Have I Been Pwned repère les fuites connues, mais ne certifie pas la sécurité de vos comptes
Have I Been Pwned est un outil utile pour repérer une adresse e-mail dans des fuites de données connues. Notre avis est favorable : la vérification est simple, gratuite et aide à identifier les comptes à sécuriser. Mais le résultat doit être interprété avec prudence. Une adresse signalée ne prouve pas que votre messagerie est actuellement piratée, et une absence de résultat ne garantit pas que vos comptes sont à l’abri.
Un service reconnu pour détecter une exposition, pas pour certifier votre sécurité
Have I Been Pwned, souvent abrégé en HIBP, signifie approximativement « Me suis-je fait pirater ? ». Créé par Troy Hunt et accessible depuis 2013, le service analyse des données issues de violations, comme des exports de bases de données ou des fichiers texte divulgués. Vous pouvez rechercher si une adresse e-mail apparaît dans les fuites répertoriées.
Son ancienneté, son fondateur identifié et la lisibilité de ses résultats inspirent confiance. Le Campus Région du numérique évoque plus de 10 milliards de lignes de données analysées, tandis que Wikipédia mentionne des milliards de comptes compromis. Ces volumes donnent une idée de l’ampleur du service, mais ne signifient pas que toutes les fuites sont recensées.
| Critère | Notre appréciation |
|---|---|
| Simplicité | Une recherche par adresse e-mail accessible sans compétence technique. |
| Utilité | Des indications sur les incidents et les catégories de données exposées. |
| Coût | La vérification individuelle de base est gratuite. |
| Limite principale | Le service ne connaît pas toutes les violations et ne contrôle pas l’état actuel de vos comptes. |
HIBP est un outil d’alerte, pas un antivirus ni un certificat de sécurité. Il peut révéler une exposition connue, mais ne bloque pas une intrusion et ne supprime pas les données déjà divulguées. Sa valeur tient aux informations qu’il fournit pour décider quoi vérifier ensuite.
Vérifier une adresse et comprendre ce que le résultat prouve
La recherche porte sur l’adresse saisie. Elle ne couvre pas automatiquement toutes vos identités numériques. Pensez à vos anciennes adresses et à celles utilisées pour les achats ou les inscriptions. Un alias distinct peut nécessiter une recherche séparée.
- Ouvrez le site Have I Been Pwned et vérifiez soigneusement son nom.
- Saisissez l’adresse e-mail à contrôler dans le champ de recherche.
- Lancez la vérification, puis consultez les éventuelles violations associées.
- Pour chaque incident, relevez le service concerné, les dates indiquées et les catégories de données exposées.
Ces étapes permettent de situer le résultat, mais pas de déterminer à elles seules si un compte est encore vulnérable. Il faut aussi tenir compte des mots de passe utilisés à l’époque et des éventuels changements effectués depuis.
Un résultat positif ne signifie pas forcément que votre messagerie est piratée
Votre adresse peut figurer dans la base volée d’une boutique en ligne sans que quelqu’un ait accédé à votre boîte mail. Les informations signalées dépendent de l’incident : adresse électronique, nom, numéro de téléphone ou mots de passe, par exemple. Les catégories affichées décrivent la fuite ; elles ne constituent pas nécessairement un inventaire personnalisé de toutes les données dérobées vous concernant.
La date de l’incident compte aussi. Une fuite ancienne reste pertinente si vous utilisez toujours le même mot de passe. À l’inverse, si vous l’avez remplacé depuis, sa présence dans le signalement ne signifie pas qu’il est encore actif. Vérifiez également si ce mot de passe a été réutilisé sur d’autres services.
Un résultat négatif reste une information limitée
Si aucune fuite n’apparaît, cela signifie qu’aucune correspondance n’a été trouvée dans les données interrogeables par le service. Une violation peut être inconnue, ne pas avoir été intégrée ou ne pas contenir l’adresse recherchée. Un logiciel malveillant ou une tentative d’hameçonnage peut aussi compromettre un compte sans produire immédiatement de résultat sur HIBP.
Une adresse e-mail laisse une trace au fil des inscriptions. Pour interpréter le résultat, rapprochez chaque fuite de votre historique : quel identifiant utilisiez-vous, quel mot de passe était actif et sur quels autres sites l’aviez-vous repris ? Cette chronologie aide à repérer les comptes à protéger, y compris ceux qui ne figurent pas eux-mêmes dans la liste des incidents.
Confidentialité et mots de passe : les précautions à garder
HIBP n’est pas un moteur permettant de consulter librement toutes les données volées. Le Campus Région du numérique décrit des recherches dans des bases de données épurées. La consultation sert à signaler une présence et à décrire l’incident, pas à afficher l’intégralité du dossier personnel associé.
Il faut toutefois distinguer le contenu de ces bases du traitement technique d’une recherche. Le fait qu’une base soit épurée ne permet pas d’affirmer qu’aucune trace technique de consultation n’est conservée. Pour connaître les conditions de conservation des requêtes, consultez la politique de confidentialité du service. Il serait excessif de promettre un anonymat absolu.
PASSWORDS vérifie l’exposition d’un mot de passe, pas seulement sa robustesse
La fonction PASSWORDS, également connue sous le nom Pwned Passwords, permet de vérifier si un mot de passe figure dans un ensemble de mots de passe divulgués. Cette recherche diffère de celle d’une adresse : retrouver un mot de passe ne prouve pas que votre compte a été compromis. Cela indique surtout que cette combinaison est connue et ne devrait plus être utilisée.
Un résultat négatif ne rend pas non plus un mot de passe robuste. Une combinaison courte ou prévisible peut être vulnérable sans apparaître dans la base. Par prudence, ne saisissez jamais un secret sur une copie du site ou dans un formulaire reçu par message. Pour rechercher une adresse e-mail, aucun mot de passe de messagerie n’est nécessaire.
Après une fuite, agir dans le bon ordre et activer les alertes
La priorité dépend des données touchées. Une adresse divulguée appelle surtout une vigilance accrue face aux messages frauduleux. Un mot de passe exposé demande d’agir sur les comptes concernés, en particulier s’il est encore utilisé.
- Changez le mot de passe du service touché s’il est encore utilisé. Passez directement par son application ou son site officiel.
- Remplacez-le partout où vous l’avez réutilisé. Choisissez un mot de passe différent pour chaque compte, idéalement avec un gestionnaire.
- Activez l’authentification multifacteur lorsqu’elle est proposée, en priorité sur votre messagerie.
- Contrôlez les connexions et les moyens de récupération si le service permet de les consulter.
- Surveillez les sollicitations ciblées. Un message contenant votre nom ou un ancien mot de passe ne prouve pas que son expéditeur est légitime.
Pour une adresse professionnelle, prévenez le service informatique selon les procédures internes. Ne transmettez pas de mot de passe pour démontrer qu’il a été exposé.
La fonction NOTIFY ME permet de s’inscrire aux alertes en suivant la procédure de confirmation de l’adresse. Une notification signale une nouvelle exposition identifiée par HIBP. Elle peut concerner un incident plus ancien qui vient d’être ajouté, et non une attaque survenue le jour où vous recevez le message.
HIBP ou Google : deux vérifications complémentaires
Google propose des contrôles dans la sécurité du compte et dans son gestionnaire de mots de passe. Pour y accéder, ouvrez votre compte Google, choisissez la gestion du compte, puis la rubrique Sécurité et les vérifications proposées. Les intitulés et les fonctions disponibles peuvent évoluer selon le compte et l’interface.
La différence tient au point de départ : HIBP recherche une adresse dans des fuites connues, tandis que les contrôles Google portent notamment sur la protection du compte et les identifiants enregistrés. Les résultats ne sont donc pas nécessairement identiques ni interchangeables. Ces vérifications peuvent se compléter, sans remplacer les actions à prendre si un mot de passe a été exposé.
Notre verdict : Have I Been Pwned mérite d’être utilisé, notamment avec ses alertes, pour repérer une exposition et orienter vos actions. Associez cette vérification à des mots de passe uniques, à l’authentification multifacteur et aux contrôles de sécurité de vos comptes. Le service vous aide à agir, mais une absence d’alerte ne signifie pas qu’il n’existe aucun risque.
- Fuite de données Colis Privé : pas de coordonnées bancaires exposées, mais gare aux faux SMS - 1 novembre 2026
- Effacer les données de navigation : ce qui part, ce qui reste et les réflexes avant de prêter son appareil - 31 octobre 2026
- Clé PGP : ce que la clé privée protège vraiment, et l’erreur qui la rend inutile - 30 octobre 2026
