Vérification de fuite de mot de passe

Une vérification de fuite de mot de passe pose une question à une base de données qu’aucun chatbot ne peut traiter : ce mot de passe est-il apparu dans une fuite de données connue ? Tapez un mot de passe et cette page le hache dans votre navigateur, envoie seulement les 5 premiers caractères du hash au service Pwned Passwords de Have I Been Pwned, et vous dit combien de fois le mot de passe a été vu dans de vraies fuites — le mot de passe lui-même ne quitte jamais cette page. Vous pouvez aussi vérifier jusqu’à 50 mots de passe à la fois, ou téléverser un fichier de hashes SHA-1. Le guide compagnon, votre mot de passe est-il dans une fuite de données ?, explique ce que signifie le nombre et ce qu’il faut faire ensuite ; pour repartir de zéro, utilisez le Générateur de mots de passe, et pour trouver des identifiants exposés sur un site actif, le Scanner de secrets divulgués.

Dernière mise à jour: 9 novembre 2026

Votre mot de passe ne quitte jamais cette page

Cette page hache votre mot de passe dans votre navigateur avec SHA-1 et envoie seulement les 5 premiers caractères du hash à Have I Been Pwned. Le mot de passe lui-même — et même son hash complet — ne quitte jamais votre appareil, n’est jamais stocké et n’est jamais journalisé. Le service répond avec tous les suffixes de hash qui partagent ces 5 caractères, et la correspondance est faite ici, sur votre appareil. Lisez comment fonctionne le modèle sur haveibeenpwned.com/Passwords.

Vérifier un mot de passe

Mot de passe à vérifier

Vérifier plusieurs à la fois

Mots de passe, un par ligne (jusqu’à 50)

Les doublons ne sont vérifiés qu’une fois. Les résultats n’affichent qu’un numéro (#1, #2…) — jamais le mot de passe lui-même. L’export CSV ne contient que des étiquettes et des nombres.

Les limites honnêtes

Ceci ne vérifie que le corpus de fuites Pwned Passwords — des mots de passe recueillis dans des centaines de fuites de données connues. “Introuvable” signifie “jamais vu dans des fuites connues”, pas “sûr”.

Aucune recherche de fuite par e-mail n’est proposée ici : l’API de fuites par e-mail de Have I Been Pwned est un service d’abonnement payant, donc cette page ne le promet pas gratuitement.

Données de fuites : Have I Been Pwned — Pwned Passwords (haveibeenpwned.com/Passwords).

Ce qu’est un corpus de fuites — et ce que signifie le nombre

Un corpus de fuites est une collection de mots de passe récoltés dans de vraies fuites de données : quand un service est compromis et que sa base de mots de passe fuit, les mots de passe qu’elle contient — généralement stockés sous forme de hashes — sont recueillis, dédupliqués et indexés pour que chacun puisse demander si un mot de passe donné en fait partie. Le corpus Pwned Passwords de Have I Been Pwned contient plus d’un milliard de ces mots de passe, issus de centaines de fuites, et il continue de croître à mesure que de nouvelles fuites apparaissent. Cette échelle est tout l’intérêt de la vérification : un mot de passe que vous avez inventé en cinq secondes a très probablement été inventé, sous exactement la même forme, par des milliers d’autres personnes — et s’il a déjà figuré dans une base divulguée, les attaquants l’ont déjà sur une liste, prêts à l’essayer contre chaque page de connexion qu’ils peuvent atteindre.

La vérification fonctionne sans jamais révéler le mot de passe, grâce à une astuce appelée k-anonymat. Votre mot de passe est haché dans le navigateur avec SHA-1, ce qui produit une empreinte de 40 caractères ; seuls les 5 premiers caractères de cette empreinte sont envoyés au service. Le service renvoie tous les suffixes d’empreinte qui partagent ces 5 caractères — généralement environ huit cents — et votre navigateur cherche son propre suffixe dans cette liste, localement. Cinq caractères suffisent à cacher un mot de passe parmi des centaines de sosies, et sont assez courts pour que le service ne sache jamais quel mot de passe vous avez demandé. Le mot de passe lui-même ne traverse jamais le réseau, ne touche jamais un journal de serveur et n’apparaît jamais dans une URL.

Trouvé, introuvable — et que faire ensuite

Un nombre supérieur à zéro signifie que le mot de passe a été vu dans des fuites autant de fois. Un nombre en millions — “password” a été vu plus de cinquante millions de fois — signifie qu’il fait partie des premières hypothèses de chaque attaque par bourrage d’identifiants, et qu’il doit être changé partout où il est utilisé, en commençant par l’e-mail et la banque. Un petit nombre n’est pas non plus un blanc-seing : même une seule apparition signifie que le mot de passe figure dans le dictionnaire d’un attaquant, et c’est probablement aussi le signe qu’il suit un schéma devinable — un nom plus une année, un parcours de clavier, une phrase courante avec un chiffre substitué. La solution est la même dans les deux cas : remplacez-le par un mot de passe unique que vous n’avez jamais utilisé ailleurs, généré par le Générateur de mots de passe et conservé dans un gestionnaire de mots de passe, pas dans votre tête ni dans un fichier de notes.

Un nombre de zéro est une bonne nouvelle avec une limite stricte : le mot de passe n’a pas été vu dans les fuites que ce corpus connaît. Cela ne dit rien de sa solidité, de sa devinabilité, ni du fait qu’il se trouve déjà dans une fuite qui n’a pas encore fait surface. Un mot de passe court et familier peut être absent du corpus et pourtant tomber devant une attaque par devinette en quelques minutes, et un mot de passe réutilisé sur dix sites est à une fuite de les perdre tous les dix. Considérez “introuvable” comme une permission de garder un mot de passe seulement s’il est aussi long, aléatoire et utilisé à un seul endroit. S’il échoue à l’un de ces trois tests, changez-le quand même — la vérification vous parle d’exposition, pas de solidité.

Ne collez jamais un mot de passe dans un chatbot ou un assistant IA pour demander s’il est sûr. Un chat conserve une transcription : votre mot de passe serait stocké sur les serveurs de quelqu’un d’autre, utilisé pour entraîner ou affiner des modèles, et peut-être cité tel quel dans une réponse ultérieure — exactement le contraire de ce à quoi sert une vérification de fuite. La même règle s’applique à tout site web qui vous demande de taper un mot de passe dans son formulaire et promet de le juger : à moins que la page ne hache localement et ne vous montre le mécanisme, comme celle-ci, supposez que le mot de passe est envoyé et stocké. Une vérification de fuite vaut la peine précisément parce qu’elle peut se faire sans remettre le secret à qui que ce soit, et cette propriété mérite d’être protégée même quand la question semble petite.

La vérification, en termes simples

K-anonymat	Seuls les 5 premiers caractères du hash du mot de passe quittent le navigateur. Le service ne peut pas savoir lequel des centaines de mots de passe partageant ce préfixe vous avez demandé.
Hash SHA-1	Une empreinte de 40 caractères du mot de passe, calculée dans votre navigateur. Le même mot de passe produit toujours la même empreinte, et l’empreinte ne peut pas être inversée pour retrouver le mot de passe.
Corpus Pwned Passwords	Plus d’un milliard de mots de passe recueillis dans des centaines de fuites de données connues, maintenu par Have I Been Pwned et mis à jour à mesure que de nouvelles fuites apparaissent.
API de plages	Le point de terminaison public, gratuit et sans clé de HIBP que cette page appelle : avec un préfixe de 5 caractères, il renvoie chaque suffixe correspondant avec son nombre de fuites, une ligne SUFFIX:count chacun.
Nombre de fuites	Combien de fois le mot de passe a été vu dans le corpus. Un nombre de 1 signifie déjà qu’il figure dans le dictionnaire d’un attaquant ; des millions signifient qu’il fait partie des premières hypothèses essayées.
Introuvable	Le suffixe du hash du mot de passe est absent de la plage renvoyée — il n’a pas été vu dans des fuites connues. Ce n’est pas un verdict selon lequel le mot de passe est solide ou sûr.
Collage en lot	Jusqu’à 50 mots de passe, un par ligne. Les doublons ne sont vérifiés qu’une fois, les mots de passe partageant un préfixe de 5 caractères partagent une requête, et les résultats ne montrent que des numéros — jamais les mots de passe.
Fichier de hashes	Jusqu’à 500 hashes SHA-1, un par ligne, pour vérifier des mots de passe que vous ne voulez pas taper du tout. Les lignes invalides sont listées comme ignorées ; les résultats montrent un hash tronqué.
Export CSV	Les résultats en lot sous forme de tableur : étiquette masquée et nombre de fuites uniquement. Aucun mot de passe en clair et aucun hash complet n’atteint jamais le fichier téléchargé.
Fuites par e-mail	Non proposées ici. Savoir si une adresse e-mail figure dans des fuites exige l’API payante par e-mail de HIBP, donc cette page ne promet aucune recherche gratuite par e-mail.

Questions fréquentes

Mon mot de passe est-il envoyé à Have I Been Pwned ?

Non. Votre navigateur hache le mot de passe avec SHA-1 et envoie seulement les 5 premiers caractères du hash. Le service renvoie des centaines de suffixes correspondants et votre navigateur vérifie son propre suffixe localement. Le mot de passe lui-même — et même son hash complet — ne quitte jamais cette page, n’est jamais stocké et n’est jamais journalisé.

Que signifie “trouvé 52 millions de fois” ?

Cela signifie que ce mot de passe exact est apparu dans des bases de données divulguées 52 millions de fois, à travers de nombreuses fuites et comptes différents. C’est l’une des premières hypothèses de chaque attaque par bourrage d’identifiants, où les mots de passe volés sont essayés automatiquement contre des pages de connexion. Changez-le partout où il est utilisé, en commençant par votre e-mail et votre banque, et ne le réutilisez jamais.

Mon mot de passe est introuvable. Est-il sûr maintenant ?

Pas nécessairement. “Introuvable” signifie seulement qu’il n’a pas été vu dans les fuites que ce corpus connaît. Un mot de passe court ou prévisible peut être absent du corpus et pourtant tomber devant une devinette en quelques minutes, et un mot de passe réutilisé sur plusieurs sites est à une fuite de les perdre tous. Ne le gardez que s’il est long, aléatoire et utilisé à un seul endroit.

Pourquoi ne puis-je pas vérifier une adresse e-mail ici ?

Vérifier si une adresse e-mail figure dans des fuites utilise un autre service HIBP — l’API de fuites par e-mail — qui est un abonnement payant. Cette page utilise uniquement l’API de plages gratuite de Pwned Passwords, qui vérifie les mots de passe, pas les adresses e-mail, et il serait malhonnête de promettre la recherche par e-mail gratuitement.

Mon mot de passe a été trouvé dans une fuite. Que faire d’abord ?

Changez-le partout où vous l’utilisez, en commençant par les comptes qui protègent les autres — votre e-mail d’abord, puis la banque et les chemins de récupération de mot de passe — et ne réutilisez jamais l’ancien mot de passe nulle part. Générez un remplaçant neuf et unique avec le Générateur de mots de passe et conservez-le dans un gestionnaire de mots de passe. Si le même mot de passe protégeait plusieurs comptes, considérez-les tous comme exposés, car les attaquants essaient un mot de passe divulgué contre chaque service qu’ils peuvent atteindre.