Un développeur a besoin d'ajouter un enregistrement TXT pour vérifier un service tiers, une agence marketing doit configurer un sous-domaine pour une campagne : la demande est courante, et le réflexe le plus fréquent reste de transmettre directement le mot de passe du compte client. C'est précisément l'habitude à corriger, car elle donne un accès total à votre facturation, vos autres domaines et vos paramètres de sécurité, pour une tâche qui ne demandait qu'un accès limité à la zone DNS.
Pourquoi le partage de mot de passe principal est une mauvaise pratique
Le mot de passe de votre compte client ouvre l'accès à l'ensemble de vos services : domaines, hébergements, factures, informations de paiement. Le transmettre à un tiers, même de confiance, multiplie les copies de cette information sensible, souvent stockées dans un e-mail ou un fichier texte sans aucune protection. Si ce collaborateur change de prestataire, quitte l'entreprise ou se fait compromettre son propre poste, votre compte reste exposé sans que vous le sachiez nécessairement.
Les alternatives pour un accès limité
- Un compte secondaire avec droits restreints, lorsque votre espace client le permet, pour donner accès uniquement à la gestion DNS d'un domaine précis, sans visibilité sur la facturation ni sur les autres services.
- Une délégation de sous-domaine vers des serveurs de noms distincts, qui permet à un partenaire de gérer entièrement un sous-domaine (par exemple une plateforme d'emailing ou un outil de campagne) sans toucher au reste de votre zone DNS principale.
- Une procédure encadrée où vous effectuez vous-même la modification demandée, après validation de la demande précise transmise par le prestataire, sans jamais transmettre d'accès.
- Un changement de mot de passe temporaire suivi d'un nouveau changement après l'intervention, en dernier recours seulement, si aucune autre option n'est disponible, et en gardant à l'esprit que cette méthode reste la moins sûre des quatre.
Documenter chaque modification effectuée par un tiers
Qu'il s'agisse d'un compte secondaire ou d'une modification effectuée en votre nom, conservez une trace écrite de ce qui a été demandé et pourquoi. Un enregistrement DNS ajouté pour un service ponctuel, puis oublié, finit souvent par rester en place des années plus tard, parfois pour un service qui n'existe même plus. Une liste à jour de vos enregistrements DNS actifs, avec leur raison d'être, facilite grandement un nettoyage futur.
Le cas particulier des agences qui gèrent plusieurs clients
Pour une agence web ou un développeur qui intervient régulièrement chez plusieurs clients, la multiplication des mots de passe transmis devient vite ingérable et dangereuse pour tout le monde. Un compte avec un accès délégué, propre à chaque client et révocable à tout moment, protège autant le client que le prestataire : en cas de litige ou de fin de collaboration, l'accès se retire en un instant, sans dépendre d'un changement de mot de passe que le client doit penser à faire lui-même.
Le risque d'une délégation oubliée dans le temps
Un accès temporaire créé pour une tâche précise est souvent plus simple à accorder qu'à retirer une fois la mission terminée. En dressant l'inventaire de leurs accès actifs, de nombreuses entreprises découvrent qu'un ancien prestataire conserve toujours un compte secondaire créé des années plus tôt, pour une intervention depuis longtemps achevée. Cet oubli n'entraîne pas nécessairement un incident immédiat, mais il élargit la surface d'attaque de votre compte : chaque accès actif reste une porte potentielle à surveiller, indépendamment des intentions de son titulaire. Une revue périodique de ces accès délégués, au même titre qu'une revue des mots de passe, mérite une place régulière dans vos habitudes de sécurité. Si vous gérez plusieurs domaines sur le même compte, vérifiez aussi que chaque délégation reste bien limitée au périmètre initialement prévu ; notre équipe support peut vous aider à faire cet état des lieux si vous n'êtes pas certain de la liste exacte de vos accès actifs.
Que faire si mon hébergeur ne propose pas de compte secondaire ?
Dans ce cas, la solution la plus sûre consiste à effectuer vous-même les modifications demandées, en demandant au prestataire une instruction écrite précise (type d'enregistrement, valeur exacte, durée de vie). Cela prend quelques minutes de plus mais évite tout partage d'identifiants.
Un sous-domaine délégué reste-t-il sous mon contrôle ?
Le domaine principal reste entièrement sous votre contrôle ; seul le sous-domaine délégué est administré par le tiers désigné. Vous pouvez à tout moment retirer cette délégation en modifiant les enregistrements NS correspondants depuis votre compte principal.
Comment savoir si quelqu'un a modifié ma zone DNS sans mon accord ?
Comparer régulièrement votre zone DNS actuelle avec une sauvegarde antérieure permet de repérer tout changement non expliqué. Certains panels affichent aussi un historique des modifications DNS avec la date et, lorsque c'est disponible, le compte à l'origine du changement.
Si vous travaillez régulièrement avec des prestataires externes et que vous cherchez une façon plus sûre de leur donner un accès technique limité, l'équipe VSP TECH peut vous expliquer les options disponibles sur votre compte : contactez notre support pour mettre en place une délégation adaptée à votre situation, sans jamais partager votre mot de passe principal.
