Les liens courts sont-ils sûrs ? Vérifier avant de cliquer

Un lien court cache où il mène. C'est son principe — et c'est aussi exactement pourquoi le phishing en raffole. Quand on vous envoie example.link/x7g2, la seule chose qui vous servirait normalement à juger un lien, le domaine, a disparu.

Alors : les liens courts sont-ils sûrs ? La réponse honnête, c'est que le risque n'est pas le lien. C'est la destination. Un lien court est une redirection, et une redirection ne vaut jamais mieux que ce qui l'attend au bout. Voici comment voir cette chose avant de vous engager.

Prévisualisez sans y aller

La vérification la plus simple consiste à regarder avant de sauter. Beaucoup de raccourcisseurs proposent une prévisualisation qui montre la destination sans vous y envoyer. Sur urlik.xyz, les liens créés en mode prévisualisation affichent le titre, la description et l'hôte de la cible sur une page intermédiaire : vous décidez avec le domaine sous les yeux, et non une fois atterri.

Il existe aussi des services tiers qui déplient un lien court et vous rendent l'URL finale. Les deux approches répondent à la même question : où va vraiment ce lien ?

Lisez la destination comme un professionnel

Une fois l'URL finale visible, lisez-la correctement — parce que la plupart des tentatives de phishing meurent précisément ici :

• Lisez le domaine de droite à gauche. Le vrai domaine, c'est ce qui précède immédiatement la première barre oblique isolée. Dans paypal.com.secure-login.xyz/account, le domaine est secure-login.xyz, pas PayPal. Tout ce qui est à gauche n'est que décor.
• Traquez les sosies.rnicrosoft.com, paypa1.com, arnazon.com. Les marques légitimes ne se font pas ça à elles-mêmes.
• Méfiez-vous de l'urgence. « Votre compte sera fermé sous 24 heures » n'est pas une politique informatique, c'est une technique. L'urgence sert à vous empêcher de lire le domaine.
• HTTPS n'est pas une note de confiance. Un cadenas signifie que la connexion est chiffrée, pas que le site est honnête. Les sites de phishing ont eux aussi des certificats — ils sont gratuits.
• Ne saisissez jamais d'identifiants depuis un lien. Si un message prétend que votre banque vous réclame, fermez-le et tapez vous-même l'adresse de la banque. Cette seule habitude déjoue la quasi-totalité du phishing d'identifiants, sans la moindre expertise.

Jugez l'expéditeur, pas seulement le lien

Le contexte fait l'essentiel du travail. Un lien court envoyé par un collègue dans une conversation déjà en cours n'a rien à voir avec un lien court reçu par SMS d'un numéro inconnu, à propos d'un colis que vous n'avez pas commandé. Non sollicité + court + urgent : c'est la silhouette de presque toutes les tentatives de phishing.

Remarquez aussi qui n'utilise pas de liens courts. Votre banque n'a pas besoin d'économiser des caractères. Les vraies institutions renvoient vers leur propre domaine.

Ce que fait un raccourcisseur sérieux de son côté

Les services responsables ne se contentent pas de distribuer des redirections en croisant les doigts :

• Le filtrage. Les destinations sont confrontées aux listes noires de malwares et de phishing, et celles qui sont connues comme malveillantes sont refusées dès la création.
• Le mode prévisualisation. Une page intermédiaire qui montre la cible avant de continuer.
• Le signalement. Un moyen, pour n'importe qui, de dénoncer un lien afin qu'il soit bloqué. urlik place un lien de signalement sur chaque page de prévisualisation.
• Le blocage. La capacité à tuer un lien actif dès qu'il est confirmé malveillant — ce qui explique pourquoi le traitement des abus compte davantage que n'importe quelle liste de fonctionnalités.

urlik fait les quatre. Aucun filtrage n'attrape tout, cependant : un domaine de phishing tout neuf est inconnu de toutes les listes noires pendant ses premières heures. Voyez le filtrage comme un filet, pas comme une garantie.

Si c'est vous qui envoyez les liens

Les liens courts sont regardés de travers à cause des escrocs, et vous héritez de ce soupçon. Vous pouvez en rendre l'essentiel :

• Utilisez un alias lisible./spring-sale dit au lecteur de quoi il s'agit. /a8f2k1 ne lui dit rien et sent la génération automatique.
• Utilisez votre propre domaine. Un lien court personnalisé porte votre nom dans le domaine, ce qui restaure le signal de confiance qu'un raccourcisseur générique fait disparaître — la correction la plus efficace qui existe. Voyez les liens courts personnalisés.
• Dites où ça mène. « Tous nos tarifs sur notre site : urlik.xyz/pricing » vaut mieux qu'un lien tout nu.
• N'enchaînez pas les raccourcisseurs. Chaque saut supplémentaire ajoute de la latence et donne une allure de blanchiment.
• Ajoutez un mot de passe ou une expiration quand cela s'y prête. Un lien qui ne fonctionne que pour le destinataire prévu, ou seulement jusqu'à vendredi, limite ce que vaut une fuite. Pour du matériel vraiment sensible, un envoi chiffré à usage unique vaut mieux que n'importe quel lien qui traîne.

Les liens courts nuisent-ils au SEO ou à la délivrabilité ?

Deux inquiétudes concrètes qui méritent une réponse. Côté SEO, un raccourcisseur qui émet une redirection propre transmet l'autorité à la destination : les liens courts dans les publications sociales ne posent donc aucun problème de classement — évitez simplement de les employer pour la navigation interne de votre site, où le lien direct est tout bonnement la bonne solution. Côté e-mail, les raccourcisseurs réputés ne posent pas de souci, mais un raccourcisseur dont le domaine croule sous le spam peut entraîner votre message dans le dossier indésirables. Votre propre domaine évite complètement ce problème.

En résumé

Un lien court est un outil. Il est sûr quand vous voyez où il mène et que vous faites confiance à celui qui l'envoie, dangereux quand ni l'un ni l'autre. Prévisualisez avant de cliquer, lisez le domaine de droite à gauche, ne tapez jamais un mot de passe sur une page où un lien vous a déposé — et si c'est vous l'expéditeur, personnalisez vos liens pour que personne n'ait à vous croire sur parole. Si tout cela est nouveau pour vous, commencez par ce qu'est vraiment un raccourcisseur d'URL.