Caractères sosies

Tout se passe dans cette page. Le lien que vous collez n’est jamais envoyé nulle part : ni au serveur de r-no.fr, ni à personne d’autre. Il peut contenir un secret (lien de réinitialisation de mot de passe, lien de suivi personnel) : il reste dans votre navigateur.

Comment ça marche

Chaque caractère du nom du site est cherché dans la table Unicode des caractères confondables (UTS #39), qui dit à quoi il ressemble. On demande ensuite à votre navigateur ce qu’il ferait de ce caractère dans une adresse : le garder, le convertir, le retirer ou refuser l’adresse. La réponse est celle de votre navigateur, pas une supposition.

Imposé par votre navigateur

La politique de sécurité du contenu (CSP) de cette page n’autorise qu’une destination, la mesure d’audience du site (connect-src https://stats.r-no.fr, voir plus bas), et interdit tout envoi de formulaire (form-action 'none') : même un défaut du script ne pourrait envoyer le lien ailleurs qu’à ce serveur, qui est celui de R-no. Vous pouvez lire cette politique en tête du code source de la page.

Mesure d’audience

Comme toutes les pages du site, celle-ci compte sa visite avec Umami, installé sur le serveur de R-no lui-même (stats.r-no.fr). Il reçoit l’adresse de la page, sans paramètres ni ancre, le site d’où vous venez (son nom de domaine seulement), votre navigateur, votre système, votre langue et la taille de votre écran, ainsi que le pays, la région et la ville déduits de votre adresse IP, qui n’est pas conservée. Il ne reçoit jamais ce que vous saisissez, ni le résultat de l’outil. Aucun cookie, rien d’enregistré dans votre navigateur ; si votre navigateur demande à ne pas être suivi (Do Not Track), rien n’est mesuré. Les données sont effacées au bout de 25 mois.

• /commun/mesure.js : le filtre appliqué avant chaque envoi, écrit pour R-no Toolbox. 1.4 kB
  SHA-256 225eec74fd12623d82fc05ee7d222be629ce454d081c129e8d1e249ed37ee716
• https://stats.r-no.fr/m.js : le script de suivi d’Umami, libre (MIT), servi par le serveur de mesure. Son empreinte n’est pas affichée ici : elle change à chaque version d’Umami, et vous ne pouvez pas vérifier depuis votre navigateur qu’il s’agit du code publié. Pour cette partie, il faut faire confiance à R-no.

Ce qui est conservé

Aucun cookie, et rien dans l’adresse de cette page. Un lien transmis par le décodeur de QR codes arrive après un #, que les navigateurs n’envoient jamais au serveur, et il est retiré de l’adresse dès qu’il est lu. Ce que vous saisissez n’est pas gardé. La langue est donnée par l’adresse elle-même (/en/ ou /fr/) : rien n’est conservé pour s’en souvenir. Comme tout site web, le serveur note dans ses journaux d’accès le téléchargement de la page et de ses fichiers (adresse IP, date et heure, adresse demandée, nom du navigateur).

Données Unicode

confusables.js est la table officielle d’Unicode, version 17.0.0 (22 juillet 2025), réduite aux 1 580 caractères qui imitent une lettre latine, un chiffre, un point, un tiret ou une barre oblique, chacun avec son nom Unicode. Elle est reconstruite à partir du fichier officiel et comparée octet pour octet à chaque déploiement. Licence Unicode v3, reproduite en tête du fichier.

Le code qui s’exécute ici

• app.js: lit le lien caractère par caractère, demande à votre navigateur ce qu’il ferait de chacun, et affiche le résultat. Écrit pour R-no Toolbox, non minifié, sans bibliothèque tierce. 29.3 kB
  SHA-256 62c86c6ff0e109138de3bed8e2a94413489f5f6e2e886c9fafc7db840b9cc9a2
• confusables.js: la table Unicode des caractères confondables. Des données seulement, sans aucune logique. 86.2 kB
  SHA-256 3cca4ed7978dc56d266242b9e3b937fbe562df88a89bde4af1e96bf02a14a1ad
• textes.js: les messages en français de l’outil, affichés par son script (le reste de la page française est écrit dans son HTML à la construction du site). Il ne fait que définir des textes, sans aucune logique. 11.3 kB
  SHA-256 de349a51fdfd639950c1c06f09c80140691ba0ace5335444aa432dc8aec8e58d
• /commun/langue.js: l’aide à la traduction, la même sur toutes les pages du site. Elle lit la langue de la page et donne à l’outil ses messages dans cette langue. Elle ne conserve rien. 1.6 kB
  SHA-256 80f76f69773ef628d36d09bf8387cfedebda4529210d7120649b6f5603310631

Testé

Une cinquantaine de liens piégés et de liens honnêtes (lettres cyrilliques, grecques et arméniennes, fausses barres obliques et faux tirets, caractères invisibles, chiffres, @, adresses IP déguisées, noms accentués et japonais) sont vérifiés par des tests automatiques, exécutés à chaque déploiement.

Vérifiez vous-même

Téléchargez le script et comparez son empreinte avec celle affichée ci-dessus :
curl -s https://r-no.fr/domains/lookalike/app.js | shasum -a 256

Limites

• Ce n’est pas un verdict de sécurité. Un site au nom honnête peut être malveillant, et un nom accentué peut être authentique. La page donne des indices ; c’est vous qui décidez.
• Seuls les caractères déguisés sont détectés. Une faute de frappe en lettres ordinaires (« paypall.com »), un sosie fait de deux lettres (« rn » pour « m ») ou une marque suivie d’un mot (« impots-remboursement.com ») ne le sont pas.
• Les chiffres 0, 1 et 5 collés à des lettres sont signalés, parce qu’ils peuvent passer pour o, l et s. Beaucoup de vrais noms contiennent des chiffres : cet indice vous demande seulement de regarder.
• Seul le nom du site est analysé, pas le reste de l’adresse. Le site affiché en gras (les deux dernières parties du nom, trois derrière co.uk et semblables) est une approximation.
• La réponse dépend de votre navigateur : un autre, ou un plus ancien, peut traiter différemment un caractère rare.
• La page n’ouvre rien : elle ne suit ni les liens raccourcis ni les redirections, et ne sait pas où ils mènent.