Comment vérifier un lien reçu par SMS ou courriel ?

Un SMS annonce un colis en attente. Un courriel demande de confirmer un paiement. Avant de décider si le message est authentique, distinguez deux questions : où mène le lien, et attendiez-vous cette demande ? L’examen de l’adresse aide pour la première ; une vérification indépendante est nécessaire pour la seconde.

1. Faites une pause avant d’ouvrir ou de répondre

Le guide du FBI sur l’usurpation et le phishing décrit comment de petites modifications de noms ou d’URL peuvent imiter un expéditeur fiable. Face à une pression pour payer ou vous connecter, ouvrez vous-même votre application ou un favori habituel. Un logo convaincant n’est pas une confirmation. Source en anglais.

Pour examiner une adresse, utilisez l’option de copie du lien de votre messagerie sans naviguer. Les interfaces diffèrent : sur certains téléphones, un appui long affiche un aperçu qui peut charger du contenu. Si vous ne pouvez pas copier sans ouvrir d’aperçu, passez cette étape et utilisez votre chemin habituel vers le service.

2. Repérez le nom d’hôte réel

Prenez cet exemple fictif, présenté en texte simple :

https://accounts.example.com@signin.example.net/verify

Le nom d’hôte est signin.example.net. Le texte familier placé avant @ appartient à la partie réservée aux informations utilisateur. Il ne fait pas de example.com la destination. De même, example.com.signin.example.net n’est pas un sous-domaine de example.com.

Notre vérificateur local de liens utilise l’analyseur d’URL du navigateur pour afficher le nom d’hôte. Saisissez une référence comme example.com uniquement si vous l’avez obtenue indépendamment. Une correspondance signifie que le nom d’hôte correspond à la référence ou à l’un de ses sous-domaines ; elle ne vérifie pas l’organisation ou la page.

3. Prenez les signaux comme des questions, pas une note

• HTTP : l’adresse indiquée ne demande pas HTTPS. À l’inverse, HTTPS seul ne prouve pas la fiabilité.
• Une adresse IP : demandez pourquoi le message pointe vers un numéro plutôt que le nom que vous utilisez habituellement.
• Un nom internationalisé : un libellé xn-- représente des caractères internationaux. Des sites légitimes en utilisent aussi ; comparez attentivement.
• Un lien raccourci : l’adresse visible peut cacher une autre destination. Le vérificateur ne reconnaît que certains services et ne les développe pas.
• Un encodage, des barres obliques inverses ou un port inhabituel : examinez le résultat de l’analyse du navigateur plutôt que la première impression visuelle.

Une adresse ordinaire peut mener à un site malveillant ou compromis. Aucune liste de motifs visibles ne démontre qu’un téléchargement est sain ou qu’une demande est légitime.

4. Gardez les liens privés hors des scanners publics

Un lien de réinitialisation ou d’invitation peut contenir un secret donnant accès à un compte. Ne le publiez pas sur un forum et ne le partagez pas sans précaution. Notre vérificateur traite le texte dans l’onglet, ne contacte pas la destination et n’envoie pas l’adresse aux statistiques. Utilisez Effacer après l’examen. L’analyse ne vérifie ni la réputation, ni le DNS, ni les certificats, ni le contenu, ni les redirections.

5. Vérifiez la demande par un chemin connu

Pour un paiement, une livraison ou une alerte inattendue, consultez votre compte depuis l’application ou le favori habituel. La FTC recommande de contacter l’entreprise par un site ou un numéro dont vous connaissez l’authenticité, plutôt qu’avec les coordonnées du message. Au travail, utilisez votre canal de signalement établi. Source en anglais.

Si vous avez saisi un mot de passe sur une page suspecte, contactez rapidement votre assistance vérifiée et changez le mot de passe concerné depuis le véritable service. Examinez les identifiants réutilisés et les options de révocation des sessions. Si un appelant vous a demandé une approbation MFA, suivez la checklist de notre guide sur le faux support informatique.

Votre décision finale doit dépendre de la demande vérifiée indépendamment, pas d’un résultat rassurant fourni par un outil d’URL.