Comment nous évaluons les sites

Les quatre composantes du score

Composante	Ce qui ajoute des points
Sécurité, jusqu’à 20	Un certificat HTTPS valide (gratuit ou payant, c’est pareil), HSTS et des enregistrements SPF et DMARC. Un certificat invalide sur un site qui fonctionne coûte 10 points, car vos données sont réellement exposées.
Transparence, jusqu’à 20	Coordonnées, page À propos, politique de confidentialité et conditions liées depuis la page d’accueil, une adresse e-mail sur le propre domaine du site et des liens vers les réseaux sociaux.
Ancienneté et popularité, jusqu’à 15	Un, trois ou dix ans depuis l’enregistrement, et une place dans la liste Tranco du top 1 million. Cela ne fait qu’ajouter : un site récent commence simplement sans ces points.
Avis des visiteurs, jusqu’à ±10	La note moyenne des visiteurs, pondérée par leur nombre. Un avis isolé fait bouger le score de 2 points au plus.

Ce qui fait passer un site au rouge

Le score est plafonné, quoi que le site fasse bien par ailleurs, si nous trouvons l’un de ces éléments :

Dangereux (score de 8 ou moins) : le domaine figure sur la liste Phishing.Database des domaines d’hameçonnage actifs, mise à jour chaque jour.
Risque élevé (25 ou moins) : au moins trois visiteurs différents signalent une arnaque, et ils représentent au moins 60 % des avis.
Suspect (30 à 45 ou moins) : l’adresse semble imiter une marque connue, comme le nom de la marque plus « login » ou « refund », ou une faute de frappe d’un nom célèbre. Les sites qui redirigent vers la marque ou portent son certificat sont exclus.
Une boutique qui semble n’accepter que la crypto perd 10 points, car ces paiements sont irréversibles.

Ce que nous montrons sans jamais pénaliser

Un domaine jeune. Les sites de moins de six mois portent la mention « Site récent » pour indiquer un historique mince, mais le score ne baisse pas.
L’identité du titulaire masquée dans le registre. La plupart des bureaux d’enregistrement la masquent par défaut.
L’hébergeur ou le bureau d’enregistrement. Les prestataires populaires et bon marché hébergent des millions de sites honnêtes.
Peu de visiteurs, un certificat gratuit, un site qui bloque notre vérificateur, ou un registre qui ne publie pas de dates.

D’où viennent les données

Dates d’enregistrement et bureau d’enregistrement : le service officiel RDAP des registres, via rdap.org.
Certificat, DNS et page d’accueil : lus directement par notre serveur, qui s’identifie comme FraudPlatformsBot.
Popularité : la liste Tranco, mise à jour chaque jour.
Hameçonnage : Phishing.Database (licence MIT), mise à jour chaque jour.
Expériences : les visiteurs de ce site, un avis par site et par visiteur.

rdap.org · Tranco · Phishing.Database

Limites

Un résultat propre n’est pas une garantie. Un site frauduleux tout neuf n’a peut-être encore aucun signalement, et un site honnête peut recevoir un avis injuste. C’est pourquoi nous montrons chaque constat séparément. Lisez-les et payez avec une protection acheteur.