Qu'est-ce que la prise de contrôle de sous-domaine et comment l'empêcher

La prise de contrôle de sous-domaine est une vulnérabilité par laquelle un attaquant s'approprie une ressource tierce vers laquelle pointe l'un de vos sous-domaines, ce qui lui permet d'héberger du contenu sous votre domaine. Elle est plus fréquente que la plupart des organisations ne le pensent, et mydomainrisk.com la recherche automatiquement à chaque analyse.

Comment fonctionne la prise de contrôle de sous-domaine

Lorsque vous configurez un sous-domaine comme app.yourdomain.com pour qu'il pointe vers un service tiers (GitHub Pages, Heroku, Netlify, Vercel, Shopify, etc.), vous créez un enregistrement CNAME :

app.yourdomain.com  CNAME  yourapp.netlify.app

Si vous supprimez ensuite la ressource chez Netlify sans retirer l'enregistrement CNAME, le sous-domaine devient « orphelin » : il pointe vers un nom d'hôte qui n'appartient plus à personne. Un attaquant peut alors réclamer yourapp.netlify.app chez Netlify et servir le contenu de son choix sous app.yourdomain.com, y compris des pages d'hameçonnage, des logiciels malveillants ou du contenu conçu pour voler les cookies définis sur votre domaine racine.

Quels services sont vulnérables

mydomainrisk.com recherche les CNAME orphelins sur 25 services, notamment :

GitHub Pages, Heroku, Netlify, Vercel, Azure App Service, Azure Blob Storage, Shopify, Fastly, Pantheon, Ghost, Tumblr, Zendesk, Freshdesk, HubSpot, Intercom, Surge.sh, Bitbucket Pages, Amazon S3, et d'autres encore.

Chaque service renvoie un message d'erreur connu indiquant une ressource « non réclamée », qui confirme que la ressource peut être prise.

Comment repérer les sous-domaines vulnérables sur votre domaine

mydomainrisk.com, automatiquement :

1. recense vos sous-domaines via les journaux de transparence des certificats ;
2. résout les chaînes CNAME de chaque sous-domaine ;
3. vérifie si la cible CNAME correspond à l'empreinte d'un service vulnérable connu ;
4. interroge la cible en HTTP pour confirmer la présence du message d'erreur de ressource non réclamée ;
5. signale tout sous-domaine vulnérable confirmé, avec le nom du service et la cible CNAME.

Comment corriger une vulnérabilité de prise de contrôle de sous-domaine

Option 1 (recommandée) : supprimer le CNAME orphelin

Si vous n'utilisez plus le service vers lequel pointe le sous-domaine, supprimez simplement l'enregistrement CNAME de votre DNS. Cela élimine entièrement la surface d'attaque.

Option 2 : réclamer à nouveau la ressource

Si vous avez encore besoin du sous-domaine, recréez la ressource chez le service tiers (par exemple redéployez le site Netlify, recréez l'application Heroku) pour réclamer à nouveau le nom d'hôte.

Vérifier que c'est corrigé

Analysez votre domaine sur mydomainrisk.com : la vérification de prise de contrôle de sous-domaine sera relancée sur vos sous-domaines actuels issus des journaux CT, et n'affichera aucun sous-domaine vulnérable si le CNAME a été supprimé ou la ressource réclamée à nouveau.