Avant de confier vos données à un site, vérifiez s'il a déjà fuité

La plupart des réflexes de sécurité numérique se concentrent sur l'après : que faire une fois qu'une fuite a touché un compte. Un réflexe plus simple et tout aussi efficace se joue avant : vérifier l'historique de sécurité d'un service avant même de lui confier une donnée.

Pourquoi ce réflexe change la donne

Un service qui a déjà subi une fuite de données n'est pas automatiquement dangereux, mais son historique révèle quelque chose d'utile : comment l'entreprise a géré l'incident, ce qui a été exposé (mots de passe en clair, informations bancaires, simples adresses email), et si des fuites se sont répétées. Une entreprise qui a fait fuiter des mots de passe en clair, sans hachage, en dit long sur ses pratiques de sécurité de base, bien plus qu'une page "sécurité" bien rédigée sur son site.

Vérifier cet historique avant de créer un compte, plutôt qu'après coup, permet de décider en connaissance de cause : accepter le risque, choisir une alternative, ou au minimum utiliser un mot de passe unique et une adresse email dédiée pour ce service.

Les outils gratuits pour vérifier

Have I Been Pwned reste la référence pour vérifier si une adresse email personnelle a été exposée dans une fuite connue, mais il fonctionne par adresse email, pas par site. Son ampleur donne une idée du phénomène : 1 036 sites compromis et 17,8 milliards d'adresses répertoriées. Le même service propose aussi de tester un mot de passe pour savoir s'il circule dans des fuites connues, sans jamais l'envoyer en clair.

Pour vérifier l'historique d'une entreprise ou d'un domaine avant de s'y inscrire, fuitesinfos.fr tient un répertoire dédié aux fuites touchant la France. Le projet a été lancé en janvier 2026 par Christophe Boutry et publie chaque incident sous forme de fiche datée, en distinguant les fuites revendiquées de celles qui sont confirmées. Cette distinction a son importance : une revendication sur un forum n'est pas une fuite établie.

Une extension navigateur du même projet, disponible sur Chrome et Firefox, automatise cette vérification : elle alerte directement quand vous naviguez sur un site dont l'entreprise a déjà subi une fuite recensée, sans avoir à vérifier manuellement à chaque nouvelle inscription.

Pourquoi une fuite ailleurs compromet vos comptes ici

C'est le mécanisme que presque personne n'a en tête, et c'est lui qui justifie tout le reste.

La CNIL lui donne un nom, le credential stuffing, et le définit comme des « tentatives d'authentification massives sur des sites et services web à partir de couples identifiants/mots de passe ». Autrement dit : un attaquant récupère une liste issue d'une fuite, puis essaie automatiquement chaque couple sur des dizaines d'autres services.

Trois conditions rendent l'attaque efficace, et la CNIL les énumère sans détour. L'identifiant est presque toujours l'adresse électronique, donc l'attaquant connaît déjà la moitié de la réponse. Les utilisateurs réemploient les mêmes couples sur plusieurs sites sans les renouveler. Et des listes « contenant des centaines de millions de ces couples email/mot de passe sont disponibles au sein du web caché ».

La conséquence est contre-intuitive et mérite d'être énoncée clairement : la fuite qui vous coûtera cher n'est pas celle du service que vous surveillez, c'est celle d'un service auquel vous ne pensez plus. Un forum abandonné il y a huit ans, une boutique en ligne utilisée une fois. Si le mot de passe y était le même qu'ailleurs, c'est cet ailleurs qui tombe.

C'est aussi ce qui explique qu'un mot de passe unique par service ne soit pas un conseil de perfectionniste. C'est la seule mesure qui casse la chaîne.

Lire un incident : ce qui distingue une fuite bien gérée d'une fuite subie

Une fuite ne dit pas grand-chose à elle seule. La réaction de l'entreprise, si.

Et il existe un critère objectif pour la juger, parce que la loi fixe des obligations précises. Le RGPD impose deux choses distinctes, et la nuance entre les deux explique beaucoup de silences.

L'article 33 oblige l'entreprise à notifier la CNIL dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance, dès lors que la violation présente un risque. Cette obligation vaut pour tout organisme, public comme privé, quelle que soit sa taille. Une notification initiale incomplète est d'ailleurs acceptée, précisément pour que personne n'attende d'avoir tout compris avant de prévenir.

L'article 34 oblige à informer les personnes concernées, mais seulement lorsque la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés.

Deux seuils différents, donc. Une entreprise peut avoir parfaitement rempli ses obligations sans que vous ayez jamais été prévenu, parce qu'elle a estimé le risque réel mais pas élevé. C'est légal, et c'est la raison pour laquelle un répertoire de fuites vous apprend souvent des choses que le service concerné ne vous a pas dites.

Ce que je regarde, dans l'ordre :

La nature de ce qui a fui. Des adresses email seules, c'est ennuyeux. Des mots de passe en clair, sans hachage, en 2026, c'est un aveu de négligence sur les fondamentaux. Des données bancaires ou des pièces d'identité, c'est une autre catégorie de problème.

Le délai entre l'incident et sa communication. Un mois de silence en dit plus long qu'un communiqué bien tourné.

La répétition. Une fuite peut arriver à n'importe qui. Trois fuites en deux ans décrivent une organisation.

Ce qui a changé après. Authentification multifacteur proposée, mots de passe réinitialisés d'office, audit publié ? Ou rien ?

Comment appliquer ce réflexe au-delà du grand public

Pour un professionnel qui choisit un nouvel outil ou un prestataire SaaS pour son équipe, ce même réflexe mérite d'être intégré au processus de sélection, au même titre qu'une vérification de conformité RGPD ou de certification de sécurité. Un historique de fuites répétées, ou une fuite récente mal communiquée aux utilisateurs, est un signal à intégrer dans l'arbitrage, au même titre qu'un prix ou une fonctionnalité.

Ce réflexe rejoint directement les bonnes pratiques que je détaille dans mon article sur la sécurité numérique pour un particulier, et complète la question posée par les passkeys : mieux authentifier ne sert à rien si le service en face gère mal les données une fois collectées.

Ce que ça ne remplace pas

Vérifier l'historique d'un site ne dispense pas des réflexes de base : mot de passe unique par service, gestionnaire de mots de passe, authentification à deux facteurs quand elle est proposée. C'est une couche de diagnostic supplémentaire, avant l'inscription, pas un substitut aux protections qui s'appliquent après.

Sources : CNIL, définition du credential stuffing ; CNIL, violations de données personnelles : les règles à suivre ; CNIL, notifier une violation de données personnelles ; Have I Been Pwned ; Fuites Infos.