Vérifier si un lien est sûr avant de l’ouvrir

Pour savoir si un lien est sûr, lisez le nom de domaine, la partie de l’adresse qui se termine à la première barre oblique : c’est elle qui dit à qui appartient la page. Regardez la destination sans cliquer, méfiez-vous des adresses raccourcies, et rappelez-vous qu’un vérificateur de lien ne fait que consulter des listes d’adresses déjà connues comme dangereuses.

Par Prudents·9 min de lecture

22/09/2026, 16:34·Mis à jour le 24/09/2026, 17:30

Une personne qui lit l'adresse d'une page avant de toucher le lien sur son téléphone

La plupart des liens dangereux arrivent dans un message fabriqué pour ressembler à une banque, une boutique ou une administration. L’article sur l’hameçonnage couvre tout ce mécanisme. Celui-ci ne parle que du lien : comment lire une adresse, quelles astuces cachent où elle mène, et ce qu’un vérificateur peut ou ne peut pas vous dire.

Les parties d’une adresse web

Avant d’ouvrir un lien, cherchez la partie qui commence après https:// et qui se termine à la première barre oblique. C’est là que se trouve le nom de domaine. Tout ce qui vient après la barre peut pointer vers une page à l’intérieur du site, mais ne change pas qui contrôle l’adresse.

Dans compte.exemple.fr/connexion, le nom de domaine est exemple.fr. Dans exemple.fr.autre-site.example, l’adresse appartient à autre-site.example. Un mot connu placé devant attire l’oeil loin de la partie qui décide vraiment où vous atterrissez.

Les adresses des exemples de cet article se terminent par « .example », une terminaison réservée aux exemples qui n’a aucun site réel derrière elle.

Trouvez le vrai nom de domaine

Lisez-le lentement et cherchez les lettres échangées, les mots ajoutés, les traits d’union inattendus et les terminaisons inhabituelles. Une adresse presque identique à l’originale peut mener vers une page construite pour copier l’apparence d’un service que vous utilisez déjà.

Cybermalveillance.gouv.fr formule la même consigne dans ses conseils pour éviter les cyber-arnaques : vérifiez scrupuleusement l’adresse du site, un seul caractère peut parfois changer. Et le message, lui, raconte toujours une histoire ordinaire, un colis bloqué, un compte verrouillé, un paiement qui a échoué, justement pour vous amener au lien. Si vous ne connaissez pas déjà l’adresse officielle, cherchez-la par vous-même plutôt que de prendre le message comme référence.

Un mot sur les terminaisons françaises. Le « .fr » est géré par l’Afnic et le « .gouv.fr » est réservé aux administrations, ce qui en fait un repère utile : une adresse d’administration française se termine par « .gouv.fr », pas par le nom d’une administration collé devant un autre domaine. Pour autant, le « .fr » seul n’est pas un gage de sérieux, parce que n’importe qui peut en déposer un.

Les astuces qui cachent où mène un lien

Certaines adresses sont montées pour quelqu’un qui lit vite.

L’arobase au milieu de l’adresse. Dans https://[email protected]/tv, tout ce qui précède l’arobase est traité comme un nom d’utilisateur et ignoré au moment de l’ouverture. Le navigateur va sur promos-flash.example. L’astuce est ancienne, et elle marche encore parce que le navigateur ne se trompe pas : l’adresse est vraiment écrite comme ça, et le nom connu placé devant l’arobase n’est là que pour être lu par une personne.
Des lettres identiques empruntées à un autre alphabet. Le « a » cyrillique se dessine comme le « a » que vous lisez, mais pour un ordinateur c’est une autre lettre, donc une autre adresse. Pour rendre ça plus difficile, Chrome affiche l’adresse sous une forme bizarre commençant par xn-- quand il repère un mélange d’alphabets suspect, d’après la documentation de Chromium, qui précise notamment que le latin, le cyrillique et le grec ne peuvent pas se mélanger entre eux. Une adresse qui apparaît ainsi dans la barre mérite un second regard.
La marque utilisée comme sous-domaine. Dans banque.exemple.service-client.example, le nom connu est placé devant, mais le propriétaire de l’adresse est service-client.example.

Voir la destination avant d’ouvrir

Sur un ordinateur, posez le curseur sur le lien sans cliquer et lisez l’adresse qui apparaît dans un coin de l’écran. L’aide de Gmail recommande exactement ce geste : si l’adresse ne correspond pas à ce que le lien annonce, elle peut mener vers un faux site.

Sur un téléphone, appuyez longuement sur le lien, sans relâcher, jusqu’à ce que l’adresse complète ou un menu qui l’affiche apparaisse. Sur certains téléphones, le même geste ouvre aussi un aperçu de la page. Si cela arrive, ne touchez rien à l’intérieur de l’aperçu, et si vous craignez de l’ouvrir par accident, laissez le lien tranquille et cherchez le service par vous-même.

Un lien reçu par SMS ou par messagerie

Dans une application de messagerie, un lien arrive en général avec un aperçu : une image et un titre. Cet aperçu est construit à partir de la page elle-même, et celui qui fabrique un faux site choisit le titre et l’image qui y apparaissent. Cela ne dit rien sur le propriétaire de l’adresse.

Un lien envoyé par quelqu’un que vous connaissez mérite la même lecture, parce que son compte a pu être pris, ou parce que la personne a transféré le message sans le vérifier. Si la demande touche à de l’argent ou à des informations personnelles, appelez cette personne sur le numéro que vous aviez déjà. Dans un SMS, le nom de l’expéditeur peut aussi être imité, ce que couvre le faux SMS.

Un exemple inventé

Dans le groupe de famille, quelqu’un transfère une promotion sur un téléviseur avec le lien https://[email protected]/tv. Avant de toucher, Robert appuie longuement sur le lien, lit l’adresse en entier et remarque l’arobase au milieu. Le nom de la boutique est bien là, mais la page qui s’ouvrirait appartient à un autre site. Il tape lui-même l’adresse de la boutique dans son navigateur et ne trouve aucune promotion de ce genre.

Si le SMS était frauduleux, transférez-le au 33700, sans rien ajouter. Pour un appel, envoyez au 33700 la mention « spam vocal » suivie du numéro. C’est gratuit, et Service-Public précise que les signalements partent chez les opérateurs, qui peuvent couper les numéros en cause. Le blocage n’est pas immédiat : plus un numéro est signalé, plus les opérateurs peuvent agir.

Liens raccourcis et QR codes

Un raccourcisseur remplace une longue adresse par une courte, du genre lien-court.example/x7K2, et cache la destination jusqu’à l’ouverture. De vraies entreprises utilisent des raccourcisseurs, donc un lien court ne prouve rien en soi, mais il vous empêche de lire le nom de domaine.

Un QR code fonctionne pareil : c’est une adresse écrite sous une forme que votre appareil photo sait lire. Si le code apparaît sur une facture, une affiche ou un message que vous n’attendiez pas, n’utilisez pas votre appareil photo pour savoir s’il est authentique. Cherchez l’information dans l’application ou sur le site que vous connaissez déjà.

Ce que le cadenas ne prouve pas

Une adresse en https veut dire que la connexion entre votre navigateur et ce site est chiffrée, donc que les données circulent brouillées. C’est important, mais un faux site peut avoir le https lui aussi. Cela ne dit rien sur le fait que l’entreprise nommée sur la page en est propriétaire, que l’offre est réelle, ou qu’un paiement arriverait à la bonne personne.

L’aide de Chrome sur la sécurité de la connexion donne d’ailleurs la consigne qui compte vraiment : vérifiez le nom du site dans la barre d’adresse pour vous assurer que vous êtes bien sur le site que vous vouliez consulter, avant de partager la moindre information sensible. Le navigateur vous avertit quand une connexion n’est pas protégée, mais il ne se prononce pas sur l’honnêteté de la page.

L’apparence ne tranche pas non plus. Copier les couleurs, les photos et les textes d’une page est facile. Un site soigné peut appartenir à quelqu’un d’autre, alors qu’une page légitime peut être toute simple.

Les vérificateurs de lien et où ils s’arrêtent

Certains sites comparent une adresse à des listes d’adresses déjà connues comme dangereuses. Vous copiez le lien, sans l’ouvrir, et vous le collez dans le vérificateur.

L’état du site de la Navigation sécurisée de Google : il dit si Google considère l’adresse comme dangereuse en ce moment. Un site tout neuf peut ne pas encore figurer sur la liste.
VirusTotal : il compare l’adresse à des dizaines de moteurs antivirus et de listes de blocage. Attention : le service explique lui-même que les résultats sont partagés avec ses partenaires et sa communauté, et que le contenu soumis peut être accessible à ses clients payants.

D’où deux précautions. D’abord, l’absence d’avertissement n’est pas une approbation : cela veut seulement dire que cette adresse n’est pas encore arrivée sur les listes, et un faux site créé hier peut ressortir propre. Ensuite, ne collez pas un lien qui porte vos propres informations, comme votre nom, un numéro de compte, un code ou une adresse de réinitialisation de mot de passe, parce qu’il peut finir visible par d’autres personnes.

Il existe aussi un endroit où signaler, et pas seulement vérifier : Phishing Initiative, géré par Orange Cyberdefense. Les adresses confirmées par leurs analystes sont transmises aux navigateurs partenaires, qui les bloquent. Signaler une adresse ne vous dit rien sur-le-champ, mais protège les personnes qui la recevront après vous.

Quand il vaut mieux ne pas l’ouvrir du tout

Personne n’est obligé de tester chaque lien qu’il reçoit. Si le message parle d’une banque, d’une livraison, d’un achat, d’une prestation ou d’un compte bloqué, ouvrez le service vous-même à la place. Cherchez le problème dans votre propre compte, et regardez le nom de celui qui recevrait un éventuel paiement.

Si le lien mène vers une boutique ou un formulaire d’inscription, cela vaut la peine de savoir qui est derrière avant de payer. C’est ce que détaille reconnaître un faux site, avec les mentions légales, le numéro SIREN et l’annuaire des entreprises.

Si vous l’avez déjà ouvert

Si vous avez seulement chargé la page sans rien saisir, fermez-la, et ne téléchargez aucun fichier, n’acceptez aucune demande d’autorisation. Si vous avez saisi un mot de passe, changez-le depuis l’adresse officielle, et si vous utilisiez le même ailleurs, changez-le aussi à ces endroits. Si vous avez téléchargé un fichier ou autorisé une installation, arrêtez toute opération financière sur cet appareil jusqu’à ce qu’une aide technique fiable l’ait examiné.

Si de l’argent est déjà parti, appelez tout de suite votre banque et dites que le paiement était frauduleux, parce que ce qui peut encore être fait dépend beaucoup de votre rapidité. Pour faire opposition sur une carte, le serveur interbancaire au 0 892 705 705 fonctionne 24 heures sur 24. Un paiement par carte non autorisé se conteste par écrit auprès de votre banque, dans les treize mois après le débit, et Service-Public décrit la marche à suivre. Un virement instantané, lui, est irrévocable une fois exécuté.

Signalez ensuite : le paiement frauduleux par carte sur Perceval, une fois l’opposition faite, et la plainte en ligne sur THESEE, le service du ministère de l’Intérieur. Si vous ne savez pas par où commencer, 17Cyber pose quelques questions et vous oriente, gratuitement.

Les sources que nous avons consultées

Les outils et le comportement des navigateurs décrits ici ont été vérifiés le 22 septembre 2026 sur ces pages :

Les adresses des exemples sont inventées et se terminent par « .example ». Les procédés qu’elles montrent sont réels. Cet article ne donne aucun chiffre et ne remplace pas un conseil juridique.

Questions fréquentes sur la sécurité des liens

Existe-t-il un site qui dit avec certitude si un lien est sûr ?

Non. Les vérificateurs comparent une adresse à des listes d’adresses déjà connues comme dangereuses. Un avertissement est une bonne raison de ne pas l’ouvrir, mais l’absence d’avertissement veut seulement dire que cette adresse n’est pas encore arrivée sur ces listes.

J’ai ouvert le lien mais je n’ai rien saisi. Est-ce que je risque quelque chose ?

Le risque est en général beaucoup plus faible, mais cela dépend de ce qui a suivi. Si vous n’avez rien saisi, rien téléchargé, rien installé et accepté aucune autorisation, fermez la page. Si vous avez fait l’une de ces choses, suivez les étapes de la partie sur ce qu’il faut faire après avoir ouvert un lien.

Un lien envoyé par quelqu’un que je connais est-il sûr ?

Pas forcément. Son compte a pu être pris, ou la personne a pu transférer le message sans le vérifier. Lisez l’adresse comme vous liriez n’importe quelle autre, et si le sujet touche à de l’argent ou à des informations personnelles, confirmez avec elle par téléphone.

Un lien raccourci est-il toujours une arnaque ?

Non. Des entreprises utilisent aussi des raccourcisseurs. Le problème est qu’une adresse courte cache la destination, donc si le lien est arrivé dans un message que vous n’attendiez pas, cherchez le service par vous-même plutôt que de l’ouvrir.