Accueil › Les risques › Boutique en ligne usurpée
Un site à votre nom, vos photos, votre design, un domaine à une lettre près. Il vend des produits que vous ne verrez jamais, encaisse l'argent de vos clients — et ce sont vos avis Google qui s'effondrent. Ce scénario touche des commerçants de toutes tailles, et particulièrement les plus petits.
Un artisan de Saint-Symphorien, en Gironde, a vécu la situation dans sa forme la plus brutale. Des escrocs utilisaient sa marque sur Facebook pour vendre des produits qu'ils ne livraient jamais. Les clients trompés se sont retournés contre lui. « On m'a dit : si tu ne me rembourses pas, je brûle ta maison », a-t-il raconté à la presse locale — un cas documenté par Orange Cyberdefense, qui cite l'article publié dans Le Républicain Sud-Gironde en septembre 2022.
Il n'avait rien fait de mal. Il n'avait même pas été piraté. Son seul tort était d'exister et d'avoir une clientèle.
Vous pouvez être victime de ce scénario même si vous n'avez aucun site internet. Cybermalveillance.gouv.fr et FranceNum le soulignent tous deux : les cybercriminels ciblent particulièrement les petites entreprises sans présence en ligne, précisément parce que leurs clients n'ont aucun moyen de vérifier. Votre numéro SIRET, votre raison sociale et votre adresse sont publics : ils suffisent à construire une façade crédible.
Le contexte
Le dropshipping, ou « livraison directe », est un modèle de vente en ligne dans lequel le vendeur ne se charge que de la commercialisation : c'est son fournisseur, souvent installé dans un pays à bas coût de production, qui expédie directement la marchandise au client final. Le consommateur n'a généralement ni connaissance de l'existence du fournisseur, ni de son rôle.
Ce modèle est parfaitement légal, la DGCCRF le rappelle explicitement. Il permet de se lancer avec un investissement de départ faible : pas de stock, pas de logistique, pas de locaux. De nombreux commerçants honnêtes l'utilisent.
Le problème n'est pas le modèle. C'est qu'il attire massivement des opérateurs « à la recherche de gains faciles et rapides, rarement au fait de la réglementation ou peu scrupuleux », selon les termes mêmes de l'administration. Et parmi eux, certains ont compris qu'il était plus rentable de copier une boutique existante que d'en construire une.
En 2022, la DGCCRF a contrôlé 215 sites internet pratiquant le dropshipping. 116 étaient en anomalie, soit plus de la moitié. Les manquements relevés : pratiques commerciales trompeuses sur la disponibilité, l'origine ou les caractéristiques des produits ; absence ou fausseté des mentions d'identité du vendeur ; rédaction de faux avis, « présentée par certains vendeurs comme un usage courant dans le secteur et même conseillée lors des formations » ; clauses abusives ; vente de produits dangereux ou interdits.
Les suites : 26 avertissements, 67 injonctions, 22 procès-verbaux pénaux, 9 procès-verbaux administratifs, et 88 réquisitions numériques pour restreindre l'accès à des sites illicites. L'administration note un point qui vous concerne directement : certains vendeurs, « peu scrupuleux, n'ont pas hésité, après une réquisition numérique, à fermer le site internet concerné pour en créer un autre présentant les mêmes anomalies ».
Source : DGCCRF, enquête 2022, publiée le 23 novembre 2023. L'enquête a été reconduite en 2023.
Les techniques
FranceNum et Cybermalveillance.gouv.fr identifient plusieurs modes opératoires, souvent combinés dans une même opération.
Nom de domaine
L'escroc enregistre un domaine reprenant une faute de frappe prévisible : une lettre en moins, un tiret ajouté, une extension différente. Les techniques les plus élaborées utilisent des homoglyphes — des caractères visuellement identiques, comme la lettre O et le chiffre 0, ou des caractères étrangers sans point.
Nom de domaine
Un tiers enregistre un domaine identique ou proche de votre marque, soit pour détourner votre trafic, soit pour vous le revendre à prix prohibitif. Variante plus subtile relevée par Orange Cyberdefense : acheter un domaine correspondant au nom d'un de vos produits ou services plutôt qu'à votre marque elle-même — bien plus difficile à détecter, les combinaisons étant innombrables.
Contenu
Copie intégrale de l'apparence, de la structure et des contenus : vos photos produits, vos textes, votre charte graphique, parfois vos mentions légales et jusqu'à votre numéro SIRET. Le résultat est un site miroir quasi indiscernable de l'original. Techniquement, l'opération prend quelques heures.
Acquisition de trafic
C'est le facteur qui change tout. L'escroc n'attend pas d'être trouvé : il achète de la publicité en volume sur les réseaux sociaux et les moteurs de recherche. Comme il ne livre rien, il n'a ni coût de production, ni coût logistique — il peut donc surenchérir bien au-delà de ce que vous pouvez vous permettre.
Réseaux sociaux
Création de comptes ou de fiches d'établissement au nom de votre marque : Facebook, Instagram, TikTok, et jusqu'à la fiche Google Business. Le cas de l'entreprise SAV TP, vendeur de matériel de travaux publics dans les Côtes-d'Armor, documenté par FranceNum : usurpation pendant plusieurs mois via un faux site et de faux comptes, faute pour elle d'avoir eu une présence en ligne.
Zone grise
Plus difficile à qualifier : profiter de la notoriété d'une marque sans en copier directement les éléments. L'exemple type est l'achat du nom d'un concurrent comme mot-clé publicitaire pour apparaître avant lui. La cour d'appel de Paris a eu à statuer sur ce type de situation (arrêt du 26 mai 2017, n° 16/14841). Ce comportement peut sembler déloyal sans être systématiquement répréhensible : l'appréciation est au cas par cas.
Ce que vous perdez
L'injustice de cette fraude tient en une phrase : c'est vous qui payez, et c'est vous qu'on accuse.
Ils croient acheter chez vous. Ils paient. L'argent part chez l'escroc. Vous ne voyez rien passer : ni la commande, ni le paiement, ni le client. Orange Cyberdefense le formule ainsi : « les consommateurs sont trompés par ces sites frauduleux, ils croient acheter des produits authentiques, mais l'argent est détourné par les cybercriminels ».
Vous constatez un recul des ventes, une baisse du trafic, des paniers abandonnés. Vous cherchez du côté de la saisonnalité, de la concurrence, de votre référencement. Il peut s'écouler des semaines avant que vous ne compreniez, surtout si la fraude est bien menée. Plus elle dure, plus la perte est lourde.
C'est le point de bascule. Le produit n'arrive pas, ou arrive dans un état lamentable. Le client cherche à joindre le vendeur : le faux site ne répond pas, ou n'existe déjà plus. Alors il cherche votre nom — et il trouve vous, le vrai, avec un vrai téléphone et une vraie adresse. Il vous appelle. Il exige un remboursement pour un achat que vous n'avez jamais reçu.
Ceux qui ne vous joignent pas se vengent publiquement : avis à une étoile sur votre fiche Google, commentaires furieux sur vos réseaux sociaux, signalements sur les plateformes d'évaluation. Ces avis sont dévastateurs parce qu'ils sont sincères — leurs auteurs sont réellement des victimes, ils se trompent seulement de coupable. Et une note Google dégradée met des mois à se rétablir.
Répondre aux clients furieux, expliquer, prouver votre bonne foi, rassembler les preuves, faire les signalements, gérer les avis. Cybermalveillance.gouv.fr cite explicitement parmi les conséquences le « temps consacré à se justifier auprès des victimes trompées par le site frauduleux ». Pour un commerçant qui travaille seul ou à deux, c'est du chiffre d'affaires perdu en plus.
Orange Cyberdefense le signale : « si votre marque est associée à des pratiques frauduleuses, des clients mécontents peuvent intenter des actions en justice contre votre entreprise ». Même si vous n'êtes pas responsable, la gestion des conséquences légales engendre des coûts, du temps, et une fatigue morale que personne ne mesure.
N'oubliez pas votre propre exposition. La DGCCRF est catégorique : même s'il ne se charge pas de la livraison, le vendeur reste responsable de plein droit de la bonne exécution de la commande. Vous êtes responsable de la qualité, de la conformité et de la sécurité des produits vendus, et vous devez respecter l'ensemble des règles de la vente à distance.
Prévenir
Les quatre sources officielles convergent sur un point : une heure de travail préventif évite plusieurs semaines de crise. Voici les mesures, par ordre d'efficacité.
C'est la mesure la plus puissante, et la plus négligée. La réservation d'un nom de domaine ne vous confère aucune protection sur le plan de la propriété intellectuelle — FranceNum le précise explicitement. Seul le dépôt de marque fonde l'action en contrefaçon et renforce votre position dans les procédures de récupération de domaine.
La protection dure dix ans, renouvelable indéfiniment. Le tarif INPI démarre autour de 290 € pour une classe. Selon l'INPI, 90 % des procédures victorieuses en litige de nom de domaine s'appuient sur une marque enregistrée.
Votre domaine au singulier et au pluriel, avec et sans tiret, sur les extensions qui comptent : .fr, .com, .eu, .org, .net, .shop. Un enregistrement est possible jusqu'à dix ans d'avance. Privilégiez les extensions françaises gérées par l'AFNIC : en cas de litige, vous bénéficiez de procédures moins coûteuses et de l'application garantie du droit français.
Précision de l'INPI qui a son importance : seul un nom de domaine actif est opposable comme droit antérieur. Une variante réservée doit rediriger vers votre site, la simple réservation ne suffit pas.
Deux mécanismes recommandés par l'AFNIC, pour quelques dizaines d'euros : le .FR Lock, qui rend impossible tout transfert ou suppression sans votre autorisation explicite, et DNSSEC, qui protège contre l'empoisonnement de cache DNS. Activez également le renouvellement automatique et des alertes avant expiration.
Un domaine non renouvelé retombe dans le domaine public après trente jours de rédemption — et n'importe qui peut alors l'enregistrer.
L'AFNIC recense de nombreux cas où un salarié ou un prestataire a enregistré le domaine à son nom propre — parfois de bonne foi, pour « simplifier ». Interrogez la base Whois aujourd'hui pour vérifier que le titulaire, c'est vous. Si ce n'est pas le cas, engagez le transfert sans attendre : le titulaire est celui qui détient les droits.
Réservez le nom de votre commerce sur Facebook, Instagram, TikTok, LinkedIn, YouTube et X, et créez votre fiche Google Business — même sans les exploiter. Un faux profil se heurtera à un compte existant. C'est gratuit et cela « marque le territoire » numérique en votre nom.
Configurez des alertes Google gratuites sur votre dénomination entre guillemets, votre marque, votre nom de domaine et votre numéro SIRET. Vérifiez mensuellement vos avis Google et sur les plateformes d'évaluation : une plainte de client que vous ne reconnaissez pas est souvent le tout premier signal. Surveillez enfin les liens entrants dans vos statistiques de site.
Communiquez régulièrement vos coordonnées officielles et les signes d'authenticité : l'adresse exacte de votre site, vos mentions légales complètes, vos moyens de paiement habituels. Invitez-les à comparer soigneusement l'URL — une lettre manquante, un tiret ajouté, une extension différente. Un prix anormalement bas ou un paiement par virement direct doit les alerter.
Réagir
La rapidité est déterminante : chaque heure, ce sont davantage de clients trompés et de preuves qui disparaissent. Menez ces actions en parallèle, pas les unes après les autres.
Des captures d'écran horodatées de chaque page : l'URL doit être visible, et la date également — l'horloge du système suffit. Conservez l'adresse exacte du site, ses mentions légales, les messages de clients trompés. Si le préjudice est significatif, faites établir un constat par un commissaire de justice : son procès-verbal a force probante devant les tribunaux.
Utilisez un service Whois ou RDAP — lookup.icann.org pour les extensions génériques, le registre de l'AFNIC pour les .fr. Contactez ensuite leurs services de signalement d'abus (« abuse ») avec vos preuves et votre Kbis.
Distinction importante : agir sur les contenus relève de la LCEN et du règlement européen sur les services numériques ; agir sur le nom de domaine relève des procédures AFNIC ou UDRP. Ce sont deux démarches distinctes, souvent à mener ensemble.
Signalez l'adresse à Phishing Initiative et à Signal Spam. Une fois le signalement confirmé, l'adresse est transmise aux principaux navigateurs, qui afficheront un avertissement aux visiteurs. C'est l'action au meilleur rapport effort/effet, et elle produit ses résultats en quelques heures à quelques jours.
Signalez les comptes liés au site frauduleux aux plateformes concernées — réseaux sociaux, régies publicitaires, fiche Google. Identifiez le prestataire de paiement (PayPal, Stripe, Worldline, banque) et signalez-lui l'activité illicite : c'est souvent le levier le plus efficace, car il coupe le flux financier. Demandez enfin le déréférencement du site aux moteurs de recherche.
En commissariat, en brigade de gendarmerie, ou par écrit au procureur de la République. La plainte est souvent exigée par les hébergeurs pour traiter votre demande de fermeture, et elle est indispensable à toute action civile en réparation. Une pré-plainte peut se préparer en ligne.
C'est une crise de confiance : vos clients lésés ne savent pas que vous êtes victime. Bandeau d'alerte sur votre site, message épinglé sur vos réseaux, courriel à votre base clients. Un message simple suffit : « un site frauduleux usurpe notre identité, voici nos seules coordonnées officielles, voici ce que nous faisons ». Le silence est toujours pire.
Indiquez aux victimes qu'elles peuvent signaler les faits sur la plateforme THESEE du ministère de l'Intérieur.
Pour les extensions françaises, l'AFNIC propose SYRELI — 250 € HT, deux mois maximum, et l'avantage de pouvoir invoquer d'autres droits qu'une marque (dénomination sociale, nom commercial). Pour les .com et autres extensions génériques, la procédure UDRP de l'OMPI s'applique, à partir d'environ 1 500 dollars, mais elle exige d'invoquer une marque. L'AFNIC propose également une médiation gratuite.
Ces procédures ne permettent pas d'obtenir de dommages et intérêts : seule la voie judiciaire le permet.
Chiffre d'affaires et trafic avant et pendant, commandes annulées, avis négatifs publiés à tort, temps passé, frais engagés. Ce dossier se constitue dès les premières heures, pas au moment où vous décidez d'agir en justice. Votre expert-comptable peut vous aider à le chiffrer.
Cybermalveillance.gouv.fr propose une mise en relation avec des prestataires référencés ou labellisés ExpertCyber pour vous assister dans la collecte des preuves et les démarches de signalement. Pour les questions juridiques, un avocat spécialisé en droit du numérique ou un conseil en propriété industrielle est un investissement souvent rentable.
Ce que dit la loi
Ces qualifications sont cumulables. Un faux site de vente qui usurpe votre marque, collecte des données bancaires et encaisse des paiements peut réunir les quatre simultanément.
| Infraction | Texte | Peine encourue |
|---|---|---|
| Usurpation d'identité | Article 226-4-1 du code pénal | 1 an d'emprisonnement et 15 000 € d'amende |
| Contrefaçon de marque | Articles L. 713-2 et L. 713-3 du code de la propriété intellectuelle | 3 ans d'emprisonnement et 300 000 € d'amende |
| Escroquerie | Article 313-1 du code pénal | 5 ans d'emprisonnement et 375 000 € d'amende |
| Collecte frauduleuse de données personnelles | Article 226-18 du code pénal | 5 ans d'emprisonnement et 300 000 € d'amende |
Remarquez la deuxième ligne du tableau : la contrefaçon de marque n'est invocable que si votre marque est déposée. C'est aussi la qualification la plus souvent retenue en pratique, puisque le site usurpateur utilise généralement la marque dans son nom de domaine. Sans dépôt à l'INPI, vous perdez votre meilleur levier — juridique comme procédural.
Les pratiques commerciales déloyales sont des délits sanctionnés, pour une personne physique, de 300 000 € d'amende et deux ans d'emprisonnement, et pour une personne morale jusqu'à 1,5 million d'euros ou un montant proportionné à l'avantage tiré du délit. L'absence des informations précontractuelles obligatoires est passible d'amendes pouvant atteindre 3 000 € pour une personne physique et 15 000 € pour une personne morale.
La DGCCRF met en garde contre les « sites vendus clé en main » : vérifiez qu'ils incluent bien toutes les mentions obligatoires. Il n'existe aucun pack juridique miracle permettant de s'exonérer de la réglementation.
Sources
Toutes les informations de cette page proviennent de sources publiques identifiées. Nous vous encourageons à les consulter directement.
Dispositif national
Fiche réflexe « Usurpation d'identité professionnelle par un site Internet frauduleux », publiée en mai 2026 en partenariat avec la FEVAD, le ministère de l'Intérieur et l'ANSSI. Disponible aussi en PDF.
Consulter la fiche →DGCCRF
La fiche pratique de la DGCCRF : obligations du vendeur, informations précontractuelles, responsabilité de plein droit, pratiques commerciales déloyales et sanctions encourues.
Lire la fiche pratique →DGCCRF · Enquête
Les résultats détaillés de l'enquête menée en 2022 : nature des manquements, suites données, réquisitions numériques. Publié le 23 novembre 2023.
Voir les résultats →France Num
Le guide de France Num, avec les cas concrets d'entreprises françaises usurpées et le détail des techniques employées par les fraudeurs.
Lire le guide →INPI
L'Institut national de la propriété industrielle : dépôt de marque, recherche d'antériorité, et service de surveillance des dépôts et noms de domaine similaires.
inpi.fr →AFNIC
Le registre des extensions françaises : guide du titulaire, .FR Lock, DNSSEC, et les procédures de médiation, SYRELI et PARL EXPERT.
afnic.fr →Vous tenez une boutique en ligne dans le Libournais et vous vous demandez par où commencer ? Écrivez-nous. Nous ne vendons rien : nous vous aidons à faire le tri, gratuitement.
Cette page présente des informations générales à titre de sensibilisation. Elle ne constitue pas un conseil juridique et ne remplace pas l'analyse de votre situation par un avocat ou un conseil en propriété industrielle. Les procédures, tarifs et textes cités évoluent : vérifiez-les auprès des organismes concernés avant toute démarche.