Publié le 2026-07-25
Comment savoir si un lien est dangereux avant de cliquer dessus ?
Le vrai nom d'un site se lit juste avant le premier / de son adresse. Voici comment le repérer, même caché derrière un sous-domaine trompeur ou un lien raccourci.
Un message arrive, soi-disant de votre banque : une vérification à faire, un lien juste en dessous. Vous jetez un œil à l'adresse avant de cliquer, bonne idée, sauf qu'elle est interminable : https://mabanque.securite-client.xyz/verification/identite. Le mot « mabanque » est bien là, en toutes lettres, tout au début. Est-ce suffisant pour vous rassurer ? Non, et c'est justement le mot qui compte le moins dans toute cette adresse.
On lit une adresse web comme on lit une phrase, de gauche à droite, et on s'arrête au premier mot familier. C'est exactement l'inverse de ce qu'il faut faire : une adresse web ne se lit pas, elle se découpe.
Le nom qui compte se cache juste avant le premier /
La règle est simple une fois qu'on la connaît. Dans une adresse, on part de la gauche, juste après le https://, et on avance jusqu'au premier caractère /, ? ou # : le vrai propriétaire du site, celui qui a payé pour ce nom et qui répond de ce qui s'y trouve, se lit juste avant ce symbole. Tout le reste, avant comme après, n'est que décor. C'est le repère que donnent les services informatiques universitaires quand on leur demande comment vérifier un lien sans y cliquer : on lit à partir de la gauche, après le protocole, jusqu'au premier /.
Un sous-domaine, ça s'invente en trente secondes
Reprenons mabanque.securite-client.xyz. Le nom qui compte, celui qui précède le / final, c'est securite-client.xyz. « Mabanque » n'est qu'un sous-domaine, un préfixe que le propriétaire de securite-client.xyz a le droit d'inventer librement, gratuitement, à l'infini : mabanque, macaf, mesimpots, peu importe, ça ne coûte rien et ça n'engage rien. La CNIL, l'autorité française qui veille sur nos données, documente très exactement ce procédé avec des adresses réellement observées : impots.gouvv.fr ou impots.gouvfr.biz à la place du vrai site des impôts, infocaf.org à la place de www.caf.fr. Un mot connu, une extension bizarre ou un « .biz » accroché à un mot d'administration, et le tour est joué pour qui ne regarde pas d'assez près.
Le lien raccourci ne montre plus rien du tout
Les raccourcisseurs de liens compliquent encore la lecture, pour une raison presque à l'opposé : là où mabanque.securite-client.xyz vous montre au moins un nom (le mauvais), un lien raccourci ne vous montre que le nom du service de raccourcissement lui-même. Survoler le lien, quand c'est possible, ne révèle alors que cette façade. La destination réelle reste invisible jusqu'au clic. Cela ne veut pas dire qu'un lien raccourci cache toujours un piège : une association ou un compte professionnel s'en sert parfois simplement pour gagner de la place dans un message. Mais l'absence d'adresse lisible retire justement l'indice qu'on utilise pour tous les autres liens, alors la vigilance monte d'un cran plutôt que de descendre.
Le cadenas ne juge personne
Reste le fameux cadenas, affiché à côté de toute adresse en https. Il signifie que les informations transmises entre vous et le site sont chiffrées, illisibles pour quiconque écouterait la connexion au passage. C'est utile, et ça n'a strictement rien à voir avec la question de savoir si le site en question est honnête. N'importe qui peut obtenir ce cadenas pour un site frauduleux flambant neuf : la plateforme publique Cybermalveillance.gouv.fr le rappelle, ce sont souvent des détails minuscules dans l'adresse elle-même, parfois un seul caractère changé, qui trahissent un site copié. Sur téléphone, où l'on ne peut pas toujours survoler un lien du doigt pour voir où il mène, la même prudence s'impose encore davantage : mieux vaut alors ouvrir l'application ou taper l'adresse soi-même que suivre le lien reçu.
Un lien peut être parfaitement chiffré et parfaitement malhonnête en même temps : les deux choses n'ont jamais eu de rapport.
- Repérez le premier /, ? ou # après le https:// : le nom juste avant est le vrai propriétaire du site.
- Un mot rassurant placé avant ce nom (mabanque, secure, support) n'est qu'un sous-domaine : gratuit, libre, sans aucun rapport garanti avec ce mot.
- Une extension inhabituelle accrochée à un nom d'administration ou de banque (.xyz, .biz, .info) mérite un second regard.
- Un lien raccourci ne révèle que le nom du raccourcisseur, jamais la destination réelle : à traiter avec plus de prudence, pas moins.
- Le cadenas https protège la conversation, pas son contenu : il n'a jamais empêché un site de mentir.
La prochaine fois qu'une adresse s'étire sur toute la largeur de l'écran, ne la lisez pas en diagonale. Isolez le morceau juste avant le premier /, ignorez tout ce qui l'entoure, et posez-vous une seule question : est-ce vraiment le nom que vous attendiez à cet endroit précis ?
Sources
- Phishing, hameçonnage : détecter un message malveillant (CNIL) (cnil.fr)
- Comment reconnaître un mail de phishing ou d'hameçonnage ? (Cybermalveillance.gouv.fr) (cybermalveillance.gouv.fr)
- Comment tester si le lien d'un site est frauduleux sans y accéder ? (FAQ service informatique, Haute École Arc) (faq.he-arc.ch)