HTTPS signifie seulement que la connexion au domaine affiché est chiffrée ; il ne prouve pas que ce domaine appartient au véritable service crypto. Vérifiez le nom de domaine enregistrable exact, accédez au site depuis une source de confiance, examinez tout avertissement de certificat et ajoutez le site confirmé aux favoris avant de connecter un portefeuille.
Comprendre les éléments en jeu#
Les domaines d’imitation emploient des lettres inversées, des mots supplémentaires, des sous-domaines trompeurs ou des caractères internationaux visuellement similaires. Un site de phishing moderne peut obtenir un certificat TLS valide : le chiffrement est une exigence minimale, pas une preuve d’identité.
Le cadre de décision#
Utilisez au moins deux points d’ancrage indépendants : par exemple un lien officiel enregistré auparavant et un dépôt vérifié, une fiche de boutique d’applications ou un répertoire reconnu de l’écosystème. Plusieurs publications sociales qui recopient le même lien ne constituent pas des preuves indépendantes.
Procéder dans un ordre contrôlé#
- Lisez le domaine de droite à gauche pour identifier le nom enregistrable. Dans
projet.exemple.com.attaquant.tld, le site appartient àattaquant.tld, pas àexemple.com.
- Comparez chaque caractère avec la documentation officielle du projet. Contrôlez l’orthographe, le tiret, l’extension et les éventuels caractères Unicode, sans vous fier au logo.
- Ouvrez les détails du certificat si le navigateur affiche un avertissement. Une expiration, un nom non correspondant ou une chaîne invalide impose l’arrêt ; ne contournez pas l’alerte pour connecter un portefeuille.
- Évitez les résultats sponsorisés et les liens raccourcis. Tapez l’adresse enregistrée ou passez par une source officielle déjà vérifiée avant toute action sensible.
- Enregistrez un favori après la vérification indépendante. Réutilisez ce favori et recontrôlez le domaine si le site redirige vers une nouvelle destination.
Les pièges courants#
- Prendre
projet.exemple.com.attaquant.tldpour un sous-domaine officiel. La partie déterminante se trouve immédiatement à gauche de l’extension enregistrable, pas au début de l’adresse. - Faire confiance à un domaine uniquement parce qu’il utilise HTTPS. Les autorités de certification valident le contrôle technique du domaine, pas la légitimité commerciale de son propriétaire.
- Ignorer qu’un domaine ressemblant vient d’être enregistré. L’ancienneté ne prouve pas l’authenticité, mais une création récente et sans mention officielle renforce le signal de risque.
- Saisir sa phrase de récupération parce qu’un site prétend que le wallet est corrompu. Aucun diagnostic légitime de site web n’exige ce secret racine.
Un résultat fiable n’est pas simplement une page qui se charge ou une connexion réussie. L’identité du domaine doit être vérifiable indépendamment et reproductible si l’interface disparaît.
Confirmer le résultat#
Ne jugez pas l’authenticité à partir du seul cadenas ou d’un message de réussite. Conservez des éléments contrôlables après la fermeture de la page.
| Point de contrôle | Preuve à obtenir | Condition d’arrêt |
|---|---|---|
| Lire le domaine de droite à gauche et trouver le nom enregistrable | URL exacte rapprochée de la documentation officielle | Faux sous-domaine de type projet.exemple.com.attaquant.tld |
| Comparer l’orthographe avec la documentation du projet | Adresse obtenue depuis deux sources officielles indépendantes | Confiance fondée uniquement sur HTTPS |
| Examiner les détails si le navigateur affiche un avertissement | Nom couvert, validité et chaîne du certificat relevés à une date donnée | Domaine ressemblant récent ignoré malgré les incohérences |
Conservez l’URL exacte, les numéros de signalement et des captures datées utiles pour documenter un faux site, mais excluez toute phrase de récupération, clé privée et code d’authentification.
Questions fréquentes#
Un site de phishing peut-il avoir un certificat valide ?
Oui. Les autorités de certification vérifient généralement le contrôle du domaine, pas la légitimité de l’entreprise ou du protocole qui se présente derrière lui.
Le cadenas du navigateur est-il toujours visible ?
L’interface varie selon les navigateurs, mais l’état HTTPS et les avertissements restent consultables dans les informations du site. N’utilisez jamais une icône comme seul contrôle.
Que faire si le domaine officiel redirige ailleurs ?
Confirmez la nouvelle destination dans la documentation ou les canaux officiels indépendants avant de lui faire confiance, surtout avant une connexion de portefeuille ou une signature.
Guides associés#
Sources#
- Ethereum.org: Security and Scam Prevention
- MetaMask: Wallet Security
- CISA: Avoiding Social Engineering and Phishing Attacks
Avertissement sur les risques : les opérations en cryptomonnaies peuvent être irréversibles. Ne communiquez jamais votre phrase de récupération, votre clé privée, votre mot de passe ou un code d’authentification, et vérifiez indépendamment chaque domaine et chaque demande affichée par votre portefeuille.
Règles éditoriales
Ce guide est éducatif et fondé sur des sources. Les mesures de sécurité, règles des plateformes et exigences légales peuvent évoluer ; vérifiez les étapes importantes auprès des sources officielles.
