Comment vérifier qu'un lien est sûr avant de cliquer

Pour vérifier qu'un lien est sûr avant de cliquer, regardez la véritable URL qui se cache derrière, lisez le domaine de droite à gauche, développez-le s'il est raccourci et soumettez tout lien douteux à un scanner gratuit comme Google Safe Browsing ou VirusTotal. Un seul clic imprudent sur un mauvais lien peut vous mener vers une fausse boutique, une page d'hameçonnage ou un téléchargement que vous n'avez jamais voulu. La bonne nouvelle : presque tous les liens dangereux se trahissent avant que vous cliquiez, à condition de savoir où regarder. Voici une routine pratique que vous pouvez appliquer en moins d'une minute.

Étape 1 : voir d'abord la véritable URL

Ne jugez jamais un lien d'après son texte cliquable. Les mots affichés à l'écran peuvent dire n'importe quoi ; ce qui compte, c'est l'adresse qui se trouve derrière.

• Sur un ordinateur : survolez le lien avec la souris sans cliquer. La véritable destination apparaît dans le coin inférieur gauche de votre navigateur ou dans une petite infobulle.
• Sur un téléphone : appuyez longuement sur le lien. Un aperçu de l'URL complète s'affiche, généralement avec une option pour la copier. Copiez-la au lieu de l'ouvrir.
• Dans un e-mail : survolez le lien comme indiqué ci-dessus, et vérifiez aussi l'adresse réelle de l'expéditeur, pas seulement le nom affiché. Un message signé « Votre banque » envoyé depuis une adresse de webmail quelconque suffit à vous répondre.

Étape 2 : lire le domaine de la bonne manière

Les escrocs comptent sur le fait que les gens lisent les URL de gauche à droite et s'arrêtent trop tôt. Lisez plutôt le domaine (la partie située juste avant la première barre oblique simple) de droite à gauche.

Dans paypal.com.secure-login.info, le vrai site est secure-login.info. « Paypal.com » n'est qu'un libellé de sous-domaine que n'importe qui peut créer. Le domaine authentique correspond toujours aux deux derniers éléments avant le premier « / » : paypal.com, amazon.co.uk, temu.com.

Les astuces de sosies à surveiller

• Lettres interverties ou ajoutées : arnazon, tem-u, paypa1 (avec le chiffre un). Zoomez si la police rend certaines lettres difficiles à distinguer.
• Mots ajoutés : amazon-support.com ou temu-outlet.shop ne sont ni Amazon ni Temu. Les grandes marques vendent depuis leur domaine principal, pas depuis des déclinaisons avec trait d'union. Si un lien prétend appartenir à une boutique connue, comparez-le au domaine officiel indiqué sur la page d'avis de cette boutique : par exemple, l'avis HasTrust sur Temu indique la véritable adresse.
• Extensions inhabituelles : une marque familière associée à une extension peu connue comme .top, .icu ou .buzz mérite une méfiance accrue, surtout si elle s'accompagne d'une remise énorme.

Étape 3 : développer les liens raccourcis

Les liens courts (bit.ly, tinyurl, t.co et autres) masquent complètement la destination, c'est pourquoi les escrocs les adorent dans les SMS et les publications sur les réseaux sociaux. Avant de cliquer, collez le lien court dans un outil de développement d'URL comme CheckShortURL, ou ajoutez un « + » à la fin de la plupart des liens bit.ly pour afficher une page d'aperçu. Une fois la véritable destination visible, appliquez-lui les étapes 1 et 2.

Étape 4 : ne pas se fier uniquement au cadenas

L'icône du cadenas (HTTPS) signifie seulement que la connexion est chiffrée ; elle ne dit rien sur l'identité de la personne à l'autre bout. La plupart des fausses boutiques et des pages d'hameçonnage affichent elles aussi un cadenas. Considérez l'absence de cadenas comme un signal d'alerte, mais ne considérez jamais sa présence comme une preuve de sécurité.

Étape 5 : tester le lien avec des outils gratuits

Lorsqu'un lien passe le contrôle visuel mais que vous avez encore des doutes, laissez un scanner l'examiner à votre place :

1. Google Safe Browsing : recherchez « Google transparency report site status », puis collez l'URL pour voir si Google l'a signalée.
2. VirusTotal : collez l'URL et des dizaines de moteurs de sécurité l'analysent simultanément.
3. HasTrust : si le lien provient d'un message suspect, collez le message entier dans le vérificateur d'arnaques, qui évaluera ensemble le lien et la formulation. Si le lien mène à une boutique en ligne, vous pouvez rechercher la boutique sur HasTrust pour voir ses indicateurs de confiance et ce que rapportent d'autres acheteurs.

Étape 6 : en cas de doute, passez par le site directement

L'habitude la plus fiable de toutes : ne cliquez tout simplement pas sur les liens figurant dans des e-mails ou SMS inattendus. Si « votre banque », « la poste » ou « votre boutique préférée » vous signale un problème avec votre compte ou un colis, fermez le message et saisissez vous-même l'adresse du site officiel dans votre navigateur, ou ouvrez l'application de l'entreprise. Si l'alerte est réelle, elle vous y attendra. Si vous ne la trouvez pas, appelez le numéro imprimé sur votre carte ou figurant dans une correspondance officielle antérieure, jamais celui indiqué dans le message.

Comment savoir si un site web ou un lien est sûr (et légitime)

Pour savoir si un site web ou un lien est sûr, vérifiez où il mène réellement, puis si des scanners de sécurité ou d'autres personnes l'ont signalé. Survolez-le ou appuyez longuement dessus pour révéler la véritable adresse, lisez le domaine de droite à gauche et développez d'abord tout lien raccourci.

Ensuite, collez l'adresse dans Google Safe Browsing ou VirusTotal, comme décrit à l'étape 5. Un résultat sans alerte est rassurant, mais il signifie seulement que personne n'a encore signalé le site : les pages d'arnaque toutes récentes passent souvent ces vérifications.

« Sûr à ouvrir » et « fiable pour acheter » ne sont pas la même chose. Une page peut être exempte de logiciels malveillants et être pourtant une boutique qui encaisse le paiement sans jamais expédier ; si le lien mène à une boutique, poursuivez donc avec les vérifications de la section suivante avant de payer.

Comment vérifier si un site web est légitime

Pour vérifier si un site web est légitime, contrôlez trois choses avant de payer : le véritable domaine (étapes 1 et 2 ci-dessus), un moyen réel de joindre l'entreprise et ce que d'autres personnes en disent. Une boutique légitime permet de savoir facilement qui la gère ; une boutique douteuse rend la chose difficile.

• Coordonnées : recherchez un véritable nom de société, une adresse physique et une adresse e-mail ou un numéro de téléphone fonctionnels. Une page « contact » qui ne propose qu'un formulaire web, voire rien du tout, est mauvais signe.
• Prix et pression : des remises bien inférieures à celles de toutes les autres boutiques, des comptes à rebours et la mention « plus que 2 en stock » sur chaque produit sont des tactiques de pression classiques destinées à vous empêcher de vérifier.
• Avis extérieurs : recherchez le nom du site associé au mot « avis », et recherchez la boutique sur HasTrust pour voir ses indicateurs de confiance et ce que rapportent d'autres acheteurs.
• Moyens de paiement : privilégiez les boutiques proposant des moyens de paiement avec protection de l'acheteur. Une boutique qui n'accepte que les virements bancaires, les cartes cadeaux ou les cryptomonnaies ne vous laisse aucun recours pour récupérer votre argent.

Si vous avez un lien plutôt qu'un site, la même routine s'applique : développez-le s'il est raccourci, lisez le domaine de droite à gauche, analysez-le avec les outils de l'étape 5, et seulement ensuite jugez la boutique qui se trouve derrière.

Vérifier une boutique précise : un site comme mangoly.shop est-il légitime, et où trouver les avis ?

Le moyen le plus rapide de vérifier une boutique précise (mangoly.shop ou tout autre nom que vous venez de découvrir) est de rechercher son domaine exact sur HasTrust et de lire ce que d'autres acheteurs ont rapporté, en plus des vérifications ci-dessus. Aucun signal ne prouve à lui seul qu'une boutique est honnête ou malhonnête ; évaluez donc plusieurs signaux ensemble.

• Lisez le domaine en entier : les noms inconnus portant des extensions comme .shop méritent la lecture complète de droite à gauche décrite à l'étape 2, surtout lorsqu'ils s'accompagnent de fortes remises.
• Recherchez l'essentiel : des coordonnées, une politique de retour qui mentionne une adresse réelle et des photos de produits qui ne sont pas manifestement copiées d'autres sites.
• Cherchez des avis à plusieurs endroits : une boutique sans aucun avis indépendant nulle part n'est pas automatiquement une arnaque, mais cela signifie que vous achetez sans filet de sécurité ; agissez en conséquence.

Lorsque vous cherchez des avis, utilisez le domaine exact, et pas seulement le nom de la boutique. Des noms qui se ressemblent peuvent appartenir à des boutiques complètement différentes ; assurez-vous donc que les avis que vous lisez concernent bien l'adresse sur laquelle vous vous trouvez.

Comment vérifier si une adresse e-mail est une arnaque

Pour vérifier une adresse e-mail, lisez la partie située après le @ exactement comme le domaine d'un lien : de droite à gauche, en ignorant tout ce qui précède le @. Le nom avant le @ peut dire n'importe quoi (« support », « facturation », un nom d'employé plausible) ; seul le domaine vous indique d'où le message peut réellement provenir.

• Faites correspondre le domaine à l'entreprise : les véritables entreprises écrivent depuis leur propre domaine. Un message qui prétend venir d'une marque connue mais envoyé depuis un webmail gratuit ou un domaine sans rapport est un signal fort que quelque chose ne va pas.
• Recherchez l'adresse exacte : saisissez l'adresse complète entre guillemets dans un moteur de recherche et voyez si d'autres l'ont signalée. L'absence de résultats ne signifie pas qu'elle est sûre : créer de nouvelles adresses ne coûte rien aux escrocs.
• Testez le message entier : collez l'e-mail complet, liens compris, dans le vérificateur d'arnaques, qui évalue ensemble l'expéditeur, les liens et la formulation.

N'oubliez pas que les adresses d'expéditeur peuvent aussi être usurpées : même un domaine d'apparence correcte n'est donc pas une garantie. Si le message demande de l'argent, des mots de passe ou des informations personnelles, appliquez l'étape 6 : contactez l'entreprise via son site web ou son application officiels, jamais en répondant au message.

Vous avez déjà cliqué ? Faites ceci maintenant

• Ne saisissez rien. Ouvrir une page ne suffit généralement pas à vous nuire ; taper un mot de passe ou un numéro de carte, si. Fermez l'onglet.
• Si vous avez saisi un mot de passe, changez-le immédiatement sur le vrai site, ainsi que partout où vous l'avez réutilisé. Activez l'authentification à deux facteurs.
• Si vous avez saisi les données de votre carte, contactez immédiatement votre banque ou l'émetteur de votre carte et demandez-leur de bloquer la carte et de surveiller les débits.
• Si vous avez téléchargé un fichier, supprimez-le sans l'ouvrir et lancez une analyse antivirus complète.
• Signalez-le : transférez les e-mails d'hameçonnage à la fonction de signalement de votre fournisseur de messagerie et à l'entreprise usurpée ; signalez les SMS frauduleux au numéro de signalement de spam de votre opérateur s'il en existe un dans votre pays.

Faites-en une habitude

Survolez, lisez le domaine de droite à gauche, développez tout lien raccourci et analysez tout ce qui est douteux. Ces quatre gestes permettent de repérer la grande majorité des liens malveillants. Et avant d'acheter dans une boutique à laquelle vous avez accédé par un lien, même un lien qui a passé les vérifications, prenez un moment pour vérifier la boutique elle-même, car une URL sans problème peut tout de même appartenir à une boutique qui n'expédie jamais.