Imaginez la scène : quelqu’un vous envoie un message sur Telegram avec un nom inconnu, un lien court et le mot « urgent, regarde ». Ou bien, dans une conversation de travail, quelqu’un partage surl.li/abcdef sans explication. Ou encore, vous voyez un QR code sur un poteau en ville avec l’inscription « 90 % de réduction ». Que fait la plupart des gens ? Ils cliquent, bien sûr. Parce que c’est intéressant. Parce que ça pourrait vraiment être une réduction. Parce qu’un collègue l’a partagé, alors c’est normal.
Et ensuite, c'est la loterie. Parfois, c'est une vraie réduction. Parfois, c'est un site frauduleux qui imite votre banque. Parfois, c'est le téléchargement automatique d'un fichier indésirable. Parfois, c'est simplement la collecte de vos données : adresse IP, appareil, géolocalisation.
Un lien court, par définition, masque l'URL finale. C'est à la fois son principal avantage (compact, pratique) et sa principale faiblesse (personne ne sait où il mène). Mais bonne nouvelle : vérifier un lien avant de cliquer est beaucoup plus simple qu'il n'y paraît. Et cela ne prend qu'une minute.
Pourquoi les liens courts sont-ils dangereux ?
Tout d'abord, un peu de théorie pour comprendre à quoi nous avons affaire :
Un lien classique est transparent. On voit le domaine, on voit le chemin, on comprend à peu près où l'on va arriver. https://privatbank.ua/login est clair, mais https://privat-bank-login.ru/secure est déjà suspect, et la plupart des gens le ressentiront.
Le lien court est opaque. https://surl.li/abcdef ne donne aucune indication sur l'URL finale. Il pourrait s'agir du site officiel de Privatbank, ou d'une copie conforme hébergée sur un domaine russe. La seule différence réside dans l'emplacement de la redirection. Et il est impossible de le savoir sans vérification.
C’est précisément ce qu’utilisent les attaquants. Campagnes d’hameçonnage, courriels indésirables, logiciels malveillants : tous ces éléments utilisent activement des liens raccourcis pour contourner les filtres et réduire les soupçons. Une personne voit un lien court et clair, et non une URL longue et complexe avec un domaine suspect ; elle baisse donc sa vigilance.
Méthode 1 : Développer les liens avant de naviguer
La méthode la plus simple et la plus évidente consiste à regarder où mène un lien avant de cliquer. Il existe plusieurs façons de procéder :
Astuce Bitly Plus : Si vous voyez un lien Bitly (au format bit.ly/xxxxx), ajoutez un « + » à la fin de l’URL et ouvrez-la dans un navigateur. Par exemple : bit.ly/3xKm9pQ+. Au lieu d’une redirection, vous verrez une page de statistiques avec l’URL finale.
Services de déploiement en ligne. Il existe des outils permettant d'insérer un lien court et d'obtenir l'URL finale instantanément. L'un d'eux est https://surl.li/en/check-short-url . Insérez un lien suspect, cliquez sur « Vérifier » et découvrez sa destination avant même que le navigateur n'ait effectué la moindre redirection. Pratique, rapide et sans installation.
Survolez le lien dans votre navigateur. S'il est cliquable, il vous suffit de passer la souris dessus pour que l'URL s'affiche dans le coin inférieur gauche. Cette méthode n'est cependant pas adaptée aux appareils mobiles.
Méthode 2 : Vérifier le domaine final
Vous avez développé le lien et vu l'URL finale, mais ne vous arrêtez pas là. Il vous faut maintenant évaluer le domaine lui-même. Voici ce qu'il faut rechercher :
Ressemblance avec une marque connue, avec quelques modifications mineures. privatbank.ua est un site légitime, tandis que privat-bank.ua, privatbannk.com et privatbank-secure.xyz sont très probablement des tentatives d'hameçonnage. Il s'agit d'une technique appelée typosquatting : un domaine similaire à un domaine connu est enregistré afin d'attirer les internautes.
Domaine de premier niveau inhabituel. Si votre banque ou service a toujours été accessible via .ua ou .com, et que le lien mène vers .ru, .xyz, .tk ou .ml, soyez vigilant. Les domaines de premier niveau gratuits sont fréquemment utilisés par des sites d'hameçonnage éphémères.
Pas de HTTPS. En 2026, tout site légitime collectant des données utilisera le protocole HTTPS. Si le lien mène à http:// sans le « s », fermez l’onglet.
Structure d'URL peu claire. Un site bancaire légitime ne ressemble pas à secure-login.verification-id-12345.com/privatbank/auth. Les sites légitimes ont une structure d'URL claire et compréhensible.
Méthode 3 : Utiliser un vérificateur de réputation d’URL
Si vous souhaitez non seulement voir l'URL finale, mais aussi vérifier si elle est connue pour être malveillante, il existe des outils de vérification de réputation :
Navigation sécurisée Google. Intégrée à Chrome et à la plupart des navigateurs modernes. Si un site est connu pour être un site d'hameçonnage ou contenir des logiciels malveillants, le navigateur affichera un avertissement. Cependant, il s'agit d'une mesure réactive, car Google n'est pas informé instantanément de la présence d'un site dangereux.
VirusTotal. Un service gratuit qui vous permet de coller une URL et de la faire analyser simultanément par plus de 70 bases de données antivirus. Il indique si l'une d'entre elles a détecté un problème. Particulièrement utile pour les liens récemment apparus et non encore ajoutés à la navigation sécurisée de Google.
Vérification Whois et du domaine. Si le domaine a été enregistré il y a une semaine, c'est un signal d'alarme important. Les sites d'hameçonnage ne durent pas longtemps : ils sont rapidement bloqués, et les attaquants en enregistrent donc de nouveaux. Vous pouvez vérifier la date d'enregistrement du domaine via n'importe quel service Whois.
Méthode 4 : Bac à sable – ouvrir les liens de manière isolée
Il arrive qu'on ait besoin d'ouvrir un lien, mais qu'on souhaite le faire en toute sécurité. C'est là qu'interviennent les « bacs à sable » : des environnements isolés où le site se charge sans accéder à votre appareil.
Le mode navigation privée offre une protection minimale. Il ne sauvegarde ni les cookies ni les données de session, mais il ne protège absolument pas contre les codes malveillants.
Les environnements de test pour navigateurs (sandboxes). Des services comme Browserling ou Any.run vous permettent d'ouvrir une URL dans un navigateur distant et d'observer son fonctionnement, sans risque pour votre appareil. La page s'affiche sur votre écran, mais l'interaction réelle a lieu sur leurs serveurs.
Un appareil ou une machine virtuelle distincts. Si vous travaillez dans le domaine de la sécurité ou des tests, il est judicieux de conserver une machine virtuelle ou un ancien téléphone dédié exclusivement à l'ouverture de liens suspects.
Pour l'utilisateur lambda, le sandboxing peut paraître excessif. Mais si vous recevez un lien d'une source inconnue concernant vos finances, vos mots de passe ou vos informations personnelles, mieux vaut prévenir que guérir.
Signaux d'alarme : quand il ne faut absolument pas insister
Il existe des situations où aucune vérification n'est nécessaire – le lien ne doit tout simplement pas être ouvert :
Expéditeur inconnu + lien court sans contexte. Si une personne en qui vous n'avez pas confiance ou que vous ne connaissez pas du tout vous envoie un simple lien sans explication, il y a très peu de chances que ce lien vous soit utile.
Pression et urgence. « Urgent ! », « aujourd'hui seulement », « votre compte sera bloqué » sont des techniques de manipulation classiques. Les services légitimes n'agissent pas ainsi.
Un prix ou un gain inattendu. Vous n'avez participé à aucun concours, et pourtant vous avez « gagné un iPhone » ? Ce n'est pas un hasard, c'est de la manipulation.
Les SMS contenant des liens provenant d'une prétendue « banque » ou d'un « service de livraison » sont suspects. Les banques légitimes envoient leurs SMS depuis des numéros officiels et ne vous demanderont jamais de cliquer sur un lien pour saisir votre mot de passe ou vos informations bancaires. Les services de livraison peuvent envoyer des liens de suivi, mais si vous n'avez rien commandé, il ne s'agit pas de votre colis.
Que faire si vous avez déjà déménagé
Parfois, la main clique plus vite que le cerveau ne réfléchit. Pas de panique, mais il faut agir.
Si la page vous demande de saisir des données, ne le faites pas et fermez l'onglet. Ouvrir la page n'est généralement pas problématique ; le danger survient lors de la saisie de données ou du téléchargement de fichiers.
Si vous téléchargez un fichier, ne l'ouvrez pas. Lancez immédiatement une analyse antivirus ou, si vous n'en avez pas, téléchargez la version gratuite de Malwarebytes et effectuez une analyse.
Si vous avez saisi un mot de passe, modifiez-le immédiatement sur le service que le site usurpait. Si le même mot de passe est utilisé ailleurs, changez-le partout. C'est pourquoi utiliser des mots de passe uniques pour chaque service n'est pas de la paranoïa, mais une nécessité.
Si vous avez saisi les informations de votre carte, appelez votre banque et faites-la bloquer. Il vaut mieux demander une nouvelle carte et s'en passer quelques jours que de passer des mois à essayer d'obtenir un remboursement.
Comment les services de raccourcissement de liens luttent contre cela
Les services de raccourcissement de liens responsables savent que leur plateforme peut être utilisée par d'autres acteurs que les marketeurs honnêtes. C'est pourquoi les services classiques – dont Surli fait partie – disposent de leur propre système de modération et de vérification des liens afin de détecter toute activité malveillante. Les liens menant à des sites d'hameçonnage ou malveillants connus sont bloqués au niveau de la plateforme.
Cela ne signifie toutefois pas que vous puissiez vous décharger entièrement de la responsabilité sur le service. De nouveaux sites malveillants apparaissent constamment, et il existe toujours un laps de temps entre leur création et leur blocage. Par conséquent, votre vigilance et la vérification via https://surl.li/en/check-short-url ne relèvent pas d'une paranoïa excessive, mais d'une bonne habitude.
Résumé : La règle des deux secondes
Vérifier un lien court avant de cliquer ne prend pas plus de deux secondes, si vous savez comment faire. Collez-le dans l'outil de vérification, consultez l'URL finale et évaluez le domaine visuellement. C'est tout.
Ce n'est pas difficile et cela ne requiert aucune connaissance technique. Il suffit de prendre l'habitude, comme vérifier l'expéditeur avant d'ouvrir une pièce jointe. Nous avons tous appris à ne pas ouvrir les pièces jointes inconnues. Il est temps d'apprendre à ne pas cliquer sur les liens douteux sans une vérification minimale.
Car un clic au mauvais endroit peut coûter bien plus cher que ces deux secondes que vous vouliez gagner.
