On cherche un logiciel de montage vidéo, on tape le nom dans Google, et le premier résultat ressemble au site officiel. Le domaine est presque identique, le bouton « Télécharger » est bien visible. Sauf que le fichier installé embarque un infostealer qui aspire les mots de passe enregistrés dans le navigateur. Ce scénario s’est multiplié ces derniers mois, avec des dizaines de faux sites imitant des pages de téléchargement Windows qui remontent en bonne position dans les résultats de recherche.
Télécharger des logiciels en toute sécurité ne se résume pas à « éviter les sites louches ». Les techniques de tromperie ont évolué, et les protections natives des systèmes d’exploitation aussi. Voici comment on peut structurer ses réflexes pour limiter les risques au maximum.
A lire également : Guide complet pour installer un coffre sur boule d'attelage en toute sécurité
Faux sites de téléchargement : une menace qui cible les résultats Google
Mi-2026, plusieurs analyses ont documenté une vague de faux sites imitant des pages de téléchargement d’outils Windows. Ces sites frauduleux reprennent la charte graphique des éditeurs, utilisent des noms de domaine quasi identiques (une lettre en plus, un tiret déplacé) et parviennent à se positionner dans les premiers résultats sponsorisés ou organiques de Google.
Le fichier proposé installe un malware déguisé en installateur légitime. L’utilisateur ne voit rien d’anormal pendant l’installation. Le programme attendu fonctionne, mais un second processus tourne en arrière-plan pour collecter des données.
A lire aussi : Comment accéder facilement à l'actualité en ligne grâce à un portail d'informations
Le réflexe de base reste de vérifier le domaine exact avant de cliquer. Pour un logiciel comme VLC, le seul domaine fiable est videolan.org. Pour 7-Zip, c’est 7-zip.org. Toute variante (vlc-download.com, 7zip-free.net) doit alerter. En complément, on peut consulter ce qu’est FileCR selon Pixel 23 pour identifier une plateforme de téléchargement dont les fichiers sont vérifiés avant publication.
Signature numérique et hash SHA-256 : vérifier un fichier avant de l’exécuter
Télécharger depuis le bon site ne suffit pas toujours. Un serveur peut être compromis, une extension de navigateur peut altérer un téléchargement. Deux vérifications complémentaires permettent de s’assurer que le fichier reçu est bien celui que l’éditeur a publié.
La signature numérique de l’exécutable
Sur Windows, un clic droit sur le fichier .exe puis « Propriétés » > « Signatures numériques » affiche le nom de l’éditeur qui a signé le programme. Si la signature est absente ou si le nom ne correspond pas à l’éditeur attendu, on ne lance pas l’installation.
Une signature valide confirme que le fichier n’a pas été modifié depuis sa publication. C’est la première ligne de défense, et elle prend dix secondes.
Le hash SHA-256 pour comparer l’empreinte
Certains éditeurs publient le hash SHA-256 de leurs fichiers sur leur site. On peut générer le hash du fichier téléchargé avec la commande certutil -hashfile sous Windows, puis comparer les deux chaînes. Si elles ne correspondent pas, le fichier a été altéré.
Cette vérification est particulièrement utile quand on télécharge un logiciel depuis un miroir ou une plateforme tierce. C’est un geste technique qui prend une minute, mais qui élimine tout doute sur l’intégrité du fichier.
Smart App Control et SmartScreen : les protections natives de Windows à connaître
Windows 11 a renforcé ses mécanismes de filtrage avec deux outils complémentaires que la plupart des guides de téléchargement ne mentionnent pas.
Smart App Control bloque les exécutables non signés ou inconnus avant même qu’ils ne s’installent. Sur un PC compatible, cette fonctionnalité fonctionne en mode évaluation au départ, puis s’active automatiquement si l’usage de la machine le permet. Elle constitue un filet de sécurité supplémentaire pour les utilisateurs qui téléchargent régulièrement des logiciels.
SmartScreen, de son côté, analyse la réputation des fichiers téléchargés. Un point souvent mal compris : même un logiciel correctement signé peut déclencher l’avertissement « application non reconnue » s’il est récent ou peu téléchargé. Microsoft ne propose pas de délai public pour lever cet avertissement, et il n’existe pas de procédure libre-service pour les éditeurs qui voudraient accélérer le processus.
Concrètement, si SmartScreen affiche un avertissement sur un logiciel qu’on a téléchargé depuis le site officiel et dont la signature numérique est valide, on peut raisonnablement passer outre. En revanche, si le fichier provient d’un site tiers et qu’il n’est pas signé, l’avertissement mérite d’être pris au sérieux.
Gestionnaires de paquets et plateformes fiables : automatiser les téléchargements sûrs
Vérifier chaque fichier manuellement fonctionne, mais on peut aussi structurer ses installations pour réduire les occasions d’erreur. Plusieurs approches se complètent.
- WinGet, le gestionnaire de paquets intégré à Windows, permet d’installer un logiciel en une commande (winget install vlc, par exemple). Les paquets proviennent de dépôts vérifiés, ce qui élimine le risque de tomber sur un faux site via un moteur de recherche.
- Ninite regroupe les logiciels courants (navigateurs, lecteurs, utilitaires) dans un installateur unique qui refuse les barres d’outils et les logiciels additionnels. On sélectionne ce qu’on veut, on télécharge un seul fichier, et tout s’installe proprement.
- Le Microsoft Store reste une option pour les logiciels qui y sont disponibles. Les applications y sont soumises à une vérification, même si les retours varient sur la rigueur de ce contrôle pour certaines catégories d’outils.
Ces trois méthodes partagent un point commun : elles suppriment l’étape où l’utilisateur cherche un lien de téléchargement dans un moteur de recherche, qui est précisément le moment où le risque de tomber sur un faux site est le plus élevé.
Checklist avant d’installer un logiciel téléchargé
Avant de double-cliquer sur un installateur, une vérification rapide en quatre points suffit à filtrer la majorité des menaces.
- Le fichier provient-il du site officiel de l’éditeur, d’un gestionnaire de paquets ou d’une plateforme de téléchargement reconnue ?
- La signature numérique est-elle présente et correspond-elle à l’éditeur attendu ?
- Le hash SHA-256 du fichier correspond-il à celui publié par l’éditeur (quand disponible) ?
- SmartScreen ou Smart App Control signalent-ils un problème, et si oui, le contexte justifie-t-il de passer outre ?
Aucun de ces points ne prend plus d’une minute. Combinés, ils couvrent les scénarios de compromission les plus fréquents, du faux site bien référencé au fichier altéré en transit.
Le téléchargement sécurisé repose moins sur un antivirus miraculeux que sur une chaîne de vérifications simples appliquées systématiquement. Le domaine, la signature, le hash, la réputation Windows : quatre filtres qui, mis bout à bout, rendent les tentatives d’infection par logiciel piégé largement inefficaces.