Avant de confier vos données à un site, vérifiez s'il a déjà fuité

La plupart des réflexes de sécurité numérique se concentrent sur l'après : que faire une fois qu'une fuite a touché un compte. Un réflexe plus simple et tout aussi efficace se joue avant : vérifier l'historique de sécurité d'un service avant même de lui confier une donnée.

Pourquoi ce réflexe change la donne

Un service qui a déjà subi une fuite de données n'est pas automatiquement dangereux, mais son historique révèle quelque chose d'utile : comment l'entreprise a géré l'incident, ce qui a été exposé (mots de passe en clair, informations bancaires, simples adresses email), et si des fuites se sont répétées. Une entreprise qui a fait fuiter des mots de passe en clair, sans hachage, en dit long sur ses pratiques de sécurité de base, bien plus qu'une page "sécurité" bien rédigée sur son site.

Vérifier cet historique avant de créer un compte, plutôt qu'après coup, permet de décider en connaissance de cause : accepter le risque, choisir une alternative, ou au minimum utiliser un mot de passe unique et une adresse email dédiée pour ce service.

Les outils gratuits pour vérifier

Have I Been Pwned reste la référence pour vérifier si une adresse email personnelle a été exposée dans une fuite connue, mais il fonctionne par adresse email, pas par site. Pour vérifier l'historique d'une entreprise ou d'un domaine avant de s'y inscrire, fuitesinfos.fr tient un répertoire dédié aux fuites touchant des entreprises françaises et internationales, avec plus de 600 domaines référencés.

Une extension navigateur du même projet, disponible sur Chrome et Firefox, automatise cette vérification : elle alerte directement quand vous naviguez sur un site dont l'entreprise a déjà subi une fuite recensée, sans avoir à vérifier manuellement à chaque nouvelle inscription.

Comment appliquer ce réflexe au-delà du grand public

Pour un professionnel qui choisit un nouvel outil ou un prestataire SaaS pour son équipe, ce même réflexe mérite d'être intégré au processus de sélection, au même titre qu'une vérification de conformité RGPD ou de certification de sécurité. Un historique de fuites répétées, ou une fuite récente mal communiquée aux utilisateurs, est un signal à intégrer dans l'arbitrage, au même titre qu'un prix ou une fonctionnalité.

Ce réflexe rejoint directement les bonnes pratiques que je détaille dans mon article sur la sécurité numérique pour un particulier, et complète la question posée par les passkeys : mieux authentifier ne sert à rien si le service en face gère mal les données une fois collectées.

Ce que ça ne remplace pas

Vérifier l'historique d'un site ne dispense pas des réflexes de base : mot de passe unique par service, gestionnaire de mots de passe, authentification à deux facteurs quand elle est proposée. C'est une couche de diagnostic supplémentaire, avant l'inscription, pas un substitut aux protections qui s'appliquent après.