Un internaute actif traîne derrière lui entre 100 et 200 comptes en ligne. Les plus gros utilisateurs dépassent les 400. La plupart dorment, oubliés, sur de vieux forums, des boutiques abandonnées ou des applis testées une seule fois. À la fin de ce guide, vous saurez recenser 70 à 90 % de ces comptes en moins d’une heure, repérer ceux qui ont fuité lors d’une violation de données, et refermer les portes restées ouvertes. Aucun logiciel payant n’est nécessaire pour démarrer.
Ce dont vous avez besoin avant de commencer
Avant de lancer la chasse, je réunis trois choses. Un accès complet à ma boîte mail (Gmail, Outlook ou autre). Un navigateur à jour. Et, pour la méthode automatisée la plus poussée, Python 3 installé sur la machine. Je pose aussi la bonne attente dès le départ. Aucun outil ne récupère la totalité de vos comptes. En combinant trois ou quatre méthodes , on atteint 70 à 90 % des comptes publics ou semi-publics. Les comptes bancaires , les portails médicaux et les systèmes internes d’entreprise, eux, restent invisibles. Ils n’exposent rien via les fonctions de récupération de mot de passe.
Étape 1 : fouiller votre boîte de réception
Je commence toujours par là. C’est gratuit et c’est le filet le plus large. Dans la barre de recherche, je tape des mots comme bienvenue , confirmez votre adresse , inscription ou compte créé. Chaque service envoie un message de bienvenue à l’inscription, donc ces requêtes remontent des dizaines de profils en quelques minutes. Sur Gmail, je croise avec l’opérateur from: pour isoler les expéditeurs récurrents. Le seul angle mort : les rares sites qui n’envoient aucun mail de confirmation. Comptez 15 à 20 minutes pour une boîte chargée de plusieurs années, et attendez-vous à exhumer 10 à 50 comptes oubliés depuis longtemps.
Étape 2 : dérouler les connexions « Sign in with Google »
Le bouton se connecter avec Google a tissé une toile invisible de comptes. Pour la dérouler, je vais sur myaccount.google.com, j’ouvre l’onglet Sécurité , puis la section des connexions aux applications tierces, et je clique sur Voir toutes les connexions. Trois filtres s’affichent : les applis où je me suis connecté via Google, celles qui accèdent à Gmail ou Drive, et les comptes liés. C’est souvent là que surgissent les surprises, comme une appli testée en 2019 qui lit toujours mes mails. Je révoque tout ce que je ne reconnais pas. Même réflexe sur les pages équivalentes d’Apple et de Facebook , qui servent aussi de passe-partout vers des centaines de services.
Étape 3 : lancer un scan automatisé avec Holehe
Pour ratisser plus large, je lance Holehe , l’outil open source le plus fiable du lot. Il teste plus de 120 sites en simulant la fonction mot de passe oublié , sans jamais alerter l’adresse visée. Le scan dure 10 à 40 secondes et les comptes existants s’affichent en vert. Il fonctionne sans accroc sur Discord , GitHub et X. En revanche, depuis les protections anti-bot renforcées en 2025, ses modules Instagram et Spotify ratent régulièrement. L’installation tient en une ligne avec pip install holehe, puis on lance holehe [email protected]. C’est gratuit, à condition d’être à l’aise avec le terminal.
Étape 4 : croiser un outil web et un vérificateur de fuites
Si le terminal vous rebute, Epieos fait un travail comparable directement dans le navigateur. Il couvre environ 140 services , affiche les profils sociaux liés (LinkedIn, GitHub) et parfois de vieux forums. Sa version complète coûte 29,99 € par mois. En parallèle, je passe systématiquement l’adresse sur Have I Been Pwned , qui interroge plus de 17 milliards d’enregistrements issus de fuites. Un encart rouge liste les plateformes où vos données ont fuité, et chacune correspond à un compte bien réel. Méfiez-vous, à l’inverse, des sites gratuits qui promettent de « tout trouver » : barre de progression factice, faux suspense, puis paywall. Ils ne livrent rien d’exploitable.
Les erreurs qui sabotent votre recherche
Se fier à un seul outil. Deseat.me ne voit que les comptes créés explicitement avec votre adresse principale via OAuth. Il rate les inscriptions faites avec une adresse secondaire ou un login social. Namechk, lui, vérifie la disponibilité d’un pseudo, pas l’e-mail : si votre identifiant diffère de votre adresse, vos comptes restent invisibles.
Ignorer vos adresses secondaires. Un alias ou une vieille adresse Yahoo concentre souvent les comptes les plus anciens. Relancez chaque méthode sur chacune de vos adresses.
Trouver sans agir. Lister 40 comptes ne sert à rien si vous n’en fermez aucun et ne changez aucun mot de passe.
Que faire une fois la liste établie
Une fois mes comptes recensés, je passe à l’action en trois temps. Je supprime les comptes que je n’utilise plus, en priorité les boutiques qui stockent une carte bancaire. J’active la double authentification sur tout ce qui compte : messagerie, banque, réseaux sociaux. Et je bascule mes mots de passe dans un gestionnaire comme Bitwarden ou 1Password, qui génère une clé unique par site. La réutilisation de mots de passe reste la faille numéro un : un seul site piraté, et les attaquants testent le couple e-mail / mot de passe partout ailleurs, en quelques secondes et de façon automatisée.
Questions fréquentes
Est-il légal de chercher les comptes liés à une adresse mail ? Oui, tant qu’il s’agit de votre propre adresse. Auditer ses comptes pour les sécuriser est parfaitement légitime. Lancer ces mêmes outils sur l’adresse d’un tiers, sans son accord, vous expose en revanche à des poursuites pour atteinte à la vie privée.
J’ai reçu un mail menaçant citant mon nom et mon adresse. Dois-je payer ? Non. Il s’agit presque toujours d’une arnaque à la sextorsion bâtie sur d’anciennes données revendues par des courtiers et des fuites recyclées. Ne versez rien. Profitez-en pour auditer votre exposition avec les méthodes ci-dessus et changer immédiatement tout mot de passe réutilisé.
Lancez-vous dès maintenant
La première passe sur votre boîte mail prend un quart d’heure et révèle déjà l’essentiel. Bloquez ensuite 30 minutes pour le scan Holehe et la revue des connexions Google. Reprogrammez l’exercice tous les 3 à 6 mois : c’est le rythme qui garde votre empreinte numérique sous contrôle et coupe l’herbe sous le pied des pirates. Vous ne retrouverez peut-être pas chaque compte, mais vous fermerez les portes qui comptent vraiment.
