Quand on envisage d’acheter un domaine expiré, l’un des premiers réflexes est de le passer sur VirusTotal. Si le résultat affiche 0 détection sur 90 moteurs d’analyse, on est tenté de conclure que le domaine est sain et de passer à l’étape suivante. Ce réflexe est juste, mais il ne suffit pas. Un score VirusTotal propre au moment de l’achat ne garantit pas que le domaine le restera, ni qu’il l’était réellement pendant toute son histoire.

Ce que VirusTotal analyse réellement

VirusTotal est un agrégateur de moteurs antivirus et d’outils de threat intelligence. Pour un domaine, il interroge plus de 90 fournisseurs de sécurité différents — antivirus, bases de réputation, systèmes de détection de phishing — et remonte les résultats de chacun. Si un seul moteur signale le domaine comme malveillant ou suspect, cela apparaît dans le rapport.

Ce que VirusTotal ne fait pas, c’est analyser l’historique complet du domaine dans le temps. Il donne un instantané de la réputation actuelle du domaine auprès de ses partenaires de sécurité. Or, un domaine expiré peut avoir traversé plusieurs vies : une phase légitime, une phase d’exploitation malveillante par un tiers après son abandon, puis une phase de nettoyage avant d’être remis sur le marché. Si les bases de réputation n’ont pas été mises à jour pour refléter cette période intermédiaire, VirusTotal peut afficher un résultat “propre” malgré un passé problématique.

Le problème du cache de réputation

Les moteurs de sécurité qui alimentent VirusTotal ne recrawlent pas tous les domaines en temps réel. Certains maintiennent des listes mises à jour quotidiennement, d’autres hebdomadairement ou selon des déclencheurs spécifiques (signalement utilisateur, détection d’un comportement anormal, etc.). Entre le moment où un domaine a hébergé du contenu malveillant et celui où vous le scannez, plusieurs semaines ou mois peuvent s’être écoulés. Le contenu malveillant a disparu, mais les dommages sur la réputation réelle du domaine auprès de certains filtres restent présents dans des bases que VirusTotal n’interroge pas.

Inversement, un domaine acheté propre peut être contaminé après votre achat si vous tardez à déployer votre site. Des acteurs malveillants surveillent les domaines nouvellement enregistrés ou réactivés. Un domaine qui reste en parking ou sans contenu pendant plusieurs semaines peut être exploité de manière transitoire — notamment via des sous-domaines compromis ou des records DNS détournés — avant que vous ne remarquiez quoi que ce soit.

Ce qu’un seul moteur de détection signifie vraiment

Dans un rapport VirusTotal, voir 1 ou 2 moteurs signaler un domaine comme “malicious” ou “suspicious” sur 90 est souvent traité comme un faux positif. Dans la majorité des cas, c’est effectivement ce que c’est. Mais pour un domaine expiré, ce signal mérite une attention particulière.

Les moteurs spécialisés dans la réputation des domaines (plutôt que dans la détection de fichiers) sont souvent les plus fiables pour évaluer un historique problématique. Un signalement isolé d’un moteur de ce type vaut davantage qu’un signalement d’un antivirus généraliste. Il indique que le domaine figure dans une base de réputation négative, probablement construite à partir de signalements passés ou de comportements observés, et pas uniquement d’un scan à un instant T.

Le contexte Google June 2026 Spam Update

La mise à jour anti-spam de juin 2026 de Google a confirmé et renforcé sa politique sur ce que Google appelle l’expired domain abuse : l’achat d’un domaine expiré dans le but d’hériter de son autorité passée pour publier du contenu non lié ou de faible valeur. Ce comportement figurait déjà dans la liste des pratiques ciblées par SpamBrain, le système automatisé de détection du spam de Google.

Ce que cela implique concrètement : un domaine expiré peut être propre sur VirusTotal et malgré tout présenter un risque SEO élevé si son historique de contenu (tel que conservé dans les archives Wayback) montre des thématiques sans rapport avec votre projet, ou si ses backlinks proviennent de réseaux artificiels. La réputation aux yeux de Google ne se mesure pas de la même façon que la réputation aux yeux des moteurs de sécurité.

Combiner VirusTotal avec d’autres signaux

Pour évaluer correctement un domaine expiré, VirusTotal doit être lu en combinaison avec plusieurs autres sources :

L’historique Wayback Machine permet de reconstituer les usages passés du domaine. Si le contenu archivé révèle des périodes de parking publicitaire agressif, de pages de phishing ou de redirections en série, c’est un signal que les bases de réputation ont peut-être déjà enregistré — même si VirusTotal n’en montre rien aujourd’hui.

Les listes de blacklisting email (SURBL, URIBL, Spamhaus DBL, etc.) couvrent une catégorie de réputation que VirusTotal n’agrège pas systématiquement. Un domaine utilisé dans des campagnes de spam email peut être propre sur VirusTotal et pourtant blacklisté sur les listes mail, ce qui impacte directement la délivrabilité de vos futures communications.

L’historique IP peut aussi révéler des associations problématiques. Un domaine qui a partagé des serveurs avec d’autres domaines malveillants ne sera pas signalé sur VirusTotal pour cette raison, mais cette information renseigne sur le type d’environnement dans lequel il a évolué.

Ce qu’un score VirusTotal propre garantit (et ne garantit pas)

Un résultat 0/90 sur VirusTotal garantit une chose : aucun des moteurs interrogés à cet instant précis ne signale le domaine comme malveillant dans ses bases actuelles. C’est une information utile, et une détection positive reste un signal d’alerte à prendre au sérieux.

Ce que VirusTotal ne garantit pas : que le domaine n’a jamais été exploité, qu’il ne le sera pas à nouveau, ni qu’il est perçu positivement par Google, les filtres email ou les systèmes de réputation web qui n’alimentent pas ses bases.

Pour un achat de domaine expiré, le scan VirusTotal est un prérequis, pas une conclusion. Il doit s’intégrer dans une analyse plus large qui couvre l’historique de contenu, la réputation email, les backlinks et l’historique d’infrastructure.

Dom-Verify agrège automatiquement ces différentes sources — VirusTotal, Wayback Machine, listes de blacklisting email, historique IP — pour produire une analyse complète en quelques secondes. Plus d’informations sur dom-verify.fr.