Un site inconnu vous inspire un doute ? Vous avez raison de vérifier avant d’agir. Quelques contrôles simples permettent de distinguer une source légitime d’un site à risque, sans créer de compte ni télécharger quoi que ce soit.
Voici ce que nous allons passer en revue ensemble :
- les signaux d’alerte visibles à l’œil nu
- les vérifications techniques accessibles à tous
- les méthodes de validation des sources officielles
- les bons réflexes si vous avez déjà interagi avec le site
Ce guide s’applique à tout domaine inconnu. Nous prenons appui sur des exemples concrets issus de trois types de sources réelles : une revue scientifique (IEJEE), un document financier officiel (SEC/EDGAR) et une clé cryptographique (MongoDB PGP).
Pourquoi un nom de domaine inhabituel doit alerter
Un nom de domaine ne dit pas tout, mais il dit déjà beaucoup. Certains formats combinant des chiffres, des abréviations sans signification claire ou des extensions peu courantes (.xyz, .top, .click) sont surreprésentés dans les signalements de sites frauduleux.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) recense chaque année plusieurs milliers de noms de domaines signalés pour hameçonnage en France. En 2023, plus de 17 000 sites frauduleux ont été signalés via la plateforme Phishing Initiative (données Cert-FR).
Un domaine opaque ne signifie pas automatiquement une arnaque. Mais il justifie toujours une vérification.
Ce que vous pouvez vérifier immédiatement, sans créer de compte
Avant toute interaction, trois vérifications ne prennent pas plus de cinq minutes :
| Vérification | Outil gratuit | Ce qu’on cherche |
|---|---|---|
| Ancienneté du domaine | whois.domaintools.com | Domaine récent (< 6 mois) = signal faible |
| Réputation | Google Safe Browsing | Site signalé ou non |
| Présence dans les bases d’arnaques | scamdoc.com, signal-arnaques.com | Signalements d’utilisateurs |
| Certificat HTTPS | Barre d’adresse du navigateur | Présence du cadenas, identité du certificat |
| Registrant (propriétaire) | who.is | Données masquées ou non cohérentes |
Un site sans certificat HTTPS valide ne doit jamais recevoir de données personnelles ou bancaires.
Vérifier l’identité du site : mentions légales, contact, cohérence
En France, tout site professionnel a l’obligation légale d’afficher des mentions légales complètes (loi pour la confiance dans l’économie numérique, 21 juin 2004). Ces mentions doivent inclure :
- le nom ou la raison sociale de l’éditeur
- une adresse physique vérifiable
- un numéro de téléphone ou un email fonctionnel
- le numéro SIRET ou équivalent pour une entité commerciale
Cherchez ces informations dans le pied de page ou dans une rubrique dédiée. Vérifiez ensuite la cohérence : l’adresse existe-t-elle sur Google Maps ? Le numéro de SIRET est-il valide sur societe.com ou infogreffe.fr ?
Un exemple concret : la revue scientifique IEJEE affiche clairement son éditeur (Kura Publishing House), son adresse physique à Kutahya en Turquie et son ISSN 1307-9298. Ces informations sont vérifiables indépendamment du site lui-même.
Comment utiliser des sources officielles quand un site cite une institution
Certains sites frauduleux citent des institutions réelles (SEC, Banque de France, OMS) pour paraître légitimes. La méthode est simple : remontez toujours à la source primaire.
Exemple avec la SEC/EDGAR : un document financier légitime porte un numéro d’accès unique. Le dépôt de Dominion Resources Inc. du 13 avril 2009 porte le numéro 0001193125-09-077846, type 424B2, consultable directement sur www.sec.gov/cgi-bin/browse-edgar. Si un site vous présente un document financier américain, recherchez ce numéro sur EDGAR. S’il n’y apparaît pas, le document est suspect.
À retenir
- Tout dépôt SEC légal est consultable gratuitement sur edgar.sec.gov
- Un numéro d’accès ne peut pas être inventé : il est horodaté et indexé
- La SEC elle-même rappelle qu’elle n’approuve pas les titres financiers
- Vérifiez toujours l’identité CIK de l’entreprise citée (Dominion : 0000715957)
- Une information qui circule en dehors du document officiel peut être périmée ou falsifiée
Comment vérifier l’authenticité d’un téléchargement avec une clé PGP
Si un site vous propose de télécharger un logiciel ou un fichier, la présence d’une clé PGP publique est un signal de sérieux — à condition de savoir l’utiliser.
Principe en trois étapes :
- Téléchargez le fichier ET la signature associée (.asc ou .sig)
- Importez la clé publique dans un outil comme GPG (GNU Privacy Guard, gratuit)
- Lancez la vérification :
gpg --verify fichier.asc fichier
Exemple concret : MongoDB publie une clé publique identifiée comme "MongoDB 8.0 Release Signing Key packaging@mongodb.com". Cette clé permet de confirmer que le paquet téléchargé provient bien des équipes MongoDB et n’a pas été altéré. Si la vérification échoue, le fichier est compromis ou ne vient pas de la source annoncée.
Un site qui ne propose pas de signature PGP pour ses téléchargements n’est pas forcément frauduleux. Mais un site qui publie une fausse clé PGP dont l’empreinte ne correspond pas à la clé officielle est un signal d’alerte fort.
Distinguer une source académique fiable d’une simple page web
Un site peut afficher une mise en page académique sans en être une. Pour valider une revue scientifique, vérifiez ces critères :
| Critère | Ce qu’on vérifie | Source de vérification |
|---|---|---|
| ISSN valide | Numéro enregistré | portal.issn.org |
| Indexation | Scopus, DOAJ, Web of Science | Portails d’indexation |
| Comité éditorial | Noms vérifiables d’experts réels | Profils académiques publics |
| Politique de peer review | Décrite et détaillée | Page "Policies" du site |
| Ancienneté des archives | Premiers numéros datés | Archives en ligne |
Exemple : IEJEE publie des archives continues depuis Volume 1, N°1 (2008) jusqu’au Volume 18, N°4 (2026). Elle est indexée et son ISSN 1307-9298 est vérifiable sur le portail international de l’ISSN. Ces éléments convergent vers une source légitime.
Une revue sans archives accessibles, sans comité éditorial nommé ou sans ISSN vérifiable est probablement une revue prédatrice (predatory journal).
Que faire si vous avez déjà interagi avec le site
Si vous avez déjà fourni des informations ou téléchargé un fichier, agissez sans attendre :
- Données bancaires communiquées : contactez votre banque dans les 24 heures pour signaler l’incident et bloquer si nécessaire
- Email et mot de passe saisis : changez immédiatement ce mot de passe sur tous les sites où vous l’utilisez
- Fichier téléchargé et exécuté : lancez une analyse antivirus complète (Malwarebytes Free ou Windows Defender)
- Signalement : déposez un signalement sur cybermalveillance.gouv.fr (France) ou via signal-spam.fr
- Données personnelles collectées illégalement : signalez à la CNIL (cnil.fr, formulaire en ligne)
Bonnes pratiques pour éviter les mauvaises surprises
Trois réflexes suffisent à couvrir 80 % des risques courants :
- Ne jamais créer de compte sur un site non vérifié avant d’avoir contrôlé les mentions légales et la réputation
- Utiliser un gestionnaire de mots de passe (Bitwarden, 1Password) pour éviter la réutilisation de mots de passe
- Croiser au moins deux sources indépendantes avant de faire confiance à une information présentée comme officielle
À retenir — les cinq vérifications essentielles
- Vérifiez l’ancienneté et le propriétaire du domaine sur whois.domaintools.com
- Contrôlez le certificat HTTPS et l’identité de l’émetteur
- Cherchez les mentions légales et vérifiez-les de façon indépendante
- Remontez toujours aux sources primaires officielles (EDGAR, ISSN, site éditeur)
- En cas de doute sur un téléchargement, vérifiez la signature PGP avant d’exécuter
La vérification d’un site n’est pas réservée aux experts. Elle s’apprend en quelques minutes et protège efficacement contre la grande majorité des tentatives de fraude en ligne.