Comment savoir si un site est fiable : 10 vérifications en 5 minutes

Si n’importe laquelle de ces étapes de vérification révèle un problème ou vous fait douter, ne saisissez aucune donnée personnelle, n’entrez pas votre numéro de carte et quittez le site.

C’est un réflexe à avoir, utile et salvateur. Une fausse boutique en ligne, un site qui imite celui de votre banque, une page d’abonnement quelconque qui cherche à récupérer vos données personnelles : ce sont des risques aujourd’hui plus courants que jamais.

Et pourtant, cinq petites minutes suffisent pour vérifier qu’un site internet est sûr avant d’y faire vos achats. Voici les 10 vérifications à faire, dans l’ordre, avec des explications claires pour chaque étape.

Sur internet, les sites malveillants ou dangereux apparaissent et se multiplient comme des champignons en automne. En effet, en 2025, Cybermalveillance.gouv.fr a assisté plus de 504 000 victimes de sites, soit 20 % de plus qu’en 2024, et les escroqueries commerciales en ligne ont progressé de 170 %.

Le risque ne se limite d’ailleurs pas aux boutiques en ligne. Un site dangereux, cela peut aussi être un site qui imite votre banque, un service de livraison ou une administration pour récupérer vos identifiants.

D’autres sites, enfin, cherchent à vous faire installer un logiciel malveillant : fausse mise à jour, bouton de téléchargement trompeur ou publicité piégée. On les croise surtout sur les plateformes de téléchargement non officielles.

Les vérifications qui suivent valent pour tous ces sites, même si certaines, comme les CGV ou le paiement, concernent surtout les sites marchands.

Payer sur un site frauduleux peut vous exposer à plusieurs problèmes, parfois cumulés :

Récupérer votre argent demande ensuite souvent beaucoup de temps et des démarches. Sans parfois pouvoir aboutir. Quelques minutes de vérification avant d’interagir avec le site restent la protection la plus simple.

Vous voulez savoir si un site est fiable ou pas ? Un site sérieux devrait passer les 10 contrôles ci-dessous sans difficulté. Si une de ces vérifications échoue, vous devez renoncer à votre achat et quitter le site.

Pour vérifier un site internet, commencez par vérifier les infos que vous donne la barre d’adresse : c’est le contrôle le plus rapide et le plus simple.

Le typosquatting est une technique de fraude qui consiste à enregistrer un nom de domaine très proche de celui d’une marque connue pour tromper les visiteurs pressés avec une URL très similaire.

Imaginons que vous vouliez commander en ligne chez maisondupont.fr. Un pirate peut jouer sur :

Lisez toujours attentivement le nom qui est placé juste avant l’extension (.fr, .com). Certains experts vous mettront en garde contre les sites qui commencent par www2 ou boutique. Pris individuellement, ces indices n’indiquent ni un vrai ni un faux site. D’ailleurs, même l’Assemblée Nationale française utilise des sites miroirs en www2 pour répartir la charge sur leurs serveurs.

Méfiez-vous par contre des liens reçus par message. Beaucoup d’arnaques par SMS renvoient vers des adresses fallacieuses. Si vous avez un doute, n’utilisez pas le lien qui se trouve dans le SMS reçu. Rendez-vous directement sur le site en tapant vous-même l’adresse officielle de la marque dans votre navigateur.

Le protocole HTTPS est indispensable à tout site internet qui se respecte. Mais, inversement, il ne dit rien de l’honnêteté du propriétaire du site que vous visitez.

Le protocole HTTPS chiffre la connexion entre votre navigateur et le site que vous visitez. Il empêche donc un tiers de lire vos données en chemin, rien de plus. Et malheureusement, un escroc peut tout à fait obtenir un certificat HTTPS gratuitement, en quelques minutes.

Et les chiffres le confirment : début 2021 déjà, 83 % des sites de phishing utilisaient le chiffrement SSL, selon PhishLabs. C’est pourquoi nous avons créé un guide complet, à lire si vous voulez savoir ce qu’est le phishing.

Le certificat SSL d’un site qui utilise le chiffrement HTTPS peut vous donner quelques indications. Cliquez sur l’icône qui est située à gauche de l’adresse, c’est souvent un cadenas, mais pas toujours. Chrome, par exemple, l’a remplacé par une icône de réglage à l’intérieur de laquelle on trouve le fameux cadenas.

Une fois que vous avez cliqué dessus, le navigateur affiche alors :

Le nom de domaine doit bien entendu être celui du site que vous pensez visiter.

À l’inverse, Chrome signale les sites sans HTTPS comme « Non sécurisé ». À partir de sa version 154, prévue en octobre 2026, il demande une confirmation avant d’ouvrir un site public sans HTTPS.

En France, tout site professionnel doit afficher ses mentions légales, en général en pied de page.

D’après Service-public, vous devez y trouver :

Une société indique aussi sa forme juridique et son capital social. Vous pouvez tester les coordonnées : un e-mail qui renvoie en erreur ou un numéro non attribué en disent long sur le site.

Les CGV sont obligatoires pour vendre à des particuliers en France. Cherchez-y quatre informations :

Vérifiez enfin que le même nom d’entreprise figure dans les mentions légales, les CGV et la page de paiement. Ici, un texte vague ou mal traduit doit vous mettre la puce à l’oreille.

Une fois que vous avez trouvé les coordonnées de l’entreprise dans les mentions légales, il faut encore prendre le temps de les vérifier.

Copiez le SIREN (neuf chiffres) ou le SIRET (14 chiffres), puis collez-le sur annuaire-entreprises.data.gouv.fr, le service gratuit de vérification des entreprises proposé par l’État français. Comparez ensuite la fiche obtenue avec les infos du site :

Pris isolément, aucun des indices ci-dessous n’est une preuve de malveillance. Réunis, ils doivent vous arrêter :

Le site est étranger ? Il n’aura pas de SIREN. Cherchez alors son numéro de TVA et son registre national, et redoublez de prudence s’il est basé hors de l’Union européenne.

Une recherche WHOIS indique depuis quand un nom de domaine est enregistré. Saisissez l’adresse du site que vous vérifiez sur who.is ou whois.com et repérez la date de création.

Comparez-la à ce qui est annoncé sur le site. Un domaine créé il y a trois mois pour une marque qui se présente comme « experte depuis 1998 » est un signal d’alerte sérieux.

Durant une recherche WHOIS, l’identité du propriétaire apparaît souvent masquée, avec une mention du type « Privacy Protected ». Ce n’est pas un signal négatif en soi : de nombreux domaines légitimes activent cette protection de leur identité par défaut. Pour les sites en .fr, par exemple, l’Afnic (Association française pour le nommage Internet en coopération) masque le nom des particuliers et ne publie que celui des sociétés.

En revanche, si un nom d’entreprise s’affiche, vérifiez donc qu’il correspond à celui des mentions légales du site.

Les avis affichés par un site internet sur la qualité de ses services ne prouvent rien : le vendeur choisit ce qu’il montre. Souvent même, il peut simplement inventer des avis bidons.

Cherchez plutôt le nom du site suivi des mots « avis », « arnaque » ou « plaintes » dans un moteur de recherche. Vous ferez remonter ainsi les signalements de commandes jamais reçues, d’arnaque de service client déficient, etc. Croisez aussi les avis laissés sur plusieurs plateformes d’avis et forums : c’est toujours plus fiable qu’une source unique.

Gardez un esprit critique quand vous consultez des avis en ligne. Les faux avis sont une discipline olympique du marketing digital de nos jours. Dans son Trust Report de mai 2025, Trustpilot indique avoir supprimé 4,5 millions de faux avis en 2024, soit 7,4 % des avis déposés. 90 % de ces faux avis ayant été détectés et supprimés automatiquement par leur IA.

En général, quatre indices peuvent trahir de faux avis :

Même avec l’IA et les correcteurs d’orthographe, les syntaxes bancales, les fautes grossières et les traductions automatiques restent un indice. Mais bien sûr, les créateurs de sites assistés par IA produisent désormais en quelques heures une boutique en ligne crédible, pages légales comprises.

Un site sans faute de grammaire ou d’orthographe n’est donc pas forcément un site fiable. Il faudra plutôt regarder la cohérence d’ensemble.

Une remise de 90 % sur un produit qui vient de sortir et que tout le monde veut, un compte à rebours, un stock « pratiquement épuisé » : ces procédés sont là pour vous pousser à payer dans l’urgence, presque sans réfléchir.

Comparez les prix proposés avec ceux de deux ou trois autres vendeurs connus. Le ministère de l’Économie recommande d’ailleurs lui aussi la plus grande vigilance face aux offres trop alléchantes.

Faites un clic droit sur deux ou trois photos de produits et lancez une recherche image avec Google Lens.

Généralement, trouver la même photo ailleurs n’a rien d’anormal : les revendeurs officiels reprennent souvent les visuels du fabricant. Regardez plutôt où elle apparaît et à quel prix le produit est proposé. La photo vient du site d’une marque connue, mais la boutique vend le produit 70 % moins cher ? Elle figure sur un site à un prix dérisoire ? Dans les deux cas, méfiez-vous.

Un badge de paiement sécurisé ou de label qualité peut n’être rien d’autre qu’une simple image copiée. Alors cliquez dessus : un vrai badge doit renvoyer vers la page de vérification de l’organisme qui l’a délivré.

Il y a plusieurs outils en ligne gratuits qui peuvent analyser l’adresse et parfois le contenu d’un site à votre place. Ils vous feront gagner du temps, à condition de savoir ce qu’ils vérifient vraiment.

Collez l’adresse URL complète sur le site de vérification, puis lisez le détail du rapport, ne vous en tenez pas seulement à la note de confiance, afin de mieux comprendre de quoi il retourne.

Les navigateurs Chrome, Firefox, Safari et Edge bloquent déjà les pages signalées comme dangereuses et affichent un avertissement en pleine page. Ne l’ignorez pas et gardez votre navigateur à jour, les mises à jour de sécurité peuvent vous sauver la mise.

Des protections automatiques plus larges existent aussi, comme la protection contre les fraudes de Surfshark, on en parle un peu plus bas.

Ces services comparent surtout une adresse URL à des menaces déjà connues. Une fausse boutique qui vient d’être mise en ligne la veille et sur laquelle vous venez de tomber n’y figure pas encore. À l’inverse, un site récent mais honnête peut obtenir une note seulement moyenne. Utilisez-les donc en complément de vos vérifications manuelles.

Le mode de paiement que vous utilisez en ligne détermine vos possibilités de recours si la commande tourne mal.

Avec 3D Secure, votre banque vous demande de confirmer l’achat, le plus souvent dans son application. C’est une protection utile, mais son absence ne prouve pas une fraude : les petits montants ou les paiements jugés peu risqués sont parfois dispensés de vérification 3D Secure par la banque elle-même.

Privilégiez la carte bancaire, qui ouvre généralement le plus de recours en cas de litige. Si votre banque en propose une, utilisez une carte virtuelle à usage unique.

Certains sites marchands malveillants ne vous laissent pas utiliser de carte bancaire et vous redirigent plutôt vers :

Ces moyens de paiement ne permettent généralement aucun recours en cas de litige. Soyez particulièrement attentif si le site affiche des logos de cartes, puis ne propose plus que le virement au moment de payer.

Les neuf méthodes de vérifications précédentes sont efficaces pour repérer les sites dangereux, à condition de penser à les faire à chaque fois. Or un lien frauduleux peut arriver par SMS ou par e-mail à un moment où vous êtes justement pressé d’acheter. Ça arrive même aux meilleurs.

La protection contre les fraudes de Surfshark ajoute une couche de protection automatique, active sur plusieurs canaux :

Concrètement, la protection contre les fraudes de Surfshark répond pour vous à la question « ce site est-il sûr ? » dès qu’une adresse figure parmi les menaces identifiées. Vous n’avez rien à lancer : la protection agit à chaque visite, y compris les jours où vous n’avez pas cinq minutes devant vous.

Mais attention : aucun logiciel ne bloque toutes les menaces, et une boutique en ligne frauduleuse récente peut ne pas encore être répertoriée. Je vous conseille donc de combiner : votre bon sens, la protection automatique au quotidien, et la checklist ci-dessus pour tout site qui demande vos données personnelles ou sur lequel vous prévoyez d’effectuer un paiement.

À noter, les fonctionnalités de protection de Surfshark ci-dessus sont incluses dans les offres Surfshark One et Surfshark One+.

Si vous avez un sérieux doute sur le site que vous visitez, ne cliquez sur rien – aucun bouton, aucun lien, aucune image – et n’entrez aucune information. Ensuite :

L’entraide et le partage ont permis d’élever l’humanité des jungles africaines à la Lune. C’est pourquoi prendre le temps de signaler un site malveillant est important : ça ne prend que quelques minutes et ça protège les prochains acheteurs.

Pour participer à la lutte contre le crime, trois services publics sont utiles :

Faites attention avant de fermer la page du site internet, conservez des preuves : captures d’écran, adresse exacte du site, e-mails de confirmation et références de paiement.

Notez par contre qu’un signalement n’entraîne pas de remboursement. Pour récupérer votre argent, vous devrez suivre les démarches ci-dessous.

Ici, chaque minute compte, alors agissez vite. La démarche à suivre dépend de votre situation.

Découvrez aussi plus en détail dans quels cas les banques remboursent l’argent perdu en cas d’arnaque.

Écrivez d’abord au vendeur, puis demandez à votre banque une rétrofacturation, aussi appelée chargeback. Ce n’est pas un droit prévu par la loi, mais un service proposé par les réseaux de cartes. Les délais pour en faire la demande peuvent être courts : réagissez sans attendre. Déposez aussi plainte en ligne sur THESEE.

Dans les deux cas, protégez vos comptes :