Verrouillage de compte Namecheap : un e-mail de vérification d'identité, chaque domaine et la boîte de réception hors ligne

Ce que couvre cette vidéo

• Le client affirme que l'e-mail de Namecheap donnait 72 heures pour la vérification d'identité ; l'e-mail cité le qualifie de vérification de routine de l'exactitude des informations du compte et indique que le compte a été verrouillé en attendant les documents. Namecheap n'avait pas répondu publiquement lorsque nous avons vérifié.
• L'e-mail de contact de son compte fonctionnait sur les domaines qui ont été désactivés, donc le verrouillage a également coupé le canal utilisé pour le joindre.
• Le contrat de registraire de l'ICANN de 2013 considère plus de quinze jours sans réponse aux demandes d'exactitude comme un motif de suspension ; l'accord de Namecheap prévoit cinq jours ouvrables pour ses demandes. Namecheap n'a pas précisé quelle procédure s'appliquait.
• L'accord d'enregistrement de Namecheap lui permet de suspendre tous les services d'un compte, y compris d'autres domaines, lorsqu'il a des motifs de suspendre un domaine ou un service.
• Conseil éditorial : conservez l'e-mail de connexion du registraire sur un domaine que le registraire ne détient pas, maintenez un numéro de téléphone à jour et traitez les e-mails de conformité comme une panne.
• Let's Encrypt effectuera sept requêtes de validation (une principale, six à distance, contre quatre auparavant), avec une production à partir du 10 novembre 2026.
• Un recours collectif contre Verisign et l'ICANN allègue que les prix de gros des .com sont passés de 7,85 $ à 10,26 $ ; les allégations ne sont pas prouvées.

Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

Un domaine que vous avez renouvelé pendant 12 ans est-il le vôtre ?

0:00 Vous pensez que les domaines que vous avez renouvelés pendant douze ans sont les vôtres. Un client de Namecheap affirme qu'un e-mail manqué les a tous verrouillés, et sa boîte de réception avec eux. Dans cette vidéo : qu'a demandé Namecheap ? Pourquoi un seul verrouillage a-t-il tout emporté ? Qui d'autre décide que c'est le vôtre ? Nous sommes le lundi dix-neuf octobre, et c'est The Daily Diff. Et une phrase du propre contrat de Namecheap explique l'étendue des dégâts.

0:23 Je la lirai à la fin. Namecheap est un grand registraire de domaines, l'entreprise que vous payez pour détenir votre nom dans le registre et le pointer vers vos serveurs. En deux mille vingt-cinq, la société de capital-investissement CVC a accepté d'acheter une participation majoritaire, pour une valorisation d'environ un milliard et demi de dollars. Ce verrouillage est le sujet principal du diff d'aujourd'hui. Ensuite, Let's Encrypt ajoute plus d'yeux avant de faire confiance à votre domaine, et un procès demande pourquoi le point com ne cesse d'augmenter.

Qu'a réellement demandé Namecheap ?

0:48 Voici l'avis tel qu'il l'a publié sur le forum sysadmin de Reddit. Une vérification de routine de l'exactitude des informations du compte, et le compte est verrouillé en attente de documents. Il dit que cela lui a donné soixante-douze heures, et il était absent pendant quelques jours. Il est client depuis douze ans. Il est revenu sur des serveurs morts, a envoyé les documents, et a attendu une journée complète sans raison et sans calendrier. Le chat du support continuait de l'envoyer à l'équipe de gestion des risques,

1:13 qui, disait le chat, ne travaillait que par e-mail.

Pourquoi un seul verrouillage a-t-il tout bloqué ?

1:16 Suivez la chaîne. Le compte détient les domaines. Les domaines pointent vers ses serveurs et son courrier. Et l'e-mail de contact du compte vivait sur ces mêmes domaines. Le verrouillage a donc coupé le canal que Namecheap utilisait pour le joindre. Il a payé un autre hébergeur juste pour que l'e-mail fonctionne à nouveau, et il envisage de changer de nom d'hôte pour maintenir les clients en ligne pendant qu'il attend. C'est de l'argent réel et un temps d'arrêt réel, à cause d'un verrouillage que personne ne lui a expliqué.

1:39 L'ajout d'une adresse de secours via le chat lui a pris environ quatre heures. Et il dit que personne ne lui a demandé de prouver qu'il était le propriétaire du compte. Une vérification d'identité, où le changement d'e-mail n'a pas nécessité d'identité. Le site de Namecheap l'a dirigé vers son adresse de sécurité, dit-il, mais les réponses provenaient d'une adresse de conformité.

72 heures, 5 jours ouvrables ou 15 jours ?

1:56 Maintenant les horloges. Le contrat de l'ICANN avec les registraires stipule qu'ignorer les questions d'exactitude pendant plus de quinze jours peut justifier une suspension. Le propre accord de Namecheap indique cinq jours ouvrables. Son e-mail, dit-il, donnait soixante-douze heures. Namecheap n'a pas dit quelle règle il a utilisée. Le fil a dépassé six cents points sur Hacker News, et de nombreuses réponses sont des personnes à la recherche d'un nouveau registraire.

2:19 Le message n'a pas de mise à jour indiquant que le compte est rétabli, et je n'ai trouvé aucune réponse publique de Namecheap. Donc tout cela est le point de vue d'un client.

Que devriez-vous changer dans votre propre compte ?

2:27 La solution pour votre propre configuration est ennuyeuse et bon marché. Mettez votre e-mail de connexion au registraire sur un domaine que ce registraire ne détient pas, et maintenez un numéro de téléphone à jour. Ensuite, traitez tout e-mail de conformité comme une panne. Rien de tout cela n'aurait empêché une vérification d'identité. Cela raccourcit simplement le temps entre l'avis et votre réponse.

Combien de vérifications avant que Let's Encrypt ne vous fasse confiance ?

2:44 Les machines vérifient également votre domaine. Let's Encrypt annonce qu'il ajoute deux points de vue distants supplémentaires pour la validation de domaine. Avant d'émettre un certificat, il demandera votre défi sept fois, une fois depuis le centre de données principal et six fois depuis des emplacements distants, contre quatre auparavant. Le principal et un quorum des autres doivent voir la bonne réponse. Un itinéraire réseau brièvement détourné peut tromper une vérification depuis un seul endroit. Tromper la plupart des six endroits à la fois est beaucoup plus difficile.

3:08 La mise en scène commence le vingt-sept octobre et la production le dix novembre. Une règle de l'industrie exigeant au moins cinq vérifications à distance entre en vigueur le quinze décembre. Let's Encrypt s'attend à peu ou pas d'impact. Si votre pare-feu bloque des régions entières, c'est là que vous le remarquerez.

Pourquoi le .com coûte-t-il toujours plus cher ?

3:22 Le mois dernier, j'ai donné un REVERT à Verisign pour avoir supprimé des domaines .name payés. Maintenant, un recours collectif devant un tribunal fédéral de Los Angeles vise Verisign et l'ICANN sur le coût des .com. Le procès affirme que le prix de gros de Verisign pour un .com est passé de sept quatre-vingt-cinq à dix vingt-six. Il affirme que chacun coûte à Verisign environ trois dollars à exploiter. Ce sont les allégations des plaignants, et rien n'a été prouvé devant les tribunaux. Le procès dit que chaque registraire paie les mêmes frais,

3:49 Namecheap inclus, donc cela est inclus dans votre renouvellement où que vous achetiez. Il prévoit environ treize quarante-quatre d'ici deux mille trente selon l'accord actuel.

Quelle ligne de contrat prend tous les domaines ?

3:57 Maintenant, cette phrase du contrat de Namecheap. S'il a des motifs de suspendre un domaine ou un service dans votre compte, il peut suspendre tous les services de ce compte, y compris les autres domaines. C'est ainsi qu'un compte verrouillé entraîne tout le reste. Mon verdict est REVERT.

Verdict : annuler le verrouillage de 72 heures ?

4:12 Si sa version tient la route, un verrouillage de soixante-douze heures qui tue également la boîte de réception dont vous avez besoin pour y répondre est une conception défectueuse. Vérifiez les gens, très bien, mais laissez-leur un moyen de répondre. Abonnez-vous, appuyez sur la cloche et dites-moi dans les commentaires si vous l'auriez estampillé différemment. Si vous préférez lire ceci plutôt que de m'entendre le dire, le diff arrive dans votre boîte de réception tous les matins, gratuitement sur the daily diff dot dev, lien ci-dessous. Et c'est le diff pour aujourd'hui. Je suis Niko d'Axrisi.

4:36 Fusionnez de manière responsable.

Sources

1. Namecheap just seized and disabled all my domains (customer's post)r/sysadmin · u/pinchitony
2. Hacker News discussion of the Namecheap postHacker News
3. Namecheap Registration AgreementNamecheap
4. 2013 Registrar Accreditation AgreementICANN
5. Let's Encrypt is adding two additional remote perspectives for domain validationLet's Encrypt community
6. Verisign .com Domain Name Registry Consumer Class Action (Kessler v. VeriSign)Hagens Berman
7. CVC acquires majority stake in Namecheapwebhosting.today