ChatGPT

L’adresse officielle, et pourquoi la confusion existe

Commençons par le plus utile : l’adresse officielle du service est chatgpt.com. Avec un M final. Toute autre terminaison est une autre adresse, qui appartient à quelqu’un d’autre et n’engage pas l’éditeur.

Une recherche du type « chatgpt co » correspond presque toujours à une saisie interrompue — une adresse tapée dans la barre du navigateur et abandonnée avant la dernière lettre, ou recopiée de mémoire. C’est une erreur banale, sans conséquence tant qu’on n’atterrit pas sur une page qui en tire parti.

La confusion a une seconde source, plus légitime. Le service a changé d’adresse au fil de son histoire. L’adresse historique en chat.openai.com a longtemps été la porte d’entrée, et de nombreux articles la citent encore comme l’adresse actuelle. Elle n’a pas disparu : elle redirige aujourd’hui vers chatgpt.com, tout comme l’adresse courte chat.com, acquise par l’éditeur. Trois portes, une seule destination.

Cette redirection est une bonne nouvelle pratique et un piège pédagogique. Bonne nouvelle, parce qu’un ancien signet continue de fonctionner. Piège, parce qu’elle installe l’idée qu’une adresse ressemblante mène forcément au bon endroit. C’est faux : une redirection existe parce que le propriétaire du domaine l’a mise en place. Un domaine détenu par un tiers ne redirige nulle part, il affiche ce que ce tiers a décidé d’y mettre.

Le typosquattage, expliqué à partir de ce cas

Le mécanisme porte un nom technique un peu rébarbatif, mais il se comprend en une phrase : certains enregistrent des adresses volontairement proches d’une adresse très fréquentée, pour capter les visiteurs qui se trompent en la tapant.

Les schémas courants du procédé sont peu nombreux et suivent la géographie du clavier autant que celle de la langue. Une lettre manquante en fin d’adresse. Une lettre doublée. Deux lettres inversées. Un tiret ajouté au milieu. Une extension différente collée à un nom correct. Un mot ajouté qui sonne officiel, du type « login », « app » ou « France ». Prises isolément, aucune de ces variantes n’a l’air suspecte : c’est précisément l’intérêt du procédé.

Ce que ces pages cherchent varie, et il est utile de le savoir pour comprendre ce qui doit alerter. Certaines veulent des identifiants, en affichant un formulaire de connexion imitant celui du service. D’autres veulent un numéro de carte bancaire, en présentant un accès payant à un service qui ne l’est pas sous cette forme. D’autres encore proposent un fichier à télécharger, présenté comme une application, qui installe autre chose que ce qu’il annonce. Les dernières se contentent d’afficher de la publicité, ce qui est le cas le moins grave et le plus courant. Aucun de ces domaines n’est nommé ici, pour une raison pratique : le contenu d’une adresse tierce change d’un mois à l’autre, le mécanisme, lui, reste stable.

Reconnaître une page qui imite le service

Ce qu’il faut regarder dans la barre d’adresse

La vérification tient en trois secondes, à condition de savoir où regarder. Lisez le nom de domaine de droite à gauche, en partant de l’extension. Ce qui compte, c’est le bloc situé juste avant la première barre oblique : c’est lui qui identifie le propriétaire du site. Tout ce qui suit cette barre est décoratif et entièrement contrôlé par ce propriétaire.

Le cadenas, de son côté, ne dit rien de l’honnêteté du site. Il indique que la connexion est chiffrée, pas que l’interlocuteur est celui qu’il prétend être. Un site frauduleux l’obtient sans difficulté, et le raisonnement inverse — « il y a un cadenas, donc c’est officiel » — est probablement la croyance la plus coûteuse en matière d’hameçonnage.

Méfiez-vous enfin de la porte d’entrée elle-même. Un lien sponsorisé en tête de résultats, un lien reçu par message, un lien affiché dans une publication sur un réseau social : ces chemins ne sont pas équivalents à une adresse saisie à la main.

Les demandes qui doivent faire reculer

Certaines sollicitations sont, à elles seules, un motif suffisant de fermer l’onglet.

Un paiement réclamé pour accéder à une fonction de base, d’abord. Le service dispose d’un usage gratuit après création d’un compte ; une page qui exige quelques euros pour « débloquer l’accès » ne peut pas être officielle.

Une connexion proposée par compte Google, Microsoft ou Apple sur une page dont vous n’avez pas vérifié le domaine, ensuite. Le procédé est légitime en soi et largement utilisé, ce qui le rend d’autant plus efficace entre de mauvaises mains.

Une urgence fabriquée, aussi : compte prétendument suspendu, offre expirant dans quelques minutes, avertissement de sécurité qui exige une action immédiate. La pression temporelle sert à empêcher la vérification, et c’est sa seule fonction.

Une demande d’informations sans rapport avec le service, enfin : numéro de sécurité sociale, pièce d’identité, coordonnées bancaires complètes pour un usage gratuit. À quoi s’ajoutent les incohérences de langue — mélange de registres, majuscules aberrantes, traduction approximative — qui restent des signaux exploitables même si elles se raréfient.

Applications, extensions et intégrations

La question se pose différemment sur mobile et sur ordinateur, et c’est là que les copies circulent le plus.

Sur les boutiques d’applications, le nom affiché ne suffit jamais. Ce qu’il faut lire, c’est le nom de l’éditeur, sous le titre : c’est le seul élément difficile à usurper. Une application reprenant le nom du service mais publiée par un éditeur inconnu n’a aucun lien avec lui, même si l’icône est identique et les avis flatteurs. Le nombre de téléchargements et l’ancienneté de la fiche donnent un second niveau de vérification, une copie récente affichant rarement un historique crédible.

Les extensions de navigateur méritent une prudence supérieure, parce qu’elles demandent des autorisations larges — lire et modifier les pages consultées, par exemple. Une extension installée sans vérification de son éditeur obtient un droit de regard sur l’ensemble de votre navigation, messagerie et espaces bancaires compris.

Pour celles qui sont déjà installées, la vérification se fait a posteriori et prend quelques minutes : ouvrez la page de gestion des extensions de votre navigateur, passez en revue la liste, et supprimez ce que vous ne reconnaissez pas ou ce que vous n’utilisez plus. Cette page indique aussi les autorisations accordées à chacune. Une extension dont vous ne vous souvenez pas et qui peut lire toutes les pages consultées n’a pas de raison de rester.

Restent les intégrations légitimes. Le service est accessible à travers des produits tiers parfaitement officiels — suites bureautiques, messageries professionnelles, outils intégrés à un système d’exploitation. Le critère reste le même que partout ailleurs : c’est l’éditeur du produit qui vous engage, et il est identifiable, pas la marque affichée sur la vitrine.

Ce qui est accessible sans payer

Un usage gratuit existe, après création d’un compte. Concrètement, il donne accès à la conversation elle-même, avec un volume d’utilisation encadré au-delà duquel les réponses ralentissent ou basculent sur des capacités réduites jusqu’au réarmement du quota.

Les formules payantes lèvent l’essentiel de ces limites et ouvrent des fonctions supplémentaires — capacités de traitement plus étendues, accès prioritaire aux nouveautés, outils destinés à un usage professionnel ou collectif. Les tarifs, les plafonds et les noms de version ne sont volontairement pas détaillés ici : ils changent plusieurs fois par an, et un chiffre recopié d’un article daté devient une information fausse déguisée en information précise. La page de tarification, consultée depuis l’adresse officielle, reste la seule source à jour.

Ce qu’il faut retenir tient plutôt à la forme de la transaction. Un abonnement se souscrit depuis un compte déjà créé, sur le site officiel, avec une facturation identifiable. Un accès vendu à l’unité, à quelques centimes ou quelques euros, par une page rencontrée dans une publicité, ne correspond à aucune modalité officielle.

Si vous avez déjà saisi vos informations

Cela arrive, y compris à des personnes attentives, et la réaction utile n’est pas de s’en vouloir mais de traiter la fuite dans l’ordre.

Ces dispositifs publics sont gratuits, et le signalement prend quelques minutes. Un site qui propose d’effectuer ces démarches contre paiement relève exactement du problème qu’il prétend traiter.