Vous avez reçu un mail DGFiP et vous doutez de son authenticité ? Depuis le 17 août 2026, l’administration notifie individuellement les personnes concernées par la fuite de données de juin et juillet — et les imitations sont arrivées dans la foulée. Résultat : le vrai message et les faux circulent en même temps, dans la même boîte de réception.
Voici la méthode que nous appliquons pour trancher, dans l’ordre où il faut la dérouler. Elle prend trois minutes et ne demande aucune compétence technique particulière.
Dernière mise à jour : 21/08/2026.
Sommaire
Test 1 : le mail DGFiP authentique ne contient aucun lien
Le courriel de notification envoyé depuis le 17 août ne comporte aucun lien cliquable. C’est volontaire, et c’est le premier filtre à appliquer.
Un message qui se présente comme l’alerte officielle et vous invite à cliquer pour « vérifier votre situation », « confirmer vos coordonnées » ou « consulter les données concernées » est frauduleux. Sans exception, et sans qu’il soit nécessaire d’examiner autre chose.
Ce test suffit dans la grande majorité des cas. Les suivants servent pour les messages qui ne relèvent pas de la notification — relance, remboursement, mise en demeure.
Test 2 : le domaine de l’expéditeur
Deux adresses officielles, à ne pas confondre. Les courriels de l’administration fiscale proviennent exclusivement du domaine @dgfip.finances.gouv.fr. Le site officiel, lui, est impots.gouv.fr — c’est la seule adresse à saisir dans votre navigateur. La DGFiP l’énonce elle-même : un message estampillé à son nom mais expédié depuis un autre domaine est frauduleux.
Un faux message cite souvent le vrai site dans son texte tout en étant envoyé depuis un domaine sans rapport. Ce qui compte n’est donc pas ce qui est écrit dans le corps du message, mais l’adresse réelle de l’expéditeur et la destination réelle des liens.
La règle vaut au-delà du fisc : impots.gouv.fr pour votre dossier fiscal, cybermalveillance.gouv.fr pour signaler un incident. Inutile de retenir une liste — retenez l’extension. Un service de l’État se termine par .gouv.fr, à de très rares exceptions près comme service-public.fr.
Attention à la lecture du domaine, car c’est là que se joue la tromperie. Ce qui compte est le bloc situé juste avant le premier slash, et plus précisément les deux derniers éléments avant l’extension. Quelques exemples de ce qui circule :
- impots-gouv.fr — un tiret remplace le point : ce n’est pas un domaine de l’État.
- impots.gouv.fr.securite-fiscale.com — le vrai domaine est ici securite-fiscale.com, tout ce qui précède n’est qu’un sous-domaine décoratif.
- dgfip-finances.fr ou impots-remboursement.fr — plausibles, mais sans .gouv.fr.
- Un lien raccourci, qui masque entièrement la destination.
Sur ordinateur, survolez le lien sans cliquer : la destination réelle s’affiche en bas de la fenêtre. Sur mobile, un appui long ouvre un aperçu de l’adresse.
Test 3 : lire l’en-tête réel du message
Le nom et l’adresse affichés par votre messagerie se falsifient sans difficulté. L’en-tête technique, lui, ne se falsifie pas de la même façon — il contient le résultat des vérifications d’authenticité effectuées automatiquement à la réception.
Pour y accéder :
- Gmail : ouvrez le message, menu ⋮ en haut à droite, puis « Afficher l’original ».
- Outlook : ouvrez le message, Fichier puis Propriétés, section « En-têtes Internet ».
- Sur la plupart des webmails, la fonction s’appelle « afficher la source » ou « en-têtes complets ».
Trois lignes vous intéressent : SPF, DKIM et DMARC. Elles doivent afficher PASS. Vérifiez ensuite que le domaine associé à ces vérifications est bien celui de l’administration, et non un domaine tiers.
Un point souvent mal compris : un résultat PASS prouve seulement que le message vient réellement du domaine indiqué. Si ce domaine est impots-remboursement.fr, le message est parfaitement authentifié — et parfaitement frauduleux. L’authentification ne remplace pas le test 2, elle le complète.
Test 4 : le mail DGFiP avec pièce jointe officielle
Une variante répandue joint au message un document PDF reproduisant un courrier administratif, avec en-tête de la DGFiP, du ministère ou de l’Inspection générale des finances, un tampon, une signature et le nom d’un agent. Tout y est faux, y compris l’agent.
Deux repères simples. La direction générale n’adresse jamais de message personnel aux contribuables : un courriel signé de la directrice générale est un faux. Et une pièce jointe n’authentifie rien — un PDF se fabrique en dix minutes.
Test 5 : ce que la DGFiP ne demande jamais
Ce critère tranche sans aucune analyse technique. L’administration fiscale ne sollicite jamais, par courriel ni par téléphone :
- un numéro de carte bancaire, ni pour payer un impôt, ni pour verser un remboursement ;
- des coordonnées bancaires ou un RIB en réponse à un message ;
- des données personnelles en dehors de l’espace sécurisé en ligne ;
- pour les professionnels : des informations sur les factures, les fournisseurs ou les contacts financiers.
Un remboursement d’impôt est versé automatiquement sur le compte déjà connu de l’administration. Personne ne vous demandera de le « débloquer ».
Les deux scénarios en circulation actuellement
La récompense. Un trop-perçu, un crédit d’impôt, un remboursement à réclamer. Il suffit de saisir un RIB ou des identifiants bancaires sur une page aux couleurs de l’administration. C’est la variante la plus efficace, parce qu’elle ne déclenche aucune méfiance.
La menace. Des arriérés, une accusation de fraude fiscale, l’annonce d’un huissier, d’une amende ou de poursuites. Le levier est la peur et l’urgence. Ici, le signal le plus fiable reste le moyen de paiement demandé : virement vers un compte étranger, carte prépayée, application de paiement instantané ou crypto-actifs.
Depuis la fuite, ces deux scénarios s’appuient sur des données réelles : votre revenu fiscal de référence, votre nombre de parts, votre adresse. Nous détaillons ce basculement dans notre dossier sur les arnaques qui suivent la fuite DGFiP.
Que faire d’un faux mail DGFiP
- Ne cliquez pas, ne répondez pas, n’ouvrez pas la pièce jointe.
- Pour vérifier votre situation, tapez vous-même impots.gouv.fr et consultez votre messagerie sécurisée.
- Signalez le message sur Signal Spam, et le site frauduleux sur PHAROS.
- La DGFiP met à disposition un numéro vert dédié aux tentatives d’escroquerie : 0 805 805 817.
- En cas de doute sur un courrier ou un courriel à en-tête officiel, contactez votre centre des finances publiques, dont les coordonnées figurent sur vos avis d’impôt.
Si vous avez déjà cliqué ou saisi des informations
Faites opposition immédiatement si vous avez communiqué des données bancaires. Changez le mot de passe concerné, et partout où vous le réutilisez. Déposez plainte, puis contestez formellement toute opération non autorisée auprès de votre banque.
Le fait d’avoir été trompé ne fait pas obstacle au remboursement : le code monétaire et financier pose un principe de restitution des opérations non autorisées, la banque devant démontrer votre négligence grave pour le refuser. Le délai de contestation est de treize mois à compter du débit. Nous détaillons ces recours dans notre dossier sur la fuite DGFiP.
Questions fréquentes sur le mail DGFiP
L’administration fiscale n’utilise que le domaine @dgfip.finances.gouv.fr, et ses sites se terminent par .gouv.fr. Tout message présenté comme émanant de la DGFiP mais expédié depuis un autre domaine est frauduleux.
Non. Le courriel officiel envoyé depuis le 17 août 2026 ne comporte aucun lien cliquable. Un message se présentant comme cette notification et vous invitant à cliquer est une tentative d’hameçonnage.
Dans Gmail, ouvrez le message puis « Afficher l’original » ; dans Outlook, Fichier puis Propriétés. Vérifiez que SPF, DKIM et DMARC affichent PASS, et surtout que le domaine authentifié est bien celui de l’administration. Un message frauduleux peut être authentifié pour son propre domaine.
Signalez le message sur Signal Spam et le site frauduleux sur PHAROS. La DGFiP met également à disposition un numéro vert dédié aux tentatives d’escroquerie, le 0 805 805 817.
Non. L’administration ne demande jamais de coordonnées bancaires, de numéro de carte ni de données personnelles par courriel ou par téléphone. Un remboursement est versé automatiquement sur le compte déjà connu de l’administration.
Sources : consignes de sécurité et page « Courriels et SMS frauduleux » publiées sur impots.gouv.fr ; alertes de Cybermalveillance.gouv.fr sur l’hameçonnage aux couleurs des impôts ; communiqué de presse du ministère de l’Économie et des Finances du 14 août 2026. Les schémas décrits proviennent des dossiers traités par nos équipes.
Vous avez transmis des informations ou des fonds à la suite d’un message frauduleux ? Nos équipes analysent votre situation et vous indiquent les recours mobilisables. Demander une assistance.
