Très fréquent
Dictionnaire
Les listes de mots de passe les plus utilisés et issus de fuites passent en premier. Un mot courant tombe en quelques secondes.
azerty · 123456 · soleil · motdepasse
Votre mot de passe est-il déjà dans la nature ?
Mesurez sa robustesse et vérifiez s'il apparaît dans des fuites de données connues. Tout est calculé dans votre navigateur.
Chaque caractère se masque après 0,6 s
0/ 100
En attente
Temps de craquage estimé–
Fuites non vérifiéesActivez l'interrupteur pour interroger la base de fuites, hors UE.
- 12 caractères ou +
- Minuscules et majuscules
- Chiffre
- Symbole ou espace
- Sans suite ni répétition
- Pas un mot courant
Conseils
Les conseils s'affichent ici pendant la saisie.
Aucune donnée transmise à SurfaceID. Analyse dans votre navigateur.
- Jamais envoyéSi vous activez la recherche de fuites, seul un fragment de 5 caractères d'empreinte sort.
- Aucun cookie, aucun compteAucune mesure d'audience ni traceur sur cette page.
- Rien n'est conservéVotre mot de passe n'est jamais enregistré, et le champ est effacé dès que vous quittez la page.
- Aucun script tiersTous les scripts viennent de ce site, sans bibliothèque externe.
- Fuites vérifiées sur demandeDésactivée par défaut : la base de fuites n'est interrogée que si vous activez l'option puis cliquez sur « Vérifier ».
Comment on vérifie sans jamais voir
La recherche de fuites utilise le principe d'anonymat par lots (k-anonymat) : la base interrogée ne reçoit qu'un début d'empreinte partagé par des centaines de mots de passe différents.
1Saisie, reste dans la page
azerty1232Empreinte SHA-1 calculée dans le navigateur
…
3Seuls les 5 premiers caractères partent
…
4La base renvoie toutes les empreintes qui commencent pareil
5Comparaison dans votre navigateur
Ce qui sort de votre navigateur, vérification activée
Le mot de passe
JamaisL'empreinte complète (40 caractères)
JamaisLes 5 premiers caractères de l'empreinte
Vers la base de fuitesVotre adresse IP
Vue par la base de fuitesQuoi que ce soit, vers SurfaceID
RienLa base interrogée est Pwned Passwords, service public de Have I Been Pwned. Comme pour toute page web, elle voit l'adresse IP qui l'appelle, mais ne peut pas retrouver le mot de passe à partir de 5 caractères d'empreinte. Ce service est exploité par une société établie en Australie. Cette vérification est désactivée par défaut : aucune requête ne part vers cette base tant que vous n'avez pas activé l'interrupteur du testeur puis cliqué sur « Vérifier ».
Saisie locale
Le champ n'appartient à aucun formulaire envoyé : ce que vous tapez reste dans la page.
Robustesse
Mots courants, suites, répétitions, dates et longueur sont analysés pour estimer le nombre d'essais nécessaires.
Empreinte
Le navigateur calcule une empreinte SHA-1 avec son module cryptographique natif.
Fuites
Les 5 premiers caractères interrogent la base, la comparaison finale se fait chez vous.
Ce qu'un attaquant essaie en premier
Personne ne devine un mot de passe au hasard. Les attaques suivent des méthodes connues, du plus rentable au plus coûteux.
Très fréquent
Réutilisation d'identifiants
Un couple e-mail et mot de passe fuité sur un site est essayé automatiquement sur des centaines d'autres services.
fuite site A → essai sur messagerie, banque, VPN
Fréquent
Variantes prévisibles
Majuscule au début, chiffres ou point d'exclamation à la fin, lettres remplacées par des symboles : les outils testent ces règles d'office.
Soleil → S0leil2024!
Ciblé
Informations personnelles
Prénoms, villes, clubs, dates de naissance : ce qui est public sur les réseaux sociaux nourrit les listes d'essais.
prénom + année · ville + code postal
Six réflexes qui changent tout
Touchez un réflexe pour comprendre pourquoi il compte.
Chaque caractère ajouté multiplie le travail de l'attaquant. Une phrase de passe de quatre ou cinq mots résiste mieux qu'un mot court rempli de symboles, et elle se retient plus facilement.
Quand un site fuite, ses identifiants sont essayés partout ailleurs. Un mot de passe unique limite les dégâts à un seul compte.
Il génère et retient des mots de passe uniques pour chaque site. Vous ne mémorisez plus qu'un seul secret, long et solide, qui le protège.
Même si le mot de passe fuite, l'attaquant reste bloqué sans le second facteur. Commencez par la messagerie, la banque et les comptes administrateur.
Inutile de tout changer chaque mois. Changez immédiatement un mot de passe dès qu'il apparaît dans une fuite connue, ou si un service vous signale un incident.
Le meilleur mot de passe ne protège rien s'il est tapé sur une fausse page. Accédez à vos services par vos favoris, pas par un lien reçu par e-mail ou SMS.
Générer une phrase de passe
Touchez un mot pour le remplacer
Nombre de mots
Séparateur
Tirage avec le générateur aléatoire cryptographique de votre navigateur, dans une liste de 512 mots. Rien n'est conservé ni envoyé.
À éviterP@ssw0rd!
Prénom + année
Le même partout
Prénom + année
Le même partout
À préférerPlusieurs mots au hasard
Unique par service
Rangé dans un gestionnaire
Unique par service
Rangé dans un gestionnaire
À l'échelle de votre organisation
Les identifiants volés restent une porte d'entrée majeure. Côté organisation, quelques mesures font la différence, et elles sont attendues dans une démarche NIS2.
Double authentification obligatoire
Sur la messagerie, les accès distants (VPN, bureau à distance) et tous les comptes administrateur.
Politique de mots de passe écrite
Alignée sur les recommandations de l'ANSSI, avec un gestionnaire fourni aux équipes.
Surveillance des fuites
Suivi des fuites liées à votre nom de domaine pour réagir avant qu'un compte soit utilisé.
Sensibilisation des équipes
Hameçonnage, réutilisation, partage de comptes : les bons réflexes s'apprennent.
Ce qu'un attaquant voit de votre entreprise
Sous-domaines, ports exposés, fuites, configuration e-mail, certificats. Un rapport clair, aligné sur l'article 21 de la directive NIS2.
Lancer mon scan gratuit