Comment savoir si un lien est sûr avant de l'ouvrir

Les messages frauduleux fonctionnent quand ils vous font cliquer. Un lien dans un courriel, un texto, une publication sur les réseaux sociaux ou un code QR peut mener à une fausse page de connexion, à une fausse boutique ou à un téléchargement contenant un logiciel malveillant. Savoir comment savoir si un lien est sûr avant de le toucher prend une dizaine de secondes et arrête la plupart de ces attaques. Ce guide présente les vérifications rapides que tout le monde peut faire, les astuces des fraudeurs pour déguiser une adresse et ce qu’il faut faire si vous avez déjà cliqué.

Ce guide est indépendant. Nous ne sommes affiliés à aucune banque, boutique ni entreprise technologique.

Étape 1 : voyez où mène vraiment le lien

Le texte affiché dans un message n’est pas forcément l’adresse de destination. « Suivre votre colis », ou même une adresse qui semble complète, peut mener n’importe où.

• Sur un ordinateur : placez le pointeur de la souris sur le lien sans cliquer. L’adresse réelle s’affiche dans le coin inférieur du navigateur ou dans une petite bulle du logiciel de courriel.
• Sur un téléphone : appuyez longuement sur le lien (sans le toucher brièvement). Un aperçu ou un menu montre l’adresse. Touchez ensuite à côté pour fermer sans ouvrir.
• Dans un texto : l’adresse est en général affichée en entier. Lisez-la calmement avant de la toucher.

Étape 2 : lisez correctement le domaine

Le domaine indique le véritable propriétaire de la page. Pour le trouver :

1. Commencez après https://.
2. Lisez jusqu’à la première barre oblique simple /.
3. Dans cette partie, ce qui se trouve juste avant la terminaison (.com, .org, .ca, .gc.ca) désigne le vrai propriétaire.

Exemples :

Adresse	Vrai propriétaire
https://www.banque-exemple.com/connexion	banque-exemple.com
https://banque-exemple.com.verifier-compte.net/connexion	verifier-compte.net (pas la banque)
https://connexion.banque-exemple.aide-securite.co/	aide-securite.co (pas la banque)
https://www.banque-exemple.com.malveillant.example/	malveillant.example (pas la banque)

Les fraudeurs placent le nom d’une entreprise connue au début de l’adresse et leur propre domaine à la fin, en espérant que vous arrêtiez de lire trop tôt.

Étape 3 : repérez les astuces courantes

• Orthographe imitée : une lettre en trop ou en moins, des lettres inversées, rn qui ressemble à m, un zéro à la place de la lettre O.
• Mots ajoutés : un nom d’entreprise suivi de « -soutien », « -securite », « -verification », « -remboursement » ou « -connexion ».
• Terminaisons inhabituelles : une marque connue avec une terminaison qu’elle n’utilise pas d’habitude.
• Liens raccourcis : ils cachent la destination. Prudence redoublée dans un message inattendu.
• Décalage avec l’expéditeur : un message « de votre banque » dont le lien mène à un site sans rapport.
• Pression : « Votre compte sera fermé aujourd’hui », « Paiement refusé », « Vous avez gagné ». L’urgence est une tactique, pas une raison de cliquer.

Notre guide sur l’arnaque au code QR applique les mêmes vérifications aux codes sur les affiches et les parcomètres, et le guide how to recognise a phishing email (en anglais) détaille les autres signes dans le message lui-même.

Étape 4 : utilisez un vérificateur gratuit

Si le doute persiste, copiez le lien (appui long, ou clic droit puis Copier le lien) et collez-le dans un vérificateur réputé :

• Google Transparency Report, état des sites de la Navigation sécurisée : indique si Google considère actuellement le site comme dangereux.
• La protection intégrée de votre navigateur : Chrome, Edge, Firefox et Safari avertissent sur les sites dangereux connus. Gardez ces protections activées.

Un avertissement veut dire stop. Un résultat propre rassure, mais ne garantit rien : une page frauduleuse toute nouvelle peut ne pas encore être répertoriée.

Étape 5 : le réflexe le plus sûr, passer par le site officiel

La meilleure façon d’éviter un mauvais lien est de ne pas l’utiliser. Si un message parle d’un problème avec votre banque, votre colis, un abonnement ou l’impôt, ouvrez l’application de l’organisation ou tapez vous-même son adresse dans le navigateur, et vérifiez là. Un vrai problème apparaîtra dans votre compte.

Les liens envoyés par des proches

Un message d’un ami, d’un parent ou d’un collègue n’est pas automatiquement sûr. Son courriel ou son compte de réseau social a peut-être été piraté, et les fraudeurs envoient alors des liens à toute la liste de contacts avec des phrases comme « C’est toi sur cette vidéo ? ». Si un lien d’un proche ne lui ressemble pas, demandez-lui par un autre moyen, un appel ou un nouveau texto, avant de l’ouvrir. Apprendre ce réflexe aux parents âgés évite beaucoup de piratages de comptes.

Le cadenas n’est pas un gage de confiance

Le cadenas dans la barre d’adresse signifie que la connexion est chiffrée : personne sur le réseau ne peut lire ce que vous envoyez. Il ne dit rien sur la personne qui gère le site. Beaucoup de pages d’hameçonnage et de fausses boutiques affichent un cadenas.

Si vous avez déjà cliqué

Un simple clic infecte rarement un appareil à jour, mais agissez selon ce qui s’est passé ensuite :

• Vous avez seulement ouvert la page : fermez-la et n’y retournez pas.
• Vous avez saisi un mot de passe : changez-le immédiatement sur le vrai site, en commençant par votre courriel, et activez l’authentification à deux facteurs. Changez-le aussi partout où vous l’aviez réutilisé.
• Vous avez donné des données de carte ou bancaires : contactez votre banque tout de suite, au numéro inscrit sur la carte ou par son application.
• Un fichier a été téléchargé : ne l’ouvrez pas. Supprimez-le et lancez une analyse antivirus.
• Vous avez accepté des notifications ou installé quelque chose : retirez-le ; voir supprimer les fenêtres pop-up et redirections.

Si quelqu’un vous a appelé ou a demandé un accès à distance à votre ordinateur, suivez que faire après une arnaque au soutien technique. Signalez l’hameçonnage à l’organisation imitée et, au Canada, au Centre antifraude du Canada ; aux États-Unis, à la FTC sur ReportFraud.ftc.gov.