Compte Cloud de production (AWS/GCP/Azure) ou domaine suspendu : escalade et basculement immédiats¶

Se réveiller avec des milliers d'alertes PagerDuty et d'appels de clients parce que l'ensemble du site Web de production, de l'application SaaS, de l'API et de l'entreprise de votre entreprise @yourcompany.com les e-mails ont simultanément disparu d'Internet (non pas à cause d'un bug de code, mais parce que votre registraire de domaine a placé un clientHold la suspension de votre domaine principal ou AWS, Google Cloud (GCP) ou Microsoft Azure ont suspendu votre locataire cloud de production) est une urgence opérationnelle existentielle. Chaque jour, des entreprises rentables subissent des pannes totales parce que la carte de crédit d'entreprise d'un ancien employé a expiré, qu'un robot anti-hameçonnage automatisé a signalé à tort un PDF téléchargé par un utilisateur sur un compartiment S3, qu'un e-mail d'utilisateur ICANN WHOIS non vérifié a été renvoyé au bout de 15 jours, ou qu'une clé IAM divulguée a déclenché des instances de crypto-minage non autorisées qui ont déclenché le disjoncteur anti-fraude d'un fournisseur de cloud.

Si votre domaine suspendu ou votre infrastructure cloud prend en charge des systèmes de télémétrie de soins de santé vitaux, de répartition d'urgence ou de sécurité des services publics, activez immédiatement les basculements locaux sur site et informez les services d'urgence si la sécurité publique est affectée (appelez le 911 aux États-Unis et au Canada, le 112 dans l'Union européenne, le 999 au Royaume-Uni ; voir tout numéros d'urgence). Pour les crises commerciales techniques et opérationnelles parallèles, voir plan de continuité des activités et reprise après sinistre, rançongiciel d'entreprise et violation de serveur, et panne de point de vente (POS) et Internet en panne.

Fais ça maintenant¶

1. Exécutez un 10 secondes whois et dig +trace recherche à partir d'un terminal pour déterminer si votre nom de domaine (clientHold) ou votre compte d'hébergement cloud (AWS/GCP/Azure) est ce qui a réellement fonctionné. Ne perdez jamais 45 minutes à déboguer des clusters Kubernetes ou des équilibreurs de charge cloud lorsque le registraire de domaine a détourné vos serveurs de noms. Courir whois yourdomain.com | grep -i "status": si vous voyez clientHold, serverHold, redemptionPeriod, ou les serveurs de noms ont été modifiés en sedoparking.com / verification-hold.suspended-domain.com, vos serveurs cloud fonctionnent toujours correctement et la panne est de 100 % au niveau du registraire de domaine.
2. ** Désactivez votre communication en cas d'urgence sur votre réseau principal @yourcompany.com envoyez un e-mail immédiatement.** Lorsque votre domaine principal est suspendu ou placé sur clientHold, tous les e-mails MX entrants à @yourcompany.com rebonds, y compris les e-mails de réinitialisation de mot de passe, les codes de vérification 2FA et les tickets de réponse de votre registraire de domaine et d'AWS Trust & Safety. Vérifiez immédiatement si votre compte de bureau d'enregistrement ou racine du cloud est lié à un @yourcompany.com adresse e-mail ; si c'est le cas, fournissez un signal hors bande @gmail.com ou une adresse de domaine secondaire sur chaque ticket d'assistance et appel téléphonique.
3. Si votre domaine est activé clientHold en raison d'un e-mail WHOIS de l'ICANN non vérifié (la règle des 15 jours), cliquez sur le lien de vérification ou modifiez l'adresse e-mail du titulaire dans le portail du registraire. Conformément à la Spécification d'exactitude Whois de l'accord d'accréditation du registraire (RAA) de l'ICANN 2013, si l'e-mail de contact du titulaire ne parvient pas à cliquer sur un lien de vérification dans les 15 jours civils suivant l'achat, le transfert ou la mise à jour du contact du domaine, le registraire est légalement obligé de placer le domaine sur clientHold (garage du DNS). Renvoyer et cliquer sur ce lien de courrier électronique unique supprime clientHold dans un délai de 15 à 60 minutes.
4. Si votre domaine a été suspendu par le registraire « Abus/Confiance et sécurité » pour des allégations de phishing, de logiciels malveillants ou d'abus de marque, ne vous contentez PAS de répondre à la file d'attente générique des tickets d'abus. Les files d'attente de courrier électronique standard chez GoDaddy, Namecheap, Tucows/Enom, Cloudflare et Network Solutions prennent 24 à 72 heures. Immédiatement : (a) supprimez ou isolez l'URL/le téléchargement d'utilisateur incriminé spécifique cité dans la plainte, (b) soumettez la Preuve de traitement des abus + escalade de faux positifs via le bureau des abus par téléphone/chat en direct du registraire, et © créez immédiatement un Domaine miroir secondaire (yourcompany.co ou yourcompany-app.com) afin que les clients et les clients API puissent continuer à travailler pendant que le DNS se propage.
5. Si AWS, GCP ou Azure ont suspendu votre compte cloud de production pour échec de facturation, payez le solde en souffrance avec une carte bancaire secondaire OU un virement bancaire/ACH et ouvrez un ticket de réactivation de facturation au niveau racine. N'ouvrez pas un tout nouveau compte AWS/GCP et essayez de migrer les bases de données de production indisponibles à partir de zéro : les comptes cloud suspendus conservent 100 % de vos volumes EBS, bases de données RDS et compartiments S3 intacts dans un état gelé pendant 30 à 90 jours avant d'être permanents. suppression. Le paiement du solde en souffrance dans la console de facturation racine déclenche une réactivation automatique dans un délai de 15 minutes à 4 heures.
6. Si AWS, GCP ou Azure ont suspendu votre compte pour une violation de la « Politique d'utilisation acceptable (AUP) / Confiance et sécurité / Clé IAM compromise », faites immédiatement alterner toutes les clés IAM et répondez à l'ID de cas exact dans le centre d'assistance racine. Les équipes Cloud Trust & Safety ne lèveront jamais une suspension de sécurité jusqu'à ce que vous prouviez que la vulnérabilité est fermée : supprimez la clé d'accès divulguée, mettez fin à toutes les instances de crypto-mining EC2/Compute Engine malveillantes, activez MFA sur l'utilisateur racine et joignez un bref Rapport sur les causes profondes et les mesures correctives au dossier d'assistance officiel Confiance et sécurité.

Arbre de décision : diagnostiquer et résoudre une suspension de domaine de production ou de cloud¶

flowchart TD
    Start["PANNE TOTALE DE PRODUCTION : site Web, API et courrier électronique d'entreprise en panne"] --> Diag["Exécutez un diagnostic de terminal en 10 secondes : whois yourdomain.com ET creusez + tracez votredomaine.com"]

    Diag -->|"WHOIS affiche clientHold, serverHold, redemptionPeriod ou NS parqué"| DomainCrisis{"Quelle est la cause de la suspension du registraire de domaine ?"}

    DomainCrisis -->|"1. Échec de la vérification des e-mails WHOIS dans les 15 jours de l'ICANN"| ICANNFix["Connectez-vous au registraire -> Renvoyer l'e-mail de vérification RAA (ou mettre à jour le titulaire vers Gmail fonctionnel) -> Cliquez sur le lien -> Live dans 15 à 60 minutes"]
    DomainCrisis -->|"2. Domaine expiré / Échec du renouvellement automatique de la carte de crédit"| RenewFix["Payer les frais de renouvellement (plus 80 $ à 250 $ de frais de rachat si plus de 30 jours après l'expiration) -> Restaurer les serveurs de noms personnalisés d'origine -> Vider le DNS public"]
    DomainCrisis -->|"3. Abus du registraire/hameçonnage/suspension des logiciels malveillants"| AbuseFix["1. Supprimez l'URL/le fichier signalé sur le serveur 2. Déposez une preuve faussement positive / corrigée avec la confiance et la sécurité du registraire 3. Activez le domaine de basculement secondaire"]

    Diag -->|"Le DNS du domaine se résout correctement, mais les IP/Console Cloud renvoient le compte suspendu"| CloudCrisis{"Pourquoi AWS/GCP/Azure a-t-il suspendu le locataire Cloud ?"}

    CloudCrisis -->|"1. Échec de facturation (carte expirée / rejet de l'ACH bancaire / atteinte de la limite)"| CloudBill["1. Connectez-vous en tant qu'utilisateur racine / administrateur de facturation 2. Ajoutez une nouvelle carte de crédit ou une carte de secours et cliquez sur « Réessayer le paiement » 3. Ouvrez le dossier d'assistance pour la réactivation de la facturation."]
    CloudCrisis -->|"2. Clé IAM compromise / Pic de dépenses de crypto-minage malveillant"| CloudSec["1. Rotation/suppression des clés d'accès IAM divulguées 2. Terminez les instances malveillantes et activez Root MFA 3. Répondez au dossier de confiance et de sécurité + demandez une dispense de dépenses"]
    CloudCrisis -->|"3. Indicateur d'abus de phishing tiers/DMCA/AUP sur S3/VM"| CloudAUP["1. Isoler ou supprimer l'objet S3/IP de VM signalé 2. Répondre à l'ID de dossier de confiance et de sécurité AWS/GCP avec des garde-fous WAF/Télécharger"]

Phase 1 : Le diagnostic médico-légal de 3 minutes (Est-ce le registraire de domaine, DNS ou le fournisseur de cloud ?)¶

Lorsque votre application de production devient sombre et que les employés crient que « tout est en panne, même notre courrier électronique », ne devinez pas. Exécutez ces trois commandes depuis n'importe quel terminal d'ordinateur portable (macOS, Linux ou Windows WSL/PowerShell) pour identifier la couche exacte qui vous a suspendu.

1. Commande 1 : Vérifiez les codes d'état du protocole de provisionnement extensible (EPP) de l'ICANN.¶

Exécutez :

whois yourdomain.com | grep -E -i "Status|Name Server|Expiry"

Phase 2 : Résolution d'une suspension du registraire de domaine (clientHold / Abus / Verrouillage ICANN)¶

Si votre whois le chèque révèle clientHold ou serveurs de noms parqués, suivez la piste de récupération exacte ci-dessous.

Piste A : Levée d'une suspension de la vérification des e-mails WHOIS de l'ICANN (correctif de 15 minutes)¶

Dans le cadre du Programme d'exactitude Whois RAA 2013 de l'ICANN, chaque fois que vous enregistrez un nouveau domaine, transférez un domaine ou modifiez le prénom, le nom ou l'adresse e-mail du titulaire, le bureau d'enregistrement envoie un e-mail obligatoire intitulé "VÉRIFICATION IMMÉDIATE requise pour votredomaine.com." 1. Connectez-vous au panneau de configuration de votre registraire de domaine. Une bannière rouge vif en haut de l'écran indiquera : "Ce domaine est suspendu en attendant la vérification du contact Whois de l'ICANN." 2. Le piège Catch-22 : Si l'e-mail du titulaire enregistré dans le dossier est admin@yourdomain.com, vous ne pouvez pas recevoir l'e-mail de vérification car yourdomain.com est actuellement suspendu. 3. Le correctif : Dans les paramètres de contact de domaine/WHOIS du registraire, remplacez l'adresse e-mail du titulaire par une adresse externe fonctionnelle (telle qu'un @gmail.com adresse que vous contrôlez), enregistrez la modification, cliquez sur "Renvoyer l'e-mail de vérification", ouvrez la boîte de réception Gmail et cliquez sur le lien de confirmation. 4. L'API automatisée du registraire envoie immédiatement un EPP update commande supprimant clientHold depuis la zone racine Verisign/Registry dans un délai de 5 à 20 minutes.

Piste B : Levée d'une suspension pour "abus/hameçonnage/programme malveillant/AUP" du bureau d'enregistrement¶

Aujourd'hui, les principaux bureaux d'enregistrement de domaines (Namecheap, GoDaddy, Tucows/Enom/OpenSRS, Porkbun, Cloudflare Registrar, Squarespace Domains) s'abonnent à des flux automatisés de renseignements sur les menaces (Netcraft, PhishTank, Spamhaus, Google Safe Browsing, AbuseIPDB). Si un pirate informatique compromet un plugin WordPress sur un sous-domaine marketing oublié (promo.yourdomain.com), ou si un utilisateur télécharge un faux PDF de connexion dans le compartiment de contenu utilisateur de votre application SaaS (cdn.yourdomain.com/uploads/invoice.pdf), un robot automatisé envoie un avis de retrait de phishing de niveau 1 à votre bureau d'enregistrement, et un prestataire de conformité offshore place votre domaine racine entier (yourdomain.com) sur clientHold.

Escalade étape par étape pour obtenir clientHold levée en heures au lieu de jours¶

1. Trouvez l'ID exact du ticket d'abus et l'URL signalée :
2. Vérifiez la boîte de réception associée à votre compte d'enregistrement (et au contact WHOIS Abuse) pour un e-mail de abuse@, legal@, ou compliance@[registrar].com.
3. Recherchez l'URL ou l'adresse IP exacte citée dans le rapport d'abus.
4. Corriger ou isoler immédiatement la ressource signalée :
5. Même si la plainte est un faux positif (par exemple, votre propre page de connexion d'authentification unique [SSO] d'entreprise légitime a été faussement signalée comme une « page de phishing Microsoft 365 » par un scanner IA), désactivez temporairement ou placez une liste blanche d'adresses IP devant le chemin signalé spécifique si possible, ou capturez des captures d'écran prouvant qu'il s'agit de votre portail d'employés authentifié légitime.
6. Si un fichier téléchargé par l'utilisateur ou un sous-domaine compromis était véritablement malveillant, supprimez immédiatement le fichier/conteneur, suspendez le compte de l'utilisateur abusif et bloquez le chemin au niveau de votre périphérie Cloudflare/WAF.
7. Envoyer la réponse « Remède aux abus des dirigeants et escalade des infrastructures critiques » :
8. Répondez directement au ticket d'abus du registraire (en conservant le [Ticket #...] tag subject afin que leur analyseur l'achemine) ET appelez la ligne d'assistance téléphonique du registraire 24h/24 et 7j/7 pour demander à un superviseur de signaler le ticket d'abus comme "Production SaaS / Faux positif : correction terminée."
9. Incluez ces 4 points de preuve obligatoires dans votre réponse écrite :
   1. Confirmation de la suppression immédiate : "L'URL signalée ([exact URL]) était un téléchargement tiers non autorisé/un élément marketing compromis et a été définitivement supprimé à [Timestamp UTC]. Il renvoie maintenant HTTP 404 Not Found / 410 Gone."
   2. Garde-corps de prévention systémique mis en œuvre : "Nous avons déployé des règles de pare-feu d'application Web (WAF), désactivé les téléchargements de fichiers publics non authentifiés et alterné toutes les informations d'identification du serveur pour éviter toute récidive."
   3. Avis d'impact commercial disproportionné : "Placement du domaine apex racine yourdomain.com sur clientHold a supprimé l'infrastructure de production et la messagerie d'entreprise pour [Number] clients/employés professionnels légitimes."
   4. Demande de retrait immédiat de clientHold: "Veuillez supprimer le PPE clientHold statut sur yourdomain.com immédiatement. Nous nous engageons à répondre à tout futur signalement d'abus dans un délai de 2 heures sans nécessiter de conservation du domaine racine."
10. Effacez le TTL « Mise en cache négative (NXDOMAIN) » sur les résolveurs DNS publics une fois levé :
11. À l'instant où le registraire supprime clientHold, votre domaine est de retour dans le .com serveurs racine, mais Google Public DNS (8.8.8.8), DNS Cloudflare (1.1.1.1), et OpenDNS peut continuer à mettre en cache les morts NXDOMAIN ou réponse garée pendant 15 à 60 minutes.
12. Visitez immédiatement les outils gratuits de vidage du cache Web sur Google Public DNS Flush Cache (developers.google.com/speed/public-dns/cache) et Cloudflare 1.1.1.1 Purger le cache (one.one.one.one/purge-cache/), tapez yourdomain.com (et A, AAAA, NS, MX), puis cliquez sur Flush Cache pour que les utilisateurs globaux se reconnectent dans les 60 secondes.

Phase 3 : Résolution d'une suspension de compte Production Cloud (AWS, Google Cloud, Microsoft Azure)¶

Lorsqu'Amazon Web Services (AWS), Google Cloud Platform (GCP) ou Microsoft Azure suspendent un compte ou un projet cloud, la procédure de récupération dépend entièrement du fait que la suspension a été déclenchée par un facturation/échec de paiement ou par Confiance et sécurité/identifiants compromis.

Comparaison des cycles de vie de suspension et des fenêtres de réactivation des fournisseurs de cloud¶

Protocole détaillé 1 : Récupération après une suspension de facturation cloud (lorsque la carte refuse ou que le fil est bloqué)¶

Pourquoi les entreprises bien financées sont-elles frappées par des suspensions de facturation ? 1. La carte de crédit enregistrée a atteint son plafond de dépenses mensuel d'entreprise (par exemple, limite de 25 000 $) en raison d'un pic d'autoscaling de fin de mois ou d'un renouvellement annuel d'instance réservée ; 2. La carte appartenait à un fondateur décédé ou vice-président de l'ingénierie dont la carte a été annulée par les RH/Finances ; ou 3. Le système anti-fraude automatisé de la banque a bloqué un débit AWS/GCP important en le qualifiant d'« activité suspecte en l'absence de carte ».

Liste de contrôle étape par étape pour la réactivation de la facturation de 30 minutes¶

1. Connectez-vous exclusivement en tant que propriétaire du compte racine ou administrateur de facturation : Les rôles de développeur/administrateur IAM standard ne peuvent souvent pas accéder à l'écran verrouillé de réactivation de la facturation lorsqu'un compte est suspendu. Utilisez l'adresse e-mail de l'utilisateur racine AWS (ou l'administrateur du compte de facturation GCP/l'administrateur du compte Azure).
2. Ne cliquez pas simplement sur « Réessayer » sur la même carte refusée avant d'appeler la banque : Si le moteur anti-fraude de votre banque a bloqué des frais AWS de 14 000 $, cliquer trois fois sur "Réessayer" dans la console AWS déclenchera trois refus supplémentaires et verrouillera le mode de paiement. Soit :
3. Saisissez une carte de crédit ou de débit d'entreprise complètement différente (en répartissant le paiement sur deux cartes si la console du fournisseur autorise les paiements partiels) ; OU
4. Appelez d'abord le numéro de téléphone figurant au dos de la carte d'entreprise, demandez au bureau des fraudes commerciales de la banque d'autoriser le blocage du commerçant sur Amazon Web Services / Google Cloud / Microsoft Azure et augmentez la limite de transaction unique pendant 24 heures, puis alors seulement cliquez sur Réessayer le paiement dans la console cloud.
5. Si votre entreprise paie par virement facturé/ACH (comptes d'entreprise Net-30) et qu'une facture est en souffrance depuis plus de 60 jours :
6. Envoyez un Fedwire le jour même (et non un ACH de 3 jours) pour le solde total en souffrance, téléchargez le Reçu de confirmation de virement bancaire officiel contenant le numéro de référence fédéral IMAD/OMAD et joignez ce PDF directement à un Dossier d'assistance de facturation et de compte urgent demandant un manuel immédiat Promesse de paiement/Levage du virement en transit pendant que le service du Trésor rapproche le virement.
7. Vérifiez l'état de l'instance après la réactivation (le piège « VM arrêtée et IP dynamique ») :
8. Lorsqu'AWS, GCP ou Azure réactivent un compte suspendu, certaines machines virtuelles arrêtées (en particulier les machines virtuelles désallouées Azure et les instances GCP Compute Engine) ne redémarrent PAS automatiquement d'elles-mêmes, et toute machine qui n'utilisait pas d'IP élastique/IP statique réservée statique obtiendra une toute nouvelle adresse IP publique.
9. Vérifiez immédiatement chaque région des VM EC2 / Compute Engine / Azure, démarrez toutes les instances arrêtées, vérifiez que vos Elastic Load Balancers et vos bases de données RDS sont Available, et vérifiez que votre DNS A les enregistrements correspondent toujours à vos adresses IP publiques actives.

Protocole détaillé 2 : Récupération à partir d'une sécurité cloud/clé compromise/suspension de confiance et de sécurité¶

Si un développeur commet accidentellement un .env fichier contenant un AWS_ACCESS_KEY_ID et AWS_SECRET_ACCESS_KEY (ou clé JSON du compte de service GCP) vers un référentiel GitHub public, des robots pirates automatisés récupèrent cette clé en 1,5 secondes et font tourner 200 instances GPU géantes (p4d.24xlarge) dans des régions comme ap-east-1 ou sa-east-1 pour extraire de la cryptomonnaie ou lancer des attaques DDoS. En quelques heures, AWS/GCP Trust & Safety détecte l'anomalie et place une quarantaine de sécurité de protection/suspension de compte sur votre compte.

Comment demander à AWS / GCP / Azure Trust & Safety de lever une quarantaine de sécurité en moins de 4 heures¶

Les équipes de sécurité du cloud suivent une liste de contrôle stricte : elles refuseront de réactiver votre compte jusqu'à ce que vous prouviez que sa réactivation ne relancera pas immédiatement l'attaque. 1. Auditez chaque région (y compris les régions désactivées/opt-in) et supprimez le vecteur de compromis : - Connectez-vous à la console IAM : Désactivez et supprimez la clé d'accès IAM compromise (et tous les utilisateurs, rôles ou fournisseurs d'identité de porte dérobée inconnus que l'attaquant a créés pour maintenir la persistance). - Activez Matériel ou MFA virtuel sur l'utilisateur racine et tous les utilisateurs IAM. - Ouvrez AWS Resource Explorer / Tag Editor / EC2 Global View (en cochant toutes les 30+ régions mondiales, pas seulement us-east-1) et Terminez toutes les instances EC2 non autorisées, les groupes Auto Scaling, les clusters EKS et les fonctions Lambda lancés par l'attaquant. 2. Envoyez le rapport de correction de sécurité en 4 parties sur le dossier de support officiel : - Ouvrez le Centre d'assistance dans votre console cloud et répondez au dossier de sécurité du compte/confiance et sécurité ouvert avec : - 1. Cause première : "Utilisateur IAM [Name] clé AKIA... a été exposé par inadvertance dans un référentiel de code à [Time]." - 2. Révocation des informations d'identification : "Clé d'accès AKIA... et utilisateur IAM malveillant [Name] ont été définitivement supprimés et Root/IAM MFA est appliqué." - 3. Nettoyage des ressources dans toutes les régions : "Toutes les instances EC2 non autorisées dans les régions [List Regions] ont été résiliés." - 4. Demande de déblocage immédiat de la production + ajustement de facturation de clé compromise : "Notre charge de travail de production légitime en [Your Region] sert [Number] clients et est actuellement hors ligne. Veuillez lever immédiatement la suspension du compte et nous demanderons un ajustement de facturation/un crédit de courtoisie pour le compte. $[Amount] dans les frais de calcul frauduleux encourus lors de l'intrusion non autorisée. " - (Conseil : AWS et GCP accordent régulièrement une exonération de crédit unique à 100 % de courtoisie pour des dizaines de milliers de dollars de frais frauduleux de crypto-minage une fois que vous avez terminé leur liste de contrôle officielle de correction des comptes compromis.)

Phase 4 : Activation d'un basculement d'urgence de domaine secondaire « Break-Glass » en 30 minutes¶

Si votre domaine principal (yourcompany.com) est verrouillé dans un registre serverHold ou un litige juridique complexe concernant le bureau d'enregistrement qui prendra 48 à 72 heures à résoudre, ne restez pas hors ligne pendant trois jours. Chaque entreprise de technologie et de commerce électronique peut restaurer l'accès des clients et la messagerie électronique des employés dans un délai de 30 à 45 minutes à l'aide d'un domaine miroir secondaire d'urgence (yourcompany.co, yourcompany.io, ou getyourcompany.com).

Liste de contrôle de basculement de domaine secondaire d'urgence en 30 minutes¶

1. Enregistrez (ou activez) votre domaine secondaire auprès d'un registraire distinct : N'enregistrez jamais votre domaine de sauvegarde auprès du même registraire qui vient de suspendre votre domaine principal. Registre yourcompany-app.com ou yourcompany.co auprès d'un registraire indépendant (tel que Cloudflare Registrar, Porkbun ou AWS Route 53) à l'aide d'une carte d'entreprise distincte et d'une adresse e-mail vérifiée.
2. Importez votre fichier de zone dans Cloudflare ou Route 53 : Exportez (ou copiez) votre DNS A, AAAA, CNAME, et TXT enregistrements de votre panneau DNS principal dans le fichier de zone du nouveau domaine afin app.yourcompany.co et api.yourcompany.co pointez vers vos mêmes équilibreurs de charge de production.
3. Mettez à jour votre certificat TLS d'équilibreur de charge/d'entrée (ajout SAN) : Ajouter *.yourcompany.co et yourcompany.co en tant que Subject Alternative Names (SAN) sur votre certificat SSL AWS ACM / Let's Encrypt / Cloudflare Edge, et ajoutez le nouveau nom d'hôte à vos règles de routage d'en-tête d'hôte Nginx/Envoy/ALB et à vos listes autorisées CORS.
4. Ajoutez le domaine secondaire en tant qu'alias de domaine vérifié dans Google Workspace ou Microsoft 365 :
5. À l'intérieur de Console d'administration Google Workspace (admin.google.com -> Compte -> Domaines -> Gérer les domaines -> Ajouter un alias de domaine) ou Centre d'administration Microsoft 365 (Settings -> Domains -> Add Domain), ajouter yourcompany.co et collez la vérification TXT et MX enregistrements dans le DNS de votre nouveau domaine.
6. Dans les 15 minutes, chaque employé reçoit automatiquement un e-mail à firstname@yourcompany.co dans leur boîte de réception existante sans aucune migration de boîte aux lettres.

Phase 5 : Renforcer votre domaine et vos comptes cloud pour que cela ne se reproduise plus¶

Une fois la production rétablie, mettez en œuvre ces cinq mesures de protection structurelles dans les 48 heures :

1. ** Appliquer le verrouillage du registre (serverDeleteProhibited / serverUpdateProhibited / serverTransferProhibited):** Pour les domaines de production critiques, mettez à niveau votre domaine vers Registry Lock (proposé par Cloudflare, MarkMonitor, CSC Corporate Domains et les principaux bureaux d'enregistrement), qui nécessite une vérification cryptographique multi-personnes hors bande avant que les serveurs de noms ou les statuts de domaine puissent être modifiés.
2. N'hébergez jamais de contenu généré par l'utilisateur (UGC) ou de liens marketing sur votre domaine Apex de production : Diffusez toujours les téléchargements d'utilisateurs, les PDF clients et les liens de suivi des e-mails sortants à partir d'un domaine en bac à sable complètement distinct (par exemple, yourcompany-usercontent.com au lieu de yourcompany.com). De cette façon, si un utilisateur télécharge un fichier malveillant qui déclenche un robot automatisé d'enregistrement abusif, seul le domaine de contenu jetable est signalé, jamais votre application de production principale ou votre messagerie d'entreprise.
3. Configurez deux méthodes de paiement + sauvegarde ACH + alertes d'anomalie de facturation dans le cloud : Ajoutez au moins deux cartes de crédit indépendantes de deux banques différentes plus un compte bancaire à prélèvement automatique ACH dans AWS, GCP, Azure et votre registraire de domaine, et activez Détection d'anomalies de coûts AWS/Alertes de budget GCP pour pagerDuty/Slack si les dépenses quotidiennes augmentent de plus de 25 %.
4. Configurez un registraire basé sur les rôles et une adresse e-mail racine du cloud sur un domaine secondaire indépendant : Ne jamais définir admin@yourcompany.com comme e-mail de récupération pour yourcompany.com. Utilisez une boîte aux lettres dédiée et protégée par YubiKey sur un domaine administratif indépendant ou un locataire d'identité d'entreprise afin de pouvoir toujours recevoir des e-mails de vérification et d'assistance même lorsque votre domaine principal est en panne.

Numéros d'urgence régionaux et protocoles des agences¶

Questions fréquemment posées¶

Si AWS, Google Cloud ou Azure suspendent notre compte pour non-paiement ou abus, nos bases de données de production et nos buckets S3 sont-ils immédiatement supprimés ?¶

Non. Ni AWS, GCP ni Microsoft Azure ne suppriment vos données le premier jour d'une suspension. Lorsqu'un compte est suspendu, vos machines virtuelles sont arrêtées et l'accès public à vos compartiments de stockage et équilibreurs de charge est bloqué, **mais 100 % de vos volumes EBS, bases de données RDS, objets S3 et instantanés restent conservés dans un stockage froid pendant au moins 30 jours** (et dans AWS, les comptes restent récupérables pendant une fenêtre supplémentaire de 60 jours après la fermeture, jusqu'à 90 jours au total). Une fois que vous avez payé le solde en souffrance ou résolu le ticket Confiance et sécurité, votre environnement de production exact est restauré intact sans avoir besoin de le reconstruire à partir de sauvegardes.

Pourquoi notre domaine a-t-il soudainement cessé de se résoudre avec un clientHold statut lorsque le renouvellement de notre domaine n'est pas dû avant 8 mois ?¶

Lorsqu'un domaine payé et loin de sa date d'expiration entre soudainement **`clientHold`**, il n'y a que deux causes : (1) **Échec de la vérification des contacts WHOIS dans les 15 jours de l'ICANN** (quelqu'un a mis à jour le nom ou l'adresse e-mail du titulaire, ou a transféré le domaine, et n'a pas réussi à cliquer sur le lien de vérification obligatoire envoyé par e-mail au titulaire dans les 15 jours), ou (2) **Abus d'enregistrement / phishing / suspension de logiciels malveillants** (un flux de menaces automatisé a signalé une URL suspecte sur votre domaine à l'équipe de conformité de votre registraire). Connectez-vous immédiatement à votre portail de registraire : une suspension de vérification de l'ICANN est annulée dans les 15 minutes suivant le clic sur le lien renvoyé, tandis qu'une suspension pour abus nécessite de répondre au ticket de conformité du registraire.

Pourquoi notre @ourcompany.com des e-mails rebondissent également alors que seul notre site Web a été signalé pour un lien de phishing faussement positif ?¶

Lorsqu'un registraire de domaine place un EPP **`clientHold`** sur votre domaine racine (`ourcompany.com`), le registre supprime **l'intégralité de la délégation de domaine (toutes `NS` enregistrements)** du monde entier `.com` serveurs racine. Parce que les serveurs de messagerie du monde entier ne peuvent plus rechercher les adresses de votre domaine `NS` ou `MX` enregistrements, chaque e-mail entrant à `@ourcompany.com` échoue avec une erreur de recherche DNS, même si votre courrier électronique est hébergé séparément sur Google Workspace ou Microsoft 365. C'est pourquoi vous devez toujours communiquer avec votre registraire depuis un serveur hors bande. `@gmail.com` ou une adresse de domaine secondaire lors d'une `clientHold` panne.

Comment pouvons-nous atteindre un humain chez AWS, GCP ou un registraire de domaine si nous ne disposons que du niveau d'assistance gratuit « Basique » ?¶

Même au niveau de support de base à 0 $, **AWS, GCP et Azure permettent aux utilisateurs root de comptes suspendus d'ouvrir gratuitement des dossiers d'assistance "Compte et facturation" hautement prioritaires**, et dans le centre de support AWS, vous pouvez sélectionner **"Téléphone"** comme méthode de contact afin qu'un spécialiste des comptes et de la facturation AWS appelle directement votre téléphone en quelques minutes. Si vous résolvez une panne de production urgente, vous pouvez également mettre à niveau votre compte AWS sur place dans la console vers le niveau **Business Support (100 $/mois minimum)** ou **Enterprise On-Ramp** pour débloquer immédiatement un chat technique en direct de 15 minutes, 24h/24 et 7j/7, et une escalade téléphonique.

Que se passe-t-il si un employé malveillant ou un ancien développeur détient l'identifiant du registraire de domaine ou le compte AWS Root et refuse de le remettre ?¶

Si un ancien employé, une agence indépendante ou un cofondateur malhonnête contrôle le compte du bureau d'enregistrement ou les informations d'identification de la racine du cloud et verrouille l'entreprise, traitez cela comme une crise immédiate de gouvernance d'entreprise et de lock-out des internes. Chaque principal registraire de domaine et fournisseur de cloud dispose d'un **processus formel de récupération de compte d'entreprise/de litige entre titulaires** dans lequel l'entité commerciale juridique peut soumettre ses **statuts constitutifs, sa lettre EIN IRS, l'enregistrement de la marque d'entreprise et ses relevés historiques de facturation bancaire/carte de crédit** prouvant que l'entreprise a payé pour le domaine ou le locataire du cloud afin de transférer de force le contrôle administratif à un dirigeant autorisé de l'entreprise. Consultez notre guide sur [différend de partenariat, fuite des banques des cofondateurs malhonnêtes et lock-out d'entreprise](partnership-dispute-rogue-cofounder-bank-drain-and-corporate-lockout.md).

Combien de temps faut-il au DNS pour revenir globalement après la suppression du registraire clientHold?¶

Une fois que le registraire soumet la commande EPP pour supprimer `clientHold`, le registre de niveau supérieur (tel que Verisign pour `.com`) met à jour les serveurs de la zone racine dans un délai de **3 à 15 minutes**. La plupart des internautes pourront à nouveau accéder à votre site dans un délai de 15 à 30 minutes. Vous pouvez accélérer ce processus jusqu'à **moins de 2 minutes** pour la majorité du trafic mondial en purgeant manuellement l'entrée du cache négatif de votre domaine sur les formulaires Web publics pour **Google Public DNS (`8.8.8.8`)** et **DNS Cloudflare (`1.1.1.1`)**.

Guides associés¶

• Plan de continuité des activités et reprise après sinistre
• Ransomware professionnel et violation de serveur
• Conflit de partenariat, fuite des banques malhonnêtes des cofondateurs et lock-out des entreprises
• Panne de point de vente (POS), Internet en panne et traitement des cartes de crédit hors ligne

Sources et directives officielles¶

• Internet Corporation for Assigned Names and Numbers (ICANN) : 2013 Contrat d'accréditation du bureau d'enregistrement (RAA), spécification du programme d'exactitude Whois (mandat de vérification de 15 jours), codes d'état du protocole d'approvisionnement extensible (EPP) (clientHold, serverHold, redemptionPeriod) et la politique de récupération des enregistrements expirés (ERRP).
• Documentation officielle d'Amazon Web Services (AWS) : Cycle de vie de suspension, de rétablissement et de conservation des données après la fermeture du compte (suspension de 30 jours/fenêtre de 60 jours après la fermeture) et protocole de correction des informations d'identification IAM compromises par AWS.
• Documentation officielle de Google Cloud Platform (GCP) et de Microsoft Azure : Récupération des défauts de facturation dans le cloud, flux de travail d'appel de confiance et de sécurité du projet et procédures de réactivation des abonnements Azure désalloués.
• Cybersecurity and Infrastructure Security Agency (CISA, États-Unis) et National Cyber ​​Security Center (NCSC, Royaume-Uni) : Architecture de référence technique pour la sécurité du cloud, application de l'AMF du compte racine et meilleures pratiques de verrouillage du registre de domaine.
• National Institute of Standards and Technology (NIST, États-Unis) : NIST SP 800-61 Rev. 2 (Computer Security Incident Handling Guide) et NIST SP 800-53 (DNS Integrity and Cloud Access Control Standards).