Guide · Risques des liens · · par Stefan Tsezarov
Lis-le en partant de la droite
Une adresse web dit exactement où elle mène. Simplement pas dans l’ordre où tu la lis.
On t’a dit de vérifier un lien avant de cliquer. C’est un bon conseil, mais la plupart des gens vérifient la mauvaise partie.
Un lien peut porter le nom d’une entreprise connue et mener tout à fait ailleurs. Le nom peut se trouver dans un sous-domaine, dans le chemin ou avant un signe @. Sur un téléphone, le vrai domaine peut être coupé si tu ne déplies pas le lien d’abord.
Une seule habitude règle presque tout :
Lis le domaine en partant de la droite.
Ce guide te montre comment examiner un lien sans l’ouvrir. Il ne prouvera pas qu’un lien est sûr. Il t’aidera à repérer les astuces courantes avant de cliquer.
Ci-dessous : les principales astuces, comment vérifier chacune sans rien ouvrir, et ce qu’une analyse de structure peut et ne peut pas te dire.
01Où pointe une adresse
Prends cette adresse :
Le navigateur la découpe en un schéma, un hôte et un chemin. L’hôte est l’endroit où tu te connectes vraiment. Le chemin est choisi par qui gère cet hôte, et il peut dire ce qu’il veut.
https://schémametamask.io.sous-domaine : choisi par le propriétaire ci-dessoussecure-verify.exampledomaine enregistrable : la destination/loginchemin : choisi par ce même propriétaire
Les quatre parties de https://metamask.io.secure-verify.example/login, dans l’ordre.
Dans cet hôte, le domaine enregistrable est secure-verify.example. Tout ce qui est à sa gauche est un sous-domaine, contrôlé par qui possède secure-verify.example. Un propriétaire peut créer autant de sous-domaines qu’il veut et les nommer presque librement, y compris en appeler un metamask.io.
Ici, metamask.io n’est donc pas la destination. C’est juste une étiquette à gauche.
Ce que signifie « domaine enregistrable »
La partie qui compte est le domaine enregistrable : le nom qu’une personne ou une entreprise peut réellement enregistrer. C’est le suffixe public plus l’étiquette juste devant. Souvent, cela ressemble à example.com. Avec certaines structures de codes pays, cela ressemble à example.co.uk ou example.com.au.
Les navigateurs et les outils de sécurité utilisent des données de suffixes publics pour trouver cette limite. Ne suppose pas que tous les suffixes ont le même nombre d’étiquettes. La consigne pratique est :
puis prends l’étiquette juste avant.
C’est le domaine enregistrable.
Cette limite n’est pas un détail. Notre propre scanner comptait les étiquettes jusqu’au 19 septembre 2026, a décidé que le propriétaire de coinbase.co.uk était co.uk, et a signalé un lien légitime ordinaire comme une usurpation de marque. Un outil qui crie au loup sur de vrais sites finit désactivé, et alors il ne protège plus personne. Ce qui a changé, et ce qu’il ne sait toujours pas déterminer, se trouve dans la Transparence technique.
02Le nom à gauche
Un nom de confiance peut se trouver dans un sous-domaine ou dans le chemin sans rien contrôler.
https://metamask.io/download
https://metamask.io.wallet-check.example/download
La même astuce fonctionne dans le chemin, où elle se lit encore plus naturellement :
Dans les deux exemples trompeurs, le domaine enregistrable est wallet-check.example ou cdn-assets-9931.example. Le nom de la marque n’apparaît que dans un emplacement que remplit le propriétaire de ce domaine.
Sur un téléphone, une longue adresse peut repousser le vrai domaine hors de la vue. Déplie ou copie le lien avant de le juger.
03Des caractères sosies
Ici, l’adresse n’a rien d’astucieux. Quelqu’un enregistre simplement un domaine qui ressemble à un autre.
| Orthographe familière | Sosie | Ce qui a changé |
|---|---|---|
metamask | metarnask | rn peut passer pour m |
paypal | paypa1 | le chiffre 1 peut passer pour un l minuscule |
binance | b1nance | le chiffre 1 peut passer pour un i minuscule |
À cette taille, la différence est évidente. Dans une barre d’adresse, souvent pas.
Un domaine sosie est un vrai domaine. Ce n’est pas un bug du navigateur. Ça marche parce que nos yeux arrondissent les formes semblables.
Regarde la troisième ligne : le même caractère remplace une autre lettre que dans la deuxième. C’est pourquoi la détection automatique est plus difficile qu’il n’y paraît : corrige une orthographe et tu attrapes paypa1 tout en laissant passer b1nance. Notre scanner essaie plusieurs façons de lire un nom au lieu de le ramener à une seule.
Une variante voisine n’a besoin d’aucun caractère sosie. Elle accole simplement des mots au vrai nom :
Chacun de ces exemples place la marque à la position du domaine enregistrable. Le nom n’est ni mal placé ni mal orthographié. Il est seulement accompagné. Les entreprises gèrent légitimement plusieurs domaines, donc cela ne prouve rien à soi seul, mais un domaine inconnu de type marque-plus-mot ne doit pas être considéré comme officiel simplement parce que la marque y figure.
Ne te fie pas seulement à tes yeux. Compare le domaine avec quelque chose en quoi tu as déjà confiance : un favori enregistré, ou l’application officielle.
04Domaines internationalisés et punycode
Les noms de domaine internationalisés permettent d’écrire des domaines dans des alphabets comme le grec, le cyrillique, l’arabe ou le chinois. Pour que les anciens systèmes continuent de fonctionner, beaucoup de ces noms ont aussi une forme ASCII qui commence par xn--. C’est le punycode.
Le punycode n’est pas automatiquement un signal d’alarme. Beaucoup d’organisations légitimes utilisent des domaines internationalisés. Mais un lien punycode inattendu mérite un examen plus attentif, surtout dans un message que tu n’as pas demandé et qui parle d’argent, d’accès à un compte ou de vérification urgente.
Plusieurs lettres cyrilliques se dessinent presque comme des lettres latines (а, е, о, р, с), donc un nom avec des lettres substituées peut paraître presque identique à l’écran tout en étant un domaine sans rapport sur le réseau.
Les navigateurs peuvent afficher la forme Unicode ou la forme ASCII, selon le domaine et leurs propres règles. Un scanner peut repérer le punycode sans pouvoir prouver à quoi ressemble le nom affiché. Signaler le punycode marque quelque chose à examiner ; cela ne prouve pas une fraude.
05Le signe @
Dans une URL HTTP ou HTTPS, tout ce qui précède @ est une information d’utilisateur. Ce n’est pas l’hôte de destination.
https://schémaledger.cominformation d’utilisateur : pas la destination@séparateurledgerlive-verify.examplehôte : le site où tu arrives/devicechemin
Les cinq parties de https://ledger.com@ledgerlive-verify.example/device, dans l’ordre.
L’hôte est ledgerlive-verify.example. Le texte ledger.com n’est pas le site que tu visites.
C’est l’astuce qui résiste à une lecture attentive, parce que le nom familier est vraiment là, fait vraiment partie de l’adresse et est vraiment bien écrit. Un nom familier avant @ ne prouve rien sur le propriétaire du lien.
06Liens raccourcis et codes QR
Un lien raccourci cache la destination jusqu’à ce que tu le déplies ou le suives. Des services comme bit.ly, t.co et cutt.ly sont ordinaires et très utilisés pour de bonnes raisons, ce qui en fait aussi une bonne couverture.
Un code QR cache complètement l’adresse. Le code peut être sans problème, mais tu ne peux pas examiner la destination à partir de l’image.
Notre scanner signale les raccourcisseurs qu’il reconnaît, mais ne les résout pas pour toi. S’il suivait le lien d’un inconnu, il contacterait le serveur de l’attaquant et lui signalerait que le lien a été examiné.
Si tu dois déplier un lien court, utilise un service de confiance, et considère ce qu’il renvoie comme non fiable tant que tu ne l’as pas vérifié.
07Un exemple commenté
Lis-le tel qu’il arriverait vraiment : sur un téléphone, dans une notification, à propos d’un appareil que tu possèdes.
Exemple fictif · domaines réservés
Rien dans ce message ne demande quoi que ce soit de secret. Ni phrase de récupération, ni clé privée, ni mot de passe. Il demande un clic, et c’est ça l’attaque, parce que la page de l’autre côté peut faire la demande suivante une fois que tu y es.
Montre-moi ce qui cloche
Le message utilise plusieurs astuces à la fois :
- Le lien principal place
ledger.comavant@, où c’est une information d’utilisateur et non la destination. L’hôte estledgerlive-verify.example. - Cet hôte porte le nom de la marque accolé à d’autres mots, à la position du domaine enregistrable, donc il a toujours l’air officiel une fois que tu as trouvé la bonne partie de l’adresse.
- Le lien de secours utilise un domaine punycode, présenté comme un miroir pratique. La phrase précédente explique d’avance pourquoi le premier lien pourrait échouer, donc un échec paraît prévu plutôt que suspect.
- Il ajoute de l’urgence et une conséquence : 48 heures, et des transferts sortants présentés comme suspendus.
- Il ne demande qu’un clic. La page de l’autre côté fait la demande suivante une fois que tu y es.
Le détail qui fait l’essentiel du travail, c’est la restriction elle-même. Le message donne une explication d’allure technique pour un état que le destinataire ne peut pas vérifier par lui-même, et y croire ne coûte rien sur le moment.
Notre moteur renvoie FAIL sur ce message : pour le lien avec @, l’hôte punycode et le domaine de marque accolé à d’autres mots. Il y arrive sans interpréter une seule phrase de l’anglais.
08Comment lire une adresse avant de l’ouvrir
Arrête-toi à la première barre oblique simple après le début de l’hôte
Tout ce qui suit cette barre est le chemin. Il peut dire n’importe quoi et ne prouve rien sur le propriétaire du site. S’il y a un @ avant le chemin, ignore tout ce qui est à sa gauche pour déterminer l’hôte.
Trouve l’hôte et lis-le de droite à gauche
Trouve le suffixe public et l’étiquette juste avant. Ensemble, c’est le domaine enregistrable.
Compare-le avec le domaine exact que tu voulais visiter
Pas « est-ce que ça a l’air officiel », ni « est-ce que ça contient la marque ».
Si l’adresse est coupée, déplie-la avant de décider
Mieux encore, ouvre le service avec ton propre favori, ton application enregistrée, ou une adresse que tu as tapée toi-même.
Ne clique pas d’abord pour examiner ensuite.
Examine avant d’arriver.
09Ce que l’analyse peut et ne peut pas te dire
Colle un message dans le scanner et il vérifie la structure des adresses et des liens qu’il couvre, à la recherche des signaux d’alerte habituels.
L’analyse elle-même ne contacte rien. Elle s’exécute dans ton navigateur, et aucun lien du message n’est chargé ni résolu. Si tu appuies ensuite sur Vérifier cette adresse pour une adresse crypto trouvée par l’analyse, cette adresse, et rien d’autre du message, est envoyée au fournisseur de sécurité des adresses. C’est une étape distincte que tu choisis de faire, et la Transparence technique liste exactement ce que reçoit chaque fournisseur.
| L’analyse peut aider à repérer | L’analyse ne peut pas prouver |
|---|---|
Les astuces d’information d’utilisateur avec @ | Qu’un site à la structure normale est légitime |
| Les hôtes en adresse IP brute | Que l’expéditeur est bien celui qu’il prétend être |
| Les raccourcisseurs reconnus | Qu’une destination raccourcie est sûre sans la résoudre |
| Les indices de punycode | À quoi ressemble chaque domaine punycode une fois affiché |
| Les noms de marques à des positions suspectes | Qu’une simple faute d’orthographe est malveillante |
| Les noms de marques accolés à d’autres mots | Qu’un résultat propre signifie qu’il n’y a pas d’arnaque |
| Certains caractères confondables | Qu’un site se comportera de façon sûre une fois ouvert |
| Un contenu d’URL encodé suspect | Qui possède un domaine sur un suffixe qu’il ne sait pas résoudre |
| Les adresses crypto prises en charge dans le message | Qu’une adresse sans résultat appartient bien à qui tu crois |
La structure n’est pas la réputation.
Un résultat propre signifie seulement qu’aucune astuce de structure couverte n’est apparue dans le texte envoyé. Cela ne veut pas dire que le lien, le site, l’expéditeur ou l’offre sont sûrs.
Trois limites méritent d’être dites à part.
Un domaine sans astuce est invisible pour une vérification de structure. wallet-refund-centre.example n’a aucun caractère sosie, aucun nom de marque, rien d’anormal. Enregistré ce matin et hébergeant une copie convaincante de la page de connexion d’un wallet, il passerait cette vérification et la plupart des vérifications semblables. Les systèmes de réputation (des services qui tiennent des listes d’adresses connues comme dangereuses) répondent à une autre question, et ce scanner ne fait pas leur travail.
Les simples fautes d’orthographe ne sont pas détectées de façon fiable. metamsk.io est une faute de frappe, pas une substitution par un caractère confondable. Le scanner ne les détecte pas toutes. C’est une limite connue, pas une promesse tacite.
Le punycode est identifié, pas traduit. Le scanner peut te dire qu’un domaine est sous forme punycode. Il ne peut pas toujours te dire quel nom cette forme écrit.
La règle
La présence du nom familier n’est pas une preuve. Trouve le domaine enregistrable.
C’est la chose la moins chère à placer dans toute l’adresse, et la partie où un lecteur a le plus de chances de s’arrêter.
Chaque adresse de ce guide qui illustre une astuce pointe vers un domaine d’exemple réservé. Ces destinations ne se résolvent pas et ne sont pas de vrais services. Le seul domaine réel imprimé ici est metamask.io, le vrai site de MetaMask. Il apparaît en section 2 comme le cas correct, parce que montrer où un nom de marque a vraiment sa place nécessite une vraie adresse à opposer aux adresses trompeuses.
Le message d’exemple est fictif. Voir aussi : ce que demande en général la page au bout d’un lien, un texte qui ne s’affiche pas du tout et des instructions écrites pour une IA plutôt que pour toi. Cet article a une visée uniquement pédagogique et n’est pas un conseil financier.
Tu lis un message suspect dans ton navigateur ? Le favori d’analyse du texte sélectionné le vérifie sans copier-coller, et le texte reste dans ton navigateur.