HTTPS garantit-il qu’un lien n’est pas du phishing ?

Non. Un site frauduleux peut posséder un certificat TLS valide.

Dois-je répondre à un message suspect ?

Non. Utilisez un contact officiel vérifié indépendamment.

Un domaine récemment enregistré prouve-t-il l’hameçonnage ?

Non. C’est un indice de prudence, pas une preuve.

Que faire après avoir saisi mon mot de passe ?

Changez-le immédiatement sur le service officiel, fermez les sessions et activez la MFA.

Reconnaître les tentatives d’hameçonnage

Ne vous fiez pas seulement au logo

Les logos, couleurs, signatures et formulations de sociétés connues sont faciles à reproduire. Le domaine réellement visité, l’adresse de l’expéditeur et la provenance du lien sont bien plus importants. HTTPS et un cadenas indiquent une connexion chiffrée au domaine affiché, pas l’honnêteté de son propriétaire.

Signaux d’alerte

Urgence inhabituelle ou menace de suspension du compte.
Demande de mot de passe, PIN, code unique ou données bancaires.
Domaine presque identique au vrai, avec une lettre modifiée.
Pièce jointe, QR code ou lien raccourci inattendu.
Demande de verser de l’argent sur un nouveau compte ou de contourner les procédures.
Pression pour éviter l’application officielle, l’assistance ou les contacts habituels.

Vérifier un lien sans l’ouvrir

Sur ordinateur, survolez le lien pour afficher la destination. Sur mobile, un appui long peut permettre une prévisualisation sans ouverture immédiate.
Lisez le domaine depuis la droite : dans login.example.com, le domaine enregistré est en général example.com.
Repérez les mots ajoutés, lettres échangées et extensions surprenantes.
Si le message prétend venir d’une banque ou d’un transporteur, ouvrez directement son application connue ou saisissez vous-même l’adresse officielle.

Une vérification plus sûre

Ne suivez pas de liens d’authentification provenant de messages suspects. Pour un domaine inconnu, la recherche WHOIS/RDAP donne sa date d’enregistrement et son registrar. Une création récente demande de la prudence sans prouver une fraude. Vérifiez également les notifications dans votre compte officiel.

Hameçonnage par QR code et liens raccourcis

Les QR codes cachent l’adresse avant leur lecture ; les liens raccourcis masquent le domaine final. Avant de vous connecter ou payer, vérifiez le nom d’hôte obtenu. Si un QR code d’e-mail ouvre une page de connexion, fermez-la et ouvrez directement l’application officielle.

Si vous avez déjà cliqué

Si vous n’avez rien saisi, fermez la page et recherchez les téléchargements inattendus. Si vous avez fourni un mot de passe, changez-le via le canal officiel, fermez les autres sessions et activez la MFA. En cas de données de carte ou de paiement, contactez immédiatement la banque. Si vous avez donné un code unique, agissez très vite.

Ce que splet.me peut confirmer

Le vérificateur technique montre HTTP, HTTPS, redirections et quelques indicateurs de sécurité ; la recherche RDAP fournit les données publiques du domaine. Aucun de ces contrôles ne prouve seul la légitimité ou la fraude. Vérifiez les demandes auprès d’un contact officiel indépendant.