Pourquoi utiliser passcheck
- HIBP et k-anonymat. Le SHA-1 est calculé dans le navigateur ; seul un court préfixe de hachage va à l’API.
- Entropie locale. Estimation de force selon longueur et classes de caractères — sur votre appareil.
- Pas de mot de passe sur notre backend. Nous ne recevons ni ne stockons ce que vous saisissez.
- Résultats clairs. Trouvé / non trouvé ; si trouvé, un compte approximatif HIBP.
- Limites honnêtes. Pas de promesse de sécurité absolue — corpus HIBP et heuristique.
- Gratuit et multilingue. Sans compte ; UI et SEO pour chaque locale.
- Avec générateur. Créez-en un nouveau sur passgen.dmosk.net.
Comment vérifier un mot de passe
- Saisissez le mot de passe (affichez ou masquez les caractères si besoin).
- Appuyez sur Vérifier : le navigateur calcule le SHA-1 et interroge HIBP par préfixe.
- Lisez le statut de fuite et l’estimation locale (bits, longueur, alphabet).
- Si trouvé, changez-le où il est encore utilisé ; créez-en un nouveau avec passgen.
Hygiène des mots de passe et HIBP
Have I Been Pwned rassemble des hachages issus de fuites connues. Une correspondance signifie que la chaîne a déjà paru dans des données volées — arrêtez de l’utiliser. Le score de force est heuristique, pas un substitut à un mot de passe aléatoire unique.
Conseils :
- Utilisez un mot de passe unique par service.
- Stockez-les dans un gestionnaire, pas dans des notes ou chats.
- Longueur et variété battent les mots « malins » du dictionnaire.
- Activez l’authentification à deux facteurs quand c’est possible.
- Si HIBP le trouve, changez-le partout où il marche encore.
- « Introuvable » dans HIBP ne veut pas dire « sûr à jamais ».
- Pour un nouveau, utilisez passgen.
- N’entrez pas de mots de passe sur des sites douteux — cet outil ne les envoie pas à notre serveur.
À quoi ça sert
- voir vite si un mot de passe apparaît dans des fuites connues ;
- obtenir une lecture d’entropie approximative avant rotation ;
- expliquer le risque des mots de passe faibles ou réutilisés ;
- enchaîner avec le générateur sur passgen ;
- le faire sans envoyer le mot de passe à notre serveur.
FAQ
Qu’est-ce que le k-anonymat avec HIBP ?
Le navigateur calcule le SHA-1 et n’envoie que les premiers caractères du hash. HIBP renvoie les suffixes de ce préfixe ; la correspondance complète est locale — le mot de passe entier n’atteint pas l’API.
Le mot de passe est-il envoyé chez nous ?
Non. Nous ne le recevons ni ne le stockons. Seul un court préfixe SHA-1 va à l’API HIBP.
Qu’est-ce que Have I Been Pwned ?
Projet de Troy Hunt qui agrège des hachages de fuites publiques. passcheck utilise son API de plages pour vérifier sans envoyer le mot de passe complet.
Que signifie le compte « vu N fois » ?
Nombre approximatif d’apparitions dans les données HIBP. Plus il est élevé, plus la chaîne a circulé — changez-la.
Que signifie l’estimation d’entropie ?
Heuristique approximative : longueur × log2 d’un alphabet estimé par classes. Pas un audit de laboratoire.
« Introuvable » signifie-t-il une sécurité absolue ?
Non. HIBP est incomplet ; le mot de passe peut être faible ou fuiter hors de ce corpus.
Où obtenir un nouveau mot de passe ?
Ouvrez passgen.dmosk.net — création dans le navigateur.
Le service est-il gratuit ?
Oui — sans inscription ni frais de vérification.
Fonctionne-t-il totalement hors ligne ?
L’estimation de force est locale. La vérification des fuites nécessite le réseau vers l’API HIBP.
Et si HIBP est indisponible ou CORS échoue ?
Vous verrez une erreur de connexion. Réessayez plus tard ; l’estimation de force peut rester disponible.
Quel algorithme de hachage ?
SHA-1 du mot de passe, comme l’exige l’API de plages k-anonymat de HIBP.
Conservez-vous un historique des vérifications ?
Non. Le mot de passe saisi ne nous est pas envoyé et n’est pas stocké dans notre base.