ChatGPT
la bonne adresse et comment éviter les sites sosies
Une lettre manquante suffit à quitter le service officiel. Adresse exacte, mécanisme des domaines sosies, méthode de vérification en quelques secondes et conduite à tenir si vous avez saisi vos identifiants.
L’adresse officielle du service est chatgpt.com. L’ancienne adresse chat.openai.com redirige vers elle depuis la migration de mai 2024, et le domaine court chat.com, racheté par l’éditeur, redirige également — sans qu’aucun changement de nom ait été annoncé.
- Extension différente, site différent : un .co et un .com n’ont aucun lien technique entre eux.
- Le cadenas ne prouve rien : il signale un chiffrement, pas une identité légitime.
- Ne jamais passer par un lien reçu ni par un résultat sponsorisé pour se connecter.
- En cas de saisie : mot de passe, double authentification, puis tous les comptes qui partagent ce mot de passe.
Ce qui se passe quand on tape une adresse incomplète
Une adresse web tapée à moitié ne mène jamais nulle part par hasard. Trois mécanismes distincts se déclenchent, et chacun mérite d’être connu, parce qu’ils expliquent la plupart des atterrissages involontaires.
Le premier est celui du navigateur. Quand la chaîne saisie ressemble à une adresse, il tente de la compléter et de s’y rendre directement. Quand elle ressemble davantage à une recherche, il l’envoie au moteur de recherche configuré par défaut. La frontière entre ces deux comportements est floue et varie d’un navigateur à l’autre, ce qui explique qu’une même saisie ne produise pas le même résultat sur deux appareils.
Le deuxième est celui de l’historique. Un navigateur propose en priorité les adresses déjà visitées. C’est commode, sauf le jour où l’on a visité une fois un site douteux : il remonte alors dans les suggestions au même titre que les autres, avec l’apparence de familiarité que cela procure.
Le troisième est le seul qui soit intentionnel, et c’est celui qui pose problème. Des noms de domaine très proches de ceux des services populaires sont enregistrés précisément pour capter les erreurs de saisie : lettre oubliée, lettre doublée, extension différente. La pratique porte un nom, le typosquattage, et elle est aussi ancienne que le commerce en ligne. Les services d’intelligence artificielle en sont devenus une cible privilégiée : dans les mois qui ont suivi la popularisation de ces outils, plusieurs éditeurs de solutions de sécurité ont publié des relevés d’enregistrements de noms de domaine reprenant leurs marques, dont une part a été classée comme malveillante après analyse.
Tous ces domaines voisins ne sont pas dangereux — beaucoup ne sont que des pages vides ou des espaces publicitaires. Le problème tient à ce qu’il est impossible de le savoir avant d’y être.
L’adresse officielle, et pourquoi d’autres circulent encore
L’adresse actuelle du service est chatgpt.com. C’est celle qu’il faut saisir, mettre en favori et transmettre.
La confusion vient d’un déménagement. Le service a longtemps été accessible depuis une sous-adresse du site de son éditeur, chat.openai.com, avant d’être transféré en mai 2024 vers son adresse propre. L’ancienne redirige vers la nouvelle, mais elle est restée dans d’innombrables articles, tutoriels et favoris jamais mis à jour, ce qui entretient l’idée qu’il existerait plusieurs versions du service. Un troisième nom s’est ajouté depuis : chat.com, un domaine très court racheté par l’éditeur, qui redirige lui aussi vers le service. Aucun changement de nom n’a été annoncé pour autant : il s’agit d’une adresse d’appoint.
| Adresse | Ce que c’est | Ce qu’il faut en faire |
|---|---|---|
| chatgpt.com | L’adresse actuelle du service, depuis la migration de mai 2024 | La saisir, la mettre en favori, la transmettre |
| chat.openai.com | L’adresse historique du service, sous-domaine du site de l’éditeur | Redirige toujours, mais mieux vaut mettre son favori à jour |
| chat.com | Domaine court racheté par l’éditeur, qui redirige vers le service | Légitime, sans être le nom du service |
| openai.com | Le site institutionnel de l’entreprise : annonces, documentation, offres | Légitime, mais ce n’est pas l’endroit où l’on utilise l’outil |
| Toute autre variante, notamment avec une extension différente | Sans lien technique établi avec les adresses ci-dessus | À ne pas assimiler à l’officielle, quelle que soit son apparence |
Retenez le principe de fond : une adresse légitime peut vous rediriger vers une autre adresse légitime, mais vous devez toujours pouvoir vérifier où vous avez atterri.
Comprendre les extensions de domaine sans jargon
L’extension, c’est ce qui suit le dernier point d’une adresse : .com, .fr, .org, .net, .co et quelques centaines d’autres.
La chose essentielle tient en une phrase : deux adresses identiques avec des extensions différentes sont deux adresses sans aucun rapport entre elles. Elles peuvent appartenir à deux organisations qui n’ont jamais entendu parler l’une de l’autre. Rien, techniquement, ne relie un .com à son homologue en .co, en .net ou en .info — pas plus qu’un numéro de téléphone ne ressemble à un autre parce qu’il en partage les premiers chiffres.
Certaines extensions sont visuellement très proches de celles que l’on attend, et .co en est l’exemple le plus courant, à une lettre du .com dominant. Une saisie rapide, un doigt qui glisse, et l’on se retrouve ailleurs sans l’avoir voulu.
Les grandes entreprises réservent souvent elles-mêmes les variantes les plus évidentes de leur nom pour éviter ce détournement, et les font rediriger vers leur adresse principale. Cette pratique n’a toutefois rien de systématique et ne couvre jamais l’ensemble des combinaisons possibles. Une adresse voisine peut donc parfaitement appartenir à un tiers, aujourd’hui ou demain : un nom de domaine se revend, et le contenu qu’il héberge peut changer du jour au lendemain. Une adresse jugée inoffensive il y a six mois ne l’est pas nécessairement aujourd’hui.
Reconnaître un site qui imite le service
Les imitations sont devenues soignées. Le logo est le bon, la mise en page est fidèle, les couleurs sont respectées : l’apparence ne prouve plus rien. La vérification doit donc porter ailleurs.
La barre d’adresse reste le point de contrôle le plus fiable, à condition de la lire correctement. Ce qui compte est la partie située juste avant la première barre oblique, et non le début de l’adresse, que n’importe qui peut composer pour rassurer. Une adresse qui commence par le nom attendu mais se poursuit par un autre domaine est un signal sans ambiguïté : le nom d’un service placé en début d’adresse ne dit rien de l’endroit où vous vous trouvez réellement.
Le cadenas et le protocole sécurisé ne sont pas des preuves de légitimité. Ils indiquent que la connexion est chiffrée, rien de plus : un site frauduleux obtient un certificat sans difficulté particulière. Un cadenas sur une mauvaise adresse reste une mauvaise adresse.
Une connexion demandée sans raison
Une page vous propose de vous identifier avec un compte tiers alors que vous veniez seulement consulter. L’objectif n’est pas de vous connecter mais de récupérer un couple identifiant et mot de passe réutilisable ailleurs. Un service légitime ne demande une authentification qu’au moment où elle devient nécessaire.
Un téléchargement à installer
Une invitation à installer un logiciel ou une extension de navigateur pour accéder à un service qui fonctionne dans le navigateur. C’est le vecteur classique de diffusion de programmes malveillants : l’installation contourne toutes les protections du navigateur, qui isole normalement les sites les uns des autres.
Un paiement immédiat exigé
Une pression au paiement pour un accès présenté comme gratuit ailleurs, souvent avec une durée limitée affichée. Le montant importe moins que ce qu’il permet de collecter : un numéro de carte valide, exploitable bien au-delà de la transaction annoncée.
Un dernier vecteur mérite un traitement à part, parce qu’il ne relève pas de la faute de frappe : les résultats sponsorisés. En haut d’une page de résultats, les premières lignes sont fréquemment des emplacements publicitaires, signalés par une mention discrète du type « annonce » ou « sponsorisé ». Ces emplacements s’achètent, y compris sur le nom d’un service que l’annonceur n’édite pas. Le réflexe utile consiste à repérer cette mention et à descendre jusqu’au résultat naturel, ou plus simplement à saisir l’adresse directement.
Le réglage qui règle le problème une fois pour toutes
Vérifier à chaque visite fonctionne, mais repose entièrement sur l’attention, laquelle baisse quand on est pressé. Deux mesures durables valent mieux qu’une vigilance permanente.
La première est le favori. Rendez-vous une fois sur l’adresse officielle, vérifiez-la lettre par lettre, enregistrez-la, et passez systématiquement par ce favori ensuite. Vous ne tapez plus rien, donc vous ne vous trompez plus. Profitez-en pour supprimer les anciens favoris pointant vers des adresses obsolètes, qui finissent par créer de la confusion.
La seconde est plus efficace encore : un gestionnaire de mots de passe. Ces outils enregistrent chaque identifiant en l’associant au nom de domaine exact où il a été créé, et ne proposent le remplissage automatique que sur ce domaine. Sur un site sosie, même parfaitement imité, le gestionnaire ne propose rien — parce qu’à ses yeux, il s’agit d’un site inconnu. Cette absence de remplissage automatique est l’un des signaux d’alerte les plus fiables qui soient, et il fonctionne au moment exact où vous alliez vous tromper.
Un gestionnaire de mots de passe n’est pas une protection absolue : il ne dit rien de la fiabilité d’un site sur lequel vous n’avez jamais eu de compte, et il ne vous empêche pas de saisir un mot de passe à la main. Il indique une chose, précieuse : le domaine affiché n’est pas celui où vous vous étiez identifié la dernière fois. Cela suffit à interrompre le geste.
Les applications mobiles et les fausses offres d’abonnement
Le problème se déplace sur les magasins d’applications, où la vigilance est souvent moindre parce que l’environnement paraît contrôlé.
Deux vérifications suffisent la plupart du temps. Regardez le nom de l’éditeur affiché sous le titre de l’application, et non le nom de l’application elle-même : les imitations reprennent le nom du service, mais elles ne peuvent pas usurper indéfiniment l’identité de l’éditeur. Comparez ensuite avec le lien de téléchargement figurant sur le site officiel du service, qui pointe vers la bonne fiche.
Le second piège concerne les offres payantes. Le service est accessible gratuitement, avec des formules payantes proposées par l’éditeur pour un usage plus large. Cette configuration est exploitable telle quelle : des applications tierces facturent un abonnement, parfois élevé et reconduit automatiquement, pour un accès qui ne leur appartient pas. Une formule payante officielle se souscrit depuis le service lui-même, jamais par un intermédiaire qui vous démarche.
Les avis affichés sur une fiche d’application n’offrent aucune garantie. Une note flatteuse s’achète, et les commentaires les plus instructifs sont souvent ceux, minoritaires et récents, qui signalent un prélèvement inattendu. Prenez l’habitude de trier les avis du plus récent au plus ancien plutôt que de vous fier à la moyenne.
Que faire si vous avez saisi vos identifiants
Cela arrive, y compris à des gens attentifs. Seule compte alors la rapidité de la réaction.
-
1. Changer le mot de passe du compte concerné
Depuis l’adresse officielle du service, saisie vous-même, et surtout pas depuis la page sur laquelle vous vous trouviez. Si vous ne parvenez plus à vous connecter, utilisez la procédure de réinitialisation par courriel.
-
2. Activer la double authentification
Elle rend un mot de passe volé nettement moins exploitable, puisqu’un second élément est exigé à la connexion. Si elle était déjà active, vérifiez la liste des appareils et sessions connectés et déconnectez ceux que vous ne reconnaissez pas.
-
3. Traiter tous les comptes qui partagent ce mot de passe
C’est la conséquence la plus fréquente et la plus sous-estimée d’une fuite d’identifiants : ce n’est pas le compte visé qui pose problème, ce sont tous les autres où la même combinaison fonctionne. Commencez par votre messagerie, qui commande la réinitialisation de tous les autres services.
-
4. Sécuriser le volet bancaire et l’appareil
Si vous avez transmis des coordonnées bancaires, contactez votre banque pour faire opposition et surveillez les prélèvements des semaines suivantes, en particulier les petits montants récurrents, plus discrets qu’un débit unique. Si vous avez installé un logiciel ou une extension proposée par le site, désinstallez-la et lancez une analyse antivirus.
-
5. Signaler l’adresse frauduleuse
La France dispose de dispositifs publics dédiés au signalement des contenus illicites en ligne et à l’assistance aux victimes d’actes de cybermalveillance, qui orientent selon la situation et le préjudice. Le service imité dispose de son côté d’un canal de signalement des usurpations, généralement accessible depuis ses pages d’aide.
Quelle est la vraie adresse de ChatGPT ?
C’est chatgpt.com. L’adresse historique chat.openai.com redirige vers elle depuis la migration de mai 2024, et chat.com, domaine court racheté par l’éditeur, redirige également. À ne pas confondre avec openai.com, qui est le site institutionnel de l’entreprise et non l’endroit où l’on utilise l’outil.
Un site en .co est-il le même qu’un site en .com ?
Non. Deux adresses identiques dont seule l’extension diffère sont deux adresses sans aucun rapport technique, qui peuvent appartenir à deux organisations distinctes. Les entreprises réservent souvent les variantes les plus évidentes de leur nom pour les faire rediriger, mais cette pratique n’a rien de systématique et un nom de domaine peut changer de mains.
Le cadenas dans la barre d’adresse garantit-il que le site est fiable ?
Non. Il indique seulement que la connexion est chiffrée : un site frauduleux peut obtenir un certificat sans difficulté. Un cadenas sur une mauvaise adresse reste une mauvaise adresse. Le seul contrôle qui compte est la lecture du nom de domaine, juste avant la première barre oblique.
Comment reconnaître une fausse application mobile ?
Regardez le nom de l’éditeur affiché sous le titre, et non le nom de l’application, que n’importe qui peut reprendre. Comparez ensuite avec le lien de téléchargement figurant sur le site officiel du service, qui pointe vers la bonne fiche. Les avis et les notes ne prouvent rien : une note flatteuse s’achète.
Faut-il payer pour utiliser le service ?
Un accès gratuit existe, assorti de formules payantes proposées par l’éditeur pour un usage plus large. C’est précisément cette configuration qu’exploitent certaines applications tierces, qui facturent un abonnement souvent reconduit automatiquement pour un accès qui ne leur appartient pas. Une formule payante officielle se souscrit depuis le service lui-même.
Comment être sûr de ne plus me tromper d’adresse ?
Enregistrez l’adresse officielle en favori depuis une session dont vous êtes certain, et passez toujours par ce favori. Utilisez par ailleurs un gestionnaire de mots de passe : il n’associe vos identifiants qu’au domaine exact où ils ont été créés, et ne propose aucun remplissage automatique sur un site sosie, même parfaitement imité.
Que faire si j’ai saisi mon mot de passe sur un faux site ?
Changez d’abord ce mot de passe depuis l’adresse officielle du service, puis activez la double authentification. Passez ensuite à tous les autres comptes où le même mot de passe était utilisé, en commençant par votre messagerie, qui commande la réinitialisation des autres services. En cas de coordonnées bancaires transmises, contactez votre banque et surveillez les prélèvements récurrents de petits montants.
Pourquoi mon ancien lien vers le service ne ressemble-t-il plus à ce que je connaissais ?
Parce que le service a déménagé d’une sous-adresse du site de son éditeur vers son adresse propre en mai 2024. L’ancienne adresse redirige, mais elle reste présente dans quantité d’articles, de tutoriels et de favoris jamais mis à jour, ce qui entretient l’idée qu’il existerait plusieurs versions du service.
Une adresse se vérifie en trois secondes et se met en favori une seule fois : c’est le rapport effort-résultat le plus favorable de toute l’hygiène numérique.