clientTransferProhibited et autres codes de statut de domaine

Vous lancez une recherche WHOIS sur votre domaine et vous voyez clientTransferProhibited. Cela ressemble à un problème. Ce n'en est pas un : c'est le verrou de transfert normal, et sur votre propre domaine vous voulez qu'il soit là. D'autres codes sur la même ligne, comme clientHold ou redemptionPeriod, sont de vraies urgences. Ce guide explique chaque code de statut que vous êtes susceptible de rencontrer, qui l'a posé, et ce qu'il faut faire, le cas échéant.

D'où viennent les codes de statut

Les bureaux d'enregistrement communiquent avec les registres par un protocole appelé EPP (Extensible Provisioning Protocol). Chaque objet domaine de la base du registre porte une ou plusieurs valeurs de statut définies par ce protocole. WHOIS et RDAP ne font que les afficher.

Deux choses les rendent faciles à lire :

Le préfixe indique qui a posé le code. client… a été posé par le bureau d'enregistrement (le client du registre). server… a été posé par le registre. Vous pouvez demander à votre bureau d'enregistrement de retirer un code client ; un code server nécessite le registre, en général via le bureau d'enregistrement, et repose en général sur une raison formelle.
WHOIS et RDAP les écrivent différemment. WHOIS montre la forme EPP, clientTransferProhibited. RDAP utilise des mots : client transfer prohibited. ok en EPP devient active en RDAP. C'est la même chose.

Un domaine peut porter plusieurs codes à la fois. ok est l'exception : il n'apparaît que lorsqu'aucune autre restriction n'est posée.

$ whois example.com | grep -i 'domain status'
Domain Status: clientDeleteProhibited https://icann.org/epp#clientDeleteProhibited
Domain Status: clientTransferProhibited https://icann.org/epp#clientTransferProhibited
Domain Status: clientUpdateProhibited https://icann.org/epp#clientUpdateProhibited

$ curl -s https://rdap.example/domain/example.com | jq .status
[
  "client delete prohibited",
  "client transfer prohibited",
  "client update prohibited"
]

(rdap.example représente le serveur RDAP du TLD.)

Les verrous : les codes que vous voulez voir

Code	Signification	Action
`ok` / `active`	Aucune restriction.	Envisagez d'activer le verrou de transfert.
`clientTransferProhibited`	Verrou de transfert du bureau d'enregistrement. Les demandes de transfert vers un autre bureau d'enregistrement sont rejetées.	Aucune. Ne le retirez que pour un transfert réel.
`clientUpdateProhibited`	Les modifications du domaine (serveurs de noms, contacts) sont bloquées au niveau du registre.	Retirez-le temporairement quand vous devez changer de serveurs de noms.
`clientDeleteProhibited`	Le domaine ne peut pas être supprimé.	Aucune.
`clientRenewProhibited`	Le renouvellement est bloqué. Rare ; vu dans les litiges ou les problèmes de compte.	Demandez pourquoi au bureau d'enregistrement.
`serverTransferProhibited`	Blocage de transfert au niveau du registre.	Voir ci-dessous.
`serverUpdateProhibited`, `serverDeleteProhibited`	Verrous du registre contre les modifications et la suppression.	Normalement partie d'un service de registry lock que vous avez commandé.
`serverRenewProhibited`	Le registre bloque le renouvellement. Rare ; litige ou question de politique.	Support du bureau d'enregistrement.

Quand serverTransferProhibited est normal

serverTransferProhibited apparaît dans trois situations ordinaires :

Enregistrement récent ou transfert récent. Beaucoup de registres bloquent les transferts pendant les 60 premiers jours après la création ou après un transfert entre bureaux d'enregistrement.
Registry lock. Un service payant pour les noms de grande valeur : les trois codes server…Prohibited sont posés, et leur retrait exige une vérification manuelle, hors ligne, entre le bureau d'enregistrement et le registre. Il protège contre un compte compromis chez le bureau d'enregistrement.
Un litige ou une procédure juridique, par exemple une plainte UDRP. Le verrou maintient le nom là où il est jusqu'à ce que l'affaire soit tranchée.

Si aucune de ces situations ne correspond, demandez au bureau d'enregistrement.

Les holds : le domaine est éteint

Ce sont les codes qui expliquent « mon site et mon e-mail ne fonctionnent plus alors que le DNS a l'air correct chez le fournisseur ».

Code	Signification
`clientHold`	Le bureau d'enregistrement a retiré le domaine de la zone du TLD. La délégation a disparu ; rien ne se résout.
`serverHold`	Le registre a fait de même.
`inactive`	Le domaine n'a aucun serveur de noms attribué, il n'y a donc rien à publier.

Avec un hold en place, la zone de votre fournisseur DNS peut être parfaite, cela ne change rien, car la zone parente ne pointe plus vers elle :

$ dig +short example.com NS @a.gtld-servers.net
$                        # empty: not delegated

Raisons habituelles d'un clientHold :

Renouvellement impayé. Le domaine a expiré et le bureau d'enregistrement l'a suspendu. Voir que se passe-t-il quand un nom de domaine expire.
Contact du titulaire non vérifié. Après un enregistrement, un transfert ou un changement d'adresse e-mail du titulaire, les bureaux d'enregistrement accrédités par l'ICANN doivent vérifier l'e-mail (ou le téléphone). Si vous ne cliquez pas sur le lien sous 15 jours, ils sont tenus de suspendre le domaine. Cherchez le message de vérification, y compris dans les indésirables, et demandez au bureau d'enregistrement de le renvoyer.
Abus ou litige de paiement. Signalements d'hameçonnage, logiciel malveillant, rétrofacturation. Seul le bureau d'enregistrement peut vous le dire.

serverHold est en général d'ordre juridique ou réglementaire : décision de justice, action anti-abus du registre, ou condition d'éligibilité du TLD non remplie. Votre bureau d'enregistrement reste le premier interlocuteur.

inactive se corrige en définissant des serveurs de noms. Certains registres en exigent au moins deux.

Les codes du cycle de vie : des périodes limitées dans le temps

Code	Quand	Durée typique (gTLD)	Ce que cela signifie pour vous
`addPeriod`	juste après l'enregistrement	5 jours	Le bureau d'enregistrement peut supprimer le nom contre remboursement. Pas une restriction d'usage.
`renewPeriod`	après un renouvellement explicite	5 jours	Idem, pour les frais de renouvellement.
`autoRenewPeriod`	après l'expiration, quand le registre a renouvelé automatiquement	jusqu'à 45 jours	Peut-être impayé. Vérifiez auprès du bureau d'enregistrement.
`transferPeriod`	après un transfert terminé	5 jours	Informatif.
`redemptionPeriod`	après la suppression du nom par le bureau d'enregistrement	30 jours	Seul l'ancien titulaire peut le restaurer, moyennant des frais.
`pendingRestore`	restauration demandée, en attente du rapport du bureau d'enregistrement	quelques jours	Attendez ; relancez le bureau d'enregistrement si cela traîne.
`pendingDelete`	après la rédemption	5 jours	Ne peut plus être récupéré. Sera libéré.

Les durées varient selon le TLD, et les extensions nationales utilisent souvent un cycle de vie entièrement différent. Lisez-les comme le schéma courant des gTLD.

pendingDelete a une subtilité : vu avec redemptionPeriod, il désigne encore la phase de rédemption. Seul, il désigne les cinq derniers jours.

Les codes pending : une opération est en cours

pendingTransfer — un transfert vers un autre bureau d'enregistrement a été demandé. Si vous ne l'avez pas demandé, contactez immédiatement votre bureau d'enregistrement actuel et faites-le rejeter ; la fenêtre est de cinq jours. Si c'est vous, voyez comment transférer un nom de domaine.
pendingCreate, pendingUpdate, pendingRenew — le registre traite une demande, parfois avec des contrôles manuels (courant dans les TLD à conditions d'accès).
pendingDelete — voir ci-dessus.

Un tri rapide

Site et courrier en panne, DNS correct chez le fournisseur → cherchez clientHold, serverHold, inactive, redemptionPeriod, pendingDelete.
Transfert rejeté → cherchez clientTransferProhibited (déverrouillage chez le bureau d'enregistrement) ou serverTransferProhibited (règle des 60 jours, registry lock, litige).
Changement de serveurs de noms rejeté → clientUpdateProhibited ou serverUpdateProhibited.
Date d'expiration correcte mais quelque chose cloche → autoRenewPeriod signifie « renouvelé par le registre », pas « payé par vous ».
pendingTransfer que vous n'avez pas lancé → appelez le bureau d'enregistrement tout de suite.

Erreurs fréquentes

Retirer le verrou de transfert « par précaution » et le laisser désactivé. Un domaine déverrouillé dont le code d'autorisation a fuité n'est qu'à une approbation par e-mail de partir ailleurs.
Déboguer le DNS pendant des heures sans regarder le statut de l'enregistrement.
Ignorer l'e-mail de vérification du titulaire parce qu'il ressemble à du spam.
Supposer qu'un code server peut être retiré depuis le panneau du bureau d'enregistrement.
Lire la sortie d'un ccTLD avec des attentes de gTLD. Beaucoup de registres nationaux ont leur propre vocabulaire de statuts.

Vérifiez avec OrbitProbe

La recherche WHOIS d'OrbitProbe interroge RDAP et liste chaque code de statut à côté du bureau d'enregistrement, des dates, des serveurs de noms et de l'état DNSSEC, avec le serveur source et l'heure de la requête. Si un hold ou un code de cycle de vie est présent, vous le voyez tout de suite, au lieu de l'apprendre par un client. L'origine de ces données est expliquée dans WHOIS ou RDAP, et la différence entre les verrous client et server dans verrou du bureau d'enregistrement ou verrou du registre.