Le flipping de domaines et la loi : marques, UDRP et arnaques

Le flipping de domaines est légal. Flipper les mauvais domaines vous coûtera le nom, l'argent que vous avez payé pour l'acquérir, et parfois une condamnation à cinq chiffres par-dessus le marché. La différence entre ces deux issues ne tient pas à la chance. Elle tient à un petit corpus de droit que vous pouvez assimiler en un après-midi, plus une poignée d'habitudes opérationnelles qui gardent votre portefeuille propre et empêchent qu'on vous dépouille au moment de conclure.

C'est le pilier juridique et sécurité de notre série sur le flipping de domaines. Il couvre la frontière entre le domaining et le cybersquatting, les deux systèmes de litige qui font respecter cette frontière, comment conclure une vente sans se faire arnaquer, et comment empêcher qu'on vous vole un nom sous le nez. Rien de tout cela n'est un conseil juridique (voir l'avertissement à la fin), mais c'est tout le savoir pratique que les flippeurs expérimentés intègrent au prix de chaque transaction.

La seule ligne à ne jamais franchir : les marques

Toute la question juridique se ramène à une seule distinction. Enregistrer un nom générique, descriptif ou inventé pour le revendre, c'est de l'investissement ordinaire. Enregistrer quelque chose qui exploite la marque d'une entreprise précise, c'est du cybersquatting, et c'est le seul geste qui transforme un flip légitime en flip perdant.

La définition de Wikipédia est la référence : le cybersquatting est la pratique consistant à enregistrer, faire commerce de ou utiliser un nom de domaine Internet, avec l'intention de mauvaise foi de tirer profit de la notoriété d'une marque appartenant à autrui. Deux notions dans cette phrase font tout le travail : la mauvaise foi et la marque commerciale. Un mot du dictionnaire comme loans ou un nom inventé comme Zapio n'appartient à personne en particulier. nikeshoes-store.com s'appuie manifestement sur une marque, lui. Plus un nom est proche d'une marque existante, plus il donne l'impression que vous l'avez enregistré pour soutirer de l'argent à cette marque, et c'est précisément cette intention que la loi sanctionne. Nous traçons toute la frontière dans cybersquatting contre domaining : UDRP et ACPA.

Un filtre pratique avant d'acheter : une personne raisonnable supposerait-elle que ce nom était censé renvoyer à une entreprise précise ? Si oui, passez votre chemin, aussi bon marché soit-il. Les fondamentaux qui rendent un nom digne d'être détenu sont traités dans comment évaluer un nom de domaine et qu'est-ce qu'un domaine ; un nom qui échoue au test de la marque a une valeur négative, parce que le détenir est un passif.

UDRP : comment un titulaire de marque récupère un nom

La voie d'application rapide et peu coûteuse, c'est l'Uniform Domain-Name Dispute-Resolution Policy. Elle fait partie des règles de l'ICANN, intégrée au contrat d'enregistrement que vous acceptez chaque fois que vous enregistrez un nom : vous y êtes donc déjà soumis. L'ICANN a adopté l'UDRP en 1999, et les litiges sont tranchés par des prestataires accrédités — au premier rang desquels l'Organisation Mondiale de la Propriété Intellectuelle (OMPI/WIPO).

Un plaignant doit prouver trois choses, toutes les trois. Comme Wikipédia résume la politique, le nom doit être identique ou similaire au point de prêter à confusion à une marque de commerce ou de service sur laquelle le plaignant détient des droits ; le titulaire de domaine ne détient aucun droit ni intérêt légitime sur le nom de domaine ; et le nom a été enregistré et est utilisé de « mauvaise foi ». Manquez l'un des trois et la plainte échoue.

Les enjeux d'une UDRP sont étroits mais absolus. Les seules sanctions sont l'annulation ou le transfert du domaine. Il n'y a aucun dommage-intérêt accordé, mais vous perdez purement et simplement l'actif, et un panel peut s'en saisir en quelques semaines plutôt qu'au terme des mois qu'exigerait un procès. Ce système ne désemplit pas : l'OMPI a indiqué qu'en 2024, des titulaires de marques de 133 pays ont déposé 6 168 affaires au titre de l'Uniform Domain Name Dispute Resolution Policy (UDRP) et de variantes nationales des ccTLD. Pour un flippeur, la leçon est simple : l'UDRP est l'outil rapide et peu coûteux que les marques dégainent en premier, donc tout nom susceptible d'en attirer une est un nom dont vous ne voulez pas dans votre inventaire.

ACPA : quand cela dégénère en procès et en argent

L'UDRP ne peut que déplacer le nom. Le droit américain va plus loin. L'Anticybersquatting Consumer Protection Act, promulgué en 1999, permet à un titulaire de marque de saisir un tribunal fédéral et de réclamer des dommages-intérêts, pas seulement le domaine.

L'ACPA repose sur la question de savoir si le titulaire a une intention de mauvaise foi de tirer profit de la marque, et les tribunaux pèsent une liste de facteurs pour en décider. Plusieurs de ces facteurs visent directement les flippeurs : un tribunal examine l'intention du titulaire de détourner les clients de l'emplacement en ligne du titulaire de la marque ainsi que toute offre de transférer, vendre ou autrement céder le nom de domaine au titulaire de la marque ou à un tiers dans un but financier sans usage légitime. Relisez-le deux fois : envoyer un courriel à une marque pour lui proposer « son » nom à un certain prix constitue en soi une preuve de mauvaise foi. C'est le piège dans lequel tombent les flippeurs naïfs.

C'est l'argent qui fait mal. En vertu de la loi, un demandeur peut opter pour des dommages-intérêts légaux d'au moins 1 000 $ et d'au plus 100 000 $ par nom de domaine, selon ce que le tribunal estime juste. Enregistrez une poignée de noms proches d'une marque et l'exposition se multiplie vite. Rien de tout cela ne concerne les noms génériques et brandables qui composent un portefeuille sain. C'est entièrement évitable : il suffit de ne jamais acheter de noms qui s'appuient sur la marque d'autrui.

La défense du flippeur : le détournement inversé de nom de domaine

La loi tranche dans les deux sens, et c'est la partie que la plupart des débutants ignorent. Parfois, c'est le titulaire de la marque qui agit de mauvaise foi, en tentant d'évincer par la force un titulaire légitime d'un nom sur lequel il n'a aucun véritable droit. La politique a un terme pour cela. Le détournement inversé de nom de domaine se produit lorsqu'un titulaire de marque légitime tente de s'emparer d'un nom de domaine en formulant des accusations de cybersquatting contre le « cybersquatteur » propriétaire du nom de domaine. Les règles de l'UDRP le définissent comme le dépôt d'une plainte de mauvaise foi, aboutissant à un abus de la procédure administrative de l'UDRP.

Si vous avez enregistré un mot générique des années avant qu'une entreprise ne l'adopte comme marque, vous avez un intérêt légitime, et un panel peut donner tort au plaignant pour avoir tenté le coup. C'est exactement pourquoi des registres d'acquisition datés et documentés comptent. Plus votre histoire est nette — nom générique, enregistré pour une raison non contrefaisante évidente, jamais utilisé pour viser qui que ce soit — plus votre défense est solide et plus un panel a de chances de dénoncer un harceleur. Tenez à jour vos enregistrements WHOIS et vos preuves d'achat ; ce sont vos éléments de preuve.

Conclure la vente sans se faire arnaquer

Le risque lié aux marques est le danger juridique. Le danger transactionnel, c'est la transaction elle-même. Une vente de domaine est un classique bras de fer de confiance : le vendeur ne transférera pas avant d'être payé, et l'acheteur ne paiera pas avant de recevoir le nom. Celui qui bouge le premier s'expose, et les arnaqueurs vivent dans cet interstice.

La parade standard, c'est le séquestre — un tiers neutre qui, selon la définition générale, reçoit et verse de l'argent ou des biens pour le compte des principales parties à la transaction, le versement étant subordonné aux conditions convenues. L'acheteur approvisionne l'agent de séquestre, le vendeur transfère le domaine, l'agent confirme la passation, puis libère l'argent. Aucune des deux parties n'a à faire confiance à l'autre, seulement à l'agent. Nous détaillons la mécanique dans le séquestre de domaine expliqué et l'entrée de glossaire séquestre.

Quelques schémas d'arnaque reviennent assez souvent pour qu'on les mémorise, et nous en répertorions davantage dans éviter les arnaques à la vente de domaines :

• Faux sites de séquestre. Un « acheteur » insiste pour passer par un service de séquestre dont vous n'avez jamais entendu parler, avec une URL qui imite celle d'un vrai. Le site est le sien ; votre domaine et tous les frais s'évaporent. N'utilisez que des services de séquestre que vous avez choisis et vérifiés vous-même.
• Fraude par rétrofacturation et annulation. Un acheteur paie par un moyen réversible, vous transférez le nom, puis il récupère le paiement. Un séquestre réputé et un règlement irréversible existent précisément pour tuer cette pratique.
• Arnaques au trop-payé. Un « acheteur » envoie trop d'argent et demande qu'on lui rembourse la différence ; le paiement initial finit par être rejeté.

Le fil conducteur : ne lâchez jamais le contrôle d'un nom sur une simple promesse. Pour le mode d'emploi complet du vendeur, voyez comment vendre un nom de domaine que vous possédez et le panorama plus large du trading de domaines.

Empêcher qu'on vole votre portefeuille

La dernière menace n'a même pas besoin de votre coopération. Le piratage de domaine est le fait de modifier l'enregistrement d'un nom de domaine sans la permission de son titulaire d'origine. Pour un flippeur, votre portefeuille est votre compte en banque, et un nom premium piraté peut être vendu à un tiers de bonne foi avant même que vous remarquiez sa disparition.

Les pirates cassent rarement la cryptographie. Ils passent par les gens et par le courriel. Les voies courantes, selon Wikipédia, sont l'accès non autorisé au système du bureau d'enregistrement, ou l'exploitation d'une vulnérabilité de ce système, par ingénierie sociale, ou tout simplement le fait d'accéder au compte de messagerie du propriétaire du domaine associé à l'enregistrement du nom de domaine. Compromettez l'adresse e-mail au dossier et un voleur peut réinitialiser les mots de passe du registrar et approuver un transfert. Comment le piratage de domaine se produit réellement retrace toute la chaîne d'attaque.

Les défenses sont peu coûteuses et méritent d'être intégrées à votre routine sur chaque bureau d'enregistrement que vous utilisez :

• Verrouillez vos noms. Le statut clientTransferProhibited demande au registre de rejeter les demandes de transfert du domaine et existe pour aider à prévenir les transferts non autorisés résultant d'un piratage et/ou d'une fraude. Laissez-le activé pour tout nom que vous n'êtes pas en train de transférer activement.
• Protégez le code d'autorisation. Un transfert inter-registrar légitime nécessite le code d'authentification (code d'autorisation) fourni par votre registrar actuel — le secret requis lors du transfert entre bureaux d'enregistrement. Traitez-le comme un mot de passe ; ne le collez jamais dans le « formulaire de transfert » d'un inconnu.
• Renforcez l'adresse e-mail au dossier. Activez l'authentification à deux facteurs sur le compte de messagerie lié à votre registrar, car cette boîte de réception est la clé maîtresse de tout votre dossier de propriété de domaine.

Comment la propriété tokenisée change le risque

La plupart des dangers ci-dessus partagent une même cause profonde : la propriété d'un domaine traditionnel n'est qu'une ligne dans la base de données d'un registrar, prouvable uniquement via le compte de ce registrar et la récupération par e-mail, et transférable uniquement par un processus en plusieurs étapes où chaque passation est une occasion de se faire arnaquer ou pirater. C'est la surface sur laquelle travaillent attaquants et fraudeurs.

Tokeniser un véritable domaine ICANN réduit cette surface. Lorsque le contrôle est représenté on-chain, la propriété est auditable plutôt que prise sur parole, et un transfert se règle de façon atomique au lieu de s'étirer sur une fenêtre où quelqu'un peut intervenir — avec une continuité DNS qui fait que le nom continue de résoudre proprement tout au long de la passation. Cela n'abroge pas le droit des marques (un nom contrefaisant reste une mauvaise idée sur n'importe quel rail), mais cela attaque directement le déficit de confiance du séquestre et le problème du piratage par e-mail. C'est le fossé que Namefi est conçu pour combler, et nous approfondissons la question dans comment les places de marché tokenisées remplacent le séquestre.

La version courte

Achetez des noms génériques, descriptifs et inventés ; jamais des noms qui s'appuient sur une marque. Sachez qu'une UDRP peut emporter un nom rapidement et que l'ACPA peut emporter de l'argent par-dessus. Tenez des registres propres pour pouvoir défendre un nom légitime, y compris contre le détournement inversé. Concluez chaque vente via un séquestre que vous avez choisi vous-même, et verrouillez votre portefeuille pour que personne ne reparte avec. Faites cela, et la loi devient une clôture qui protège votre activité plutôt qu'un piège prêt à se refermer.

Avertissement amical (À lire !)

Nous ne sommes ni avocats, ni comptables, ni conseillers financiers, ni médecins, et rien dans cet article ne constitue un conseil juridique, financier, fiscal, comptable, médical ou professionnel d'aucune sorte. Nous écrivons ces articles pour nous instruire nous-mêmes et par commodité pour nos clients. Les informations qui s'y trouvent peuvent être périmées, propres à une région donnée, ou tout simplement fausses. Nous faisons des erreurs nous aussi.

Pour toute décision importante, veuillez consulter un vrai professionnel (sérieusement !). Ou si ce n'est pas votre truc, demandez à un ami, demandez à Twitter, demandez à Reddit, demandez à une IA, ou demandez à un voyant. En bref : DOYR — Faites Vos Propres Recherches. Apprenons et amusons-nous.

Sources et lectures complémentaires

• Wikipédia — Cybersquatting (définition ; intention de mauvaise foi de tirer profit d'une marque)
• Wikipédia — Uniform Domain-Name Dispute-Resolution Policy (les trois éléments ; sanction d'annulation ou de transfert ; WIPO)
• WIPO — Nombre record d'affaires de cybersquatting en 2024 (6 168 affaires UDRP, 133 pays)
• Wikipédia — Anticybersquatting Consumer Protection Act (promulgué en 1999 ; facteurs de mauvaise foi)
• Cornell Law / U.S. Code — 15 U.S.C. § 1117(d) (dommages-intérêts légaux de 1 000 $ à 100 000 $ par nom de domaine)
• Wikipédia — Reverse domain name hijacking (plainte de mauvaise foi ; abus de la procédure UDRP)
• Wikipédia — Escrow (un tiers neutre détient et verse selon des conditions convenues)
• Wikipédia — Domain hijacking (définition ; voies de l'ingénierie sociale et du compte e-mail)
• Wikipédia — Extensible Provisioning Protocol (clientTransferProhibited ; code d'autorisation comme secret de transfert)