Comment vérifier si vos mots de passe ont fuité

Mise à jour 28/08/2026 · adressejetable.fr

Des milliards d’identifiants issus de piratages circulent en ligne. Savoir si les vôtres en font partie prend deux minutes, ne coûte rien, et détermine ce qu’il y a d’urgent à faire.

Comment fonctionne une vérification

Quand un service se fait pirater, sa base de données finit souvent publiée ou revendue. Des chercheurs en sécurité collectent ces fuites rendues publiques et les indexent. Vous interrogez cet index avec votre adresse e-mail et vous obtenez la liste des fuites où elle apparaît, avec la date de l’incident et les catégories de données concernées.

Le service de référence est Have I Been Pwned. Trois autres chemins mènent au même résultat, souvent plus commodément :

• Votre navigateur. Les navigateurs modernes comparent les identifiants enregistrés avec les listes de fuites connues et affichent un avertissement.
• Votre gestionnaire de mots de passe, qui fait la même chose en continu sur l’ensemble du coffre et signale en plus les mots de passe réutilisés ou faibles.
• Le service lui-même : les entreprises soumises au RGPD doivent notifier les personnes concernées quand une fuite présente un risque élevé. Cette notification n’arrive pas toujours vite, mais elle arrive.

Est-il prudent de saisir son adresse ?

C’est la question que tout le monde se pose, et elle est légitime. Deux réponses.

Pour l’adresse e-mail : les services sérieux ne s’en servent que pour la requête, et ne l’ajoutent à aucune liste. Surtout, si votre adresse figure dans une fuite, ceux qui exploitent ces bases la connaissent déjà depuis longtemps — la saisir dans un outil de vérification ne révèle rien de neuf.

Pour le mot de passe, il existe un mécanisme précis qui évite de l’envoyer : la k-anonymité. Votre navigateur calcule localement l’empreinte cryptographique du mot de passe, n’envoie au serveur que les cinq premiers caractères de cette empreinte, et reçoit en retour toutes les empreintes connues commençant par ces cinq caractères — plusieurs centaines. La comparaison finale se fait sur votre appareil. Le serveur n’a jamais vu le mot de passe, ni son empreinte complète, ni su lequel de la liste vous concernait. C’est le même principe qu’utilisent les navigateurs et les gestionnaires en arrière-plan.

Une réserve de bon sens : ne saisissez un mot de passe que sur un site de vérification que vous avez atteint en tapant vous-même l’adresse, jamais depuis un lien reçu par message. Les faux « vérificateurs de fuite » sont une variante classique de phishing.

Quoi faire selon ce qui a fuité

• L’adresse seule. Conséquence : plus de spam, et des tentatives d’arnaque mieux ciblées. Rien d’urgent, mais c’est le moment de cesser de donner cette adresse partout.
• Adresse et mot de passe. Priorité absolue. Changez le mot de passe du service concerné, puis — et c’est l’étape que tout le monde saute — partout où le même mot de passe a été réutilisé. Les attaquants prennent les couples issus d’une fuite et les essayent automatiquement sur des centaines d’autres services. C’est ainsi que la plupart des comptes tombent, bien plus souvent que par un piratage direct.
• Adresse et données personnelles (nom, téléphone, adresse postale, date de naissance). Rien à changer techniquement, mais attendez-vous à des messages très crédibles, qui citeront de vrais détails vous concernant. Un appel qui connaît votre nom et votre banque n’est pas pour autant votre banque.
• Données bancaires. Contactez immédiatement votre banque et faites opposition. Ne remplacez pas cette démarche par un formulaire trouvé en ligne.

Dans tous les cas, activez la double authentification au moins sur votre messagerie principale et vos comptes financiers. Un mot de passe volé ne suffit alors plus à entrer. Notre guide fuite d’adresse e-mail : que faire détaille la suite des opérations côté adresse.

Surveiller au lieu de vérifier une fois

Une vérification ponctuelle ne dit rien des fuites de l’année prochaine. Mettez en place une surveillance continue : l’alerte par e-mail des services de vérification, la surveillance intégrée au navigateur, ou celle d’un gestionnaire de mots de passe, qui a l’avantage de savoir exactement quels comptes sont concernés et de proposer le changement dans la foulée.

Ce qu’un résultat négatif ne prouve pas

« Aucune fuite trouvée » est une bonne nouvelle, pas un certificat. Ces index ne contiennent que les fuites rendues publiques. Une base revendue en circuit fermé, ou un piratage qui n’a pas encore été détecté par le service concerné, n’y figure pas. Il s’écoule souvent des mois, parfois des années, entre l’intrusion et la publication des données. Traitez donc le résultat comme un indicateur : il vous dit ce qui est certainement sorti, jamais ce qui est certainement resté.

C’est aussi pourquoi la mesure la plus efficace n’est pas la vérification mais le cloisonnement : un mot de passe unique par service, pour qu’une fuite ignorée ne coûte qu’un seul compte, et une adresse dédiée pour les inscriptions sans importance, pour que la fuite suivante concerne une adresse dont vous ne faites rien.

Les e-mails « j’ai votre mot de passe »

Un message affirme détenir des enregistrements compromettants et cite un mot de passe que vous reconnaissez, en exigeant un paiement en cryptomonnaie. C’est presque toujours du bluff : le mot de passe provient d’une fuite publique ancienne, l’expéditeur n’a rien d’autre, et il envoie le même texte à des dizaines de milliers d’adresses. Ne payez pas, ne répondez pas, signalez comme spam. Une seule chose est à faire : si ce mot de passe est encore utilisé quelque part, changez-le aujourd’hui.

Questions fréquentes

À quelle fréquence faut-il refaire une vérification ?

Une fois par trimestre suffit si vous n’avez pas mis en place d’alerte automatique ; avec une surveillance active, la question ne se pose plus, puisque vous êtes prévenu. Refaites en revanche un contrôle immédiatement après avoir appris qu’un service que vous utilisez a été attaqué.

Faut-il changer un mot de passe qui apparaît dans une fuite très ancienne ?

Oui, s’il est encore en usage quelque part : l’âge de la fuite ne réduit en rien l’efficacité des essais automatisés, et les listes anciennes sont justement celles qui circulent le plus largement. Si ce mot de passe n’est plus utilisé nulle part, il n’y a rien à faire.

Ma boîte apparaît dans une fuite d’un service que je n’ai jamais utilisé — comment est-ce possible ?

Deux explications fréquentes : le service en question avait racheté ou hébergeait une plateforme dont vous étiez client, ou bien il s’agit d’une compilation regroupant plusieurs fuites antérieures. Regardez les catégories de données citées, elles indiquent souvent l’origine réelle.