Comment éviter les arnaques à la vente de domaines

L'argent dans le domain flipping se gagne au moment où un nom finit par se vendre. C'est aussi précisément le moment où les escrocs font leur apparition. Une annonce de mise en vente active est une invitation ouverte à quiconque est prêt à se faire passer pour un acheteur, un courtier ou une société de séquestre. L'erreur la plus coûteuse qu'un flipper puisse commettre n'est pas d'acheter le mauvais nom. C'est de remettre un bon nom à la mauvaise personne.

Presque toutes les arnaques à la vente de domaines sont une variation autour d'un même geste : vous amener à céder soit le domaine, soit l'argent avant que l'autre partie n'ait réellement livré. Une fois que vous repérez ce geste, les défenses deviennent simples et elles ne ralentissent presque pas une transaction légitime. Ce guide passe en revue les arnaques que vous rencontrerez vraiment, puis les habitudes qui les déjouent toutes. Il fait partie de la série sur les compétences du domain flipping, et il s'accompagne étroitement du volet juridique abordé dans le domain flipping et la loi.

L'unique tour de passe-passe derrière chaque arnaque : qui agit en premier

Toute vente entre inconnus repose sur le même bras de fer. L'acheteur ne veut pas payer avant d'avoir reçu le domaine, et le vendeur ne veut pas transférer le domaine avant d'être payé. Quelqu'un doit y aller en premier, et y aller en premier, c'est faire confiance à l'autre partie. C'est tout le problème que le séquestre a été inventé pour résoudre, et nous en détaillons les mécanismes dans le séquestre de domaine expliqué.

Les arnaques ne sont rien d'autre que des attaques contre ce bras de fer. L'unique objectif d'un escroc est de fabriquer une raison pour que vous agissiez en premier — transférer le nom, envoyer un remboursement ou régler des « frais » — avant que la moindre valeur réelle n'ait changé de mains. Gardez cette grille de lecture sur chaque message que vous recevez et les ruses précises ci-dessous cessent d'être surprenantes. Ce sont toutes la même ruse sous des déguisements différents.

Les faux sites de séquestre

C'est l'arnaque classique, et elle est efficace parce qu'elle transforme en arme l'outil même que vous êtes censé considérer comme fiable. Un acheteur accepte avec enthousiasme votre prix, puis insiste pour utiliser « son » service de séquestre et vous envoie un lien. Le site a l'air professionnel. Il affiche votre transaction, votre nom, le montant convenu, un rassurant statut « fonds reçus ». Rien de tout cela n'est réel.

Wikipédia décrit le stratagème sans détour : l'arnaque au faux séquestre est une escroquerie à la confiance toute simple dans laquelle un escroc exploite un faux service de séquestre. Le faux site existe pour vous mentir au moment précis où vous écoutez le plus attentivement. Comme le formule Wikipédia, ce faux service de séquestre assure à la victime que l'escroc a envoyé son article et que la victime devrait envoyer le sien au service de séquestre. Vous voyez « l'acheteur a provisionné le séquestre », vous transférez le domaine pour finaliser la transaction, et l'argent n'a jamais été là. Le site s'éteint, et l'acheteur aussi.

L'indice est toujours le même : c'est l'acheteur qui a choisi le service de séquestre, et vous n'en avez jamais entendu parler. Un vrai séquestre ne vous protège que si c'est vous qui l'avez choisi. Une société de séquestre recommandée, dont le lien vous est fourni et qui est commodément mise en place par votre interlocuteur n'est pas un arbitre neutre — c'est un joueur de l'équipe adverse qui porte le maillot de l'arbitre.

Les faux acheteurs et les faux courtiers

Toutes les arnaques n'ont pas besoin d'un faux site web. Certaines n'ont besoin que d'une personne convaincante. Un « acheteur » vous écrit avec un intérêt sérieux pour un nom, cite le nom d'une entreprise, joint peut-être un logo, et avance rapidement vers un montant un peu trop beau. La pression est le produit. L'objectif est de vous engager émotionnellement dans une vente à cinq chiffres afin que, lorsque la « petite étape » se présente — payer des frais de transfert, couvrir un dépôt de séquestre, envoyer un remboursement — vous le fassiez sans réfléchir.

Une variante courante est celle du faux courtier ou faux agent de place de marché. Vous recevez un message affirmant qu'un acheteur prêt à payer cher est sur le point de conclure, mais la transaction doit passer par un service d'estimation précis, une certification ou des frais de « déblocage » que vous payez d'avance. Les courtiers et places de marché légitimes prélèvent une commission sur une vente conclue. Ils ne demandent pas au vendeur de payer de l'argent à l'avance pour débloquer un acheteur qui existerait soi-disant déjà. Toute transaction qui exige que vous payiez d'abord pour être payé ensuite est l'arnaque, point final.

Ces attaques misent sur un nom qui paraît plus légitime qu'il ne l'est, raison de plus pour prendre le temps de lire les registres de propriété. Une recherche WHOIS rapide et une recherche sur l'entreprise que le « acheteur » prétend représenter feront souvent s'effondrer l'histoire en moins d'une minute. Les vrais acheteurs survivent à une recherche Google. Ceux qui sont inventés, non.

Les arnaques au trop-perçu et à la rétrofacturation

L'arnaque au trop-perçu est plus ancienne que les domaines et elle s'y adapte à la perfection. Le « acheteur » envoie un paiement supérieur au prix convenu — une erreur, dit-il, ou une bévue de son comptable — et vous demande de lui rembourser la différence. Vous avez désormais sous les yeux de l'argent qui semble être arrivé sur votre compte, si bien que renvoyer quelques milliers de dollars de « son » argent paraît anodin. Puis le paiement initial est annulé et vous voilà délesté du remboursement que vous avez envoyé sur vos propres fonds.

Le moteur ici, c'est la rétrofacturation. Wikipédia la définit comme un retour d'argent au payeur d'une transaction, en particulier d'une transaction par carte de crédit. Point crucial, la rétrofacturation annule un transfert d'argent depuis le compte bancaire, la ligne de crédit ou la carte de crédit du consommateur. Cette annulation peut survenir des jours, voire des semaines après que le paiement semblait abouti, et c'est une protection standard de l'acheteur que les escrocs exploitent en payant avec un instrument volé ou contestable. Le temps que la rétrofacturation tombe, vous avez déjà transféré le domaine et remboursé le « trop-perçu ». Vous perdez les deux.

La défense consiste à ne jamais agir sur de l'argent qui peut encore être repris. Une notification de « réception » n'équivaut pas à des fonds encaissés et irréversibles, et une demande de remboursement venant s'ajouter à un paiement tout récent est un signal d'alarme criant plutôt qu'une marque de courtoisie.

Le transfert avant paiement

Parfois l'arnaque fait l'économie de toute mise en scène et se contente de faire appel à votre honnêteté. Le « acheteur » explique que son entreprise ne peut régler une facture qu'après avoir reçu l'actif — règles d'approvisionnement, politique comptable, un supérieur qui doit d'abord voir le domaine sur le compte. Pourriez-vous le transférer maintenant, et il débloquera le paiement immédiatement ? Il a l'air raisonnable. Il a presque l'air vexé que vous puissiez douter de lui.

Ne transférez pas en premier. Une fois qu'un domaine échappe à votre contrôle, votre rapport de force s'évapore, et le récupérer signifie un litige lent et incertain plutôt qu'un remboursement. Cela compte d'autant plus en raison du fonctionnement réel des transferts. Déplacer un domaine vers un autre bureau d'enregistrement exige que vous remettiez le code d'autorisation — Wikipédia note que l'acheteur obtient le code d'authentification (code de transfert EPP) auprès de l'ancien bureau d'enregistrement — et une fois ce code sorti et le transfert achevé, le nom lui appartient. La même source note que le processus peut prendre environ cinq jours, et après son aboutissement il existe une période de verrouillage avant qu'il ne puisse être déplacé à nouveau, qui était auparavant de 60 jours et qui, selon Wikipédia, a vu sa politique de verrouillage de transfert de 60 jours supprimée, remplacée par une période de verrouillage de 30 jours. Rien de tout cela ne vous aide si vous avez déjà remis le nom à un voleur.

Une proche cousine de cette arnaque vise le nom que vous achetez, et non que vous vendez : le vendeur encaisse le paiement et ne libère jamais le code d'autorisation, ou en libère un qui ne fonctionne pas. Le principe est identique des deux côtés. Celui qui agit en premier sans qu'une partie neutre détienne l'autre moitié de la transaction est celui qui s'expose.

Les habitudes qui les battent toutes

Les arnaques ci-dessus sont variées. Les défenses, non. Une courte liste de vérification, aussi ennuyeuse soit-elle, neutralise la quasi-totalité des attaques à la vente de domaines, et un interlocuteur légitime s'y pliera de bon cœur.

Utilisez toujours un règlement réel, adossé à un séquestre, et choisissez-le vous-même. Exigez un service de séquestre ou une place de marché réputés que vous proposez. La neutralité ne fonctionne que si c'est vous qui avez choisi l'arbitre. Si un acheteur refuse votre séquestre et exige le sien, la transaction est terminée — ce refus est le diagnostic. Notre explication complète de ce à quoi cela devrait ressembler figure dans le séquestre de domaine expliqué et la liste de vérification du vendeur dans comment vendre un nom de domaine que vous possédez.

Vérifiez l'autre partie avant de faire confiance à la transaction. Lancez une recherche WHOIS, vérifiez l'entreprise que l'acheteur prétend être, confirmez que les domaines de messagerie correspondent, et méfiez-vous des adresses de webmail gratuites qui se font passer pour un service d'approvisionnement d'entreprise. Une vérification d'identité de deux minutes désamorce presque entièrement les arnaques au faux acheteur et au faux courtier.

Ne transférez jamais en premier, et n'agissez jamais sur de l'argent non encaissé. Ne libérez pas le domaine ni le code d'autorisation tant que le séquestre n'a pas confirmé un paiement réel et irréversible. Ne remboursez pas un « trop-perçu ». Ne traitez pas un écran « fonds reçus » comme une preuve de quoi que ce soit. Le temps joue toujours en faveur de la partie honnête, alors laissez l'horloge tourner.

Ne payez jamais de frais d'avance pour débloquer une vente. Les courtiers et places de marché légitimes sont rémunérés sur une transaction conclue. Une exigence de frais anticipés, d'« estimations » ou de paiements de « déblocage » pour accéder à un acheteur est l'arnaque elle-même.

Ralentissez quand l'urgence s'emballe. La pression, la flatterie et une transaction un peu trop belle sont les outils essentiels de l'escroc, car ils vous poussent tous à sauter les étapes ci-dessus. Plus un acheteur vous bouscule, plus vous devriez avancer avec précaution.

Si un nom a assez de valeur pour attirer un escroc, il en a assez pour être vendu correctement. L'objet de ces habitudes n'est pas la paranoïa. C'est que vous puissiez conserver le gain pour lequel vous avez travaillé au lieu d'en faire don à quelqu'un doté d'un e-mail convaincant.

L'angle Namefi

L'essentiel de ce guide porte sur la défense du moment de la remise — prouver que le paiement est réel avant que le nom ne bouge, et prouver que le nom est réel avant que l'argent ne bouge. Tout ce bras de fer existe parce que, dans le système traditionnel, la propriété et le paiement résident dans deux endroits distincts qui doivent être réconciliés par un intermédiaire de confiance.

Namefi réduit cet écart en tokenisant la propriété de véritables domaines ICANN, de sorte que le contrôle du nom et le règlement de la transaction peuvent être vérifiés et échangés ensemble, avec une continuité DNS qui maintient la résolution du nom tout au long de la remise. Lorsque l'actif est auditable et que le transfert est atomique, le problème du « qui agit en premier » — ce que chaque arnaque de ce guide attaque — a beaucoup moins de place pour se cacher. Nous creusons ce changement dans comment les places de marché tokenisées remplacent le séquestre.

Avertissement amical (À lire !)

Nous ne sommes ni avocats, ni comptables, ni conseillers financiers, ni médecins, et rien dans cet article ne constitue un conseil juridique, financier, fiscal, comptable, médical ou de toute autre nature professionnelle. Nous écrivons ces articles pour nous instruire nous-mêmes et par commodité pour nos clients. Les informations qui s'y trouvent peuvent être périmées, propres à une zone géographique, ou tout simplement fausses. Nous faisons des erreurs nous aussi.

Pour toute décision importante, veuillez consulter un véritable professionnel (sérieusement !). Ou si ce n'est pas votre truc, demandez à un ami, demandez à Twitter, demandez à Reddit, demandez à une IA, ou demandez à un médium. En bref : DOYR — Do Your Own Research (faites vos propres recherches). Apprenons et amusons-nous.

Sources et lectures complémentaires

• Wikipédia — Bogus escrow (définition et mécanismes de l'arnaque au faux séquestre)
• Wikipédia — Chargeback (définition et fonctionnement de l'annulation d'un paiement par rétrofacturation)
• Wikipédia — Domain name transfer (code d'autorisation EPP, transfert d'environ 5 jours, verrouillage de 30 jours)
• Ressources Namefi — Le séquestre de domaine expliqué · Comment vendre un nom de domaine que vous possédez · Comment se produit réellement le détournement de domaine