Un message annonce un colis bloqué, une facture impayée ou une connexion suspecte, et l’adresse affichée semble presque officielle. Pour savoir si elle est frauduleuse, examinez le domaine et le contenu du message, mais gardez en tête qu’une adresse familière peut aussi être usurpée.
Une adresse suspecte donne un indice, jamais un verdict
- Dépliez l’expéditeur pour voir son adresse complète, pas seulement son nom affiché.
- Comparez le domaine caractère par caractère avec celui de l’organisme officiel.
- Ne cliquez pas sur un lien pour vérifier un message : contactez l’organisme par un canal indépendant.
- SPF, DKIM et DMARC renseignent sur l’authentification du domaine, pas sur la fiabilité du contenu.
Le nom affiché peut mentir, même quand l’adresse paraît crédible
« Service client » ou « Assurance Maladie » peut être saisi librement comme nom d’expéditeur. Dans votre messagerie, touchez ou cliquez sur ce nom pour afficher l’adresse complète, puis regardez ce qui suit le signe @.
Un domaine comme ameli.fr.exemple.com appartient à « exemple.com », pas à ameli.fr. Un nom très proche, une lettre remplacée ou un tiret inattendu doit éveiller le doute. À l’inverse, une adresse chez Gmail ou Outlook ne prouve pas à elle seule une fraude : une petite association ou un indépendant peut légitimement utiliser ce type de boîte.
Je donne plus de poids à une demande inhabituelle qu’à une faute de français : un message bien écrit peut être frauduleux, tandis qu’une vraie entreprise peut envoyer un courriel maladroit. Cybermalveillance.gouv.fr recommande de vérifier un doute par un autre canal, surtout si le message réclame un paiement ou des identifiants.
SPF, DKIM et DMARC authentifient un domaine, pas une intention
Ces noms apparaissent parfois dans les détails techniques d’un message. SPF vérifie si le serveur d’envoi est autorisé par un domaine, DKIM contrôle une signature numérique, et DMARC vérifie notamment l’alignement entre le domaine visible et un domaine authentifié.
Un résultat « pass » ne signifie donc pas « message sûr ». La RFC 9989, publiée par l’IETF en mai 2026, précise que DMARC valide l’usage d’un domaine, mais ne valide ni la partie de l’adresse avant le @, ni le contenu du message. Un compte légitime piraté peut aussi envoyer des demandes malveillantes.
Dans Gmail sur le Web, l’option « Afficher l’original » présente séparément les résultats SPF, DKIM et DMARC. Si un résultat échoue, méfiez-vous, mais ne concluez pas automatiquement à une fraude : un transfert de courriel ou une configuration technique peut perturber certaines vérifications. Le contenu et le contexte restent à examiner.
Trois indices suspects suffisent à interrompre l’échange
Un seul indice peut avoir une explication innocente. En revanche, si deux ou trois signaux se cumulent, je traiterais le message comme dangereux jusqu’à confirmation indépendante : domaine presque identique à l’officiel, urgence inhabituelle, demande de mot de passe ou pièce jointe inattendue.
| Situation | Ce que cela peut indiquer | Que faire |
|---|---|---|
| Le nom affiché est connu, mais le domaine après @ ne correspond pas au site officiel. | Usurpation du nom de l’organisme. | Ne répondez pas et ouvrez le site officiel en saisissant son adresse vous-même. |
| L’adresse semble correcte, mais le courriel réclame un code, un mot de passe ou un paiement urgent. | Compte d’expéditeur compromis ou adresse usurpée. | Appelez l’organisme avec un numéro trouvé indépendamment du message. |
| Le message semble venir d’un proche, mais demande un virement ou un service inhabituel. | Boîte piratée ou imitation de l’adresse. | Confirmez par téléphone ou par une conversation déjà connue. |
| Vous ne trouvez aucun signal d’alerte, mais le message vous surprend. | Une fraude peut être soignée et personnalisée. | Vérifiez quand même la demande hors du courriel avant d’agir. |
Cette règle évite un piège fréquent : se rassurer parce que le logo, le prénom ou l’adresse semblent familiers. Une demande sensible se confirme ailleurs, même si les vérifications techniques semblent favorables.
Si vous avez cliqué, protégez d’abord le compte ou le moyen de paiement
Un clic seul ne signifie pas forcément que votre téléphone ou votre ordinateur est compromis. Si vous avez saisi un mot de passe, changez-le depuis le site ou l’application officielle, puis modifiez-le aussi sur les autres comptes où il était réutilisé. Activez la double authentification si le service la propose.
Si vous avez transmis des coordonnées bancaires ou repéré un débit inconnu, contactez immédiatement votre banque par son application ou le numéro figurant sur votre carte. Conservez le courriel et une capture d’écran : Service-Public.fr indique que ces éléments peuvent servir lors d’un signalement ou d’une plainte.
Pour signaler un courriel indésirable, vous pouvez utiliser Signal Spam, qui demande le code source du message. Si le courriel contient un lien vers un faux site, le signalement relève de Phishing Initiative. Évitez de transférer le message à vos proches sans précaution, car le lien piégé circulerait avec lui.
Le réflexe le plus sûr tient en une vérification séparée
Une adresse aide à repérer une incohérence, mais elle ne permet pas à elle seule de certifier l’identité de la personne ni l’innocuité du message. Face à une demande d’argent, de code ou de données personnelles, ouvrez l’application officielle ou appelez un numéro connu : le courriel peut attendre, votre compte sera mieux protégé.