Vérifier un mail suspect : les signes et la méthode fiable

Un mail vous semble louche. Ce réflexe de méfiance est déjà la moitié du travail. L’autre moitié, c’est de vérifier avant d’agir. C’est exactement là que la plupart des pièges se referment : on clique, on répond, on ouvre la pièce jointe… et c’est trop tard.

En 2025, l’hameçonnage (ou phishing) arrive au premier rang des menaces signalées en France : il représente un tiers des demandes d’assistance traitées par Cybermalveillance.gouv.fr, avec une hausse de 70 % des signalements en un an. Autrement dit : vérifier un mail suspect n’est plus une précaution de paranoïaque, c’est un réflexe de base.

Pourquoi vérifier un mail suspect avant d’agir ?

Un mail de phishing bien conçu ne ressemble pas à une arnaque. Il imite votre banque, un service public, un fournisseur, parfois un collègue. Son seul objectif : vous faire agir sous pression. Cliquer, répondre, payer, saisir vos identifiants.

Deux pièges se referment vite :

• Le lien piégé : il mène vers une fausse page de connexion qui enregistre votre mot de passe, ou vers un site qui installe un malware.
• La pièce jointe : un PDF, un fichier Excel ou une archive peut exécuter du code malveillant dès l’ouverture.

Avec un peu de chance, les mails suspects partent directement dans vos spam. Mais cela n’est pas toujours le cas, vous devez donc rester sur vos gardes.

Les 7 signes d’un mail suspect

Ces signes ne prouvent rien individuellement. Un vrai mail peut contenir une faute. Mais si vous en cumulez deux ou trois, passez à la vérification.

1. Un expéditeur que vous ne connaissez pas. Ou pire : un nom d’affichage connu (Service client, Votre banque), mais une adresse mail sans rapport. C’est le signal le plus fréquent.
2. Un objet alarmiste ou trop alléchant. « Votre compte sera suspendu », « Remboursement en attente », « Votre crédit est accepté », « Colis bloqué », etc. L’urgence et la promesse sont les deux leviers classiques du phishing.
3. Une pression temporelle. « Sous 24 heures », « dernier rappel ». Le but : vous empêcher de réfléchir. Un organisme légitime ne vous demandera jamais de transférer de l’argent ou de saisir un code en urgence.
4. Des fautes et une mise en forme bâclée. Images pixelisées, logos désuets, tournures maladroites, « Cher client »… Les campagnes de phishing sont rarement personnalisées (même si cela peut arriver).
5. Un lien qui ne correspond pas au texte affiché. Le bouton affiche « paypal.fr » mais pointe vers un domaine inconnu. C’est presque toujours le signe d’une tentative de phishing.
6. Une pièce jointe inattendue. Surtout si elle vous demande de saisir des informations dans le fichier.
7. Une demande de données sensibles. Mot de passe, code de carte bancaire, code reçu par SMS. Aucun service légitime ne demande ces informations par mail.

Comment vérifier un mail suspect : la méthode

Vous pouvez tout vérifier sans cliquer nulle part. Comptez cinq minutes.

1. Vérifiez l’adresse réelle de l’expéditeur

Le nom de l’émetteur (« Netflix », « Impôts ») ne prouve rien : il se falsifie en quelques secondes. Cliquez sur le nom ou affichez les détails du message pour voir l’adresse complète.

Posez-vous trois questions : le nom de domaine après le @ est-il celui de l’organisation ? Un domaine proche mais pas identique est un classique. L’adresse Reply-To pointe-t-elle vers un domaine différent ? Êtes-vous client de cette société ?

2. Survolez les liens, sans cliquer

Passez la souris sur chaque lien (ou appuyez longuement sur mobile). Une infobulle affiche l’URL de destination réelle. Vérifiez le domaine, juste avant le premier / . Méfiance particulière envers les adresses IP brutes, les raccourcisseurs d’URL et les domaines qui imitent une marque avec une ou deux lettres modifiées.

3. Consultez les en-têtes du message

C’est la vérification la plus technique, et la plus probante. Dans Gmail : menu ⋮ puis Afficher l’original. Dans Outlook : Afficher le code source du message. Vous verrez les résultats des protocoles d’authentification SPF, DKIM et DMARC, qui indiquent si le serveur d’envoi est réellement autorisé par le domaine affiché. Un échec DMARC sur un mail qui se présente comme une banque : signalez le, c’est une usurpation.

4. Recoupez par un autre canal

Le conseil officiel de Cybermalveillance.gouv.fr est simple : au moindre doute, contactez l’expéditeur présumé par un autre canal, que ce soit téléphone, application officielle ou site saisi directement dans le navigateur. N’utilisez jamais les coordonnées contenues dans le mail douteux.

5. Utilisez un outil d’analyse

Plusieurs services en ligne analysent un mail collé avec ses en-têtes et renvoient un verdict assorti des signaux détectés. Utile si le doute persiste après les étapes précédentes. Restez prudent : collez uniquement le texte du message, jamais des données personnelles.

Mail suspect confirmé : les bons réflexes

• Ne cliquez pas, ne répondez pas, ne téléchargez rien. Même répondre STOP ou Qui êtes-vous ? confirme à l’attaquant que votre adresse est active.
• Signalez-le. Via votre bouton « Signaler un phishing » dans la messagerie, sur Signal Spam, ou sur 17Cyber. Chaque signalement alimente les filtres qui protègent tout le monde.
• Supprimez le mail une fois signalé, puis videz la corbeille.
• Si vous avez déjà cliqué ou saisi des données : changez immédiatement le mot de passe du compte concerné (et partout où il est réutilisé), prévenez votre banque si des données bancaires sont en jeu, lancez un scan antivirus, et démarrez un diagnostic gratuit sur Cybermalveillance.gouv.fr.

Vérification d’emails par Mail Partner

Le doute ne concerne pas que les mails reçus. Si vous envoyez des campagnes, votre propre base contient peut-être des adresses douteuses : e-mails jetables, domaines expirés, adresses catch-all, spam traps. Envoyer sur ces adresses dégrade votre délivrabilité et la réputation de votre domaine, sans compter l’argent inutilement dépensé.

Vous connaissez peut-être la vérification HLR pour les numéros mobiles : une requête interroge directement le registre des opérateurs pour savoir si un numéro est actif, sans envoyer de SMS. Mail Partner propose l’équivalent pour les adresses mail. Le vérificateur d’emails interroge les serveurs de messagerie directement, sans envoyer le moindre email, selon trois étapes :

1. Contrôle du format de l’adresse (structure nom@domaine, caractères invalides) ;
2. Inspection du serveur DNS pour confirmer que le domaine existe et peut recevoir du courrier ;
3. Analyse de l’historique des envois et des erreurs reçues pour statuer sur la validité.

Chaque adresse reçoit un score de validité entre 0 et 100, les adresses invalides sont désactivées automatiquement. Le constat est parlant : en moyenne, 25% des adresses d’une base se révèlent invalides après vérification. Autant de rebonds, de plaintes spam et de crédits gaspillés que vous évitez, pour 0,0045 € par adresse vérifiée.

FAQ

Comment savoir si un mail est fiable ?

Un seul critère ne suffit pas. Cumulez les vérifications : adresse d’expéditeur complète, domaine des liens, présence d’une pression temporelle, cohérence avec vos échanges habituels. Au moindre doute, recoupez par un autre canal officiel.

Un mail peut-il être dangereux sans pièce jointe ?

Oui. Un simple lien suffit : faux formulaire de connexion, redirection vers un site piégé, téléchargement automatique. L’absence de pièce jointe n’est pas un gage de sécurité.

Faut-il signaler un mail de phishing même si je n’ai pas été victime ?

Oui. Signal Spam et 17Cyber centralisent les signalements et font retirer les domaines frauduleux plus vite. Signaler prend trente secondes et protège les destinataires moins vigilants.

La vérification d’emails concerne-t-elle seulement les marketeurs ?

Non. Toute base de contacts vieillit : les gens changent d’adresse, les domaines expirent. Vérifier sa liste avant chaque campagne, c’est protéger la réputation de son domaine ; un enjeu pour toute entreprise qui communique par mail.