Comment savoir si un site est sécurisé ?

Non, le cadenas dans la barre d’adresse ne prouve pas qu’un site est sûr. Selon les relevés de l’Anti-Phishing Working Group, plus de 90 % des sites frauduleux affichent aujourd’hui un certificat HTTPS valide, exactement le même cadenas fermé qu’un site fiable. Un certificat coûte parfois zéro euro et s’obtient en quelques minutes, sans aucune vérification de l’identité du vendeur. Ce qui distingue vraiment un site légitime, ce sont ses mentions légales, son numéro SIREN vérifiable, son adresse réelle, et surtout la façon dont il vous demande de payer.

Ce que le HTTPS garantit vraiment, et ce qu’il ne garantit pas

Le protocole HTTPS chiffre les données échangées entre votre navigateur et le serveur du site. C’est une garantie technique réelle : personne sur le réseau, ni votre opérateur, ni un pirate connecté au même Wi-Fi public, ne peut lire ou modifier ce qui transite. C’est tout ce que le HTTPS garantit.

Il ne garantit en revanche ni l’identité du vendeur, ni son honnêteté, ni sa solvabilité. N’importe qui peut obtenir un certificat HTTPS gratuit en quelques minutes, y compris pour un nom de domaine créé la veille dans le seul but d’imiter une marque connue. Les autorités de certification qui délivrent ces certificats basiques vérifient que le demandeur contrôle bien le nom de domaine, jamais qui il est réellement ni ce qu’il vend. Un site d’arnaque récent a donc, la plupart du temps, exactement le même cadenas fermé qu’un site fiable installé depuis dix ans.

Les vérifications qui valent vraiment quelque chose

Avant de payer sur un site que vous ne connaissez pas, quatre vérifications concrètes en disent beaucoup plus qu’un cadenas. Elles portent sur l’identité du vendeur plutôt que sur la technique, et si c’est votre question principale, notre guide pour savoir si un site est fiable la traite en détail.

1. Les mentions légales, en intégralitéTout site marchand a l’obligation légale de publier le nom de l’entreprise, sa dénomination sociale, l’adresse physique de son siège et un moyen de contact réel. Ces informations figurent en général en bas de page, dans un lien « Mentions légales » ou « Qui sommes-nous ». Leur absence, ou un contenu vague et générique, est un signal d’alerte fort selon la DGCCRF.
2. Le numéro SIREN, vérifié dans un registre officielUne fois le SIREN récupéré dans les mentions légales, vérifiez-le sur l’annuaire officiel des entreprises. Un numéro invalide, une entreprise radiée, ou une activité déclarée sans rapport avec ce que vend le site sont trois signaux qui doivent arrêter l’achat immédiatement.
3. L’ancienneté et la cohérence du nom de domaineUn domaine enregistré depuis quelques semaines seulement, alors que le site prétend être une marque installée de longue date, est un signe classique de site créé pour une campagne d’arnaque ponctuelle. Vérifiez aussi que l’orthographe du domaine correspond exactement à la marque affichée : un « i » remplacé par un « l », un tiret ajouté ou une extension inhabituelle (.shop, .top, .xyz) à la place du .fr ou .com attendu sont des indices d’usurpation.
4. L’adresse et les coordonnées, testées, pas seulement luesUne adresse physique qui existe réellement, un numéro de téléphone qui répond, ou au minimum un service client qui répond aux e-mails, sont des indices concrets. La DGCCRF recommande aussi de chercher le nom du site associé au mot « arnaque » dans un moteur de recherche : les victimes précédentes témoignent presque toujours publiquement.

Deux vérifications supplémentaires, moins connues, complètent utilement les quatre précédentes. La première consiste à interroger une base WHOIS pour connaître la date de création réelle du nom de domaine : un site qui se présente comme une enseigne reconnue mais dont le domaine a été enregistré depuis quelques semaines seulement doit être considéré comme suspect par défaut. La seconde consiste à cliquer réellement sur les labels de confiance affichés en bas de page, du type certification ou avis vérifiés : un logo qui n’est pas cliquable, ou qui renvoie vers une page du site lui-même plutôt que vers l’organisme certificateur, ne certifie rien du tout.

Les avis clients méritent la même prudence. La publication de faux avis est interdite en France, mais la pratique reste répandue : des avis excessivement élogieux, rédigés à quelques jours d’intervalle, sans détail concret sur le produit reçu, sont un indice de fabrication. Privilégiez les plateformes d’avis indépendantes qui modèrent les contenus plutôt que les témoignages affichés uniquement sur la page du vendeur lui-même, qu’il contrôle entièrement.

Les signaux d’alerte sur le paiement

Le moyen de paiement demandé est, dans la pratique, l’indicateur le plus fiable de tous. Certains modes de paiement ne sont tout simplement jamais légitimes pour un achat en ligne classique, parce qu’ils ne sont pas récupérables une fois envoyés.

Un vendeur qui exige un virement, une cryptomonnaie ou le numéro d’une carte cadeau pour un achat qui devrait se payer normalement par carte bancaire n’est, dans l’immense majorité des cas, pas un vendeur du tout. Ces trois moyens de paiement ont un point commun : une fois l’argent envoyé, aucune banque et aucune plateforme ne peut l’annuler ni le récupérer, contrairement à un paiement par carte qui ouvre droit à une procédure de contestation auprès de votre établissement bancaire.

Un prix anormalement bas par rapport au marché, sur un produit habituellement plus cher, complète presque toujours ce tableau. Avant de comparer uniquement le prix, la DGCCRF conseille de vérifier aussi le délai de livraison annoncé, les frais additionnels et les conditions de retour : un site qui casse les prix sans justification, tout en exigeant un paiement non traçable, cumule les deux signaux les plus fiables qui existent.

Le moment du paiement lui-même obéit à une règle légale simple, qui donne un dernier indice avant de valider une commande : le consentement doit se marquer en deux clics distincts, un premier pour vérifier la composition et le prix total de la commande, un second pour la confirmer définitivement. Un site qui ne permet pas de relire le détail de la commande avant paiement, ou qui débite directement sans cet écran de confirmation, ne respecte pas cette obligation, ce qui est en soi un signal d’alerte. Une fois la commande passée, un e-mail de confirmation détaillant les biens achetés, le prix et le délai de livraison doit vous parvenir : son absence, ou son caractère générique, doit également alerter.

Les dispositifs officiels à connaître

Deux outils gratuits permettent de vérifier ou de signaler un site avant ou après un achat douteux.

Pour vérifier l’existence réelle d’une entreprise derrière un site, l’annuaire des entreprises, tenu par l’administration, permet de rechercher gratuitement un numéro SIREN et de consulter son statut, sa date de création et son activité déclarée. C’est la vérification la plus rapide, et la plus fiable, avant tout paiement à un vendeur inconnu.

Si vous avez déjà été confronté à un site frauduleux, que vous ayez payé ou non, la plateforme Internet Signalement, gérée par la police et la gendarmerie, permet de signaler le site aux autorités. Ce signalement alimente les bases utilisées pour faire fermer les sites frauduleux et prévenir d’autres victimes, même s’il ne déclenche pas automatiquement le remboursement de la somme perdue.

Si le paiement a déjà eu lieu par carte bancaire, contactez votre banque sans attendre pour faire opposition et engager une contestation : c’est la seule action qui peut réellement bloquer ou récupérer les fonds. Si l’arnaque a aussi servi à collecter vos informations personnelles au-delà du paiement, comme une copie de pièce d’identité ou un accès à un compte, l’article sur comment savoir si on est victime d’usurpation d’identité détaille les vérifications à faire pour s’assurer qu’aucune démarche frauduleuse n’a été ouverte à votre nom derrière l’achat lui-même.

Enfin, si le site frauduleux vous a poussé à installer une application ou une extension avant le paiement, ce qui est un schéma de plus en plus fréquent sur mobile, vérifiez aussi l’état de votre appareil : comment savoir si son iPhone a un virus détaille les signes d’une installation indésirable et la marche à suivre pour la supprimer.