Reconnaître un faux site avant de payer

Une fausse page peut copier le nom, les photos, les descriptions de produits, les avis et le bas de page d’une vraie boutique. Qu’elle soit bien faite dit seulement que quelqu’un l’a bien construite. Cela ne dit pas qui contrôle l’adresse.

Commencez par le nom de domaine, la partie de l’adresse liée à celui qui répond du site. Vérifiez ensuite le canal officiel et le paiement en dehors de la page sur laquelle vous êtes tombé. Aucun signe isolé ne donne de certitude, mais un détail qui ne colle pas suffit pour s’arrêter.

Ce qu’il faut vérifier en une minute

Si vous êtes sur le point de payer, faites seulement ceci :

1. Lisez l’adresse dans la barre du navigateur, lettre par lettre. L’adresse, pas le nom imprimé sur la page.
2. Cherchez la dénomination et le numéro SIREN ou SIRET dans les mentions légales, les conditions générales ou la politique de confidentialité, puis vérifiez ce nom ailleurs que sur le site.
3. Cherchez le nom de la boutique avec le mot « arnaque » ou « litige », loin de sa propre page.
4. Regardez qui va recevoir l’argent. Comparez le nom affiché par votre banque ou par la page de paiement avec l’entreprise que vous venez de chercher.

Si quelque chose ne colle pas, ne payez pas encore. Quittez la page et cherchez vous-même l’adresse officielle avant d’aller plus loin.

1. Lisez l’adresse lettre par lettre

L’adresse entière mérite votre attention, parce que des mots connus peuvent être placés à des endroits qui ne disent rien sur le propriétaire du domaine. Cybermalveillance.gouv.fr fait le même constat dans ses conseils pour éviter les cyber-arnaques : vérifiez scrupuleusement l’adresse du site, un seul caractère peut parfois changer.

Les adresses des exemples de cet article sont inventées et se terminent par « .example », une terminaison réservée aux exemples qui n’appartient à aucun site réel. Prenons https://paiement.boutique-exemple.example/commande. Le protocole est « https:// », le nom complet du site est « paiement.boutique-exemple.example », le nom de domaine est « boutique-exemple.example » et le chemin est « /commande ». Le nom de domaine est la dernière partie avant la première barre oblique, et c’est elle qui décide à qui appartient la page. Pour savoir à qui appartient une adresse reçue, comparez ce nom de domaine avec l’adresse officielle que vous avez trouvée par vous-même.

• Une lettre changée ou doublée. Une lettre en trop, un « i » devenu « l », un « m » écrit « rn ».
• Un mot collé au bout. Quelque chose comme « officiel », « promo », « france » ou « destockage » ajouté au vrai nom.
• Une marque glissée dans le sous-domaine ou dans le chemin. Un mot connu peut apparaître avant le nom de domaine, ou après le nom du site dans le chemin, sans rendre l’adresse officielle pour autant.
• Une terminaison inhabituelle. Une boutique qui vend en France se termine le plus souvent en « .fr », « .com » ou « .eu ». Une terminaison rare, ou une adresse d’hébergement gratuit avec le nom de la marque dedans, demande un deuxième regard. Attention : le « .fr » n’est pas un label de qualité non plus, parce que n’importe qui peut en déposer un.

Deux habitudes couvrent presque tout : n’ouvrez pas la boutique depuis le lien d’un message et, en cas de doute, tapez l’adresse vous-même ou entrez par l’application déjà installée sur votre téléphone. Les autres pièges, comme l’arobase au milieu d’une adresse ou les lettres empruntées à un autre alphabet, sont dans vérifier si un lien est sûr.

2. Cherchez qui est derrière l’entreprise

Une vraie boutique dit qui elle est. En France, les mentions légales sont obligatoires sur un site professionnel : la dénomination ou le nom de la personne, l’adresse, le numéro d’immatriculation, un moyen de contact, le numéro de TVA le cas échéant, et le nom de l’hébergeur. Service-Public détaille ce qui doit y figurer. Une boutique qui vend dans toute la France et qui ne vous donne qu’un formulaire et un prénom a laissé de côté exactement l’information dont vous auriez besoin si la commande tournait mal.

Cherchez ensuite ce nom. L’annuaire des entreprises est un service public gratuit qui reprend les données de l’INSEE et de l’INPI. Vous pouvez y chercher par nom ou par numéro SIREN. Ce que vous comparez est simple : est-ce qu’une entreprise de ce nom existe, est-ce qu’elle est toujours en activité, et est-ce que son activité déclarée a un rapport avec ce qu’on vous vend.

Le SIREN identifie l’entreprise, sur neuf chiffres. Le SIRET identifie un établissement de cette entreprise, sur quatorze chiffres, dont les neuf du SIREN. Les mentions légales d’une boutique en ligne donnent souvent l’un ou l’autre : les deux se cherchent au même endroit.

Ne rien trouver n’est pas, à soi seul, une preuve d’arnaque. Une entreprise peut vendre sous un nom commercial différent de sa dénomination, et une boutique installée dans un autre pays de l’Union européenne n’apparaîtra pas dans l’annuaire français. Ce que cela veut dire, c’est que vous ne savez toujours pas à qui vous payez, et c’est la question à laquelle les autres vérifications doivent répondre.

3. Regardez l’âge du site

Les données publiques d’un nom de domaine comprennent la date à laquelle il a été déposé. Pour un domaine en « .fr », le registre est tenu par l’Afnic, et sa base Whois est consultable gratuitement. Pour les autres terminaisons, la recherche publique de l’ICANN montre la même chose.

L’Afnic précise que le nom et les coordonnées des titulaires particuliers sont masqués par défaut, donc le champ utile est presque toujours la date de création. Pour une société, les informations administratives restent visibles, ce qui permet de recouper avec les mentions légales.

Un domaine déposé il y a quelques semaines mérite plus de prudence quand il arrive avec un prix étrange, un contact qui ne répond pas, ou un paiement qui part vers un nom sans rapport. À lui seul, l’âge ne démontre rien : des sites honnêtes sont lancés tous les jours, et des sites anciens se font pirater.

4. Regardez deux fois le prix et l’urgence

Un prix très en dessous de tout le monde, à côté d’un délai qui se termine, c’est la combinaison qui vaut la peine de ralentir. Les deux sont là pour que vous sautiez les vérifications.

• Un prix hors du marché : comparez-le avec d’autres boutiques plutôt que de faire confiance au chiffre de l’annonce.
• Un délai compté en minutes : les comptes à rebours, les « dernières pièces » et la menace de perdre l’offre existent pour que vous ne regardiez pas.
• Une remise liée à un moyen de paiement : si l’offre ne tient que si vous payez d’une façon qui ne s’annule pas, vérifiez l’entreprise et le destinataire avant de renoncer à la protection que donne une carte.

5. Testez les canaux de contact

Un numéro écrit sur une page n’est pas la même chose qu’une entreprise qui répond. Cherchez le canal de l’entreprise en dehors du lien qu’on vous a envoyé, et posez une question précise sur la commande, la livraison ou le retour. Un contact qui ne répond jamais, ou qui ne renvoie que des réponses automatiques, ne prouve pas l’arnaque, mais laisse une question importante ouverte.

Comparez le téléphone, l’adresse e-mail et l’adresse postale avec ce que vous avez trouvé dans l’annuaire des entreprises et dans les pages de la boutique. Une entreprise peut utiliser plusieurs services de messagerie ; ce qui compte, c’est de savoir si l’identité, le service client et l’offre racontent la même histoire. Une adresse qui se révèle être un parking ou une boîte aux lettres de domiciliation mérite une question.

6. Cherchez la boutique en dehors de son propre site

Tout ce qui est sur le site, y compris les avis qu’il affiche, est publié par la boutique elle-même. Regardez des sources qu’elle ne contrôle pas, et comparez.

• Cherchez le nom de la boutique avec les mots arnaque, litige ou remboursement.
• Lisez des avis sur des plateformes que la boutique ne possède pas, et méfiez-vous d’un mur de cinq étoiles publiées en quelques jours.
• Regardez si l’entreprise apparaît dans l’annuaire des entreprises avec une activité cohérente, et depuis quand.
• Regardez les alertes des associations de consommateurs et les mises en garde publiées par les administrations sur le secteur concerné.

Il n’existe pas, en France, d’annuaire public qui note les commerçants un par un. Ce qui existe, c’est SignalConso, le service de la DGCCRF : vous y signalez un problème rencontré avec une entreprise, l’entreprise en est informée et peut répondre, et la répression des fraudes intervient si nécessaire. Ce n’est pas un moteur de recherche de réputation, c’est un endroit où votre signalement compte pour la suite.

Vous pouvez aussi regarder l’adresse dans l’état du site de la Navigation sécurisée de Google. Un avertissement connu est une raison de partir. L’absence d’avertissement n’est pas un label de sécurité, parce que cette évaluation ne reflète que ce que le service sait à cet instant.

7. Regardez le moyen de paiement

Le moyen de paiement décide de ce que vous pourrez faire si les choses tournent mal, et c’est pour ça qu’il entre dans la décision, et pas à la fin de celle-ci.

• La carte bancaire a une procédure de contestation derrière elle. En cas d’opération non autorisée, vous faites opposition, vous contestez par écrit auprès de votre banque, et la demande de remboursement se fait dans un délai maximum de treize mois après le débit, ramené à soixante-dix jours quand la banque du bénéficiaire est hors de l’Espace économique européen. Service-Public détaille la marche à suivre et les cas où la banque peut refuser.
• Le prélèvement se conteste aussi. Pour un prélèvement que vous aviez autorisé mais dont le montant ne correspond pas, vous avez huit semaines pour demander le remboursement à votre banque, qui doit vous rembourser dans les dix jours ouvrables. Pour un prélèvement que vous n’avez jamais autorisé, le délai va jusqu’à treize mois, et Service-Public précise que le remboursement est alors de droit.
• Le virement, et surtout le virement instantané, ne revient pas. La Banque de France écrit que les ordres de virement instantané sont irrévocables une fois exécutés, en moins de dix secondes, sept jours sur sept. Votre banque peut tenter une démarche auprès de la banque du bénéficiaire, mais rien ne garantit le retour de l’argent.

Avant de confirmer un virement, lisez le nom du bénéficiaire. Depuis le 9 octobre 2025, les banques de la zone euro doivent proposer gratuitement la vérification du bénéficiaire, qui compare le nom que vous saisissez avec le titulaire du compte de destination. Service-Public décrit les réponses possibles : correspondance, correspondance approchante, absence de correspondance, ou vérification impossible. Dans tous les cas, vous gardez la liberté d’envoyer le virement. Cet avertissement est une information pour vous faire arrêter, pas une assurance.

Si le paiement quitte le site vers un compte de particulier, un numéro de téléphone ou un lien envoyé par message, arrêtez-vous et confirmez par le canal officiel que vous avez trouvé vous-même.

Le cadenas ne prouve rien

Le https protège la connexion entre votre navigateur et le site, mais il ne prouve pas que la boutique est honnête. L’aide de Chrome sur la sécurité de la connexion d’un site vous demande d’ailleurs de vérifier le nom du site dans la barre d’adresse avant de saisir quoi que ce soit. Traitez le https comme une exigence technique, pas comme un label commercial.

La raison est simple : un faux site fabriqué pour récupérer vos données a un https lui aussi, et il l’obtient sans difficulté. Le cadenas dit que personne ne peut lire ce qui passe entre vous et la page. Il ne dit rien sur qui est au bout.

Comment savoir si on peut acheter sur un site

Il n’existe pas de label unique qui dise qu’on peut acheter tranquillement sur un site. Ce qui marche, c’est d’additionner les signes ci-dessus et de finir par deux vérifications faites en dehors des pages de la boutique.

• Qui est l’entreprise : la dénomination et le numéro SIREN des mentions légales, recoupés sur l’annuaire des entreprises. Qu’une société existe ne confirme pas que le site lui appartient ni que l’offre est honnête, mais cela met au moins un nom derrière l’argent.
• Quelle trace elle laisse ailleurs : les avis sur des sites que la boutique ne possède pas, les discussions où son nom revient avec le mot arnaque, et les mises en garde publiques sur le secteur. Une absence de trace ne prouve rien, parce qu’une boutique ouverte il y a quatre jours n’a pas encore d’histoire, et un site qui imite une enseigne connue emprunte la réputation de cette enseigne.

Ces vérifications vous montrent le passé d’une entreprise. Elles ne rendent pas de verdict sur elle. Utilisez le résultat avec l’adresse, les mentions légales et le nom qui apparaît au paiement. Et si vous décidez finalement de ne pas acheter, vous n’avez rien perdu.

Un exemple : les baskets en promotion

1. L’adresse. Dans la barre du navigateur, il y a boutique-exemple-destockage.example, alors que la boutique qu’elle connaît vit sur boutique-exemple.example. Le mot « destockage » collé au nom est déjà une raison de s’arrêter.
2. L’entreprise. Les mentions légales affichent une dénomination et un numéro SIREN, mais l’annuaire des entreprises ne trouve rien sous ce numéro.
3. En dehors du site. En cherchant le nom avec le mot arnaque, elle tombe sur des messages récents de gens qui ont payé et n’ont rien reçu.
4. Le destinataire. Sur l’écran de confirmation, l’argent partirait au nom d’un particulier, pas de la boutique.

Aucune de ces choses, prise séparément, n’aurait prouvé l’arnaque. Ensemble, elles montrent que cette page n’est pas la boutique que Marine connaît. Elle ferme l’annonce, tape l’adresse de la vraie boutique et retrouve les mêmes chaussures au prix normal.

Si vous avez déjà payé

Appelez votre banque dès que vous vous rendez compte du problème. Le responsable est celui qui a monté le faux site, pas vous.

1. Dans la première heure, appelez votre banque. Utilisez le numéro au dos de votre carte ou celui de l’application. Pour faire opposition sur une carte, le serveur interbancaire au 0 892 705 705 fonctionne 24 heures sur 24, et vous recevez un numéro d’enregistrement qui sert de preuve. Si c’était un virement, dites-le tout de suite, parce que là, seule la rapidité est entre vos mains.
2. Gardez tout. L’adresse du site, le justificatif, les messages et la fiche produit, avec des captures faites avant que la page ne disparaisse.
3. Contestez par écrit auprès de votre banque. Pour un paiement par carte non autorisé, la demande de remboursement se fait dans les treize mois après le débit. Si la banque refuse, vous pouvez saisir gratuitement le médiateur désigné par votre établissement.
4. Signalez le paiement frauduleux par carte sur Perceval, traité par la gendarmerie nationale. Il faut avoir encore sa carte en main et avoir déjà fait opposition, avec le numéro d’enregistrement de l’opposition. Perceval est une déclaration, pas un remboursement.
5. Déposez plainte. En ligne sur THESEE, le service du ministère de l’Intérieur qui couvre notamment le faux site de vente, ou en vous rendant dans un commissariat ou une brigade de gendarmerie.
6. Signalez l’adresse du faux site à Phishing Initiative, pour qu’elle soit bloquée plus tôt pour les autres, et le problème rencontré avec l’entreprise sur SignalConso.
7. Surveillez le compte. Les données de carte saisies sur une fausse page de paiement sont souvent testées par un petit débit avant un gros.

Les sources que nous avons consultées

Les vérifications et les règles citées plus haut ont été vérifiées le 22 septembre 2026 sur ces pages :

• Cybermalveillance.gouv.fr : sept conseils pour éviter les cyber-arnaques et la fiche sur les faux sites qui usurpent une entreprise
• Service-Public : les mentions légales obligatoires d’un site
• L’annuaire des entreprises, publié par la direction interministérielle du numérique à partir des données de l’INSEE et de l’INPI
• La base Whois de l’Afnic pour les domaines en « .fr » et la recherche de l’ICANN pour les autres
• SignalConso, le service de la DGCCRF
• Service-Public : fraude à la carte bancaire et la contestation d’un prélèvement
• Banque de France : le virement SEPA instantané et Service-Public : la vérification du bénéficiaire
• Service-Public : le signalement Perceval et Ma Sécurité : la plainte en ligne THESEE
• Phishing Initiative et 17Cyber
• Google : état du site de la Navigation sécurisée et l’aide de Chrome sur la sécurité de la connexion

Les boutiques et les adresses des exemples sont inventées. Les mécanismes qu’elles montrent sont réels, mais aucune boutique existante n’est mise en cause. Cet article ne donne aucun chiffre et ne remplace pas un conseil juridique.

Questions fréquentes sur les faux sites