Les services de vérification consultent un index public, pas l’ensemble des fuites. Voici comment ils testent un mot de passe sans jamais le recevoir, et les six pièges qui entourent le résultat.
Un service de vérification ne fouille pas « le dark web » : il interroge un index constitué de fuites déjà rendues publiques. Un résultat positif est donc fiable, un résultat négatif ne prouve rien, puisque les fuites non publiées, revendues en privé ou encore inconnues n’y figurent pas. Les services sérieux testent un mot de passe sans jamais le recevoir, grâce à un envoi partiel de son empreinte. La question décisive n’est pas le nombre de fuites trouvées, mais leur origine : une base de site piratée et un vol commis sur votre propre machine n’appellent pas la même réaction.
Vous tapez votre adresse dans un formulaire de vérification. La page affiche « aucune fuite trouvée », en vert. Soulagement, onglet fermé. Le même geste, fait par un voisin, renvoie « présente dans 14 fuites », en rouge, avec une liste de noms de services dont la moitié ne lui dit rien.
Les deux résultats sont mal lus. Le vert ne dit pas que vos données n’ont pas fuité : il dit que l’index consulté ne les contient pas. Le rouge ne dit pas que vous êtes en danger immédiat : il compte des fichiers, dont certains recyclent les mêmes données depuis dix ans.
Savoir ce que ces services regardent, et par quel mécanisme, change complètement l’interprétation du résultat et la réaction qu’il appelle.
Un service de vérification entretient une base construite à partir de fichiers de fuites qui ont été publiés, échangés ou mis en vente, puis nettoyés et dédoublonnés. C’est un travail d’archivage, pas d’exploration en temps réel.
Trois catégories entières échappent donc à l’index. Les fuites qui n’ont pas encore été découvertes, d’abord, et elles sont nombreuses puisque des mois séparent souvent l’intrusion de sa détection. Les fuites revendues discrètement à un acheteur unique, ensuite : elles ne circulent pas, donc elles ne sont pas collectées. Les données détenues légalement par des courtiers et agrégateurs, enfin, qui ne sont pas des fuites mais produisent le même effet de ciblage, comme le montre la chaîne des traceurs publicitaires.
La conséquence logique est sévère. Un résultat positif est une information solide : votre adresse est réellement dans un fichier qui circule. Un résultat négatif n’est pas une information, c’est une absence d’information. Traiter le vert comme un feu vert est l’erreur la plus commune de tout l’exercice.
Vérifier une adresse est banal. Vérifier un mot de passe pose un problème apparemment insoluble : comment demander « ce secret est-il connu ? » sans transmettre le secret ? La solution employée par les index de référence mérite d’être comprise, parce qu’elle sert de test de sérieux.
Votre appareil calcule localement l’empreinte du mot de passe, une suite de caractères hexadécimaux. Il n’envoie au service que les cinq premiers caractères de cette empreinte. Cinq caractères hexadécimaux représentent environ un million de préfixes possibles ; comme l’index contient plusieurs centaines de millions d’empreintes, chaque préfixe correspond à plusieurs centaines d’entrées. Le service renvoie donc la liste entière des suffixes qui commencent par ce préfixe, et c’est votre appareil qui cherche le vôtre dans la liste reçue.
Le service apprend qu’un utilisateur s’intéresse à un préfixe partagé par des centaines de mots de passe différents. Il n’apprend ni lequel, ni le résultat de la comparaison. Ce principe porte un nom, l’anonymat par groupe, et il se retrouve dans les vérifications intégrées aux navigateurs et aux gestionnaires de mots de passe.
Le mot « vérifier » recouvre des opérations différentes, qui ne répondent pas à la même question et ne ratent pas les mêmes choses.
| Méthode | Ce qu’elle contrôle | Ce qu’elle transmet | Valeur d’un résultat négatif |
|---|---|---|---|
| Index public de fuites | Présence d’une adresse dans des fichiers diffusés | Une adresse e-mail | Faible |
| Contrôle intégré au gestionnaire | Mots de passe enregistrés, réutilisation, secrets connus | Un préfixe d’empreinte | Moyenne |
| Alerte du navigateur à la connexion | Le couple saisi sur le site visité | Un préfixe d’empreinte | Moyenne |
| Demande d’accès à l’organisme | Vos données réelles chez ce responsable | Une pièce d’identité si besoin | Élevée |
| Surveillance payante par abonnement | Variable, souvent le même index public | Adresse, parfois état civil | Faible |
Lisez la dernière colonne. Seule la démarche écrite auprès de l’organisme produit un « non » qui vaut quelque chose, parce qu’elle interroge la source et non un miroir. Les abonnements de surveillance, eux, se paient surtout pour le confort de l’alerte automatique : ils n’élargissent pas magiquement la couverture, et beaucoup s’appuient sur les mêmes fichiers publics que les services gratuits.
Deux origines très différentes alimentent les index, et elles appellent des réactions opposées.
La première est la base piratée. Un service se fait voler sa table d’utilisateurs ; on y trouve des adresses et, selon les cas, des empreintes de mots de passe. La réaction est connue : changer le secret sur ce service et partout où il servait, comme le détaille la marche à suivre après une fuite.
La seconde est le journal de vol. Un logiciel malveillant installé sur un ordinateur aspire les mots de passe enregistrés dans le navigateur, puis les exporte par lots. Ces lots sont reconnaissables : ils mélangent des dizaines de sites sans rapport pour une même personne, avec les mots de passe en clair et l’adresse de la page de connexion. Ici, aucun service n’a été piraté. C’est votre appareil qui l’a été.
La conséquence pratique est presque toujours manquée. Changer les mots de passe sur une machine encore infectée revient à donner les nouveaux au voleur dans la foulée. L’ordre correct est inverse : isoler et nettoyer l’appareil d’abord, depuis un autre équipement si nécessaire, et seulement ensuite renouveler les secrets.
Le décompte affiché flatte l’angoisse mais informe mal. Une grande partie des fichiers qui circulent sont des compilations : des agrégats d’anciennes fuites, refondus, renommés, parfois enrichis de quelques lignes inédites pour se faire passer pour du neuf. La même paire adresse et mot de passe peut ainsi être comptée cinq fois.
S’ajoutent des annonces gonflées, où un vendeur revendique une intrusion chez un acteur connu en s’appuyant sur des données en réalité recyclées. La vérification prend du temps, et l’organisme cité dément parfois à raison.
Trois informations comptent davantage que le nombre : la date de la fuite, les champs exposés, et la présence ou non d’un mot de passe utilisable. Une fuite de 2014 contenant une adresse et une empreinte obsolète ne présente presque aucun risque si le mot de passe a changé depuis. Une fuite de l’an dernier contenant état civil, téléphone et numéro de contrat, sans aucun mot de passe, est bien plus lourde de conséquences, et c’est ce que devrait vous préciser une notification de violation correctement rédigée.
Il existe un moyen de transformer votre boîte en instrument de mesure. La plupart des messageries acceptent le sous-adressage : tout ce qui suit un signe plus dans la partie gauche de l’adresse est ignoré à la livraison. Une adresse de la forme prenom.nom+billetterie@exemple.fr arrive dans la même boîte que prenom.nom@exemple.fr, mais elle n’a été confiée qu’à un seul service.
Le jour où un message publicitaire ou une tentative de fraude arrive sur cette étiquette précise, vous savez d’où vient la divulgation, sans avoir besoin d’attendre une annonce officielle. Ce n’est pas un outil anti-spam, c’est un outil de traçabilité, et il est plus rapide que n’importe quel index.
La méthode a deux limites. Certains formulaires refusent le signe plus, et un expéditeur mal intentionné peut supprimer l’étiquette avant de réutiliser l’adresse. Les alias véritables, adresses distinctes redirigées vers une boîte principale, échappent aux deux problèmes et permettent en plus de couper la réception en un clic. Le détail du trajet d’un message et des informations qu’il transporte figure dans notre article sur la circulation d’un courriel.
Interroger un index, c’est prendre une photographie. Elle est périmée le jour où un nouveau fichier est indexé, ce qui arrive en permanence. Le geste utile n’est donc pas la consultation ponctuelle mais l’abonnement à l’alerte : les index sérieux proposent gratuitement d’envoyer un message à l’adresse testée lorsqu’elle apparaît dans une base nouvellement intégrée. Cette confirmation par courriel est aussi ce qui empêche d’espionner l’adresse d’un tiers.
Reste une question de périmètre, presque toujours négligée. Vous vérifiez l’adresse que vous utilisez aujourd’hui. Les fuites, elles, portent sur celles que vous utilisiez il y a dix ans, à l’époque des inscriptions les moins prudentes. Listez donc toutes vos adresses passées, y compris celles d’un ancien fournisseur d’accès ou d’une école, et testez-les une par une.
Cet inventaire a une seconde utilité, plus importante que la première. Une adresse abandonnée reste souvent l’adresse de récupération d’un compte actif : banque, administration, réseau social. Tant qu’elle existe, elle constitue un chemin de réinitialisation ouvert. Si elle a été fermée, le danger change de nature : certaines messageries recyclent les identifiants libérés, et un domaine d’entreprise disparu peut être racheté par n’importe qui, avec la faculté de recréer votre ancienne boîte et de demander la réinitialisation de vos comptes.
La conclusion pratique tient en deux gestes. Remplacez l’adresse de récupération sur tous les comptes qui pointent encore vers une boîte que vous ne lisez plus, puis fermez proprement ce qui doit l’être, en connaissant les délais réels d’une suppression de compte. Une adresse morte mais toujours référencée est une porte laissée entrouverte, et aucun index de fuites ne la signalera jamais.
Ne demandez pas « suis-je dans une fuite ». Demandez trois choses, dans l’ordre. Le secret exposé sert-il encore quelque part, y compris sous une variante ? L’origine ressemble-t-elle à une base piratée ou à un vol commis sur mon propre appareil ? Et si le résultat est négatif, qu’est-ce que cet index ne pouvait pas voir ? La réponse à la troisième question suffit à comprendre pourquoi la vérification est un signal d’alerte utile, jamais un certificat de bonne santé. La seule protection qui ne dépend d’aucun index reste un secret unique par site, doublé d’un second facteur, ou remplacé par des clés d’accès quand le service les propose. Les principes de fabrication de ces secrets sont traités dans notre article sur le mot de passe solide.
C’est le risque principal des services improvisés. Vous fournissez une adresse valide, active, et souvent la preuve que vous vous intéressez à la sécurité, ce qui constitue un profil recherché. Retenez trois critères : le service explique clairement ce qu’il conserve, il ne réclame jamais de mot de passe, et il ne conditionne pas le résultat à la création d’un compte payant. Dans le doute, la vérification intégrée à votre navigateur ou à votre gestionnaire fait le même travail sans transmettre d’adresse supplémentaire.
Non, dans la quasi-totalité des cas. Ce message de chantage reprend un couple adresse et mot de passe issu d’une ancienne fuite publique, justement pour produire l’effet de sidération. L’expéditeur n’a accès ni à votre caméra ni à vos fichiers. Ne répondez pas, ne payez pas, conservez le message, et changez ce mot de passe partout où il servait encore. Si le secret cité est récent et que vous ne l’avez jamais réutilisé, la piste d’un appareil infecté mérite alors d’être examinée.
Techniquement oui, mais l’adresse d’un tiers reste une donnée personnelle qui ne vous appartient pas, et un service sérieux envoie d’ailleurs le résultat détaillé à l’adresse testée, précisément pour éviter cet usage. Le geste utile consiste à montrer la démarche à la personne et à la lui faire faire, ce qui a l’avantage de transmettre le réflexe. Pour un proche peu à l’aise, accompagnez sans prendre la main sur ses comptes.
Oui, mais pas dans l’urgence. Le mot de passe de l’époque doit être considéré comme public et retiré de la circulation partout où il subsiste, y compris sous une variante avec un chiffre ajouté. L’adresse, elle, reste durablement exposée au ciblage : c’est un argument de plus pour une phrase de passe unique sur la messagerie et pour un second facteur. Une fuite ancienne n’est jamais périmée, elle change seulement de rôle.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.