Collez un lien et découvrez ce qu'il est réellement avant de cliquer — l'âge du domaine, l'émetteur du certificat, ce que disent les enregistrements de messagerie, les technologies qu'exécute le serveur, et si les signaux de risque se corroborent entre eux ou paraissent seulement inquiétants isolément.
Vous avez utilisé vos vérifications gratuites du jour. Créez un compte gratuit pour continuer — cela prend une trentaine de secondes.
Le vérificateur collecte chaque niveau indépendamment. L'échec de l'un se traduit par une preuve honnête plutôt que par l'abandon de toute la vérification.
Caractères sosies, sous-domaines trompeurs, nom de marque placé dans le chemin plutôt que dans l'hôte, punycode, identifiants intégrés, adresses IP brutes, et les schémas d'hébergement gratuit que réutilisent les kits d'hameçonnage.
Quand le domaine a été créé et quand il expire, qui l'a enregistré, quels statuts le registre lui a appliqués, et si DNSSEC est activé. L'ancienneté est le chiffre le plus utile de cette page.
Enregistrements A et MX, serveurs de noms, et publication ou non de SPF, DMARC et CAA. Un domaine d'entreprise sans aucune politique de messagerie en dit long sur ceux qui le gèrent.
Nous réalisons une négociation TLS et lisons ce que le serveur présente réellement — émetteur, niveau de validation, correspondance du nom d'hôte, noms alternatifs, version du protocole, et nombre de jours restants.
Codes de statut et chaîne de redirection complète, en-têtes de sécurité, indicateurs de cookies, compression et mise en cache, et les technologies identifiées à partir des en-têtes et du balisage — y compris celles en fin de vie.
Titre, description, canonique, langue, données structurées, couverture des attributs alt, pages de contact et de politique, année du copyright, et part de la page occupée par du script.
La plupart des scanners d'URL échouent dans l'une de deux directions. Soit ils signalent tout domaine récent et tout certificat auto-signé, si bien que plus personne ne les lit — soit ils ne reconnaissent que les liens déjà présents sur une liste noire, ce qui les met systématiquement un jour en retard sur une campagne qui dure six heures.
Celui-ci exige une corroboration. Pour atteindre MALICIOUS, les signaux de risque doivent se déclencher dans au moins deux niveaux de preuve indépendants et dans au moins trois catégories. Un domaine récent, seul, est une simple note. Un domaine récent, avec un certificat émis ce matin, résolvant vers un hôte situé dans un réseau plein de sites jetables, qui affiche un formulaire de connexion envoyant les données ailleurs — voilà un faisceau, et le verdict se construit sur des faisceaux.
Les quatre issues sont volontairement directes :
En plus de la sécurité, vous obtenez une note A–F sur six dimensions — configuration et sécurité, SSL/TLS, optimisation, contenu, référencement et signaux de performance — avec une liste classée de ce qu'il faut corriger en priorité et du nombre de points que chaque correctif rapporte. C'est une autre question que « est-ce dangereux », utile pour une tout autre raison : un site mal noté sur la maintenance est souvent un site que personne ne surveille.
Cela ne peut pas vous dire qu'un site est sûr. Cela peut vous dire qu'aucune preuve de danger n'est ressortie des signaux accessibles, ce qui est une affirmation bien plus modeste. Une opération d'hameçonnage bien financée, avec un domaine ancien, un vrai certificat et des en-têtes propres, paraîtra ici tout à fait ordinaire, parce qu'elle l'est — la tromperie se trouve dans le contenu et le contexte, pas dans l'infrastructure.
Cela ne voit également qu'un instant. Un lien propre au moment de la vérification peut être compromis une heure plus tard, et une page compromise sur un site par ailleurs légitime est le cas le plus difficile de toute la discipline. Traitez le résultat comme un élément de décision, pas comme la décision.
Rien n'est enregistré. Les outils gratuits conservent votre saisie le temps de la requête et l'effacent avec la réponse — aucun rapport stocké, aucun fichier archivé, aucune trace de l'URL, du message ou du nom de fichier. La seule chose que nous conservons est un décompte anonyme, pour que l'allocation quotidienne ait un sens ; c'est un nombre, pas une identité.
Tout ce que vous voyez provient d'une analyse déterministe : registres publics d'enregistrement, négociations DNS et TLS en direct, analyse d'en-têtes et structure PDF. Les mêmes moteurs répondent de la même façon, que vous ayez un compte ou non.
Collez les en-têtes bruts. Lisez SPF, DKIM et DMARC, remontez la chaîne de relais, et repérez les astuces de nom affiché et de Reply-To derrière la plupart des fraudes à la facture.
Lire un en-têteTéléversez un PDF. Voyez les révisions enregistrées, les valeurs portées par une version antérieure, les calques masqués et les traces structurelles que laisse une modification.
Radiographier un PDFLes vérifications de terrain qui résistent à un site web convaincant.
Où s'insère un domaine sosie dans la chaîne, et quel contrôle l'arrête vraiment.
Connaître son entreprise cliente, et pourquoi un site web convaincant n'en est pas la preuve.
Aucun signal isolé ne tranche. Regardez depuis combien de temps le domaine est enregistré, si le certificat correspond au nom d'hôte et provient d'un véritable émetteur, si le site publie des enregistrements SPF et DMARC, et si le contenu correspond à l'activité annoncée. Cet outil réunit tous ces éléments et ne rend un verdict malveillant que lorsque des catégories indépendantes concordent — un seul mauvais signal ne suffit jamais.
Cela appelle à la prudence, pas à la condamnation. L'infrastructure d'hameçonnage a généralement quelques jours ou quelques semaines parce qu'elle est vite grillée : l'ancienneté d'enregistrement est donc l'un des meilleurs prédicteurs isolés. Mais toute entreprise légitime a aussi connu sa première semaine. L'âge est une preuve corroborante, pas un verdict.
Non, et c'est le malentendu le plus répandu en matière de sécurité web. Un cadenas signifie que la connexion est chiffrée, et les certificats gratuits sont délivrés à quiconque contrôle un domaine — y compris à la personne qui exploite la fausse page de connexion. Ce qui compte, c'est à qui le certificat a été délivré, quand, et si cela correspond à ce que la page prétend être.
Oui — le vérificateur récupère la page depuis nos serveurs, jamais depuis votre navigateur, et chaque requête est protégée pour ne pouvoir atteindre que des adresses publiques. Vous ne chargez pas la page vous-même, et c'est tout l'intérêt.
Parce que la donnée n'a pas pu être collectée — un registre qui n'a pas répondu, un serveur qui a refusé la connexion. Une vérification inconnue sort entièrement du calcul plutôt que d'être devinée. Une réponse manquante n'est jamais silencieusement traitée comme un succès.
Le compte qui relève la limite quotidienne vous donne aussi les analyses forensiques complètes de documents.