Ce que l’outil regarde

Six familles de signaux, toutes lisibles sans compte ni clé, avec ce que chacune prouve et ce qu’elle ne prouve pas :

Signal	Ce que ça indique	Ce que ça n’indique pas
Ancienneté du domaine et bureau d’enregistrement	La date d’enregistrement publiée par le registre officiel (protocole RDAP). Un domaine de quelques jours qui vend déjà beaucoup mérite de l’attention.	L’honnêteté de l’éditeur : un domaine ancien peut avoir été racheté ou piraté, un domaine récent peut être légitime.
Certificat HTTPS	Que la connexion est chiffrée et que le certificat est valide pour ce nom (émetteur, dates).	Que le site est sérieux : des certificats gratuits sont délivrés à tout le monde, faux sites compris.
Liste publique d’hameçonnage	Que le domaine a déjà été vu servant de faux site (liste libre Phishing.Database).	Qu’un site absent de la liste est honnête : un faux site neuf n’a pas encore été signalé.
Page d’accueil et mentions légales	Que le site répond, ne redirige pas ailleurs sans le dire, et affiche (ou non) l’identité de son éditeur, comme la loi l’exige.	Que les informations affichées sont vraies : un faux site peut recopier celles d’une vraie société.
Numéro SIREN contrôlé au registre	Si le numéro lu sur le site existe, si l’entreprise est en activité, sa date de création, et si son nom ressemble à celui du site.	Que cette entreprise est bien derrière le site : le numéro peut avoir été emprunté.
Messagerie du domaine (MX, SPF, DMARC)	Que le domaine peut recevoir des e-mails et se protège de l’usurpation.	Quoi que ce soit sur la qualité du site : c’est un signal faible, utile surtout en creux.

Comment lire une ligne

Rien d’anormal : ce point précis ne signale rien. Ce n’est pas une garantie, et un tableau entièrement vert ne veut pas dire « sûr ».
À vérifier : un élément mérite que vous regardiez de plus près. Pris seul, il n’accuse personne.
Alerte : un élément objectivement défavorable (domaine déjà listé pour hameçonnage, certificat invalide, numéro d’entreprise impossible). Ne saisissez rien tant que ce n’est pas éclairci.
Non vérifié : je n’ai pas pu lire l’information (site qui bloque les robots, registre muet, délai dépassé). Ni bon ni mauvais signe.

Mes seuils sont mes choix, écrits dans le détail de chaque ligne : moins de 30 jours d’ancienneté pour une alerte, moins d’un an pour « à vérifier », moins de six mois pour une entreprise. Aucun n’est une norme.

Ce que l’outil ne peut pas voir

La qualité des produits, la livraison réelle, le remboursement, les avis clients (faciles à fabriquer).
Les sites derrière une protection anti-robots, que je ne contourne pas : la ligne correspondante sera « non vérifiée ».
Le contenu construit par JavaScript : je lis le HTML tel que le serveur l’envoie, sans l’exécuter.
Les mentions légales et le SIREN des sites non français : le contrôle ne s’applique qu’aux sites en français.
Un site qui imite parfaitement une vraie société, sous un domaine ancien ou piraté.

Avant de payer, ce que vous pouvez vérifier vous-même

L’outil lit des signaux techniques ; il ne remplace pas les gestes que Cybermalveillance.gouv.fr recommande avant un achat (page mise à jour le 19 août 2025, consultée le 13 octobre 2026) :

Comparer le prix : une offre trop belle pour être vraie est une raison de ne pas acheter.
Vérifier les mentions légales et les conditions générales de vente, et privilégier les sites liés à des sociétés françaises ou européennes, qui vous laissent la protection de la réglementation européenne en cas de litige.
Chercher le nom du site accompagné de « arnaque » ou « escroquerie ».
Contrôler que vous êtes bien sur l’adresse du site officiel, lettre par lettre.
Payer par un moyen qui évite de donner votre numéro de carte au vendeur (Cybermalveillance cite Paylib et la e-Carte Bleue), ne jamais donner votre code confidentiel, et surveiller votre compte après l’achat.

Mes sources

Registres de noms de domaine, par RDAP (la liste des serveurs vient du fichier public de l’IANA). Le même principe que l’outil de disponibilité de nom de domaine.
Certificat présenté par le serveur du site, DNS publics du domaine.
Phishing.Database (licence MIT, sans clé) : j’en garde une copie locale, mise à jour toutes les douze heures. J’ai écarté deux autres listes connues, vérification faite le 12 octobre 2026 : URLhaus (abuse.ch) exige désormais une clé et réserve l’usage commercial à un abonnement, et le flux gratuit d’OpenPhish est limité à l’usage non commercial, ce que Privova n’est pas puisqu’il se finance par l’affiliation.
Annuaire des entreprises (API Recherche d’entreprises, données ouvertes, sans clé) pour le SIREN.
L’obligation d’afficher l’identité de l’éditeur vient de l’article 6-III de la loi pour la confiance dans l’économie numérique.

Ce que mon serveur fait de votre saisie

Le domaine que vous tapez est envoyé à mon serveur, qui interroge pour vous le registre du domaine, le DNS, le site lui-même et, si un SIREN est affiché, l’annuaire des entreprises (le SIREN seulement). Le site analysé voit une requête identifiée « Privova-verif-site » venant de mon serveur, jamais votre adresse IP ni votre navigateur. Je ne garde pas les domaines testés et ne les associe à aucune adresse IP : le service ne tient en mémoire qu’un cache de dix minutes au plus, et l’accès à cet outil n’est pas journalisé par nginx. Comme pour toutes les pages de privova.fr, la requête transite par Cloudflare. Pour limiter les abus, le nombre de vérifications par minute est plafonné. Le détail général est dans la politique de confidentialité.

Si vous avez déjà payé ou saisi un mot de passe

Si vous avez donné un numéro de carte, contactez votre banque pour faire opposition, sans attendre.
Changez le mot de passe saisi, et celui de tous les comptes où vous l’aviez réutilisé. Un mot de passe différent par site limite les dégâts d’une erreur de ce genre ; c’est le rôle d’un gestionnaire de mots de passe. NordPassLien partenaire : si vous souscrivez, Privova touche une commission, sans surcoût pour vous. en est un (lien partenaire : je perçois une commission si vous le prenez, sans surcoût pour vous).
Gardez les preuves (captures, e-mails, reçu) et demandez de l’aide à Cybermalveillance.gouv.fr.
Signalez le site sur SignalConso s’il vend quelque chose, et sur Pharos pour un contenu illicite. Les hameçonnages reçus par e-mail se signalent sur Signal Spam, ceux reçus par SMS ou MMS au 33700.
Pour déposer plainte, une arnaque sur internet (hameçonnage, faux site) peut se déclarer en ligne sur THESEE, la plateforme de l’État, d’après service-public.gouv.fr (consulté le 13 octobre 2026) ; sinon au commissariat ou à la gendarmerie.
Pour un site financier (placement, crypto, courtage), l’AMF publie des listes noires que mon outil n’interroge pas : regardez-les avant d’investir.

Sur une divulgation de données personnelles, voir aussi la page sur la plainte pour divulgation de données.

Questions fréquentes

Le cadenas du navigateur prouve-t-il qu’un site est fiable ?

Non. Il prouve que la connexion est chiffrée vers le serveur qui contrôle ce nom de domaine. Un faux site obtient un certificat aussi facilement qu’un vrai, c’est pourquoi l’outil l’affiche comme un fait technique, pas comme un label.

Un domaine récent est-il forcément une arnaque ?

Non, toute entreprise a eu un premier jour. Mais comme beaucoup de faux sites sont créés peu avant d’être utilisés, c’est une raison de regarder les autres lignes avec attention, surtout avant un paiement.

Pourquoi « non vérifié » sur certains grands sites ?

Beaucoup bloquent les robots. Je ne contourne pas ces protections : je vous le dis plutôt que d’inventer une réponse.

Que faire si le site que j’ai testé est légitime et sort en alerte ?

Si c’est le vôtre et que l’alerte vient de la liste d’hameçonnage, faites retirer le domaine auprès des mainteneurs de la liste (voir leur dépôt public). Pour le reste, écrivez-moi via la page contact : je corrigerai un signal mal lu.

Vérifier si un site est fiable

Analyser un site