Comment Vérifier si Votre Mot de Passe a Fuité : Guide Complet 2026

Chaque année, des milliards d'identifiants fuient sur le web suite à des violations de données. En 2024, le site Have I Been Pwned recensait plus de 13 milliards de comptes compromis. La question n'est donc plus de savoir si ton mot de passe risque de fuiter, mais quand et comment le vérifier. Ce guide t'explique étape par étape comment détecter une compromission, quels outils utiliser en toute sécurité, et surtout comment réagir efficacement.

Qu'est-ce qu'un mot de passe compromis ?

Un mot de passe compromis est un identifiant qui s'est retrouvé exposé publiquement ou vendu sur le dark web, généralement à la suite d'une fuite de données (data breach) d'un service en ligne. Une fois exposé, il est intégré dans des bases de données utilisées par les cybercriminels pour des attaques automatisées.

Les principales causes de fuite

Piratage d'un service : LinkedIn, Facebook, Dropbox ou Adobe ont tous subi des violations massives.
Phishing : tu entres tes identifiants sur un faux site qui les récupère.
Malware : un logiciel malveillant installé sur ton appareil vole tes mots de passe stockés.
Réutilisation de mot de passe : si tu utilises le même mot de passe partout, une seule fuite compromet tous tes comptes.
Bases de données mal sécurisées : certaines entreprises stockent encore les mots de passe en clair ou avec un chiffrement faible.

Pourquoi c'est critique

Un mot de passe compromis ouvre la porte à l'usurpation d'identité, au vol financier, au piratage de tes réseaux sociaux ou même à l'extorsion. Les attaques par credential stuffing (test automatisé de combinaisons email/mot de passe sur des milliers de sites) exploitent précisément ces fuites.

Les meilleurs outils pour vérifier un mot de passe compromis

Plusieurs services gratuits et fiables permettent de vérifier si tes identifiants ont fuité. Voici les plus recommandés en 2026.

1. Have I Been Pwned (HIBP)

Créé par le chercheur australien Troy Hunt, Have I Been Pwned (haveibeenpwned.com) est la référence mondiale. Il recense les fuites publiques et permet de vérifier :

Si ton adresse email figure dans une fuite connue.
Si un mot de passe spécifique a déjà été exposé (via la page "Pwned Passwords").

Le service utilise un système de k-anonymat : tu n'envoies jamais ton mot de passe complet, mais seulement les 5 premiers caractères de son hash SHA-1. C'est totalement sécurisé.

2. Firefox Monitor / Mozilla Monitor

Mozilla propose Mozilla Monitor (monitor.mozilla.org), basé sur la base de HIBP mais avec une interface en français et des alertes automatiques par email si une nouvelle fuite te concerne.

3. Google Password Checkup

Intégré au gestionnaire de mots de passe Google (passwords.google.com), cet outil analyse automatiquement tous tes mots de passe enregistrés dans Chrome et te signale ceux qui sont compromis, faibles ou réutilisés.

4. Apple Keychain (Trousseau iCloud)

Depuis iOS 14, Apple intègre une fonction "Recommandations de sécurité" dans Réglages → Mots de passe. Elle détecte les fuites via une comparaison chiffrée avec les bases de données connues.

5. 1Password Watchtower et Bitwarden Reports

Les gestionnaires de mots de passe premium comme 1Password (Watchtower) ou Bitwarden (Data Breach Report) analysent en continu tes identifiants et t'alertent en cas de problème.

Comparatif des outils de vérification

Outil	Gratuit	Vérification email	Vérification mot de passe	Alertes auto	Langue FR
Have I Been Pwned	✅	✅	✅	✅ (email)	❌
Mozilla Monitor	✅	✅	❌	✅	✅
Google Password Checkup	✅	✅	✅	✅	✅
Apple Keychain	✅	✅	✅	✅	✅
1Password Watchtower	❌ (3€/mois)	✅	✅	✅	✅
Bitwarden Reports	Freemium	✅	✅	✅	✅

Comment vérifier ton mot de passe étape par étape

Méthode 1 : Vérifier avec Have I Been Pwned

Rends-toi sur haveibeenpwned.com.
Dans la barre de recherche, saisis ton adresse email principale.
Clique sur "pwned?". Si le site est vert, tu es safe. Si il est rouge, la liste des fuites s'affiche.
Pour vérifier un mot de passe spécifique, va dans l'onglet "Passwords".
Saisis le mot de passe à tester. Le site te dira combien de fois il apparaît dans les fuites connues.
Si le compteur est supérieur à zéro, change-le immédiatement sur tous les sites où tu l'utilises.

Méthode 2 : Utiliser Google Password Checkup

Ouvre passwords.google.com et connecte-toi à ton compte Google.
Clique sur "Vérifier les mots de passe".
Google analyse tous tes mots de passe enregistrés et affiche trois catégories : compromis, réutilisés, faibles.
Pour chaque mot de passe compromis, clique sur "Modifier le mot de passe" pour être redirigé vers le site concerné.

Méthode 3 : Activer les alertes automatiques

Sur HIBP, clique sur "Notify me" et renseigne ton email.
Valide le lien de confirmation reçu par email.
Tu recevras désormais une alerte automatique à chaque nouvelle fuite te concernant.

Est-ce sécurisé d'entrer son mot de passe sur ces sites ?

Question légitime ! La réponse est oui, pour les outils recommandés ci-dessus, grâce à des techniques cryptographiques avancées :

K-anonymat : seuls les 5 premiers caractères du hash SHA-1 de ton mot de passe sont envoyés au serveur. Le site renvoie ensuite une liste de hashs correspondants, et la comparaison finale se fait localement dans ton navigateur.
Aucun stockage : ni HIBP, ni Mozilla, ni Google ne conservent les mots de passe testés.
Open source : le code de HIBP est public, vérifiable par la communauté.

Attention : évite les sites inconnus qui proposent la même fonction. Beaucoup sont des pièges destinés à collecter tes identifiants. Reste sur les outils officiels listés ici.

Que faire si ton mot de passe a fuité ?

Si la vérification confirme une compromission, agis rapidement en suivant ces étapes :

1. Change immédiatement le mot de passe

Commence par le compte directement concerné, puis par tous les autres comptes où tu utilises (ou réutilises) ce mot de passe. Crée un mot de passe unique, long (16 caractères minimum), mélangeant majuscules, minuscules, chiffres et symboles.

2. Active l'authentification à deux facteurs (2FA)

La 2FA ajoute une couche de sécurité critique. Même si ton mot de passe fuite, l'attaquant ne pourra pas se connecter sans le second facteur. Privilégie les applications d'authentification (Aegis, Authy, Google Authenticator) ou les clés de sécurité physiques (YubiKey) plutôt que le SMS.

3. Utilise un gestionnaire de mots de passe

Bitwarden (gratuit, open source), 1Password ou KeePassXC te permettent de générer et stocker des mots de passe uniques pour chaque service, sans avoir à les retenir.

4. Surveille tes comptes bancaires et emails

Vérifie les connexions récentes dans tes comptes (Gmail, Outlook, banque). Signale toute activité suspecte et active les notifications de connexion.

5. Déclare l'incident si nécessaire

Si tu subis un préjudice (vol d'argent, usurpation), dépose plainte auprès de la police et signale l'incident à la CNIL via cnil.fr. En Suisse, consulte notre guide sur comment déposer plainte auprès du PFPDT.

Comment éviter les futures fuites de mot de passe

Adopte des mots de passe uniques et robustes

La règle d'or : un mot de passe différent par service. Un gestionnaire de mots de passe rend cette pratique facile et indolore.

Privilégie les passkeys quand possible

Les passkeys (clés d'accès) remplacent progressivement les mots de passe. Basées sur la cryptographie asymétrique, elles sont immunisées au phishing et aux fuites de base de données. Google, Apple, Microsoft et de plus en plus de services les supportent.

Limite ta surface d'exposition

Moins tu crées de comptes, moins tu risques de fuite. Supprime les comptes inutiles et pense à supprimer tes données d'internet régulièrement.

Protège-toi du tracking et du phishing

Les attaques de phishing restent le vecteur numéro un de vol d'identifiants. Utilise un navigateur sécurisé (Firefox, Brave), un DNS chiffré (Quad9, Cloudflare 1.1.1.1), et apprends à bloquer les traceurs sur ton téléphone.

Vérifie les liens avant de cliquer

Les liens raccourcis peuvent dissimuler des pages de phishing. Utilise un service de raccourcissement d'URL transparent et conforme RGPD comme Lunyb, qui te permet aussi de prévisualiser les destinations avant redirection. Tu peux également générer des QR codes sécurisés avec Lunyb pour partager des liens en toute confiance.

RGPD et obligations légales en cas de fuite

Depuis l'entrée en vigueur du RGPD en 2018, toute entreprise victime d'une fuite de données doit :

Notifier la CNIL dans un délai de 72 heures après avoir pris connaissance de la violation.
Informer les personnes concernées sans délai si la fuite présente un risque élevé pour leurs droits et libertés.
Documenter la violation dans un registre interne.

En tant qu'utilisateur, tu as le droit d'être informé et de porter plainte auprès de la CNIL si une entreprise manque à ses obligations. Les sanctions peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.

FAQ : Vérifier un mot de passe compromis

Est-ce que Have I Been Pwned est vraiment sûr ?

Oui. Le site utilise le k-anonymat : ton mot de passe complet n'est jamais transmis. Seule une partie du hash SHA-1 est envoyée au serveur, et la comparaison finale se fait dans ton navigateur. Le service est utilisé par Firefox, 1Password, Cloudflare et le gouvernement britannique.

À quelle fréquence dois-je vérifier mes mots de passe ?

Idéalement tous les 3 à 6 mois, et immédiatement dès qu'une grande fuite médiatisée est annoncée. En activant les alertes automatiques sur HIBP ou Mozilla Monitor, tu es notifié dès qu'une nouvelle fuite te concerne.

Mon mot de passe apparaît dans HIBP mais je ne l'ai jamais utilisé sur un site piraté. Pourquoi ?

C'est normal si ton mot de passe est courant (ex: "Soleil123!"). HIBP recense des milliards de mots de passe exposés, incluant tous ceux déjà utilisés par d'autres personnes. Même sans fuite personnelle, un mot de passe déjà vu est à proscrire car les attaquants l'essaieront.

Le gestionnaire de mots de passe du navigateur est-il suffisant ?

Chrome, Firefox et Safari proposent des gestionnaires honnêtes avec détection de fuites. Pour un usage personnel basique, c'est suffisant. Pour une sécurité renforcée (partage sécurisé, audits, stockage de documents, support multi-plateforme), un gestionnaire dédié comme Bitwarden ou 1Password est préférable.

Que faire si plusieurs de mes comptes ont fuité en même temps ?

Change d'abord les mots de passe des comptes les plus critiques : email principal, banque, services d'État (impots.gouv.fr, Ameli), puis réseaux sociaux. Active la 2FA partout. Enfin, utilise un gestionnaire de mots de passe pour générer un identifiant unique par service et éviter que la situation se reproduise.

Conclusion

Vérifier si un mot de passe a fuité est une pratique de cyber-hygiène essentielle en 2026. Avec des outils gratuits et sécurisés comme Have I Been Pwned, Mozilla Monitor ou Google Password Checkup, cela te prend moins de cinq minutes. L'enjeu réel n'est pas la vérification elle-même, mais ta réaction : changer immédiatement les mots de passe compromis, activer la 2FA, et adopter un gestionnaire de mots de passe pour ne plus jamais réutiliser le même identifiant. La sécurité en ligne est un marathon, pas un sprint : fais de ces vérifications une habitude trimestrielle.