Score de confiance des liens : vérifier un lien avant de le partager

La réputation de votre marque accompagne chaque lien que vous partagez. Une URL d’hameçonnage dans la newsletter de l’entreprise. Un lien qui diffuse un logiciel malveillant dans un message Slack. Un domaine expiré dans une liste de liens d’affiliation, racheté en silence par un escroc. Ce ne sont pas des risques théoriques : ce sont des incidents documentés, qui ont abîmé la réputation de vraies organisations et entamé du jour au lendemain la confiance de leurs lecteurs.

Le score de confiance des liens consiste à évaluer méthodiquement si une URL est sûre, crédible et appropriée avant qu’elle ne parte sous votre nom. Ce guide explique ce qui rend un lien digne de confiance, comment l’évaluer, pourquoi l’hygiène de vos liens sortants compte plus que jamais maintenant que l’IA participe à la découverte des contenus, et comment prendre l’habitude d’auditer vos liens pour protéger votre marque.

Pourquoi la confiance dans les liens sortants compte plus que jamais

Longtemps, la sécurité des liens a été vue comme un problème de consommateurs : chacun devait se méfier pour soi, et les marques n’avaient pas à s’en occuper activement. La situation a nettement changé, pour trois raisons.

La recherche par IA met vos liens directement en avant. Quand des assistants d’IA comme les AI Overviews de Google, Perplexity ou ChatGPT citent vos contenus, ils peuvent aussi afficher ou suivre les liens sortants qu’ils contiennent. Un lien sortant de mauvaise qualité ou malveillant dans un article que vous avez publié peut désormais influencer des réponses générées par l’IA, et donc la confiance que les gens accordent à ces réponses. Les contenus qui citent des sources fiables et reconnues sont mieux classés et plus souvent mis en avant dans la recherche assistée par IA.^[1]

Les campagnes d’hameçonnage (phishing) exploitent régulièrement des marques de confiance. Les attaquants utilisent souvent des liens courts, des chaînes de redirections compromises et des domaines sosies pour faire croire qu’une URL malveillante vient d’une organisation légitime.^[2] Si l’infrastructure de liens de votre marque est compromise, ou si vous partagez un lien malveillant sans le savoir, vous devenez malgré vous un relais de l’attaque.

Les newsletters et les listes de liens d’affiliation accumulent les liens morts et les changements de domaine. Une destination vers laquelle vous renvoyez depuis deux ans a pu être vendue, redirigée vers du contenu pour adultes ou transformée en ferme à spam. Les anciens liens des contenus intemporels sont particulièrement exposés.^[3]

Que mesure un score de confiance des liens ?

Six signaux indépendants, combinés : la validité du HTTPS et du certificat, l’âge du domaine, la présence sur des listes de blocage, la transparence des redirections, la réputation du domaine et la réputation de l’adresse IP. La confiance dans un lien ne tient pas en un seul chiffre : c’est une combinaison de ces signaux. Comprendre chacun d’eux aide à diagnostiquer les problèmes plus vite.

1. Validité du HTTPS et du certificat TLS

Le signal de confiance le plus élémentaire est l’utilisation du HTTPS. Le HTTPS signifie que la connexion entre votre navigateur et le serveur est chiffrée avec TLS, ce qui protège les données en transit contre l’interception.^[4]

Le HTTPS seul ne suffit pas pour autant. Un site d’hameçonnage peut obtenir en quelques minutes un certificat TLS gratuit auprès d’une autorité de certification comme Let’s Encrypt, et beaucoup le font. Au-delà de la présence du HTTPS, ce qui compte est de savoir si le certificat est :

• Délivré pour le bon domaine (et non pour un sosie)
• Actuellement valide (non expiré)
• Délivré par une autorité de certification reconnue (non autosigné)
• Non révoqué

Un lien qui passe du HTTPS au HTTP à un moment de sa chaîne est aussi un signal d’alerte : le trafic circule sans chiffrement sur une partie du trajet.^[4]

2. Âge du domaine et historique d’enregistrement

Les domaines récemment enregistrés servent à la fraude dans une proportion démesurée. Une étude de l’entreprise de cybersécurité Palo Alto Networks a montré que les domaines récemment enregistrés ont 10 fois plus de chances d’être malveillants que les domaines établis.^[5]

On peut vérifier l’âge d’un domaine dans les enregistrements WHOIS, même si beaucoup de bureaux d’enregistrement proposent aujourd’hui une protection de la vie privée qui masque les dates d’enregistrement. Un domaine enregistré au cours des 60 à 90 derniers jours, sans présence établie sur le web, mérite la prudence, surtout si l’URL vous a été envoyée sans que vous l’ayez demandée.

L’historique du domaine compte aussi. Un domaine qui hébergeait auparavant un contenu légitime, mais qui a été vendu récemment ou laissé expirer, a pu être réenregistré par quelqu’un qui veut exploiter ses backlinks et son classement dans les moteurs de recherche.

3. Présence sur des listes de blocage

Les grandes organisations de cybersécurité et les éditeurs de navigateurs tiennent des bases de données de domaines et d’URL malveillants connus. Google Safe Browsing, par exemple, analyse des milliards d’URL et tient à jour en continu une liste de sites d’hameçonnage, de diffuseurs de logiciels malveillants et de pages d’ingénierie sociale.^[6] Firefox, Chrome et Safari consultent tous cette liste avant de charger une page.

Pouvoir vérifier un lien sur les principales listes de blocage avant de le partager, et non après qu’un utilisateur a cliqué dessus, est la valeur centrale des outils d’analyse de liens.

Parmi les listes de blocage utiles :

• Google Safe Browsing^[6]
• Spamhaus : très utilisée pour la réputation des e-mails et des domaines
• Cisco Talos : renseignement sur les menaces visant les domaines et les adresses IP
• Phishtank : base de données d’hameçonnage alimentée par la communauté
• SURBL : liste de blocage d’URI de spam utilisée par les filtres de messagerie

Un lien présent sur l’une de ces listes sera signalé ou bloqué par les navigateurs, les clients de messagerie et les outils de sécurité. Souvent, votre newsletter est alors classée comme spam, ou vos e-mails sont mis en quarantaine avant d’atteindre vos lecteurs.

4. Transparence des redirections

Un lien digne de confiance mène là où il annonce mener. Un lien qui prétend aller vers trusted-news-source.com mais passe en réalité par trois sauts avant d’arriver sur un autre domaine n’est pas transparent, et ce manque de transparence est une marque typique des liens malveillants.^[2]

Les chaînes de redirections rendent le parcours opaque. Chaque saut masque la vraie destination et donne à un acteur malveillant l’occasion d’insérer une étape malveillante. Même si le lien d’origine était sûr quand vous l’avez ajouté, une chaîne qui passe par un service de redirection tiers vous oblige à compter sur ce service pour rester sûr indéfiniment.

Bonne pratique : vérifiez que la destination finale de chaque lien que vous partagez correspond au domaine que vous voulez citer. Ne vous fiez pas au texte affiché d’un lien hypertexte : vérifiez toujours où l’URL aboutit réellement.

5. Score de réputation du domaine

Au-delà des listes de blocage, plusieurs éditeurs de solutions de sécurité et de délivrabilité des e-mails attribuent aux domaines des scores de réputation fondés sur des signaux comme les plaintes pour spam, les signalements d’hameçonnage, les liens avec des logiciels malveillants, les données WHOIS et le comportement du trafic. Ces scores sont probabilistes : un domaine peut avoir une mauvaise réputation sans figurer explicitement sur une liste de blocage, parce que les signaux ne sont pas encore concluants.

La réputation du domaine concerne surtout les spécialistes de l’e-mailing, car les ESP (fournisseurs de services d’e-mailing) s’en servent pour décider si les liens sortants de votre newsletter déclencheront les filtres antispam, même quand ces liens sont sûrs.

6. Réputation de l’adresse IP

L’adresse IP du serveur de destination a sa propre réputation. Un serveur qui héberge des dizaines de domaines, dont beaucoup ont été signalés pour des abus, est un signal d’alerte, même si le domaine précis vers lequel vous renvoyez est sain.^[7]

Les données de réputation des adresses IP servent aux systèmes de sécurité des entreprises, aux filtres de messagerie et aux mécanismes de navigation sécurisée des navigateurs pour évaluer le risque au niveau du réseau.

Vérifiez un lien dès maintenant

L’outil de score de confiance des liens ci-dessous évalue une URL selon les principaux signaux décrits plus haut (validité du HTTPS, transparence des redirections, présence sur des listes de blocage, âge du domaine et réputation) et renvoie un score global avec le détail des alertes éventuelles.

Où le risque lié aux liens sortants est-il le plus élevé ?

Dans les newsletters, les listes de liens d’affiliation, les anciens contenus intemporels, les publications sur les réseaux sociaux qui reposent sur des liens courts et la messagerie interne. Tous les liens de votre organisation ne présentent pas le même risque. Voici les endroits à auditer en priorité.

Newsletters par e-mail

Les liens de newsletter sont la surface la plus dangereuse, pour plusieurs raisons. D’abord, ils atteignent toute votre liste d’abonnés en même temps : un seul lien malveillant peut entamer la confiance de milliers de lecteurs à la fois. Ensuite, les ESP analysent les liens sortants pour en évaluer la réputation, si bien qu’un lien peu fiable peut envoyer toute votre newsletter dans les spams. Enfin, une newsletter envoyée se rattrape difficilement.

Fréquence d’audit : analysez chaque lien sortant d’une newsletter avant l’envoi. C’est non négociable pour les marques des secteurs réglementés (finance, santé, juridique), où un lien malveillant peut aussi engager votre responsabilité en matière de conformité.

Listes de liens d’affiliation et de partenaires

Les liens d’affiliation passent souvent par plusieurs couches de redirection (votre lien court, un réseau d’affiliation, une redirection du marchand), et la destination finale peut changer sans préavis si une relation d’affiliation prend fin ou si un marchand modifie la structure de ses URL. Les domaines de destination peuvent aussi être vendus ou expirer faute de renouvellement.

Fréquence d’audit : revue mensuelle de tous les liens d’affiliation actifs, avec une surveillance automatique des changements de destination quand c’est possible.

Contenus de blog intemporels

Les articles de blog écrits il y a 2 à 5 ans peuvent contenir des dizaines de liens sortants vers des ressources, des études, des outils et des sites partenaires. Beaucoup de ces destinations auront été déplacées, auront expiré ou changé de propriétaire. Un article de 2019 qui renvoie vers une start-up disparue, dont le domaine a été réenregistré pour héberger une ferme à spam, est un problème réel et courant.

Fréquence d’audit : revue trimestrielle des pages intemporelles à fort trafic. Utilisez votre vérificateur de liens ou un outil comme Screaming Frog pour repérer à grande échelle les erreurs 404 et les chaînes de redirections, puis examinez à la main les destinations les plus risquées.

Publications sur les réseaux sociaux (surtout avec des liens courts)

Les liens courts sont pratiques, mais opaques par nature : ils cachent la destination finale. Les acteurs malveillants en profitent pour partager des liens dangereux qui semblent venir de domaines courts légitimes. Avant de partager un lien court dans une publication officielle de la marque, vérifiez qu’il aboutit bien à la destination prévue.^[2]

Slack, Teams et les plateformes de communication interne

La communication interne est souvent oubliée dans l’audit des liens. Pourtant, les employés cliquent sur les liens dans Slack et Teams avec beaucoup de confiance, et les attaquants le savent. Les attaques d’ingénierie sociale commencent souvent par un lien « d’apparence sûre » envoyé depuis un compte compromis ou par quelqu’un qui se fait passer pour un fournisseur.

À quelle fréquence auditer les liens sortants ?

Avant chaque envoi de newsletter, tous les mois pour les liens d’affiliation et tous les trimestres pour les pages intemporelles. Le but n’est pas d’examiner à la main chaque lien que vous partagez, ce qui est irréaliste. Le but est un système léger et reproductible qui repère les situations les plus risquées.

Pour une personne seule ou une petite équipe

1. Avant chaque envoi de newsletter : collez chaque lien sortant dans l’outil de score de confiance des liens. Signalez tout lien dont le score est inférieur au seuil pour un second examen.
2. Tous les mois : vérifiez les 10 domaines vers lesquels vous renvoyez le plus dans l’ensemble de vos contenus. L’un d’eux a-t-il été vendu ? Un problème de HTTPS ? Une nouvelle entrée sur une liste de blocage ?
3. Quand un lien arrive de l’extérieur de votre organisation : vérifiez toujours les liens courts, les domaines inconnus et les liens des nouveaux partenaires avant de les partager en interne ou à l’extérieur.

Pour les équipes marketing ou éditoriales plus grandes

1. Intégrez la vérification des liens au processus éditorial. Exigez la vérification du score de confiance de tous les liens externes avant la publication d’un article.
2. Automatisez la surveillance des changements de destination. Plusieurs plateformes de gestion de liens surveillent l’état des liens et vous alertent quand une destination tombe, change nettement ou renvoie une erreur. Étendre cette surveillance aux changements de réputation est l’étape logique suivante.
3. Ajoutez l’analyse des liens à votre liste de contrôle avant envoi des e-mails. La plupart des ESP ne recherchent pas automatiquement les liens malveillants : cette responsabilité revient à l’expéditeur.
4. Consignez et examinez les signalements d’abus. Si l’un de vos liens suscite des plaintes d’utilisateurs à propos d’une destination inattendue, enquêtez immédiatement, puis mettez à jour ou retirez le lien.

À quoi ressemble un bon lien : liste de contrôle de confiance

Données personnelles et confidentialité dans l’audit des liens

Quand vous soumettez une URL à un outil de confiance des liens, cet outil envoie en général des requêtes à l’URL de destination et à des bases de réputation pour votre compte. Gardez à l’esprit que :

• Le serveur de destination enregistre la requête (adresse IP comprise)
• Certaines bases de réputation sont commerciales et peuvent enregistrer les URL consultées
• Les liens internes sensibles (protégés par une authentification) ne doivent pas passer par des outils externes

Pour les liens internes, fiez-vous aux outils de sécurité de votre propre réseau plutôt qu’à des services d’analyse externes.

Références

[1] Google Search Central. (2024). Creating helpful, reliable, people-first content. https://developers.google.com/search/docs/fundamentals/creating-helpful-content

[2] Anti-Phishing Working Group (APWG). (2024). Phishing Activity Trends Report, Q4 2024. https://apwg.org/trendsreports/

[3] Pew Research Center. (2024). When Online Content Disappears. https://www.pewresearch.org/data-labs/2024/05/17/when-online-content-disappears/

[4] Rescorla, E. (2018). RFC 8446: The Transport Layer Security (TLS) Protocol Version 1.3. IETF. https://www.rfc-editor.org/rfc/rfc8446

[5] Palo Alto Networks Unit 42. (2019). New Domains: Malicious Intent by Design. https://unit42.paloaltonetworks.com/new-domains-malicious-intent-by-design/

[6] Google LLC. (2024). Safe Browsing APIs. https://developers.google.com/safe-browsing/v4

[7] Fielding, R., Nottingham, M., & Reschke, J. (2022). RFC 9110: HTTP Semantics. IETF. https://www.rfc-editor.org/rfc/rfc9110

Dernière mise à jour : mai 2026. Voir aussi le glossaire du raccourcissement de liens : SSL/TLS/HTTPS, hameçonnage, domaine sosie, liste de blocage, réputation de domaine, navigation sécurisée, analyse de liens, données personnelles.