Mot de passe divulgué ? Vérifier les fuites de données

Mode d'emploi

Saisissez le mot de passe dans Mot de passe. Il est masqué ; appuyez sur Afficher pour lire ce que vous avez saisi.
Appuyez sur Vérifier. La page hache le mot de passe dans votre navigateur et n'envoie que les cinq premiers caractères de l'empreinte.
Lisez le Résultat : Trouvé avec un nombre signifie que le mot de passe figure dans des données de fuites ; Non trouvé signifie qu'il n'est pas dans cette liste.
S'il a été trouvé, changez-le partout où vous l'avez utilisé. Pour tester un nouveau, utilisez le vérificateur de force de mot de passe.

Ce qui est envoyé et ce qui ne l'est pas

Le mot de passe est haché avec SHA-1 dans votre navigateur. Un hachage est une chaîne fixe de 40 caractères hexadécimaux, comme 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 pour le mot de passe password, et il ne peut pas être reconverti en mot de passe. La page envoie seulement les cinq premiers caractères de l'empreinte, par exemple 5BAA6, dans une seule requête vers l'adresse de plage du service Pwned Passwords.

Le service répond par toutes les empreintes connues de fuites qui commencent par ces cinq caractères. Le reste de votre empreinte est ensuite cherché dans cette réponse, dans votre navigateur. Beaucoup de mots de passe différents partagent les mêmes cinq caractères : le service ne peut donc pas savoir quel mot de passe a été vérifié. C'est la méthode de k-anonymat que décrit le service.

Envoyé : les cinq caractères de l'empreinte, et l'en-tête Add-Padding, qui demande au service de compléter sa réponse par des entrées vides pour que la taille de la réponse ne révèle pas combien d'empreintes correspondent. Comme pour toute requête web, le service voit l'adresse de votre connexion.
Non envoyé : le mot de passe, l'empreinte complète, le reste de l'empreinte, ou la longueur du mot de passe. La requête ne transporte ni cookies ni référent.
Non stocké : la page ne garde rien. La recharger efface le mot de passe et le résultat.

Ce que signifie le résultat

Trouvé signifie que le mot de passe figure dans des données qui ont fuité lors d'une fuite passée. Le nombre indique combien de fois il apparaît dans la liste. Les attaquants essaient de tels mots de passe sur les comptes : changez-le donc partout où vous l'avez utilisé.

Non trouvé signifie seulement que le mot de passe n'est pas dans cette liste. Cela ne montre pas que le mot de passe est robuste, et cela ne couvre pas les fuites absentes de la liste. Vérifiez aussi sa force avec le vérificateur de force de mot de passe.

Exemple détaillé : password

L'empreinte SHA-1 de password est 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8. La page envoie seulement les cinq premiers caractères, 5BAA6, et cherche les 35 autres, 1E4C9B93F3F0682250B6CF8331B7EE68FD8, dans la réponse. Si ce suffixe figure avec un nombre supérieur à 0, le résultat est Trouvé avec ce nombre ; s'il n'y figure pas, le résultat est Non trouvé.

Questions fréquentes

Mon mot de passe est-il envoyé au service ?

Non. Seuls les cinq premiers caractères de son empreinte SHA-1 sont envoyés. Le service ne peut pas en déduire le mot de passe, et le reste de l'empreinte est comparé dans votre navigateur.

Pourquoi le service renvoie-t-il de nombreuses empreintes ?

Il renvoie toutes les empreintes de fuites qui commencent par les mêmes cinq caractères, si bien qu'il ne peut pas savoir laquelle vous vérifiiez. C'est la méthode du k-anonymat, qui permet la vérification sans révéler le mot de passe.

Que faire lorsque le résultat est Trouvé ?

Considérez le mot de passe comme exposé. Changez-le sur chaque site où vous l'avez utilisé, et ne le réutilisez pas. Activez la connexion en deux étapes lorsque le site la propose.

Non trouvé signifie-t-il que le mot de passe est sûr ?

Non. La liste ne contient que les mots de passe relevés dans les fuites qu'elle couvre : un mot de passe faible peut donc ne pas y figurer. Vérifiez aussi sa force, car un motif court ou courant est faible avant même d'avoir fuité.

La page garde-t-elle ou enregistre-t-elle ce que je saisis ?

Non. Le mot de passe reste dans le champ et dans la mémoire de la page tant qu'elle est ouverte. Rien n'est stocké dans le navigateur ni écrit dans l'adresse, et la page ne fait aucune autre requête.

Quel service utilise la vérification ?

Le service de plage Pwned Passwords de Have I Been Pwned, documenté sur haveibeenpwned.com. La page appelle directement son adresse de plage depuis votre navigateur.

Sources

Chiffres et texte vérifiés pour la dernière fois le mardi 10 novembre 2026.