Il y a encore quelques années, les arnaques en ligne se reconnaissaient assez facilement. Les faux sites et les emails de phishing comportaient presque toujours des fautes d’orthographe, un logo pixelisé ou une mise en page bricolée en 10 minutes. Aujourd’hui, avec les nouveaux moyens devenus accessibles, les arnaques en ligne sont devenues très difficile a reperer.

Pour créer un faux site, les escrocs récupèrent les vraies photos produits, copient les avis clients, reproduisent la charte graphique d’une marque connue jusque dans le choix des polices. Le résultat ressemble souvent à s’y méprendre à un site légitime.

En France, le SSMSI a recensé 453 200 infractions liées au numérique en 2025, en hausse de 14 % sur un an. Le hameçonnage (phishing) et les faux sites qui l’accompagnent restent l’une des sources d’infractions numériques les plus enregistrées dans le pays.

Ces chiffres ne disent pas que les internautes sont négligents. Ils disent surtout que les techniques ont changé plus vite que les réflexes qu’on nous a appris à avoir. En 2026, le petit cadenas, la mise en page pro, les avis 5 étoiles, tout cela a été retourné contre les acheteurs.

Voici ce que ces vérifications classiques ne montrent plus, et ce qu’il faut regarder à la place.

#. Le cadenas HTTPS ne garantit rien du tout

Pendant des années, le conseil numéro un consistait à chercher le petit cadenas dans la barre d’adresse. S’il était là, le site était considéré comme fiable.

Ce n’est plus vrai, et ça ne l’a d’ailleurs jamais vraiment été de cette manière. Le protocole HTTPS signifie uniquement que la connexion entre le navigateur et le serveur est chiffrée. Il ne dit rien sur l’identité de la personne qui gère le site, ni sur ses intentions. Les escrocs l’ont compris depuis longtemps et utilisent eux aussi des certificats SSL.

Ce qu’il faut faire à la place

Regarder attentivement le nom de domaine lui-même dans la barre d’adresse, pas seulement l’icône à côté. Un site peut très bien afficher HTTPS et s’appeler “amaz0n-securite-paiement.com”. Le chiffrement est réel, le site ou la boutique ne l’est pas.

Les arnaqueurs enregistrent des noms de domaine pensés pour passer un rapide coup d’œil, celui qu’on jette à une URL avant de cliquer dessus.

Quelques techniques reviennent souvent :

  • Le typosquatting, une lettre modifiée qui passe presque inaperçue (“paypa1.com” au lieu de “paypal.com”).
  • Les caractères homoglyphes, où une lettre latine est remplacée par une lettre d’un autre alphabet qui lui ressemble trait pour trait à l’écran (un a cyrillique à la place d’un a latin).
  • Le sous-domaine trompeur, du type “paypal.com.verification-securisee.net”. Le nom de la marque apparaît en premier, mais le vrai domaine est “verification-securisee.net”.
  • Les mots ajoutés qui donnent un air officiel, comme “support-officiel-apple.com” ou “amazon-service-client.com”.

La méthode la plus fiable consiste donc à lire l’adresse de droite à gauche, en s’arrêtant au premier slash. C’est là que se trouve le vrai domaine. Tout ce qui précède peut être configuré par n’importe qui.

Lire Aussi : Mon téléphone est-il piraté ? Voici comment le savoir

#. Trop beau, trop pressé

Une remise de 70 %, un compte à rebours qui défile, une bannière “Plus que 2 en stock”…etc. Tous ces éléments sont conçus pour couper court à la réflexion et faire sentir qu’il faut acheter maintenant ou perdre l’occasion.

Un commerçant sérieux n’a pas besoin de vous forcer la main, il sait que vous pouvez revenir demain ou la semaine prochaine. Un escroc, lui, a besoin que la commande soit passée avant que vous ayez le temps de vérifier ses avis ou de remarquer que le nom de domaine a été créé trois semaines plus tôt.

Un prix largement en dessous de ce que proposent les grandes enseignes doit alerter. Des AirPods 4 à 49 euros sur un site sans aucun avis nulle part sur internet, ce n’est pas une bonne affaire tombée du ciel, c’est un signal. Les faux sites ciblent volontiers des produits très demandés parce que l’envie de trouver une bonne affaire fait souvent baisser la garde.

#. Aucun moyen sérieux de contacter quelqu’un

Une entreprise qui vend réellement quelque chose veut pouvoir être jointe. Un numéro de téléphone, une adresse physique, un email de support, et quelqu’un qui répond dans un délai raisonnable quand on écrit.

Les faux sites font souvent l’impasse là-dessus, ou proposent tout au plus un formulaire de contact générique. Parfois l’adresse indiquée correspond à une simple boîte postale, à un espace de coworking sans lien avec la marque, voire à un terrain vague. Un email de support en @gmail.com ou @yahoo.com plutôt qu’en @nomdelamarque.com est également un signal à prendre au serieux, car une entreprise sérieuse utilise toujours son propre nom de domaine.

Quelques vérifications rapides et gratuites :

  • Copier l’adresse physique et la coller dans Google Maps pour voir s’il s’agit vraiment d’un local commercial et pas d’un logement ou d’un parking.
  • Chercher le numéro de téléphone séparément, pour vérifier s’il apparaît sur des forums de signalement d’arnaques.
  • Regarder la page “À propos”. Une page vide ou remplie de formules vagues qui pourraient s’appliquer à n’importe quelle entreprise trahit souvent un site monté à la va-vite.
  • Un site sans aucun moyen vérifiable de joindre un être humain avant de payer, c’est déjà une réponse en soi.

Lire Aussi : 3 façons de vérifier si votre mot de passe a été divulgué lors d’une violation de données

#. Des méthodes de paiement impossibles à annuler

Les faux sites orientent souvent leurs clients vers des méthodes de paiement impossibles à annuler. Cryptomonnaie, virement bancaire, cartes cadeaux, applications comme Wero pour les paiements entre particuliers. Une fois l’argent envoyé, il n’existe aucune procédure de contestation, aucun remboursement automatique.

Un site marchand sérieux accepte les cartes bancaires classiques ou des solutions comme PayPal. Celles-ci offrent des protections en cas de litige. Le système de contestation bancaire existe justement pour les situations où le colis n’arrive jamais ou où le vendeur s’avère malhonnête. Si un site exige un paiement en cryptomonnaie ou en cartes cadeaux pour un objet physique, mieux vaut s’arrêter là. Aucun commerçant légitime n’a besoin de ça.

La page de paiement elle-même est un autre point à surveiller. Reste-t-on sur le même nom de domaine que celui du début de la navigation ? Le formulaire de paiement s’intègre-t-il visuellement au reste du site, ou détonne-t-il légèrement ? Certains sites frauduleux injectent une fausse page de paiement dans un site par ailleurs normal, une technique difficile à repérer sans regarder la barre d’adresse au moment précis où on saisit ses coordonnées bancaires.

Si le processus de paiement paraît décousu, ou si une redirection mène vers un domaine inconnu à ce stade précis, fermer l’onglet reste la meilleure option.

#. Les avis et les badges ne prouvent rien

Un site couvert d’avis 5 étoiles n’est pas automatiquement digne de confiance. Générer de faux avis coûte peu et se fait facilement, et de nombreux sites frauduleux se contentent de copier des avis existants, parfois repris mot pour mot depuis Amazon ou Trustpilot.

Les badges de confiance posent le même problème. Un logo “Paiement sécurisé” ou “Vérifié” peut être téléchargé et collé sur n’importe quelle page par n’importe qui. Il ne prouve rien tant qu’on ne clique pas dessus pour vérifier qu’il renvoie bien vers une certification réelle et active.

Quelques façons simples de tester ça :

  • Copier un avis qui semble trop enthousiaste et le coller dans Google entre guillemets. S’il apparaît mot pour mot sur plusieurs sites sans rapport les uns avec les autres, il a été recopié.
  • Chercher le site sur Trustpilot, sur les forums de consommateurs ou sur Reddit. L’absence totale d’avis indépendants pour un site qui prétend exister depuis des années est en soi suspecte.
  • Vérifier la date de création du nom de domaine via un outil WHOIS gratuit. Un site qui se présente comme une marque installée depuis longtemps, mais dont le domaine a été enregistré deux ou trois mois plus tôt, raconte une histoire qui ne colle pas.

Lire Aussi : Comment reconnaître un faux compte Instagram en 2026

Les vérifications à faire avant de sortir la carte bancaire

Certaines vérifications prennent moins de 2 minutes et évitent bien des déconvenues.

  • Chercher le nom du site suivi du mot “arnaque” ou “avis” avant tout achat. Les vrais retours d’expérience remontent vite, souvent sur des forums ou des groupes de consommateurs.
  • Taper l’adresse du site directement plutôt que de cliquer sur un lien reçu par email, sur les réseaux sociaux ou dans une publicité. Les faux sites achètent régulièrement des espaces publicitaires sponsorisés qui les placent au-dessus des résultats naturels.
  • Privilégier la carte bancaire pour tout achat en ligne. En cas de problème, une procédure de contestation existe auprès de la banque. Ce n’est pas le cas avec un virement, une carte cadeau ou une cryptomonnaie.
  • Passer l’adresse dans un outil de vérification comme Google Safe Browsing pour voir si elle a déjà été signalée comme dangereuse.

Les arnaqueurs misent sur la vitesse. Ils veulent qu’on jette un œil, qu’on se sente rassuré, et qu’on clique avant que le doute ait le temps de s’installer. Une hésitation, même sans raison précise identifiable, mérite d’être écoutée. Les vérifications présentées ici prennent peu de temps et peuvent éviter une mauvaise surprise sur le relevé bancaire.