Publié le 1 novembre 2026 · L'équipe mitza.es
Le Black Friday 2026 tombe le vendredi 27 novembre, et le Cyber Monday, le lundi 30. Pour une boutique en ligne, ce sont des jours de facturation maximale. Pour les escrocs aussi : les gens achètent dans la précipitation, comparent les prix et se méfient moins d'un e-mail ou d'une annonce avec une remise alléchante. L'INCIBE le résume en une phrase : méfiez-vous des bonnes affaires impossibles. Ce dont on parle moins, c'est de l'autre côté, celui de la vraie boutique dont le nom sert à tromper. Ce guide est pensé pour vous, qui vendez.
Comment on peut vous usurper
- Sites clones : un site qui copie votre design, vos photos et votre logo, avec une adresse presque identique à la vôtre (l'INCIBE signale des URL qui ne changent qu'une lettre), pour encaisser des commandes qui n'arriveront jamais.
- Faux e-mails et messages : « votre commande est bloquée », « votre compte doit être vérifié » ou des coupons qui renvoient vers une page demandant des données de carte, envoyés comme s'ils venaient de vous.
- Annonces frauduleuses sur les réseaux sociaux avec votre marque ou avec des remises impossibles qui mènent à de faux sites.
- Faux codes QR collés sur des affiches, des dépliants ou des colis. Vous avez le détail dans notre guide sur le QRishing.
- Votre propre site compromis : si quelqu'un injecte du code malveillant dans votre page de paiement, vos clients paieront à la bonne boutique mais les données de la carte iront ailleurs. C'est le type d'attaque que l'on appelle web skimming.
Quelles conséquences pour vous (même si ce n'est pas votre faute)
Le client escroqué ne fait pas la différence entre le faux site et le vrai : il se plaint à votre boutique, ouvre des réclamations, laisse des avis négatifs ou demande le remboursement. Même si vous n'avez rien fait de mal, vous perdez du temps, de la réputation et, parfois, des ventes. La meilleure défense, c'est que vos clients sachent vous reconnaître et qu'il soit plus difficile pour un escroc de se faire passer pour vous.
Protéger votre domaine et votre messagerie : la base
- Configurez SPF, DKIM et DMARC. Ce sont des enregistrements DNS qui permettent aux serveurs de messagerie de vérifier qu'un message vient bien de votre domaine. Avec une politique DMARC stricte (en commençant en mode surveillance puis en durcissant), les e-mails qui usurpent votre adresse sont rejetés ou vont en spam. Les étapes figurent dans notre comparatif Google Workspace et Microsoft 365.
- Gardez les certificats à jour. Un cadenas expiré en plein Black Friday effraie le client et le pousse vers des sites qui paraissent plus « sûrs ». Consultez les changements de durée dans notre article sur les certificats SSL/TLS.
- Contrôlez votre domaine et votre DNS : que le domaine soit à votre nom, avec vérification en deux étapes chez le registrar. Nous le détaillons dans nom de domaine et hébergement.
- Envisagez d'enregistrer les variantes évidentes de votre domaine (autres extensions et fautes de frappe fréquentes) si votre marque est connue.
Blinder le processus d'achat
- Gardez la boutique à jour (plateforme, extensions et thèmes) avant la campagne, pas en plein milieu. Les attaques contre des extensions obsolètes sont fréquentes ; consultez notre analyse d'une vulnérabilité critique de WordPress.
- Utilisez une passerelle de paiement reconnue avec authentification renforcée, de façon que les données de la carte ne passent pas par votre serveur. Comparez-les dans comment choisir une passerelle de paiement.
- Limitez l'accès au panneau d'administration : mots de passe longs et uniques, vérification en deux étapes et moins d'utilisateurs avec des droits d'administrateur.
- Faites une sauvegarde avant la campagne et vérifiez qu'elle peut être restaurée.
- Surveillez les modifications des fichiers de votre site, en particulier la page de paiement, pour détecter des scripts qui n'ont rien à y faire. Cela fait partie d'une bonne maintenance de site web.
Dites clairement qui vous êtes vraiment
De nombreuses arnaques fonctionnent parce que le client ne sait pas comment vous lui écririez. Indiquez par écrit, sur le site, en pied de vos e-mails et sur vos profils :
- Depuis quelle adresse e-mail et quels numéros vous communiquez (et que vous n'utilisez que votre domaine).
- Que vous ne demanderez jamais de données de carte par e-mail, WhatsApp ni message.
- Quelle est votre adresse web officielle et quels sont vos profils vérifiés.
- Comment vous contacter si quelque chose cloche.
Surveillez votre marque pendant la campagne
- Cherchez votre marque et votre domaine sur Google et sur les réseaux sociaux plusieurs fois par semaine pendant les deux semaines précédentes.
- Activez des alertes avec votre nom commercial.
- Faites une recherche d'image inversée de vos photos de produits les plus connues pour détecter des copies.
- Demandez à votre équipe du service client de vous prévenir si plusieurs clients mentionnent un site, un e-mail ou une annonce qu'ils ne reconnaissent pas.
Si l'on vous usurpe : plan de réponse
- Documentez : captures d'écran datées, adresses, numéros de commande ou messages reçus.
- Prévenez vos clients par vos canaux officiels, avec une note claire et sans alarmisme.
- Demandez le retrait du faux site à l'hébergeur et au registrar, et signalez l'annonce sur la plateforme où elle apparaît.
- Déposez plainte auprès de la Police nationale espagnole ou de la Guardia Civil, et prévenez l'INCIBE (017, ou par WhatsApp au 900 116 117).
- Écoutez avec empathie la personne escroquée et fournissez-lui les preuves dont elle pourrait avoir besoin pour réclamer auprès de sa banque.
Ce que recommande l'INCIBE à l'acheteur : partagez-le avec vos clients
Une façon de les aider est de diffuser les conseils officiels : vérifier que la boutique a une adresse en https et un certificat valide, des coordonnées visibles et des avis ; utiliser des moyens de paiement protégés (carte, cartes virtuelles ou services reconnus comme Bizum, PayPal, Google Pay ou Apple Pay) ; vérifier l'adresse avant de payer et conserver les justificatifs ; et, en cas de fraude, appeler la banque pour annuler la carte, réunir des preuves et porter plainte.
Et n'oubliez pas le reste de la campagne
La sécurité est une partie ; l'autre, c'est que la boutique tienne le pic de visites et de commandes. Vous avez la liste complète dans notre guide pour préparer votre boutique en ligne pour le Black Friday, et si vous envisagez de monter une boutique, consultez combien coûte la création d'une boutique en ligne.
Comment Mitza peut vous aider
Nous préparons votre boutique avant la campagne : revue de sécurité, sauvegardes, messagerie et certificats. Si vous montez ou refondez la boutique, consultez notre service de développement e-commerce, ou exposez-nous votre cas sur la page de contact.