Un cas récent
Une personne que nous accompagnons a reçu un message imitant son bureau d'enregistrement (la société auprès de laquelle un nom de domaine est déposé). Objet : domaine et certificat « expirés », bouton « Renouveler maintenant ». Elle n'a pas cliqué : elle nous l'a transféré. Bon réflexe. Le bouton menait vers un site sans rapport avec son prestataire, et son domaine, lui, était parfaitement en règle.
Le message n'était pas grossier. Il n'y avait pas de faute, le logo était le bon. C'est justement ce qui le rend efficace.
Les signes qui doivent vous alerter
- L'urgence. « A expiré », « suspension sous 24 h », « dernier avis » : le but est de vous faire agir avant de réfléchir.
- Le lien ne mène pas chez votre prestataire. Survolez le bouton avec la souris, sans cliquer : une adresse inconnue ou une suite de lettres trahit l'arnaque. Sur téléphone, un appui long affiche l'adresse mais ouvre souvent aussi un aperçu de la page : le plus sûr reste de ne pas toucher au lien. Et attention, une adresse qui ressemble à celle de votre prestataire ne prouve rien (voir l'encadré).
- Le certificat « à renouveler ». Chez la plupart des hébergeurs, le certificat de sécurité (le cadenas HTTPS) se renouvelle automatiquement. Un e-mail qui vous demande de le payer par un lien est très suspect.
- La demande de carte bancaire ou de mot de passe. Pour quelques euros, souvent. Le montant modeste est un appât : ce qui intéresse l'escroc, c'est votre carte ou l'accès à votre compte.
- Le message ne correspond pas à votre situation. Mauvaise date, domaine que vous n'avez pas, prestataire qui n'est pas le vôtre.
À retenir : un e-mail peut être techniquement authentique — réellement envoyé depuis le domaine qu'il affiche — et être une arnaque : il suffit que l'escroc possède ce domaine. Ni l'expéditeur ni l'adresse du lien ne suffisent à prouver qu'un message est vrai : un faux peut imiter les deux. La seule vérification fiable : ne pas utiliser le lien, et vous connecter vous-même à votre espace client.
Vérifier en deux minutes, sans cliquer
- N'utilisez pas le lien du message. Ouvrez vous-même le site de votre bureau d'enregistrement, en tapant son adresse ou depuis vos favoris, et connectez-vous à votre espace client.
- Regardez la date d'expiration de votre domaine et l'état du renouvellement automatique. Si tout est en ordre, le message est faux.
- En cas de doute, consultez l'annuaire public (whois). Il indique la date d'expiration d'un domaine et son bureau d'enregistrement ; pour un
.fr, celui de l'Afnic. - Demandez à la personne qui gère votre site. Un simple transfert du message suffit, comme dans notre exemple.
Vous avez cliqué ? Ce qu'il faut faire
- Vous avez seulement ouvert la page : fermez-la. Sans saisie de votre part, le risque est faible ; gardez simplement votre navigateur et votre ordinateur à jour.
- Vous avez saisi un mot de passe : changez-le tout de suite depuis le vrai site de votre prestataire (et partout où vous utilisiez le même), puis activez la double authentification. Vérifiez ensuite que l'adresse e-mail de contact et les réglages de votre domaine n'ont pas été modifiés.
- Vous avez saisi votre carte bancaire : appelez votre banque pour faire opposition, sans attendre. Si des paiements frauduleux apparaissent, vous pouvez les signaler sur la plateforme Perceval (service-public.fr) et demander leur remboursement à votre banque.
- Signalez le message sur signal-spam.fr. Et si vous êtes démuni, cybermalveillance.gouv.fr oriente les professionnels victimes vers de l'aide.
Ce qui change quand quelqu'un gère votre domaine
Dans l'abonnement MaBoutiqueArtisan, la gestion technique du nom de domaine est comprise : réglages, suivi des échéances, relation avec le bureau d'enregistrement. Le certificat HTTPS se renouvelle automatiquement, sans frais. Vous restez titulaire de votre domaine. Si nous l'avons enregistré pour vous, c'est nous qui payons son renouvellement et vous le refacturons au prix coûtant, sans marge, à chaque échéance — jamais par un lien reçu par e-mail.
Si vous gardez vous-même la relation avec votre bureau d'enregistrement, c'est vous qui en payez le renouvellement : ses avis d'échéance sont alors légitimes, et les vérifications ci-dessus permettent de les distinguer des faux. Et si un message concernant votre domaine, votre boutique ou vos boîtes mail vous paraît douteux, transférez-le-nous : le support répond par e-mail sous 3 jours ouvrés. En attendant, ne cliquez pas. Pour le reste des obligations d'un site marchand, voyez aussi le minimum légal pour vendre en ligne.
En résumé : urgence + demande de paiement par un lien = méfiance. Quel que soit l'aspect du message, n'utilisez pas son lien : vérifiez depuis votre espace client, et au moindre doute, transférez le message à qui gère votre site. Si vous avez saisi quelque chose, changez le mot de passe ou faites opposition sur la carte sans attendre.