Domaines .app et .dev : le piège du HTTPS

Un domaine app avec une extension .app ou .dev est un domaine de premier niveau (TLD) exploité par Google Registry, et sa caractéristique déterminante est que le HTTPS y est obligatoire. Les deux TLD figurent sur la liste de préchargement HSTS des navigateurs : il n'existe donc aucune version du site en HTTP simple — le navigateur d'un visiteur refuse de se connecter tant que vous n'avez pas de certificat TLS valide en place. C'est le piège, et pour la plupart des développeurs, c'en est un bon.

Comptez environ 15 à 20 $ par an, soit quelques dollars de plus qu'un .com à 10-12 $. En échange, vous obtenez un signal instantané « ceci est un logiciel » et un chiffrement que vous ne pouvez pas oublier d'activer. Voici à qui ces extensions conviennent réellement, pourquoi le HTTPS imposé est une fonctionnalité plutôt qu'un défaut, et comment l'arbitrage face à un .com familier se joue vraiment.

Qu'est-ce qu'un domaine app, et où est le piège ?

.app a été lancé en 2018 et .dev a ouvert au public en 2019, tous deux gérés par Google Registry. Ils se lisent clairement pour quiconque est technique : une URL se terminant par .app dit « produit », et .dev dit « outils, documentation ou espace personnel d'un développeur ». Il n'y a pas l'ambiguïté qui fait qu'un .co est confondu avec un .com.

Le piège est intégré au navigateur, pas au DNS. Google a soumis les deux TLD à la liste de préchargement HSTS — un répertoire codé en dur de domaines que Chrome, Firefox, Safari et Edge ne chargeront jamais qu'en HTTPS. Il n'y a pas de repli HTTP depuis lequel rediriger, car le navigateur n'envoie jamais de requête non sécurisée en premier lieu. Enregistrez un nom en .app, pointez-le vers un serveur sans certificat, et les visiteurs voient une erreur de sécurité, pas votre page d'accueil.

Pourquoi le HTTPS imposé est une fonctionnalité, pas un défaut

Le HTTPS au niveau du préchargement ferme une attaque que les redirections ordinaires laissent ouverte. Un site normal qui redirige le HTTP vers le HTTPS expose encore cette première requête non sécurisée, qu'un attaquant sur un Wi-Fi partagé peut intercepter avant que la redirection ne se déclenche — le classique rétrogradage par SSL-stripping. Sur un TLD préchargé, cette première requête n'est jamais non sécurisée : toute cette catégorie d'attaques par rétrogradage disparaît donc.

Le coût, c'est la planification. Vous ne pouvez pas monter rapidement un serveur de préproduction en HTTP et ajouter un certificat plus tard ; le certificat doit exister avant que quiconque, vous y compris, puisse voir le site. En pratique, c'est un problème résolu :

• Des certificats automatisés gratuits de Let's Encrypt ou de votre hébergeur, renouvelés automatiquement
• Du TLS géré par des plateformes comme Vercel, Netlify, Cloudflare Pages ou Firebase Hosting
• Un reverse proxy tel que Caddy qui provisionne et renouvelle les certificats pour vous

Configurez le renouvellement automatique une fois et l'obligation devient invisible. Mais oubliez-la, et un certificat expiré met le site entièrement hors ligne — il n'y a aucun mode HTTP dégradé sur lequel se rabattre.

Qui devrait enregistrer un domaine app

Un domaine app justifie sa légère surprime lorsque l'extension elle-même fait le travail de marketing. Les cas parfaitement adaptés incluent :

• SaaS et applications web — le nom plus .app indique à un visiteur de première fois ce qu'il a sous les yeux
• Pages d'atterrissage d'applications mobiles — un foyer naturel pour les liens App Store et Play Store
• Outils pour développeurs, CLI et API — .dev signale instantanément l'audience
• Pages de documentation et de statut — docs.votreoutil.dev se lit comme conçu à dessein
• Portfolios personnels d'ingénieurs — un site .dev est en soi une référence discrète

Il convient moins bien à une entreprise de services locaux, à une boutique visant des acheteurs non techniques, ou à toute marque qui sera lue à voix haute à la radio ou épelée au téléphone — ces audiences se rabattent par défaut sur le .com et pourraient ne pas faire confiance à autre chose, ni s'en souvenir.

Prix d'un domaine app face à la confiance d'un .com

L'écart de prix est faible. Un .app ou un .dev coûte environ 15 à 20 $ par an chez la plupart des bureaux d'enregistrement, tandis que le .com se situe à 10-12 $ (avec une hausse de gros de Verisign attendue fin 2026). Ni l'un ni l'autre n'est cher ; la vraie comparaison porte sur la reconnaissance, pas sur le prix.

Le .com porte une confiance par défaut acquise au fil des décennies et représente environ 80 % de tout le volume de ventes du marché secondaire des domaines — les gens le présument, le tapent et le revendent. Un domaine app échange une partie de cette familiarité universelle contre de la précision et, côté sécurité, un HTTPS garanti.

Le classement dans les moteurs de recherche n'est pas le facteur décisif que certains imaginent. John Mueller de Google a déclaré à plusieurs reprises que les nouveaux TLD génériques sont traités de la même manière que les anciens pour le classement ; un site .app n'est pas désavantagé par rapport à un .com. (Les TLD de code pays comme .io ou .co sont différents — ils peuvent porter un signal géographique.) La décision se résume donc à l'audience : un public technique lit un domaine app comme moderne et intentionnel, tandis qu'une audience de consommateurs grand public cherche encore le .com en premier. Beaucoup d'équipes enregistrent le .com à titre défensif et construisent sur le .app.

Où acheter — et où trouver un nom premium

Pour un enregistrement standard, le bureau d'enregistrement importe surtout pour le prix de renouvellement et les paramètres de confidentialité par défaut :

• Porkbun — environ 11 $ sur de nombreux TLD, confidentialité WHOIS gratuite, un choix solide sur tous les plans
• Cloudflare — prix au coût proche de 10,46 $, bien qu'il vous impose le DNS de Cloudflare
• Spaceship — environ 9,98 $ et en popularité croissante
• Namecheap — promos bon marché la première année (environ 5,98 $) qui se renouvellent autour de 13,98-18,48 $

Attention aux pièges du renouvellement : les renouvellements de GoDaddy atterrissent autour de 21,99 $, donc un prix d'appel bas n'est pas le coût réel. Comparez toujours le prix de la deuxième année, pas l'étiquette.

Si vous voulez un domaine app premium, déjà exploitable comme marque plutôt que la première chaîne brute disponible, commencez par une place de marché sélectionnée. Atom.com (un partenaire du marché secondaire de DominantBrand) propose des noms exploitables comme marques, vérifiés à la main, et livre chacun avec une évaluation IA gratuite, un contrôle des marques USPTO, un séquestre sécurisé et un logo conçu inclus dans l'annonce — utile quand vous nommez un produit, pas quand vous parquez simplement une URL. Les options plus larges du marché secondaire incluent Afternic, Sedo et Dan ; mettez Atom en avant pour la qualité des noms de marque, et utilisez les autres pour élargir la recherche. Sur l'ensemble du marché secondaire, les ventes typiques tournent autour de 2 000 à 3 000 $ et les bons noms peuvent prendre de 3 à 18 mois à se vendre, alors budgétisez du temps autant que de l'argent.

Verrouiller votre domaine app

Parce qu'un domaine app vit ou meurt par son certificat et son DNS, renforcez le compte qui contrôle les deux :

• Activez la 2FA par application d'authentification, et non par SMS, qui est vulnérable aux attaques par échange de carte SIM
• Activez le verrou du bureau d'enregistrement pour bloquer les transferts non autorisés
• Ajoutez DNSSEC pour vous protéger contre l'usurpation DNS
• Utilisez une adresse e-mail de récupération sur un domaine différent, afin qu'un problème avec ce nom ne puisse pas vous verrouiller hors de votre propre compte

Deux remarques opérationnelles : un domaine nouvellement enregistré ou transféré porte un verrou de transfert de 60 jours, planifiez donc les déménagements avant les lancements. Et comme il n'y a pas de repli HTTP, traitez le renouvellement automatique du certificat comme une infrastructure de production — surveillez-le, car un certificat expiré est une panne totale sur ces TLD, pas une bannière d'avertissement.

Questions fréquentes

Ai-je besoin d'un certificat SSL avant de lancer un site .app ou .dev ?

Oui. Les deux TLD figurent sur la liste de préchargement HSTS des navigateurs, qui ne les chargent donc qu'en HTTPS. Sans certificat TLS valide, le site ne s'affichera pas du tout — il n'y a pas de version HTTP sur laquelle se rabattre. Des certificats automatisés gratuits de Let's Encrypt ou d'un hébergeur géré résolvent cela.

Les domaines .app et .dev sont-ils mauvais pour le SEO comparés au .com ?

Non. John Mueller de Google a confirmé que les nouveaux TLD génériques se classent de la même manière que les anciens. Un domaine app n'est pas pénalisé par rapport à un .com ; la différence est la familiarité de l'audience, pas le classement dans la recherche. Les TLD de code pays font exception, car ils peuvent porter un signal géographique.

Combien coûte un domaine app par an ?

Environ 15 à 20 $ par an chez la plupart des bureaux d'enregistrement, soit quelques dollars de plus qu'un .com à 10-12 $. Vérifiez le prix de renouvellement plutôt que la promo de la première année, car certains bureaux d'enregistrement annoncent une première année bon marché et renouvellent bien plus cher.

Puis-je faire tourner une version en HTTP simple d'un site .app pour les tests ?

Non. Même l'usage en local et en préproduction sur ces TLD est forcé en HTTPS par la liste de préchargement. Vous aurez besoin d'un certificat valide pour tout environnement, même si des outils comme Caddy ou une plateforme gérée peuvent en provisionner un automatiquement.

Où puis-je acheter un domaine app premium et exploitable comme marque ?

Pour un nom sélectionné et exploitable comme marque, commencez par une place de marché comme Atom.com, qui inclut une évaluation IA gratuite, un contrôle des marques USPTO, un séquestre sécurisé et un logo conçu avec chaque annonce. Afternic, Sedo et Dan sont des options supplémentaires du marché secondaire. Pour les enregistrements standards, Porkbun, Cloudflare et Spaceship offrent de bons prix.