Mon mot de passe a-t-il fuité ? Comment le vérifier, et que faire

MaciPhoneAndroidWindowsMis à jour 2026-10-31

Votre téléphone ou votre ordinateur peut sans doute déjà vous le dire. L'iPhone et le Mac peuvent vous prévenir si vos mots de passe apparaissent dans des fuites de données connues, et le Check-up Mots de passe de Google vérifie s'ils ont été divulgués. Si l'un d'eux est signalé, changez-le sur ce site et partout où vous l'utilisiez, puis activez la double authentification.

Réponse rapide

Ouvrez l'app Mots de passe sur votre iPhone ou votre Mac et choisissez Sécurité, ou lancez le Check-up Mots de passe de Google dans Chrome ou sur passwords.google.com. Les deux signalent les mots de passe enregistrés qui ont fuité. Changez chaque mot de passe signalé sur le site concerné et sur tous les comptes où vous l'aviez réutilisé, puis activez la double authentification.

Comment vérifier sur un iPhone ou un Mac ?

Avec l'app Mots de passe. Apple précise que l'iPhone et le Mac repèrent aussi automatiquement les mots de passe faciles à deviner ou utilisés plusieurs fois.

Sur un iPhone :

Ouvrez l'app Mots de passe.
Touchez Sécurité. Si le mot de passe d'un compte est faible ou compromis, un message explique le problème.
Touchez le compte, puis « Modifier le mot de passe », et changez-le sur le site web ou dans l'app.

Sur un Mac :

Ouvrez l'app Mots de passe.
Cliquez sur Sécurité dans la barre latérale. Les comptes dont le mot de passe est peu robuste ou compromis y sont listés.
Cliquez sur le compte, puis sur « Modifier le mot de passe », et changez-le sur le site web ou dans l'app.

Vérifiez que la détection est active. Sur l'iPhone, allez dans Réglages > Apps > Mots de passe et activez « Détecter les mots de passe compromis ». Sur le Mac, ouvrez Mots de passe, choisissez Mots de passe > Réglages, puis cochez « Détecter les mots de passe compromis ».

Comment vérifier avec Google ?

Lancez le Check-up Mots de passe. Google indique qu'il vérifie si les mots de passe de votre compte Google ont été divulgués, sont peu sécurisés ou sont utilisés dans plusieurs comptes.

Chrome sur ordinateur : en haut à droite, sélectionnez Plus > Mots de passe et saisie automatique > Gestionnaire de mots de passe de Google, puis Check-up sur la gauche.
Chrome sur Android : appuyez sur Plus > Paramètres > Saisie automatique et mots de passe > Gestionnaire de mots de passe de Google > Check-up.
Autre navigateur : allez sur passwords.google.com, sélectionnez « Accéder au Check-up Mots de passe », puis « Vérifier les mots de passe ». Vous devrez peut-être vous connecter.

Google explique que les combinaisons nom d'utilisateur et mot de passe compromises ne sont pas sûres, car elles ont été publiées en ligne, et recommande de les modifier dès que possible.

Faut-il attendre d'être sûr que le mot de passe a fuité ?

Non. Parmi ses bonnes pratiques, Cybermalveillance.gouv.fr conseille de changer votre mot de passe au moindre soupçon, par exemple si vous entendez qu'une organisation chez qui vous avez un compte s'est fait pirater, sans attendre de savoir si c'est vrai.

Le NCSC britannique cite aussi haveibeenpwned.com pour savoir si vos informations figurent dans des fuites publiques, et note que des services semblables existent souvent dans les antivirus et les gestionnaires de mots de passe.

Mon mot de passe a fuité : que faire ?

Changez-le, puis partout où vous l'avez réutilisé : Cybermalveillance.gouv.fr explique qu'un mot de passe volé rend piratables tous les services qui l'utilisent.

Changez le mot de passe sur le site concerné. Allez-y en tapant vous-même son adresse ou par un favori que vous avez créé, pas par un lien reçu dans un message.
Changez-le sur tous les autres comptes qui utilisaient le même.
Utilisez un mot de passe différent pour chaque service, d'au moins 12 signes mélangeant majuscules, minuscules, chiffres et caractères spéciaux. Un gestionnaire de mots de passe sécurisé s'en charge à votre place.
Activez la double authentification partout où elle existe. En plus du mot de passe, le service vous demande une confirmation, par exemple un code reçu par SMS ou par e-mail, une application ou une clé.

Commencez par votre messagerie : Cybermalveillance.gouv.fr rappelle qu'elle reçoit les liens de réinitialisation de vos autres comptes.

Si vous ne pouvez plus vous connecter à un compte, suivez la fiche de Cybermalveillance.gouv.fr sur le piratage de compte, ou notre guide (en anglais) sur une connexion inconnue à votre compte.

PHP2Shell a-t-il fait fuiter mes mots de passe ?

Aucun avis officiel ne le dit. PHP2Shell désigne deux failles critiques de PHP, le langage de nombreux sites web, corrigées le 21 octobre 2026. L'AlerteCyber de Cybermalveillance.gouv.fr indique que leur exploitation peut permettre la prise de contrôle à distance des équipements vulnérables et le vol d'informations confidentielles. Mais une faille n'est pas une fuite, que Cybermalveillance.gouv.fr définit comme l'accès ou la divulgation non autorisés d'informations personnelles. Au 23 octobre 2026, aucun avis officiel ne donne de liste d'entreprises ou de clients touchés. Notre guide sur vos données personnelles et la faille PHP explique comment vous seriez prévenu.

Le rôle de Failshot

Failshot est fait pour le moment où quelqu'un s'assoit devant votre Mac et le déverrouille. Le mot de passe de votre Mac est sa première couche de sécurité. Failshot est une deuxième couche, celle qui vient après votre mot de passe.

Quand Failshot est activé, il prend en photo la personne qui déverrouille votre Mac, puis, avec Pro, enregistre une vidéo de 5 secondes, et sa fenêtre lui indique que le déverrouillage a été photographié. Avec Pro, activez les alertes, et Failshot vous envoie un e-mail pour un déverrouillage que vous ne confirmez pas comme le vôtre, pour un code PIN Failshot ou une réponse erronés, ou si son accès à la caméra est coupé pendant qu'il est activé. Pour le désactiver, ou le quitter depuis son menu, il faut Touch ID ou votre code PIN Failshot et votre réponse, jamais le mot de passe de votre Mac.

Failshot se télécharge gratuitement sur failshot.app pour Mac, avec macOS 14 ou une version ultérieure. Utilisation gratuite. Pro ajoute la vidéo, les alertes par e-mail et le coffre-fort chiffré. Essayez Failshot Pro pour Mac gratuitement pendant 7 jours sur failshot.app. Votre carte est demandée à l'inscription et débitée le 8e jour, sauf si vous annulez. L'application est en anglais, et les versions pour iPhone, Android et Windows arrivent bientôt.

Autres questions

Un mot de passe signalé veut-il dire que quelqu'un est entré dans mon compte ?

Pas à lui seul. Changez-le quand même, puis vérifiez l'historique des connexions dans les paramètres du compte. Si des appareils ou des sessions actives ne sont pas à vous, Cybermalveillance.gouv.fr conseille de garder une capture d'écran, puis de les déconnecter.

Google me préviendra-t-il si un de mes mots de passe fuite ?

Google peut vous avertir quand il détecte en ligne l'un de vos mots de passe enregistrés. Ces alertes se règlent sur passwords.google.com, dans Paramètres, sous « Alertes mot de passe ». Si vous recevez une telle notification, Google conseille d'aller directement sur la page du Check-up Mots de passe pour vous assurer qu'elle est authentique.

Puis-je ignorer un avertissement pour un vieux compte ?

Oui. Dans l'app Mots de passe d'Apple, choisissez Sécurité, sélectionnez le compte, puis Masquer. Si le site n'existe plus, Apple indique que vous pouvez supprimer ce compte de l'appareil et du trousseau iCloud.

Un e-mail me dit que mon mot de passe a fuité. Est-il authentique ?

Pas forcément. Cybermalveillance.gouv.fr met en garde contre les messages de personnes qui prétendent vous connaître grâce à des informations volées, et rappelle qu'aucune société sérieuse ne vous demandera votre mot de passe par messagerie ou par téléphone. N'utilisez pas les liens du message. Vérifiez dans l'app Mots de passe, avec le Check-up de Google ou sur le site officiel de l'organisme.