Comment fonctionne la vérification
Depuis 2017, le chercheur en sécurité Troy Hunt publie Pwned Passwords, une base de plus de 900 millions de mots de passe uniques récupérés lors de vraies fuites de données. Elle est utilisée par des gestionnaires de mots de passe et des services d’authentification. C’est le test le plus utile à faire sur un mot de passe : les attaquants commencent toujours par ces listes, donc un mot de passe qui a fuité est faible, quelle que soit sa longueur.
Pour vérifier un mot de passe sans le révéler, cette page utilise la méthode dite de k-anonymat :
- Votre navigateur calcule l’empreinte SHA-1 du mot de passe : par exemple
azertydevient9CF95DACD226DCF43DA376CDB6CBBA7035218921. - Seuls les 5 premiers caractères (
9CF95) sont envoyés. Environ un million de mots de passe différents partagent chaque préfixe, il ne révèle donc rien du vôtre. - Le service renvoie toutes les fins d’empreintes piratées qui commencent par ce préfixe (souvent 800 à 1 000 lignes), plus un remplissage aléatoire.
- Votre navigateur cherche la suite de votre empreinte dans cette liste. Le résultat ne quitte jamais votre appareil.
Que faire si votre mot de passe a fuité ?
- Ne l’utilisez plus nulle part. Les attaquants testent automatiquement les couples e-mail / mot de passe piratés sur des centaines de sites (le « credential stuffing »).
- Changez-le d’abord sur les comptes importants : votre messagerie (elle permet de réinitialiser tout le reste), puis la banque, les impôts, Ameli, les achats en ligne et les réseaux sociaux.
- Utilisez un mot de passe unique et aléatoire par compte, enregistré dans un gestionnaire de mots de passe. Notre générateur de mot de passe en crée un en un clic.
- Activez la double authentification : un mot de passe volé ne suffit alors plus pour se connecter.
Le guide mot de passe piraté : que faire ? détaille chaque étape, y compris les signalements possibles (Cybermalveillance.gouv.fr, CNIL).
Questions fréquentes
Puis-je saisir mon vrai mot de passe ?
Le mot de passe n’est jamais transmis, seulement 5 caractères de son empreinte, et ce site n’enregistre rien. Vous pouvez le vérifier dans les outils de développement de votre navigateur (onglet Réseau). Par prudence, vous pouvez aussi tester un mot de passe avant de l’adopter.
Mon mot de passe n’a pas été trouvé : est-il sûr ?
Pas forcément. Il n’apparaît simplement dans aucune fuite connue. Un mot de passe court ou prévisible peut quand même être cracké vite : testez sa robustesse.
Pourquoi un mot de passe compliqué apparaît-il ?
Parce que quelqu’un d’autre l’a choisi aussi. Azerty123! respecte la plupart des règles de complexité et figure pourtant des milliers de fois dans les fuites. Seuls les mots de passe générés aléatoirement évitent ce piège.