Ce lien est-il une arnaque ?

Collez le lien reçu : il est décortiqué ici, sans jamais être ouvert

Le lien n'est ni ouvert, ni envoyé, ni enregistré. Il est analysé dans votre navigateur, et affiché en texte simple : rien n'est cliquable, vous ne risquez pas de vous tromper de bouton. Vous pouvez couper votre connexion, la page continuera de fonctionner.

Le lien, ou le message entier qui le contient

Pas de lien sous la main ? Essayez avec un exemple fabriqué pour la démonstration :

Cet outil a besoin de JavaScript pour analyser l'adresse dans votre navigateur. Activez-le, ou lisez simplement les explications ci-dessous : elles suffisent à démasquer la plupart des liens frauduleux à l'œil nu.

Lire une adresse web en dix secondes

Une adresse web se lit à l'envers. Cherchez le premier slash seul (celui qui suit https://) et remontez vers la gauche : les deux mots juste avant ce slash forment le vrai domaine, c'est-à-dire le site que votre navigateur va réellement ouvrir. Tout le reste est décor.

Dans https://compte.client.laposte.fr/suivi, le vrai domaine est laposte.fr : le lien mène bien à La Poste.
Dans https://laposte.fr.suivi-colis.cfd/frais, le vrai domaine est suivi-colis.cfd : « laposte.fr » n'est qu'un décor placé devant.

Retenez la règle : ce qui est écrit avant le domaine n'engage personne, n'importe qui peut y mettre le nom qu'il veut. Ce qui est écrit après le domaine non plus.

Les pièges les plus courants

Le nom de marque placé devant

C'est le piège numéro un, et il fonctionne surtout sur téléphone : l'écran est étroit, il coupe l'adresse au bout de quelques caractères et n'affiche que le début rassurant. Une adresse comme ameli.fr.espace-assure.securite-connexion.xyz apparaît simplement comme « ameli.fr… ».

L'arobase au milieu de l'adresse

Dans une adresse web, tout ce qui précède le signe @ est ignoré par le navigateur. L'adresse https://www.impots.gouv.fr@site-pirate.ru/ n'a rien à voir avec les impôts : elle ouvre site-pirate.ru. C'est une vieille ficelle, et elle marche encore très bien.

Les lettres d'un autre alphabet

Certains alphabets contiennent des lettres identiques aux nôtres à l'œil nu. Un « а » cyrillique, un « о » grec, et voilà un domaine qui s'affiche comme ameli.fr sans en être. Plus simple encore : remplacer le « l » par un « 1 », ou le « o » par un zéro.

Le lien raccourci

Un lien en bit.ly/... ne dit rien de sa destination : il faut l'ouvrir pour la découvrir, ce qui est exactement le problème. Dans un message que vous n'attendiez pas, un lien raccourci est à lui seul une raison suffisante de ne pas cliquer.

Le lien qui télécharge un fichier

Si l'adresse se termine par .exe, .scr, .apk ou .msi, elle ne mène pas à une page mais à un programme. Aucun organisme officiel ne vous demandera jamais d'installer un logiciel pour consulter un remboursement ou suivre un colis.

Le cadenas ne veut pas dire « site de confiance »

C'est l'idée reçue la plus tenace, et la plus coûteuse. Le cadenas et le https signifient uniquement que la communication est chiffrée entre votre appareil et le site : personne ne peut lire au passage ce que vous tapez. Ils ne disent rien de l'honnêteté de celui qui reçoit ces données à l'arrivée.

Le certificat nécessaire est gratuit et obtenu en quelques minutes : la quasi totalité des sites d'hameçonnage affichent aujourd'hui le cadenas. Un site frauduleux bien chiffré reste un site frauduleux.

Sur téléphone, voir un lien sans l'ouvrir

Android et iPhone : posez le doigt sur le lien et maintenez une seconde sans relâcher. Un menu s'ouvre et affiche l'adresse complète en haut. Vous pouvez alors choisir « Copier » pour venir la coller ici.
Sur ordinateur : survolez le lien avec la souris, sans cliquer. L'adresse réelle s'affiche en bas à gauche de l'écran.
Dans un SMS, le lien est souvent déjà en texte brut : sélectionnez-le et copiez-le.

Cinq réflexes qui vous mettent à l'abri

N'entrez jamais dans un compte par un lien reçu. Ni banque, ni impôts, ni Ameli. Ouvrez votre application, ou tapez l'adresse vous-même dans le navigateur.
Méfiez-vous de l'urgence. « Sous 24 heures », « votre compte va être bloqué », « dernier avis » : la pression est l'outil de travail de l'escroc, jamais celui d'une administration.
Une somme minuscule doit vous alerter. Les faux frais de livraison à 1,99 € ne servent pas à encaisser 1,99 €, mais à récupérer votre numéro de carte.
Aucun organisme ne demande un mot de passe ou un code reçu par SMS. Pas au téléphone, pas par e-mail, jamais.
Dans le doute, raccrochez et rappelez vous-même, au numéro figurant sur vos documents habituels, jamais à celui indiqué dans le message.

J'ai cliqué, ou j'ai donné mes informations

Avoir cliqué n'est pas nécessairement grave : c'est ce qui vient ensuite qui compte. Si vous avez saisi quelque chose sur la page :

Coordonnées bancaires : appelez immédiatement votre banque pour faire opposition. Signalez les prélèvements non autorisés : ils doivent vous être remboursés.
Mot de passe : changez-le tout de suite sur le site concerné, et partout où vous utilisiez le même (voir le générateur de mot de passe).
Signalez le message : un SMS frauduleux se transfère au 33700 (gratuit). Un e-mail se signale sur signal-spam.fr, et le faux site sur phishing-initiative.fr.
Faites-vous aider : le dispositif public cybermalveillance.gouv.fr et le service en ligne 17Cyber accompagnent gratuitement les victimes. Un dépôt de plainte reste possible en gendarmerie.
Vérifiez l'ordinateur si un fichier a été téléchargé ou installé.
Le détail, dans l'ordre, selon ce qui s'est passé (code donné, prise en main à distance, paiement…) : Arnaque : que faire ?

Ce que cet outil ne peut pas faire

Soyons clairs sur ses limites, elles comptent autant que ses réponses :

Il lit l'adresse, jamais le contenu du site : il ne l'ouvre pas.
Un « rien d'anormal » ne veut pas dire « sûr ». Une arnaque peut très bien utiliser un domaine irréprochable, et un site honnête peut avoir été piraté à votre insu.
Un « prudence » ne veut pas dire « arnaque » : beaucoup de sites parfaitement légitimes utilisent des liens raccourcis ou des extensions récentes.
Il ne suit pas les redirections : derrière un lien raccourci, la destination reste inconnue.

C'est un outil de lecture, pas un antivirus. Il sert à vous apprendre où regarder : une fois le réflexe acquis, vous n'aurez plus besoin de lui.

Vous préférez qu'on en parle de vive voix ?

Le module de formation Reconnaître les arnaques et faux contenus reprend tout cela pas à pas (hameçonnage, faux supports techniques, fausses bonnes affaires), à domicile, en visio ou à votre rythme. Et si un message vous inquiète maintenant, l'assistance permet d'y jeter un œil ensemble.

Voir le module Me contacter

Page fournie à titre informatif. Aucune analyse automatique ne remplace la prudence : en cas de doute sur un message ou sur la sécurité de vos comptes, faites-vous accompagner.