Le filtre anti-arnaques du gouvernement devait arriver le 1er septembre : pourquoi il n’est pas là, et ce qui vous protège vraiment

Vous avez peut-être lu que le filtre anti-arnaques du gouvernement entrait en service le premier spetmbre. C’est bien la date qui circule depuis le printemps. Elle est fausse. Le décret qui devait mettre le dispositif en route est bloqué à Bruxelles depuis fin juin, et aucun texte n’a été publié au Journal officiel.

Le calendrier compte, parce que la menace, elle, n’attend pas. Dans son rapport d’activité 2025, la plateforme publique Cybermalveillance.gouv.fr a enregistré 504 810 demandes d’assistance, en hausse de 20 % sur un an. Chez les particuliers, le hameçonnage représente à lui seul 32,9 % de ces demandes, loin devant le piratage de compte. Je vous explique ce que ce filtre doit faire, pourquoi il n’est pas là, et surtout ce qui vous protège concrètement en attendant. Parce que des protections existent déjà, elles sont gratuites, et il y a de bonnes chances qu’une partie soit désactivée sur votre machine.

Le filtre anti-arnaques, c’est quoi exactement

Le principe tient en une phrase : quand vous cliquez sur un lien qui mène à un site frauduleux, un message d’avertissement s’affiche avant que la page ne se charge. Promis depuis 2022, le dispositif a été inscrit dans la loi SREN du 21 mai 2024, celle qui visait à sécuriser et réguler l’espace numérique. Il a changé de nom au passage : dans les textes, on parle désormais du filtre national de cybersécurité.

Le pilotage a été confié à l’OFAC, l’Office anti-cybercriminalité rattaché à la Direction générale de la Police nationale. Ce sont ses agents qui repèrent les sites, dressent la liste noire et la transmettent à trois familles d’acteurs : les éditeurs de navigateurs (Google pour Chrome, Apple pour Safari, Mozilla pour Firefox), les fournisseurs d’accès à internet, et les résolveurs DNS, ces annuaires qui traduisent un nom de site en adresse machine à chaque fois que vous tapez une adresse.

Le périmètre annoncé couvre quatre familles de fraude : le phishing (hameçonnage en français), l’usurpation d’identité, la collecte illicite de données personnelles et les arnaques au paiement. Sur le papier, c’est exactement la catégorie de sites qui siphonnent des identifiants bancaires derrière une fausse page Ameli ou un faux suivi de colis.

Comment il est censé fonctionner, concrètement

La procédure prévue par le projet de décret est graduée, et c’est le point que la plupart des articles passent sous silence. Un agent habilité repère un site frauduleux et met en demeure son éditeur, qui dispose de cinq jours pour répondre. En parallèle, l’adresse part chez les navigateurs, qui affichent un message d’avertissement pendant sept jours à titre conservatoire. Si rien ne bouge, le blocage complet peut prendre le relais, pour trois mois maximum.

Deux détails changent tout dans la vie réelle. Premier point : l’avertissement se contourne en un clic. Vous voyez l’écran rouge, vous confirmez que vous avez compris, vous passez. Deuxième point : le filtre devait être facultatif au départ, activable par l’internaute qui le souhaite, les textes prévoyant seulement la possibilité de le rendre obligatoire un jour. Un dispositif optionnel que la majorité des gens n’activeront jamais protège surtout ceux qui se protégeaient déjà.

Reste le point qui fâche : la décision d’inscrire un site sur la liste est administrative, sans passage devant un juge. La Quadrature du Net et la fondation Mozilla alertent là-dessus depuis 2023, avec un argument que je trouve difficile à balayer : le jour où une autorité peut faire afficher un avertissement sur un site auprès de tous les navigateurs sans contrôle judiciaire préalable, la définition de ce qu’est une « arnaque » devient un enjeu en soi.

Pourquoi il n’est pas au rendez-vous de ce 1er septembre

Voilà le fait que le calendrier annoncé a fait oublier. Le gouvernement a notifié son projet de décret à la Commission européenne le 6 mars 2026, avec une mise en service fixée au 1er septembre. Cette notification déclenche automatiquement une période de gel de trois mois, pendant laquelle la France n’a pas le droit d’adopter son texte.

Sauf que la Commission n’a pas laissé passer. Fin juin, elle a adressé à la France un avis circonstancié, la procédure formelle par laquelle Bruxelles signale qu’un texte national risque d’entrer en conflit avec le droit européen. Cet avis a prolongé le gel jusqu’au 9 juillet 2026. Quatre griefs sont sur la table : le décret imposerait des obligations à des navigateurs et à des opérateurs établis dans d’autres États membres, ce qui heurte le principe du pays d’origine ; il entre en tension avec la directive sur le commerce électronique ; il pose des problèmes de compatibilité avec le règlement européen sur les services numériques, le DSA ; et les garanties encadrant les mesures de blocage sont jugées insuffisamment détaillées.

Conséquence : la France doit revoir sa copie et notifier les modifications avant d’aller plus loin, sous peine de s’exposer à une procédure d’infraction si elle passe en force. Aucune nouvelle date de lancement n’a été annoncée depuis. Ce n’est pas le premier report : le filtre avait déjà raté la Coupe du monde de rugby 2023, puis les Jeux olympiques de 2024. Quatre ans après l’annonce, il n’existe toujours pas.

Comment savoir quand il démarrera vraiment ? Pas par une annonce, elles se sont déjà trompées trois fois. Le seul signal fiable, c’est la publication du décret au Journal officiel, consultable gratuitement sur Légifrance. Tant que ce texte n’est pas paru, le filtre n’existe pas, quoi qu’en dise le calendrier du moment.

Même actif, il ne vous protégerait pas de tout

Admettons que le décret sorte cet hiver. Le mécanisme resterait bancal, pour une raison structurelle : une liste noire fonctionne toujours après coup. Il faut qu’un site soit repéré, analysé, inscrit, puis diffusé, avant que le premier avertissement s’affiche. Or une page de hameçonnage vit quelques heures. Les opérateurs télécoms le disent eux-mêmes : ces adresses changent à une vitesse folle, parfois plusieurs fois par jour. Le temps que la liste rattrape la campagne, elle est terminée et une autre a démarré.

Il y a plus gênant. Le filtre agit sur la navigation web, donc sur le moment où vous ouvrez une page. Il ne voit rien du canal par lequel l’arnaque arrive vraiment aujourd’hui : le SMS, l’email, l’appel téléphonique. Un message vocal généré par IA qui imite un livreur ou un faux conseiller Apple qui vous appelle après un vol d’iPhone passent complètement à côté du dispositif. Idem pour les campagnes qui ne renvoient vers aucun site, comme l’arnaque de rentrée qui promet de révéler la classe de votre enfant.

Ajoutez l’avertissement contournable d’un clic et l’activation facultative, et vous obtenez un outil qui aidera à la marge. Pas un bouclier. Je préfère le dire franchement plutôt que d’entretenir l’idée qu’un dispositif public va vous dispenser de faire attention.

Ce qui vous protège vraiment aujourd’hui

Voilà la partie utile. Le filtre que l’État essaie de construire depuis quatre ans existe déjà dans votre navigateur, il fonctionne sur le même principe de liste noire, et il est alimenté en continu par des bases mondiales bien plus rapides que n’importe quelle liste nationale. Il est activé par défaut, mais il arrive régulièrement qu’il ait été désactivé, souvent par un « nettoyeur » de PC ou une extension installée à la va-vite. Cinq minutes pour vérifier.

Vérifier le filtre de votre navigateur

• Chrome : Paramètres, puis Confidentialité et sécurité, puis Sécurité. Dans la rubrique Navigation sécurisée, choisissez la Protection renforcée. Elle vérifie les adresses en temps réel au lieu de se contenter d’une liste téléchargée localement.
• Edge : Paramètres, puis Confidentialité, recherche et services, section Sécurité. Vérifiez que SmartScreen Microsoft Defender est activé, ainsi que le blocage des téléchargements potentiellement indésirables.
• Firefox : Paramètres, puis Vie privée et sécurité. Descendez jusqu’à Sécurité et cochez Bloquer les contenus dangereux et trompeurs.
• Safari, sur Mac comme sur iPhone : Réglages, Safari, section Sécurité, activez Avertissement en cas de site web frauduleux.

Le réflexe qui bat tous les filtres

Aucune liste noire ne vous protégera d’un site créé il y a deux heures. Une habitude, si : ne partez jamais du message reçu. Un SMS vous annonce un colis en attente, un email vous promet un remboursement, un appel vous parle d’un problème sur votre compte. Fermez, et ouvrez vous-même l’application officielle ou tapez l’adresse du site à la main. Si l’information est vraie, vous la retrouverez là. Sinon, vous venez d’éviter le piège sans avoir eu besoin d’identifier quoi que ce soit dans le message.

C’est le même schéma qui revient à chaque fois, que ce soit sur les faux messages du fisc ou sur le faux email Doctolib qui promet un kit médical gratuit. Le message change, le mécanisme ne bouge pas.

Deux protections gratuites en renfort

Votre gestionnaire de mots de passe fait un meilleur travail de détection que vos yeux. Il ne remplit vos identifiants que sur le domaine exact où vous les avez enregistrés. S’il refuse de remplir un formulaire sur une page qui ressemble pourtant trait pour trait à votre banque, c’est que vous n’êtes pas sur le bon domaine. Traitez ce silence comme une alerte, pas comme un bug.

Côté téléphone, les filtres anti-spam intégrés à Android et iOS bloquent déjà une bonne partie des SMS frauduleux, à condition d’être activés. Sur iPhone, ouvrez Réglages, Apps, Messages (ou directement Messages sur les versions plus anciennes) et activez le filtrage des expéditeurs inconnus. Sur Android, c’est dans l’application Messages, Paramètres, Protection contre le spam. Et sachez que vos données personnelles circulent bien plus que vous ne le croyez : une bonne partie du hameçonnage ciblé se nourrit de fuites survenues chez des prestataires dont vous n’avez jamais entendu parler, comme je l’explique dans mon article sur les fuites de données par un sous-traitant.

Où signaler un site ou un message frauduleux

En attendant que l’OFAC dispose de son outil, les circuits de signalement existent et fonctionnent. Pour un SMS ou un appel frauduleux, transférez le message au 33700, le numéro gratuit des opérateurs. Pour un site frauduleux, le signalement passe par internet-signalement.gouv.fr, la plateforme PHAROS. Si vous avez cliqué et saisi quelque chose, cybermalveillance.gouv.fr vous oriente vers la marche à suivre et, au besoin, vers un prestataire près de chez vous.

Si votre carte bancaire a été débitée, il y a deux gestes dans l’ordre : opposition auprès de votre banque via le numéro au dos de la carte, puis signalement sur Perceval, accessible depuis service-public.fr. Le second conditionne souvent le remboursement, beaucoup de victimes l’ignorent.

Petit conseil au passage : ces réflexes valent aussi pour le démarchage téléphonique, dont le cadre a changé cet été. J’ai détaillé ce qui remplace Bloctel et ce que vous pouvez faire maintenant.

Ce que je ferais à votre place

Trois choses, dans cet ordre. Ouvrez les paramètres de sécurité de votre navigateur et vérifiez que le filtre anti-hameçonnage est actif, en protection renforcée si l’option existe. Prenez l’habitude de ne jamais cliquer sur un lien reçu par SMS ou par email quand il touche à de l’argent ou à un compte, et d’ouvrir vous-même l’application concernée. Notez le 33700 et l’adresse cybermalveillance.gouv.fr quelque part où vous les retrouverez le jour où ça arrive.

Et ne comptez pas sur le filtre national. Même s’il finit par sortir, il arrivera après la bataille sur la plupart des campagnes, il ne verra rien de ce qui transite par SMS, et il se contournera d’un clic. Un outil public de plus, tant mieux. Mais la protection qui a vraiment évité des dégâts autour de moi cette année, c’est le réflexe de fermer le message et d’ouvrir l’appli. Ça ne coûte rien et ça marche tout de suite.