Vérificateur de lien
Collez une adresse pour savoir où elle mène vraiment. Le lien est ouvert par nos serveurs, jamais par votre navigateur : vous voyez où il mène, ainsi que l'âge et le certificat du domaine que vous avez collé (pas ceux de la destination), sans exposer votre appareil. L'âge du domaine n'est pas disponible pour toutes les extensions.
Ce que cette vérification mesure vraiment
Lire l'adresse permet de repérer un mot suspect, une extension exotique, une marque imitée. C'est utile, mais un fraudeur contourne ces vérifications en une minute. Ici, l'analyse de la forme n'est que la première moitié. La seconde interroge réellement le réseau.
- La chaîne de redirections
- Chaque saut est suivi un par un et affiché. Un lien raccourci est déplié en suivant ses redirections HTTP, dix sauts au plus, sans que vous ayez à l'ouvrir. Une redirection déclenchée par la page elle-même (script ou actualisation automatique) n'est pas suivie, et un serveur qui ne répond pas en six secondes interrompt la chaîne : la dernière adresse affichée n'est alors pas forcément la destination finale.
- La résolution DNS
- Le domaine pointe-t-il encore vers un serveur ? Un site frauduleux peut être abandonné ou fermé après sa campagne et ne plus répondre.
- Le certificat de sécurité
- Son émetteur, sa date d'émission et sa validité. Un certificat récent n'a rien d'anormal, ils sont renouvelés automatiquement ; il ne pèse dans le résultat que si le domaine lui-même vient d'être créé. Un certificat expiré, en revanche, est relevé quel que soit l'âge du domaine, à condition que l'adresse que vous collez soit en https : le certificat n'est lu que sur cette adresse, pas sur la destination d'une redirection.
- L'âge du domaine
- Lu dans le registre officiel (protocole RDAP), pas estimé. C'est le signal le plus difficile à falsifier pour un fraudeur. L'outil ne parvient pas à lire cette date pour toutes les extensions : pour plusieurs d'entre elles (.eu, .de, .be, .it, .es, entre autres), l'âge s'affiche « inconnu » et ne compte pas dans le résultat.
Lire une chaîne de redirections
C'est l'information que cherchent la plupart des gens quand ils vérifient un lien : où est-ce que ça m'emmène, en fait ? Un raccourcisseur d'adresse ne dit rien de sa destination, et c'est précisément pour cette raison qu'il est utilisé dans les messages frauduleux.
L'outil affiche chaque étape avec son code de réponse. Si la chaîne commence sur un raccourcisseur connu et se termine sur un site ordinaire, il n'y a rien à en conclure : rediriger est la fonction même d'un raccourcisseur. Ce qui compte alors, c'est la destination. L'outil n'en analyse que la forme de l'adresse : l'âge du domaine et le certificat affichés restent ceux du raccourcisseur. Pour les mesurer sur la destination, collez l'adresse d'arrivée dans le champ et relancez l'analyse.
En revanche, un lien qui semble mener chez un commerçant ou une administration et qui atterrit en réalité sur un autre domaine est un signal sérieux. Cette redirection-là n'a aucune raison d'être discrète.
Ce que l'âge du domaine vous apprend
Une campagne frauduleuse peut s'appuyer sur un nom de domaine neuf, par exemple parce que les précédents ont été bloqués. Un domaine enregistré il y a moins d'un mois qui vous réclame un paiement ou vos identifiants mérite donc une méfiance particulière, même si tout le reste paraît normal.
L'inverse n'est pas vrai pour autant. Un domaine ancien peut avoir été racheté, ou piraté, et servir à héberger une page de collecte. L'ancienneté rassure, elle ne garantit rien.
Ce que cet outil ne peut pas faire
Aucun vérificateur automatique ne remplace votre jugement, et prétendre le contraire serait malhonnête. Voici les limites concrètes de celui-ci.
- Il n'analyse pas le contenu de la page
- Seul le titre de la page d'arrivée est relevé et affiché, rien d'autre n'est examiné. Un site peut être impeccable techniquement et vendre des produits qui n'arriveront jamais. L'outil mesure l'infrastructure, pas l'honnêteté commerciale. Pour une boutique en ligne, les contrôles à faire avant de payer (mentions légales, numéro Siren, conditions de vente) sont détaillés dans notre guide sur le faux site marchand.
- Il ne voit pas ce qui est réservé aux victimes
- Certaines pages frauduleuses ne s'affichent qu'après un clic depuis un SMS, ou seulement pour des visiteurs venant d'un pays donné.
- Un résultat rassurant n'est pas une garantie
- L'absence de signal signifie que rien de mesurable n'a été détecté, pas que le site est digne de confiance.
Croiser avec les listes de sites signalés
Ce vérificateur décrit le lien : où il mène, depuis quand le domaine existe, quel certificat il présente. Il ne consulte aucune liste de sites déjà signalés comme dangereux. Deux services gratuits le font, et leur réponse complète utilement la nôtre.
- Google Safe Browsing
- La recherche par site du rapport de transparence de Google indique si Google considère actuellement l'adresse comme dangereuse. Un site absent de cette liste n'est pas sûr pour autant : elle ne contient que les sites déjà repérés.
- VirusTotal
- VirusTotal fait examiner l'adresse par plus de 70 antivirus et services de listes de blocage, selon sa documentation. La même page précise que le rapport est partagé avec la communauté publique du service, et que le contenu de la page analysée peut l'être avec ses clients payants : n'y soumettez pas un lien qui contient votre nom, votre adresse email ou un identifiant qui vous est propre.
Si le lien vous paraît dangereux
N'ouvrez pas la page et ne saisissez jamais d'identifiants sur un site atteint depuis un message. Si vous l'avez déjà fait, changez immédiatement le mot de passe concerné, ainsi que celui de tout autre compte où vous l'utilisiez. En cas de saisie de données bancaires, appelez votre banque pour faire opposition sans attendre.
En France, le service de signalement de Cybermalveillance.gouv.fr vous oriente vers la plateforme compétente (Phishing Initiative pour l'adresse d'un site d'hameçonnage) ; vous pouvez aussi transférer un SMS suspect au 33700 et signaler un contenu illicite sur la plateforme PHAROS (internet-signalement.gouv.fr). L'envoi d'un SMS au 33700 est gratuit chez Bouygues Telecom, Orange et SFR ; chez les autres opérateurs, il coûte le prix d'un SMS normal. Ces signalements alimentent les blocages qui protègent les personnes suivantes.
Questions fréquentes sur la vérification de liens
- Comment savoir si un lien est fiable ?
- Regardez d'abord le nom de domaine, c'est-à-dire ce qui se trouve juste avant la première barre oblique qui suit « https:// » : c'est lui qui décide où le lien vous emmène. Lisez-le lettre par lettre, car un seul caractère modifié suffit à imiter une adresse connue. Tout le reste de l'adresse peut contenir n'importe quel mot rassurant. Ensuite, vérifiez où le lien redirige réellement et depuis combien de temps le domaine existe. Un domaine récent qui imite une marque connue doit vous alerter.
- Quel site utiliser pour vérifier un lien ?
- Ce vérificateur montre où mène réellement le lien, l'âge du domaine et son certificat, sans ouvrir la page sur votre appareil. Pour savoir si l'adresse est déjà signalée comme dangereuse, croisez ce résultat avec la recherche par site Google Safe Browsing ou avec VirusTotal, qui interroge plus de 70 antivirus et listes de blocage. Aucun de ces services ne garantit qu'un lien est sûr : ils ne connaissent que ce qui a déjà été repéré ou mesuré.
- Est-ce dangereux de cliquer sur un lien juste pour le vérifier ?
- Oui, et c'est inutile. Ouvrir la page peut confirmer que votre adresse est active, déclencher un téléchargement, ou vous exposer à une page de collecte convaincante. C'est pourquoi cet outil ouvre le lien depuis nos serveurs et vous en rapporte le résultat : votre appareil n'est pas exposé. Notre serveur visite toutefois l'adresse complète : si elle contient un identifiant qui vous est propre, l'expéditeur peut voir qu'elle a été consultée, et un lien à usage unique (confirmation, désinscription, réinitialisation de mot de passe) peut être consommé.
- Comment voir où mène un lien raccourci sans l'ouvrir ?
- Collez-le dans le champ ci-dessus. Chaque redirection est suivie et affichée jusqu'à la dernière adresse obtenue, avec le code de réponse de chaque étape. Vous voyez l'adresse à laquelle aboutissent les redirections HTTP, dans la limite de dix sauts, avant de décider quoi que ce soit. Une page qui redirige ensuite par script, ou qui ne répond pas à notre serveur, peut mener ailleurs que l'adresse affichée.
- Un lien en HTTPS avec un cadenas est-il forcément sûr ?
- Non, et c'est un malentendu très répandu. Le cadenas indique seulement que la connexion est chiffrée entre votre navigateur et le serveur. Les certificats sont gratuits et délivrés en quelques minutes, y compris à un site frauduleux. Le cadenas protège le transport de vos données, il ne dit rien de la personne qui les reçoit.
- Un domaine en .com est-il plus sérieux qu'une autre extension ?
- Pas en soi. Certaines extensions peu coûteuses sont surreprésentées dans les campagnes frauduleuses, ce dont l'analyse tient compte, mais un .com s'achète tout aussi facilement. L'extension n'est qu'un indice parmi d'autres, qui ne suffit pas à lui seul à faire basculer le résultat : un domaine créé depuis moins d'un mois ou l'imitation d'une marque connue pèsent plus lourd.
- Que faire si j'ai déjà saisi mes informations sur un site douteux ?
- Agissez tout de suite. Changez le mot de passe concerné, puis celui de tous les comptes où vous utilisiez le même. Si vous avez communiqué des données bancaires, contactez votre banque pour faire opposition. Conservez le message et l'adresse reçus : ils serviront à votre signalement et à une éventuelle plainte.
Liens partenaires : nous pouvons percevoir une commission, sans surcoût pour vous.
Types d'arnaques
Faux colis par SMS : ce que le transporteur ne demande jamais
SMS de colis en attente avec lien ou frais : ce que La Poste réclame vraiment, où vérifier le suivi, où signaler et que faire après un paiement.
Faux mail de banque : les gestes des premières heures et vos droits
Faux mail ou SMS de votre banque : déroulé de la fausse connexion, ordre des démarches (opposition, Perceval) et règles de remboursement.
Faux mail de streaming : abonnement suspendu, carte et compte visés
Paiement refusé, abonnement suspendu : comment vérifier dans votre compte et quoi faire si vous avez saisi votre carte ou votre mot de passe.
Faux SMS des impôts ou d'amende : ce que l'administration n'envoie pas
Remboursement d'impôt ou amende impayée par SMS : ce que la DGFiP et l'ANTAI n'envoient jamais, leurs sites de paiement, et quoi faire ensuite.