Mots de passe aléatoires à base de lettres, de chiffres et de symboles via crypto.getRandomValues.
Vérification de mot de passe compromis
Réseau: HIBPNouveau
L'outil lui-même est en anglais ; cette page vous l'explique dans votre langue.
Utilisez Vérification de mot de passe compromis
Fonctionnalités
Vérifiez un mot de passe dans la liste Pwned Passwords de Have I Been Pwned sans l'envoyer : votre navigateur le hache en SHA-1 et ne demande que le préfixe de 5 caractères de ce hash (k-anonymat).
Seuls les 5 premiers caractères du hachage SHA-1 du mot de passe sont envoyés à Have I Been Pwned (api.pwnedpasswords.com) ; le mot de passe lui-même ne quitte jamais le navigateur.
Comment utiliser Vérification de mot de passe compromis
- Choisissez ce que vous vérifiez. Sous What to check, choisissez A password (un mot de passe), ou Its SHA-1 hash (son hash SHA-1) si vous n'avez que le hash hexadécimal de 40 caractères.
- Saisissez-le. Saisissez le mot de passe dans le champ masqué ; Show l'affiche. Faites-le sur un appareil de confiance.
- Lancez la vérification. Appuyez sur Check ou sur Entrée. Votre navigateur hache le mot de passe en SHA-1 et ne demande à api.pwnedpasswords.com que les 5 premiers caractères de ce hash.
- Lisez le résultat. L'encadré coloré indique Found avec un nombre, ou Not found. Les trois champs en dessous montrent ce qui a été envoyé, combien de suffixes sont revenus et si votre hash correspond.
- Agissez et effacez. Si le mot de passe a été trouvé, changez-le partout où vous l'utilisez et activez l'authentification à deux facteurs. Appuyez sur Clear pour vider le champ et le résultat.
Exemple
Un mot de passe présent dans toutes les listes de fuites
passwordFound 52,372,427 times in the Pwned Passwords breach corpus. Do not use this password. Change it wherever you use it, give every account its own password (a password manager makes that practical) and turn on two-factor authentication.
SENT TO THE SERVICE
5BAA6 (5 of 40 characters)
SUFFIXES RETURNED
1,978 + 135 padding rows
MATCHED IN YOUR BROWSER
yesTrouvé plus de 50 millions de fois. Seule donnée envoyée : le préfixe de hash 5BAA6 ; le SHA-1 complet 5BAA61E4C9B93F3F0682250B6CF8331B7EE68FD8 est comparé dans le navigateur.
Ce qu'il vérifie
| Signal | Ce que cela signifie |
|---|---|
| Found N times | Votre hash exact figure N fois dans le corpus de fuites Pwned Passwords. Les attaquants essaient ces mots de passe en premier : cessez de l'utiliser partout. |
| Not found | Le hash ne figure pas dans le corpus. Un mot de passe court ou prévisible peut quand même être deviné. |
| Sent to the service | Le préfixe de 5 caractères : la seule partie du hash qui quitte votre navigateur. La requête ne transporte ni cookies ni référent, mais le service voit votre adresse IP, comme pour toute requête web. |
| Suffixes returned | Le nombre de vrais suffixes de hash qui partagent ce préfixe, plus des lignes de remplissage avec un compte de 0 que l'outil demande pour que la taille de la réponse ne révèle rien. |
| Matched in your browser | yes ou no : le reste de votre hash a été comparé à la liste renvoyée, sur votre appareil. |
| A SHA-1 hash has exactly 40 hex characters (0-9, a-f). | Le mode hash a rejeté la saisie et rien n'a été envoyé. Majuscules ou minuscules et espaces autour du hash sont acceptés. |
| Could not reach api.pwnedpasswords.com | Vous êtes hors ligne, ou une extension ou un filtre réseau bloque la requête. Rien n'a été vérifié. |
| Too many requests to Pwned Passwords | Le service a répondu HTTP 429. Attendez quelques secondes et réessayez. |
D'autres exemples
Un mot de passe en tête des listes de fuites
123456Found 210,461,208 times (vérifié le 22 octobre 2026). Sent to the service : 7C4A8. Matched in your browser : yes.
Une phrase de passe d'exemple célèbre
correct horse battery stapleFound 391 times (vérifié le 22 octobre 2026). Seul ABF7A a été envoyé. Une longue phrase qui a été publiée figure quand même dans les listes de fuites.
Un hash auquel il manque un caractère
Its SHA-1 hash: 7c4a8d09ca3762af61e59520943dc26494f8941A SHA-1 hash has exactly 40 hex characters (0-9, a-f). Rien n'est envoyé.
FAQ
Qu'est-ce qui est envoyé exactement à Have I Been Pwned ?
Uniquement les 5 premiers caractères hexadécimaux du hash SHA-1 du mot de passe, par exemple 5BAA6. Le service répond avec tous les suffixes de hash qui commencent par eux, plus des lignes de remplissage qui masquent la taille réelle de la réponse, et votre navigateur cherche le reste du hash dans cette liste.
Non trouvé signifie-t-il que le mot de passe est sûr ?
Non. Cela signifie seulement que le mot de passe ne figure pas dans le corpus de fuites de Pwned Passwords ; un mot de passe court ou prévisible peut quand même être deviné rapidement. Un résultat positif est fiable, car les attaquants essaient en premier les mots de passe issus des listes de fuites.
Puis-je vérifier un hash au lieu du mot de passe ?
Oui. Choisissez Its SHA-1 hash et collez le hash hexadécimal de 40 caractères ; le même préfixe de 5 caractères est envoyé. La page n'enregistre ni le mot de passe ni le hash, et Clear vide le champ et le résultat.
Have I Been Pwned peut-il retrouver mon mot de passe à partir du préfixe ?
Non. Chaque préfixe de 5 caractères est partagé par de nombreux hashs, et la réponse les contient toujours tous, plus du remplissage : le service ne peut donc pas savoir lequel est le vôtre, à supposer qu'il y en ait un.
Pourquoi SHA-1, alors que SHA-1 est considéré comme faible ?
Le service de plages de Pwned Passwords est organisé par hash SHA-1 : la recherche doit donc l'utiliser. Ici, le hash ne sert que de clé de recherche ; la confidentialité vient de l'envoi de 5 de ses 40 caractères seulement.
Pourquoi le nombre est-il si élevé pour certains mots de passe ?
Le nombre indique combien de fois le mot de passe apparaît dans l'ensemble des fuites du corpus, et des choix courants comme 123456 ont été utilisés par des millions de comptes distincts. Tout nombre supérieur à zéro signifie que le mot de passe figure déjà dans les listes des attaquants.
Cet outil vérifie-t-il si mon adresse e-mail a fuité ?
Non. Il vérifie uniquement les mots de passe. Pour savoir si une adresse e-mail apparaît dans une fuite connue, utilisez directement le site Have I Been Pwned.