Vous craignez qu'un mot de passe soit déjà entre les mains de pirates ? Saisissez-le ci-dessus et nous le comparerons aux centaines de millions de mots de passe exposés lors de véritables fuites de données, à l'aide de la base de données Have I Been Pwned. La vérification préserve votre vie privée : votre mot de passe est haché dans votre navigateur et seuls les cinq premiers caractères de cette empreinte sont envoyés — votre mot de passe réel ne quitte jamais votre appareil.

Qu'est-ce qu'une fuite de données ?

Une fuite de données survient lorsque des pirates dérobent des informations à une entreprise ou à un service — souvent des noms d'utilisateur et des mots de passe. Ces identifiants sont ensuite rassemblés dans d'immenses listes, puis échangés ou publiés en ligne. Si un mot de passe que vous utilisez figure dans l'une de ces listes, il est considéré comme « pwned », et les pirates l'essaieront sur vos autres comptes lors de ce qu'on appelle le credential stuffing. C'est pourquoi un mot de passe compromis est dangereux, même si la fuite ne vous concernait pas directement.

Comment cette vérification protège votre vie privée

Il serait absurde d'envoyer votre mot de passe à un site web simplement pour savoir s'il est sûr. À la place, cet outil utilise une technique astucieuse appelée k-anonymity :

1. Votre mot de passe est haché avec SHA-1 dans votre navigateur.
2. Seuls les 5 premiers caractères de cette empreinte sont envoyés à l'API Have I Been Pwned.
3. Le service renvoie toutes les empreintes compromises qui partagent ces 5 caractères — des centaines d'entre elles.
4. Votre navigateur compare l'empreinte complète à cette liste en local et affiche le résultat.

Le service ne voit jamais votre mot de passe, ne voit jamais son empreinte complète et ne peut pas savoir laquelle des entrées renvoyées (le cas échéant) était la vôtre. Rien n'est non plus stocké de notre côté.

Que faire si votre mot de passe a été trouvé

• Cessez de l'utiliser partout. Considérez-le comme compromis sur chaque compte.
• Changez-le immédiatement sur tout compte où vous l'avez utilisé.
• Générez-en un nouveau et unique avec notre générateur de mots de passe — un mot de passe long et aléatoire ne figure jamais sur ces listes.
• Utilisez un gestionnaire de mots de passe pour que chaque compte ait son propre mot de passe unique.
• Activez l'authentification à deux facteurs (2FA) pour une couche de protection supplémentaire.

Ce que cela signifie si votre mot de passe n'a pas été trouvé

Un résultat « non trouvé » est rassurant — il signifie que le mot de passe ne figure pas dans les fuites que Have I Been Pwned connaît. Ce n'est pas pour autant une garantie que le mot de passe est robuste. Un mot de passe court ou simple peut tout de même être cassé même s'il n'a pas encore fuité, alors vérifiez-le aussi avec notre vérificateur de robustesse des mots de passe.

Questions fréquentes

Est-il sûr de saisir mon mot de passe ici ?

Oui. Votre mot de passe est haché en local et seul un fragment de 5 caractères de cette empreinte est envoyé, grâce au k-anonymity. Le mot de passe et son empreinte complète ne quittent jamais votre navigateur, et rien n'est stocké.

D'où proviennent les données sur les fuites ?

De Have I Been Pwned, un service reconnu qui regroupe les mots de passe exposés lors de fuites de données publiques dans une base de données interrogeable et respectueuse de la vie privée.

Mon mot de passe a été trouvé — cela signifie-t-il que mon compte est piraté ?

Pas nécessairement, mais cela signifie que ce mot de passe est connu des pirates et qu'il n'est pas sûr de l'utiliser. Changez-le partout où vous l'avez utilisé et adoptez un mot de passe unique et généré aléatoirement.

Un résultat « non trouvé » signifie-t-il que mon mot de passe est robuste ?

Non. Cela signifie seulement que le mot de passe n'est pas apparu dans une fuite connue. La robustesse dépend de la longueur et du caractère aléatoire — vérifiez cela séparément avec le vérificateur de robustesse.