Pourquoi vérifier les URLs suspectes ?
Le phishing par URL reste le vecteur d'attaque numéro 1 par email. Selon l'Anti-Phishing Working Group (APWG), plus de 4,7 millions d'attaques de phishing ont été enregistrées en 2023, un record historique. Le rapport Verizon DBIR 2024 confirme : 36 % des violations de données impliquent du phishing.
Le principe est simple. Les cybercriminels créent des pages imitant des services légitimes (banques, réseaux sociaux, webmails) pour voler des identifiants. Ces liens circulent par email, SMS et réseaux sociaux, et une URL malveillante peut être retirée puis remontée en quelques heures, ce qui rend la vérification en temps réel indispensable.
Trois raisons de vérifier un lien avant de cliquer :
- Protection personnelle : Un seul lien piégé dans un email suffit à capturer vos identifiants bancaires ou email en moins de 10 secondes
- Protection de votre organisation : 91 % des cyberattaques ciblées commencent par un email de phishing (Trend Micro). Un clic compromet le réseau entier
- Vérification proactive : Si vous gérez un site web, vérifiez que votre domaine n'est pas faussement signalé (faux positif) dans les bases de menaces
Comment utiliser le vérificateur d'URL de phishing en 3 étapes
Étape 1 : Saisir l'URL suspecte
Collez l'URL complète dans le champ de saisie. L'outil accepte trois formats :
- URL complète :
https://suspicious-site.com/login - Domaine nu :
suspicious-site.com - Adresse IP :
192.168.1.1
L'URL est automatiquement normalisée (suppression des espaces, mise en minuscules, suppression du fragment).
Étape 2 : Lancer la vérification
Cliquez sur Vérifier. L'outil interroge en parallèle 3 sources de renseignement sur les menaces. Chaque source est interrogée indépendamment avec son propre délai d'attente.
Étape 3 : Analyser le rapport
Le rapport affiche :
- Verdict global : Sûr, Suspect ou Malveillant
- Score de risque : De 0 (aucun risque) à 100 (critique)
- Détails par source : Statut, types de menaces, temps de réponse
- Diagnostics : Erreurs, avertissements et informations sur la couverture
Comment fonctionnent les bases de renseignement sur les menaces ?
Les bases de renseignement sur les menaces sont des répertoires de menaces connues. Elles sont alimentées par quatre canaux principaux : signalements utilisateurs, analyse automatisée de malware (bac à sable), honeypots et partenariats avec les fournisseurs de sécurité. Leur valeur dépend de la vitesse de mise à jour et du taux de faux positifs.
| Source | Ce qu'elle couvre | Entrées acceptées | Point fort |
|---|---|---|---|
| Google Web Risk | Ingénierie sociale (phishing), malware, logiciels indésirables | URL, domaine | Les listes qui déclenchent les avertissements de Chrome, Firefox et Safari |
| VirusTotal | Agrégat de plus de 70 moteurs et services de réputation d'URL | URL, domaine | Un consensus multi-moteurs plutôt que l'avis d'un seul éditeur |
| URLhaus (abuse.ch) | Distribution de malware uniquement, jamais de phishing | URL, domaine, adresse IP | Seule source acceptant une adresse IP. Index local rafraîchi toutes les 10 minutes |
Les trois sources ne regardent pas la même chose, et c'est tout l'intérêt de les croiser. Google Web Risk et VirusTotal couvrent le phishing ; URLhaus ne référence que des URL qui distribuent un fichier malveillant. Conséquence pratique : un URLhaus « propre » ne dit rien du phishing, il dit seulement que l'URL n'est pas connue pour diffuser du malware.
PhishTank, longtemps citée comme référence communautaire pour le phishing (validation humaine via la communauté OpenDNS), a fermé ses inscriptions. L'analyse se concentre désormais sur les trois flux les plus fiables et activement maintenus.
Comment le score de risque est calculé
Le score de risque n'est pas une somme de points. C'est un niveau de confiance ancré par le verdict, puis affiné selon le nombre de sources qui concordent. Une seule source faisant autorité suffit à un score élevé : on ne dilue pas la confiance en additionnant des poids partiels.
| Verdict | Sources qui réagissent | Score de risque | Niveau |
|---|---|---|---|
| Sûr | Aucune source ne signale la cible | 0 | Aucun |
| Suspect | Un signal faible (VirusTotal sous le seuil, ou la couverture étendue de Google Web Risk) | ~35 | Moyen |
| Malveillant | Une source faisant autorité confirme (Google Web Risk, URLhaus ou VirusTotal avec plusieurs moteurs) | ~75 | Élevé |
| Malveillant | Deux sources concordantes | ~90 | Critique |
| Malveillant | Les trois sources concordent | 100 | Critique |
L'idée clé : une seule source faisant autorité, comme Google Web Risk, suffit à atteindre un score élevé à elle seule. L'ajout d'une deuxième source concordante fait monter la confiance à critique. Une détection isolée de VirusTotal sur un ou deux moteurs seulement est traitée comme un probable faux positif (Suspect, environ 35), pas comme une menace confirmée.
Cas d'usage concrets
Cas 1 : email de phishing bancaire
Symptôme : Vous recevez un email de votre "banque" vous demandant de vérifier votre compte via un lien. L'urgence du message est un signal d'alerte classique.
Diagnostic : Collez l'URL dans l'outil. Google Web Risk qui confirme à lui seul suffit à un score élevé (environ 75). Avec VirusTotal qui la signale aussi, deux sources concordent et le score monte à critique (environ 90). Les types de menaces "phishing" et "social_engineering" apparaissent dans le rapport.
Action :
- Ne cliquez pas sur le lien
- Signalez l'email comme phishing à votre fournisseur email
- Accédez au site de votre banque directement en tapant l'adresse dans votre navigateur
- Changez votre mot de passe si vous avez cliqué avant de vérifier
Cas 2 : lien raccourci dans un SMS
Symptôme : Un SMS contient un lien raccourci (bit.ly, tinyurl) vous demandant de "mettre à jour votre colis". Ce scénario représente 35 % des tentatives de smishing selon Proofpoint.
Diagnostic : Dépliez d'abord le lien raccourci avec le Redirect Checker, qui suit la chaîne de redirection jusqu'à la destination finale. Puis vérifiez cette URL finale dans notre outil.
Action :
- Si l'URL finale est signalée, supprimez le SMS immédiatement
- Bloquez le numéro expéditeur
- Rappel : les services de livraison légitimes ne demandent jamais de paiement par SMS
Cas 3 : faux positif sur votre domaine
Symptôme : Votre site affiche un avertissement "Site dangereux" dans Chrome ou Firefox, mais vous n'hébergez rien de malveillant. Ce problème touche des milliers de sites légitimes chaque année.
Diagnostic : Vérifiez votre domaine dans l'outil pour identifier quelle source vous signale. Consultez le lien de référence fourni dans les résultats pour comprendre la raison du signalement.
Action :
- Identifiez la source qui signale votre domaine dans le rapport
- Suivez le lien de référence pour comprendre le motif
- Contactez la source pour demander un retrait (demande de délistage)
- Vérifiez qu'aucun contenu injecté (piratage, redirection, iframe malveillant) n'existe sur votre site
- Utilisez Google Search Console pour demander un réexamen si Google Web Risk est en cause
FAQ - Questions fréquentes
Q : Comment vérifier si un lien est du phishing ?
R : Collez l'URL suspecte dans le champ de saisie et cliquez sur Vérifier. L'outil interroge 3 bases de renseignement sur les menaces en parallèle. Vous obtenez un verdict clair (sûr, suspect, malveillant) et un score de risque de 0 à 100 en quelques secondes.
Q : Quelles sont les sources de données utilisées ?
R : Trois sources complémentaires sont interrogées. Google Web Risk détecte l'ingénierie sociale, le malware et les logiciels indésirables, à partir des listes qui déclenchent les avertissements des navigateurs. VirusTotal agrège plus de 70 moteurs antivirus pour un verdict consensus. URLhaus (abuse.ch) ne couvre que la distribution de malware, jamais le phishing, et c'est la seule source qui accepte une adresse IP. PhishTank, source communautaire historique, a fermé ses inscriptions et ne fait plus partie des flux interrogés.
Q : Le résultat est-il fiable à 100 % ?
R : Aucun outil ne garantit une détection à 100 %. Une URL de phishing peut être retirée puis remontée en quelques heures ; un résultat « sûr » signifie qu'aucune source ne signale l'URL au moment de la vérification. Des URLs malveillantes nouvellement créées ne sont pas encore référencées. Croisez toujours avec d'autres indices (expéditeur, urgence du message, fautes d'orthographe).
Q : Puis-je vérifier un domaine sans URL complète ?
R : Oui. Entrez le nom de domaine nu (ex : captaindns.com) ou une adresse IP. L'outil détecte automatiquement le format d'entrée et interroge les sources compatibles avec ce type de requête.
Q : Que signifie le score de risque ?
R : Le score de 0 à 100 est un niveau de confiance, pas une somme de points. Sûr vaut 0. Un simple signal faible (Suspect) tourne autour de 35. Une source faisant autorité qui confirme la menace vaut environ 75 (élevé), deux sources concordantes atteignent 90 et les trois atteignent 100 (critique). Au-dessus de 85, plusieurs sources concordent.
Q : Que faire si le résultat est "malveillant" ?
R : Ne cliquez pas sur le lien. Si vous l'avez déjà visité, changez immédiatement vos mots de passe et surveillez vos comptes. Signalez le lien à votre fournisseur email et, si pertinent, à votre équipe sécurité. Utilisez les liens de référence dans le rapport pour comprendre le type de menace détecté.
Outils complémentaires
Un lien suspect n'est souvent que le premier indice. Complétez votre analyse avec ces outils :
| Outil | Utilité |
|---|---|
| IP Blacklist Checker | Vérifiez si l'IP de l'expéditeur est listée sur les blacklists email |
| Domain Blacklist Checker | Vérifiez si le domaine expéditeur est blacklisté pour spam ou phishing |
| Mail Header Analysis | Analysez les en-têtes d'un email suspect pour tracer son origine réelle |
| Redirect Checker | Analysez la chaîne de redirection et dépliez les liens raccourcis |
| Page Crawl Checker | Inspectez le comportement d'une page web sans y accéder directement |
| Analyseur d'en-têtes HTTP | Auditez les en-têtes de sécurité (CSP, HSTS, X-Frame-Options) avec une note de A à F |
Ressources utiles
- Google Web Risk - API commerciale de Google contre les sites dangereux, alimentée par les listes qui déclenchent les avertissements des navigateurs
- VirusTotal - Analyse une URL avec plus de 70 moteurs antivirus et services de réputation
- URLhaus by abuse.ch - Base de données communautaire d'URLs malveillantes, mise à jour en temps réel
- PhishTank - Vérification collaborative de phishing par la communauté OpenDNS (inscriptions fermées)
- Anti-Phishing Working Group (APWG) - Coalition internationale contre le phishing, publie des rapports trimestriels sur les tendances
- Verizon DBIR - Rapport annuel de référence sur les violations de données