CryptoGuide
Arnaques crypto : les 10 schémas les plus courants et comment les reconnaître
Outil gratuit · Arnaques en ligne
Ce site est-il fiable ? Vérifiez son adresse
Collez l'adresse d'un site : l'outil la décompose, repère les procédés des faux sites (imitation de marque, lettres échangées, raccourci, adresse IP…) puis vous renvoie vers les vérifications officielles, déjà pré-remplies. Le site n'est jamais ouvert.
Analyser une adresse
Lire une adresse web : ce qui compte vraiment
Une adresse se lit de droite à gauche, en s'arrêtant à l'extension (.fr, .com, .gouv.fr). Le nom juste avant elle, avec l'extension, forme le domaine principal : c'est le seul élément qui désigne le propriétaire du site. Tout ce qui précède, les sous-domaines, peut être choisi librement par ce propriétaire. Dans laposte.fr.suivi-colis.xyz, le propriétaire n'est pas La Poste : c'est suivi-colis.xyz. Et dans https://www.impots.gouv.fr@autre-site.com, tout ce qui précède l'arobase est ignoré : le navigateur ouvre autre-site.com.
C'est pourquoi l'outil affiche votre adresse décomposée et surligne le domaine principal. Cybermalveillance.gouv.fr le résume ainsi : un seul caractère peut changer dans l'adresse d'un site pour vous tromper.
Les procédés que l'outil repère
- L'imitation d'une marque connue. Une liste de banques, transporteurs, administrations, places de marché, plateformes crypto, opérateurs et services en ligne sert de référence. L'outil détecte la même marque avec une autre extension, un nom collé à d'autres mots, une faute de frappe ou des lettres échangées (« i » pour « l », « 0 » pour « o », « rn » pour « m »).
- Les caractères trompeurs. Une lettre cyrillique ou accentuée peut remplacer une lettre latine presque identique. Le navigateur encode alors le nom sous la forme « xn-- » : l'outil le décode et le compare à la marque imitée.
- Les dissimulations. Raccourcisseurs de liens, adresses IP à la place d'un nom, arobase dans l'adresse, empilement de sous-domaines, adresse passée en paramètre d'une autre.
- Les contextes à risque. Extensions très bon marché, fréquentes dans les sites jetables, hébergement gratuit (n'importe qui peut créer « paypal-secure » sur ces plateformes), connexion sans HTTPS.
Chaque signal est expliqué et chiffré en points, plafonnés à 100. Un domaine présent dans la liste des adresses officielles est reconnu comme tel ; un domaine absent de la liste n'est jamais déclaré faux pour autant : il est simplement « non reconnu ».
Ce que l'adresse ne dit pas
L'outil lit une adresse, pas un site. Il ne sait pas depuis quand le domaine existe, qui l'exploite, ni ce que contient la page. Il ne voit pas non plus un faux site installé sur un nom de domaine neuf et sans rapport avec une marque : une boutique frauduleuse d'électronique à prix cassés peut avoir une adresse propre. C'est la raison d'être des vérifications complémentaires, que l'outil pré-remplit :
- Google Safe Browsing indique si le domaine est signalé comme dangereux.
- ICANN Lookup affiche les données d'enregistrement : la date de création est précieuse, car un domaine enregistré il y a quelques jours pour une marque installée depuis des années doit alerter.
- Les listes noires de l'AMF recensent des sites et sociétés non autorisés dans les placements, la crypto ou le forex. Pour les jeux d'argent, l'ANJ publie la liste des opérateurs agréés et celle des sites interdits : notre guide pour vérifier qu'un site de jeux d'argent est légal en France détaille la méthode.
- Hyrulea Trust : si le domaine correspond à une fiche de notre annuaire, l'outil y renvoie ; s'il ressemble à celui d'un service fiché, il vous le dit.
Pour les plateformes d'investissement et de cryptos, relisez aussi les schémas d'arnaques crypto : le faux site n'est qu'un maillon d'un scénario plus long.
Si vous avez déjà saisi des informations
Changez le mot de passe concerné partout où vous l'utilisiez, faites opposition à la carte si vous avez donné ses données, conservez les preuves (adresse, captures, heure), puis signalez le site à Phishing Initiative pour qu'il puisse être bloqué. Les faux sites de vente, les fausses démarches administratives payantes et les faux sites gouvernementaux se signalent aussi sur SignalConso. Le service 17Cyber, géré par la police, la gendarmerie et Cybermalveillance, offre un diagnostic gratuit, et la plainte en ligne THESEE existe pour certaines arnaques sur internet. Pour un message reçu par SMS, utilisez notre outil « Ce SMS est-il une arnaque ? ».
Sources et adresses officielles
Questions fréquentes
Comment savoir si un site internet est fiable ?
Commencez par lire le domaine principal, juste avant l'extension : c'est lui qui désigne le propriétaire. Comparez-le à l'adresse officielle que vous tapez vous-même, puis vérifiez l'ancienneté du domaine (ICANN Lookup), l'absence de signalement (Google Safe Browsing, listes noires de l'AMF) et, pour les jeux d'argent, l'agrément de l'ANJ. Aucun de ces contrôles ne suffit seul : c'est leur accumulation qui rassure.
Le cadenas HTTPS prouve-t-il qu'un site est sûr ?
Non. Le cadenas indique que la connexion entre vous et le site est chiffrée, pas que le site est honnête : un faux site peut en avoir un. À l'inverse, un site qui vous demande un mot de passe ou une carte sans HTTPS est à fuir. L'outil signale l'absence de HTTPS, mais ne le compte jamais comme une preuve de fiabilité.
Cet outil ouvre-t-il le site que j'analyse ?
Non. Il lit seulement le texte de l'adresse, dans votre navigateur : aucune requête n'est faite vers le site, et l'adresse n'est envoyée ni à Hyrulea ni à un tiers. Les vérifications proposées (Google, ICANN, VirusTotal…) ne reçoivent le domaine que si vous cliquez sur leur lien, et la carte indique ce qui leur est transmis.
Qu'est-ce qu'un faux site qui imite une marque ?
C'est un site dont l'adresse ressemble à celle d'une marque connue pour vous faire croire que vous êtes au bon endroit : lettres échangées (paypa1), nom de marque collé à d'autres mots (colissimo-suivi), nom de marque placé en sous-domaine (laposte.fr.suivi-colis.xyz), ou caractères d'un autre alphabet d'apparence identique. Cybermalveillance rappelle qu'un seul caractère peut suffire à changer l'adresse d'un site.
J'ai saisi mes données sur un site douteux : que faire ?
Changez immédiatement le mot de passe concerné, ainsi que celui des autres services où vous l'utilisiez. Si vous avez donné une carte bancaire, faites opposition auprès de votre banque et contestez les opérations non autorisées. Conservez les preuves, signalez le site à Phishing Initiative, et déposez plainte si vous avez subi un préjudice. Le diagnostic gratuit de 17Cyber peut vous guider pas à pas.
