Le cadenas HTTPS, le logo AOL et le texte « Sign in » ne prouvent rien. Une page de phishing ciblant AOL webmail reproduit ces éléments en quelques minutes avec un kit prêt à l’emploi.
Ces indicateurs visuels restent falsifiables avec peu d’efforts techniques. La seule approche fiable combine trois vérifications indépendantes : le domaine réel dans la barre d’adresse, le comportement du gestionnaire de mots de passe et les anomalies du formulaire lui-même.
Domaine réel dans la barre d’adresse : la seule vérification qui compte pour AOL Sign in
Une URL de connexion AOL légitime se termine par login.aol.com suivi d’un slash et de paramètres. Toute variation, même subtile, signale une contrefaçon. Les kits de phishing utilisent des sous-domaines trompeurs comme aol.com.login-secure.xyz ou aol-signin.net, où le mot « aol » apparaît dans l’URL sans être le domaine enregistré.
La lecture correcte d’une URL part de la droite. Le domaine enregistré se situe juste avant le premier slash unique après le protocole. Dans https://login.aol.com/account/signin, le domaine enregistré est aol.com. Dans https://aol.com.phishing-site.ru/signin, c’est phishing-site.ru.
Sur mobile, la barre d’adresse tronque souvent l’URL. Nous recommandons de toucher la barre pour afficher l’adresse complète avant toute saisie. Les navigateurs récents sur Android et iOS affichent désormais le domaine enregistré en gras ou en couleur distincte, ce qui aide à repérer les incohérences.
Cas fréquents de sous-domaines piégés
- aol-mail-login.com : domaine enregistré différent, le mot « aol » n’est qu’un leurre textuel dans le nom de domaine
- secure-aol.com.example.net : le vrai domaine est example.net, « secure-aol.com » n’est qu’un sous-domaine décoratif
- aol.com-verify.info : le tiret après .com trahit un domaine tiers, le suffixe réel est .info
Gestionnaire de mots de passe comme détecteur de phishing AOL
Un gestionnaire de mots de passe ne propose le remplissage automatique que si le domaine correspond exactement à celui enregistré. Ce mécanisme de correspondance stricte fonctionne comme un filtre anti-phishing automatique, indépendant de l’apparence visuelle de la page.
Sur une page de connexion AOL webmail légitime, un gestionnaire comme Bitwarden, 1Password ou le trousseau intégré du navigateur affiche automatiquement l’identifiant AOL enregistré. Sur une copie hébergée sur un domaine tiers, rien ne s’affiche. Ce silence est un signal d’alerte à prendre au sérieux.
Passkeys et clés FIDO : un cran au-dessus
Les passkeys (clés d’accès) liées au domaine aol.com refusent purement et simplement de fonctionner sur un domaine frauduleux. La vérification est cryptographique, pas visuelle. Si vous avez activé la double authentification sur votre messagerie AOL, l’absence de proposition de passkey sur une page de login doit interrompre toute saisie.
La combinaison gestionnaire de mots de passe plus passkey offre deux couches de vérification de domaine indépendantes, sans que l’utilisateur ait besoin d’analyser l’URL manuellement.
Comportement du formulaire de connexion : anomalies à repérer après l’ouverture de la page
Les kits de phishing récents ne se limitent plus à collecter un mot de passe. Nous observons des formulaires qui demandent une interaction immédiate inhabituelle, ce qui constitue un marqueur exploitable.
La page de connexion AOL légitime demande d’abord l’identifiant, puis le mot de passe sur un écran séparé. Ce flux en deux étapes est caractéristique. Une fausse page qui affiche les deux champs simultanément sur le même écran reproduit un schéma obsolète qu’AOL n’utilise plus.
Signaux d’alerte dans le comportement du formulaire
- Demande simultanée de l’identifiant et du mot de passe sur un seul écran, alors que le flux AOL authentique sépare ces étapes
- Redirection vers une page d’erreur générique après la saisie, suivie d’une seconde demande de mot de passe (technique de double collecte pour confirmer les identifiants)
- Pop-up ou fenêtre demandant un code de vérification avant même d’avoir soumis l’identifiant
- Absence de lien fonctionnel vers « Mot de passe oublié » ou « Créer un compte » (les pages de phishing négligent souvent ces éléments secondaires)
Sécurité AOL mail : les réflexes techniques à ancrer
Les guides de sécurité AOL insistent sur la vérification des en-têtes d’email et le contrôle que les liens renvoient bien au domaine aol.com. Cette recommandation reste pertinente, mais insuffisante face aux techniques actuelles de masquage d’URL dans les emails.
Quand un email prétendument envoyé par AOL vous demande de vous connecter, ne cliquez jamais sur le lien contenu dans le message. Ouvrez un nouvel onglet, tapez manuellement mail.aol.com et connectez-vous depuis cette adresse. Si une action est réellement requise sur votre compte, elle apparaîtra dans l’interface de votre messagerie.
Vérification des en-têtes d’email
Les emails légitimes d’AOL proviennent de domaines se terminant par @aol.com avec des en-têtes DKIM et SPF valides. Dans les paramètres de votre boîte mail, l’affichage des en-têtes complets révèle le serveur d’envoi réel. Un email prétendant venir d’AOL mais expédié depuis un serveur tiers est une tentative de phishing, quel que soit le nom d’expéditeur affiché.
Le nom d’expéditeur affiché dans votre interface de messagerie ne prouve rien : n’importe qui peut configurer « AOL Security Team » comme nom d’affichage. Seule l’adresse technique complète, visible dans les en-têtes, permet de vérifier l’origine.
Pour les utilisateurs qui consultent leur mail AOL via un client comme Outlook, la connexion se fait via les protocoles IMAP ou SMTP officiels. Si une fenêtre de connexion apparaît en dehors de ces contextes habituels, elle mérite d’être traitée comme suspecte jusqu’à vérification du domaine.
La protection d’un compte AOL webmail ne repose pas sur la vigilance visuelle face à un logo ou un cadenas. Elle repose sur trois contrôles mécaniques : lire le domaine enregistré depuis la droite de l’URL, laisser le gestionnaire de mots de passe valider ou invalider la page, et vérifier que le formulaire suit le flux en deux étapes propre à AOL.
