Quand la doc devient ton infra : le piège invisible des exemples copy-paste

Chez NameOcean, on parle souvent de sécurité des domaines, de config DNS et de bonnes pratiques pour l'hébergement. Mais un risque sournois passe sous les radars : la documentation qui se transforme en infrastructure réelle.

Un chercheur en sécurité a enregistré third-party-example.com, un domaine banal en .com jamais pris avant. En quelques jours, des rapports DMARC ont atterri dans sa boîte. En semaines, plus de 22 boîtes les ont envoyés. Sans se douter de rien.

Le hic ? Ce domaine figurait dans la doc DMARC de Cloudflare. Des équipes ont copié-collé l'exemple tel quel dans leurs DNS de prod, sans changer l'adresse de rapport.

Le problème de la chaîne d'approvisionnement doc

Ça ne concerne pas que Cloudflare. C'est pire : le même exemple traînait dans plusieurs langues de leur doc, et s'est propagé sur huit sources tierces au moins. Un snippet qui se diffuse comme ça n'est plus de la doc. C'est une vulnérabilité supply chain.

C'est humain : on suit les exemples. Pour un premier DMARC, tu copies le modèle. Tu vois example@third-party-example.com dans une source fiable, tu le plaques dans ton TXT DNS, et hop, next. La doc n'est plus un guide. Elle est du code live.

Les infos qui fuient vraiment

Soyons clairs sur l'enjeu. Un rapport DMARC révèle :

• Ton inventaire email complet : fournisseurs transactionnels pour factures, plateformes marketing pour news, plages IP de tes serveurs backup.
• Échecs d'auth : volume et origines des fails SPF/DKIM.
• Tentatives de spoofing : faux expéditeurs qui usurpent ton domaine, géo, quantités.
• Partenaires et vendors : orgas partenaires, clients, intégrations via l'enveloppe email.
• Dépendances services : qui relaie ou traite tes mails.

Pas de breach légal, pas de creds chiffrés ni PII clients. Mais pour un attaquant malin, c'est une carte gold de ton infra email, faiblesses incluses. Livrée auto, tous les jours, sans ton avis.

Leçons clés pour ton infra

Trois points à graver :

1. Exemples doc = domaines IANA réservés only. Pas juste .example.com pour les basiques. Les secondaires aussi, genre ranges réservés. third-party-example.com paraît safe, mais c'est enregistrable. Donc exploitable.

2. Rendre les exemples non copy-paste directs. Forcer le changement : préfixe CHANGEME_ ou équivalent. Ça freine, mais c'est du bon frein.

3. Vérifier avant déploiement. Pour un TXT DMARC en prod DNS, valide que ça colle à ton domaine. Teste l'adresse rapport avant commit.

Impact sur ta stratégie domaine

DNS, c'est de l'infra critique pour ton domaine sur le web. Traite-le comme du code prod. Jamais de copy DNS doc sans piger ce que ça fait. Pas de push en urgence sans check.

Ces 22 boîtes avaient DMARC nickel. Mais copié-collé sans modif, ça les a transformées en cible passive.

Pas de blame sur Cloudflare ou qui que ce soit. C'est la preuve que l'industrie voit les exemples doc comme du papier. Or ils sont du code déployable. Tant qu'on change pas ça, les fuites continueront.

Prochain copy-paste config ? Pause. Vérifie si c'est pour toi. Change les placeholders. La doc n'inspire plus l'infra. Elle est l'infra.