La vérification de propriété de domaine est une étape de sécurité critique pour toute plateforme SaaS qui permet aux utilisateurs de connecter leurs propres domaines. Que vous construisiez une solution en marque blanche, un expéditeur d’e-mails personnalisé ou une application multi-tenant, vérifier que vos utilisateurs possèdent réellement les domaines qu’ils revendiquent est indispensable.

Pourquoi la vérification de domaine est importante

Sans vérification appropriée, votre plateforme est vulnérable à plusieurs types d’attaques :

Détournement de domaine : Un utilisateur malveillant pourrait revendiquer la propriété d’un domaine qu’il ne contrôle pas.
Facilitation du phishing : Les domaines non vérifiés peuvent être utilisés pour envoyer des e-mails frauduleux au nom de marques légitimes.
Non-conformité réglementaire : De nombreuses réglementations (RGPD, politiques DMARC) exigent une preuve de propriété avant certaines actions.

Choisir la bonne méthode de vérification

Enregistrements DNS TXT

Idéal pour : les utilisateurs techniques, les développeurs, les équipes DevOps.

La vérification par enregistrement TXT est la méthode de référence. Elle est fiable, ne nécessite pas que le site web du domaine soit en ligne, et persiste lors des changements de serveur.

domchekr-verification=abc123xyz

Avantages : Fonctionne sans serveur web, résiste aux migrations, facile à automatiser. Inconvénients : Nécessite un accès DNS, la propagation peut prendre jusqu’à 48 heures.

Balise Meta HTML

Idéal pour : les utilisateurs non techniques ayant accès au site web.

Les utilisateurs ajoutent une balise <meta> dans la section <head> de leur page d’accueil.

<meta name="domchekr-verification" content="abc123xyz" />

Avantages : Aucune connaissance DNS requise, vérifiable immédiatement. Inconvénients : Échoue si le site est hors ligne, se casse lors des mises à jour de thème.

Téléchargement de fichier

Idéal pour : les utilisateurs avec accès FTP/SFTP mais un contrôle DNS limité.

Un fichier de vérification est placé à un chemin connu sur le serveur web du domaine.

Avantages : Simple pour les utilisateurs familiers avec l’hébergement. Inconvénients : Nécessite un accès au serveur web, le fichier doit rester en place.

Conseils d’implémentation

1. Générez des tokens cryptographiquement sûrs

N’utilisez jamais de tokens prévisibles. Utilisez un générateur aléatoire cryptographiquement sûr.

2. Définissez des fenêtres d’expiration raisonnables

Les tokens doivent expirer s’ils ne sont pas utilisés — une fenêtre de 7 à 30 jours convient à la plupart des produits SaaS.

3. Re-vérifiez périodiquement

La propriété d’un domaine peut changer. Intégrez une re-vérification périodique (mensuelle ou trimestrielle) afin de détecter rapidement tout changement via des webhooks.

4. Fournissez des messages d’erreur clairs

Des erreurs vagues nuisent à l’expérience utilisateur. Si la vérification échoue, indiquez exactement ce que vous avez trouvé et ce que vous attendiez.

5. Utilisez une API dédiée

Construire la vérification de domaine en interne est chronophage et source d’erreurs. Des APIs comme DomChekr gèrent toute la complexité pour vous.

Erreurs courantes à éviter

Interroger trop fréquemment : Vérifiez le statut à un intervalle raisonnable pour éviter d’être bloqué par les serveurs DNS.
Ne pas gérer les sous-domaines séparément : app.example.com et example.com sont des domaines différents.
Oublier le TTL : Les valeurs TTL signifient que les changements récents peuvent ne pas être visibles immédiatement.
Aucune surveillance après vérification : Les domaines expirent, les enregistrements DNS sont supprimés. La surveillance continue est essentielle.

Conclusion

Une vérification de domaine bien implémentée renforce la confiance des utilisateurs et protège votre plateforme. Proposez plusieurs méthodes de vérification, fournissez des instructions claires et surveillez continuellement les domaines vérifiés.

Si vous préférez ne pas construire tout cela vous-même, DomChekr fournit une plateforme API-first avec les quatre méthodes de vérification, des webhooks en temps réel et une fiabilité de niveau entreprise.