Chiffres sur les arnaques

Nos propres chiffres, pas l'enquête de quelqu'un d'autre. Voici ce que nous pouvons compter, parce que nous le recherchons nous-mêmes chaque jour, et cela se met à jour quand les chiffres bougent.

Dernière mise à jour le 31 août 2026.

Pourquoi nous publions cela

Il existe étonnamment peu de chiffres sur les arnaques en ligne, et presque aucun n'est vérifiable. La plupart viennent d'entreprises qui vendent quelque chose, et ils sont en général comptés d'une façon qui fait paraître le problème grand et la solution efficace.

Nous ne pouvons pas mener une enquête de population. Mais chaque jour nous recherchons des domaines dans des registres publics et des listes de blocage, et ces recherches laissent des chiffres derrière elles. Ils sont ici, avec la méthode, pour que d'autres puissent les utiliser et les contester.

Les listes de blocage

Six sources publiques, récupérées toutes les six heures et fusionnées en une seule recherche. Ensemble, plus de 218 000 domaines. Il y a du recouvrement entre elles, et le chiffre est donné après suppression des doublons.

Ce que le chiffre ne veut pas dire. Ce n'est pas le nombre de sites d'arnaque sur internet. C'est le nombre de domaines que quelqu'un a attrapés et signalés. Un site d'arnaque vit en général quelques jours ou quelques semaines, et la plupart n'arrivent jamais sur une liste. Un domaine peut donc être une arnaque même s'il ne figure pas ici, et c'est exactement pour cela que les listes de blocage ne sont qu'un signal sur six.

Les suffixes surreprésentés

Certains suffixes de domaine sont bon marché, n'exigent aucun justificatif et peuvent être enregistrés en masse en quelques minutes. Ils sont donc fortement surreprésentés dans les arnaques, et ils comptent contre un site chez nous.

43 suffixes comptent pleinement contre. Ce sont les gratuits, ceux qui coûtent moins d'un dollar, et la vieille vague de gTLD bon marché qui restent lourdement détournés :

.xyz .top .click .shop .online .site .store .live .icu .cyou .rest .bar .buzz .cfd .sbs .lol .mom .pics .skin .tk .ml .ga .cf .gq .autos .monster .quest .bond .sexy .pw .win .date .faith .racing .download .loan .party .science .stream .gdn .men .cricket .accountant

23 suffixes ne comptent qu'à moitié. Il y a de vrais sites dessus, et il y a beaucoup de fraude. Ils pèsent si peu qu'ils ne peuvent jamais rien déclencher seuls, et ils ne comptent que lorsque quelque chose d'autre cloche aussi :

.info .biz .pro .me .tv .cc .fun .work .life .space .website .host .digital .hair .makeup .beauty .cam .rodeo .boats .christmas .fit .uno .review

Cela ne veut pas dire qu'une adresse en .shop est une arnaque. Il y a des milliers de boutiques honnêtes dessus. Le suffixe seul ne peut jamais déclencher un avertissement. Il lui faut la compagnie d'autres signaux pour vouloir dire quelque chose.

Remarquez ce qui n'est pas sur la liste : .fr exige que le titulaire soit identifiable et rattaché à l'Union européenne, et l'AFNIC suspend les domaines dont les coordonnées se révèlent fausses. Cela retient le volume. C'est aussi pour cela que les arnaques qui visent la France se trouvent plus souvent sur un .com ou sur un suffixe bon marché que sur un domaine en .fr. .id n'y est pas non plus, même s'il a l'air bon marché : c'est le suffixe national de l'Indonésie, et chaque entreprise indonésienne se verrait attribuer des points pour rien.

Les marques qui se font imiter

Nous surveillons 138 noms dans l'adresse elle-même. L'idée est simple : AT&T n'héberge pas sa page de connexion sur weeblysite.com. Un nom connu sur une adresse étrangère n'est pratiquement jamais légitime.

La liste est courte à dessein. Chaque nom est un nom au sujet duquel nous donnons l'alerte, il faut donc une raison pour qu'il y figure. Le transport et la poste occupent une place disproportionnée par rapport au nombre d'entreprises concernées, parce que le faux message de colis est le message d'arnaque le plus envoyé qui existe.

Les fausses lettres

L'imitation la plus raffinée n'utilise pas du tout un mauvais nom. Elle utilise le bon nom, écrit avec des lettres qui se contentent de ressembler.

Unicode compte plus de 140 000 caractères, et beaucoup ressemblent à une lettre latine. C'est pourquoi nous décodons l'adresse et la replions sur les lettres latines avant de la comparer à la liste de marques ci-dessus. Nous regardons aussi si un seul élément de l'adresse mélange deux alphabets, car les vrais mots ne font pas cela.

Le difficile n'est pas de les attraper. C'est de laisser münchen.de, københavn.dk et jyväskylä.fi tranquilles. Il existe des centaines de milliers de vrais domaines avec des caractères spéciaux, et un outil qui avertit à leur sujet est pire que rien.

À quelle fréquence nous nous trompons nous-mêmes

La plupart des outils ne se posent pas cette question en public. Nous la mesurons ainsi :

1. 200 sites parfaitement ordinaires sont tirés de la liste Tranco, des rangs 5 000 à 1 000 000, à intervalle fixe et sans sélection choisie. C'est la longue traîne : petites boutiques, associations, entreprises locales.
2. 200 domaines d'arnaque connus sont tirés de nos propres listes de blocage, et la correspondance avec la liste est cachée aux modèles, pour qu'ils doivent la trouver eux-mêmes.
3. Les 400 passent par la vraie chaîne, pas par une version simplifiée. Mêmes règles, mêmes modèles, mêmes seuils que lorsque vous appuyez sur le bouton.
4. Tout ce qui dépasse CAUTION est repris à la main. Du trafic veut dire que des gens y vont, pas que le site est honnête, donc un avertissement sur la liste n'est pas automatiquement une erreur.

L'outil est dans notre code sous le nom calibrate.mjs, et le résultat est mesuré en continu. Le chiffre n'est pas zéro, et il ne le sera jamais. Un outil de sécurité qui prétend ne jamais se tromper ment.

Les registres

La date de création d'un domaine est le signal isolé qui en dit le plus. Nous la récupérons auprès du registre lui-même, pas d'une estimation.

RDAP est le protocole moderne, et il couvre environ 1 200 suffixes via la liste officielle de l'IANA. Les suffixes qui manquent, et ce sont la plupart des domaines nationaux européens, nous les interrogeons plutôt via WHOIS sur le port 43. 41 registres sont cartographiés de cette façon, dont .dk, qui n'a aucun RDAP public.

Si aucun registre ne peut répondre, il est écrit inconnu. Nous n'utilisons pas l'historique des certificats à la place d'une date d'enregistrement, parce qu'il ne donne qu'une borne inférieure et peut donc faire paraître récent un vieux domaine.

Utilisez les chiffres

Tout ce qui se trouve sur cette page peut être librement cité et utilisé, y compris commercialement. Indiquez d'où cela vient et quand, car les chiffres changent. Si vous en avez besoin dans un autre format, ou si vous pensez que quelque chose est mal compté, écrivez-nous.