Filtre anti-arnaques (Septembre 2026) : Pourquoi le projet français est finalement bloqué par l’Europe ?

C’est le coup de théâtre de l’été 2026.

Alors que les Français attendaient depuis des mois le déploiement d’un bouclier numérique censé les protéger des arnaques en ligne, la Commission européenne a jeté un pavé dans la mare.

Le décret qui devait officialiser le filtre national anti-arnaques pour septembre prochain est aujourd’hui gelé — et pour des raisons qui dépassent largement un simple désaccord administratif.

Retour sur un dossier complexe, à la croisée du droit européen, de la technique et de la cybersécurité du quotidien.

Qu’est-ce que le filtre national anti-arnaques ?

Tout commence avec la loi SREN — pour « sécuriser et réguler l’espace numérique » — promulguée en mai 2024.

Ce texte ambitieux visait à doter la France d’un arsenal législatif moderne face à la montée en puissance des escroqueries numériques.

Parmi ses mesures phares : la création d’un filtre national anti-arnaques, entièrement gratuit et accessible à tous.

L’idée, en apparence simple, répondait à un besoin criant.

Les chiffres parlent d’eux-mêmes.

Les tentatives de phishing ont explosé ces dernières années, ciblant aussi bien les internautes avertis que les publics les plus vulnérables — personnes âgées, primo-utilisateurs du numérique, familles peu habituées aux rouages d’internet.

Les pirates, eux, ne manquent pas d’imagination : faux sites des impôts, clones d’Ameli, imitations de plateformes bancaires ou de boutiques en ligne populaires…

Le terrain est miné.

Face à cette réalité, le filtre anti-arnaques devait fonctionner comme un filet de sécurité systématique.

Pas une solution miracle, mais une couche de protection supplémentaire, transparente pour l’utilisateur final.

L’État se positionne en garant, les opérateurs en relais, et les navigateurs en sentinelles. Sur le papier, l’architecture était cohérente.

Comment le dispositif devait-il fonctionner concrètement ?

Derrière la promesse politique se cachait une mécanique bien huilée, reposant sur plusieurs acteurs complémentaires.

L’Ofac au cœur du réacteur

L’Office anti-cybercriminalité — l’Ofac — était désigné comme la pièce maîtresse de ce dispositif.

Concrètement, cet office centralise les signalements remontés par les victimes, par les plateformes partenaires comme Cybermalveillance.gouv.fr, ou encore par des entités publiques et privées en veille permanente.

Chaque alerte est ensuite analysée, vérifiée, avant d’être traduite en action : une notification est envoyée au site frauduleux, accompagnée d’une demande de retrait immédiat.

C’est une approche par notification d’abord, blocage ensuite. Pragmatique, car elle ménage une fenêtre de réaction pour les cas où un site signalé par erreur aurait pu être inclus dans la liste noire.

Le « DNS menteur » : une technique controversée mais efficace

Si le site pirate ne donne pas suite dans un délai de quelques heures, la procédure montait d’un cran.

Le décret prévoyait d’obliger les fournisseurs d’accès à Internet — Orange, SFR, Bouygues Telecom, Free — ainsi que les éditeurs de navigateurs comme Chrome, Firefox ou Safari, à agir de concert.

Deux options étaient envisagées :

• le blocage pur et simple de l’accès au domaine frauduleux,
• l’affichage d’un avertissement visuel dissuasif — un écran rouge, impossible à ignorer, signalant à l’internaute qu’il s’apprête à atterrir sur un site potentiellement dangereux.

Cette technique, parfois appelée « DNS menteur », n’est pas nouvelle. Les antivirus et certains navigateurs y recourent déjà de manière autonome.

L’originalité du projet français résidait dans sa dimension étatique et systématique : imposer une règle commune à l’ensemble des acteurs présents sur le territoire.

C’est précisément là que le bât blesse.

Pourquoi Bruxelles a bloqué le décret à l’été 2026 ?

Le 25 juin 2026, la Commission européenne a publié ce que les juristes appellent un « avis circonstancié ».

Un instrument juridique qui n’est ni une opinion consultative ni une simple recommandation, mais bien un veto temporaire opposé à un texte national via la procédure TRIS (notification 2026/0113/FR).

Concrètement, cela signifie que la France ne peut pas publier son décret pendant au moins trois mois, le temps d’examiner les points de non-conformité identifiés.

Deux griefs majeurs ont été soulevés par la Commission, et ils ne sont pas anodins.

Premier grief : la violation du principe du « pays d’origine »

Le droit européen repose sur un principe cardinal pour les services numériques .

Une entreprise établie dans un État membre de l’UE n’est soumise qu’aux lois de cet État membre pour ses activités en ligne. Google est établie en Irlande ?

C’est la législation irlandaise qui lui est opposable, et non celle de chaque pays où ses services sont utilisés. Mozilla, développeur de Firefox, opère depuis les États-Unis mais dispose d’entités européennes dans plusieurs pays.

Or, le décret français voulait imposer ses règles de filtrage DNS à ces acteurs étrangers, au motif qu’ils fournissent des services aux internautes français.

Bruxelles a tranché : cette extension extraterritoriale est incompatible avec le cadre réglementaire européen.

La France peut légiférer pour les entreprises établies sur son sol, pas au-delà.

Second grief : le chevauchement avec la directive NIS 2

L’Union européenne n’a pas attendu la loi SREN pour s’attaquer à la cybersécurité.

La directive NIS 2 — entrée en application progressive depuis 2023 — établit déjà un cadre harmonisé pour la gestion des incidents de sécurité, les obligations des opérateurs d’importance vitale et la coopération entre États membres face aux cybermenaces.

Bruxelles craint qu’une législation nationale comme le filtre anti-arnaques ne vienne fragmenter ce cadre commun, en créant des règles locales redondantes ou, pire, contradictoires.

Le marché unique numérique repose sur l’idée qu’une entreprise qui se conforme aux exigences de NIS 2 ne devrait pas faire face, en plus, à une série d’obligations divergentes selon les pays où elle opère.

C’est le principe même de l’harmonisation européenne.

En clair : la publication du décret est gelée pour un minimum de trois mois. Le déploiement du filtre anti-arnaques en septembre 2026 est officiellement impossible.

Et maintenant ? Ce que cela change pour la France

L’avis circonstancié de la Commission ne signe pas la mort du projet.

Il impose cependant au gouvernement français de revoir sa copie, et les marges de manœuvre ne sont pas infinies.

Deux pistes se dessinent à ce stade.

La première consiste à restreindre le champ d’application du décret aux seuls acteurs établis sur le territoire national — ce qui reviendrait à exclure les grands navigateurs américains, et donc à amputer considérablement la portée du dispositif.

La seconde, plus ambitieuse, serait de porter le projet directement au niveau européen, dans le cadre d’un règlement ou d’une révision de NIS 2. Une voie cohérente sur le fond, mais dont le calendrier reste incertain.

Ce n’est pas la première fois qu’une initiative française de régulation numérique se heurte à l’échelon européen.

Néanmoins, ce blocage intervient dans un contexte particulièrement sensible.

La cybercriminalité ne ralentit pas, et les victimes de phishing ou d’arnaques en ligne n’ont que faire des procédures TRIS.

Comment se protéger en attendant ?

Puisque l’État ne sera pas en mesure d’automatiser votre sécurité à la rentrée 2026, la vigilance individuelle reste l’outil le plus immédiatement disponible.

Voici les réflexes essentiels à adopter, sans attendre la mise en place d’un quelconque dispositif institutionnel.

• Vérifiez systématiquement l’URL avant de saisir quoi que ce soit. Les sites frauduleux reproduisent fidèlement l’apparence des plateformes officielles — le design, les couleurs, les logos — mais ne peuvent pas usurper les noms de domaine légitimes. Un site se présentant comme celui des impôts français aura toujours pour adresse officielle impots.gouv.fr, jamais impots-gouv-connexion.net ou une variante du même acabit. Prenez dix secondes pour regarder la barre d’adresse avant de cliquer ou de taper votre mot de passe.
• Activez la double authentification (2FA) sur tous vos comptes sensibles. Cette mesure, encore trop peu répandue, constitue pourtant votre meilleure ligne de défense après un vol d’identifiants. Même si un pirate récupère votre mot de passe via un site de phishing, il ne pourra pas franchir la seconde étape d’authentification sans accéder physiquement à votre téléphone. Banques, messageries, réseaux sociaux, administrations : activez systématiquement cette option quand elle est proposée.
• Appuyez-vous sur les outils de protection déjà intégrés à vos navigateurs. Chrome, Firefox et Safari disposent tous de listes de blocage communautaires régulièrement mises à jour — parfois plus réactives que ce que préconisait le décret français. Des extensions comme uBlock Origin ajoutent une couche supplémentaire, filtrée par une communauté mondiale active. Les protections natives de Windows Defender ou du système macOS contribuent également à alerter sur les domaines malveillants connus.
• Signalez les tentatives d’arnaque sur Cybermalveillance.gouv.fr. Cette plateforme nationale reste opérationnelle et utile, indépendamment du sort du filtre anti-arnaques. Chaque signalement alimente les bases de données utilisées par l’Ofac et contribue à protéger d’autres internautes.

FAQ : vos questions sur le filtre anti-arnaques

• Le filtre anti-arnaques est-il définitivement abandonné ?

Non. L’avis circonstancié de la Commission européenne impose une pause, pas un arrêt définitif. Le gouvernement français dispose de trois mois pour retravailler son texte et le rendre compatible avec le droit de l’UE. Cela passe soit par une restriction du champ d’application aux acteurs établis en France, soit par une démarche portée directement à l’échelon européen. Le projet n’est donc pas mort — mais sa forme finale pourrait différer significativement de ce qui était annoncé.

• Qui devait gérer concrètement la liste des sites bloqués ?

L’Ofac — l’Office anti-cybercriminalité — était l’entité désignée pour centraliser les signalements, instruire les cas et maintenir à jour la liste noire des domaines frauduleux. C’est également lui qui notifiait les sites ciblés avant tout blocage, dans un souci de proportionnalité. Cet office reste actif et continuera à traiter les signalements via les canaux existants, indépendamment du gel du décret.

• Les navigateurs comme Chrome ou Firefox bloquent-ils déjà les sites frauduleux ?

Oui, et souvent avec une efficacité notable. Google Safe Browsing — intégré dans Chrome et utilisé par Firefox — analyse en temps réel des milliards d’URL et alerte les utilisateurs face aux domaines malveillants connus. Ces systèmes privés fonctionnent de manière autonome et indépendante du cadre légal français. C’est précisément cette dépendance à des acteurs privés étrangers que le filtre national visait à corriger — et c’est aussi ce qui a rendu sa conception juridiquement complexe.