un nom de domaine, une capture d’écran et une explication pour chaque déclaration. Liberato a dit avoir demandé une procédure groupée pour environ 300 noms ; la réponse qu’il a rapportée était qu’un système était en préparation.

Le transcript consigne son témoignage, pas un journal de traitement indépendant.

Le contrat donne une obligation précise à ce travail. La convention de registre .kids d’ICANN impose une analyse technique périodique des menaces de sécurité et la tenue de statistiques sur les menaces relevées et les actions entreprises. L’opérateur doit conserver ces rapports pendant la durée de l’accord et les remettre à ICANN sur demande. La même spécification demande aussi des règles d’enregistrement claires et publiées ; elle ne rend pas explicitement publics les chiffres de menaces et d’actions.

L’archive mensuelle .kids d’ICANN publie des rapports de transactions et d’activité, avec trois mois de décalage. Le fichier de juin 2026 affiche 7 176 domaines enregistrés, contre 3 785 en juin 2023 : 3 391 de plus, soit environ 89,6 %. Ce chiffre mesure des enregistrements. Il ne dit pas si les domaines sont utilisés, adaptés aux enfants ou contrôlés.

Le fichier répartit les opérations par bureau d’enregistrement et compte les créations, renouvellements, transferts, suppressions et restaurations. Il ne comporte pas de champ pour les menaces, les signalements, les décisions de conformité ou le délai de résolution. Le public peut suivre la taille de .kids ; il ne peut pas suivre le travail de sécurité à partir de ces rapports.

La portée du constat est limitée, mais nette. Le contrat prévoit que les rapports de sécurité sont conservés et qu’ICANN peut les demander. L’archive examinée ne présente pas une série publique des résultats. Elle ne permet donc pas de conclure que l’opérateur a omis ses vérifications ou qu’ICANN n’a pas reçu de données. Elle montre que le lecteur ordinaire ne peut pas consulter ces résultats dans les rapports mensuels.

Une telle publication n’exige pas de révéler l’identité des enfants, des titulaires ou des enquêteurs. Un bilan agrégé pourrait compter les alertes par catégorie, les cas évalués, les mesures appliquées, le temps de traitement et le stock encore ouvert, avec suppression des détails permettant d’identifier de petits groupes. Le lecteur saurait alors si la promesse produit un suivi mesurable.

Le document qui pourrait modifier ce constat est précis : une série attribuable et anonymisée des menaces relevées et des actions prises, ou une source publique d’ICANN indiquant où ces résultats sont déjà publiés. Sans elle, la croissance de .kids reste un indicateur de taille, pas une preuve de protection.

Sources