Vérifier si un e-mail est une arnaque en 5 minutes
Un message vous paraît louche ? Voici la vérification en cinq étapes : en-têtes, domaine expéditeur, réputation, pièces jointes et liens. Sans jamais cliquer.
La règle absolue : ne cliquez sur rien
Avant toute analyse, un principe : on n'ouvre pas les liens, on ne télécharge pas les pièces jointes, on ne répond pas. Un simple clic confirme à l'expéditeur que votre adresse est active, ce qui a déjà de la valeur pour lui.
Toutes les vérifications ci-dessous se font sans jamais interagir avec le message.
Étape 1 : lire l'adresse d'expédition, la vraie
Le nom affiché ne veut rien dire, il se falsifie en une seconde. Ce qui compte est l'adresse réelle, visible en affichant les détails du message.
Cherchez les signaux classiques : un domaine approchant sans être exact (paypa1.com au lieu de paypal.com), un sous-domaine trompeur (paypal.securite-client.net, dont le vrai domaine est securite-client.net), ou une adresse générique chez un fournisseur grand public pour un message prétendument institutionnel.
Étape 2 : analyser les en-têtes
Les en-têtes techniques racontent le trajet réel du message. Les trois vérifications qui comptent sont SPF, DKIM et DMARC : elles indiquent si le serveur expéditeur était autorisé à envoyer au nom de ce domaine.
→ MxToolbox analyse les en-têtes que vous collez et signale les échecs d'authentification.Un échec SPF ou DKIM sur un message se réclamant d'une grande entreprise est un signal fort. L'inverse n'est pas vrai : les attaquants sérieux configurent correctement leurs domaines.
Étape 3 : enquêter sur le domaine expéditeur
L'âge du domaine est le meilleur indicateur unique. La quasi-totalité des campagnes de phishing utilisent des domaines créés depuis quelques jours.
→ ViewDNS donne la date de création et le titulaire. → urlscan.io montre ce que le site affiche réellement, sans que vous ayez à le visiter.Un domaine enregistré il y a trois jours et qui vous écrit au nom de votre banque : le dossier est clos.
Étape 4 : vérifier la réputation
→ VirusTotal croise le domaine ou l'URL avec des dizaines de moteurs de réputation. → URLhaus recense les adresses connues pour distribuer des logiciels malveillants.Attention à la lecture : un domaine tout neuf n'est signalé nulle part, simplement parce qu'il n'a pas encore eu le temps de l'être. « Aucune détection » ne signifie pas « sans danger ».
Étape 5 : la pièce jointe, sans l'ouvrir
Ne l'ouvrez jamais sur votre machine. Calculez son empreinte et cherchez-la dans les bases publiques.
→ MalwareBazaar identifie un échantillon connu depuis son empreinte. → VirusTotal accepte aussi les fichiers, mais gardez en tête que tout téléversement devient consultable par d'autres utilisateurs. Ne soumettez jamais un document contenant des informations confidentielles.Les signaux qui ne trompent pas
.zip, .iso, .docm ou .htm.Si vous avez déjà cliqué
Vérifiez si vos identifiants circulent : → Have I Been Pwned. Changez le mot de passe concerné, ainsi que ceux de tous les comptes où vous le réutilisiez, et activez la double authentification.
Aller plus loin
Le copilote d'enquête produit ce parcours complet à partir de l'adresse suspecte, chaque outil déjà pré-rempli. Le challenge « Adresse Suspecte » de la sandbox vous fait pratiquer sur un cas fictif.
Pratiquer ces techniques
Mettez en œuvre ce que vous venez d'apprendre avec nos outils interactifs.