Comment vérifier qu'un site est fiable avant de vous inscrire

Une apparence soignée est ce qu'il y a de plus facile à imiter. Copier un logo, des couleurs et une mise en page prend quelques minutes : la première chose à vérifier est donc l'adresse dans la barre du navigateur. Lisez le nom de domaine lettre par lettre et comparez-le avec celui que vous attendez. Parmi les pièges courants : des lettres inversées ou doublées, un mot ajouté comme login, secure ou support relié par un tiret, une extension différente, par exemple un code pays, et des caractères d'un autre alphabet qui ressemblent trait pour trait aux lettres latines.

Repérez bien quelle partie de l'adresse constitue le vrai domaine. Ce qui compte, c'est le nom situé juste à gauche de l'extension, comme com, fr ou un autre code pays, avant la première barre oblique simple. Une adresse qui commence par le nom d'une marque connue, suivi d'un point puis d'un nom inconnu, appartient à ce nom inconnu. La marque placée en tête n'est qu'un sous-domaine, que le propriétaire du nom peut définir à sa guise.

Le réflexe le plus sûr consiste à accéder aux sites importants en tapant vous-même l'adresse ou en passant par un favori, plutôt qu'en suivant des liens reçus par e-mail, par message ou dans des annonces sponsorisées. Les escrocs achètent bel et bien des publicités qui s'affichent au-dessus des vrais résultats de recherche : un lien en haut d'une page de résultats ne prouve donc rien à lui seul.

Le HTTPS signifie que la connexion entre votre navigateur et le site est chiffrée et que le certificat a été délivré pour ce domaine. Il empêche que ce que vous tapez soit lu en chemin, ce qui est indispensable sur toute page qui demande un mot de passe ou des données de paiement. Un site sans HTTPS ne devrait jamais recevoir ni l'un ni l'autre.

En revanche, le HTTPS ne vous dit pas si les personnes derrière le domaine sont honnêtes. Les certificats sont gratuits et délivrés automatiquement : les sites d'hameçonnage les utilisent donc aussi couramment que les sites légitimes, et certains navigateurs ont d'ailleurs cessé d'afficher le cadenas pour cette raison. Considérez le HTTPS comme une exigence minimale, pas comme un gage de fiabilité.

Prenez toutefois au sérieux les avertissements du navigateur. Une alerte en pleine page sur une erreur de certificat, ou sur un site signalé pour hameçonnage ou logiciels malveillants, n'est pas là par hasard : fermez l'onglet plutôt que de passer outre. Vous pouvez aussi afficher les détails du certificat depuis la barre d'adresse pour voir quel domaine il couvre et qui l'a délivré.

Une entreprise digne de confiance vous dit qui elle est. Cherchez une page de présentation, des coordonnées qui fonctionnent et des pages juridiques : conditions d'utilisation, politique de confidentialité et explication claire des remboursements ou du traitement des litiges. Sur un site établi en France, par exemple, les mentions légales sont obligatoires et doivent identifier l'éditeur. Lisez ces pages au lieu de vous contenter de vérifier qu'elles existent. De vraies conditions nomment l'exploitant, décrivent le fonctionnement du service et concordent avec ce que dit le reste du site. Un texte générique copié sur une autre entreprise, parfois avec le nom de celle-ci encore dedans, est un signal d'alarme sérieux.

Vérifiez que les moyens de contact sont cohérents avec le type d'activité. Un formulaire d'assistance, une adresse e-mail sur le propre domaine du site et un centre d'aide sont normaux. Un site joignable uniquement via un compte de messagerie anonyme, ou dont la page de contact est vide, ne vous laisse aucun recours quand quelque chose tourne mal.

Vous pouvez aussi vérifier la date d'enregistrement d'un domaine grâce à un outil public de recherche WHOIS ou RDAP. Des informations de propriétaire masquées sont courantes et ne sont pas suspectes en soi, puisque de nombreux bureaux d'enregistrement les masquent par défaut, mais un domaine enregistré très récemment derrière un site qui revendique une longue histoire est une incohérence qui mérite votre attention.

Recherchez le nom du site accompagné de mots comme avis, plainte ou arnaque, et lisez ce qui apparaît sur les plateformes d'avis indépendantes, les forums et les communautés. Les témoignages affichés sur le site lui-même sont choisis par le site : ils ne comptent pas pour grand-chose.

Cherchez des tendances plutôt que des notes en étoiles. Les vrais avis varient en longueur et en ton, mentionnent des détails précis et comportent quelques plaintes, idéalement accompagnées d'une réponse montrant comment elles ont été traitées. Les signaux d'alerte sont une rafale d'avis courts et dithyrambiques publiés à peu près en même temps, des auteurs sans aucun autre historique, et de nombreux signalements du même problème, comme des commandes jamais reçues.

Un site tout neuf peut simplement ne pas encore avoir d'avis. Ce n'est pas la preuve d'une arnaque, mais cela signifie qu'il vaut mieux commencer petit et s'appuyer davantage sur les autres vérifications présentées ici.

Les moyens de paiement en disent long. Les paiements par carte et les services de paiement reconnus offrent généralement une forme de procédure de contestation. Les virements vers des comptes personnels, les cartes cadeaux et les transferts directs de cryptomonnaie sont en règle générale irréversibles : une fois l'argent envoyé, il est très difficile de le récupérer. Un site qui vous pousse vers des moyens irréversibles, ou qui propose une remise si vous payez en dehors de son circuit de paiement normal, fait peser tout le risque sur vous.

Lorsqu'une plateforme accepte bel et bien un moyen irréversible, ce qui compte, c'est la manière dont elle gère les problèmes. Cherchez à savoir où va votre argent après le paiement, quand le vendeur le reçoit réellement et ce qui se passe si la commande n'est pas conforme. Une plateforme fiable répond à ces questions dans ses pages d'aide ou ses conditions avant même votre inscription ; si vous ne trouvez pas les réponses, considérez-le comme un signal d'alerte en soi.

Ne saisissez jamais vos données de carte sur une page atteinte via un lien inattendu, et méfiez-vous de tout paiement qui réclame des informations dont il n'a pas besoin, comme le mot de passe de votre messagerie ou une photo de votre carte.

Sur une place de marché, la plateforme et le vendeur sont deux parties distinctes : il faut donc juger les deux. Renseignez-vous pour savoir si les vendeurs sont contrôlés avant de pouvoir vendre, si les annonces sont examinées, ce qu'affiche le profil d'un vendeur et comment les problèmes sont résolus. Une place de marché qui laisse les transactions se dérouler en dehors de son propre système ne vous offre aucun recours quand elles tournent mal.

À titre d'exemple de ce qu'il faut regarder, voici comment rStock traite ces points. rStock est une place de marché sur laquelle des boutiques indépendantes vendent des produits numériques tels que des comptes ; la plateforme approuve les boutiques avant qu'elles puissent vendre et examine chaque annonce avant sa mise en ligne. Les acheteurs paient depuis leur solde rStock, rechargé en cryptomonnaie via le prestataire de paiement Cryptomus, et l'argent est retenu au lieu d'être versé immédiatement à la boutique. Après la livraison, un délai limité permet d'ouvrir un litige : la boutique répond en premier, et un modérateur peut être appelé en l'absence d'accord. Les profils des boutiques affichent le nombre de ventes, la note et un solde d'assurance, c'est-à-dire de l'argent que la boutique conserve auprès de la plateforme, et les placements sponsorisés sont signalés comme tels.

Quelle que soit la place de marché que vous utilisez, lisez ses règles avant votre première commande, et non après l'apparition d'un problème, et respectez les conditions d'utilisation de toute marque dont vous achetez un compte ou un service.

Certains signaux sont assez graves pour mettre fin à eux seuls à la vérification. Passez votre chemin si un site vous demande vos mots de passe, vos codes de double authentification ou la phrase de récupération d'un portefeuille crypto, s'il vous demande d'installer un logiciel de prise de contrôle à distance ou une extension de navigateur pour continuer, ou s'il tente de déplacer la conversation et le paiement vers une messagerie privée.

Parmi les autres signaux d'alerte : des comptes à rebours et une pression pour agir tout de suite, des prix bien inférieurs à ceux pratiqués partout ailleurs, des promesses trop belles pour être vraies, des formulaires d'inscription qui exigent des pièces d'identité sans raison claire, ainsi que de nombreux liens cassés, fautes d'orthographe ou pages qui ne mènent nulle part. Un petit défaut ne prouve pas une fraude, mais plusieurs réunis constituent un signal clair.

Réussir ces vérifications réduit le risque sans le supprimer. Utilisez un mot de passe unique généré par un gestionnaire de mots de passe. Petit bonus : un gestionnaire ne proposera pas de remplir vos identifiants enregistrés sur un domaine qui imite l'original, ce qui en fait un détecteur d'hameçonnage bien utile.

Activez la double authentification si le site la propose, ne fournissez que les informations réellement nécessaires au service et envisagez une adresse e-mail distincte ou un alias pour les achats et les inscriptions. Après l'inscription, vérifiez que l'e-mail de confirmation provient bien du domaine sur lequel vous vous êtes inscrit, et conservez reçus et confirmations de commande jusqu'à être sûr que tout s'est bien passé.