Lire une URL de droite à gauche : la méthode qui démasque un faux domaine

Le SMS est bref : « Votre remboursement de 47,80 € est en attente », suivi d’un lien. L’adresse commence par https://www.ameli.fr. et vous n’en lisez pas davantage, parce que l’écran du téléphone s’arrête là. Le début est pourtant le seul endroit où le regard ne doit pas se poser.

Une adresse web n’est pas une phrase. C’est une structure hiérarchique, dont les parties n’ont ni le même auteur ni la même valeur de preuve. Le propriétaire du site choisit librement le chemin, les paramètres et les sous-domaines. La seule zone qu’il a fallu acheter à un registre, et donc la seule qui engage quelqu’un, tient en deux mots séparés par un point.

Sept morceaux, un seul décide de la destination#

Prenez l’exemple https://www.impots.gouv.fr:443/particulier/paiement?annee=2026#etape2. La syntaxe officielle, fixée par la RFC 3986, découpe cette chaîne ainsi.

Retenez la troisième ligne. Un escroc peut écrire n’importe quel chemin, n’importe quel sous-domaine, n’importe quel paramètre. Ce qu’il ne peut pas faire, c’est enregistrer impots.gouv.fr. Toute son ingéniosité consiste donc à faire passer autre chose pour ce nom-là.

La règle de lecture : de droite à gauche, jusqu’à la première barre oblique#

Le nom d’hôte se lit dans l’ordre inverse du texte, parce que la hiérarchie des noms va du plus général au plus précis en remontant vers la droite. C’est la même logique que celle qui organise la résolution DNS, où la racine interroge d’abord l’extension, puis le domaine, puis le sous-domaine.

La méthode tient en trois gestes. D’abord, repérez la première barre oblique simple qui suit https:// : tout ce qui vient après elle ne compte pas. Ensuite, dans ce qui reste, partez de la droite et prenez les deux étiquettes séparées par un point, en tenant compte des extensions composées comme .gouv.fr ou .co.uk. Enfin, comparez ce résultat, et lui seul, au nom que vous attendiez.

Les navigateurs appliquent exactement cette règle grâce à une liste publique, la Public Suffix List, qui recense les extensions et leurs sous-niveaux. C’est elle qui leur permet de savoir que exemple.co.uk est un domaine à part entière alors que co.uk n’en est pas un, et de cloisonner les cookies en conséquence.

Le point sépare, le tiret ne sépare rien#

Cette asymétrie est le ressort de la moitié des faux domaines. Un point crée un niveau de hiérarchie et rattache la gauche à la droite. Un tiret est un caractère ordinaire, à l’intérieur d’une seule étiquette.

Conséquence : ameli.fr.remboursement-secu.top est un sous-domaine de remboursement-secu.top, qui n’a aucun rapport avec l’assurance maladie. Et ameli-remboursement.fr est un domaine indépendant, que n’importe qui a pu enregistrer, même s’il se termine par la bonne extension.

Deuxième conséquence, moins connue : les sous-domaines sont gratuits et illimités. Celui qui possède un domaine crée en trois clics www.votre-banque.fr.chez-lui.com, sans demander la permission à qui que ce soit et sans que la banque en soit informée. Un nom qui « contient » celui d’une marque ne prouve donc rien du tout.

Trois caractères qui trompent l’œil#

L’arobase est le plus radical. Dans la syntaxe des adresses, tout ce qui précède un arobase à l’intérieur de la partie hôte est un identifiant d’utilisateur, hérité des vieux protocoles, et il est purement ignoré pour choisir le serveur. Le navigateur va donc à ce qui suit l’arobase. Les navigateurs récents affichent un avertissement, mais le procédé survit dans les logiciels de messagerie et les documents.

Les caractères visuellement identiques viennent ensuite. Les noms de domaine acceptent les alphabets non latins, encodés sous une forme technique qui commence par xn--. Un a cyrillique, un i sans point, un l minuscule à la place d’un I majuscule produisent un nom indiscernable à l’écran. Les navigateurs se défendent en réaffichant la forme technique quand un nom mélange des alphabets, mais la protection n’est pas totale, notamment quand le nom entier est cohérent dans un seul alphabet.

L’encodage pour cent ferme la marche. Un caractère peut s’écrire sous forme numérique, %2F pour une barre oblique par exemple, ce qui permet d’allonger une adresse jusqu’à ce que la partie utile sorte de l’écran, en particulier sur téléphone.

Les adresses numériques de ce tableau appartiennent aux plages réservées à la documentation, elles ne mènent nulle part. Le fait qu’un lien pointe vers une suite de chiffres plutôt que vers un nom est en soi un signal : aucun service public ni aucune banque ne diffuse de lien de connexion vers une adresse IP brute.

Ce que les extensions garantissent, et les trois cas où elles parlent#

Il existe aujourd’hui plus d’un millier d’extensions, dont beaucoup se vendent quelques euros la première année, parfois moins lors d’opérations promotionnelles. Une extension inconnue n’est pas une preuve de fraude, mais un domaine jetable coûte si peu qu’il est renouvelé en permanence par les campagnes d’hameçonnage.

Trois cas font exception en France. Le .gouv.fr est réservé aux services de l’État et attribué sous son contrôle : personne ne peut en acheter un, ce qui en fait le seul marqueur réellement fiable pour une démarche administrative, du parcours de déclaration des impôts jusqu’aux services préfectoraux. Le .fr est géré par l’Afnic, qui impose une condition d’éligibilité, vérifie les coordonnées du titulaire et peut suspendre un nom en cas de manquement : la barrière est réelle, mais elle n’empêche pas un dépôt frauduleux, elle le rend traçable. Enfin, certaines extensions professionnelles imposent une vérification d’activité avant délivrance.

Tout ce qui suit le point d’interrogation parle de vous#

La partie requête sert à transmettre des données au serveur. Certaines sont fonctionnelles, comme un numéro de commande ou un terme de recherche. Beaucoup sont des identifiants de suivi : source de la campagne, support, identifiant de clic ajouté par une régie ou un réseau social. Ces paramètres survivent au copier-coller, ce qui a une conséquence pratique désagréable : partager un lien tel quel dans un groupe de messagerie, c’est distribuer l’identifiant de campagne qui vous était destiné.

Pire, les liens contenus dans les infolettres transportent souvent un jeton propre à l’abonné, parfois son adresse e-mail encodée. Ouvrir un tel lien signale au serveur que ce destinataire précis a cliqué, sur le même principe que les pixels de suivi des courriels. Ces informations rejoignent ensuite les chaînes de ciblage décrites dans le fonctionnement des traceurs publicitaires.

Le fragment, introduit par un croisillon, obéit à une règle inverse et méconnue : il n’est jamais transmis au serveur. Il sert au navigateur à se positionner dans la page ou à piloter une application côté client. C’est pour cette raison que certains services y placent des jetons temporaires, qui n’apparaissent donc pas dans les journaux du serveur.

Raccourcisseurs, redirections et QR codes annulent l’inspection#

Une adresse raccourcie ne contient plus rien à lire : quelques caractères aléatoires sur un domaine de service. La destination n’existe que dans la base du raccourcisseur et ne se révèle qu’au moment de l’ouverture. Le même problème se pose avec les chaînes de redirection : un lien de suivi peut passer par trois domaines avant d’arriver, et seul le dernier compte.

Le QR code pousse la logique à son terme, puisqu’il n’affiche aucune adresse du tout. Les appareils photo des téléphones montrent l’adresse avant ouverture, en petit et souvent tronquée. Des autocollants frauduleux ont été signalés dans plusieurs villes françaises sur des horodateurs et des bornes de recharge, renvoyant vers de fausses pages de paiement. La règle de prudence est mécanique : un QR code collé sur du mobilier urbain se traite comme un lien reçu d’un inconnu, et un paiement se fait par l’application officielle ou par la borne elle-même.

Le réflexe qui rend la lecture inutile#

La vérification d’adresse est un filet de sécurité, pas une méthode de travail. Elle échoue le jour où vous êtes pressé, où l’écran est petit, ou où le faux domaine ne diffère que par une lettre. Une habitude simple la rend superflue : n’arrivez jamais sur une page de connexion ou de paiement par un lien reçu, quel que soit l’expéditeur apparent.

Cette règle du canal indépendant est le pivot de la défense contre l’hameçonnage et contre le faux conseiller bancaire, qui appelle pendant que vous lisez le message. Elle vaut aussi pour les téléchargements : un logiciel se récupère sur le domaine officiel de son éditeur, point traité dans l’installation d’un logiciel sans se faire piéger.

Quand le message est frauduleux, deux gestes utiles restent possibles après coup : transférer un SMS suspect au 33700, service de signalement des messages indésirables, et signaler le contenu sur la plateforme officielle prévue à cet effet. Le cas particulier des messages de colis est détaillé dans les faux SMS de livraison.

Le critère à retenir#

Devant un lien, ne cherchez ni le cadenas, ni le logo, ni la qualité du français, tous imitables en quelques minutes. Cherchez un seul objet : le nom de domaine enregistrable, c’est-à-dire les deux étiquettes qui précèdent immédiatement la première barre oblique. Ce nom a été acheté par quelqu’un, auprès d’un registre, et il est le seul élément de l’adresse que personne ne peut falsifier.

La recommandation de la rédaction tient donc en une phrase : lisez la fin du nom d’hôte, pas son début, et considérez tout le reste comme du décor. Pour éprouver ce réflexe sur des cas construits à partir de messages réels, le quiz de reconnaissance d’arnaque présente des adresses à trancher en quelques secondes.