Soyons lucides deux minutes : si vous traînez sur le Web depuis plus de cinq ans avec la même adresse email, vos identifiants se baladent déjà dans un dump SQL sur un canal Telegram louche ou un forum underground. Entre les brèches massives chez des géants du e-commerce et les fuites chez des services tiers dont vous ignoriez jusqu'à l'existence, votre hygiène numérique a forcément pris un coup de canif. La vraie question n'est plus de savoir si vous avez été touché, mais de savoir où, quand, et ce que vous devez révoquer immédiatement.
Pourquoi c'est important
Le véritable danger d'une fuite de données ne réside pas seulement dans le fait qu'un pirate sache que vous aviez un compte sur un forum obscur en 2018. Le péril numéro un, c'est le credential stuffing. Comme le rappelle régulièrement le CERT-FR dans ses bulletins d'alerte, les attaquants automatisent des millions de tentatives de connexion en croisant les couples email-mot de passe fuités avec des services critiques : messageries, banques, plateformes cloud ou boutiques en ligne. Si vous recyclez vos mots de passe, une brèche chez un libraire en ligne peut ouvrir l'accès direct à votre boîte mail principale.
1. Scanner son adresse sur Have I Been Pwned
Créé par le chercheur en sécurité Troy Hunt en 2013, Have I Been Pwned (HIBP) reste la référence absolue pour auditer l'exposition de ses comptes. Le principe est limpide : vous saisissez votre adresse mail dans le champ de recherche, et le moteur interroge son index de milliards de comptes compromis issus de fuites publiques ou vérifiées.
Contrairement à certains outils douteux, HIBP ne vous demande jamais votre mot de passe pour cette étape. Le résultat liste les incidents répertoriés : nom du service compromis, date de la compromission et nature exacte des données exposées (adresses IP, numéros de téléphone, hashs de mots de passe, etc.). Si votre adresse ressort en rouge vif, pas de panique immédiate : analysez d'abord la date de la fuite pour voir si vous aviez déjà mis à jour vos accès depuis.
2. Tester ses mots de passe avec Pwned Passwords
HIBP intègre une section redoutable baptisée Pwned Passwords. Beaucoup d'utilisateurs hésitent à l'utiliser par méfiance légitime : donner son mot de passe à un site tiers semble être une hérésie totale. Pourtant, le fonctionnement repose sur un principe cryptographique élégant : le k-Anonymity.
Lorsque vous tapez un mot de passe, votre navigateur calcule localement son empreinte SHA-1. Seuls les cinq premiers caractères hexadécimaux de ce hash sont envoyés aux serveurs de HIBP. En réponse, le service renvoie tous les hashs commençant par ces cinq caractères, et votre navigateur effectue la comparaison localement. Résultat : votre mot de passe ne quitte jamais votre machine. Si le compteur indique que votre mot de passe apparaît 15 000 fois dans les bases de fuites, changez-le immédiatement, partout où il subsiste.
3. Automatiser la surveillance et gérer son domaine
Consulter un outil manuellement une fois par an ne sert pas à grand-chose si un service critique fuite demain matin. HIBP propose une fonction de notification par email baptisée Notify Me. Vous enregistrez vos adresses professionnelles et personnelles, et vous recevez une alerte dès qu'un nouveau dump contenant votre identifiant est indexé.
Pour les administrateurs système et les freelances gérant leur propre nom de domaine, la fonction Domain Search permet de surveiller l'ensemble des adresses d'une organisation après validation par un enregistrement DNS TXT. C'est l'un des moyens les plus rapides pour repérer si un collaborateur utilise son mail d'entreprise pour s'inscrire sur des plateformes compromises.
4. Assainir son parc d'accès avec un gestionnaire dédié
Une fois les brèches identifiées, il ne s'agit pas d'inventer des variantes du type "Mdp2026!". La seule parade viable contre le credential stuffing est l'utilisation d'un mot de passe unique par service, généré aléatoirement.
Passez sur une solution robuste comme Bitwarden ou l'incontournable alternative open source KeePassXC si vous préférez héberger vos coffres localement. Ces deux outils intègrent nativement l'API de Have I Been Pwned et signalent directement dans votre coffre-fort numérique les identifiants déjà compromis sans que vous ayez à copier-coller vos accès un par un.
Les erreurs à éviter
- Saisir son mot de passe sur des sites non vérifiés : méfiez-vous des clones opportunistes qui prétendent tester vos identifiants sans documenter leur protocole cryptographique. Si le service n'utilise pas le k-Anonymity, vous venez simplement d'offrir votre mot de passe à des tiers.
- Croire qu'un mot de passe complexe suffit : un mot de passe de 24 caractères généré à la perfection ne sert à rien si la base de données du site cible est stockée en texte clair et fuitée sur le Web. Activez systématiquement l'authentification à deux facteurs (2FA) via une application TOTP (Aegis, Ente Auth) ou une clé matérielle FIDO2.
- Supprimer son compte au lieu de changer le mot de passe : demander la suppression d'un compte compromis ne retire pas vos identifiants des bases de données déjà diffusées auprès des attaquants.
Notre verdict
Une seule action concrète à mener aujourd'hui : rendez-vous sur Have I Been Pwned, testez l'adresse email rattachée à votre gestionnaire de mots de passe ou à votre boîte mail principale, et activez sans attendre la double authentification par clé de sécurité ou application TOTP. Le reste de vos comptes peut attendre ce soir ; votre messagerie maîtresse, elle, n'attend pas.
Sources et références
- Have I Been Pwned (troyhunt.com / haveibeenpwned.com)
- CERT-FR : Recommandations relatives à la gestion des mots de passe et à la lutte contre le credential stuffing (cert.ssi.gouv.fr)
- ANSSI : Recommandations pour un système d'authentification robuste (ssi.gouv.fr)
