Mot de passe compromis : 3 127 mots de passe "conformes" passés au crible
des fuites

Votre téléphone affiche "ce mot de passe est apparu dans une fuite de données". Vous ne comprenez pas : il fait treize caractères, il a une majuscule, des chiffres et un point d'exclamation, il a passé sans broncher la politique de votre employeur. Pourtant l'alerte est probablement juste. Un mot de passe compromis n'est pas forcément un mot de passe qu'on vous a volé : c'est une chaîne qui figure déjà, telle quelle, dans un corpus de fuites que n'importe quel attaquant sait rejouer. Et un mot de passe "conforme" y entre très facilement, dès lors qu'un humain l'a construit.

Pour le vérifier, on a généré 3 127 mots de passe qui respectent tous la même politique classique, 12 caractères minimum avec majuscule, minuscule, chiffre et caractère spécial, en suivant des motifs que tout le monde utilise : un prénom suivi d'une année, une ville suivie de son code postal, une saison, un mot courant suivi de chiffres. Puis on les a tous passés dans Pwned Passwords, la base de Have I Been Pwned, sans jamais envoyer un seul mot de passe en clair. Selon le motif, de 13 % à 48 % y étaient déjà. Le témoin, 3 127 mots de passe aléatoires de mêmes longueurs, n'y figurait pas une seule fois.

La mesure : une politique classique, des motifs humains, une base publique

Le principe tient en trois étapes. On construit d'abord des mots de passe à partir de listes publiques françaises : le fichier des prénoms de l'INSEE, les communes et leurs codes postaux de geo.api.gouv.fr, les noms communs fréquents de Lexique 3.83. On ne garde que ceux qui passent la politique : au moins 12 caractères et les quatre types. Le corpus est figé (graine aléatoire fixe, fichier écrit seize secondes avant la première requête), donc aucun motif n'a été choisi après avoir vu les résultats.

On teste ensuite chaque candidat contre Pwned Passwords par k-anonymat : seuls les cinq premiers caractères de l'empreinte SHA-1 quittent la machine, avec l'en-tête Add-Padding: true qui brouille la taille des réponses. Le reste de la comparaison se fait en local. Un candidat compte comme compromis si son empreinte revient avec un compteur supérieur à zéro. Enfin, on passe dans la même moulinette 3 127 mots de passe aléatoires de mêmes longueurs : c'est le contrôle du dispositif, pas un résultat, puisque leur probabilité d'être dans la base est quasi nulle par construction.

Deux motifs prévus au départ ne figurent pas dans les résultats, et il faut dire pourquoi. Le motif "raison sociale + année + caractère spécial" sortait à 3,4 %, mais la contre-expertise a montré que 635 de ses 900 candidats avaient une forme peu réaliste (nom et année suivis de 123! ou d'une seconde année) qui tirait tout vers zéro : le chiffre parle du générateur, pas des gens. Quant aux "suites clavier", il s'agissait en fait d'une liste de 26 mots de passe célèbres écrite à la main, donc largement compromis par construction (19 sur 26). Les deux sont écartés.

Résultat : le motif décide, pas la politique

Les 3 127 candidats respectent tous la même règle. Ce qui sépare un mot de passe présent dans une fuite d'un mot de passe introuvable, c'est la façon dont il a été fabriqué. Un prénom, une année de naissance et un caractère spécial, soit la forme Prénom + 1987 + symbole, coche toutes les cases de la politique et tombe dans la base près d'une fois sur deux ; quand il y est, il y apparaît en médiane 35 fois. La ville suivie de son code postal, autre réflexe très français, fait à peine mieux. Le témoin aléatoire, lui, ne donne rien sur 3 127 essais.

Le détail par forme montre à quel point le dernier caractère pèse. Avec un point d'exclamation, le motif prénom + année est compromis à 60,7 % (142 sur 234) ; avec un dièse, à 30,0 % (24 sur 80). La ville suivie de son code postal et d'un point d'exclamation sort à 50,2 % (131 sur 261), la forme Ville@code à 27,6 %. Un mot courant suivi de 123! est compromis une fois sur deux (38 sur 76), suivi de 2025! à 3,4 % (5 sur 148). Ce dernier écart ne dit pas que 2025 est une bonne idée : les années récentes sont simplement encore peu présentes dans les corpus de fuites (aucun des 20 candidats prénom + 2026 n'y est). Ce qui protège aujourd'hui ce type de mot de passe, c'est son jeune âge, et ça ne dure pas.

La conséquence pratique est désagréable pour beaucoup de chartes informatiques. Exiger 12 caractères et quatre types ne garantit rien tant que l'humain choisit : il remplit la règle avec les mêmes briques que tout le monde, et ces briques sont déjà dans les dictionnaires d'attaque. C'est pourquoi les recommandations récentes, comme la révision 4 de NIST SP 800-63B, demandent de comparer chaque nouveau mot de passe à une liste de mots de passe compromis plutôt que d'empiler des règles de composition.

Ce que nos chiffres ne disent pas

• Ce n'est pas une fréquence dans la population. Les motifs et les listes sont nos choix : 47,7 % veut dire "47,7 % de nos 597 candidats de cette forme", pas "47,7 % des Français". C'est pour la même raison qu'on ne publie pas de moyenne tous motifs confondus : elle dépendrait du nombre de candidats que le générateur a produit pour chacun.
• Un compteur n'est pas un nombre de victimes. Pwned Passwords compte la présence d'une empreinte dans des corpus agrégés. Un mot de passe vu 35 fois peut appartenir à 35 personnes, ou à une seule présente dans plusieurs fuites.
• Absent ne veut pas dire sûr. Une forme qui n'est pas dans la base aujourd'hui reste devinable par un outil qui génère les mêmes motifs que nous. La base ne mesure que ce qui a déjà fuité.

Comment un mot de passe arrive dans une base de fuites

Quand votre appareil déclare un mot de passe compromis, il compare, de façon protégée, les mots de passe de votre trousseau à des milliards d'empreintes issues de fuites connues. Une chaîne arrive dans ces bases par quatre chemins, qui n'ont pas la même gravité.

• La fuite d'une base de données. Un service que vous utilisez se fait pirater, ou expose sa base par une mauvaise configuration. Si les mots de passe y étaient en clair ou hachés en MD5 ou SHA-1, les plus courants se retrouvent vite en clair et rejoignent les listes. Vous n'y êtes pour rien : la faille est chez eux, et notre lecture du catalogue de fuites de Have I Been Pwned montre que c'est loin d'être rare.
• La réutilisation. C'est le vrai problème, celui qui transforme une fuite lointaine en risque direct. Si le mot de passe volé chez le service A est aussi celui de votre boîte mail, l'attaquant n'a plus qu'à le tester partout : c'est le credential stuffing, le rejeu automatisé d'identifiants volés.
• Le phishing. Vous avez tapé vous-même votre mot de passe, mais sur une fausse page qui imitait le vrai site. Aucune base piratée : vous l'avez livré à un attaquant qui l'ajoute ensuite à ses propres listes.
• L'infostealer. Un logiciel malveillant installé sur une machine (un crack, une pièce jointe, une extension vérolée) siphonne les mots de passe enregistrés dans le navigateur. Il les récupère tels quels, sans rien avoir à casser.

Notre mesure ajoute un cinquième chemin, plus discret : la collision. Votre mot de passe n'a jamais fuité, mais un inconnu a choisi exactement le même, et c'est le sien qui est dans la base. Pour un attaquant, la différence est nulle : il essaie la chaîne, elle marche.

Vérifier qu'un mot de passe compromis l'est vraiment

Plusieurs outils font ce travail, et ils reposent tous sur la même astuce cryptographique qui vous évite de livrer votre secret.

• Have I Been Pwned, la référence, et la base que nous avons interrogée. La partie mots de passe utilise la k-anonymity : votre navigateur n'envoie que les cinq premiers caractères de l'empreinte, jamais le mot de passe. Le mécanisme est détaillé dans notre avis sur Have I Been Pwned et sa façon de vérifier si un mot de passe a fuité.
• La vérification intégrée du téléphone. Sur iPhone, l'app Mots de passe, rubrique Sécurité (Réglages puis Mots de passe avant iOS 18). Sur Android et Chrome, le "Check-up des mots de passe" de Google. Les deux tournent en continu sur votre trousseau.
• Votre gestionnaire de mots de passe. 1Password, Bitwarden et les autres intègrent la même vérification, souvent avec un tableau de bord qui liste tout ce qui doit changer.

Que faire quand votre mot de passe est compromis : l'ordre des opérations

L'ordre compte. Changer le mot de passe sur le service touché sans traiter la réutilisation ailleurs, c'est laisser la porte d'à côté grande ouverte.

Étape 1, le service directement touché. Changez le mot de passe tout de suite, pour un mot de passe neuf que vous n'utilisez nulle part ailleurs. Et pas une variante : passer de Prénom1987! à Prénom1987# change le symbole, pas le motif, et notre mesure montre que les deux formes sont dans les fuites.

Étape 2, la réutilisation, l'étape qu'on saute le plus souvent. Demandez-vous honnêtement où ce mot de passe servait encore. Boîte mail, réseaux sociaux, boutiques, compte professionnel : partout où c'était le même, il faut le remplacer, chacun par un mot de passe distinct. Commencez par votre adresse e-mail principale, car c'est elle qui permet de réinitialiser tous les autres comptes.

Étape 3, la double authentification. Activez la 2FA sur vos comptes importants, de préférence via une application d'authentification ou une clé physique plutôt que par SMS. Encore mieux quand le service le propose : les passkeys, qui remplacent le mot de passe par une clé cryptographique liée à votre appareil et résistent au phishing par construction. Tous les seconds facteurs ne se valent pas, c'est tout l'objet de la hiérarchie des facteurs d'authentification multifacteur.

Étape 4, le gestionnaire de mots de passe. C'est la seule réponse complète à notre mesure : un gestionnaire génère des mots de passe aléatoires, comme notre témoin, et notre témoin n'est jamais sorti dans une fuite. Vous n'avez plus qu'un seul secret à mémoriser, celui du coffre.

Côté entreprise : 22 des 31 sanctions CNIL pour défaut de sécurité visent les mots de passe

Le collaborateur qui réutilise sur son webmail d'entreprise le mot de passe déjà fuité de son compte de jeu vidéo vient d'ouvrir une porte que personne ne surveille. Pour un attaquant, ce couple e-mail professionnel et mot de passe vaut un billet d'entrée : l'accès initial, celui par lequel commencent beaucoup d'intrusions et d'attaques par rançongiciel.

Le régulateur, lui, regarde l'autre bout : ce que l'organisation fait des mots de passe qu'on lui confie. On a relu toutes les délibérations de sanction de la formation restreinte de la CNIL publiées dans l'open data de la DILA depuis l'entrée en application du RGPD : 87 décisions, dont 31 retiennent un manquement à l'article 32, l'obligation de sécurité (15 d'entre elles après une violation effective, reprises dans le guide de gestion d'un piratage en entreprise). Dans ces 31-là, on a codé à la main les griefs techniques que la formation restreinte retient effectivement, pas ceux que le rapporteur avançait. 22 sur 31 reprochent un défaut de mot de passe. C'est le grief technique le plus fréquent.

Le détail est parlant. Quinze décisions sanctionnent une politique de composition trop faible, jusqu'à un mot de passe d'un seul caractère accepté. Treize sanctionnent un stockage ou un envoi non sûr : en clair, haché en MD4, MD5 ou SHA-1, et en 2025 un SHA-256 salé mais trop rapide pour résister au cassage. Une dernière reproche un mot de passe temporaire identique pour tous les utilisateurs. Notre mesure côté Pwned Passwords éclaire le premier point : une politique de composition, même correcte, ne suffit pas si rien ne vérifie le mot de passe contre les fuites.

Deux réserves sur ce corpus. Il ne contient que les délibérations publiées, alors qu'environ 7 sanctions sur 10 de 2022 à 2025 passent par la procédure simplifiée, plafonnée à 20 000 € et sans texte publié, selon la table des sanctions de la CNIL. Et le codage a été fait par un seul lecteur, sur 31 décisions : c'est un ordre de grandeur solide, pas une statistique fine.

À l'échelle d'une organisation, l'alerte du téléphone ne suffit plus. Chaque employé a ses comptes, les prestataires ont leurs accès, et des clés de service dorment dans des dépôts que plus personne ne relit. Il faut une surveillance en continu, corrélée au reste de la surface d'attaque. C'est le rôle d'un module Leaks & Secrets de détection des identifiants exposés : il garde un œil permanent sur les identifiants et secrets rattachés à votre organisation et déclenche une alerte dès qu'une fuite touche un de vos comptes. Pour comprendre comment les identifiants s'échappent en amont, notre pilier sur les fuites de secrets et de credentials exposés détaille les mécaniques qui alimentent ces bases, et l'article sur la fuite de données et ses 72 heures ce qui suit quand c'est votre base qui part.

À retenir

• "Mot de passe compromis" n'est pas un piratage en direct : la chaîne figure dans une fuite connue, la vôtre ou celle de quelqu'un qui a eu la même idée.
• Une politique de complexité ne protège pas d'un motif. Sur nos 3 127 mots de passe conformes (12 caractères, quatre types), de 13 % à 48 % selon le motif étaient déjà dans Pwned Passwords, contre 0 sur 3 127 aléatoires.
• Le dernier caractère ne sauve rien. Prénom + année + ! sort à 60,7 %, la même chose avec # à 30,0 % : changer le symbole ne change pas le motif.
• Agissez dans l'ordre : le service touché, puis partout où le mot de passe ou son motif était réutilisé, puis double authentification ou passkeys, puis un gestionnaire qui génère de l'aléatoire.
• Côté organisation, la CNIL sanctionne d'abord les mots de passe : 22 des 31 délibérations publiées pour défaut de sécurité depuis le RGPD, composition trop faible ou stockage en clair et hachage obsolète en tête.

Vous gérez plus qu'une boîte mail personnelle ? Savoir quels identifiants de votre domaine traînent déjà dans une fuite, c'est ce que couvre notre module Leaks & Secrets, brique de notre plateforme EASM. Envie d'en discuter de vive voix ? La page contact ouvre la conversation.

Questions fréquentes