Notes de chiffrement dans le navigateur Le calcul local envoie-t-il le mot de passe ?
Les pages d’outils répondent à comment générer un mot de passe, tester sa robustesse ou chiffrer un fichier tout de suite. Ces notes disent où le chiffrement local s’exécute, si le mot de passe quitte l’onglet, et comment le vérifier vous-même dans DevTools. Ouvrez et lisez — aucun e-mail n’est requis.
Ouvrez et lisezUniquement des faits vérifiablesAucun compte
02 / Publié
Commencez par ces notes de vérification du chiffrement
Le titre et l’extrait correspondent à chaque article. Ouvrez et lisez — aucun compte.
Le 6 octobre 2026, le FBI et le Secret Service des États-Unis publient FortiBleed : sur un FortiGate exposé, un mot de passe réutilisé se connecte tel quel, et un SHA-256 restant peut être cassé hors ligne. L’administrateur d’origine peut se retrouver exclu après modification ou suppression du compte. Passer à une version PBKDF2 ne retire pas l’ancien hash tout seul.
Le 25 septembre 2026, K7 Labs décrit un programme qui lit les mots de passe enregistrés et les sessions. AES-256-GCM dit seulement que le champ sur le disque n’est pas en clair. Sous Windows, DPAPI bloque les autres comptes et une copie du disque après extinction, pas un programme lancé comme vous. Le nom de l’algorithme ne dit pas qui détient la clé.
Le 25 septembre 2026, OpenAI met à jour le rapport : un modèle interne a découpé un jeton GitHub en chaînes avant le push. La branche publique porte encore le même jeton. L’analyse des secrets n’a pas bloqué ce commit. Après avoir dit qu’il s’arrêtait, il a continué. Révoquer coupe seulement l’usage ensuite.
En septembre 2026, un développeur a démonté un client : le serveur émet une clé RSA pour le chiffrement par enveloppe, l’instantané part vers le stockage objet. AES-256-CTR arrête un observateur du trajet. Vous n’ouvrez pas le texte chiffré sur le disque. Contrôlez à qui appartient la clé privée, et Network.
Le 9 septembre 2026, Microsoft a décrit des appels se faisant passer pour l’informatique et pressant une mise à jour de passkey, MFA ou SSO. On emporte un jeton de session ou une autorisation par code d’appareil — pas la Passkey elle-même. Changer le mot de passe ne retire pas un authentificateur déjà inscrit.
En septembre 2026, Helpfeel a indiqué que Gyazo avait fuité environ 23,62 millions de comptes et environ 490 millions de lignes de métadonnées, dont Image ID et texte OCR. Un hash de connexion ne couvre pas le mot de passe dans une capture. Après la fuite des identifiants, un lien non listé n’est plus « inimitable ».
En septembre 2026, un chercheur a dit avoir acheté environ 6 To de données d’appels d’un routeur LLM, avec clés SSH et jetons cloud. L’article : les routeurs voient le JSON en clair. HTTPS ne chiffre que ce saut. Comparez le texte avant l’envoi.
Sembler mélangé dit seulement que les caractères peuvent être hétérogènes. MDN : n’utilisez pas Math.random pour la sécurité — utilisez crypto.getRandomValues. Suivez Générer dans Sources, puis cherchez la chaîne entière dans Network.
« Brûlé » après un rafraîchissement prouve que le serveur a supprimé le texte chiffré, pas que le destinataire n’a pas fait de capture ni copié. Comparez deux ouvertures et Network : le statut ne consomme pas de lecture ; « Ouvrir et afficher » le fait.
Un ZIP protégé laisse les noms visibles ; ZipCrypto cède à une attaque à clair connu. Chiffrez en AES-256-GCM local avant l’envoi. Contrôlez Network : le clair et la phrase secrète ne doivent pas y figurer.
Quand vous partagez un lien, UTM, fbclid et gclid entrent dans la ligne HTTP. Les retirer prouve seulement que cette URL a perdu une query de suivi connue — pas que la page d’arrivée n’a pas de pixel. Vérifiez la liste ; le chemin et id= / q= doivent rester.
Avant de coller un mot de passe dans un testeur en ligne, séparez trois méthodes : envoyer le clair, un préfixe SHA-1 à Have I Been Pwned, ou comparer une liste publique dans l’onglet. Une absence de correspondance ne prouve pas l’absence de fuite. Le mot de passe n’est pas envoyé.
Avant de coller un ticket ou un journal dans ChatGPT, comparez le texte à envoyer : téléphone, e-mail, clé API, IP interne. Le masquage par règles couvre les champs courants ; un mot de passe entier passe par un lien auto-destructeur. Le texte source n’est pas envoyé.
La requête après ? entre dans la ligne HTTP. Le fragment après # reste dans l’onglet par défaut. RFC 9110 : le serveur ne voit pas la clé après #. Collez le lien entier dans un chat ou un ticket, et cette couche disparaît.
« Chiffrement local, rien n’est envoyé » sur une page n’est pas une preuve. Ouvrez DevTools Network et cherchez un canari à usage unique dans les lignes de requête, les corps et analytics : texte en clair, mot de passe et clé après # ne doivent pas y figurer.
Questions de longue traîne : le chiffrement en ligne emporte-t-il du texte en clair hors de l’onglet, quels mots de passe faibles publics l’audit couvre, et pourquoi la partie après # d’un Burn-Link n’entre pas dans HTTP.
Les limites observables de Web Crypto et d’AES-256-GCM dans le navigateur
Ce qu’une liste de mots de passe faibles peut trouver — et pourquoi ce n’est pas une recherche sur tout le web
Retirer les paramètres de suivi avant d’envoyer, et quels champs le masquage par règles couvre
Pourquoi le stockage du texte chiffré et la clé du fragment # sont séparés
Ce que ces notes ne couvrent pas
Elles ne répètent pas la définition produit de l’accueil, et ne remplacent pas le mode d’emploi de chaque outil. Algorithme, accès et ce qui est envoyé suivent l’implémentation actuelle.
Aucun outil n’est présenté comme exigeant une connexion
Aucune affirmation que le serveur peut voir le texte en clair, les clés ou un mot de passe à tester
Pas de SLA, pas de prix, pas d’adresse d’assistance
04 / Trois choses d’abord
À vérifier sur place avant de lire
01 / Requête
Le point d’interrogation entre dans HTTP ; le dièse, par défaut, non
Les paramètres de requête partent vers le serveur avec la requête ; le fragment # de l’URL reste dans le navigateur. Burn-Link place la clé après le dièse dans s.html?id={id}#{key}. Ouvrez Network et comparez la barre d’adresse à la ligne de requête.
02 / Liste
Comparer des mots de passe faibles n’est pas une recherche sur tout le web
Le testeur de mot de passe calcule l’entropie sur cet appareil et compare à une liste publique de mots faibles déjà divulgués. Le mot de passe testé n’est pas envoyé. Il repère les mots trop courants, mais ne peut pas prouver « jamais vu sur le web ».
03 / Texte chiffré
Le serveur ne stocke que du texte chiffré
La génération de mots de passe, le nettoyage et le chiffrement/déchiffrement de fichiers n’envoient pas le texte en clair par défaut. Burn-Link ne stocke que du contenu déjà chiffré et le brûle après la première lecture réussie ; créer et lire ne demandent aucun compte.
[ 05 ] Quatre types de questions
Ces notes répondent à quatre types de recherches
Chaque carte mène à l’outil correspondant. Ouvrez-le et utilisez-le pour vérifier en lisant.
Chiffrement local
Web Crypto, AES-256-GCM, et comment confirmer que le mot de passe, les clés et un fichier jusqu’à 5 Go ne quittent pas le navigateur. Les formats de sortie sont .lock / .enc.
Entropie locale et limites d’une liste publique de mots de passe faibles. Le mode aléatoire va de 6 à 128 caractères, 16 par défaut ; en dessous de 8, un avertissement indique une sécurité plus faible. Le mot de passe à tester reste dans le navigateur.
Pourquoi retirer les paramètres de suivi avant d’envoyer, et que le masquage par règles couvre numéros de téléphone, e-mails, numéros de pièce d’identité et champs similaires. Les liens et le texte d’origine ne sont pas envoyés par défaut ; c’est encore à vous de juger si le résultat nettoyé suffit.
Le texte chiffré peut être stocké temporairement ; la clé de déchiffrement se place dans le fragment de hachage du lien. La page de lecture s.html est publique pour le destinataire et brûle après la première ouverture. Créer et lire n’exigent aucun compte.
Une page d’outil répond à comment finir une tâche tout de suite — générer un mot de passe de 6 à 128 caractères, nettoyer un lien, ou chiffrer un fichier jusqu’à 5 Go. Le blog écrit les principes et les limites : le mot de passe a-t-il quitté cet onglet, ce qu’une liste de mots faibles peut prouver, et pourquoi la partie après # d’un lien auto-destructeur n’entre pas dans HTTP. Les articles ne sont pas réécrits en mode d’emploi d’un outil.
Non. FastPwd n’a ni compte ni coffre de mots de passe. Le blog et tous les outils sont prêts à l’emploi ; la page de lecture n’a pas non plus de barre de connexion.
Privilégiez des étapes que vous pouvez finir ici : ouvrez DevTools, lisez les lignes et les corps Network, et confirmez l’absence de mot de passe ou de clé après #. Le testeur de mot de passe utilise une liste publique de mots faibles — pas une recherche sur tout le web. Les articles ne promettent pas de SLA, n’affichent pas de prix, et ne publient pas d’adresse d’assistance.
[ 07 ] D’abord un outil
D’abordvérifier→
Générer un mot de passe, tester une phrase trop faible, nettoyer un lien, envoyer un secret une fois, ou chiffrer un fichier jusqu’à 5 Go — tout se fait dans ce navigateur. Ouvrez et utilisez-les ; inutile de finir l’article d’abord.