Faux mail Cloudflare : renouvellement de domaine impayé

Vous gérez un site et vous recevez un mail « Cloudflare » qui annonce l'échec du paiement du renouvellement de votre nom de domaine, avec une coupure dès le lendemain ? Commencez par une question simple : votre domaine est-il enregistré chez Cloudflare ? Beaucoup de sites passent par Cloudflare pour leurs serveurs de noms ou leur protection, mais achètent leur domaine ailleurs. Cloudflare ne peut renouveler que les domaines inscrits chez Cloudflare Registrar. Si le vôtre est chez un autre bureau d'enregistrement, le message est forcément faux.

Treize faux avis en deux mois

Entre le 25 août et le 25 octobre 2026, l'adresse de contact de mailarnaque.fr a reçu treize mails signés « Cloudflare » au sujet du domaine du site. Or l'annuaire RDAP de l'Afnic indique, au 28 octobre 2026, que mailarnaque.fr n'est pas enregistré chez Cloudflare et qu'il expire le 20 janvier 2027. Ce qui est public, en revanche, ce sont ses serveurs de noms, qui sont ceux de Cloudflare. N'importe qui peut le lire, et c'est vraisemblablement ce qui oriente le choix de la marque imitée.

Les objets reçus, dans l'ordre :

• 25 août, 2 et 9 septembre : « Avis de coupure : Non-paiement du renouvellement de [domaine] »
• 28 août et 1er septembre : « Dernier rappel avant expiration de votre domaine [domaine] »
• 12 septembre : « URGENT : Risque de suspension immédiate pour [domaine] »
• 22 septembre : « Action immédiate requise : Facture impayée - Interruption de service pour [domaine] »
• 30 septembre : « Élément en attente sur votre espace [domaine] »
• 11 octobre, deux fois à une minute d'écart et depuis deux adresses différentes : « Action requise : Échec du paiement pour le renouvellement de votre domaine »
• 15 octobre : « Erreur lors du paiement pour le renouvellement du domaine [domaine] »
• 21 octobre : « Urgent : Mettez à jour vos informations de facturation pour renouveler [domaine] »
• 25 octobre : « Invitation sondage - clients Cloudflare »

Le corps du message change peu. Celui du 25 août :

À chaque envoi, la « date de référence » tombait le lendemain : seule cette date avance d'un message à l'autre, et elle sert à presser le destinataire. Le message du 25 octobre change de prétexte (un sondage, sans demande de paiement) mais garde la même mise en page et la même date au lendemain, avec un seul bouton à cliquer.

Aucun ne venait de Cloudflare

Le nom affiché était toujours « Cloudflare », jamais l'adresse. Sur les treize, trois venaient de comptes Gmail, un d'un domaine russe, un d'un hébergement mutualisé allemand, les autres de sites sans aucun lien entre eux (une clinique, un annuaire automobile, une association...). Le domaine cloudflare.com publie une politique DMARC « reject » (relevé DNS du 28 octobre 2026) : un serveur non autorisé ne peut pas se servir d'une adresse en @cloudflare.com sans être refusé par les messageries qui appliquent cette règle. D'où le recours à des adresses quelconques derrière un nom affiché.

Comment Cloudflare renouvelle vraiment un domaine

La documentation de Cloudflare Registrar décrit un fonctionnement qui contredit ces avis point par point :

• Le renouvellement automatique est activé par défaut. Cloudflare fait une première tentative environ 30 jours avant l'expiration, puis plusieurs autres, la dernière la veille de l'expiration. En cas d'échec, vous recevez un mail et Cloudflare réessaie encore trois fois.
• Les avis d'expiration suivent un calendrier fixe. Le Super Admin du compte reçoit chaque mois la liste des domaines à renouveler dans les 45 jours et celle des domaines qui expirent dans 60 à 90 jours. Le contact titulaire reçoit en plus un mail par semaine le dernier mois, puis un par jour la dernière semaine.
• Un domaine non renouvelé n'est pas supprimé le lendemain. Il entre dans une période de rédemption de 30 jours pendant laquelle on peut le restaurer, éventuellement contre des frais.

Un avis qui annonce la « suspension immédiate » d'un domaine qui n'expire que plusieurs mois plus tard ne correspond à rien de tout cela.

Que faire

Vous avez reçu le message. Ne cliquez pas. Vérifiez votre bureau d'enregistrement et la date d'expiration par l'une des deux méthodes ci-dessus, puis signalez le mail sur signal-spam.fr. Un lien suspect peut aussi être signalé sur Phishing Initiative, comme l'indique Service-Public.fr.

Vous avez saisi vos identifiants Cloudflare. Changez le mot de passe depuis dash.cloudflare.com et activez la double authentification, que Cloudflare recommande à tous les titulaires de compte. Vérifiez ensuite que rien n'a changé dans vos domaines.

Vous avez saisi une carte bancaire. Faites opposition auprès de votre banque, puis contestez les opérations que vous n'avez pas faites.

Ce type de faux avis de renouvellement est une variante de la fraude à la fausse facture, qui vise souvent les entreprises. Pour contrôler l'âge et la configuration d'un domaine inconnu, notre outil vérifier un domaine fait le travail sans ouvrir le site.

Sources

• Cloudflare, Renew domains (documentation de Cloudflare Registrar, consultée le 28 octobre 2026) : renouvellement automatique, tentatives, calendrier des avis, période de rédemption de 30 jours.
• Cloudflare, Two-factor authentication : recommandation d'activer la double authentification.
• Afnic, annuaire RDAP du domaine mailarnaque.fr, consulté le 28 octobre 2026 : bureau d'enregistrement, date d'expiration, serveurs de noms.
• Service-Public.fr, Hameçonnage (phishing ou vishing), vérifié le 10 avril 2026.
• Relevé DNS de l'enregistrement DMARC de cloudflare.com, effectué le 28 octobre 2026.
• Messages reçus sur l'adresse de contact de mailarnaque.fr du 25 août au 25 octobre 2026.