Deux lettres rares suffisent à imiter apple.com dans la barre d’adresse de Chrome

« Vérifiez l’adresse du site » : le conseil suppose que l’adresse se lit sans piège. Deux chercheurs de Have I Been Squatted montrent, dans une étude publiée le 3 octobre 2026 et relayée par The Register le 10, qu’on peut encore enregistrer un nom que Chrome affiche presque comme apple.com, certificat valide à l’appui.

Le piège des lettres jumelles

Depuis 2003, un nom de domaine peut s’écrire dans presque tous les alphabets. Or le cyrillique possède des а, е, о, р et с que la plupart des polices dessinent comme leurs équivalents latins. Pour l’ordinateur, ce sont d’autres caractères, donc un autre site.

Chrome s’en défend : quand un nom semble bâti pour tromper, la barre d’adresse affiche sa forme codée, une suite illisible qui commence par xn--. Cette protection date d’une démonstration de 2017, déjà sur apple.com.

Deux trous dans le filet

Premier trou : la lettre cyrillique ө, employée en kazakh, en mongol et en tatar, ne figure pas sur la liste des sosies que surveille Chromium. Glissée à la place du e, elle laisse le nom s’afficher en clair. Second trou, côté latin : le k à crochet, ƙ, utilisé en haoussa, échappe à la comparaison avec les noms connus. Les marques de quatre lettres ou moins ne bénéficient même pas du contrôle de ressemblance.

Les chercheurs ont déposé 20 domaines pour le prouver, imitant Apple, OpenAI, SharePoint, SpaceX, Okta ou Nike. Dans Chrome 154, l’imitation d’apple.com s’affichait sans avertissement. Côté courrier, Gmail montrait la forme trompeuse, Outlook sur le web la forme codée.

Deux précisions. Have I Been Squatted vend de la surveillance de noms de domaine : l’étude lui sert aussi de vitrine, ce qui n’enlève rien à sa démonstration, reproductible. Et nous n’avons pas vérifié si Chrome 155, sorti le 6 octobre (on en a parlé ICI), modifie ce comportement ; les auteurs notent que Chrome bouche ces trous une lettre à la fois.

Ce qui protège vraiment

• Ne pas arriver sur un site sensible par un lien reçu : utiliser un favori ou taper l’adresse.
• Activer une passkey là où c’est proposé. Enregistrée pour le vrai domaine, elle ne répond pas sur le faux, quoi qu’affiche la barre d’adresse. C’est la recommandation centrale de l’étude.
• Se méfier d’un gestionnaire de mots de passe qui ne propose pas le remplissage habituel : le domaine n’est sans doute pas celui que vous croyez.
• En entreprise, les auteurs conseillent de signaler ou bloquer les courriels dont le domaine d’expédition commence par xn--.

Le Bien Heureux · Rédaction Capibara · Lundi 12 octobre 2026