Notre verdict resume ce que le message revele de lui-meme : qui l'a reellement envoye, ou menent ses liens, ce qu'il cherche a vous faire faire. Voici les detecteurs utilises, la facon dont le score est calcule, et ce que l'analyse ne peut pas garantir.
Jérémy Pierre
Auteur
Publié le 5 juin 2026
Mis à jour le 19 août 2026
7 min de lecture
En 30 secondes
La methode en 30 secondes
Le principe :le message part d'un score de risque de 0. Chaque signal detecte ajoute des points. Un signal rouge declenche le verdict rouge quelle que soit la note.
Les 5 detecteurs :authentification SPF/DKIM/DMARC, coherence expediteur, liens trompeurs, pieces jointes dangereuses, langage d'urgence.
Vie privee :le contenu de votre message est supprime immediatement apres l'analyse. Restent 7 jours, pour afficher votre page de resultat : le verdict, les signaux, le sujet du message et le nom affiche de l'expediteur.
La limite :un score eleve ne garantit pas que l'email est legitime. Restez vigilant face a toute demande inhabituelle.
Detecteurs
5
Analyses en parallele
Score de risque
0 a 100
Vert / orange / rouge
Analyse
Instantanee
Quelques secondes
Conservation
7 jours
Contenu supprime, verdict garde
01
Le principe
Chaque message soumis part d'un score de risque de 0. Les 5 detecteurs sont appliques en parallele et chacun peut ajouter des points selon la gravite du signal detecte. Le total, entre 0 et 100, est converti en un verdict couleur. C'est ce score de risque, et lui seul, que la page de resultat affiche dans sa jauge : plus il est haut, plus le message est dangereux.
Certains signaux tres graves (usurpation d'expediteur confirmee, piece jointe piegee) declenchent automatiquementle verdict rouge, quel que soit le reste du score. C'est ce que nous appelons un « verrou rouge ». Un signal orange, lui, interdit le verdict vert : un message qui porte le moindre signal ne peut pas etre presente comme fiable.
0 a 30
Aucune alerte
31 a 60
Vigilance moderee
61 a 100
Vigilance rouge
02
Nos sources
L'analyse par detecteurs s'appuie exclusivement sur les informations contenues dans le message lui-meme, sans consulter aucune base ni service exterieur :
Liens HTML et texte, expressions de langage d'urgence
Pieces jointes
Nom de fichier et extension (pas d'ouverture ni d'execution)
Base de marques francaises
Liste interne de domaines officiels de banques, services publics et e-commerce
Le role exact de l'IA
Les 5 detecteurs ci-dessus sont deterministes : memes en-tetes, meme verdict, sans aucun appel exterieur. Un second temps envoie ensuite le sujet, le domaine de l'expediteur et un extrait du message a l'API Mistral AI, qui rend deux choses : la phrase d'explication affichee en haut du resultat, et sa propre lecture du risque. Cette lecture ne peut qu'aggraverle verdict, jamais l'adoucir : si elle juge le message plus dangereux que les detecteurs, le niveau monte et un signal « Evaluation IA » apparait dans la liste pour que vous sachiez d'ou vient l'ecart. Si elle est plus indulgente, ou si elle ne repond pas, elle est ignoree.
03
Les signaux analyses
5 familles de signaux, appliquees en parallele. Le « poids » indique le nombre de points de risque ajoutes au score de depart (0).
1. Authentification du serveur expediteur (SPF, DKIM, DMARC)
Les en-tetes techniques du message permettent de verifier si le serveur qui l'a envoye etait autorise par le proprietaire du domaine.
DMARC fail sur domaine protege
Le message pretend venir d'un domaine avec politique reject/quarantine mais echoue le controle DMARC
Alerte rouge+60
SPF ou DKIM echoue
L'une des verifications d'authenticite (SPF ou DKIM) a echoue partiellement
Alerte orange+25
Authentification conforme
Le message passe tous les controles declares
Information0
Non verifiable (transfere ou sans en-tete)
Le message a ete transfere ou ne contient pas d'en-tetes d'authentification
Information0
2. Coherence de l'expediteur (nom affiche, adresse reelle, reply-to)
Un expediteur peut afficher n'importe quel nom tout en envoyant depuis une adresse completement differente. Ce detecteur croise le nom affiche avec l'adresse reelle.
Faux expediteur (spoofing de marque)
Le nom affiche correspond a une marque connue mais le domaine reel n'en fait pas partie
Alerte rouge+50
Reponse detournee (reply-to different)
Si vous repondez, votre message partira vers un domaine different de l'expediteur affiche
Alerte orange+20
Chemin de retour discordant
Le domaine technique de retour (Return-Path) est different du domaine affiche
Alerte orange+10
3. Liens trompeurs (homoglyphes, sosies, sous-domaines, raccourcisseurs)
Les liens contenus dans le message sont analyses pour detecter les techniques classiques de camouflage d'URL.
Caracteres trompeurs (homoglyphes)
Le lien utilise des caracteres qui imitent visuellement une vraie adresse (ex: caracteres cyrilliques ou punycode)
Alerte rouge+55
Fausse adresse avec nom de marque en sous-domaine
Un nom de marque connue apparait dans le sous-domaine mais le domaine principal n'a rien a voir
Alerte rouge+50
Nom de marque dans le domaine, avec mot d'appat
Le domaine contient le nom exact d'une marque connue accole a un mot typique de l'hameconnage (securite, remboursement, connexion, colis...) sans etre un domaine officiel de cette marque
Alerte rouge+50
Nom de marque dans le domaine
Le domaine contient le nom exact d'une marque connue sans etre un de ses domaines officiels, mais sans mot d'appat associe
Alerte orange+30
Domaine sosie (typosquatting)
Le domaine ressemble a celui d'une marque connue avec une ou deux lettres changees
Alerte orange+30
Lien raccourci (destination masquee)
L'URL utilise un service raccourcisseur qui cache la destination reelle
Alerte orange+15
4. Pieces jointes dangereuses
Les noms et extensions des pieces jointes sont controles pour detecter les fichiers pouvant executer du code malveillant.
Double extension piege
Fichier presentant une extension anodine suivie d'une extension executable (ex: facture.pdf.exe)
Alerte rouge+55
Extension executable directe
Fichier avec une extension directement executable : .exe, .scr, .bat, .cmd, .vbs, .js, .ps1, etc.
Alerte rouge+45
Fichier a risque modere
Fichier pouvant contenir des macros ou du code embarque : .docm, .xlsm, .pptm, .html, .htm
Alerte orange+20
5. Langage de pression et d'urgence
Le texte du message est analyse pour detecter les expressions classiques d'une tentative de manipulation par la peur ou l'urgence.
Expressions d'urgence detectees
Le message contient des formulations type 'compte suspendu', 'derniere chance', 'sous 24h', 'cliquez ici', 'verifiez vos identifiants', 'colis en attente'
Alerte orange+14 par motif fort, +7 par motif faible, plafonne a +55
04
Ce que le verdict ne dit pas
Par souci d'honnêtete, voici les limites de notre analyse.
Non. Un escroc peut enregistrer son propre domaine et l'authentifier correctement. Les controles SPF, DKIM et DMARC valident l'origine technique du message, pas les intentions de son auteur. Un email authentifie peut tres bien etre une arnaque.
Le coeur de l'analyse est deterministe : il applique des regles fixes sur les en-tetes et le contenu du message. Il ne peut pas deviner un contexte social (un expediteur connu qui s'est fait pirater), une arnaque utilisant un vrai domaine, ou un message sans signe technique suspect. La lecture par IA rattrape une partie de ces cas, mais elle n'est pas infaillible non plus. En cas de doute, contactez directement l'organisme concerne par un autre canal.
Les SMS, oui : l'analyse de SMS est disponible, et la vérification d'un lien isolé aussi. Les messages vocaux ne sont pas analysés.
Restez prudent
Meme avec un bon score, ne communiquez jamais vos identifiants, mots de passe ou numeros de carte bancaire en reponse a un email non sollicite.
05
Vie privee
Votre vie privee est notre priorite. Voici exactement ce qui se passe avec le contenu de votre message :
Pendant l'analyse
Le message est charge en memoire et analyse par les 5 detecteurs. Son sujet, le domaine de l'expediteur et un extrait de son corps (4000 caracteres au maximum) sont ensuite transmis a l'API Mistral AI, hebergee dans l'Union europeenne, pour produire l'explication en langage naturel et la lecture de risque decrites plus haut.
Apres l'analyse
Le message brut est immediatement supprime, il n'est jamais ecrit sur disque. Ce qui reste 7 jours, le temps que votre page de resultat reste consultable : le verdict et le score, la liste des signaux avec leur explication, le sujet du message, le nom affiche par l'expediteur, le domaine de son adresse, et la phrase d'explication redigee par l'IA. Passe ce delai, la ligne est supprimee et le lien de resultat cesse de fonctionner.
Ce qui n'est jamais garde
L'adresse email complete de l'expediteur (seul son domaine est garde), votre propre adresse, le corps du message, les noms des fichiers joints (seule leur extension est gardee) et les liens complets (seul leur domaine est garde).
Base legale RGPD
Le traitement est fonde sur l'interet legitime (prevention de la fraude, article 6(1)(f) du RGPD). Consultez nos mentions legales pour plus de details.
Cette analyse est un outil d'aide a la vigilance. Elle ne constitue ni une expertise judiciaire ni un conseil juridique. L'absence de signal negatif ne garantit pas qu'un message est legitime : un escroc peut authentifier son propre domaine. En cas de prejudice, contactez immediatement votre banque, signalez le message sur internet-signalement.gouv.fr et deposez plainte.
