Mot de passe piraté : vérifiez gratuitement s'il a fuité
Tapez un mot de passe : l'outil vous dit s'il figure dans les fuites de données connues, et combien de fois. Il ne quitte pas votre appareil, et rien n'est enregistré. Gratuit, sans inscription.
Vérifier votre mot de passe
Vérificateur de mot de passe piraté · gratuit, sans inscription
Le mot de passe ne quitte pas votre appareil : seuls les 5 premiers caractères de son empreinte partent vers Have I Been Pwned.
Cet outil a besoin de JavaScript, désactivé dans votre navigateur.
Comment votre mot de passe reste secret
L'outil interroge Have I Been Pwned, la base publique qui recense des centaines de millions de mots de passe sortis de fuites de données. Il ne lui envoie pas votre mot de passe, ni même son empreinte complète.
- 1.Votre navigateur calcule l'empreinte SHA-1 du mot de passe : une suite de 40 caractères dont on ne peut pas remonter au mot de passe.
- 2.Il envoie les 5 premiers caractères seulement. Des centaines d'empreintes de la base commencent par ces cinq caractères.
- 3.La base renvoie toutes ces empreintes, mêlées de fausses entrées pour que la taille de la réponse ne trahisse rien.
- 4.Votre navigateur cherche la vôtre dans la liste, sur votre appareil. Personne d'autre ne sait laquelle vous cherchiez.
Le site d'AuditOSINT ne voit passer ni le mot de passe, ni son empreinte, ni ses cinq premiers caractères : la demande part directement de votre navigateur vers Have I Been Pwned.
Votre mot de passe a fuité : que faire maintenant
Un mot de passe présent dans une fuite est essayé automatiquement sur des milliers de sites. Il faut le considérer comme connu de tous, même s'il est long.
- 1.Changez-le d'abord sur votre messagerie : c'est elle qui permet de réinitialiser tous vos autres comptes.
- 2.Changez-le ensuite partout où vous l'utilisiez, en commençant par la banque, les achats en ligne et les réseaux sociaux.
- 3.Activez la double authentification là où elle existe : un code reçu sur votre téléphone bloque la plupart des connexions frauduleuses.
- 4.Utilisez un mot de passe différent par site. Un gestionnaire de mots de passe les retient pour vous.
Créer un mot de passe solide : la phrase de passe
La CNIL recommande, pour un mot de passe utilisé seul, une phrase de passe d'au moins sept mots, ou au moins douze caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux. Des mots tirés au hasard se retiennent plus facilement que douze caractères sans suite.
Cet outil a besoin de JavaScript, désactivé dans votre navigateur.
Le générateur propose huit mots et un nombre : ses mots sont courts et sans accent, pour se taper sur tous les claviers, et il en faut un de plus pour atteindre la solidité que la CNIL demande. La majuscule, le chiffre et les tirets satisfont les sites qui les exigent.
La phrase est tirée au hasard par votre navigateur. Elle n'est envoyée nulle part et disparaît quand vous fermez la page.
Ce que cet outil ne vous dit pas
Il ne dit pas sur quel site le mot de passe a fuité, ni quelles autres informations accompagnaient la fuite : votre adresse e-mail, votre numéro de téléphone, votre adresse postale.
C'est ce que cherche un audit OSINT : les fuites où votre adresse apparaît, les comptes ouverts à votre nom et les traces indexées par les moteurs de recherche.
Aller plus loin
- Pwned Passwords, la base de Have I Been Pwned
- La recommandation de la CNIL sur les mots de passe
- Voir et retirer les métadonnées de vos photos
- Votre audit OSINT gratuit : fuites, comptes et traces
Questions fréquentes
Est-ce dangereux de taper son mot de passe sur cette page ?
Non : le mot de passe ne quitte pas votre appareil. Seuls les cinq premiers caractères de son empreinte SHA-1 sont envoyés à Have I Been Pwned, ce qui ne permet pas de le retrouver. Rien n'est enregistré, ni chez nous ni dans votre navigateur.
Mon mot de passe n'apparaît dans aucune fuite : est-il sûr ?
Il n'est pas dans les fuites connues, ce qui est bon signe. Mais une fuite non publiée ne figure dans aucune base, et un mot de passe court ou réutilisé reste fragile. Un mot de passe différent par site reste la meilleure protection.
D'où viennent les données ?
De Pwned Passwords, la base gratuite de Have I Been Pwned, tenue par le chercheur en sécurité Troy Hunt. Elle rassemble les mots de passe sortis de fuites de données rendues publiques.
Comment savoir si mon adresse e-mail a fuité ?
Cet outil vérifie un mot de passe, pas une adresse. Pour savoir dans quelles fuites votre adresse e-mail apparaît, et ce qu'elles contiennent, lancez un audit OSINT gratuit.
À propos de l'auteur
Pierre Billard
Fondateur d'AuditOSINT
Pierre Billard est développeur web et fondateur de Super Webmaster, la société qui édite AuditOSINT et NetClearer. Il travaille depuis 2018 sur le référencement, le déréférencement et la maîtrise de ce que le web publie sur une personne.