Comment vérifier si votre mot de passe a fuité

Les mots de passe apparaissent régulièrement dans des fuites. La vraie question n'est pas de savoir si les fuites existent, mais si vous savez quand l'un de vos propres mots de passe se retrouve déjà dans ces données.

Un test de fuite privé répond sans envoyer le mot de passe lui-même. Hachez-le localement, comparez-le aux fuites connues, puis décidez quoi faire tourner — en commençant par l'e-mail s'il a été réutilisé.

Ce qu'un test de fuite peut vous dire

Un vérificateur compare votre mot de passe, de manière sûre, à des bases de fuites connues. S'il y apparaît, traitez-le comme compromis même si la fuite est ancienne. Les attaquants rejouent encore les vieilles paires.

Une correspondance ne prouve pas qu'un attaquant est déjà dans le compte. Elle prouve que ce secret circule et ne doit plus servir nulle part.

Ce qu'un test de fuite ne peut pas vous dire

• Il ne dit pas quel site a fuité, ni quand.
• Il ne prouve pas qu'une connexion a déjà eu lieu.
• « Non trouvé » ne signifie pas que le mot de passe est fort — seulement qu'il n'est pas encore dans le corpus connu.
• Il ne voit pas les fuites privées, les logs de malware, ni les bases non publiées.
• Il ne remplace ni les mots de passe uniques, ni la MFA, ni un gestionnaire.

Comment faire un test privé

Ouvrez le vérificateur de fuites. Saisissez le mot de passe à tester, puis cliquez sur Vérifier. Priorité aux secrets encore utilisés : e-mail, banque, Apple/Google/Microsoft, SSO professionnel, et tout ce que vous savez avoir réutilisé.

N'envoyez pas le mot de passe à un site au hasard, ne le collez pas dans un chatbot, ne l'envoyez pas à une adresse « sécurité ». Si un outil demande le mot de passe complet, choisissez un test en k-anonymat.

Comment fonctionnent les vérifications respectueuses de la vie privée

Les bons outils n'envoient pas le mot de passe complet. Ils le hachent dans le navigateur, n'envoient que les cinq premiers caractères du hash SHA-1 à Have I Been Pwned, et terminent la comparaison sur votre appareil. C'est la k-anonymité.

Avec l'en-tête Add-Padding, HIBP ajoute aussi des suffixes avec un compteur à 0 pour que la taille de la réponse soit plus difficile à interpréter. Ces réponses paddées contiennent un nombre aléatoire d'enregistrements entre 800 et 1 000 — pas une taille unique fixe.

Si le mot de passe est trouvé

Changez-le sur le compte concerné, cherchez les réutilisations, commencez par l'e-mail, et remplacez-le par un secret unique. La séquence complète est dans Mon mot de passe a été trouvé dans une fuite. Que faire ?

• Changez le mot de passe du compte que vous venez de tester.
• Trouvez tous les autres endroits où il a été réutilisé — c'est le plus important.
• Commencez par l'e-mail, car il peut réinitialiser le reste.
• Générez un secret unique avec notre générateur de mots de passe ou une phrase de passe.

S'il n'est pas trouvé

• Gardez tout de même un mot de passe unique par compte.
• Vérifiez aussi la solidité s'il est court ou mémorisable.
• Ne prenez pas « non trouvé » pour une garantie à vie. Répétez le test après une grosse fuite publique, et dès que vous doutez d'un secret réutilisé.

Faites-en une habitude

Utilisez un gestionnaire pour éviter la réutilisation. Laissez-le générer des secrets aléatoires, et de longues phrases de passe quand il faut mémoriser.

Gardez le vérificateur de fuites dans votre routine pour l'e-mail, la banque et les autres comptes sensibles — surtout après l'annonce d'une fuite sur un service que vous utilisez.