Pour reconnaître un email frauduleux, croisez cinq vérifications : l'adresse expéditeur réelle (pas le nom affiché), les en-têtes techniques (SPF / DKIM / DMARC), la cible des liens (sans cliquer), les signaux d'urgence factice et la présence de votre adresse dans les fuites publiques connues.
Cliquez sur le nom affiché : l'adresse complète apparaît. Méfiez-vous des domaines proches mais altérés (impots-gouv-fr.com au lieu de impots.gouv.fr, paypal-securite.com au lieu de paypal.com).
Affichez la source ou les en-têtes complets. Cherchez SPF=pass, DKIM=pass, DMARC=pass. Un échec sur ces trois indique presque toujours un mail usurpé. Gmail expose ces infos via le menu 'Afficher l'original'.
Survolez les liens (sans cliquer) : l'URL réelle s'affiche en bas du navigateur. Si le texte dit 'paypal.com' mais que l'URL pointe ailleurs, c'est du phishing. Sur mobile, appui long pour révéler l'URL.
Les mails de phishing jouent sur l'urgence (compte bloqué dans 24h, remboursement à valider immédiatement, livraison en attente). Une administration ou une banque ne demandera jamais d'agir dans la précipitation par email.
Si l'expéditeur cite des informations personnelles (mot de passe ancien, numéro de téléphone), c'est probablement issu d'une fuite publique. Vérifiez votre adresse sur Have I Been Pwned ou Clairmo pour identifier la source.
Saisissez l'adresse : Clairmo vérifie la validité, les fuites publiques connues (HIBP), la réputation du domaine et les profils publics associés.
Le nom affiché peut être falsifié, mais pas l'adresse réelle. Affichez les en-têtes complets (Return-Path, Received, SPF, DKIM, DMARC) : c'est la véritable empreinte technique de l'expéditeur. Si SPF ou DKIM échouent, le mail est probablement usurpé.
Les filtres anti-spam ratent une partie du phishing ciblé (spear-phishing) car les attaquants utilisent des domaines récents avec SPF/DKIM valides. C'est pour ça qu'il faut TOUJOURS vérifier manuellement, même si Gmail/Outlook n'a rien signalé.
Saisissez votre email sur Clairmo ou Have I Been Pwned : on liste les fuites de données publiques où votre adresse apparaît. Si elle est exposée, changez immédiatement le mot de passe associé et activez la double authentification.
Non, jamais. Le lien de désabonnement d'un mail de phishing peut confirmer à l'attaquant que votre adresse est active (et la revendre plus cher) ou installer du contenu malveillant. Marquez le mail comme spam et supprimez-le, sans cliquer.
Si vous n'avez rien saisi, le risque est limité à un possible traceur. Si vous avez saisi des identifiants, changez immédiatement le mot de passe partout où vous l'utilisiez et activez la 2FA. Si vous avez payé, faites opposition à votre banque dans la journée.
