Pourquoi un site ne « connaît » pas votre mot de passe : le hachage

Image générée par IA¹

Je vais commencer par une phrase qui va peut-être vous étonner : le site sur lequel vous vous connectez tous les jours ne connaît pas votre mot de passe. Enfin, pour être plus exact, ne devrait pas connaître votre mot de passe.

Si, si, je vous assure. Vous le tapez plusieurs fois par semaine, le site vous laisse entrer, et pourtant, quelque part dans ses ordinateurs, il n’y a écrit nulle part MotDePasse2026!. Du moins, si le site est bien conçu (et c’est tout le sujet de l’article).

Alors comment fait-il pour vous reconnaître sans savoir ce que vous tapez ? La réponse tient en un mot un peu barbare : le hachage. Installez-vous, je vous explique ça tranquillement, et je vous promets qu’à la fin vous comprendrez pourquoi un gestionnaire de mots de passe reste votre meilleur ami.

L’idée qui fait peur (et qui devrait)

Imaginons un instant le pire des sites. Un site paresseux, mal conçu, qui stocke votre mot de passe tel quel, en clair, dans une grande liste :

• Martine → soleil123
• Jean-Pierre → jaimelechocolat
• Vous → MotDePasse2026!

Le problème saute aux yeux : n’importe quel employé un peu curieux, n’importe quel pirate qui parvient à voler cette liste, repart avec tous les mots de passe de tout le monde, lisibles comme une page de roman. Et comme beaucoup de gens réutilisent le même mot de passe partout (mauvaise idée, on en reparle plus bas), c’est la catastrophe en chaîne.

Heureusement, les sites sérieux ne font pas ça. Ils utilisent une astuce élégante : au lieu de garder votre mot de passe, ils en gardent seulement une empreinte.

La machine à sens unique

Une fonction de hachage, c’est une sorte de machine à sens unique. Vous mettez quelque chose dedans (votre mot de passe), elle vous recrache une empreinte : une longue suite de caractères qui ressemble à du charabia, par exemple 7c4a8d09ca3762af61e59520943dc26494f8941b.

Cette empreinte, on l’appelle aussi un hash ou un condensat. Et elle a deux propriétés magiques.

Première propriété : c’est toujours pareil. La même entrée donne toujours, toujours, la même empreinte. Si vous passez soleil123 dans la machine aujourd’hui, demain, dans dix ans, vous obtiendrez exactement la même suite de caractères. C’est fidèle comme une horloge.

Deuxième propriété : on ne peut pas revenir en arrière. Et c’est là que tout se joue. À partir de l’empreinte, il est impossible de retrouver le mot de passe d’origine.

En résumé, voici le trajet à sens unique que suit votre mot de passe :

flowchart LR
    P["Mot de passe : Soleil42"] --> H["Fonction de hachage (sens unique)"]
    H --> E["Empreinte : a1f9c3…"]
    E --> DB["Stockée par le site"]
    X["Reconstituer le mot de passe ?"] -.->|"impossible"| H

Pour bien comprendre ce « sens unique », j’aime deux images.

L’empreinte digitale

Votre empreinte digitale est unique et elle vous identifie à coup sûr. Mais si je vous montre seulement une empreinte relevée sur un verre, vous êtes incapable de reconstituer le visage, la taille ou le prénom de la personne. L’empreinte désigne quelqu’un sans le révéler.

Le hash d’un mot de passe, c’est pareil : il identifie votre mot de passe de façon unique, mais on ne peut pas remonter de l’empreinte jusqu’au mot de passe.

Le smoothie

Mon image préférée, c’est le mixeur. Prenez une banane, deux fraises et un peu de lait, mettez tout ça dans le blender, appuyez sur le bouton : vous obtenez un smoothie. Facile, rapide, et avec les mêmes fruits vous obtiendrez toujours le même smoothie.

Maintenant, essayez de faire l’inverse. Reconstituez la banane entière à partir du verre de smoothie. Bon courage 😆

C’est exactement ça, une fonction de hachage : transformer le mot de passe en empreinte, c’est l’enfance de l’art. Reconstituer le mot de passe à partir de l’empreinte, c’est aussi impossible que de « démixer » un smoothie.

Mais alors, comment le site me reconnaît ?

Bonne question, et c’est tout le génie du procédé. Le site ne compare jamais les mots de passe entre eux. Il compare les empreintes.

Reprenons le moment où vous créez votre compte :

1. Vous choisissez un mot de passe : MotDePasse2026!
2. Le site le passe dans la machine à hacher et obtient une empreinte.
3. Il jette votre mot de passe et ne garde que l’empreinte.

Et le jour où vous vous reconnectez :

1. Vous retapez MotDePasse2026!
2. Le site recalcule l’empreinte de ce que vous venez de taper.
3. Il compare cette nouvelle empreinte avec celle qu’il avait stockée.
4. Si les deux empreintes sont identiques → c’est bien vous, entrez. Si elles diffèrent → mauvais mot de passe, on recommence.

Le site n’a donc jamais besoin de connaître votre mot de passe. Il lui suffit de vérifier que l’empreinte de ce que vous tapez correspond à celle qu’il a en mémoire. Astucieux, non ?

Le grand jour : la fuite de données

Vous avez peut-être lu mon article sur les fuites de données. Régulièrement, la base de données d’un site se fait pirater et se retrouve dans la nature. C’est précisément là que le hachage montre toute son utilité.

Si le site stockait les mots de passe en clair, le pirate repart avec le trésor complet : tous les identifiants utilisables immédiatement.

Mais si le site a bien fait son travail et a tout haché, le pirate ne récupère qu’une liste d’empreintes. Et grâce à notre fameux sens unique, ces empreintes ne lui permettent pas de retrouver les mots de passe d’origine. Il a volé une montagne de smoothies dont il n’arrivera jamais à extraire les fruits.

Je dis bien si le site fait bien son travail. Car tout repose sur cette condition. Et c’est précisément pour ça qu’on ne peut pas se reposer uniquement sur les sites : certains hachent mal, d’autres pas du tout. Vous, vous ne pouvez pas le savoir de l’extérieur. D’où l’importance de vos propres précautions, j’y reviens.

Le grain de sel qui change tout

Il reste un petit défaut à régler. Vous vous souvenez ? La même entrée donne toujours la même empreinte. C’est pratique, mais ça crée un problème.

Imaginez que des milliers de personnes utilisent le mot de passe 123456 (et croyez-moi, beaucoup trop de gens le font). Toutes ces personnes auront alors exactement la même empreinte dans la base. Un pirate malin n’a plus qu’à préparer à l’avance une gigantesque liste : « voici l’empreinte de 123456, voici celle de azerty, voici celle de motdepasse… » Ces listes toutes prêtes s’appellent des tables précalculées. Le pirate compare les empreintes volées à sa liste, et hop, il devine les mots de passe les plus courants.

La parade ? Un grain de sel. En anglais, on dit salt, et l’image culinaire est restée.

Avant de hacher votre mot de passe, le site y ajoute une petite valeur unique, différente pour chaque utilisateur, le fameux « sel ». Résultat : même si Martine et Jean-Pierre choisissent tous les deux 123456, leurs empreintes seront complètement différentes, parce qu’on a ajouté un grain de sel différent à chacun.

Du coup, les tables précalculées du pirate deviennent inutiles : il faudrait qu’il refasse tout son travail séparément pour chaque utilisateur, avec son sel particulier. C’est un travail colossal qui transforme un casse-tête rapide en cauchemar interminable. Le sel ne rend pas le piratage strictement impossible, mais il le rend tellement coûteux que ça décourage l’immense majorité des attaques.

La leçon à retenir (la plus importante)

Vous pourriez vous dire : « Génial, les sites me protègent, je peux dormir tranquille. » Pas si vite. Tout repose sur ce petit si : si le site fait bien son travail.

Or, vous n’avez aucun moyen de vérifier de l’extérieur si un site hache correctement vos mots de passe, s’il les sale, ou s’il les laisse bêtement en clair dans un coin. Vous devez donc partir du principe que, tôt ou tard, l’un des sites où vous êtes inscrit fera une bêtise ou se fera pirater.

D’où les deux règles d’or :

• Un mot de passe unique par site. Si un site mal conçu se fait pirater et que votre mot de passe fuite, le dégât reste limité à ce site. Mais si vous utilisez le même mot de passe partout, le pirate va aussitôt l’essayer sur votre boîte mail, votre banque, vos réseaux sociaux… et là, c’est tout votre univers numérique qui tombe comme un château de cartes.

• Un gestionnaire de mots de passe. Avoir un mot de passe différent et compliqué pour chacun de vos comptes, c’est impossible à retenir de tête. Le gestionnaire les invente, les retient et les remplit pour vous. C’est le compagnon indispensable, et je détaille tout ça dans nos articles sur les bonnes pratiques des mots de passe.

Et tant qu’à faire, ajoutez par-dessus l’authentification multi-facteur : même si un mot de passe fuite, le pirate sera bloqué par cette deuxième barrière. Bretelles et ceinture.

Conclusion

Récapitulons notre petite aventure dans les coulisses des mots de passe :

• Un site bien conçu ne stocke pas votre mot de passe, mais une empreinte (un hash, un condensat).
• La fonction de hachage est une machine à sens unique : facile à l’aller, impossible au retour, comme un smoothie qu’on ne peut pas démixer.
• Pour vous reconnaître, le site recalcule l’empreinte de ce que vous tapez et la compare à celle qu’il a stockée. Jamais il ne « lit » votre mot de passe.
• En cas de fuite, ce sont des empreintes inexploitables qui partent… à condition que le site ait bien fait son travail.
• Le grain de sel garantit que deux mots de passe identiques n’ont pas la même empreinte et fait tomber les tables précalculées.

La morale de l’histoire ? Vous ne contrôlez pas le sérieux des sites, mais vous contrôlez vos mots de passe. Un mot de passe unique par site, un bon gestionnaire pour ne pas vous arracher les cheveux, et l’authentification multi-facteur en bonus : voilà votre part du contrat.

Alors, combien de sites partagent encore aujourd’hui le même mot de passe chez vous ? 😉