E-mail jetable Outils
Mis à jour le 29 octobre 2026
Des milliards d'identifiants volés circulent sur Internet. Tapez un mot de passe ci-dessous pour savoir s'il en fait partie. Il ne quitte jamais votre appareil : seuls 5 caractères de son empreinte sont envoyés.
Votre mot de passe n'est jamais envoyé. Votre navigateur le transforme d'abord en empreinte, une suite de 40 caractères calculée avec l'algorithme SHA-1. Une même entrée donne toujours la même empreinte, mais on ne peut pas revenir de l'empreinte au mot de passe.
L'outil n'envoie ensuite que les 5 premiers caractères de cette empreinte au service Pwned Passwords, de Have I Been Pwned, une base publique qui rassemble les mots de passe retrouvés dans les fuites de données. Le service répond par la liste de toutes les empreintes connues qui commencent par ces 5 caractères, souvent plus d'un millier. Votre navigateur cherche alors la vôtre dans cette liste, sur votre appareil.
Cette méthode s'appelle le k-anonymat : le service ne sait pas quelle empreinte de la liste vous intéresse, ni même si elle y figure. Pour brouiller encore les pistes, l'outil demande des réponses complétées par de fausses entrées, afin que la taille de la réponse ne trahisse rien.
| Résultat | Ce qu'il signifie | Que faire |
|---|---|---|
| Trouvé N fois | Ce mot de passe exact apparaît dans des fuites, N fois au total | Ne plus l'utiliser, le changer partout |
| Absent, robustesse correcte ou forte | Inconnu des listes de fuites et difficile à deviner | Le garder pour un seul compte |
| Absent, robustesse faible | Inconnu des listes, mais facile à deviner | Le remplacer par un mot de passe plus long |
Le chiffre indique combien de fois ce mot de passe a été vu dans l'ensemble des fuites, pas forcément dans un de vos comptes. Un mot de passe trouvé une seule fois peut très bien avoir été utilisé par quelqu'un d'autre. Mais peu importe : dès qu'il figure dans ces listes, les pirates l'essaient automatiquement sur des milliers de sites. Il est grillé.
Ne pas apparaître dans une fuite prouve seulement que ce mot de passe n'a pas encore été publié. Un mot de passe court ou prévisible, comme un prénom suivi d'une année, peut être deviné en quelques instants par un logiciel qui teste des millions de combinaisons.
C'est pour cela que l'outil estime aussi la robustesse, sur votre appareil, à partir de critères simples :
Cette estimation reste indicative. Un mot de passe peut sembler complexe et être pourtant lié à votre vie privée, donc devinable par quelqu'un qui vous connaît.
La méthode la plus simple à retenir est la phrase de passe : quatre ou cinq mots choisis au hasard, sans lien entre eux, par exemple lampe-orage-violon-brique-sel. Elle est longue, donc très difficile à deviner, et bien plus facile à mémoriser qu'une suite de symboles. Évitez les citations, paroles de chansons ou proverbes, qui figurent dans les dictionnaires d'attaque.
Pour le reste de vos comptes, laissez un gestionnaire de mots de passe générer des mots de passe aléatoires de 16 caractères ou plus. Vous n'aurez à retenir que celui du gestionnaire.
Non. Il ne quitte pas votre appareil. Seuls les 5 premiers caractères de son empreinte SHA-1 sont envoyés au service Have I Been Pwned, ce qui ne permet ni de le retrouver ni de savoir lequel vous avez testé. Boxo ne reçoit rien.
Pas forcément. Le résultat signifie que ce mot de passe exact circule dans des fuites, peut-être utilisé par quelqu'un d'autre. Mais il sera essayé par les pirates : changez-le partout où vous l'utilisez et activez la double authentification.
Pas nécessairement. Cela prouve seulement qu'il n'a pas été publié. S'il est court ou prévisible, un logiciel peut le deviner. Regardez aussi l'estimation de robustesse et préférez 12 caractères au minimum.
Ici, SHA-1 ne sert pas à protéger le mot de passe mais à le comparer à la base de Have I Been Pwned, qui est indexée ainsi. Comme seuls 5 caractères de l'empreinte sont envoyés, sa faiblesse n'a pas d'effet sur votre confidentialité.