2026-11-12

Comment vérifier si un lien court est sûr — repérer le smishing et savoir quoi faire

Un SMS qui dit « Veuillez confirmer votre adresse de livraison », qui se termine par xxx.com/aB3kZ9. Expéditeur inconnu, et aucun moyen de voir où mène le lien. Voilà pourquoi les liens raccourcis sont devenus une épée à double tranchant en matière de sécurité : les services légitimes s'en servent pour élaguer les URL longues, tandis que les criminels exploitent la même fonction pour masquer des destinations dangereuses.

Ce guide explique comment inspecter un lien court avant de cliquer, comment repérer le smishing et que faire si vous avez déjà cliqué.

Pourquoi les liens raccourcis sont détournés

Comme expliqué dans notre article précédent, un lien court est un panneau indicateur. Le problème, c'est que la barre d'adresse n'affiche que le panneau, jamais la destination.

• Avec une URL longue (www.example.com/...), vous pouvez repérer d'un coup d'œil un domaine imité, mais un slug de six caractères ne vous donne aucun indice.
• Les identifiants d'expéditeur dans les SMS et sur les réseaux sociaux peuvent eux aussi être falsifiés, donc associer un faux expéditeur à un lien court donne aux arnaques une apparence officielle.
• C'est pourquoi les smishing de livraison de colis, d'amande, de cadeau ou de proposition d'emploi reposent largement sur les liens raccourcis.

L'essentiel : les liens raccourcis ne sont pas dangereux en soi — un lien court venant d'une source inconnue l'est.

Quatre façons de vérifier la destination avant de cliquer

1. La fonction d'aperçu (consultation) du raccourcisseur

Certains raccourcisseurs de liens proposent une page d'aperçu qui révèle la destination ou les statistiques d'un lien.

• Les services de type Bitly ouvraient historiquement une page de stats/destination lorsqu'on ajoutait + à la fin du lien (uniquement pour les liens émis par ce service). La prise en charge et la mécanique changent souvent ; vérifiez la page d'aide officielle du fournisseur.
• Les sites gratuits de « vérification d'URL courte » fonctionnent sur le même principe : collez le lien court et voyez l'URL finale vers laquelle il mène. Considérez toute consultation de ce type comme un indice, pas comme une preuve — les critères de jugement définitifs se trouvent au point 3 ci-dessous.

2. Utilisez les aperçus des messageries

Coller un lien dans KakaoTalk ou dans une application de notes génère souvent un titre et une image d'aperçu. Si le domaine réel affiché diffère de l'organisme imité (une « agence officielle » qui renvoie vers xyz-login.top), c'est un faux sur-le-champ.

3. Vérifiez l'expéditeur et le contexte

Cette étape relève du bon sens, pas de la technologie. Ne cliquez pas dans l'un des cas suivants :

• Un SMS d'un numéro inconnu, ou un nom d'expéditeur qui ressemble à un compte personnel
• Un langage de pression : « confirmez maintenant », « expire bientôt », « compte suspendu »
• Une administration, une banque ou un livreur qui vous pousse à passer par un lien court (par défaut, ils vous orientent vers leurs application et site officiels)
• Un domaine qui diffère d'un seul caractère du vrai domaine de l'entreprise

4. Si vous devez cliquer, isolez la session

S'il faut absolument cliquer pour vérifier, ouvrez le lien dans une fenêtre privée ou un navigateur déconnecté — jamais dans un navigateur qui conserve vos sessions actives. Si les redirections s'enchaînent, lisez le domaine final dans la barre d'adresse et fermez immédiatement.

Vous avez déjà cliqué ? Que faire selon le symptôme

Vous avez juste visité, sans rien saisir — sauf si une invite d'installation ou une demande d'autorisation de notifications est apparue, vous allez généralement bien. Fermez la fenêtre ; n'y revenez pas, contentez-vous de la fermer.

Vous avez saisi des identifiants de connexion

1. Changez immédiatement le mot de passe de ce service
2. Changez tous les autres comptes qui réutilisaient le même mot de passe
3. Activez l'authentification à deux facteurs (2FA)
4. Vérifiez les opérations de la carte et des services bancaires liés, et faites-les bloquer si quelque chose semble anormal

Une installation d'application a démarré — supprimez-la immédiatement et passez en revue l'historique des autorisations d'installation.

Où signaler (Corée) : le smishing et le phishing se signalent au centre de traitement du KISA au 118 ; les escroqueries au système de signalement cyber de la police (ecrm.police.go.kr) ou au 182. Faites des captures d'écran et conservez le message — ne supprimez pas la preuve.

Du côté de la création : comment éviter le blocage

Les entreprises et créateurs légitimes qui envoient des liens courts en masse peuvent déclencher les filtres anti-spam des messageries et des emails. Les règles de crédibilité sont claires.

• Utilisez votre propre domaine (liens de marque) : les liens créés avec un domaine personnalisé passent plus souvent les filtres que les liens logés sur des domaines partagés au hasard — et le destinataire peut vérifier où va le lien avant de cliquer, parce que votre marque y figure littéralement.
• Ne pointez que vers des destinations HTTPS : un lien court qui renvoie vers une cible en http simple est suspect par définition.
• Utilisez un service avec comptes et historique : les raccourcisseurs anonymes, sans inscription, voient leurs domaines partagés entachés par les autres abuseurs. Le même principe s'applique à l'usage des liens et des QR codes sur les cartes de visite.
• Soyez transparent dans l'appel à l'action : « la page des soldes de novembre du centre commercial OO » vaut mieux que « confirmez votre colis » — moins de blocages, moins de plaintes.

FAQ

Q. J'ai cliqué sur un lien court et je l'ai fermé tout de suite. Suis-je en sécurité ? Les attaques modernes ne se gagnent pas par une simple visite. Si vous avez seulement fermé l'onglet sans rien installer ni rien taper, vous allez quasi certainement bien.

Q. Les domaines .kr sont-ils sûrs et tous les autres non ? Non. L'extension de domaine n'a rien à voir avec la sécurité. Les faux sites utilisent indifféremment .kr, .com et les nouveaux gTLD.

Q. Les liens longs, non raccourcis, sont-ils sûrs ? Pas nécessairement. Les escrocs mettent la vraie marque en tête : naver.com.shop-deal.top commence par naver.com mais est en réalité un sous-domaine de shop-deal.top. Tout ce qui précède le premier / (ou le port :) est l'hôte. Demandez-vous : « le vrai domaine de l'entreprise démarre-t-il en position zéro, ou sert-il de décor ? »

Q. Les liens de notre entreprise sont sans cesse bloqués. Si vous partagez un raccourcisseur gratuit sur un domaine générique avec des milliers d'inconnus, les liens malveillants d'un seul abuseur peuvent faire chuter tout le domaine — un domaine entier puni pour les abus de l'un d'entre eux. Passez à un domaine de marque.

Résumé

• Dans le doute, ne cliquez pas. Si vous êtes curieux, utilisez les fonctions d'aperçu/consultation — mais tranchez en dernier ressort sur l'expéditeur, le contexte et la chaîne complète du domaine.
• Quand vous créez des liens, raccourcir sous votre propre domaine vaut mieux qu'un domaine partagé au hasard. Avec un domaine personnalisé rdurl, votre marque voyage dans le lien et les destinataires peuvent vérifier la source avant d'appuyer.