Tutoriels pratiques Sécurité

Comment analyser un lien suspect en toute sécurité

Inspectez un lien auquel vous ne faites pas confiance sans l'ouvrir : neutralisez-le, lisez son véritable hôte, repérez les caractères trompeurs, développez les raccourcis et suivez les redirections.

Dernière vérification :

AdSense Placeholder
Slot: header_reference_page
Sur cette page

Étapes

  1. Ne cliquez pas ; copiez l'adresse

    Sur un ordinateur, faites un clic droit sur le lien et choisissez de copier l'adresse du lien. Sur un téléphone, appuyez longuement sur le lien. Ne vous fiez pas au texte affiché dans le message, qui peut dire une chose et pointer vers une autre.

  2. Neutralisez-le avant de le partager

    Collez l'adresse dans le neutraliseur d'URL. Il transforme https:// en hxxps:// et les points en [.] pour que les messageries et applications de chat ne le rendent pas cliquable. Utilisez cette version dans les tickets et rapports.

  3. Trouvez l'hôte réel

    Collez l'original dans l'analyseur d'URL et lisez le hostname. Le site réel est la dernière partie de l'hôte avant le premier / isolé, pas le premier mot. Dans https://mybank.com.secure-login.example/verify, l'hôte est mybank.com.secure-login.example, qui appartient à secure-login.example et non à une banque.

  4. Cherchez les caractères trompeurs

    Passez l'hôte dans le convertisseur de nom d'hôte en Punycode. S'il contient des lettres d'un autre alphabet, la forme convertie commence par xn--. Par exemple, аpple.com avec une première lettre cyrillique devient xn--pple-43d.com, qui n'est pas le domaine d'Apple.

  5. Développez les liens raccourcis

    Pour les liens de type bit.ly, collez l'adresse dans le développeur d'URL courtes. Il suit jusqu'à 15 redirections et affiche la destination finale et le nombre de sauts, sans charger la page dans votre navigateur.

  6. Tracez la chaîne de redirections

    Pour tout autre lien, utilisez le traceur de chaîne de redirections HTTP pour lister chaque saut et son code de statut (301, 302, 307, 308). Un lien d'hameçonnage rebondit souvent par un hôte de suivi d'apparence légitime avant d'atteindre la fausse page.

  7. Décodez les parties cachées

    Les longues chaînes de requête sont souvent encodées en pourcentage, par exemple next=%2Faccount. Collez-les dans le décodeur d'URL pour lire les vraies valeurs et vérifiez si une autre URL se cache dans un paramètre.

  8. Décidez, signalez et gardez-le neutralisé

    Si une étape paraît anormale, ne visitez pas le lien. Signalez-le à votre équipe de sécurité ou à votre fournisseur de messagerie sous sa forme neutralisée. Ne le rétablissez, dans un bac à sable, que si vous avez une raison de l'ouvrir.

Ce dont vous avez besoin

Le lien lui-même, copié et non cliqué, et le contexte dans lequel il est arrivé (qui l'a envoyé et si vous l'attendiez).

Lire une URL du bon côté

Toute URL a la forme schéma://hôte/chemin?requête#fragment. L'hôte décide quelle organisation contrôle la page, et il est facile d'être trompé par ce qui le précède.

URL Hôte réel Ce que c'est vraiment
https://mybank.com.secure-login.example/verify mybank.com.secure-login.example Une page de secure-login.example
https://[email protected]/login evil.example Tout ce qui précède @ est un nom d'utilisateur, ignoré pour l'acheminement
https://secure-login.example/mybank.com secure-login.example mybank.com n'est qu'un chemin

Signaux d'alerte

  • Un hôte qui mêle un nom de marque à des mots ou tirets supplémentaires, comme mybank-support-verify.example.
  • Un domaine écrit avec des caractères d'un autre alphabet. Le Punycode (xn--) les révèle.
  • Un raccourcisseur ou une redirection qui masque la destination finale.
  • Une longue chaîne de redirections par des hôtes sans rapport.
  • Un message inattendu qui crée l'urgence ou réclame un mot de passe, un paiement ou un code.

Pièges courants

  • Juger sur le texte affiché. Le texte d'un lien et sa destination sont indépendants.
  • Se fier au cadenas. HTTPS signifie seulement que la connexion est chiffrée ; les sites d'hameçonnage ont couramment des certificats valides.
  • Rétablir trop tôt. Ne restaurez un lien neutralisé que si vous devez l'ouvrir, et faites-le dans un environnement isolé.

Pour aller plus loin

Pour la structure des URL et des chaînes de requête, voir Comment fonctionnent les URL et les chaînes de requête ; pour l'attaque elle-même, Hameçonnage (phishing) l'explique.

Essayez ces outils

Neutraliseur d'URL

Neutralisez URL, domaines, adresses IP et e-mails (hxxp://example[.]com) pour qu'on ne puisse pas cliquer par erreur.

Analyseur d'URL

Collez n'importe quelle URL et visualisez instantanément son protocole, hôte, port, chemin.

Décodage d'URL

Décodez du texte encodé en pourcentage (URL-encoded) pour retrouver sa forme lisible originale instantanément dans votre navigateur.

Extenseur d'URL Courte

Résolvez une URL raccourcie (bit.ly, t.co, tinyurl, et plus) vers sa destination finale côté serveur avant de cliquer dessus.

Traceur de chaîne de redirection HTTP

Suivez la chaîne complète de redirection d'une URL côté serveur et visualisez chaque saut, code de statut et la destination finale.

Convertisseur de Nom d'Hôte en Punycode

Convertissez un nom de domaine internationalisé (IDN) contenant des caractères non-ASCII en sa forme ASCII Punycode (xn--).

Voir aussi

  • Guide Comment fonctionnent les URL et les chaînes de requête
    Les sept parties d'une URL, quels caractères exigent un encodage en pourcentage et pourquoi.
  • Glossaire Hameçonnage (phishing)
    Le hameçonnage (phishing) est une arnaque où des attaquants se font passer pour une organisation de confiance pour obtenir vos identifiants.
  • Glossaire Punycode
    Le Punycode est l'encodage qui permet de stocker dans le DNS, limité à l'ASCII, des noms de domaine contenant des caractères non ASCII.
  • Glossaire URL raccourcie
    Une URL raccourcie est un lien compact qui redirige vers une adresse plus longue, créé par un service de raccourcissement de liens.
  • Glossaire Redirection
    Une redirection est une réponse du serveur qui envoie le navigateur vers une autre URL, avec un code d'état 3xx et un en-tête Location.

Questions fréquemment posées

Le Neutraliseur d'URL, l'Analyseur d'URL, le Décodeur d'URL et le Convertisseur de Nom d'Hôte en Punycode fonctionnent dans votre navigateur et ne visitent jamais le lien. Le Développeur d'URL Courtes et le Traceur de Redirections HTTP contactent en revanche le lien, mais depuis le serveur de ce site : la destination voit notre serveur et non votre appareil. Traitez malgré tout le résultat comme du texte non fiable.

La navigation privée masque l'historique, pas votre adresse IP ni votre appareil vis-à-vis de la destination, et une page malveillante peut toujours tenter d'exploiter le navigateur ou de récupérer ce que vous saisissez. Analysez d'abord, ne visitez qu'en cas de nécessité, et depuis un environnement jetable.

Non. Un lien d'apparence propre peut rediriger par plusieurs hôtes, et un attaquant peut enregistrer un domaine convaincant. Vérifiez l'hôte réel et la chaîne de redirections plutôt que le texte affiché.

Retour aux tutoriels pratiques
AdSense Placeholder
Slot: footer_leaderboard