Mon mot de passe est-il compromis ?
Saisissez le mot de passe et appuyez sur « Vérifier » : vous verrez la seule chose qui quitterait votre appareil, 5 caractères de son empreinte. Les fuites connues ne sont consultées que lorsque vous appuyez sur « Envoyer », et la comparaison se fait ici.
5BAA6••••• à Have I Been PwnedLe plus sûr : laisser votre navigateur ou votre gestionnaire de mots de passe vous prévenir des mots de passe divulgués (Chrome, Firefox et Safari sur iPhone et Mac le font) sans les saisir sur aucun site. Et ne saisissez pas de mots de passe sur des sites auxquels vous ne faites pas confiance, y compris celui-ci. Rien n’est enregistré ni conservé.
Résultat indicatif. Solvemis décline toute responsabilité quant aux résultats obtenus et à l’usage qui en est fait.
Solvemis est gratuit et sans inscription. S’il vous a été utile et que vous souhaitez soutenir le projet : Offrez-moi un café
Fonctionnement
Mode d’emploi
- Saisissez le mot de passe à vérifier.
- Appuyez sur « Vérifier » : vous verrez les 5 caractères de son empreinte qui quitteraient votre appareil.
- Appuyez sur « Envoyer à Have I Been Pwned » pour lancer la recherche.
- Lisez le résultat : s’il apparaît, changez-le partout où vous l’utilisez.
Méthode de calcul
Votre navigateur transforme le mot de passe en son empreinte SHA-1. Seuls les 5 premiers caractères de l’empreinte sont envoyés à l’API Pwned Passwords de Have I Been Pwned, qui renvoie la suite de toutes les empreintes commençant de la même façon et le nombre de fois où chacune apparaît ; la comparaison avec la vôtre se fait dans votre navigateur. C’est la méthode dite de k-anonymat : par exemple, l’empreinte de « password » commence par 5BAA6, et des centaines d’empreintes différentes partagent ce début, si bien que le service ne peut pas savoir laquelle est la vôtre. La requête demande aussi un remplissage : de fausses empreintes avec un compte de 0, pour que la taille de la réponse ne trahisse pas la recherche, écartées ici. Il faut le mot de passe entier : une seule lettre différente et l’empreinte change complètement.
Sources
- API v3: Searching by range (Pwned Passwords) — Have I Been Pwned
- Validating Leaked Passwords with k-Anonymity — Cloudflare
- Enhancing Pwned Passwords Privacy with Padding — Troy Hunt
À propos de cette calculatrice
Pourquoi seuls 5 caractères sont envoyés
L’empreinte SHA-1 d’un mot de passe est un code de 40 caractères, toujours identique pour un même mot de passe, qui ne permet pas de remonter à celui-ci. Seuls les 5 premiers caractères de cette empreinte sont envoyés. Des centaines d’empreintes de mots de passe différents partagent ce début, et le service les renvoie toutes : celui qui reçoit la requête ne sait pas laquelle était la vôtre, et la comparaison se fait dans votre navigateur.
Le plus sûr : sans le saisir sur aucun site
Chrome, Firefox et Safari sur iPhone et Mac, ainsi que les gestionnaires de mots de passe, préviennent quand des mots de passe enregistrés apparaissent dans des fuites, sans que vous ayez à les saisir sur une page. C’est le plus sûr. Et, en général, ne saisissez pas de mots de passe sur des sites auxquels vous ne faites pas confiance, y compris celui-ci.
Pourquoi cette page n’a pas de publicité
Nous l’avons retirée pour réduire votre risque : sur une page où vous saisissez un mot de passe, nous ne chargeons le code de personne d’autre. La page ne peut se connecter qu’à Solvemis et à Have I Been Pwned, et elle l’indique dans son propre code.
Questions fréquentes
Est-il sûr de saisir mon mot de passe ici ?
Le mot de passe ne quitte pas votre appareil : votre navigateur le transforme en empreinte SHA-1 et seuls ses 5 premiers caractères sont envoyés, partagés par des centaines de mots de passe. Le plus sûr reste toutefois de ne pas saisir de mots de passe sur des sites auxquels vous ne faites pas confiance, y compris celui-ci : votre navigateur ou votre gestionnaire de mots de passe peut vous prévenir des mots de passe divulgués sans les saisir sur aucun site.
Que faire s’il apparaît ?
Ne l’utilisez plus et changez-le partout où vous l’avez, en commençant par votre messagerie et votre banque. Utilisez un mot de passe différent pour chaque site, conservez-les dans un gestionnaire de mots de passe et activez la validation en deux étapes.
S’il n’apparaît pas, est-il sûr ?
Pas forcément. Cela veut seulement dire qu’il ne figure pas dans les fuites connues. Il peut être court ou facile à deviner, ou avoir fuité sans qu’on le sache encore.
Qu’est-ce que Have I Been Pwned ?
Un service indépendant qui rassemble les mots de passe issus de fuites publiques pour que chacun puisse vérifier si le sien en fait partie. Sa recherche de mots de passe est gratuite et conçue pour se faire sans envoyer le mot de passe.
Mis à jour le 21 octobre 2026
Il vous manque quelque chose dans cet outil, ou un outil qui n’existe pas ici ? Écrivez-nous