Repérer un faux domaine punycode (xn--) en 30 secondes

Pour repérer un domaine punycode frauduleux, copiez le lien, gardez uniquement le nom de domaine et convertissez-le en Punycode. Si un nom qui devrait s'écrire en lettres ordinaires, comme ameli.fr ou paypal.com, ressort en commençant par xn--, il contient des lettres d'un autre alphabet : ce n'est pas le vrai site. Notre convertisseur Punycode gratuit le fait en un clic, sans compte, depuis n'importe quel navigateur.

Toutes les conversions de cet article ont été faites le 2 novembre 2026, en direct dans le convertisseur ou avec la même fonction PHP qu'il utilise sur notre serveur (idn_to_ascii, ICU 71.1). Le comportement des navigateurs a été vérifié dans Chrome 156 et dans les règles IDN publiées par Chromium et Mozilla.

Ce que signifie xn-- dans un domaine

Un nom de domaine peut contenir des lettres de presque toutes les langues : élysée.fr, münchen.de, пример.рф. Mais le DNS ne comprend que les lettres ASCII, les chiffres et le tiret. Chaque partie qui contient des caractères spéciaux est donc stockée en Punycode, avec le préfixe xn--. élysée.fr s'écrit en réalité xn--lyse-9oad.fr.

C'est là que se loge l'arnaque. L'alphabet cyrillique a des lettres identiques aux lettres latines : а (U+0430), е, о, р, с, у. Un domaine écrit avec elles ressemble à une marque à l'écran, mais c'est un autre nom dans le DNS, que n'importe qui peut enregistrer. C'est ce qu'on appelle une attaque homographe IDN. Les lettres affichées peuvent tromper, pas l'encodage. Convertir en Punycode est donc le test fiable.

Vérifiez un lien maintenant : collez le domaine dans le convertisseur Punycode et choisissez Convertir en Punycode/ASCII.

Vérifier un domaine en 30 secondes

1. Copiez le lien, ne le retapez pas. Sur ordinateur, clic droit puis Copier l'adresse du lien. Sur mobile, appui long sur le lien puis Copier. En le retapant, vous corrigez les fausses lettres sans vous en rendre compte.
2. Ne gardez que le domaine. Supprimez https:// et, s'il y a un @ avant la première barre oblique, tout ce qui précède, @ compris. Le chemin après le domaine (/connexion) peut rester.
3. Convertissez. Collez-le dans le convertisseur Punycode, choisissez Convertir en Punycode/ASCII et validez.
4. Lisez le résultat. S'il ressort inchangé, tous les caractères sont de l'ASCII ordinaire. Si une partie d'une marque qui s'écrit en lettres ordinaires commence maintenant par xn--, fermez la page.

Exemples réels : ce qu'affiche le convertisseur

Chaque ligne commence par ce que vous verriez dans un e-mail, un SMS ou un message. Les faux domaines ont été créés pour ce test : ne les visitez pas.

La partie lisible avant le dernier tiret ne garde que les lettres ASCII de l'étiquette. S'il manque des lettres de la marque (meli au lieu de ameli), ces lettres ont été remplacées.

Convertissez toujours dans ce sens, jamais dans l'autre

Si l'on vous envoie une adresse en xn--, la décoder n'aide guère. Nous avons passé xn--80ak6aa92e.com dans Convertir en IDN/Texte et obtenu аррӏе.com, qui ressemble à apple.com dans la plupart des polices. Décoder montre ce que l'escroc veut vous faire voir. Encoder ce que vous voyez montre ce que c'est vraiment.

Pourquoi le navigateur ne vous protège pas toujours

• Chrome, Edge et Brave (Chromium) examinent chaque partie du domaine. Selon la politique IDN publiée par Chromium, une étiquette qui mélange latin, cyrillique ou grec s'affiche en xn--, tout comme une étiquette entièrement cyrillique qui imite des lettres latines, sauf sur les extensions où le cyrillique est attendu, comme .ru, .ua, .bg ou .kz. Chrome repère des cas comme аррӏе.com depuis la version 58 (2017).
• Firefox bloque les mélanges d'alphabets, mais l'algorithme IDN publié par Mozilla autorise volontairement les domaines écrits entièrement dans un alphabet sosie. Pour toujours voir la forme xn--, ouvrez about:config et passez network.IDN_show_punycode à true.
• Partout ailleurs (e-mails, SMS, messageries, PDF, bios de réseaux sociaux), le lien n'est que du texte affiché dans une police, et personne ne le vérifie. C'est justement par là que ces domaines arrivent, et c'est là que le convertisseur sert.

Coller le lien dans le Bloc-notes ne révèle rien non plus : le copier-coller garde les lettres Unicode telles quelles. Et le cadenas ne prouve rien. Un faux domaine peut obtenir un certificat valide comme n'importe quel autre (la démo de Zheng tournait en HTTPS), délivré pour le nom en xn--. Voir comment vérifier un certificat SSL pour savoir ce qu'il prouve, et ce qu'il ne prouve pas.

Les erreurs qui faussent la réponse

Coller l'URL entière

Le convertisseur attend un domaine. En direct, https://аpple.com/login est ressorti en xn--https://pple-49j.com/login, ce qui ne veut rien dire. En mode Convertir en IDN/Texte, https://xn--80ak6aa92e.com/ est ressorti inchangé et semblait donc propre. Retirez d'abord le https://. Le chemin ne gêne pas : аpple.com/login donne xn--pple-43d.com/login.

Le piège du @

Dans https://accounts.google.com@аpple.com/, tout ce qui précède le @ est un nom d'utilisateur. Le site réellement ouvert est аpple.com. Si vous collez la chaîne entière, le résultat est illisible (accounts.google.xn--com@pple-46g.com) : ne vérifiez que ce qui suit le @.

Lire le domaine par le mauvais bout

Le vrai propriétaire, c'est la fin du domaine. аpple.com.evil.example donne xn--pple-43d.com.evil.example, mais même en lettres ordinaires, apple.com.evil.example appartient à qui détient evil.example. Lisez le domaine de droite à gauche.

Plusieurs domaines à la fois

Convertissez un domaine à la fois. Deux domaines sur deux lignes ressortent abîmés (la première ligne finissait par .xn--com), car le retour à la ligne est traité comme une partie d'étiquette.

Un résultat vide

Un Punycode invalide, comme xn--zz.com, renvoie une case de résultat vide, sans message d'erreur (test en direct). Vide ne veut pas dire sûr : l'étiquette n'est pas valide, ce qui est déjà suspect dans un lien.

Les domaines en lettres ordinaires

rn qui imite un m, un 1 pour un l, un 0 pour un o, ou des mots ajoutés comme ameli-remboursement-fr.com sont de l'ASCII pur et ressortent inchangés. Dans ces cas, faites une recherche Whois (le vrai domaine d'une marque a souvent des années, un domaine de phishing souvent quelques semaines) et suivez notre guide pour savoir si un site est fiable.

Quand xn-- est parfaitement normal

xn-- seul n'est pas un signal d'alarme. En français, c'est courant : élysée.fr devient xn--lyse-9oad.fr, et tout domaine avec accents ou cédille a sa forme xn--. Le domaine russe de test пример.рф est xn--e1afmkfd.xn--p1ai. L'alerte est plus précise : une étiquette en xn-- dans le nom d'une marque qui s'écrit sans accent, comme une banque ou un service public.

Si vous tombez sur un faux

• Ne saisissez rien sur la page. Ouvrez le vrai site depuis un favori ou en tapant l'adresse vous-même.
• Regardez votre gestionnaire de mots de passe : il remplit selon le domaine exact. S'il ne propose pas votre identifiant enregistré, le domaine ne correspond pas.
• Signalez le lien à Google Safe Browsing (safebrowsing.google.com, Report phishing) et à la marque imitée. En France, le 17Cyber (cybermalveillance.gouv.fr) vous oriente si vous avez déjà saisi des informations.
• Si le lien venait d'un QR code, décodez-le d'abord avec le lecteur de QR code, puis vérifiez le domaine. La suite est dans comment savoir si un QR code est sûr.

Un lien suspect sous la main ? Passez son domaine dans le convertisseur Punycode. C'est gratuit et sans compte ; les visiteurs ont 5 utilisations par jour, et un compte gratuit (sans spam) lève cette limite. Pour les liens raccourcis, le vérificateur de redirections montre où ils mènent sans les ouvrir, et la recherche DNS montre vers où pointe un domaine.

Questions fréquentes

Que signifie xn-- dans une URL ?

Il signale une étiquette en Punycode : la forme ASCII d'une partie du domaine qui contient des lettres non ASCII. Ce qui suit xn-- encode ces lettres. Pour vérifier un lien, encodez le nom que vous voyez et comparez.

Tout domaine en xn-- est-il une arnaque ?

Non. Les domaines avec accents ou écrits en cyrillique, en chinois ou en devanagari utilisent xn-- tout à fait légitimement. C'est un signal d'alarme seulement dans un nom qui devrait s'écrire en lettres ordinaires, comme une banque ou une grande marque.

Pourquoi mon navigateur affiche-t-il certains domaines en xn-- ?

Chrome, Edge, Firefox et Safari affichent la forme xn-- quand un domaine semble risqué, par exemple s'il mélange lettres latines et cyrilliques. Les navigateurs Chromium repèrent aussi les imitations entièrement cyrilliques hors des extensions cyrilliques. Firefox les affiche en Unicode, sauf si vous activez network.IDN_show_punycode.

Le cadenas prouve-t-il que le site est authentique ?

Non. Un faux domaine obtient un certificat HTTPS valide en quelques minutes. Le cadenas indique seulement que la connexion est chiffrée avec ce domaine précis, et ce domaine peut être le faux.

Pourquoi coller le lien dans un éditeur de texte ne montre-t-il pas xn-- ?

Le copier-coller conserve les caractères Unicode tels quels : un а cyrillique ressemble toujours à un a latin. Seule une vraie conversion, comme Convertir en Punycode/ASCII dans notre convertisseur, montre le nom encodé.

Le convertisseur Punycode est-il gratuit ?

Oui. Il est gratuit et sans compte ; il envoie seulement le texte collé à notre serveur pour le convertir. Les visiteurs ont 5 conversions par jour, et un compte gratuit (sans spam) lève cette limite.