Have I Been Pwned : notre avis, et comment il vérifie vos mots de passe sans
les voir

Vous tapez votre adresse e-mail dans le champ, vous cliquez, et le bandeau vire au rouge : "Oh no, pwned!". En dessous, une liste : LinkedIn 2012, Dropbox, une plateforme dont vous aviez oublié jusqu'au nom. Votre adresse a fuité onze fois. Première réaction légitime : est-ce que ce site est seulement sérieux ? Et la question suivante, celle que tout le monde se pose tout bas : si je lui donne mon mot de passe pour vérifier, est-ce que je ne suis pas en train de l'offrir à quelqu'un ?

Have I Been Pwned (souvent abrégé HIBP) est l'outil de référence pour savoir si vos identifiants se baladent dans une fuite connue. Il mérite sa réputation, et il a aussi des bords nets. Son astuce cryptographique pour tester un mot de passe sans jamais l'envoyer est plus maligne qu'on ne croit ; à l'échelle d'une entreprise, en revanche, et non d'une seule boîte mail, il montre vite ses limites.

Have I Been Pwned, c'est quoi exactement

HIBP est un moteur de recherche de fuites de données, lancé en 2013 par Troy Hunt, un chercheur en sécurité australien connu et respecté dans le milieu. Le principe est simple : quand une base de données d'un service se retrouve dans la nature (piratage, mauvaise configuration, revente sur un forum), Hunt la récupère, la nettoie, la déduplique, puis l'indexe. Vous entrez votre adresse, et le site vous dit dans quelles fuites elle apparaît.

L'ampleur est réelle : le service agrège des milliards de comptes issus de centaines de fuites, des grosses affaires médiatisées (Adobe, LinkedIn, Canva) aux "combolists" qui compilent des identifiants de sources multiples. Deux recherches distinctes sont proposées :

• Par adresse e-mail : dans quelles fuites votre adresse a-t-elle été vue, et quelles données ont fuité avec (mot de passe, date de naissance, adresse IP, etc.).
• Par mot de passe (le service Pwned Passwords) : ce mot de passe précis figure-t-il dans un corpus de fuites, et combien de fois. C'est ici que se pose la vraie question de confiance, on y vient.

Notre avis sur Have I Been Pwned : peut-on lui faire confiance ?

Réponse courte : oui, et c'est un des rares outils grand public de ce secteur qu'on recommande sans réserve pour ce qu'il fait. Plusieurs raisons concrètes, pas juste une réputation :

• La transparence du modèle. Le fonctionnement est documenté publiquement, l'API est ouverte, et la vérification des mots de passe est conçue pour ne jamais exiger que vous livriez le secret (on détaille le mécanisme plus bas).
• L'intégration par les gros acteurs. Firefox, 1Password ou encore des services gouvernementaux s'appuient sur le corpus de HIBP pour leurs propres alertes. On ne branche pas des millions d'utilisateurs sur une source qu'on juge douteuse.
• Le modèle économique lisible. La recherche par e-mail est gratuite, l'API est payante à petit prix pour les usages automatisés, et il n'y a pas de revente de vos requêtes en toile de fond. Vous n'êtes pas le produit.

Un point d'honnêteté quand même : taper votre adresse e-mail dans un formulaire, même de confiance, reste une information que vous donnez. HIBP a justement bâti sa réputation en ne conservant pas les adresses recherchées de façon exploitable, mais si vous voulez le zéro-partage total, la voie propre est de passer par le service de notification (vous vous abonnez une fois, vous êtes alerté à chaque nouvelle fuite) plutôt que de re-tester à la main.

Taper son mot de passe sur HIBP : dangereux ?

C'est la crainte, et elle est saine : on vous a répété toute votre vie de ne jamais saisir un mot de passe ailleurs que sur le site concerné. Alors comment un service peut-il vous dire "ce mot de passe a fuité 3 millions de fois" sans jamais le recevoir ? La réponse tient en un mot : k-anonymity.

Le principe : votre navigateur ne transmet jamais votre mot de passe, ni même son empreinte complète. Il en calcule le hash SHA-1 en local, puis n'envoie que les cinq premiers caractères de cette empreinte. Le serveur renvoie alors tous les hachages du corpus qui commencent par ces cinq caractères (plusieurs centaines en général), et c'est votre navigateur qui, en local, cherche si votre empreinte complète figure dans le lot.

Concrètement, avec le mot de passe le plus éculé du monde :

# empreinte SHA-1 de "password"
echo -n password | sha1sum
# 5baa61e4c9b93f3f0682250b6cf8331b7ee68fd8

# on n'envoie QUE les 5 premiers caractères au serveur
curl -s https://api.pwnedpasswords.com/range/5BAA6 | grep -i 1E4C9B93F3F0682250B6CF8331B7EE68FD8
# 1E4C9B93F3F0682250B6CF8331B7EE68FD8:10000000+
#  ^ le suffixe                        ^ nombre de fois vu dans les fuites

Le serveur a vu passer 5BAA6, rien de plus. Il ignore totalement quel mot de passe vous vérifiez, puisque des centaines d'empreintes différentes partagent ce même préfixe. C'est ça, l'anonymat par k-anonymity : vous vous cachez dans une foule. La vérification est donc sûre par construction, à condition de passer par un outil qui implémente réellement ce protocole (le site officiel et les gestionnaires de mots de passe sérieux le font). Coller son mot de passe en clair dans un champ d'un site inconnu qui promet la même chose, en revanche, reste une très mauvaise idée.

Ce que HIBP fait bien, et ses angles morts

HIBP est excellent sur son périmètre, mais ce périmètre a des bords nets. Les connaître évite de se croire à l'abri à tort.

• Il ne voit que les fuites qu'il a récupérées. Une base revendue en privé, jamais diffusée publiquement, ne sera pas dedans. Une absence dans HIBP n'est donc pas une preuve que vos identifiants sont saufs, seulement qu'ils n'apparaissent pas dans les corpus connus à cet instant.
• C'est une photo, pas une surveillance. Vous cherchez aujourd'hui, tout est vert ; une fuite tombe demain, vous ne le saurez que si vous vous êtes abonné aux notifications ou si vous revenez vérifier. Pour un particulier, l'abonnement suffit. Pour une organisation, re-tester ses centaines d'adresses à la main ne tient pas.
• Le mot de passe est vérifié "dans l'absolu". Pwned Passwords vous dit qu'une chaîne a déjà fuité quelque part, pas qu'elle est associée à votre compte. Un mot de passe unique et jamais vu ailleurs ressortira propre même s'il protège un compte par ailleurs compromis.
• La granularité reste l'adresse. Il existe bien une recherche par domaine (pour un propriétaire de domaine vérifié), mais elle liste des adresses touchées ; elle ne corrèle pas ces fuites avec le reste de votre exposition (secrets dans du code, sous-domaines oubliés, services d'auth exposés).

Rien de tout cela n'est un défaut, c'est le contrat de l'outil. Le piège serait de prendre un "Good news, no pwnage found" pour un certificat de sécurité. Pour comprendre par où les identifiants s'échappent en amont, notre article sur les fuites de secrets, clés d'API, tokens et credentials exposés détaille les mécaniques que HIBP, lui, ne regarde pas.

Les alternatives à Have I Been Pwned

La plupart des "alternatives" grand public s'appuient en réalité sur les données de HIBP :

• Firefox Monitor (aujourd'hui intégré à Mozilla Monitor) : pratique, intégré au navigateur, mais son corpus de fuites est celui de HIBP. La question "Firefox Monitor est-il fiable ?" revient donc à celle qu'on vient de traiter : oui, puisque c'est la même source, avec une couche d'alertes en plus.
• Les gestionnaires de mots de passe (1Password, Bitwarden, Google Password Checkup) : ils font tourner la vérification k-anonymity en continu sur votre coffre. C'est même la meilleure façon d'utiliser Pwned Passwords au quotidien, sans y penser.
• Les moteurs payants (DeHashed, Snusbase et consorts) : ils indexent parfois des données que HIBP n'expose pas (mots de passe en clair, recherche par nom d'utilisateur ou IP). Outils d'investigation puissants, mais orientés OSINT offensif, avec les zones grises éthiques et légales qui vont avec.

Pour vérifier l'exposition d'une adresse ou d'un mot de passe, HIBP (directement ou via un gestionnaire) reste le bon réflexe, gratuit et fiable. Cherchez ailleurs seulement si vous avez un besoin d'investigation ciblé, en connaissance de cause.

HIBP pour un particulier, et pour une entreprise ?

Pour un individu, HIBP plus un gestionnaire de mots de passe couvrent l'essentiel : on repère où on a fuité, on change les mots de passe concernés, on active la double authentification, on s'abonne aux alertes.

Pour une organisation, le problème change de nature. Une boîte mail devient un annuaire entier : plusieurs domaines et leurs sous-domaines, les comptes de chaque employé, les accès ouverts aux prestataires, sans compter les clés de service oubliées dans un dépôt. Un salarié qui réutilise sur son compte pro un mot de passe déjà fuité ailleurs offre un vecteur d'accès initial tout trouvé. Ce risque-là ne se lit pas en tapant une adresse dans un formulaire une fois par an. Il demande :

C'est le rôle d'un module Leaks & Secrets au sein d'une démarche d'External Attack Surface Management : la vérification tourne en fond sur tous les identifiants et secrets liés à votre organisation, rattachés à leurs actifs, et une alerte part dès qu'une fuite touche un de vos comptes. Personne n'a à repenser à relancer une recherche. Là où HIBP répond à "est-ce que mon adresse a fuité ?", l'EASM répond à "qu'est-ce qui, sur tout mon périmètre, est exploitable maintenant ?".

À retenir

• Have I Been Pwned est fiable et gratuit pour vérifier si une adresse ou un mot de passe figure dans une fuite connue. C'est le bon réflexe, sans réserve, pour un usage individuel.
• Tester son mot de passe n'est pas dangereux grâce à la k-anonymity : seuls les cinq premiers caractères de l'empreinte SHA-1 sont envoyés, jamais le mot de passe ni son hash complet.
• Une absence n'est pas une garantie. HIBP ne voit que les fuites qu'il a récupérées, à un instant donné. Un "no pwnage found" n'est pas un certificat de sécurité.
• La plupart des alternatives grand public utilisent ses données (Firefox Monitor, gestionnaires de mots de passe). Le meilleur usage au quotidien passe d'ailleurs par un gestionnaire.
• À l'échelle d'une entreprise, la recherche ponctuelle ne suffit plus : il faut une surveillance continue et corrélée des identifiants et secrets sur tout le périmètre.

Reste la question qui dépasse la simple adresse : qu'est-ce qui fuite sur tout le périmètre de votre organisation ? Notre module Leaks & Secrets est bâti pour y répondre. Et si HIBP suffit à votre besoin, gardez HIBP : c'est un excellent service, et il est gratuit. Un doute, un cas particulier ? La page contact vous met en rapport avec un pentester.