Faux sites administratifs : reconnaître les sites officiels marocains (gov.ma) et éviter le piège

Zineb doit réserver un créneau pour l’examen du permis de conduire. Elle cherche sur Internet et tombe sur un site avec le logo de l’Agence nationale de la sécurité routière (NARSA), ses couleurs et une rubrique « Services ». Elle remplit un formulaire avec ses données personnelles, puis la page lui demande de régler des « frais de réservation » par carte bancaire.

L’adresse en haut de la page était narsa-govt[.]site. En avril 2026, l’agence elle-même a mis en garde contre exactement ce site : un faux site qui usurpe son nom et son identité visuelle afin de collecter les données personnelles et sensibles des utilisateurs.

Pourquoi imite-t-on les sites administratifs ?

• La confiance : on fait confiance à l’administration, donc on ne se méfie pas d’un site qui porte son logo.
• Le besoin : on a réellement besoin de ces services (amendes, rendez-vous, documents, aides), et on les cherche soi-même.
• Des informations sensibles : les sites administratifs demandent naturellement le numéro de CIN, l’adresse, parfois un paiement. L’escroc récupère tout d’un coup.
• L’urgence : « dernier délai », « amende majorée », « saisie administrative », comme dans l’arnaque des faux SMS d’amende routière.

La règle d’or : .gov.ma

Le 3 avril 2026, à l’occasion de la campagne de faux SMS d’amendes, la Direction générale de la sécurité des systèmes d’information (DGSSI) a rappelé que l’ensemble des sites officiels de l’État marocain sont hébergés sous le domaine .gov.ma, selon Le360.

Attention toutefois : il ne suffit pas de voir « gov.ma » quelque part dans l’adresse. L’adresse doit se terminer par .gov.ma, juste avant le premier « / ».

Comment lire une adresse web

Prenons cette adresse officielle : https://amendes.justice.gov.ma/paiement

• La partie importante est ce qui vient après « https:// » et avant le premier « / » : ici amendes.justice.gov.ma.
• Lisez-la en partant de la fin : .ma, puis .gov, puis justice, puis amendes. Le domaine se termine par .gov.ma : site officiel.

Voici maintenant des exemples d’adresses fausses, qui contiennent toutes les bons mots mais ne sont pas officielles :

Adresse	Pourquoi elle est fausse
amendes-justice-gov[.]lat	Se termine par .lat et non .gov.ma (site signalé par le ministère de la Justice en avril 2026)
narsa-govt[.]site	Se termine par .site (signalé par la NARSA en avril 2026)
justice.gov.ma.paiement-amende[.]com	Le vrai domaine ici est paiement-amende[.]com
justice-gov-ma[.]com	Des tirets au lieu de points : un domaine .com ordinaire

Une exception importante : certains sites officiels ne finissent pas par .gov.ma

Soyons honnêtes : certains services officiels plus anciens ou certains établissements publics utilisent encore des adresses en .ma classique. Par exemple :

• Le ministère de la Justice recommande le portail mahakim.ma pour ses autres services électroniques, à côté d’amendes.justice.gov.ma pour le paiement des amendes.
• La NARSA a indiqué dans sa mise en garde que ses sites officiels sont www.narsa.ma et perminou.narsa.gov.ma.

La règle pratique est donc :

• Une adresse qui se termine par .gov.ma = un signal fort de site officiel.
• Une autre adresse en .ma = peut être officielle, mais vérifiez que c’est bien l’adresse annoncée par l’organisme lui-même (dans ses communiqués, ou sur un portail officiel en .gov.ma qui y renvoie).
• Toute autre extension (.site, .lat, .top, .online, .com pour un site « administratif »…) = danger.

Les services qui méritent une vigilance particulière

Certains services sont imités plus que d’autres, parce qu’on en a besoin vite ou qu’ils touchent à l’argent. Redoublez de prudence pour :

• le paiement des amendes et contraventions ;
• la prise de rendez-vous : examen du permis de conduire, documents administratifs, rendez-vous consulaires ;
• l’inscription à des programmes d’aide ou à des « indemnisations » ;
• les impôts, taxes et redevances ;
• les résultats d’examens et de concours et les inscriptions.

Dans tous ces cas, l’organisme officiel annonce son site et son application dans ses communiqués : commencez par là. Et si vous utilisez un service régulièrement, enregistrez son adresse officielle dans vos favoris ou installez son application officielle, pour ne pas avoir à le chercher à chaque fois.

Les autres signaux d’alerte

• Vous êtes arrivé sur le site via un lien reçu par SMS, WhatsApp ou une publicité, et non en tapant l’adresse vous-même.
• Le site exige un paiement immédiat pour un service dont vous ignorez qu’il est payant, ou réclame un code OTP bancaire.
• Des fautes ou un design approximatif (même si certains faux sites sont très soignés).
• Des demandes excessives : photo recto verso de la CIN, selfie, données complètes de la carte bancaire.
• Le site est apparu comme résultat « sponsorisé » dans la recherche, comme expliqué dans l’article les faux résultats sponsorisés.

Pas à pas : accéder au service officiel en toute sécurité

1. Tapez l’adresse vous-même dans la barre du navigateur, si vous la connaissez.
2. Sinon, trouvez-la dans les communiqués officiels de l’organisme, ou sur un portail gouvernemental officiel en .gov.ma qui y renvoie, plutôt que de vous fier au premier résultat de recherche.
3. Ajoutez l’adresse à vos favoris après une première visite vérifiée.
4. Avant de saisir quoi que ce soit, relisez l’adresse en partant de la fin, comme expliqué ci-dessus.
5. Utilisez les applications officielles citées par les organismes (comme l’application « Infractions Routières » mentionnée par la DGSSI), téléchargées depuis la boutique officielle.
6. Ne saisissez jamais vos données bancaires sur un site dont vous n’êtes pas sûr de l’origine, comme le recommande la DGSSI.

Et les pages « officielles » sur les réseaux sociaux ?

Les escrocs n’imitent pas seulement les sites, mais aussi les pages des administrations sur Facebook, X ou Instagram : même nom, même photo, et des publications sur une « aide » ou une « indemnisation » avec un lien. Avant de faire confiance à une page, vérifiez son nombre d’abonnés et sa date de création, et assurez-vous que le site officiel de l’administration y renvoie. Ne cliquez pas sur les liens des publications pour saisir vos informations : allez vous-même sur le site officiel.

Que faire si vous avez saisi vos informations sur un faux site ?

1. Données bancaires : appelez immédiatement votre banque pour bloquer la carte, et signalez si vous avez donné un code OTP.
2. Numéro ou photo de CIN : méfiez-vous de tout contact ultérieur qui utiliserait ces informations, et conservez des preuves (captures d’écran, adresse du site).
3. Mot de passe : changez-le sur le site officiel et partout où vous utilisez le même.
4. Prévenez l’organisme concerné via ses canaux officiels : c’est lui qui publie les alertes pour protéger les autres.
5. Signalez les faits à la police ou à la gendarmerie, ou via la plateforme « E-Blagh » de la DGSN (dgsn.gov.ma).

L’essentiel à retenir

• Les sites officiels de l’État se terminent par .gov.ma, selon la DGSSI.
• Lisez l’adresse en partant de la fin : ce qui précède le premier « / » doit se terminer par .gov.ma.
• Certains organismes utilisent un .ma classique : vérifiez que c’est l’adresse qu’ils annoncent eux-mêmes.
• Le cadenas ne prouve pas qu’un site est officiel.
• Tapez l’adresse ou passez par vos favoris, jamais par les liens de messages ou les publicités.

Sources

• Le360 : Fausses amendes routières, la DGSSI alerte sur une campagne de SMS frauduleux (3 avril 2026)
• FNH : Phishing, la NARSA alerte sur un faux site usurpant son identité (27 avril 2026)
• Le Matin : Amendes, le ministère de la Justice alerte sur un faux site de paiement (5 avril 2026)