Test de lien phishing

Collez l’URL complète dans le test ci-dessus et lancez le scan : copiez-la sans l’ouvrir par clic droit, « Copier l’adresse du lien » (sur mobile, appui long puis copier). Le scan teste le lien sur les blocklists de menaces, cherche phishing et malware et évalue son domaine : vous avez un verdict sans charger la page. Lisez-le aussi vite vous-même : vérifiez l’orthographe exacte du domaine, méfiez-vous des liens raccourcis, et retenez que le vrai titulaire est le domaine juste avant la première barre oblique.

Trois vérifications attrapent la plupart des liens de phishing. Un : révélez la vraie destination en survolant le lien (appui long sur mobile) et comparez-la au texte affiché. Un écart est un signe classique. Deux : lisez le domaine de droite à gauche ; le domaine enregistré est juste avant la première barre oblique, donc paypal.com.account-verify.xyz appartient à account-verify.xyz, pas à PayPal. Trois : si le message vous presse (compte bloqué, colis manqué, péage impayé), ralentissez et scannez le lien ici. Un organisme légitime ne vous punira pas pour soixante secondes de vérification.

Le scan évalue le lien sous plusieurs angles : présence de l’URL ou du domaine sur les grandes blocklists phishing et malware, réputation et historique du domaine hôte, signaux comme liens au spam et signalements d’abus. Comme il vise la destination et non l’habillage du lien, raccourcisseurs, orthographes sosies et redirections ne le trompent pas. Vous obtenez un verdict lisible : dangereux, suspect ou sain.

Les motifs se répètent : un domaine presque juste (paypa1.com, arnazon.com) ; la vraie marque cachée dans un sous-domaine de l’attaquant (microsoft.com.login-verify.xyz) ; des liens raccourcis qui cachent la destination ; un message bâti sur l’urgence ou la peur, comme une suspension de compte ou des frais de colis ; un texte de lien qui dit une chose quand l’URL mène ailleurs ; une page de connexion atteinte par e-mail plutôt que par votre favori. Un seul de ces signes suffit pour scanner le lien avant de l’ouvrir.

Pas de panique. Le clic seul est rarement le drame ; la suite compte plus. Fermez la page et ne saisissez rien. Si vous avez tapé un mot de passe, changez-le tout de suite depuis un appareil sûr, d’abord sur le compte touché puis partout où il resservait, et activez la double authentification. Si vous avez saisi des données de paiement, prévenez votre banque et surveillez les débits frauduleux. Lancez un antivirus complet si vous avez téléchargé ou ouvert quoi que ce soit. Enfin, signalez le message à votre équipe IT ou messagerie pour que le lien soit bloqué pour tous.

Sur un appareil à jour, c’est peu probable. La plupart des liens de phishing n’attaquent pas l’appareil : ils mènent à une fausse page de connexion et attendent vos identifiants, donc le dégât vient de la saisie, pas du clic. Cela dit, cliquer peut confirmer à l’attaquant que votre adresse est active, et les téléchargements furtifs visant des navigateurs ou plugins obsolètes existent. Gardez navigateur et système à jour ; après un clic suspect, fermez l’onglet, ne saisissez rien et lancez un antimalware pour être serein.

Non : c’est l’un des mythes les plus dangereux du phishing. Le cadenas veut juste dire que la connexion est chiffrée ; il ne dit rien de qui gère le site. Les certificats TLS sont gratuits et émis en minutes, si bien que la grande majorité des sites de phishing servent leurs fausses pages en HTTPS valide. Voyez le cadenas comme un minimum, pas un gage de sûreté : un site s’identifie par son domaine, et un scan de réputation comme celui-ci dit si ce domaine est malveillant.

Un lien raccourci n’est pas malveillant en soi (le marketing en use sans cesse), mais il cache toute la destination, d’où sa vogue pour habiller le phishing. Impossible de juger un lien bit.ly ou tinyurl à l’œil : laissez le scan suivre les redirections et évaluer la page d’arrivée. Méfiez-vous surtout des liens raccourcis dans les SMS et e-mails imprévus, où un expéditeur légitime utiliserait son propre domaine.

Oui : totalement gratuit, sans inscription, sans compte et sans limite de scans. Collez tout lien reçu par e-mail, SMS ou chat et obtenez un verdict immédiat. Palisade gagne sa vie en sécurisant les domaines e-mail des entreprises avec DMARC, donc ce test reste gratuit, comme un service public. Pour protéger tout un domaine en continu plutôt qu’un lien à la fois, notre plateforme de surveillance prend le relais.

Même moteur, sens opposé. Le test de lien phishing répond au destinataire : on m’a envoyé ce lien, puis-je l’ouvrir ? Le test de réputation d’URL répond à l’expéditeur : les liens de mes e-mails et pages sont-ils signalés quelque part, et nuisent-ils à ma délivrabilité ? Si vous jugez un lien reçu, vous êtes au bon endroit. Si vous vérifiez comment les filtres voient vos URL, utilisez notre test de réputation d’URL.