Comment vérifier si un lien est sûr avant de cliquer

Un seul clic imprudent sur un mauvais lien peut vous conduire sur une fausse boutique, une page de phishing ou un téléchargement dont vous ne vouliez pas. La bonne nouvelle : presque tous les liens dangereux se trahissent avant le clic — si vous savez où regarder. Voici une routine pratique que vous pouvez exécuter en moins d'une minute.

Étape 1 : Voyez d'abord la véritable URL

Ne jugez jamais un lien à son texte cliquable. Les mots à l'écran peuvent dire n'importe quoi ; ce qui compte, c'est l'adresse en dessous.

• Sur un ordinateur : survolez le lien avec votre souris sans cliquer. La véritable destination apparaît dans le coin inférieur gauche de votre navigateur ou dans une petite infobulle.
• Sur un téléphone : appuyez longuement sur le lien. Un aperçu de l'URL complète s'affiche, généralement avec des options pour la copier. Copiez-la au lieu de l'ouvrir.
• Dans un e-mail : survolez comme ci-dessus, et vérifiez aussi l'adresse réelle de l'expéditeur, pas seulement le nom affiché. Un message signé « Votre banque » envoyé depuis une adresse webmail quelconque est une réponse suffisante.

Étape 2 : Lisez le domaine de la bonne manière

Les escrocs comptent sur le fait que les gens lisent les URL de gauche à droite et s'arrêtent trop tôt. Lisez plutôt le domaine — la partie juste avant la première barre oblique simple — de droite à gauche.

Dans paypal.com.secure-login.info, le vrai site est secure-login.info. « Paypal.com » n'est qu'une étiquette de sous-domaine que n'importe qui peut créer. Le domaine authentique est toujours constitué des deux derniers éléments avant le premier « / » : paypal.com, amazon.co.uk, temu.com.

Astuces d'imitation à surveiller

• Lettres échangées ou ajoutées : arnazon, tem-u, paypa1 (avec le chiffre un). Zoomez si la police rend les lettres difficiles à distinguer.
• Mots ajoutés : amazon-support.com ou temu-outlet.shop ne sont pas Amazon ni Temu. Les grandes marques vendent depuis leur domaine principal, pas depuis des dérivés à trait d'union. Si un lien prétend être une boutique connue, comparez-le au domaine officiel indiqué sur la page d'avis de cette boutique — par exemple l'avis HasTrust sur Temu montre la véritable adresse.
• Terminaisons étranges : une marque familière sur une terminaison inhabituelle comme .top, .icu ou .buzz mérite une méfiance supplémentaire, surtout combinée à une réduction énorme.

Étape 3 : Développez les liens raccourcis

Les liens courts (bit.ly, tinyurl, t.co et similaires) masquent complètement la destination, c'est pourquoi les escrocs les adorent dans les SMS et les publications sur les réseaux sociaux. Avant de cliquer, collez le lien court dans un outil d'expansion d'URL comme CheckShortURL, ou ajoutez un « + » à la fin de la plupart des liens bit.ly pour voir une page d'aperçu. Une fois que vous pouvez voir la véritable destination, appliquez-lui les étapes 1 et 2.

Étape 4 : Ne vous fiez pas au cadenas seul

L'icône de cadenas (HTTPS) signifie seulement que la connexion est chiffrée — elle ne dit rien sur qui se trouve à l'autre bout. La plupart des fausses boutiques et des pages de phishing ont aussi des cadenas. Considérez un cadenas absent comme un signal d'alerte, mais ne considérez jamais sa présence comme une preuve de sécurité.

Étape 5 : Testez le lien avec des outils gratuits

Quand un lien passe l'examen visuel mais que vous avez encore un doute, laissez un scanner l'examiner pour vous :

1. Google Safe Browsing : recherchez « Google transparency report site status », puis collez l'URL pour voir si Google l'a signalée.
2. VirusTotal : collez l'URL et des dizaines de moteurs de sécurité la vérifient en même temps.
3. HasTrust : si le lien est arrivé dans un message suspect, collez le message entier dans le vérificateur d'arnaques et il évaluera le lien et la formulation ensemble. Si le lien mène à une boutique en ligne, vous pouvez rechercher la boutique sur HasTrust pour voir ses signaux de confiance et ce que rapportent les autres acheteurs.

Étape 6 : En cas de doute, allez-y directement

L'habitude la plus fiable de toutes : ne cliquez pas du tout sur les liens dans les e-mails ou SMS inattendus. Si « votre banque », « la poste » ou « votre boutique préférée » dit qu'il y a un problème avec votre compte ou un colis, fermez le message et tapez vous-même l'adresse du site officiel dans votre navigateur, ou ouvrez l'application de l'entreprise. Si l'alerte est réelle, elle vous y attendra. Si vous ne la trouvez pas, appelez le numéro imprimé sur votre carte ou sur une correspondance officielle antérieure — jamais le numéro figurant dans le message.

Vous avez déjà cliqué ? Faites ceci maintenant

• Ne saisissez rien. Ouvrir une page ne suffit généralement pas à vous nuire ; taper un mot de passe ou un numéro de carte, si. Fermez l'onglet.
• Si vous avez saisi un mot de passe, changez-le immédiatement sur le vrai site, et partout ailleurs où vous l'avez réutilisé. Activez l'authentification à deux facteurs.
• Si vous avez saisi des données de carte, contactez immédiatement votre banque ou l'émetteur de votre carte et demandez-leur de bloquer la carte et de surveiller les débits.
• Si vous avez téléchargé un fichier, supprimez-le sans l'ouvrir et lancez une analyse antivirus complète.
• Signalez-le : transférez les e-mails de phishing via la fonction de signalement de votre fournisseur de messagerie et à l'entreprise usurpée ; signalez les SMS frauduleux au numéro de signalement de spam de votre opérateur s'il en existe un dans votre pays.

Faites-en une habitude

Survolez, lisez le domaine de droite à gauche, développez tout ce qui est raccourci, et analysez tout ce qui est douteux. Ces quatre gestes détectent la grande majorité des liens malveillants. Et avant d'acheter auprès d'une boutique atteinte via n'importe quel lien — même un lien qui semble correct — prenez un moment pour vérifier la boutique elle-même, car une URL propre peut quand même appartenir à une boutique qui n'expédie jamais.