Vérifier et tester un site internet : fiable ou frauduleux ?
Vous avez un site sous les yeux et vous hésitez à payer. Collez son adresse dans l'outil ci-dessous, déjà ouvert sur la vérification de site : il teste l'âge du domaine, la présence du nom d'un service officiel dans l'adresse et l'extension, et interroge la base Safe Browsing lorsque notre accès est actif. Puis suivez la méthode pour vérifier vous-même ce qu'aucun outil ne voit. Aucune vérification ne peut prouver qu'un site est fiable. Certaines suffisent à prouver qu'il faut renoncer.
Analysez un site web
L'outil est ouvert sur la vérification de site : collez l'adresse et lancez l'analyse. Le résultat liste les constats obtenus, et nomme aussi ce qui n'a pas pu être vérifié. Un contrôle annoncé comme non vérifié ne doit jamais se lire comme un contrôle passé sans anomalie.
Vérifiez si c'est une arnaque
Repérez les signaux d'alerte d'un message, d'un numéro ou d'une adresse de site. Le résultat aide à lire, il ne remplace pas une vérification auprès de l'organisme concerné.
L'adresse est envoyée à nos serveurs, puis à des services tiers qui la vérifient : le résolveur DNS de Google, l'annuaire public RDAP des noms de domaine et la base Google Safe Browsing. Elle reste en mémoire vive une heure, avec son résultat. N'y saisissez rien d'autre que l'adresse du site.
Comment savoir si un site est fiable : ce qu'une vérification permet de dire
Réponse courte : personne ne peut vous le dire, ni cet outil, ni un autre. Ce qu'une vérification en ligne établit, ce sont des faits sur la structure du site. Certains de ces faits suffisent à renoncer : une adresse figurant dans une liste d'hameçonnage, un domaine créé il y a quelques jours pour une enseigne qui se dit ancienne. Aucun ne permet de conclure qu'un site est honnête.
La raison est simple. Un site d'escroquerie n'a besoin que d'un nom de domaine neutre, d'une extension ordinaire et de quelques semaines d'existence pour ne déclencher aucun signal. Une base de sites malveillants ne connaît que les sites déjà signalés ; celui qui a ouvert hier n'y figure pas. Un résultat sans alerte décrit donc l'étendue de ce que nous avons regardé, pas l'honnêteté du vendeur.
Ce que l'analyse vérifie
La date de création du domaine
Lue dans l'annuaire public RDAP des noms de domaine. Un domaine de moins de 30 jours est signalé comme très récent, de moins de 180 jours comme récent. Le nom du bureau d'enregistrement est affiché quand l'annuaire le fournit. Si l'annuaire ne répond pas, rien n'est affiché sur ce point : l'absence de date ne veut pas dire que le domaine est ancien.
La présence du nom d'un service connu dans l'adresse
L'adresse est d'abord comparée à une courte liste d'adresses officielles que nous connaissons (administrations, transporteurs, banques, grands services en ligne) : si elle y correspond, l'outil le dit, sans en déduire quoi que ce soit du message qui vous l'a transmise. Sinon, il cherche dans le nom de domaine le nom de l'un de ces organismes, accompagné d'autres caractères, et vous affiche l'adresse officielle qu'il connaît pour que vous compariez. Il regarde la forme du nom, pas le titulaire : un comparateur, un revendeur ou un site d'information qui reprend le nom d'une marque déclenche la même observation. Ce signal veut dire « comparez avec l'adresse officielle, tapée par vous-même », jamais « ce site est un faux ». Une adresse qui se termine par « -gouv.fr », forme que la charte de nommage de l'Afnic interdit à l'enregistrement, est signalée plus fortement.
L'extension du domaine
Seize extensions que notre outil retient comme signal de prudence. Une extension ordinaire comme .fr ou .com ne déclenche rien, un site frauduleux peut en avoir une, et un site honnête peut porter l'une des seize : l'observation le dit à chaque fois.
Notre liste de domaines d'hameçonnage
Une courte liste éditoriale de quatorze adresses imitant des administrations, des transporteurs, des banques et de grands services en ligne, tenue par nous. Elle n'est ni une base de signalements de victimes ni une liste officielle, et elle ne contient aucune boutique en ligne.
Google Safe Browsing et la résolution DNS
Lorsque notre accès à ce service est actif, l'adresse est soumise à la base Google Safe Browsing (logiciels malveillants, hameçonnage, logiciels indésirables, applications potentiellement dangereuses). Si cet accès n'est pas actif, rien n'est affiché sur ce point : ne lisez pas ce silence comme une absence dans la base. Nous vérifions aussi que le domaine répond à une requête DNS ; un domaine qui ne répond pas est signalé, lorsque le résolveur a pu être interrogé.
L'analyse par IA, facultative, proposée sous le résultat
Un modèle de langage lit la seule adresse saisie. Il ne consulte ni le site, ni l'annuaire des domaines, ni aucune base : sur un nom de domaine, il ne peut rien établir que vous ne voyiez vous-même. Son résultat ne vaut pas plus que le nôtre.
Ce qu'elle ne vérifie pas
- Le contenu du site : ni les prix, ni les mentions légales, ni les conditions de vente.
- L'identité réelle du vendeur, son immatriculation, son adresse.
- Les avis de clients, les litiges en cours, les signalements de victimes.
- Si les commandes sont réellement livrées, ou si le produit est authentique.
- Le certificat HTTPS : nous ne le regardons pas, et il ne prouverait rien.
- La solvabilité ou la réputation de l'entreprise.
Tout ce qui figure dans cette colonne se vérifie par vous-même. C'est l'objet de la méthode ci-dessous.
Comment vérifier un site web avant d'acheter : la méthode en 8 tests
Chaque vérification tient en une ou deux minutes et repose sur une source publique. Un seul point manquant suffit à renoncer à la commande. Les réunir tous ne prouve pas que le site est honnête : cela signifie seulement que vous n'avez rien trouvé, ce qui est différent.
Lisez l'adresse lettre par lettre
Comparez le nom de domaine avec celui que vous connaissez : une lettre remplacée, un tiret ajouté, un mot accolé au nom d'une marque ou une extension inhabituelle sont les procédés les plus courants. Le nom de domaine doit être cohérent avec la marque ou les produits proposés. Si vous êtes arrivé sur le site par un lien reçu par message, tapez vous-même l'adresse officielle plutôt que de faire confiance au lien.
Si le lien vient d'un courriel, l'adresse de l'expéditeur se lit aussi : ce qu'une adresse d'expéditeur prouve et ne prouve pas.
Source :economie.gouv.fr, Achats en ligne : comment vérifier la fiabilité d'un site Internet ?
Vérifiez l'âge du domaine
Le vérificateur ci-dessus affiche la date de création quand l'annuaire RDAP la fournit. Vous pouvez la lire vous-même sur le service de recherche de l'ICANN pour les extensions génériques (.com, .net, .org, .xyz...), ou sur le Whois de l'Afnic pour un .fr. Comment la lire : une boutique qui annonce des années d'activité, des milliers de clients ou des avis anciens sur un domaine créé il y a quelques semaines ment sur au moins un point. À l'inverse, un domaine ancien ne prouve rien : les domaines expirés sont rachetés, et un site d'hameçonnage peut être posé sur un domaine acheté d'occasion.
Ouvrez les mentions légales et vérifiez l'immatriculation
Un site professionnel doit indiquer l'identité de l'exploitant, son adresse, son numéro d'immatriculation, son numéro de TVA, un courriel, un téléphone et les coordonnées de l'hébergeur ; la liste exacte dépend de la forme juridique de l'entreprise. Cherchez ces éléments, puis contrôlez le numéro SIREN ou SIRET dans l'Annuaire des entreprises, le moteur de recherche officiel et gratuit de l'administration. Ce qu'on y cherche : l'entreprise existe-t-elle, est-elle toujours active, son activité déclarée correspond-elle à ce que vend le site, son adresse est-elle la même ? Un numéro absent, inexistant ou qui renvoie à une autre société suffit à renoncer. Un numéro valide prouve seulement qu'une entreprise existe, pas que c'est elle qui exploite ce site : les escrocs recopient volontiers les mentions légales d'une société réelle.
Si un numéro de téléphone figure dans les mentions légales, sa structure se vérifie aussi : analyser un numéro de téléphone.
Source :entreprendre.service-public.gouv.fr, mentions obligatoires sur le site internet d'un entrepreneur individuel (la liste varie selon la forme juridique) ; Annuaire des entreprisessecond lien
Ne concluez rien du cadenas
Le cadenas et le « https » signifient que la connexion entre votre navigateur et le site est chiffrée. Ils ne disent rien de la personne qui est derrière le site. Des autorités de certification délivrent des certificats gratuits et automatisés (Let's Encrypt en est une), et les sites d'hameçonnage en ont un. L'absence de cadenas sur une page de paiement est un mauvais signe ; sa présence n'est pas un bon signe. Cybermalveillance.gouv.fr le dit dans les mêmes termes : le protocole et le cadenas ne sont pas un gage de confiance totale.
Source :Cybermalveillance.gouv.fr, Comment sécuriser ses achats sur Internet ? ; Let's Encryptsecond lien
Comparez les prix
Un produit de marque vendu bien en dessous du prix constaté partout ailleurs est le premier appât des faux sites. Les offres trop alléchantes peuvent cacher une arnaque, écrit economie.gouv.fr : comparez avec deux ou trois revendeurs que vous connaissez avant de payer.
Les clones de grandes places de marché fonctionnent exactement ainsi : les faux sites qui imitent Temu et Shein.
Source :economie.gouv.fr, Achats en ligne : comment vérifier la fiabilité d'un site Internet ?
Regardez les moyens de paiement proposés
Privilégiez un paiement par carte bancaire, avec la double authentification proposée par votre banque, ou un service de paiement qui prévoit une procédure de litige. Cela ne garantit pas le remboursement d'un achat que vous validez vous-même : cela vous laisse seulement un interlocuteur et une trace. Un site qui n'accepte que le virement, un mandat, une carte cadeau ou une cryptomonnaie vous prive du recours bancaire : un virement envoyé à un escroc ne se rappelle que si les fonds sont encore sur le compte d'arrivée, une carte cadeau ou une cryptomonnaie ne se récupèrent presque jamais. Un site qui affiche des logos de cartes mais bascule sur un virement au moment de payer entre dans le même cas.
Source :economie.gouv.fr, Achats en ligne : comment vérifier la fiabilité d'un site Internet ?
Consultez les registres officiels quand ils existent
Pour une boutique, le seul registre est celui des entreprises (étape 3). Pour un site qui propose un placement, du trading, des crypto-actifs ou une assurance, il existe des registres et des listes publics : les listes noires de l'AMF recensent des sites non autorisés, et le registre ORIAS permet de vérifier qu'un intermédiaire en assurance, banque ou finance est bien immatriculé. L'AMF le dit elle-même : un site absent de ses listes noires n'est pas autorisé pour autant, il faut encore vérifier qu'il dispose des agréments nécessaires.
Cherchez le nom du site suivi de « arnaque »
La DGCCRF, citée par economie.gouv.fr, recommande « d'entrer le nom du site ou du produit sur un moteur de recherche, éventuellement associé avec le terme arnaque » ; Cybermalveillance.gouv.fr conseille de même le nom du site suivi de « arnaque » ou « escroquerie ». Des victimes ont parfois déjà décrit leur expérience. L'absence de résultat ne prouve rien : un faux site ouvert la semaine dernière n'a pas encore de victimes qui témoignent.
Source :economie.gouv.fr, vérifier la fiabilité d'un site ; Cybermalveillance.gouv.fr, sécuriser ses achats sur Internetsecond lien
Le droit de rétractation de 14 jours sur un achat à distance est une obligation légale en France, sauf exceptions prévues par la loi (biens personnalisés ou périssables, produits descellés pour des raisons d'hygiène, contenus numériques, notamment) : un site qui le supprime ou le réduit hors de ces cas se met en tort avant même la première commande (service-public.gouv.fr).
8 signes qui doivent faire renoncer à la commande
Ce sont des résultats typiques d'un site frauduleux, tels que la méthode ci-dessus les fait apparaître. Un seul suffit. Leur absence, en revanche, ne prouve rien.
Une adresse qui imite une marque
Nom d'une marque ou d'un organisme suivi d'un tiret et d'un mot comme soldes, promo, livraison, remboursement ; ou une lettre changée dans le nom.
Un domaine créé il y a quelques semaines
Surtout s'il vend des produits de marque et se présente comme une enseigne installée.
Des mentions légales absentes, incomplètes ou invérifiables
Pas d'identité d'exploitant, pas d'adresse, pas de numéro d'immatriculation, ou un numéro qui renvoie à une autre entreprise.
Des prix très inférieurs au marché
Réductions massives sur des produits de marque, promotions permanentes, compte à rebours qui repart à chaque visite.
Le virement, la carte cadeau ou la cryptomonnaie comme seul moyen de payer
Ou une « remise » réservée à ceux qui paient par virement. Ces paiements ne se contestent pas.
Pas de cadenas sur la page de paiement
Son absence est un mauvais signe. Sa présence, elle, ne prouve rien.
Des conditions de vente floues ou copiées
Pas de politique de retour lisible, délais de rétractation inférieurs aux 14 jours légaux sur des produits qui n'en sont pas exclus, textes truffés de fautes, visiblement traduits automatiquement ou recopiés d'un autre site.
Aucun moyen de contact autre qu'un formulaire
Pas de téléphone, pas de courriel, pas d'adresse. Si un numéro est indiqué, sa forme se vérifie.
Pour le détail de chaque procédé, avec les variantes rencontrées sur les sites d'hameçonnage et les fausses boutiques : le guide pour reconnaître un site frauduleux.
Site sécurisé pour le paiement : ce que le cadenas garantit ou non
« Ce site est-il sécurisé pour payer ? » mélange deux questions qui n'ont pas la même réponse.
La sécurité de la connexion
C'est ce que montrent le cadenas et le « https » : vos données transitent chiffrées entre votre navigateur et le site. Un tiers qui écoute le réseau ne les lit pas. C'est nécessaire sur toute page de paiement, et son absence est une raison de partir.
La fiabilité du destinataire
Le chiffrement protège vos données jusqu'au site. Il ne dit rien de qui les reçoit. Un site d'escroquerie obtient son certificat gratuitement, en quelques minutes, et affiche le même cadenas qu'une banque. Vos coordonnées bancaires arrivent chiffrées, en toute sécurité, chez l'escroc.
La fiabilité du vendeur ne se lit dans aucun symbole du navigateur. Elle se vérifie dans les mentions légales, l'immatriculation, les prix et les moyens de paiement, comme décrit plus haut.
Le moyen de paiement décide de vos recours, pas de la fiabilité du site. Une carte bancaire laisse une trace, et la loi impose à la banque de rembourser une opération que vous n'avez pas autorisée, sauf si elle a de bonnes raisons de soupçonner une fraude de votre part ou peut prouver une négligence grave, par exemple la communication de votre code de validation sur un site d'hameçonnage ; c'est à elle d'en apporter la preuve, et l'usage enregistré de la carte ne suffit pas à l'établir. Un paiement que vous avez validé vous-même, y compris avec le code de votre banque, n'est pas une opération « non autorisée » au sens de la loi : si la commande n'arrive jamais, le remboursement dépend de votre banque et des règles de votre réseau de carte, pas d'une obligation légale. Un virement envoyé à un escroc ne se rappelle que si les fonds sont encore sur le compte d'arrivée ; une carte cadeau ou une cryptomonnaie ne se récupèrent presque jamais.
Sources : economie.gouv.fr, vérifier la fiabilité d'un site ; article L133-18 du code monétaire et financier ; article L133-19 (fraude et négligence grave du payeur) ; article L133-23 (charge de la preuve) ; Banque de France, incidents et litiges relatifs aux virements SEPA ; Cybermalveillance.gouv.fr, sécuriser ses achats sur Internet.
Avis et réputation d'un site : ce que valent les avis en ligne
Pas grand-chose à eux seuls. Diffuser de faux avis, ou modifier des avis pour promouvoir un produit, est une pratique commerciale trompeuse interdite par le code de la consommation, et affirmer que des avis viennent de vrais acheteurs sans l'avoir vérifié l'est aussi. Cette interdiction n'arrête pas un site dont l'activité entière est une escroquerie. Elle vous dit seulement à quoi vous êtes en droit de vous attendre d'un site honnête.
Comment repérer les avis qui ne valent rien :
- Les avis affichés sur le site lui-même sont sous le contrôle du vendeur : il choisit ce qu'il publie, ce qu'il retire et ce qu'il invente.
- Des avis élogieux datés d'avant la création du domaine, ou des milliers d'avis sur un domaine de quelques semaines, contredisent un fait vérifiable (étape 2).
- Des dizaines d'avis parfaits déposés sur quelques jours, sans détail sur le produit ni sur la livraison, avec le même vocabulaire.
- Une note affichée sans lien vers les avis eux-mêmes, ou un badge « avis vérifiés » qui n'est qu'une image.
Ce qui a un peu de valeur, c'est ce qui se dit ailleurs. La DGCCRF conseille de diversifier ses sources plutôt que de se fier à une seule page ; economie.gouv.fr recommande de privilégier des plateformes d'avis indépendantes et certifiées, qui modèrent les commentaires, de se méfier des sites qui ne présentent que des témoignages sur leur propre page, et d'entrer le nom du site sur un moteur de recherche associé au mot « arnaque ». Nous ne recommandons aucune plateforme d'avis : nous n'en avons vérifié aucune. Même là, un avis reste la parole d'un inconnu, et l'absence d'avis négatifs ne prouve rien pour un site ouvert récemment.
Pour un problème réel avec un vendeur, le dispositif public est SignalConso, le service de signalement de la répression des fraudes : le signalement est transmis à l'entreprise et à la DGCCRF. Ce n'est pas un site d'avis ; c'est le canal qui peut aboutir à un contrôle.
Sources : DGCCRF, Avis en ligne : attention aux faux commentaires ; economie.gouv.fr, vérifier la fiabilité d'un site ; article L121-4 du code de la consommation, 27° et 28° ; SignalConso.
Les sites frauduleux les plus courants
Fausses boutiques en ligne
Vous payez, la commande n'arrive jamais, ou vous recevez une contrefaçon sans rapport avec la photo. Le site disparaît après quelques semaines et renaît sous un autre nom. Comment fonctionnent les faux sites e-commerce.
Sites qui imitent une marque (typosquatting)
Une adresse proche de celle d'une enseigne connue, à une lettre ou un tiret près, pour capter des commandes ou des identifiants.
Pages d'hameçonnage (phishing)
Copies d'un site de banque, d'administration ou de transporteur, atteintes par un lien reçu par SMS ou courriel, pour récupérer identifiants et coordonnées bancaires.
Faux sites de placement et de trading
Rendements promis, dépôt encaissé, retraits impossibles. Avant tout dépôt, consultez les listes noires de l'AMF et le registre ORIAS (étape 7).
Si vous avez déjà commandé ou payé
Les recours ci-dessous sont gratuits et publics. L'ordre compte : la banque d'abord, la réclamation et la plainte ensuite, les signalements pour finir.
- 1.Faites opposition si vous avez saisi votre carte sur le site, ou si des débits que vous n'avez pas autorisés apparaissent. Appelez votre banque, ou le serveur interbancaire indiqué par service-public.gouv.fr. Un numéro d'enregistrement vous est remis : conservez-le. Fraude à la carte bancaire (service-public.gouv.fr)
- 2.Contestez auprès de votre banque tout paiement non autorisé. La loi lui impose de rembourser une opération non autorisée, immédiatement et au plus tard à la fin du premier jour ouvrable suivant votre signalement, sauf si elle a de bonnes raisons de soupçonner une fraude de votre part. Elle peut aussi vous opposer une négligence grave, par exemple si vous avez communiqué votre code de validation sur un site d'hameçonnage, mais c'est à elle de la prouver : la simple utilisation de la carte ne suffit pas à l'établir. Signalez dans les treize mois suivant le débit. Articles L133-18, L133-19, L133-23 et L133-24 du code monétaire et financier. Si la carte est toujours en votre possession et que des achats en ligne ont été faits sans vous, signalez-les ensuite sur Perceval, qui délivre un récépissé pour la banque.
- 3.Si vous avez payé vous-même et que rien n'arrive, réclamez par écrit au vendeur, puis signalez-le sur SignalConso, le service de la répression des fraudes. Demandez en parallèle à votre banque si un recours existe sur ce paiement : ce n'est pas un droit garanti par la loi, cela dépend de votre réseau de carte, mais la demande ne coûte rien. Si vous avez payé par PayPal, un litige pour objet non reçu se signale dans les 180 jours suivant le paiement (délais de signalement des litiges, PayPal). Pour un virement, demandez immédiatement à votre banque une demande de retour de fonds, dite « recall », au motif qu'il s'agit d'une fraude : la Banque de France précise que la procédure n'aboutit pas toujours, surtout si elle est effectuée tardivement (Banque de France, virements SEPA). Pour une cryptomonnaie ou une carte cadeau, il n'existe pas de procédure de ce type.
- 4.Déposez plainte. Pour un faux site de vente, la plainte se dépose en ligne sur THESEE, le service du ministère de l'Intérieur ; elle est validée et signée électroniquement par un policier. Pour un faux placement, THESEE ne s'applique pas : la plainte se dépose au commissariat ou en brigade de gendarmerie.
- 5.Signalez le site sur PHAROS, la plateforme des policiers et gendarmes. Un signalement n'est pas une plainte et ne la remplace pas.
- 6.Changez les mots de passe utilisés sur ce site, et partout où vous utilisiez le même. Si vous avez un doute sur la marche à suivre, Info Escroqueries répond au 0 805 805 817, numéro vert, du lundi au vendredi de 9 h à 18 h 30 (service-public.gouv.fr, Escroquerie).
Vérifier par vous-même : les registres et annuaires publics
Les mêmes sources que celles utilisées dans la méthode. Aucun de ces services ne donne de « score de confiance » : chacun établit un fait, et rien de plus.
ICANN Lookup
Date de création et bureau d'enregistrement d'un domaine, dans l'annuaire RDAP, pour les extensions génériques. Notre outil lit le même annuaire RDAP, par le relais public rdap.org.
Whois de l'Afnic
Dates de création et d'expiration d'un .fr. Les coordonnées des titulaires particuliers sont masquées, celles des entreprises sont visibles.
Annuaire des entreprises
Moteur de recherche officiel de l'administration : existence, activité et adresse d'une entreprise à partir d'un SIREN, d'un SIRET ou d'un nom.
Google Safe Browsing
Le rapport de transparence de Google indique si une adresse figure dans sa base de sites malveillants. Une adresse absente n'est pas une adresse sûre : la base ne connaît que ce qui a déjà été signalé.
Listes noires de l'AMF
Sites non autorisés à proposer des placements en France. L'AMF précise elle-même qu'un site absent des listes doit encore prouver ses agréments.
Registre ORIAS
Registre officiel des intermédiaires en assurance, banque et finance. Permet de vérifier qu'un intermédiaire est immatriculé.
Questions fréquentes
Ce site est-il fiable ? Comment le savoir ?
Comment tester un site internet avant d'acheter ?
Comment savoir si un site est sécurisé pour le paiement ?
Site fiable ou pas : que vaut un résultat « aucun signal d'alerte » ?
Un site récent est-il forcément une arnaque ?
Le cadenas HTTPS prouve-t-il qu'un site est fiable ?
Les avis en ligne permettent-ils de savoir si un site est fiable ?
J'ai payé sur un site frauduleux, que faire ?
Aucune base ne contient une boutique frauduleuse ouverte cette semaine : un blocage de domaines répertoriés ne remplace aucune des vérifications ci-dessus.
Pour aller plus loin
Cette page décrit une méthode et des sources publiques. Elle ne nomme aucun site comme fiable ni comme frauduleux, et son outil ne déclare jamais un site fiable.