Vérifier si son email est dans une fuite de données avec Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) est un service gratuit, créé en 2013 par un chercheur en sécurité australien, qui indexe les fuites de données publiques : des milliards de comptes. Vous entrez une adresse email, il vous dit dans quelles fuites connues elle apparaît. C'est l'outil que les journalistes et les services informatiques utilisent, et il est en anglais.

1. Comment l'utiliser

1. Sur la page d'accueil, saisissez votre adresse email. 2. Le résultat s'affiche aussitôt : la liste des fuites (« breaches ») où l'adresse figure, avec pour chacune la date, le site concerné et le type de données exposées (mot de passe, adresse, téléphone, date de naissance…). 3. Pour être prévenu des prochaines fuites : « Notify me ». Vous recevez un email de vérification, puis une alerte à chaque nouvelle apparition.

Les recherches ne sont pas enregistrées : « searches are not logged so there's no collection of addresses ». Pour « Notify me », seuls l'email, la date d'inscription et un jeton de vérification sont conservés.

2. Vérifier un mot de passe

La page « Pwned Passwords » permet de tester si un mot de passe a déjà circulé dans une fuite. Le mot de passe n'est pas envoyé en clair : « only the first 5 characters of the SHA-1 hash are sent ». Si le résultat est positif, le site est clair : « This password has previously appeared in a data breach and should never be used. »

3. Ce que le résultat ne dit pas

Un email absent des résultats ne prouve rien. Le site l'écrit lui-même : « Absence of evidence is not evidence of absence. » Beaucoup de fuites ne sont jamais rendues publiques, et beaucoup de données fuitées ne contiennent pas d'email (téléphone, adresse postale). Have I Been Pwned voit une partie du problème, pas le tout.

À l'inverse, apparaître dans une fuite de 2016 ne veut pas dire que vous êtes en danger aujourd'hui, si vous avez changé le mot de passe depuis.

4. Quoi faire après un résultat positif

• Changer le mot de passe du site concerné, et partout où vous utilisiez le même.
• Activer la double authentification sur les comptes importants.
• Surveiller les emails et SMS suspects dans les semaines qui suivent : les listes fuitées alimentent le phishing.
• Si la fuite contenait des données d'identité (adresse, date de naissance, pièce d'identité), lire notre guide sur l'usurpation d'identité.

Fuite et courtiers : deux problèmes différents

Une fuite, c'est un pirate qui a volé une base. Un courtier, c'est une société qui a acheté légalement vos données. Les deux se nourrissent : les données fuitées finissent dans les listes vendues. Have I Been Pwned traite le premier ; RadarDelete le second, et son analyse gratuite inclut le bilan des fuites connues pour votre adresse.

Source : Have I Been Pwned, « FAQs », « Notify me », « Pwned Passwords » (haveibeenpwned.com), consultés le 5 novembre 2026.