Vos données ont-elles fuité ?

Pourquoi c'est important

Quand un service est piraté, les mots de passe volés finissent dans des bases partagées entre attaquants. Si un mot de passe que vous utilisez figure dans l'une de ces bases, n'importe qui peut l'essayer sur vos autres comptes, c'est le « credential stuffing ». Savoir qu'un mot de passe a déjà fuité, c'est une bonne raison de ne plus jamais le réutiliser.

En 2025, une violation de données déclarée à la CNIL sur deux relève d'un piratage.

Source : CNIL, rapport annuel 2025.

Confidentialité : deux approches différentes

Le test de mot de passene quitte jamais votre navigateur : il y est transformé en une empreinte SHA-1, et seuls ses cinq premiers caractères sont envoyés à Have I Been Pwned, qui renvoie tous les mots de passe partageant ce début d'empreinte. La comparaison finale a lieu chez vous. Ce procédé, dit de k-anonymité, fait qu'aucun mot de passe ne transite.

La vérification d'adresse email, elle, nécessite d'interroger une base de fuites (XposedOrNot) : votre adresse lui est transmise le temps du test, sans être conservée. Surtout, le résultat n'est jamais affiché à l'écran : il est envoyé à l'adresse saisie, si bien que seul le propriétaire de cette boîte peut le consulter. Impossible donc de vérifier l'adresse de quelqu'un d'autre.

Que faire ensuite

Selon les résultats, chaque outil vous affiche un plan d'action que vous pouvez recevoir par email. Les réflexes qui comptent :

• Changez le mot de passe partout où vous l'avez utilisé, et n'y revenez jamais.
• Activez la double authentification (2FA) sur les comptes concernés.
• Adoptez un gestionnaire de mots de passe pour en générer un unique par service.

Pour comprendre comment ces bases se constituent, lisez Infostealers : la menace silencieuse et le palmarès des pires fuites françaises de 2026. Le détail, sans jargon, est dans mon livre « Être en cybersécurité ».