Résumé

  • Interisle a recensé 8 496 811 noms créés en 2025 et inscrits dans les sources qu’il retient, sur 84 961 989 créations de gTLD. Il qualifie ces 10 % de plancher, puis projette un total pouvant atteindre 20 %.
  • ICANN distingue un domaine signalé ou bloqué d’un domaine assorti d’éléments exploitables permettant de conclure raisonnablement à un abus du DNS. Une suspension exige normalement une enquête ou une corroboration.
  • Le minimum d’Interisle et la limite supérieure d’ICANN ne portent pas sur la même grandeur : le premier vise une population malveillante supposée plus vaste ; la seconde, le sous-ensemble confirmé selon une définition et un seuil d’action plus étroits.
  • Un registre des états de l’affirmation doit séparer observation, classification, estimation, signal de politique publique, dossier individuel et décision autorisée. Le passage d’un niveau au suivant doit être explicite et réversible.

Le problème n’est pas le mot « borne »

Un nombre ne possède pas spontanément un sens institutionnel. Il en reçoit un par la question posée, les sources mobilisées, la période observée, les exclusions, le dénominateur et la décision à laquelle on veut le rattacher. C’est cette chaîne que le débat ouvert en août 2026 rend visible.

Le rapport d’Interisle porte sur les noms de domaine génériques créés pendant l’année 2025. Il indique 84 961 989 créations et 8 496 811 noms ajoutés, au 18 mai 2026, aux listes de réputation et autres sources retenues. Le rapport présente donc 10 % comme un constat daté, puis comme le point de départ d’une estimation plus large.

ICANN répond le 10 août en changeant de question. L’organisation ne demande pas seulement combien de noms figurent dans une liste. Elle demande ce que cette présence permet d’affirmer, quelles catégories entrent dans son mandat contractuel, et quel niveau d’éléments serait nécessaire avant une mesure visant un domaine précis.

Le même chiffre se trouve ainsi placé sur deux axes verticaux. Par rapport à tous les enregistrements malveillants qui auraient échappé aux capteurs ou n’auraient pas encore été utilisés, 8,5 millions peuvent être trop peu. Par rapport aux cas qui résisteraient à une enquête individuelle, à la définition contractuelle d’ICANN et à un contrôle de proportionnalité, le groupe signalé peut être trop large.

Appeler ces deux axes « l’abus DNS » ne les rend pas identiques. Le premier s’intéresse à une population de comportements et d’intentions que l’on tente d’inférer. Le second s’intéresse à une qualification institutionnelle susceptible d’entraîner une obligation ou une mesure. Entre les deux se trouvent plusieurs transformations qui ne doivent pas être cachées sous un pourcentage.

Le plancher construit par Interisle

Interisle ne travaille pas avec une source unique. Sa méthodologie décrit plusieurs listes professionnelles consacrées notamment au hameçonnage, aux logiciels malveillants et à d’autres activités dangereuses. Elle ajoute des ensembles liés à des campagnes documentées par les autorités, les tribunaux ou des équipes spécialisées. Les données sont collectées plusieurs fois par jour et dédupliquées entre les sources.

Cette précision compte. Un même domaine peut porter plusieurs étiquettes d’abus sans gonfler plusieurs fois le total unique. À l’inverse, la multiplication des capteurs augmente la couverture parce que leur recouvrement est souvent faible. Le résultat n’est donc ni la somme brute de toutes les URL ni la photographie d’une seule liste.

Le rapport cherche également à distinguer l’enregistrement malveillant du domaine légitime compromis après sa création. Selon ses critères, environ 98 % des noms de la cohorte 2025 qui ont été bloqués paraissent avoir été enregistrés à des fins malveillantes. Cette classification importe autant que le signal initial : fermer un nom jetable acheté pour une campagne n’a pas les mêmes effets que suspendre le domaine d’une entreprise dont un répertoire web a été piraté.

Le mot plancher vient ensuite de deux absences. Les listes ne détectent pas toutes les activités. Et certains noms de la cohorte 2025 peuvent être inscrits plus tard, notamment lorsque les attaquants les laissent vieillir. Interisle projette ainsi une hausse d’environ 10 % à 12 % d’ici fin 2026.

Le passage de 12 % à 20 % ajoute une autre opération. Le rapport applique une expansion par domaines associés, inspirée de recherches sur les lots d’enregistrements. Il aboutit à 16,8 millions de noms potentiellement acquis par des acteurs malveillants. Interisle qualifie bien ces 20 % de projection.

Le dossier public devrait donc conserver trois lignes au lieu d’un seul chiffre : 8,5 millions observés et classés selon une méthode datée ; 10,1 millions projetés après inscription future ; 16,8 millions après expansion par association. Une contestation sérieuse peut viser les capteurs, la classification, l’horizon temporel ou l’expansion. Elle ne peut pas savoir quelle hypothèse tester si les trois états ont été fusionnés.

La limite supérieure décrite par ICANN

ICANN ne soutient pas que les listes de réputation seraient inutiles. Son propre système Domain Metrica en agrège plusieurs afin de montrer où se concentrent les signalements. La foire aux questions emploie un vocabulaire soigneux : les domaines sont signalés comme associés à une activité malveillante ; ils ne constituent pas nécessairement des incidents établis, et l’absence de signalement ne garantit pas l’innocuité.

Il existe donc deux erreurs symétriques. Confondre silence et innocuité sous-estime ce que les capteurs manquent. Confondre présence et confirmation surestime ce que le signal suffit à prouver. La première erreur alimente l’idée de plancher ; la seconde, celle de limite supérieure.

Le choix des listes peut en outre déplacer le classement. Dans une analyse publiée en juillet 2025, ICANN a comparé des sources ouvertes, commerciales et combinées. Certaines positions sont restées stables, d’autres ont fortement changé. Un classement de TLD ou de bureaux d’enregistrement n’est donc pas seulement le reflet de leur portefeuille ; il porte aussi l’empreinte du réseau de capteurs.

OCTO-037 offre la bonne discipline de lecture. Le volume, le recouvrement, la rapidité et le renouvellement des entrées peuvent être mesurés directement. La « pureté » et la précision des métadonnées demandent souvent des échantillons ou des substituts. La zone de collecte, la fréquence de retest et la fiabilité opérationnelle peuvent n’être connues que par la documentation du fournisseur ou l’expérience.

Un flux peut ainsi convenir à la protection d'un réseau où le coût d'une erreur est limité, tout en étant mal adapté à une procédure où chaque faux positif déclenche une enquête lourde. L'usage prévu n'est pas un commentaire ajouté après la méthode. Il fait partie de sa validité.

ICANN prolonge ce principe jusqu'à la conséquence. Une liste est exploitable pour observer des tendances, mais la suspension d'un domaine exige normalement une enquête ou une corroboration. La force requise de la preuve augmente lorsque l'acte devient individualisé et difficile à réparer.

Les définitions dessinent le périmètre d’action

Le rapport d’Interisle traite à juste titre d’un univers de cybercriminalité plus large que les contrats d’ICANN. Il inclut des escroqueries, des fraudes et des formes de courrier indésirable qui ne se réduisent pas nécessairement aux catégories contractuelles. Pour une étude des pertes subies par le public, ce choix peut être pertinent.

Les modifications contractuelles de 2024 retiennent toutefois une liste plus étroite : logiciels malveillants, réseaux de machines compromises, hameçonnage, détournement de résolution et spam lorsqu’il sert à diffuser les autres formes. Cette limite cherche à rattacher l’action d’ICANN à sa mission et aux engagements des registres et bureaux d’enregistrement.

Une catégorie peut donc être grave sans devenir, par ce seul fait, une catégorie contractuelle d’ICANN. Inversement, un périmètre contractuel étroit n’efface pas le phénomène social observé à l’extérieur. La bonne pratique consiste à publier les lignes séparément : champ de recherche large, champ contractuel, sous-ensemble corroboré et mesure effectivement prise.

Quand les catégories sont mélangées, les parties finissent par discuter de morale alors qu’elles divergent sur la compétence. Le registre d’une métrique doit indiquer non seulement « phishing » ou « spam », mais la définition exacte et l’autorité pour laquelle la classification est pertinente.

Citer une méthode ne publie pas les modifications

Le différend le plus utile concerne la reproductibilité. Interisle dit que son expansion par association ressemble à la méthode publiée par l’équipe OCTO d’ICANN, et que sa distinction entre domaines malveillants et compromis partage des traits avec COMAR. ICANN répond que les différences ne sont pas expliquées.

La méthode OCTO sur les lots est elle-même très explicite sur ses limites. Elle regroupe des créations proches dans le temps à partir du bureau d’enregistrement et des serveurs de noms faisant autorité. Elle écarte les groupes de moins de dix, jugés moins fiables, et les groupes de plus de mille de l’analyse détaillée, parce que certains ensembles hétérogènes pouvaient provenir des délais de traitement de revendeurs. Sa validation s’appuie sur les données d’un bureau d’enregistrement coopérant ; la vérité complète sur les titulaires de comptes reste distribuée chez les opérateurs.

L’étude observe une expansion de 80 % des nouveaux domaines figurant finalement dans les listes lorsqu’elle pivote depuis les graines connues. Elle précise aussi qu’une association n’est pas une attribution, que les attaquants peuvent éviter les hypothèses de regroupement et qu’un usage opérationnel demanderait un seuil minimal d’éléments et des travaux supplémentaires.

Adapter cette recherche est légitime. Mais la citation du titre ne révèle ni les bornes de taille retenues, ni la fenêtre temporelle, ni le traitement des grands groupes, ni les filtres de noms, ni le dénominateur. Il faut un diff de méthode, comme pour un changement de logiciel : version d’origine, paramètres modifiés, justification et effet sur le résultat.

COMAR illustre la même exigence. L’article de 2020 annonce une précision de 97 % et 2,5 % de faux positifs sur ses jeux étiquetés de hameçonnage et de logiciels malveillants, avec 38 variables publiques. C’est un résultat d’évaluation solide dans son contexte, pas un sceau qui accompagnerait toutes les implémentations futures. Les auteurs décrivent l’étiquetage manuel, les pages impossibles à récupérer, l’évasion, la reprise de domaines expirés et des cas où une page d’accueil défigurée ou un historique légitime trompe le classifieur.

La transparence sur ces échecs renforce la recherche. Elle rappelle qu’un nom de méthode est une filiation, non une identité.

Six états qui ne doivent pas fusionner

Une architecture de gouvernance minimale peut tenir dans six états.

État Affirmation légitime Transformation interdite sans nouvelle preuve
Observation Un nom ou une URL figurait dans une source donnée à une date donnée Intention malveillante prouvée
Classification Une règle ou un modèle versionné a attribué une catégorie ou une probabilité Étiquette infaillible
Estimation de population Des observations et inférences forment un numérateur, un dénominateur ou un intervalle Total de cas jugés
Signal de politique L’agrégat éclaire une question définie Autorisation d’agir contre un nom
Éléments du dossier Un cas précis a été examiné selon la définition applicable Décision sans responsable identifié
Action autorisée Un acteur compétent applique un instrument et une réponse proportionnée Effacement du recours et des corrections

Une transition est possible entre chaque ligne. Elle doit produire une nouvelle trace au lieu de réécrire la précédente. Si un domaine signalé est ensuite corroboré, le dossier conserve le signal initial et ajoute l’examen. Si une classification est corrigée, elle n’efface pas la version qui a influencé une politique ou une mesure.

Deux reçus, pas un grand fichier d’accusation

Le reçu agrégé commence par la grandeur visée. Il enregistre l’unité, la période, le jeu de sources, le champ de visibilité, les catégories d’abus, les règles d’inclusion et de déduplication, le classifieur, la version, la méthode d’association, le numérateur et le dénominateur. Il sépare ce qui a été observé, inféré et projeté.

Il ajoute le sens de l’incertitude. L’incomplétude des capteurs peut tirer un chiffre vers le bas par rapport à une population visée. Les signalements non confirmés ou hors périmètre peuvent le tirer vers le haut par rapport à une autre. Afficher une fourchette sans dire quelle grandeur elle encadre ne suffit pas.

Le reçu doit aussi déclarer l’usage permis. Un résultat peut convenir à l’étude d’une tendance, au choix d’un sujet de PDP ou à la priorisation d’une enquête. Ces usages ne sont pas équivalents. L’interdiction la plus importante est simple : une estimation agrégée ne suffit pas, à elle seule, à suspendre un domaine.

Le reçu individuel est un autre objet. Il contient le cas protégé, la catégorie contractuelle, les éléments reçus, la corroboration, le statut malveillant, compromis ou non résolu, le responsable de l’enquête et le décideur. Il conserve la proportionnalité, la notification, l’escalade, la contestation, la correction et, le cas échéant, le rétablissement.

Cette séparation n’oblige pas à publier des données personnelles, des flux sous licence ou des seuils exploitables par les attaquants. On peut rendre la classe de source, le hachage, la couverture, la version et la procédure d’audit portables sans dévoiler le contenu sensible.

La preuve ne se nomme pas elle-même autorité

La distinction formulée par Lu Heng à propos du mandat multipartite s’applique ici avec une précision particulière. La participation peut fournir expertise, avertissement et discipline technique sans devenir un mandat sur les absents. De même, une liste fournit un signal, un classifieur fournit une inférence et une étude fournit une estimation. Aucun de ces objets ne devient le décideur parce qu’il est volumineux ou convaincant.

Interisle répond de sa méthode et de ses affirmations. L’équipe OCTO répond de Domain Metrica et de ses publications. La GNSO suit son processus pour élaborer une politique. La conformité contractuelle évalue les instruments adoptés. Les registres et bureaux d’enregistrement possèdent des informations et des obligations propres. Leurs preuves peuvent circuler ; leurs compétences ne se fondent pas.

Le niveau commun doit donc rester mince : des états de revendication, une provenance, des versions, des passages attribuables et une correction portable. L’enquête et la décision restent auprès de ceux qui en portent la responsabilité.

Faire du désaccord un bien public

Le bon résultat n’est pas forcément un pourcentage commun. Interisle peut continuer à soutenir qu’un nombre important d’enregistrements malveillants échappe aux listes. ICANN peut continuer à exiger une différence entre signalement, périmètre contractuel et preuve exploitable. Le progrès consiste à rendre les transformations comparables.

Une publication suivante pourrait décomposer la contribution de chaque source, les recouvrements, les ajouts de campagnes, la classification malveillant/compromis, le dénominateur et les dates. La projection à 20 % pourrait isoler l’effet du temps de celui de l’association et montrer plusieurs paramètres. ICANN pourrait indiquer quelles différences relèvent de la mesure et lesquelles relèvent seulement de son mandat.

Le débat deviendrait alors falsifiable sans devenir une procédure d’accusation. Une politique pourrait prendre l’ampleur au sérieux sans prétendre que chaque observation est un verdict. Une enquête pourrait agir vite sur un dossier solide sans attendre que le marché entier soit mesuré avec certitude.

Le plancher et le plafond ne sont pas le problème. Le problème est l’ascenseur qui traverse les étages sans annoncer où il s’arrête.

Sources

  1. ICANN, « Looking Beyond the Numbers: Understanding Malicious Domain Registration Data »
  2. Interisle Consulting Group, « Malicious Registrations in the Domain Market »
  3. ICANN, foire aux questions Domain Metrica
  4. ICANN, « How Choice of Reputation Blocklists Affects DNS Abuse Metrics »
  5. ICANN OCTO-037v2, « RBL Evaluation Methodology »
  6. ICANN OCTO SSR, « Detecting Malicious Domain Registration Batches: Patterns, Prevalence, and Security Implications »
  7. Maroofi et ses coauteurs, « COMAR: Classification of Compromised versus Maliciously Registered Domains »
  8. ICANN, avis sur le respect des obligations relatives aux abus du DNS
  9. ICANN, modifications mondiales de 2024
  10. ICANN, programme d’atténuation des abus du DNS
  11. Lu Heng, « The Multi-Stakeholder Mirage—How the Multi-Stakeholder Model Turned Attendance Into Mandate »