Accueil › Sécurité

Guide

Ton mot de passe a-t-il fuité ? Vérifier, et agir dans le bon ordre

Un mot de passe qui fuite, ce n'est presque jamais toi qu'on a piraté : c'est un site où tu avais un compte. Voici comment le vérifier sans risque, et quoi faire ensuite — dans un ordre qui compte beaucoup plus qu'on ne le croit.

Testlibre est financé par l'affiliation : si tu achètes via un lien de cette page, nous touchons une commission, sans surcoût pour toi. Cela ne change ni nos tests ni nos conclusions — nous citons aussi des concurrents que nous ne monétisons pas.

La réponse courte

Va sur Have I Been Pwned et tape ton adresse e-mail : le site te dira dans quelles fuites connues elle apparaît. Si ton navigateur ou ton téléphone t'a déjà affiché « ce mot de passe a été trouvé dans une fuite », la réponse est déjà oui — ce n'est pas une publicité déguisée.

Si c'est le cas, l'urgence n'est pas de tout changer dans le désordre : commence par ta boîte mail, puis les comptes de paiement, puis le reste. Et si tu réutilises le même mot de passe ailleurs, le vrai correctif n'est pas un nouveau mot de passe, c'est d'arrêter de les réutiliser.

Comment ton mot de passe fuite réellement

L'image qu'on a en tête — un pirate qui te cible, toi — est presque toujours fausse. Le scénario réel est industriel :

1. Un service tiers se fait compromettreUn forum, une boutique, une vieille application oubliée. Sa base part avec les adresses e-mail et les mots de passe, parfois protégés par un hachage obsolète.
2. La base circule et se recoupeRevendue, puis agrégée dans des compilations qui rassemblent des dizaines de sources.
3. Les couples e-mail / mot de passe sont testés ailleursC'est le credential stuffing : des scripts les essaient en masse sur les grands services. Pas besoin de te connaître, il suffit d'essayer.
4. Un essai réussit, l'effet domino démarreLe compte ouvert sert à en ouvrir d'autres, par réinitialisation ou grâce à ce qu'il contient.

Conclusion directe : la réutilisation est le vrai problème, pas la complexité. Un mot de passe très compliqué mais utilisé sur quinze sites tombe dès que le plus faible des quinze est piraté ; un mot de passe banal mais unique ne met en danger qu'un compte. Autre point : entre la compromission d'un site et la circulation de sa base, il se passe souvent des mois. Tu peux être exposé longtemps sans aucun signal.

Les trois façons de vérifier

1. Have I Been Pwned

La référence historique, tenue par un chercheur en sécurité, et gratuite. Tu entres ton adresse e-mail, elle te répond dans quelles fuites répertoriées elle apparaît, avec la date et la nature des données, et peut te prévenir des fuites futures. Sa limite : elle dit qu'un compte lié à cette adresse a fuité, rarement lequel de tes mots de passe.

2. Les alertes du navigateur et du téléphone

Chrome, Firefox, Edge et le trousseau d'Apple vérifient les identifiants que tu leur as confiés et t'alertent quand l'un apparaît dans une fuite. C'est le moyen le plus efficace parce qu'il est passif. Sa limite : ils ne surveillent que ce qui est enregistré chez eux, pas ce que tu tapes de mémoire.

3. Le scanner d'un gestionnaire de mots de passe

Les gestionnaires dédiés appliquent la même vérification à tout ton coffre. NordPass le fait avec son scanner de fuites, plus une analyse de santé qui repère les mots de passe faibles, anciens et surtout réutilisés. C'est ce point qui vaut le détour : tes doublons, c'est la carte de tes vulnérabilités. On détaille ses limites dans notre test complet de NordPass.

Pourquoi ces services ne reçoivent jamais ton mot de passe

La question est légitime : envoyer son mot de passe à un site pour savoir s'il a fuité ressemble à une très mauvaise idée. Ce n'est pas ce qui se passe — la méthode s'appelle le k-anonymat :

1. Ton appareil calcule localement une empreinte (un hachage) de ton mot de passe, dont on ne peut pas remonter au mot de passe.
2. Il n'envoie que les cinq premiers caractères de cette empreinte.
3. Le service renvoie toutes les empreintes de fuites commençant par ces cinq caractères — souvent des centaines.
4. La comparaison se fait sur ton appareil. Le service ne saura jamais laquelle correspondait, ni même si l'une correspondait.

La procédure, dans l'ordre

L'ordre n'est pas cosmétique : verrouille d'abord ce qui déverrouille le reste.

1. 1. La boîte mail, avant toutChaque bouton « mot de passe oublié » y aboutit. Tant qu'elle n'est pas sécurisée, changer le reste ne sert à rien. Mot de passe long et unique, double authentification dans la foulée.
2. 2. Les comptes bancaires et de paiementBanque, portefeuilles en ligne, boutiques avec une carte enregistrée. Vérifie les opérations et moyens de paiement que tu ne reconnais pas.
3. 3. Les comptes qui portent ton identitéRéseaux sociaux, stockage en ligne, comptes administratifs. Ce sont eux qui servent à se faire passer pour toi.
4. 4. Le reste, en commençant par les doublonsChaque site où tu utilisais ce mot de passe ou une variante. Un gestionnaire donne la liste exacte.
5. 5. Révoque les sessions activesChanger un mot de passe ne déconnecte pas toujours celui qui est déjà connecté : cherche « appareils connectés » dans les réglages, et déconnecte tout. Vérifie aussi les redirections automatiques de ta messagerie, qui survivent au changement de mot de passe.

La double authentification, le seul filet qui tienne

Un mot de passe volé ne suffit plus si un second facteur est exigé : c'est la mesure au meilleur rapport effort / bénéfice. Mais toutes ne se valent pas :

Ce qui fait un bon mot de passe en 2026

La longueur bat la complexité

« Tr0ub4dor&3 » a l'air compliqué et se retient mal. Une phrase de passe de quatre ou cinq mots sans rapport entre eux est plus longue, donc plus coûteuse à casser par force brute, et bien plus facile à mémoriser. Les substitutions folkloriques — zéro à la place du o — n'ajoutent presque rien : les outils d'attaque les testent en priorité.

Les seuls mots de passe à retenir sont celui de ta messagerie et celui de ton gestionnaire. Le reste n'a pas à être mémorisé.

Le changement forcé tous les 90 jours est une pratique abandonnée

C'est un dogme d'entreprise que les grands référentiels de sécurité ont abandonné : les recommandations actuelles déconseillent explicitement l'expiration périodique en l'absence d'indice de compromission. La raison est comportementale : forcé de changer tous les trimestres, un humain applique un incrément prévisible — un chiffre à la fin, une majuscule déplacée — trivial à deviner depuis l'ancien.

La règle actuelle tient en une ligne : long, unique, et changé seulement s'il y a une raison — fuite avérée, doute, appareil perdu.

Pourquoi un gestionnaire règle le problème à la racine

Tous ces conseils butent sur le même mur : personne ne mémorise cent mots de passe uniques. Un gestionnaire supprime la contrainte au lieu d'exiger un effort surhumain : il génère, stocke, remplit. Tu retiens une phrase de passe, l'unicité devient automatique — et une fuite chez un commerçant reste chez ce commerçant.

Bénéfice secondaire souvent ignoré : le remplissage automatique ne fonctionne pas sur un faux site, parce que le domaine ne correspond pas. C'est une protection anti-phishing gratuite, plus fiable que ton œil. Même logique pour tes fichiers sensibles, qu'un coffre chiffré comme NordLocker protège même si un compte a été ouvert.

Navigateur, iPhone ou gestionnaire dédié : la réponse honnête

Disons-le clairement : le gestionnaire intégré à Chrome, Firefox ou au trousseau iCloud est déjà très largement mieux que rien. Gratuit, déjà installé, chiffré, il génère des mots de passe corrects et alerte en cas de fuite. Si tu passes du même mot de passe partout au trousseau de ton téléphone, tu as réglé l'essentiel — n'attends pas de payer un outil pour t'y mettre.

Un gestionnaire dédié apporte réellement plus dans quelques cas précis. Hors de ces cas, l'écart est faible :

Questions fréquentes

Ce qu'il faut retenir

Vérifier prend deux minutes et ne t'expose à rien. Si tu es concerné, la boîte mail passe en premier, toujours. Et la seule mesure qui empêche que ça recommence, c'est l'unicité — un mot de passe par site, tenable seulement avec un gestionnaire. Commence par celui de ton navigateur si tu veux ; l'important est de commencer. Pour un outil qui couvre tous tes appareils et t'alerte en cas de fuite, NordPass est celui que nous utilisons.