Vérifier un site : fiable ou arnaque ?

Comment repérer un site arnaque

Passez ces étapes en revue avant de payer sur une boutique où vous n’avez jamais acheté. La vérification ci-dessus fait les quatre premières en quelques secondes, les deux dernières demandent votre propre regard.

1. Vérifier le domaine et son âgeQuand le domaine a-t-il été enregistré, quand expire-t-il ? Une boutique ouverte il y a trois semaines qui vend des produits de marque à moitié prix, c’est le schéma classique d’un site frauduleux éphémère.
2. Regarder le HTTPS et le certificatL’adresse doit s’ouvrir en https:// sans avertissement du navigateur, et le certificat doit être émis pour ce nom précis. Un certificat valide prouve l’adresse, pas l’identité du propriétaire.
3. Chercher les mentions légales, les coordonnées et les conditionsUne vraie boutique indique sa raison sociale, son adresse et un e-mail ou un numéro de téléphone, ainsi qu’une politique de confidentialité, des conditions générales de vente et les conditions de rétractation. S’il n’existe aucun moyen de joindre le vendeur, renoncez.
4. Contrôler la sécurité e-mail du domaineLes enregistrements SPF et DMARC empêchent d’autres personnes d’envoyer des e-mails au nom de la boutique. S’ils manquent, le site n’est pas pour autant une arnaque, mais les fausses confirmations de commande et les fausses factures deviennent plus faciles.
5. Chercher des avis et des alertesTapez le nom de la boutique suivi de « avis », « arnaque » ou « fiable ». Lisez les avis les plus récents sur plusieurs sites, pas seulement la moyenne. Le ministère de l’Économie prévient d’ailleurs : « Les avis ne sont pas toujours fiables. »
6. Ne jamais se fier à une simple coche vertePayez par un moyen qui permet de récupérer votre argent, par exemple une carte bancaire avec possibilité d’opposition ou un service de paiement avec protection de l’acheteur. Si la boutique ne propose au final qu’un virement, c’est une raison de ne pas acheter.

Ce que signifie le résultat

Confiance élevée : rien de ce que nous avons vérifié n’indique une arnaque. Un domaine ancien, un certificat valide, des coordonnées et des conditions sur la page, aucune mention dans Google Web Risk. Signaux mitigés : au moins un point d’alerte, par exemple un domaine de moins de six mois ou l’absence de coordonnées sur la page d’accueil. Confiance faible : plusieurs points d’alerte réunis ou un problème sérieux comme un certificat expiré. Google signale ce site n’apparaît que si Google Web Risk liste l’adresse comme soupçonnée d’hameçonnage, de logiciel malveillant ou de logiciel indésirable. N’y saisissez aucune donnée et n’y téléchargez rien.

Chaque signal a sa propre note de 0 à 3 et une phrase d’explication. « n.d. » signifie que la source n’a pas fourni de données : certains registres nationaux ne publient pas la date d’enregistrement, et certains sites refusent les visites automatiques. Une donnée manquante ne compte jamais comme un bon signe.

Si c’est votre propre site

Les acheteurs et les services anti-fraude regardent les mêmes signaux. Un certificat qui expire un samedi affiche à chaque visiteur un avertissement en pleine page jusqu’à ce que quelqu’un le renouvelle. Un domaine qui expire emporte avec lui le site et les e-mails. Sans enregistrement DMARC, n’importe qui peut envoyer des factures en votre nom, et Gmail exige SPF, DKIM et DMARC des gros expéditeurs.

WhatsMyRep surveille votre site chaque jour dans le cadre de la gestion de votre e-réputation. Vous recevez une alerte si le certificat expire dans 14 jours, si le domaine expire dans 30 jours, si SPF ou DMARC disparaissent ou si Google Web Risk liste le site. La même vérification quotidienne regarde ce que disent de l’entreprise les résultats Google, les avis et les réponses des IA. Les formules commencent à 29 $ par mois après 14 jours d’essai, voir les tarifs.

Ce que cette vérification ne fait pas

Elle ouvre uniquement la page d’accueil, une seule fois, sans exécuter de JavaScript. Un site entièrement construit en scripts affiche donc « n.d. » pour les coordonnées et les conditions. Elle ne se connecte nulle part, ne remplit aucun formulaire et ne suit pas les liens plus loin dans le site. Elle ne nomme pas le propriétaire : la plupart des registrars le masquent, et nous ne devinons pas. Elle ne vérifie que des sites publics sur les ports standard, jamais des adresses de réseaux privés.