« Mot de passe compromis » dans Chrome : que faire

↑ Ce conseil fait partie du guide : Mots de passe fuités

Chrome dit que mon mot de passe est compromis : est-ce grave ?

Cela signifie que ce mot de passe apparaît dans une fuite de données publique, pas que votre compte a été piraté. Le navigateur compare vos identifiants enregistrés à ces listes, de façon chiffrée. Changez-le sur le site concerné, et partout où vous l'aviez réutilisé : c'est cette réutilisation qui rend la fuite dangereuse.

Comment le navigateur le sait

Chrome, Edge et Safari comparent les mots de passe que vous leur avez confiés à d'immenses listes de mots de passe apparus dans des fuites de données publiques. La comparaison se fait sans jamais envoyer votre mot de passe en clair : le navigateur en calcule une empreinte, n'en transmet qu'un fragment, et compare localement le résultat. Votre mot de passe ne quitte pas l'appareil.

Autrement dit : personne n'a regardé dans votre ordinateur. Le navigateur a simplement constaté que cette combinaison figure dans des listes qui circulent — le plus souvent parce qu'un site sur lequel vous aviez un compte s'est fait voler sa base de clients, parfois il y a des années.

C'est la même logique que haveibeenpwned.com, et la démarche complète est décrite dans comment savoir si mon adresse mail a fuité.

Ce que cela signifie vraiment

Le risque concret est simple à formuler : ce mot de passe est dans des listes que des programmes essaient automatiquement sur des centaines de sites, avec votre adresse mail. Si vous l'avez réutilisé ailleurs, ces autres comptes sont réellement exposés.

Trois nuances qui aident à doser la réaction :

• L'ancienneté compte. Une fuite de 2014 sur un forum disparu n'a d'importance que si le mot de passe sert encore aujourd'hui.
• Le compte concerné compte. Un site d'actualité sans données personnelles n'a pas le même poids que la messagerie.
• La réutilisation est le vrai problème. Un mot de passe unique, même exposé, ne met en danger qu'un seul compte.

Il n'y a donc pas lieu de paniquer : il y a lieu de trier.

Par quel compte commencer

La liste affichée peut contenir vingt ou trente lignes. L'ordre suivant traite l'essentiel du risque en une demi-heure :

1. La messagerie principale. C'est la clé de tout le reste : qui la contrôle peut réinitialiser les autres comptes.
2. La banque et les services de paiement.
3. Les comptes où une carte est enregistrée : boutiques, livraison, abonnements.
4. Les réseaux sociaux, qui servent à usurper votre identité auprès de vos proches.
5. Tout compte partageant le mot de passe d'un des précédents, même sans importance apparente.
6. Le reste, au fil des connexions.

Changer un mot de passe correctement

Quelques règles simples évitent de refaire le travail dans six mois :

• Un mot de passe différent par site. C'est la seule règle qui compte vraiment.
• Long plutôt que compliqué : quatre mots sans rapport valent mieux qu'un mot tordu de huit caractères.
• Pas de variation du précédent : ajouter « 2026 » ou un point d'exclamation à la fin ne trompe aucun programme.
• Laissez le navigateur ou le gestionnaire le générer et l'enregistrer : voyez quel gestionnaire de mots de passe choisir.
• Activez la double authentification dans la foulée, au moins sur la messagerie et la banque : c'est ce qui rend une prochaine fuite sans conséquence (mode d'emploi).

Faites-le depuis l'application officielle ou en tapant vous-même l'adresse du site : jamais depuis un lien reçu par message.

Quand la liste est très longue

Trente ou cinquante mots de passe signalés, c'est courant après des années d'usage, et c'est décourageant. Trois principes rendent la tâche gérable :

• Ne cherchez pas à tout faire d'un coup. Les six premiers comptes de la liste précédente couvrent l'essentiel du risque ; le reste peut se faire sur un mois.
• Supprimez plutôt que changer quand le compte ne sert plus : une boutique utilisée une fois, un forum oublié. Moins de comptes, moins de surface.
• Regroupez par lots de cinq, à un moment calme. Le navigateur propose souvent un bouton qui ouvre directement la page de changement du site concerné : utilisez-le, il fait gagner beaucoup de temps.

Et ignorez sans remords les comptes de test ou les inscriptions sans valeur : l'objectif n'est pas le zéro absolu, c'est de couper la réutilisation là où elle fait mal.

Vérifier que le compte n'a pas servi

Changer le mot de passe ne suffit pas si quelqu'un est déjà entré. Pour les comptes importants, prenez deux minutes de plus :

• L'activité de connexion récente : lieux, appareils, horaires. C'est la preuve la plus parlante.
• Les appareils connectés : déconnectez tout, puis reconnectez-vous seul.
• Les règles de transfert de la messagerie : une copie silencieuse de vos mails est la porte dérobée classique.
• L'adresse et le numéro de récupération : s'ils ont été modifiés, le compte reste récupérable par l'intrus malgré le nouveau mot de passe.

Si l'un de ces points cloche, traitez-le comme une intrusion : la marche à suivre est dans compte en ligne piraté, et service par service dans compte Gmail piraté.

Les autres alertes du navigateur

La vérification des mots de passe affiche trois catégories distinctes, et elles n'appellent pas la même réaction :

• « Compromis » : le mot de passe figure dans une fuite connue. C'est le plus urgent, et c'est l'objet de cette fiche.
• « Réutilisé » : le même mot de passe sert sur plusieurs sites. Ce n'est pas encore un incident, mais c'est ce qui transformera la prochaine fuite en cascade. Traitez-le sur les comptes importants.
• « Faible » : mot de passe trop court ou trop devinable. À corriger quand vous passez sur le site, sans urgence particulière.

Sur iPhone, les mêmes trois catégories existent sous d'autres mots — « Fuite de données », « Utilisé plusieurs fois », « Facile à deviner » — dans l'app Mots de passe : ce que dit vraiment l'alerte « fuite de données » d'un iPhone, et pourquoi elle ne signifie pas que le téléphone a été piraté.

Le navigateur affiche aussi deux avertissements d'une autre nature, qu'il ne faut pas confondre avec celui-ci : la mention « site non sécurisé » dans la barre d'adresse, qui signale simplement une connexion non chiffrée (ne jamais y saisir de mot de passe ni de carte), et la page rouge de navigation sécurisée, qui bloque un site identifié comme dangereux. Cette dernière est une vraie protection : on ne passe pas outre, même quand on croit connaître le site.

Les fausses alertes qui imitent celle-ci

Le succès de cette alerte a inspiré les escrocs. Quelques repères pour ne pas se tromper :

• La vraie alerte apparaît dans les réglages du navigateur ou dans une fenêtre du navigateur lui-même : elle ne donne jamais de numéro de téléphone.
• Elle ne demande ni paiement, ni installation de logiciel, ni analyse à lancer.
• Elle est consultable à tout moment dans la page de vérification des mots de passe du navigateur : c'est le test définitif. Ce qui n'y figure pas n'existe pas.

Une page rouge avec un compte à rebours et un numéro à appeler est une publicité, jamais une alerte : voyez fausse alerte antivirus et l'arnaque au faux support technique.

Ne plus revoir cette alerte

Une fois le tri fait, trois habitudes évitent son retour :

• Un mot de passe différent par site, généré et retenu par le navigateur ou un gestionnaire.
• La double authentification sur les comptes importants : un mot de passe exposé n'ouvre plus rien.
• Les alertes laissées actives : la vérification des mots de passe, dans le navigateur, prévient toute seule à la prochaine fuite. Ne la désactivez pas parce qu'elle dérange : elle travaille pour vous.

Si la liste vous décourage ou si vous voulez que quelqu'un fasse le tour avec vous — comptes importants, double authentification, codes de secours rangés —, c'est l'objet d'une séance de prévention, à distance ou à domicile. Le diagnostic au téléphone dure quinze minutes et ne coûte rien ; vous pouvez aussi décrire votre situation.

Gérer les mots de passe enregistrés dans Chrome

L'alerte vient du gestionnaire intégré au navigateur. Savoir s'en servir règle la moitié du problème :

• Voir la liste : le menu à trois points, Mots de passe et saisie automatique, ou l'adresse chrome://password-manager. Chaque entrée affiche le site, l'identifiant et le mot de passe — révélé après saisie du code de votre session Windows ou de votre mot de passe de compte. Cette protection-là est mince : quiconque a votre session a vos mots de passe.
• Modifier ou supprimer une entrée : cliquez sur les trois points en face de la ligne. Supprimez les comptes que vous n'utilisez plus : une entrée en moins est une fuite potentielle en moins.
• Arrêter de tout mémoriser : la case « Proposer d'enregistrer les mots de passe » se décoche. Utile si vous passez à un gestionnaire dédié, sinon laissez-la — un mot de passe enregistré vaut mieux qu'un mot de passe réutilisé de tête.
• Exporter la liste : la même page propose un export en fichier. Il sert à migrer vers un vrai gestionnaire — et il est en clair : supprimez-le dès l'import terminé, et videz la corbeille.
• Le contrôle de sécurité : le bouton « Vérifier les mots de passe » relance l'analyse et classe les entrées en compromis, réutilisés et faibles. C'est votre liste de travail, dans l'ordre.

Un point à connaître : si vous êtes connecté à Chrome avec votre compte Google, ces mots de passe sont synchronisés. Reprendre le compte Google devient donc la priorité absolue s'il a été compromis.

Après avoir changé : vérifier que le compte n'a pas déjà servi

Un mot de passe signalé comme compromis a pu être utilisé avant votre changement. Le contrôle prend trois minutes par compte :

1. Les connexions récentes : dates, pays, appareils. Fermez toutes les sessions que vous ne reconnaissez pas.
2. L'adresse e-mail et le numéro de récupération : une modification que vous n'avez pas faite est le signe le plus clair d'une intrusion.
3. La boîte de réception du compte, corbeille comprise : les messages de sécurité y sont, et un intrus les supprime sans toujours vider la corbeille.
4. Les moyens de paiement et les adresses de livraison, si le compte en contient.

Pour comprendre d'où vient cette alerte et par quels chemins un mot de passe se retrouve en circulation, lire comment les pirates trouvent vos mots de passe.

Les limites de l'alerte, et ce qu'elle ne voit pas

L'alerte est utile, mais elle donne une image partielle. Quatre angles morts, qu'il vaut mieux connaître pour ne pas se croire à l'abri.

• Elle ne voit que ce qui est enregistré dans ce navigateur. Les mots de passe notés sur un carnet, retenus de tête, ou rangés ailleurs ne sont pas comparés.
• Elle ne voit que les fuites publiées. Une base dérobée mais pas encore diffusée n'y figure pas : l'absence d'alerte n'est donc pas une garantie, seulement une absence de nouvelle.
• Elle ne dit pas d'où vient la fuite, ni quand elle a eu lieu. Un mot de passe signalé peut avoir fuité il y a six ans.
• Elle ne protège pas d'un programme voleur installé sur la machine : dans ce cas c'est le navigateur lui-même qui est vidé, alerte ou pas. Le mécanisme est détaillé dans comment les pirates trouvent vos mots de passe.

Le cas limite à retenir : changer le mot de passe signalé ne suffit pas si une session est encore ouverte chez l'attaquant. Déconnectez toutes les sessions du compte concerné ; c'est ce geste, et pas le changement de mot de passe, qui l'expulse.

Si plusieurs comptes sont signalés d'un coup et que vous ne savez pas par où commencer, le diagnostic de quinze minutes au téléphone est gratuit : on établit l'ordre des priorités ensemble. La reprise complète se fait à distance dès 19 € la demi-heure ; au Mans et en Sarthe, sur place dès 49 €.

D'où vient l'alerte : la base de fuites derrière le navigateur

L'alerte ne vient pas d'une analyse de votre ordinateur. Elle vient d'une comparaison, et savoir comment elle fonctionne explique ce qu'elle peut dire — et ce qu'elle ne peut pas.

1. Des bases de données dérobées circulent après le piratage de sites divers. Elles contiennent des adresses e-mail et des mots de passe, en clair ou protégés par une empreinte faible.
2. Ces fuites sont compilées dans des listes publiques que les navigateurs interrogent.
3. La vérification des mots de passe de Chrome, Edge ou Safari compare vos identifiants enregistrés à ces listes — sans envoyer vos mots de passe : seule une empreinte partielle circule, et la comparaison finale se fait sur votre appareil. C'est le même principe que les services de vérification de fuite publics.
4. L'alerte s'affiche quand un couple adresse et mot de passe correspond.

Trois conséquences concrètes. L'alerte ne signifie jamais que votre ordinateur est infecté. Elle ne concerne que les mots de passe enregistrés dans ce navigateur et synchronisés avec votre compte : si vous utilisez plusieurs navigateurs, chacun a sa propre liste. Et elle dépend des fuites déjà publiées, donc son silence ne prouve rien.

Pour une vérification plus large, faites le tour de vos adresses sur un service dédié : la méthode est dans savoir si votre adresse mail a fuité, et les chemins réels du vol dans comment les pirates trouvent vos mots de passe.

Questions fréquentes

Cette alerte signifie-t-elle que je suis piraté ?

Non. Elle signifie que ce mot de passe figure dans une fuite de données publique, généralement causée par un site tiers. Votre ordinateur n'est pas en cause ; c'est la réutilisation du mot de passe qui crée le risque.

Le navigateur envoie-t-il mes mots de passe à Google ?

Non : la vérification repose sur une empreinte dont seul un fragment est transmis, et la comparaison finale se fait sur votre appareil. Le mot de passe lui-même ne quitte pas le navigateur.

Puis-je ignorer l'alerte pour un compte sans importance ?

Oui, à une condition : que ce mot de passe ne serve nulle part ailleurs. S'il est réutilisé, même un compte anodin devient une porte d'entrée vers les autres.

Quelle différence entre « mot de passe compromis » et « réutilisé » ?

« Compromis » signifie qu'il figure dans une fuite connue : à changer en priorité. « Réutilisé » signale seulement qu'il sert sur plusieurs sites : c'est ce qui transformera la prochaine fuite en cascade, à corriger sur les comptes importants.

Comment voir les mots de passe enregistrés dans Google Chrome ?

Menu à trois points, Mots de passe et saisie automatique — ou l'adresse chrome://password-manager. Chaque mot de passe s'affiche après saisie du code de votre session Windows : autrement dit, qui a votre session a vos mots de passe.

Comment supprimer un mot de passe enregistré dans Chrome ?

Dans la même page, les trois points en face de la ligne, puis Supprimer. Faites le ménage des comptes que vous n'utilisez plus : une entrée en moins est une fuite potentielle en moins.

Faut-il arrêter d'enregistrer ses mots de passe dans le navigateur ?

Seulement si vous passez à un gestionnaire dédié. Sinon, gardez-le : un mot de passe enregistré vaut toujours mieux qu'un mot de passe réutilisé parce qu'il fallait le retenir.

À lire aussi : le guide des mots de passe fuités · savoir si son adresse mail a fuité · effacer les mots de passe enregistrés dans le navigateur.