Vérifier qu’une application et son adresse sont officielles avant de se connecter

Lire le domaine de droite à gauche

Dans `app.exemple.com`, le domaine registrable est `exemple.com`; `exemple.com.autre-site.test` appartient à `autre-site.test`. Les sous-domaines, traits d’union, fautes proches et caractères ressemblants exigent une vérification attentive.

Ne vous fiez pas au texte du bouton. Affichez ou copiez l’adresse sans l’ouvrir lorsque le contexte paraît douteux, puis comparez-la à la destination publiée par l’éditeur. Sur mobile, faites apparaître l’URL complète plutôt que le titre de la page.

Une URL très longue peut porter un état technique légitime, mais elle ne doit pas contenir mot de passe, document, adresse, réservation ou autre donnée sensible. Revenez à l’origine canonique pour recommencer le parcours.

Traiter un QR code comme un lien à inspecter

Un QR code masque visuellement sa destination. Cybermalveillance.gouv.fr décrit le quishing comme un hameçonnage par QR code : prévisualisez le domaine avant d’ouvrir et ne saisissez pas d’identifiants si l’origine est inattendue.

Une alternative textuelle permet de comparer le domaine et d’utiliser un autre appareil. Un QR imprimé peut être recouvert ; vérifiez l’émetteur et l’intégrité du support lorsque l’action est sensible.

Le scan ne vaut jamais consentement à installer, conserver, mesurer ou partager. Chaque action reste distincte.

Vérifier la page avant toute identité

DOHM ID reste facultatif : une application publique qui exige un compte doit aussi proposer son accès natif selon sa propre preuve. Une page qui impose soudain un intermédiaire non annoncé doit être vérifiée avant de poursuivre.

1. Partir du site officiel ou d’une fiche maintenue.
2. Comparer le domaine registrable et le protocole.
3. Lire le statut : site, démo, application ou inscription.
4. Vérifier l’éditeur, la confidentialité et le contact publiés.
5. Refuser tout mot de passe ou code demandé dans une URL ou un message.
6. Ouvrir l’inscription native du produit lorsque le compte est requis.
7. Conserver un favori seulement après cette vérification.

Cas concret : lien reçu par message

Un message annonce une mise à jour urgente et propose un lien vers une page ressemblant à une application DOHM. Le domaine ne correspond ni au site-guide ni à l’application enregistrée dans le catalogue. La personne ne saisit rien et rejoint le produit depuis le favori officiel.

La fiche du produit ne signale aucune migration. Le message est conservé seulement le temps du signalement, sans le transférer avec des données personnelles. Le mot de passe n’est pas changé depuis le lien suspect.

Si un changement de domaine est réellement en cours, la page de migration doit l’expliquer et l’ancien domaine doit fournir une redirection cohérente ou une information vérifiable.

En cas de doute ou d’erreur

Fermez la page, revenez à la destination canonique et utilisez le contact officiel. Si un secret a été saisi, agissez depuis le service réel : changez le secret, révoquez les sessions ou suivez sa procédure d’incident.

Ne publiez pas l’URL avec ses paramètres si elle peut contenir une référence sensible. Un signalement peut conserver domaine, heure, capture limitée et canal de réception.

Cette page fournit des réflexes généraux ; elle ne remplace pas l’assistance du service ni les autorités compétentes.

Place de My DOHM et limites

My DOHM peut présenter des destinations versionnées et leurs statuts. Il ne lit pas le contenu des comptes, ne garantit pas un site tiers et ne remplace pas le mécanisme de connexion propre à chaque produit.

Le site-guide ne reçoit aucun secret, ne teste aucun compte et ne suit pas le parcours individuel. Une destination absente reste masquée ou explicitement indisponible.

Checklist

• Source canonique connue.
• Domaine complet comparé.
• Surface et statut compris.
• QR prévisualisé avant ouverture.
• Aucun secret dans l’URL.
• Compte natif du produit identifié.
• Favori créé après vérification.
• Canal officiel utilisé en cas d’incident.