Mots de passe divulgués
Vérifiez si un mot de passe est apparu dans une fuite de données. Le mot de passe lui-même ne quitte jamais votre navigateur.
Seuls les 5 premiers caractères de l’empreinte SHA-1 du mot de passe sont envoyés à Have I Been Pwned ; le mot de passe et l’empreinte complète restent dans votre navigateur.
Comment ça fonctionne
Votre navigateur calcule l’empreinte SHA-1 du mot de passe et n’envoie que les cinq premiers caractères de cette empreinte au service Pwned Passwords de Have I Been Pwned. Le service renvoie la fin de toutes les empreintes divulguées qui commencent par ces cinq caractères, généralement plusieurs centaines, plus un remplissage aléatoire pour que la taille de la réponse ne trahisse rien. Votre navigateur cherche ensuite la suite de votre empreinte dans cette liste. Grâce à cette méthode, appelée k-anonymat, ni Have I Been Pwned ni AngelForce ne connaissent votre mot de passe ou son empreinte complète.
Interpréter le résultat
Un nombre supérieur à zéro indique combien de fois le mot de passe apparaît dans les données de fuites. Les attaquants chargent ces listes dans leurs outils de cassage : considérez tout mot de passe trouvé ici comme public, aussi complexe qu’il paraisse. « Introuvable » ne veut pas dire « robuste » : un mot de passe court ou prévisible peut quand même être deviné. Le contrôle ne porte que sur le mot de passe. Il n’indique pas quels comptes ou quelles fuites sont concernés.
Questions fréquentes
Puis-je saisir ici un vrai mot de passe sans risque ?
Seuls cinq caractères de l’empreinte SHA-1 quittent votre navigateur, et des centaines de mots de passe divulgués les partagent. Rien n’est conservé. En cas de doute, faites la vérification depuis un appareil de confiance.
Que faire si mon mot de passe est trouvé ?
Cessez de l’utiliser. Changez-le partout où vous l’avez utilisé, en commençant par votre messagerie et vos autres comptes importants, et activez l’authentification multifacteur. Un gestionnaire de mots de passe rend les mots de passe uniques faciles à gérer.
Pourquoi SHA-1 ?
C’est le format qu’utilise le service Pwned Passwords pour ses recherches. Ici, SHA-1 sert uniquement d’index pour la requête par plage, pas à protéger le mot de passe.
D’où viennent les données ?
De Pwned Passwords, un ensemble de centaines de millions de mots de passe réels exposés lors de fuites de données, géré par Have I Been Pwned, le service de Troy Hunt.
Besoin d’aller plus loin qu’un outil ?
Un outil vérifie un point précis. Nos consultants examinent l’ensemble.
Sécurité managéeArticles liés
-
Réponse à incident : un tabletop de deux heures cette semaine
Simulez en deux heures un ransomware ou une compromission de compte, listez les écarts et bâtissez un runbook avec des responsables nommés.
-
Mots de passe et clés d’accès : les recommandations du NIST
Les règles actuelles du NIST : 15 caractères minimum, pas de renouvellement imposé, contrôle des fuites, robustesse de la MFA et place des clés d’accès.
-
Sécurité des JWT : les pièges courants et comment les éviter
Erreurs JWT courantes (alg none, confusion RS256/HS256, secrets HMAC faibles, claims non vérifiés, injection via kid, révocation, stockage) et correctifs.