Have I Been Pwned password : ce que la vérification protège vraiment

• Hachage SHA-1 local : le mot de passe est transformé sur votre appareil avant tout envoi.
• k-anonymity : seuls les 5 premiers caractères du hash SHA-1 sont transmis, le reste de la comparaison se fait côté client.
• API Pwned Passwords librement accessible, sans clé ni compte pour les vérifications de base.
• Downloader gratuit et open source pour récupérer tout le corpus et exécuter les vérifications hors ligne.
• Infrastructure Cloudflare : plus de 18 milliards de requêtes par mois et 335 points de présence selon l'éditeur.
• Service de base gratuit, sans stockage des mots de passe testés.

Oui, le mécanisme est fiable pour ce qu'il fait : détecter un mot de passe déjà présent dans une fuite. Le hachage local et l'envoi partiel du hash empêchent le service de recevoir le mot de passe en clair.

La limite tient au périmètre : un mot de passe absent du corpus peut quand même être faible ou réutilisé ailleurs. Pour un avis complet sur le service, consultez notre avis Have I Been Pwned.

Un résultat positif signifie que le mot de passe testé apparaît dans au moins une fuite connue. Il faut le remplacer immédiatement sur tous les sites où il est utilisé, puis activer la double authentification.

Un gestionnaire de mots de passe permet de générer un mot de passe unique par service et d'éviter la réutilisation. La page have i been pwned détaille les autres vérifications disponibles (e-mails, domaines).

Le mot de passe n'est jamais transmis. Le navigateur ou le client calcule le hash SHA-1, puis envoie uniquement les cinq premiers caractères de ce hash. Le serveur renvoie la liste des suffixes correspondants, et la comparaison finale se fait localement.

Ce procédé, appelé k-anonymity, empêche le service de connaître le mot de passe testé. L'API Pwned Passwords est accessible librement, ce qui permet des intégrations dans des outils tiers.

Le service principal est en anglais. Il n'existe pas de version française officielle du site, mais l'interface reste simple : un champ de recherche pour les mots de passe et pour les e-mails. Les résultats sont des listes de fuites avec des noms de services.

Pour une utilisation en français, il faut passer par des ressources tierces ou des gestionnaires de mots de passe qui intègrent l'API. La page have i been pwned français gratuit précise ce qui est accessible sans payer.

Le service communique sur son infrastructure Cloudflare et sur l'adoption de son API par des agences comme le NIST, la CISA ou Europol. Le code du downloader Pwned Passwords est open source, ce qui permet de vérifier son fonctionnement.

Aucun incident de sécurité majeur affectant le service lui-même n'est mentionné dans les références disponibles. La conception limite les risques : pas de stockage de mots de passe, pas de coffre, pas de données sensibles conservées.

1. Vérifier un mot de passe sur le site officiel

   Saisir le mot de passe dans le champ dédié. Le hash SHA-1 est calculé localement et seuls 5 caractères sont envoyés. Le résultat indique le nombre de fuites où il apparaît.

2. Remplacer immédiatement tout mot de passe signalé

   Si le résultat est positif, changer le mot de passe sur chaque service où il est utilisé. Opter pour un mot de passe unique généré par un gestionnaire.

3. Activer la double authentification

   Sur les comptes critiques (messagerie, banque, réseaux sociaux), activer la 2FA. Un mot de passe compromis ne suffit alors plus à ouvrir le compte.

4. Utiliser l'API ou le downloader pour des vérifications hors ligne

   Pour éviter tout envoi, télécharger le corpus via le downloader open source et exécuter les comparaisons localement. L'API Pwned Passwords reste accessible gratuitement pour des intégrations.

5. Configurer des alertes pour les e-mails

   Le service permet de s'abonner aux notifications pour une adresse e-mail. Une alerte est envoyée lorsqu'une nouvelle fuite inclut cette adresse. La surveillance d'e-mails est payante (offre Core à 4,39 $/mois, facturée 52,68 $/an).

6. Intégrer la vérification dans un gestionnaire de mots de passe

   Des gestionnaires comme 1Password ou Bitwarden intègrent l'API Pwned Passwords pour signaler les mots de passe compromis. Vérifier que l'option est activée dans les réglages de sécurité.

Le service ne stocke pas de mots de passe et ne propose pas de coffre-fort. Il ne génère pas de mots de passe et ne les partage pas. La vérification ne dit rien sur la robustesse intrinsèque d'un mot de passe absent du corpus.

Un mot de passe peut être faible sans avoir fuité. La protection réelle vient de l'usage d'un gestionnaire de mots de passe et de la double authentification. Pour aller plus loin, voir notre page mère sur Have I Been Pwned.

Pour la génération et le stockage, il faut un gestionnaire de mots de passe. Bitwarden propose une version gratuite et open source, KeePass un stockage local, 1Password un coffre chiffré avec clé secrète.

Ces outils peuvent intégrer l'API Pwned Passwords pour signaler les mots de passe compromis. Le service Have I Been Pwned reste complémentaire : il vérifie l'exposition, pas la solidité. Le comparatif meilleur gestionnaire de mot de passe gratuit aide à choisir.