Vérificateur de fuite de mot de passe
Vérifiez si un mot de passe figure dans des fuites de données via l’API range de Have I Been Pwned. Seuls les 5 premiers caractères de son hash SHA-1 quittent votre navigateur.
Utilise l’API par plages de Have I Been Pwned avec k-anonymat : seuls les 5 premiers caractères hexadécimaux du hash SHA-1 quittent votre navigateur, et la comparaison avec les suffixes renvoyés se fait localement.
Cet outil envoie votre requête à un service externe pour obtenir des données en direct.
Qu'est-ce que Vérificateur de fuite de mot de passe ?
Cet outil indique si un mot de passe figure dans la base Pwned Passwords de Have I Been Pwned, qui recense les mots de passe exposés lors de vraies fuites de données, et combien de fois. Il utilise le k-anonymat : ni le mot de passe ni son hash complet ne sont jamais envoyés.
Comment utiliser Vérificateur de fuite de mot de passe
- Saisissez le mot de passe dans le champ Mot de passe.
- Cliquez sur Vérifier les fuites.
- Lisez le résultat : combien de fois il a été vu dans des fuites, ou introuvable.
- Comparez le hash SHA-1 et le préfixe de 5 caractères réellement envoyé.
Exemple
password
SHA-1 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8; prefix sent: 5BAA6; found in data breaches millions of times
Le nombre exact change à mesure que Have I Been Pwned ajoute de nouvelles fuites.
Quand utiliser Vérificateur de fuite de mot de passe
Utilisez-le avant d’adopter un mot de passe et chaque fois que vous soupçonnez la fuite d’un ancien mot de passe. Un mot de passe introuvable peut rester faible : vérifiez aussi sa robustesse. Nécessite une connexion Internet.
Comment fonctionne Vérificateur de fuite de mot de passe
Le navigateur calcule le hash SHA-1 du mot de passe avec Web Crypto, n’envoie que les 5 premiers caractères hexadécimaux à https://api.pwnedpasswords.com/range/{prefix}, et reçoit plusieurs centaines de suffixes de hash avec leurs compteurs. Le hash complet est comparé à ces suffixes en local. Comme des milliers de mots de passe partagent chaque préfixe, le service ne peut pas savoir lequel vous avez vérifié.
Cas d'utilisation courants
- Vérifier si un ancien mot de passe figure dans des fuites connues
- Valider un nouveau mot de passe avant de l’utiliser
- Démontrer le k-anonymat en formation sécurité
- Contrôler ponctuellement des mots de passe face aux données de fuites comme le recommande le NIST
Note de Sécurité
Cet outil envoie le préfixe SHA-1 de 5 caractères à api.pwnedpasswords.com (Have I Been Pwned). Aucune autre donnée n’est transmise.
Questions Fréquentes
Est-il sûr de saisir mon mot de passe ici ?
Seuls les 5 premiers caractères hexadécimaux du hash SHA-1 sont envoyés à Have I Been Pwned ; le mot de passe et le hash complet restent dans votre navigateur. Vous pouvez le vérifier dans l’onglet Réseau de votre navigateur.
Que signifie un mot de passe trouvé ?
Il figure dans les listes de mots des attaquants. Cessez de l’utiliser partout, même si la fuite concernait un autre site.
« Introuvable » signifie-t-il que mon mot de passe est sûr ?
Cela signifie seulement qu’il n’est pas dans le jeu de données Pwned Passwords. Il peut quand même être facile à deviner.
Pourquoi SHA-1 ?
L’API Pwned Passwords indexe les mots de passe par SHA-1. Ici, SHA-1 ne sert que de clé de recherche, pas à stocker des mots de passe.