Mon email a-t-il fuité ?
Saisissez votre adresse : l'outil vous dit dans quelles fuites de données publiques elle apparaît, ce qui a été exposé à chaque fois et à quelle date. Gratuit, sans compte, et sans jamais demander de mot de passe.
- Chaque fuite, nommée Le service concerné, l'année, et ce qui s'est passé.
- Les données exposées Mots de passe, téléphone, adresse postale, pièces d'identité, coordonnées bancaires.
- L'ampleur Le nombre de comptes touchés et le secteur de l'organisation.
- Rien n'est gardé Aucun mot de passe demandé, aucun cookie, aucune adresse enregistrée.
Des fuites de données, tous les jours.
Depuis le début de 2026, il y a tous les jours des fuites de données, et plusieurs fois par jour. Le recensement public FrenchBreaches en ajoute plusieurs chaque jour, et la liste mélange sans distinction PME, fédérations, associations et mairies. Le privé comme le public, jusqu'aux établissements de l'État : France Travail, dans le tableau ci-dessous, en est un.
La CNIL dit la même chose en chiffres : 6 167 notifications de violation de données en 2025, près de 16 par jour, et personne n'est épargné. Elle consacre en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données, et elle ne compte encore que les organismes français qui déclarent. Beaucoup ne déclarent pas, alors que l'omission est elle-même une infraction, passible de 10 millions d'euros ou de 2 % du chiffre d'affaires.
Il s'agit rarement d'une intrusion spectaculaire, plutôt d'un serveur mal configuré, d'un prestataire compromis, d'un ancien service que personne n'a fermé. Et une fuite en produit d'autres, parce que les mots de passe qu'elle expose servent à se connecter ailleurs, chez un prestataire ou un fournisseur, qui fuite à son tour. Les données, elles, circulent pendant des années, et la personne concernée l'apprend presque toujours après coup, quand elle l'apprend.
Cinq des plus grosses fuites françaises de ces dernières années
Une fuite ne se referme pas avec l'année où elle est arrivée : en janvier 2026, la CNIL a sanctionné Free Mobile et Free de 42 millions d'euros au total, et France Travail de 5 millions, pour ces intrusions de 2024.
L'adresse email est le pivot de tout le reste. C'est elle qui identifie vos comptes, c'est elle qui reçoit les réinitialisations de mot de passe, et c'est elle qui permet de recouper deux fuites entre elles. Une adresse associée à un mot de passe ayant fuité se retrouve rejouée automatiquement sur des dizaines d'autres services, jusqu'à ce qu'un accepte. C'est ce qu'on appelle le credential stuffing, et cela ne demande aucune compétence particulière.
Savoir où votre adresse a fuité ne répare rien, mais cela change la question. Vous ne vous demandez plus si vous êtes concerné, vous savez lesquels de vos comptes le sont et dans quel ordre les reprendre.
Votre adresse apparaît dans une fuite. Ce qu'il faut faire.
Dans l'ordre, du plus utile au plus long. Les deux premiers points couvrent l'essentiel du risque réel.
- Changez le mot de passe du service concerné, puis celui de tous les comptes où vous aviez réutilisé le même. C'est la réutilisation qui transforme une fuite ancienne en problème actuel.
- Activez la double authentification partout où elle existe, en commençant par votre boîte mail. Une application dédiée, Ente Auth, Aegis, 2FAS ou Google Authenticator, vaut mieux qu'un code par SMS, qu'un attaquant peut détourner en faisant refaire votre carte SIM. Une clé physique, YubiKey ou Nitrokey, vaut mieux que tout le reste.
- Adoptez un gestionnaire de mots de passe, avec un mot de passe unique par service. Bitwarden et Proton Pass sont gratuits et open source, KeePassXC garde tout en local si vous ne voulez rien synchroniser, 1Password est payant. Retenir quarante mots de passe différents n'est pas une compétence, c'est un outil.
- Ouvrez les paramètres de votre messagerie et vérifiez les règles de transfert automatique, les alias et les appareils connectés. Un attaquant qui a eu accès à une boîte y laisse souvent une règle discrète plutôt que de revenir.
- Traitez avec méfiance les messages qui citent des informations exactes vous concernant. Une fuite alimente directement le hameçonnage ciblé, et un message crédible n'est pas un message légitime.
- Si des données bancaires figurent dans la fuite, surveillez vos prélèvements et prévenez votre banque. Une opposition coûte moins cher qu'une contestation.
- Supprimez les comptes que vous n'utilisez plus. Un service que vous avez oublié reste une base de données qui vous concerne, et elle fuitera sans vous prévenir.
- Refaites la vérification de temps en temps. De nouvelles bases sont publiées et indexées en permanence, et une adresse propre aujourd'hui peut apparaître le mois prochain.
Il suffit d'une adresse professionnelle.
Une adresse en prenom@votre-entreprise.fr présente dans une fuite, ce n'est pas un compte de loisir compromis. C'est une porte d'entrée nominative sur votre système d'information. Le mot de passe associé sera rejoué sur votre VPN, votre extranet, votre webmail et votre SSO, et il suffit qu'un seul collaborateur ait réutilisé le sien pour que la tentative aboutisse.
Cette page interroge un index public. Un index public vous dit qu'une fuite existe. Il ne vous dit pas ce qui circule réellement à votre sujet aujourd'hui, ni si cela reste exploitable.
Sur un périmètre d'entreprise, dans un cadre contractuel et avec l'autorisation du responsable des comptes, je vais plus loin : quelles adresses de votre domaine sont réellement exposées, quels identifiants apparaissent dans les jeux de données qui circulent, lesquels fonctionnent encore, et quelles autres données (documents, coordonnées bancaires, pièces jointes) accompagnent la fuite. Le livrable est un état des lieux daté, avec ce qu'il faut couper en premier.
Cette recherche s'articule avec le reste : une adresse exposée vaut surtout par ce qu'elle ouvre, et ce sont les permissions et l'authentification de vos applications qui décident si elle ouvre quelque chose.
D'où viennent ces résultats.
La vérification interroge l'index public de XposedOrNot, un service gratuit qui référence les fuites de données rendues publiques et les catégories d'informations exposées dans chacune. Les descriptions de fuites affichées dans le résultat proviennent de cet index.
La requête part de votre navigateur et va directement à ce service. Elle ne transite pas par bughunter.pro, ce qui veut dire que je ne vois jamais l'adresse que vous saisissez.
Un index ne connaît que ce qui a été publié puis référencé. Une base revendue en privé, une fuite jamais divulguée ou un incident trop récent n'y figurent pas encore. Un résultat vide veut donc dire « rien de connu publiquement », et non « rien n'a fuité ».
Suivre l'actualité des fuites
Questions fréquentes.
L'outil est-il vraiment gratuit ?
Oui, sans compte, sans inscription et sans limite pratique. La vérification interroge l'index public de XposedOrNot, qui est un service gratuit. Il n'y a rien à payer et rien à créer. La seule limite est celle du service interrogé, qui autorise 25 recherches par heure depuis une même connexion.
Mon adresse email est-elle enregistrée quelque part ?
Pas chez moi. La requête part directement de votre navigateur vers XposedOrNot, sans passer par bughunter.pro. Je ne vois jamais l'adresse saisie, il n'y a donc rien à stocker, rien à journaliser et rien à supprimer. Aucun cookie n'est posé par cet outil et le résultat disparaît dès que vous fermez l'onglet.
Mon adresse n'apparaît dans aucune fuite. Suis-je tranquille ?
C'est une bonne nouvelle, ce n'est pas une garantie. Un index ne connaît que les fuites rendues publiques puis référencées. Une base revendue en privé, une fuite jamais divulguée ou un incident trop récent n'y figurent pas. L'absence de résultat veut dire que rien n'est connu publiquement, pas que rien n'a fuité.
Pouvez-vous me dire quel mot de passe a fuité ?
Pas sur cette page, et aucun service sérieux ne le fait pour une adresse quelconque saisie dans un formulaire, car cela reviendrait à distribuer des identifiants à qui les demande. Sur un périmètre d'entreprise, dans un cadre contractuel et avec l'autorisation du responsable des comptes, la question devient légitime et je peux la traiter.
L'outil affiche une erreur ou ne répond pas. Pourquoi ?
Trois causes possibles. Le service interrogé limite le nombre de recherches par connexion, 25 par heure et 100 par jour, et vous avez peut-être atteint ce plafond. Le service peut aussi être momentanément indisponible, auquel cas il suffit de réessayer un peu plus tard. Enfin, un bloqueur de publicité ou une extension de confidentialité agressive peut empêcher l'appel de partir.
Je gère les adresses d'une entreprise. Puis-je vérifier tout un domaine ?
Pas depuis cette page, qui traite une adresse à la fois. Sur un nom de domaine complet le travail change de nature : il faut recenser les adresses réellement exposées, croiser plusieurs sources, écarter les faux positifs et déterminer ce qui reste exploitable aujourd'hui. C'est une prestation, pas un formulaire, et elle commence par un échange de cadrage.
Aller au-delà d'un index public.
Si c'est le domaine de votre entreprise qui apparaît dans les fuites, dites-moi lequel et ce que vous exposez sur Internet. Je reviens avec un cadrage et un prix. Premier échange sans engagement, confidentialité totale.