Racheter un domaine : l'héritage email qui vient avec

Le trafic résiduel, visible dès le premier p=none

Le premier geste après le transfert, avant tout projet d'envoi : publier un enregistrement DMARC d'observation.

_dmarc.exemple.fr.  IN TXT  "v=DMARC1; p=none; rua=mailto:rapports@exemple.fr"

En p=none, rien n'est bloqué, mais les récepteurs se mettent à envoyer des rapports agrégés — et ces rapports racontent le présent du domaine : qui, dans le monde, émet des messages en se réclamant de ce nom. Sur un domaine racheté, l'inventaire surprend presque toujours. Des automatismes de l'ancien propriétaire tournent encore quelque part — un CRM oublié, une supervision qui notifie, un SaaS jamais résilié. Des tiers usurpent le nom, parfois depuis des années. Des flux d'apparence légitime continuent, que personne n'a jamais coupés.

Cette période d'écoute est le seul inventaire fiable du trafic résiduel. Quelques semaines de rapports suffisent à trier trois catégories : ce qui doit être coupé (les restes de l'ancien occupant), ce qui doit être repris en main (un service que la reprise conserve), et ce qui relève de l'usurpation pure. Rien n'impose d'attendre pour lancer l'écoute — l'enregistrement se publie le jour du transfert, ne coûte rien et n'affecte aucun flux existant.

La remise à zéro méthodique

La reprise suit un ordre précis, et l'ordre compte. D'abord l'inventaire complet de la zone héritée, puis la purge : suppression des include SPF pointant vers les prestataires de l'ancien propriétaire, retrait des clés DKIM publiées — aucune raison de laisser en ligne une clé dont la partie privée est entre des mains inconnues —, nettoyage des MX et des sous-domaines qui pointent vers des services abandonnés. Chaque enregistrement conservé doit avoir une justification écrite ; le doute se tranche par la suppression.

Vient ensuite la reconstruction minimale : un SPF réduit à ce qui enverra réellement — et tant que rien n'envoie, la forme la plus stricte, v=spf1 -all —, le DMARC d'observation décrit plus haut, puis plusieurs semaines d'écoute avant le moindre envoi. C'est la même discipline que lors d'une migration de fournisseur email : observer d'abord, envoyer ensuite. L'ordre complet des opérations, de l'inventaire jusqu'au durcissement final, est celui de la liste de contrôle de 2026 — un domaine racheté la déroule depuis la case départ, avec une étape de purge en plus. Détail d'époque pour les enregistrements à écrire : le standard courant est DMARCbis, où le mode de test s'exprime par la balise t= — l'ancienne balise pct a disparu — et où les sous-domaines inexistants se couvrent avec np.

Racheté pour ne pas envoyer : le verrouillage immédiat

Beaucoup de rachats sont défensifs : la faute de frappe proche de la marque, l'ancienne raison sociale, le .com qui double le .fr. Un domaine qui n'enverra jamais ne mérite aucune période de transition — il se verrouille le jour du transfert. La panoplie tient en trois enregistrements : un SPF vide (v=spf1 -all), un MX nul (0 ., RFC 7505) qui annonce qu'aucun courrier n'est accepté, et une politique DMARC de rejet :

_dmarc.exemple.fr.  IN TXT  "v=DMARC1; p=reject; np=reject; rua=mailto:rapports@exemple.fr"

L'adresse rua reste en place : même verrouillé, le domaine rapporte qui tente de l'usurper, et ce signal a de la valeur — c'est souvent là qu'apparaît, noir sur blanc, la raison pour laquelle le rachat défensif était une bonne idée. Le traitement complet de ce cas, flotte entière de domaines dormants comprise, est détaillé dans la protection des domaines parqués.

Le réchauffement, si le domaine doit envoyer

Un domaine destiné à envoyer ne démarre pas à plein volume, surtout avec un passif. Les filtres jugent sur pièces : un nom sans historique récent — ou avec un mauvais historique — qui expédie soudain des dizaines de milliers de messages coche toutes les cases du spammeur. Le réchauffement construit une réputation neuve par la régularité : volumes faibles au départ, montée progressive sur plusieurs semaines, destinataires engagés d'abord (les contacts qui ouvrent et répondent), et une authentification irréprochable dès le premier message — SPF et DKIM alignés, DMARC publié.

L'inscription du domaine dans Google Postmaster Tools donne, côté Gmail, la mesure de la réputation au fil de la montée en charge ; les mécanismes de ce jugement, et la manière de ne pas les heurter, sont déroulés dans le guide de délivrabilité Gmail. Avec un passif lourd — inscription passée sur des listes, épisode de spam dans l'historique —, le réchauffement sera plus lent, et il faut l'accepter : forcer le volume sur une réputation abîmée l'abîme davantage. Dans les cas extrêmes, la conclusion honnête de l'audit préalable est de renoncer à l'achat — un autre nom coûtera moins cher que la réhabilitation de celui-là.

Les pièges qui restent

Le drop-catching d'abord. Les domaines expirés sont capturés à la seconde par des services spécialisés, et les spammeurs sont friands de noms à l'historique propre : un domaine « d'occasion » a pu passer plusieurs mois entre leurs mains entre deux propriétaires légitimes, le temps d'exploiter sa réputation et ses backlinks pour du spam ou des redirections douteuses. L'historique DNS et les archives du web révèlent souvent cet épisode ; sa facture, elle, se règle en réputation.

Les adresses historiques ensuite. Des tiers continuent d'écrire aux adresses de l'ancien propriétaire — factures, réinitialisations de mot de passe, correspondance privée — et certains services attendent encore ces adresses comme identifiants de connexion ou de récupération. Le repreneur qui active la réception recevra donc du courrier qui ne lui est pas destiné, avec les questions juridiques et éthiques qui l'accompagnent ; sans usage prévu de la réception, le MX nul coupe proprement le problème à la racine.

Les listes de suppression enfin. Les plateformes d'envoi conservent la mémoire des plaintes et des désabonnements associés à un domaine : un nom qui a généré des plaintes chez un routeur peut voir ses nouveaux messages filtrés par ce même routeur, indépendamment de la réputation publique. Ce passif-là ne se découvre qu'à l'usage — une raison de plus de démarrer petit et d'observer les rapports à chaque palier.

En résumé

Un domaine racheté arrive avec sa mémoire : une réputation d'expéditeur bonne ou mauvaise, d'éventuelles inscriptions sur des listes de blocage, un historique d'usurpation et des enregistrements DNS oubliés. L'audit préalable — historique DNS public, archives du web, listes de blocage — éclaire la décision d'achat ; la remise à zéro méthodique — purge de la zone, SPF minimal, DMARC en p=none, période d'écoute — sécurise la reprise. Le domaine défensif se verrouille le jour même (v=spf1 -all, MX nul, p=reject) ; le domaine appelé à envoyer se réchauffe progressivement, sous surveillance. Et les pièges classiques — drop-catching, adresses historiques encore attendues par des tiers, listes de suppression — se déjouent d'autant mieux qu'ils sont connus avant la signature.

Le réflexe ne coûte rien : passer le domaine convoité — ou fraîchement acquis — par une analyse DMARC gratuite montre en quelques secondes l'état réel de sa zone, SPF hérité, DMARC absent ou mal formé et enregistrements douteux compris. Pour la suite, l'ouverture d'un compte permet de collecter les rapports dès le premier p=none, de dresser l'inventaire du trafic résiduel et de dérouler la remise à zéro jusqu'à p=reject.