Ce lien de connexion est-il fiable ? Vérifier un magic link

Vous saisissez votre adresse e-mail, et le site vous répond « Consultez votre boîte de réception ». Un instant plus tard, un e-mail arrive avec un bouton : Se connecter, Se connecter à Slack ou Confirmer que c’est bien vous. Ce bouton, c’est le magic link. Un clic, et vous êtes connecté.

En bref : ne cliquez que sur un lien de connexion que vous venez de demander. Avant de cliquer, vérifiez qu’il ouvre bien le site sur lequel vous vous connectez. Si l’un des deux points cloche, ne cliquez pas. Allez vous-même sur le site et demandez un nouveau lien.

Qu’est-ce qu’un magic link ?

Un magic link est un lien de connexion qui contient une clé secrète, valable une seule fois. Seule votre boîte de réception reçoit l’e-mail : ouvrir le lien prouve donc qu’elle est bien à vous. C’est cette preuve qui remplace le mot de passe.

• En général, il ne fonctionne qu’une fois.
• Il expire vite, souvent au bout de 10 à 30 minutes.
• Sur beaucoup de sites, quiconque l’ouvre est connecté à votre compte. Ne le transférez donc jamais, et n’en partagez jamais de capture d’écran.

Chaque site les appelle à sa façon : magic link, lien magique, lien de connexion, « lien à usage unique » ou e-mail « Est-ce bien vous ? ». Tous fonctionnent de la même manière.

Pourquoi les faux liens fonctionnent

On attend ces e-mails, alors on clique vite. Un faux e-mail leur ressemble trait pour trait, mais son bouton est un lien frauduleux : il ouvre une copie du vrai site. Cette copie vous demande votre mot de passe, un code ou votre numéro de carte. Tout ce que vous y tapez part chez celui qui l’a créée. C’est le principe du phishing (hameçonnage).

Vérifier un lien de connexion en cinq étapes

1. Venez-vous de le demander ? Si vous n’avez pas essayé de vous connecter à l’instant, ne cliquez pas. Quelqu’un a saisi votre adresse e-mail, par erreur ou exprès. Sans le lien, il ne peut pas entrer. Ignorez simplement l’e-mail.
2. Regardez l’adresse de l’expéditeur, pas son nom. Le nom peut afficher n’importe quoi. Ce qui compte, c’est ce qui suit le @ dans l’adresse.
3. Regardez où mène le bouton, sans cliquer. Dans la plupart des apps de messagerie, placez le pointeur sur le bouton : l’adresse s’affiche. Dans Gmail ouvert dans un navigateur, elle s’affiche en bas, dans un coin de la fenêtre. Vous pouvez aussi cliquer sur le bouton en maintenant la touche Contrôle enfoncée, choisir Copier le lien et coller l’adresse dans une note.
4. Lisez le nom du site dans le bon sens. Repérez la première barre oblique simple après https://. Le site, c’est ce qui la précède, lu de droite à gauche. Voir les exemples ci-dessous.
5. Après le clic, regardez avant de taper. Un vrai magic link vous connecte. Si la page vous demande plutôt votre mot de passe ou votre numéro de carte, fermez-la.

Lire un lien : vrai ou faux ?

Le site, ce sont les deux dernières parties du nom avant la première barre oblique simple. Pour une adresse comme bank.co.uk, ce sont les trois dernières.

Imaginons que vous ayez demandé un lien de connexion à Notion :

• https://www.notion.so/loginwithemail?token=… ouvre notion.so. C’est bien Notion.
• https://notion.so.sign-in.example/verify ouvre sign-in.example. « notion.so » n’est que le début du nom.
• https://notion-so.com/login ouvre notion-so.com. Un nom qui imite l’original.
• https://example.com/r?u=notion.so ouvre example.com. Notion n’apparaît qu’après la barre oblique.

Un bémol, tout de même : certains vrais e-mails font d’abord passer leurs liens par un service d’envoi d’e-mails. L’adresse peut alors sembler sans rapport, même si l’e-mail est authentique. À l’œil, impossible de faire la différence. Dans le doute, ouvrez le site vous-même et demandez un nouveau lien.

Déjà cliqué sur un lien suspect ?

• Vous n’avez rien tapé : fermez la page. Ouvrir une page suffit rarement à faire des dégâts.
• Vous avez tapé un mot de passe : changez-le tout de suite sur le vrai site, et partout où vous l’utilisez. Activez la double authentification.
• Vous avez tapé un code ou les données de votre carte : contactez le service ou votre banque. Vérifiez aussi qu’aucun appareil ni paiement inconnu n’apparaît sur le compte.

Comment CodeCatch vous aide sur Mac

J’ai créé CodeCatch pour récupérer les codes de connexion. Les liens de connexion, c’est la même corvée. Il lit vos e-mails (Apple Mail, Gmail et les autres) et affiche chaque nouveau lien de connexion à côté de vos codes. Vous voyez quel site il ouvre avant de décider.

• Il n’ouvre jamais un lien tout seul. C’est vous qui cliquez sur Open Link ou Copy Link.
• Il affiche le site que le lien ouvre, lu dans le bon sens.
• Si ce site ne correspond pas à l’adresse de l’expéditeur, il vous prévient, comme sur l’image plus haut.
• Il ne retient que le bouton de connexion, pas les liens de désinscription ou d’aide, et seulement les liens sécurisés en https.
• Les liens de réinitialisation de mot de passe passent par la même vérification.

C’est une indication, pas une garantie. L’alerte compare le lien à l’adresse de l’expéditeur, et cette adresse peut être falsifiée. L’étape 1 reste la plus importante : ne cliquez que sur les liens que vous avez demandés.

Questions fréquentes