Vérifier un lien suspect avant de cliquer : le guide simple pour éviter les pièges en France

Un SMS qui annonce un colis bloqué, un e-mail qui réclame une mise à jour de votre compte bancaire, un message WhatsApp d'un proche qui vous envoie un lien étrange : le piège commence presque toujours par un lien. Les escrocs comptent sur la précipitation, car un clic suffit parfois à ouvrir une fausse page de connexion ou à télécharger un logiciel malveillant. La bonne nouvelle, c'est qu'un lien suspect se vérifie en quelques secondes, sans outil compliqué et sans compétence technique. Voici comment faire, étape par étape, sur iPhone comme sur Android, et depuis un ordinateur.

Étape 1 : ne jamais cliquer dans l'urgence

La première vérification ne porte pas sur le lien, mais sur le message qui l'accompagne. Les arnaques jouent presque toujours sur l'urgence : compte bloqué, colis à récupérer aujourd'hui, amende à payer, gain à réclamer. Un organisme sérieux ne vous demandera jamais de cliquer vite sous peine de sanction immédiate. Si le message vous met la pression, arrêtez-vous : c'est déjà un signal d'alerte.

Posez-vous ensuite une question simple : attendiez-vous ce message ? Un lien vers un suivi de colis n'a de sens que si vous avez commandé quelque chose. Un message de votre banque n'a de sens que si vous êtes client de cette banque.

Étape 2 : lire l'adresse sans cliquer dessus

Sur un ordinateur, passez simplement la souris sur le lien sans cliquer : l'adresse réelle s'affiche en bas du navigateur ou dans une infobulle. Sur un téléphone, appuyez longuement sur le lien : un menu apparaît avec l'adresse complète, et souvent un aperçu. C'est le geste le plus utile de ce guide, et il prend deux secondes.

Lisez ensuite le domaine, c'est-à-dire la partie centrale de l'adresse, juste avant le premier slash. Un vrai site d'une banque ou d'un service connu utilise son nom exact : par exemple, le domaine d'Ameli est ameli.fr, celui de La Poste est laposte.fr. Méfiez-vous des variantes : un tiret ajouté, une lettre doublée, un mot en plus comme securite ou verification, ou une extension inhabituelle.

Étape 3 : déplier les liens raccourcis

Les escrocs masquent souvent leurs adresses derrière des liens raccourcis, du type bit.ly ou tinyurl.com, ou derrière un bouton qui affiche un texte rassurant comme « Suivre mon colis ». Dans ce cas, la lecture de l'adresse ne suffit pas : il faut voir où le lien mène vraiment.

Sur un téléphone, l'appui long affiche en général l'adresse de destination. Sur un ordinateur, des sites gratuits permettent de déplier un lien raccourci sans le visiter. Si la destination ne correspond pas à l'organisme annoncé, ne cliquez pas.

Autre réflexe utile : quand un message prétend venir d'un service que vous utilisez, ne passez jamais par le lien reçu. Ouvrez vous-même l'application officielle ou tapez vous-même l'adresse du site dans votre navigateur. Si un colis est vraiment en attente ou si votre compte a vraiment un problème, l'information sera visible dans votre espace personnel.

Étape 4 : vérifier le lien avec un outil gratuit

Quand un lien vous semble douteux mais que vous n'êtes pas sûr, des outils gratuits peuvent l'analyser sans que vous ayez à le visiter. Le plus connu est VirusTotal : vous collez l'adresse dans le champ prévu, et le service la compare aux bases de données de dizaines d'éditeurs de sécurité. Un résultat qui signale le lien comme malveillant est une raison suffisante pour ne pas cliquer.

Google propose aussi un rapport de transparence, appelé Google Safe Browsing, qui indique si une adresse a été signalée comme dangereuse. Ces vérifications prennent moins d'une minute et fonctionnent depuis un navigateur, sur téléphone comme sur ordinateur.

Gardez en tête une limite : un lien tout neuf peut ne figurer dans aucune base. L'absence de signalement ne vaut donc pas certificat de confiance. Si le contexte du message reste bizarre, abstenez-vous, même si l'outil ne trouve rien.

Étape 5 : vérifier l'expéditeur et le contexte

Vérifiez l'adresse e-mail de l'expéditeur en entier, pas seulement le nom affiché : un message signé « Service client » peut venir d'une adresse sans rapport avec l'entreprise. Sur SMS, regardez si le numéro ou le nom de l'expéditeur correspond à celui que l'organisme utilise d'habitude.

Étape 6 : que faire si vous avez déjà cliqué

Si vous avez cliqué et que vous réalisez ensuite que le lien était suspect, agissez vite mais sans paniquer. Si vous avez saisi un mot de passe sur la page, changez-le immédiatement depuis le vrai site ou la vraie application, puis changez aussi les mots de passe des autres comptes qui utilisaient le même. Activez la double authentification partout où c'est possible : elle bloque l'accès même si l'escroc connaît votre mot de passe.

Si vous avez téléchargé un fichier ou une application depuis le lien, ne l'ouvrez pas, supprimez-le, puis lancez une analyse avec l'antivirus de votre téléphone ou de votre ordinateur. Si vous avez communiqué des coordonnées bancaires, contactez votre banque sans attendre pour faire opposition ou surveiller les opérations.

Signalez enfin le message : transférez le SMS frauduleux au 33700 et signalez l'arnaque sur la plateforme PHAROS. Chaque signalement aide à bloquer le lien pour les autres victimes potentielles.

Questions fréquentes

Comment vérifier un lien sur iPhone ou Android sans cliquer ?

Appuyez longuement sur le lien : un menu s'ouvre avec l'adresse complète. Lisez le nom de domaine et comparez-le au site officiel de l'organisme. Si le lien est raccourci, copiez-le et dépliez-le avec un service en ligne, ou analysez-le avec VirusTotal avant toute visite.

Le cadenas et le https garantissent-ils qu'un site est sûr ?

Non. Le cadenas indique seulement que la connexion est chiffrée, pas que le site appartient à l'organisme qu'il prétend représenter. Les sites frauduleux utilisent eux aussi le https. Seul le nom de domaine exact permet de juger de la légitimité d'un site.

Que faire si j'ai cliqué sur un lien frauduleux ?

Changez immédiatement les mots de passe concernés depuis le vrai site, activez la double authentification, et contactez votre banque si vous avez communiqué des coordonnées bancaires. Signalez ensuite le message au 33700 par SMS et sur la plateforme PHAROS.