D
Alerte grande distribution
[email protected] : le code de vérification Decathlon
Faux bons d'achat, jeux-concours bidons, SMS frauduleux... Les arnaques au nom de Decathlon explosent. Ne vous faites pas piéger.
Attention : Decathlon ne distribue pas de bons d'achat ni de cartes cadeaux par SMS ou par email non sollicité.
[email protected] est-il une adresse frauduleuse ?
Rien dans les sources publiques ne permet de le dire, et plusieurs éléments vont dans le sens inverse. otp.decathlon.com est un sous-domaine de decathlon.com, le domaine de l'enseigne, et il porte son propre enregistrement SPF (v=spf1 include:spf.brevo.com -all) : seul le titulaire du domaine peut publier une telle configuration DNS. Sur sa page d'information phishing, Decathlon écrit de son côté qu'« une communication officielle de Decathlon ne sera jamais envoyée d'une adresse personnelle comme "@gmail.com" ou "@orange.fr" » et que ses mails proviennent d'« une adresse en "@decathlon.com" ». Le sigle OTP désigne un code à usage unique : ce sous-domaine sert donc à l'envoi des codes de connexion et de réinitialisation de mot de passe. Recevoir un code sans l'avoir demandé ne signifie pas que le mail est faux, mais qu'un tiers a saisi votre adresse sur le formulaire de connexion ou de mot de passe oublié de Decathlon. Un signalement public de septembre 2024 décrit exactement ce scénario avec l'autre domaine d'envoi de l'enseigne, service.decathlon.com : six codes différents reçus en deux minutes alors que la personne ne s'était pas connectée. Le code seul ne donne rien à personne tant que vous ne le communiquez pas. Deux réserves toutefois : le champ expéditeur d'un mail peut être falsifié, et c'est donc le contenu qui tranche. Un vrai mail de code affiche le code et rien d'autre. S'il vous demande vos coordonnées bancaires, un IBAN, ou s'il vous pousse vers un lien qui ne mène pas sur www.decathlon.fr, ne le suivez pas.
- Domaine d'envoi
- otp.decathlon.com, sous-domaine de decathlon.com, le domaine de l'enseigne
- Configuration DNS observée
- otp.decathlon.com publie v=spf1 include:spf.brevo.com -all, ainsi que des jetons de validation brevo-code (résolveur public dns.google, consulté le 6 septembre 2026)
- Critère donné par Decathlon
- les mails officiels proviennent d'« une adresse en "@decathlon.com" », jamais d'une adresse personnelle en @gmail.com ou @orange.fr
- Signalement public correspondant
- Signal-arnaques n°856605, déposé le 06/07/2025, expéditeur [email protected], contenu déclaré : « Code de vérification. »
- Cas documenté proche
- Signal-arnaques n°793372, 28/09/2024 : six mails de codes à usage unique reçus en deux minutes depuis [email protected], sans connexion de la part de la personne
- Réaction recommandée
- cybermalveillance.gouv.fr : « Changez immédiatement votre mot de passe » et « Activez la double authentification »
Les arnaques Decathlon les plus courantes
Fausse publicité Facebook promettant un sac à dos The North Face Borealis à 2 euros chez Decathlon, présentée comme une astuce que seuls les employés de l'enseigne connaîtraient. France 24 a documenté la campagne le 4 septembre 2025 : publications relayées par de faux profils, commentaires enthousiastes fabriqués pour servir de preuve sociale, redirection vers un site de liquidation.
Le lien vers le faux site est glissé en commentaire, avec cette consigne relevée par France 24 : « Écris simplement quelque chose, remplis le court questionnaire et termine le paiement. » Le questionnaire sert à collecter des informations personnelles, puis le paiement à obtenir des coordonnées bancaires.
Fausse publicité sur les réseaux sociaux promettant un sac à dos gratuit : Decathlon l'écrit sur sa propre page phishing, « une fausse publicité circule sur les réseaux sociaux et promet un sac à dos gratuit en échange d'un clic ».
Faux mails de type « produit gratuit sur questionnaire » : Decathlon en publie un exemple sur sa page phishing et précise que « l'adresse d'expédition n'a aucun lien avec Decathlon ».
Faux mails jouant sur des prétextes de commande. Decathlon cite « une commande à payer, un cadeau offert, une livraison à affranchir », et des appâts du type « produits gratuits, cartes cadeaux de grandes valeurs, réductions importantes ».
Vagues de codes de vérification non sollicités. Le mail, lui, est authentique et vient d'un domaine d'envoi de l'enseigne ; c'est la tentative de connexion à votre compte qui ne l'est pas. Signalement Signal-arnaques n°793372, six codes en deux minutes.
Adresses et domaines Decathlon : lesquels sont réels
Vous avez une adresse d'expéditeur ou un lien sous les yeux et vous cherchez à savoir ce qu'il vaut. Voici ce que nous avons pu établir, source à l'appui. Rappel utile : l'adresse affichée dans un message peut être falsifiée, elle ne suffit donc jamais seule à valider un message, même quand elle est authentique.
Adresses et domaines authentiques
- otp.decathlon.com, par exemple [email protected] : sous-domaine de decathlon.com, avec son propre enregistrement SPF v=spf1 include:spf.brevo.com -all et des jetons de validation brevo-code. Sous-domaine d'envoi de l'enseigne, dédié aux codes à usage unique (OTP).
- service.decathlon.com, par exemple [email protected] : sous-domaine de decathlon.com, SPF v=spf1 include:cust-spf.exacttarget.com -all et MX inbound-reply.s7.exacttarget.com. Un mail de code à usage unique envoyé depuis cette adresse, signé « L'équipe DECATHLON » avec la mention DECATHLON FRANCE, 4 Boulevard de Mons, 59650 Villeneuve d'Ascq, SIREN 500 569 405, figure intégralement dans le signalement Signal-arnaques n°793372.
- email.decathlon.fr : sous-domaine de decathlon.fr, SPF v=spf1 include:cust-spf.exacttarget.com -all. Même prestataire d'envoi que service.decathlon.com.
- Toute adresse « en @decathlon.com » : c'est le critère que Decathlon donne elle-même sur sa page d'information phishing pour distinguer une communication officielle.
- www.decathlon.fr : le site officiel français cité par Decathlon sur sa page phishing. Un lien qui pointe ailleurs doit vous arrêter.
- Rappel valable pour toutes ces adresses : le champ expéditeur affiché peut être falsifié. Une adresse correcte n'authentifie pas un message, elle enlève seulement un motif de suspicion.
Adresses et domaines frauduleux relevés
Aucune adresse ni aucun domaine frauduleux usurpant Decathlon n'a pu être confirmé sur une source publique vérifiable. Nous préférons le dire plutôt que publier une liste que nous ne pourrions pas étayer. Jugez donc le message sur ce qu'il demande, pas sur l'adresse dont il se réclame.
Où trouver les VRAIES offres Decathlon
- Dans l'application officielle
Téléchargée depuis l'App Store ou Google Play uniquement
- Sur decathlon.fr
Tapez l'adresse vous-même, ne cliquez pas sur les liens
- Dans votre espace fidélité
Les vrais bons sont crédités sur votre carte de fidélité
Comment reconnaître une arnaque Decathlon
Le nom de l'enseigne est légèrement déformé. Decathlon signale elle-même les imitations du type « dekathlon » ou « decatlon » sur sa page phishing.
L'adresse d'expédition n'est pas en @decathlon.com. C'est le critère que Decathlon donne, en opposant les adresses personnelles en @gmail.com ou @orange.fr.
Le message demande des coordonnées bancaires ou un IBAN. Decathlon écrit « Ne communiquez JAMAIS vos coordonnées bancaires par mail ».
Un questionnaire à remplir avant un paiement, même de quelques euros : c'est la mécanique décrite par France 24 sur les faux sites Decathlon de septembre 2025.
Une publication sur les réseaux sociaux qui présente un bon plan comme une astuce réservée aux employés de l'enseigne, appuyée par des commentaires très positifs. France 24 a identifié ces comptes comme de faux profils créés pour la campagne.
Un lien qui ne mène pas sur www.decathlon.fr, le site officiel français cité par Decathlon.
Un mail de code à usage unique qui, en plus du code, vous demande de cliquer, de vous identifier ailleurs ou de fournir un moyen de paiement. Un vrai mail de code affiche le code et rien d'autre.
Se protéger des arnaques Decathlon
Si vous recevez un code Decathlon que vous n'avez pas demandé, ne le communiquez à personne et changez le mot de passe de votre compte Decathlon depuis www.decathlon.fr, saisi à la main dans la barre d'adresse. Cybermalveillance.gouv.fr recommande de changer immédiatement le mot de passe et d'en choisir un solide, différent de ceux utilisés ailleurs.
Activez la double authentification quand le service la propose : cybermalveillance.gouv.fr la présente comme la mesure qui évite qu'un tel piratage se reproduise.
Vérifiez toujours l'adresse de l'expéditeur et n'ouvrez aucune pièce jointe : ce sont les réflexes 2 et 6 des « 9 réflexes » publiés par Decathlon.
Ne répondez pas et ne transférez pas le message, et ne rappelez pas les numéros qu'il contient. Decathlon précise que « les numéros et les adresses indiquées peuvent être surtaxés ».
Signalez le message. Decathlon renvoie vers trois plateformes publiques : internet-signalement.gouv.fr, signal-spam.fr et cybermalveillance.gouv.fr, et demande aussi de signaler le mail comme SPAM ou hameçonnage à votre opérateur de boîte mail.
Sur les réseaux sociaux, signalez la publication frauduleuse. Decathlon indique effectuer « régulièrement des signalements auprès de Meta » et demander la suppression des contenus frauduleux.
Questions fréquentes
J'ai reçu un code de vérification de [email protected] que je n'ai pas demandé, que dois-je faire ?▼
Ne communiquez le code à personne, et ne cliquez sur rien dans le message. Un code envoyé sans demande de votre part indique qu'un tiers a saisi votre adresse sur le formulaire de connexion ou de mot de passe oublié de Decathlon. Le code seul ne lui sert à rien tant que vous ne le lui donnez pas : c'est précisément ce qui bloque la tentative. Rendez-vous ensuite sur www.decathlon.fr en tapant l'adresse à la main, et changez votre mot de passe. Cybermalveillance.gouv.fr recommande dans ce cas un mot de passe solide et différent de ceux utilisés sur d'autres sites, puis l'activation de la double authentification si le service la propose. Si votre mot de passe Decathlon était utilisé ailleurs, changez-le aussi sur les autres comptes concernés.
[email protected] et [email protected] sont-elles des adresses officielles ?▼
Ce sont deux sous-domaines de decathlon.com, le domaine de l'enseigne, et chacun porte sa propre configuration d'envoi dans le DNS : otp.decathlon.com déclare v=spf1 include:spf.brevo.com -all, service.decathlon.com déclare v=spf1 include:cust-spf.exacttarget.com -all. Seul le titulaire du domaine peut publier ces enregistrements. Decathlon indique par ailleurs que ses communications officielles arrivent d'« une adresse en "@decathlon.com" ». Ces adresses correspondent donc bien à des canaux d'envoi de l'enseigne. Attention cependant : le champ expéditeur affiché dans un mail peut être falsifié, et voir une adresse correcte ne suffit jamais à valider un message. Ce qui tranche, c'est le contenu et la destination des liens.
Decathlon envoie-t-il des SMS, et comment vérifier un SMS Decathlon ?▼
Les sources publiques consultées ne documentent aucun numéro court officiel de Decathlon en France, et la page phishing de l'enseigne ne cite aucun numéro. Nous ne pouvons donc ni confirmer ni infirmer qu'un numéro précis appartient à Decathlon, et nous préférons le dire plutôt que d'avancer un numéro invérifiable. La vérification utile ne passe de toute façon pas par le numéro affiché, qui est facile à usurper : ouvrez www.decathlon.fr ou l'application depuis votre écran d'accueil, connectez-vous et regardez si la commande, le retour ou la demande annoncés existent réellement dans votre compte. Si le SMS demande un paiement, un IBAN ou un code, ne le suivez pas.
Je reçois du spam au nom de Decathlon, comment le signaler ?▼
Decathlon renvoie vers trois plateformes publiques : internet-signalement.gouv.fr, signal-spam.fr pour les courriels, et cybermalveillance.gouv.fr. L'enseigne demande également de signaler le message comme SPAM ou hameçonnage directement dans votre messagerie, ce qui permet à l'opérateur d'analyser le message et de bloquer l'expéditeur. Si le message provient d'une publication sur un réseau social, signalez la publication : Decathlon déclare effectuer régulièrement des signalements auprès de Meta. Vous pouvez aussi déposer un signalement sur signal-arnaques.com, où plusieurs cas visant l'enseigne sont déjà publiés.
La publicité « sac The North Face à 2 euros chez Decathlon » est-elle vraie ?▼
Non. France 24 a documenté cette campagne le 4 septembre 2025 : des publications Facebook prétendant révéler « une petite astuce que seuls les employés connaissent habituellement » pour obtenir un sac à dos The North Face Borealis « quasiment gratuitement », relayées par de faux profils et par des commentaires fabriqués pour donner l'illusion que le bon plan fonctionne. Le lien conduit vers un site de liquidation qui demande de remplir un questionnaire puis de terminer un paiement. Interrogée, l'enseigne a répondu faire « face à des tentatives d'arnaques de tiers cherchant à usurper notre identité sur les réseaux sociaux » et que ces publications « utilisent notre logo et nos codes graphiques pour tenter de tromper les utilisateurs ».
Comment reconnaître un faux message Decathlon ?▼
Decathlon publie ses propres critères. L'adresse d'expédition doit être en @decathlon.com, jamais une adresse personnelle. Le nom de l'enseigne ne doit pas être déformé : la page phishing cite les imitations « dekathlon » et « decatlon ». Aucun message officiel ne demande de coordonnées bancaires par mail, la formulation employée étant « Ne communiquez JAMAIS vos coordonnées bancaires par mail ». Les prétextes récurrents relevés par l'enseigne sont une commande à payer, un cadeau offert, une livraison à affranchir, une carte cadeau de grande valeur. Enfin, vérifiez où mène le lien : le site officiel français est www.decathlon.fr.
Sources
Pages consultées pour établir les faits de cette fiche. Aucune statistique ni aucun exemple de message n'est cité ici sans provenir de l'une d'elles.
- decathlon.fr/lp/i/phishing-arnaque-decathlon
- decathlon.fr/landing/information-phishing-decathlon/_/R-a-information-phishing
- decathlon.fr/Phishing_lp-PZUKE3
- signal-arnaques.com/scam/view/856605
- signal-arnaques.com/scam/view/793372
- signal-arnaques.com/scam/view/645695
- france24.com/fr/france/20250904-decathlon-arnaque-sac-the-north-face
- cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/piratage-de-compte
- dns.google/resolve
- dns.google/resolve
- dns.google/resolve
- dns.google/resolve
Reçu un message Decathlon suspect ?
Analysez-le gratuitement pour savoir si c'est une arnaque.
Vérifier maintenantVous avez reçu un faux message Decathlon — et maintenant ?
Ce message n'est probablement pas le dernier : les adresses ciblées le sont durablement. Nos comparatifs indépendants pour réduire le risque à la source :