Vérifier une fuite de mot de passe
Breach Check
Regarde si un mot de passe figure dans les fuites recensées par Have I Been Pwned, en n’envoyant depuis le navigateur que les cinq premiers caractères de son empreinte SHA-1 (k-anonymat).
Un mot de passe qui figure dans un corpus public de fuites n’est pas faible : il est déjà connu, et aucune longueur ni aucune entropie n’y change rien. Ceci vérifie le vôtre contre le jeu Pwned Passwords de Have I Been Pwned sans que le mot de passe, ni une empreinte complète de celui-ci, ne quitte jamais l’onglet.
Le mot de passe est haché en SHA-1 dans cet onglet, et seuls les cinq premiers caractères de cette empreinte partent vers Have I Been Pwned (k-anonymat). Le service renvoie plusieurs centaines d’empreintes compromises partageant ce préfixe, et votre navigateur vérifie si la vôtre en fait partie. Notre serveur n’intervient à aucun moment.
La recherche de fuites par adresse e-mail n’est pas proposée ici : Have I Been Pwned réclame pour elle une clé d’API payante, et elle n’est pas k-anonyme. Vous pouvez la faire vous-même sur haveibeenpwned.com.
Comment s’en servir
Tapez le mot de passe
Il est haché en SHA-1 dans le navigateur. Seuls les cinq premiers caractères hexadécimaux de cette empreinte sont envoyés.
Le service renvoie une plage, pas une réponse
Plusieurs centaines d’empreintes issues de fuites partagent ce préfixe. Elles reviennent toutes, et votre navigateur cherche la vôtre dans la liste : le service n’apprend jamais laquelle c’était, ni même si elle s’y trouvait.
Agissez immédiatement sur une correspondance
Un compte supérieur à zéro veut dire qu’il faut le changer partout où il a servi, et pas seulement là où vous l’avez remarqué. Le compte lui-même est le nombre d’enregistrements de fuite qui le contiennent, pas le nombre de fois où vous avez été touché.
Questions fréquentes
Mon mot de passe atteint-il le serveur de quelqu’un ?
Non. Cinq caractères hexadécimaux d’une empreinte SHA-1 sortent ; ce préfixe est partagé par des centaines de milliers de mots de passe possibles et ne peut pas être inversé. La requête part de votre navigateur directement vers l’API : le serveur de ce site n’est pas sur le trajet.
Puis-je vérifier une adresse e-mail dans les fuites ?
Pas ici. La recherche par adresse exige une clé d’API payante et ne peut pas se faire de façon k-anonyme, donc elle n’est pas proposée plutôt que mal faite.
Introuvable. Le mot de passe est-il sûr ?
Cela veut dire qu’il n’est pas dans ce corpus. Les fuites qui n’ont jamais été publiées, ou qui ne sont jamais entrées dans le jeu, ne sont pas couvertes — et un mot de passe absent de toutes les listes peut quand même être faible. Passez-le aussi par l’indicateur de robustesse.
Pourquoi SHA-1, qui est cassé ?
Parce que le corpus publié est indexé par SHA-1 et que le protocole est défini ainsi. Ce n’est pas la résistance aux collisions qui est en jeu ici : l’empreinte sert de clé de recherche, pas de stockage de mot de passe.
À alimenter depuis
Testeur de robustesse de mot de passe
Password Strength Meter
Estime le temps qu’il faudrait pour casser un mot de passe et nomme les motifs qui l’affaiblissent.
Adresse e-mail jetable
Disposable Email
Vous donne une boîte de réception temporaire qui reçoit du courrier pendant une durée limitée, pièces jointes consultables sur place.
Convertisseur d’export de gestionnaire de mots de passe
Password Export Converter
Convertit un export CSV de gestionnaire de mots de passe entre les dispositions 1Password, Bitwarden, Chrome et Edge, KeePass, KeePassXC et LastPass, avec la correspondance des colonnes documentée pour chacune.
Générateur de mots de passe
Password Generator
Produit des mots de passe aléatoires avec longueur, jeu de caractères et exclusion des caractères ambigus au choix, en série si besoin.
Ensuite
Ces outils acceptent ce que celui-ci produit : le résultat peut y aller directement.
Générateur de mots de passe
Password Generator
Produit des mots de passe aléatoires avec longueur, jeu de caractères et exclusion des caractères ambigus au choix, en série si besoin.
Testeur de robustesse de mot de passe
Password Strength Meter
Estime le temps qu’il faudrait pour casser un mot de passe et nomme les motifs qui l’affaiblissent.
Adresse e-mail jetable
Disposable Email
Vous donne une boîte de réception temporaire qui reçoit du courrier pendant une durée limitée, pièces jointes consultables sur place.
Testeur CORS
CORS Tester
Envoie la requête préalable qu’un navigateur enverrait depuis l’origine que vous indiquez, plus un GET portant cette origine, et explique selon les règles du standard Fetch quel en-tête a bloqué la requête.
Convertisseur de devises
Currency Converter
Convertit entre une trentaine de devises aux cours de référence quotidiens de la BCE, croisés via l’euro, ou au taux que vous saisissez vous-même.
Différence entre deux dates
Date Difference
Compte les jours, les semaines, les mois et les années entre deux dates, avec un décompte en jours et une option jours ouvrés.