Have I Been Pwned en français : comprendre le site et vos résultats

Vous avez entendu parler de « haveibeenpwned », vous y avez peut-être tapé votre adresse — et le résultat, en anglais, vous a laissé perplexe. Voici ce qu'est vraiment ce site, et comment lire ce qu'il vous dit.

Have I Been Pwned, c'est quoi ?

Have I Been Pwned (« me suis-je fait avoir ? ») est un registre public des fuites de données, créé en 2013 par Troy Hunt, un chercheur en sécurité australien. Quand un site se fait voler ses données et que celles-ci circulent publiquement, elles y sont référencées : plus de 15 milliards de comptes compromis, issus de centaines de fuites, y sont recensés à ce jour.

C'est devenu la référence mondiale : des navigateurs et des gouvernements s'appuient dessus — et Veillify aussi, via son API officielle, avec attribution. Nous ne « possédons » pas les données de fuites : nous interrogeons ce registre pour vous et nous vous expliquons le résultat en français.

Comment ça marche, et pourquoi c'est sans danger

Vous saisissez votre adresse email, le site répond : la liste des fuites connues où elle apparaît. C'est tout. Vous n'y donnez jamais de mot de passe, le site ne « scanne » pas vos comptes, il consulte sa propre base. Si le verdict est « Oh no — pwned! », pas de panique : cela signifie que votre adresse figure dans au moins une fuite, pas que vous êtes piraté.

Lire un résultat : les « data classes »

Sous chaque fuite, le site liste les catégories de données exposées — en anglais. Les plus courantes :

• Email addresses — adresses email
• Passwords — mots de passe
• Names — noms
• Phone numbers — numéros de téléphone
• Physical addresses — adresses postales
• Dates of birth — dates de naissance
• Bank account numbers — numéros de compte (IBAN)
• Credit cards — cartes bancaires
• IP addresses — adresses IP
• Purchases — achats

C'est la partie qui compte : la gravité d'une fuite dépend de ses catégories, pas de sa taille. Une fuite de 200 millions de pseudos est moins grave qu'une fuite de 500 000 IBAN. Notre registre des fuites fait ce tri pour vous, fuite par fuite, en français — et le guide que faire après une fuite donne les gestes dans l'ordre.

Les entrées étranges : compilations et « stealer logs »

Certains noms dans vos résultats ne correspondent à aucun site connu : « Collection #1 », « Synthient », « Stealer Logs »… Ce ne sont pas des sites où vous auriez un compte, mais des compilations : des lots de données agrégées qui circulent chez les pirates, recueillies par des chercheurs et versées au registre.

Deux cas méritent le détour, car ils apparaissent dans énormément de résultats : les listes de credential stuffing Synthient (d'anciens couples email + mot de passe recyclés par les pirates) et les stealer logs Synthient (des identifiants aspirés par des logiciels espions — le cas le plus sérieux). Chaque page explique ce que ça signifie et quoi faire.

Ses limites — et ce que Veillify ajoute

Have I Been Pwned est excellent pour ce qu'il est : une base de données. Il s'arrête au constat — tout est en anglais, le résultat liste les fuites mais n'explique ni la gravité ni les gestes, et c'est à vous de penser à revenir vérifier, pour chaque adresse de la famille.

C'est le travail que fait Veillify par-dessus : la surveillance de toutes les adresses du foyer, un débrief mensuel en français, une alerte le jour même quand une nouvelle fuite vous touche — avec, à chaque fois, ce qu'il faut faire, dans l'ordre.

À lire ensuite

• Mon adresse email est dans une fuite : que faire ? Passer du constat aux gestes, dans le bon ordre
• Mon mot de passe est compromis : que faire ? Y compris les listes de mots de passe volés sur l'appareil
• La double authentification (2FA), expliquée Le geste qui rend un mot de passe volé inutile