Comment savoir si un site web est sécurisé

Un site à l'aspect soigné et professionnel peut quand même être totalement dangereux à utiliser. Savoir vérifier si un site est sûr avant d'y saisir la moindre information n'est pas compliqué, mais il faut savoir où regarder, car les signes les plus visibles ne sont pas toujours ceux qui comptent.

Les signaux qui indiquent si un site est sûr sont visibles dans le navigateur et sur la page elle-même. Cet article explique quoi vérifier, ce que signifie chaque signal et que faire quand quelque chose ne semble pas normal.

Les mêmes vérifications valent que vous soyez un visiteur qui cherche à décider s'il peut faire confiance à un site, ou un propriétaire de site qui veut comprendre ce que voient les visiteurs en arrivant chez lui. Les sites sûrs et les sites dangereux laissent les mêmes empreintes. Savoir quoi chercher enlève toute part de hasard. Pour comprendre pourquoi la sécurité compte pour tous les sites, pas seulement les grands, lisez l'article sur pourquoi la sécurité d'un site web est importante.

Comment vérifier si un site web est sûr

Regardez d'abord la barre d'adresse

La barre d'adresse du navigateur est l'endroit le plus rapide pour commencer. Deux éléments en disent long avant même que vous lisiez un mot de la page.

• L'adresse doit commencer par HTTPS, pas par HTTP. Le S signifie Secure. Cela veut dire que la connexion entre votre navigateur et le site est chiffrée : toute information que vous envoyez est brouillée avant de voyager. Un site dont l'adresse commence par un simple HTTP n'utilise pas de certificat de sécurité, et tout ce que vous envoyez par un formulaire part sans protection
• Une icône de cadenas apparaît à côté de l'adresse sur les sites qui ont un certificat de sécurité valide. Pas de cadenas, pas de certificat, donc pas de connexion chiffrée. Cliquer sur le cadenas montre les détails du certificat, dont l'émetteur et la date d'expiration

Le HTTPS et le cadenas sont le minimum. Un site qui n'en a pas échoue tout de suite à la première vérification. Pour une explication complète de ce qu'est un certificat de sécurité et de son rôle, lisez l'article sur ce qu'est un certificat de sécurité de site web et pourquoi votre site en a besoin.

Lisez attentivement l'adresse

Le cadenas HTTPS indique seulement que la connexion est chiffrée. Il ne dit pas que le site est digne de confiance. Un site d'arnaque peut avoir un certificat de sécurité valide aussi facilement qu'un vrai site. C'est pourquoi la lecture du nom de domaine compte.

• Regardez le nom de domaine complet dans la barre d'adresse, pas seulement le titre de la page. Un site conçu pour ressembler à une banque ou à un service connu utilise souvent un domaine qui paraît semblable au premier coup d'œil mais qui est légèrement différent. Des caractères en plus, des tirets ou des terminaisons inhabituelles méritent d'être remarqués
• Vérifiez que le domaine correspond au site que vous vouliez visiter. Si vous avez cliqué sur un lien dans un e-mail ou depuis un autre site, confirmez que l'adresse dans la barre correspond à l'endroit où vous vouliez aller
• De longues suites de caractères inconnues dans l'adresse, ou des domaines que vous ne reconnaissez pas dès le début de l'adresse, doivent être traités avec prudence

Regardez ce que vous dit le navigateur

Les navigateurs signalent directement les sites dangereux. Ces avertissements méritent d'être pris au sérieux.

• La mention « Non sécurisé » dans la barre d'adresse apparaît sur les sites servis sans HTTPS. Certains navigateurs l'affichent sur toutes les pages HTTP. D'autres ne la signalent que sur les pages avec des formulaires ou des champs de connexion, où saisir des informations est le risque le plus net
• Un avertissement pleine page, souvent rouge ou orange, avec un texte comme « Votre connexion n'est pas privée » ou « Ce site peut être dangereux », apparaît quand le navigateur détecte un problème plus grave. Cela peut signifier que le certificat de sécurité a expiré, qu'il ne correspond pas au domaine ou que le site a été signalé pour du contenu nuisible. Ces avertissements existent pour vous empêcher de continuer, et il vaut la peine de les écouter
• Si un avertissement pleine page apparaît, ne passez pas outre sauf si vous avez une raison précise de faire confiance au site et que vous comprenez ce que signifie l'avertissement

Regardez le site lui-même

Une fois sur la page, quelques éléments en disent plus sur le fait que le site est bien ce qu'il paraît être.

• Une page de contact qui fonctionne, avec une vraie adresse, un numéro de téléphone ou une adresse e-mail, est un signe positif. Les sites créés uniquement pour collecter des informations les omettent souvent ou utilisent un texte générique de remplissage
• Des pages de politique de confidentialité et de conditions d'utilisation qui contiennent réellement du texte, pas seulement un titre sans rien dessous, suggèrent un site conçu pour fonctionner correctement
• Des fautes d'orthographe, des images cassées ou des problèmes de mise en page qui donnent un aspect inachevé peuvent être des signes d'un site construit à la hâte. Ce n'est pas la garantie que quelque chose cloche, mais combinés à d'autres signaux, ils s'additionnent
• Des demandes d'informations qui semblent déplacées, comme un site qui réclame un numéro de sécurité sociale ou des coordonnées bancaires sans raison évidente, doivent être traitées comme un signal d'alarme, quel que soit l'aspect du reste du site

Comment utiliser un outil de vérification de site web

Un outil de vérification de site web compare une adresse à des listes connues de sites nuisibles ou signalés et renvoie une évaluation de sécurité. Ces outils sont utiles pour un second avis rapide, surtout sur des sites que vous n'avez jamais visités.

Ce que regardent les outils de vérification

• Les listes de sites nuisibles connus, tenues par les éditeurs de navigateurs et les organisations de sécurité. Les sites confirmés comme pages d'hameçonnage, diffuseurs de malwares ou arnaques figurent sur ces listes et sont signalés immédiatement
• L'âge et la réputation du domaine. Les domaines récemment enregistrés qui ont déjà été signalés pour des problèmes, ou ceux qui présentent des schémas associés à une activité nuisible, peuvent être signalés même s'ils ne sont pas encore sur une liste précise
• Si le site a un certificat de sécurité valide et si le HTTPS est correctement configuré
• Si des visiteurs précédents ont signalé le site

Ce que les outils de vérification ne peuvent pas vous dire

Un résultat propre d'un outil de vérification de site n'est pas une garantie que le site est digne de confiance. Il signifie que le site n'a pas été signalé sur les listes que l'outil consulte.

• Un site d'arnaque tout neuf passera une vérification s'il n'a pas encore été signalé. Les sites nuisibles restent souvent en avance sur les listes pendant des jours ou des semaines avant d'y être ajoutés
• Les outils de vérification n'évaluent pas la qualité ni l'honnêteté du contenu du site. Un site peut passer tous les contrôles automatiques et rester conçu pour tromper les visiteurs
• Utilisez un outil de vérification comme un élément parmi les autres contrôles, pas comme le seul

Ce qui rend un site web vraiment sûr à utiliser

Le HTTPS est un point de départ, pas une ligne d'arrivée

Un site avec HTTPS et un cadenas valide a franchi les exigences techniques de base d'une connexion sécurisée. Cela vaut la peine d'être confirmé, mais c'est le début du contrôle, pas la fin.

Le HTTPS protège les données qui circulent entre le navigateur et le serveur. Il ne dit rien de ce que fait le site de ces données une fois arrivées. Un site peut avoir un certificat valide et collecter des informations à des fins que le visiteur n'accepterait pas s'il les connaissait. Pour le détail du fonctionnement du HTTPS et de ce qu'il protège réellement, lisez l'article sur ce qu'est le HTTPS et comment il protège votre site web.

Les signes de confiance sur la page

Au-delà des contrôles techniques, les sites conçus pour fonctionner correctement le montrent dans leur façon de gérer les choses de base.

• Des informations claires sur qui gère le site et comment le contacter
• Des politiques qui expliquent quelles données sont collectées et comment elles sont utilisées
• Un processus de paiement, s'il y en a un, qui utilise un moyen de paiement reconnu et montre ce que vous payez avant de confirmer la transaction
• Aucune tactique de pression : comptes à rebours, affirmations que votre compte sera bloqué si vous n'agissez pas tout de suite, ou avertissements que votre appareil est infecté sont des outils courants pour pousser les visiteurs à décider sans réfléchir

Ce que les certificats SSL prouvent et ne prouvent pas

Un certificat SSL de base, celui qui donne à un site son cadenas et son HTTPS, prouve une seule chose : que la personne qui l'a installé contrôle le domaine. Il ne vérifie pas que l'entreprise derrière le site est légitime, que le site a été examiné de façon indépendante ou que les personnes qui l'exploitent sont bien celles qu'elles prétendent être.

Les certificats de niveau supérieur vont plus loin. Un certificat à validation d'organisation ou étendue exige que l'autorité de certification vérifie l'identité juridique de l'entreprise. Les sites qui utilisent ces certificats ont été vérifiés au-delà de la simple propriété du domaine. Pour la plupart des sites courants, ce niveau de vérification n'est pas exigé, mais sur les plateformes financières ou publiques, il vaut la peine de connaître la différence. Pour le détail des types de certificats et de ce que chacun prouve, lisez l'article sur ce qu'est un certificat SSL et comment il fonctionne.

Que faire quand un site web ne paraît pas sûr

• Ne saisissez aucune information personnelle, aucun identifiant de connexion ni aucune donnée de paiement sur un site dont vous n'êtes pas sûr. Une fois envoyées, les informations ne peuvent plus être reprises
• Fermez l'onglet et rendez-vous directement sur le site que vous vouliez atteindre en saisissant vous-même l'adresse, plutôt que de suivre un lien qui a pu vous envoyer ailleurs que prévu
• Si vous avez déjà envoyé des informations sur un site qui s'est avéré dangereux, changez immédiatement le mot de passe lié à cette adresse e-mail. Si des données de paiement étaient en jeu, contactez votre banque
• Signalez le site si le navigateur ou l'outil de sécurité vous en donne la possibilité. Cela aide à faire ajouter le site aux listes d'avertissement plus vite, ce qui protège les autres visiteurs
• Si vous gérez votre propre site et voulez comprendre ce que voient vos visiteurs quand ils contrôlent sa sécurité, vérifiez que le HTTPS est actif, que le certificat est valide et non expiré, et que rien sur la page ne pourrait passer pour un signal d'alarme aux yeux de quelqu'un qui ne connaît pas déjà le site

Comment WEMASY gère les signaux de sécurité d'un site

Chaque site créé avec WEMASY fonctionne en HTTPS par défaut. Les certificats SSL sont inclus dans toutes les offres et appliqués automatiquement quand un site ou un domaine personnalisé est connecté. Aucune configuration n'est nécessaire et aucun renouvellement n'est à gérer. Les visiteurs qui regardent la barre d'adresse voient HTTPS et le cadenas dès le premier jour.

Les redirections de HTTP vers HTTPS sont en place au niveau de la plateforme : les visiteurs arrivent toujours sur la version sécurisée du site, quel que soit leur chemin d'accès. Les avertissements de contenu mixte, qui apparaissent quand une page se charge en HTTPS mais que certains éléments ne le sont pas, ne sont pas un souci, car toutes les ressources servies par la plateforme utilisent HTTPS de bout en bout.

Découvrez ce qui est inclus avec le créateur de site web WEMASY, ou consultez les offres sur la page des tarifs.

Questions fréquentes