Un faux installateur ressemble souvent à la vraie chose : même nom, même logo, parfois même numéro de version. Il suffit d’un lien reçu dans une conversation ou d’un résultat de recherche mal choisi pour l’ouvrir. Ce guide propose des vérifications générales, valables pour n’importe quel jeu, avant de lancer un fichier téléchargé.
Vérifier le domaine
Commence par l’adresse du site, pas par son apparence. Cybermalveillance.gouv.fr, dans sa fiche sur l’hameçonnage, conseille de lire l’adresse affichée dans le navigateur : si elle ne correspond pas exactement au site concerné, il s’agit très probablement d’un site frauduleux, et parfois un seul caractère change. Elle recommande aussi de placer le curseur sur un lien, sans cliquer, pour voir sa destination réelle, ou de passer par un favori créé par toi-même.
Pour les jeux d’Ankama, le support publie une liste des sites officiels (mise à jour le 20 mai 2026), qui comprend notamment www.dofus.com, account.ankama.com et support.ankama.com. Un nom de domaine proche de ceux-là, mais absent de la liste, mérite de la méfiance. Dans son article sur l’hameçonnage, le support demande de ne pas chercher un site à partir de mots-clés donnés par un joueur en jeu et de ne jamais télécharger de fichiers liés à ses jeux depuis un site non officiel. Retiens le principe, qui vaut pour un serveur privé comme pour un éditeur : la source légitime est celle que le projet publie lui-même sur son propre site.
Distinguer annonce et miroir de téléchargement
Une annonce sur un forum, une vidéo, un annuaire ou un réseau social indique qu’un projet existe ; ce n’est pas le projet. Un miroir est une copie d’un fichier hébergée ailleurs, dont tu ne peux pas rattacher l’origine à son auteur. Quelques repères :
- Remonte toujours de l’annonce au site du projet, puis cherche le lien de téléchargement sur ce site, pas dans les commentaires.
- Méfie-toi d’une page de téléchargement différente de celle annoncée par le projet, d’un lien raccourci ou d’un fichier proposé « plus vite » ailleurs.
- Pour les mises à jour, Cybermalveillance.gouv.fr, dans sa fiche sur la gestion des mises à jour, recommande de ne les télécharger que depuis les sites ou dispositifs officiels des éditeurs, de se méfier des fausses alertes de mise à jour qui s’affichent sur des sites ou dans des fenêtres, et de lire les cases pré-cochées qui pourraient valoir acceptation d’un logiciel supplémentaire.
Pour Togu, la page Télécharger est la source du launcher, disponible pour macOS Apple silicon et Windows x64. L’accès à l’alpha fermée est gratuit sur invitation et demande un code à obtenir sur le Discord de Togu. Télécharge le fichier depuis cette page uniquement : un miroir ne te garantit pas son origine.
Contrôler signature et empreinte si l’éditeur les publie
Deux contrôles complémentaires existent, à condition que l’éditeur en publie les éléments de référence.
La signature. Apple explique, dans sa page Safely open apps on your Mac (publiée le 27 mai 2026), que macOS vérifie la signature Developer ID des logiciels installés hors App Store pour s’assurer qu’ils proviennent d’un développeur identifié et n’ont pas été modifiés. Depuis macOS Catalina, la notarisation est requise par défaut : Apple y a vérifié l’absence de logiciel malveillant connu. Avant la première ouverture d’un logiciel téléchargé, macOS demande aussi ton accord. Cette vérification est un filet de sécurité ; elle ne remplace pas la vérification de la source. Elle ne dit pas non plus qu’un logiciel signé est sans défaut.
L’empreinte. Une empreinte (ou somme de contrôle) est une suite de caractères calculée à partir du contenu d’un fichier. Si l’éditeur en publie une sur sa page officielle, tu peux calculer celle de ton fichier et comparer : si une seule lettre diffère, le fichier n’est pas celui annoncé. Sur macOS, la commande shasum -a 256 nom-du-fichier dans l’application Terminal calcule l’empreinte SHA-256. Comparer deux empreintes n’a de sens que si la valeur de référence provient de la page officielle ; une empreinte donnée par un tiers ne prouve rien. [INFÉRENCE : lorsque la page et le fichier proviennent du même hébergement, l’empreinte détecte une corruption ou un fichier substitué ailleurs, pas une page elle-même compromise.]
La page de téléchargement de Togu donne, pour chaque version publiée du launcher, son empreinte SHA-256. Compare-la à celle du fichier téléchargé ; cet article ne recopie pas ces valeurs, qui changent à chaque version.
Réagir à un fichier inattendu
Si macOS affiche un avertissement, lis-le avant d’agir. Apple distingue plusieurs cas : application téléchargée sur Internet, développeur non vérifié, logiciel qu’Apple ne peut pas vérifier, application endommagée ou contenant un logiciel malveillant. Dans ce dernier cas, le système indique que l’application ne peut pas s’ouvrir et peut la placer dans la corbeille. Apple recommande dans ses cas non vérifiés de contacter le développeur, de chercher une version à jour ou une alternative dans l’App Store, et rappelle qu’exécuter un logiciel non signé ni notarisé peut exposer ton ordinateur et tes données. Ne désactive pas les protections de ton système pour contourner un avertissement que tu ne comprends pas.
Si tu as ouvert un fichier dont tu doutes :
- Protège tes comptes : change depuis un autre appareil le mot de passe des services auxquels tu étais connecté, en commençant par la messagerie.
- Lance une analyse : le support d’Ankama recommande, après un téléchargement possiblement corrompu, une analyse antivirus, antispyware et antirootkit.
- Supprime le fichier et ne le transmets à personne.
- Signale le site ou le message : Cybermalveillance.gouv.fr indique de conserver le message reçu et de signaler un site d’hameçonnage à Phishing Initiative.
Pour aller plus loin sur les mots de passe et la double authentification, lis notre guide sur la sécurisation d’un compte de jeu. Les règles de la communauté Togu figurent sur la page règles.
