Vous recevez un e-mail d'un client, d'un partenaire ou d'un ancien collègue : une archive ZIP, RAR ou 7Z contenant des documents comptables, des contrats ou des livrables techniques. Vous double-cliquez… et le logiciel vous demande un mot de passe que personne ne semble connaître. Le message contenant le code a disparu, l'interlocuteur a quitté l'entreprise, ou l'archive date d'un audit remontant à plusieurs années.
Cette situation est beaucoup plus fréquente qu'on ne le croit, en particulier dans les cabinets d'audit, les services juridiques, les ESN et les directions financières. Voici comment la traiter méthodiquement, sans compromettre la confidentialité des données échangées.
Pourquoi reçoit-on une archive chiffrée sans le mot de passe ?
Plusieurs scénarios reviennent régulièrement :
- Le mot de passe a été transmis par un autre canal : SMS, appel téléphonique, messagerie instantanée ou plateforme de transfert. Ce canal a été purgé, le téléphone a changé ou le message s'est perdu.
- L'expéditeur a quitté l'entreprise : lors d'un turn-over, la personne qui connaissait le code n'est plus joignable et l'information n'a pas été documentée.
- Le mot de passe contient une erreur : faute de frappe à la création, casse incorrecte, caractère accentué mal transmis — un code « quasi exact » ne fonctionne jamais sur une archive chiffrée.
- L'archive ressurgit des années plus tard : à l'occasion d'un contentieux, d'un contrôle fiscal ou d'une opération de due diligence, on rouvre un dossier ancien dont personne ne se souvient du mot de passe.
- Le fichier provient d'un tiers : un sous-traitant, un client étranger ou une plateforme sécurisée dont l'accès a expiré.
Le chiffrement des archives est conçu pour résister aux intrusions : il ne fait donc aucune différence entre un attaquant et le propriétaire légitime qui a égaré son code. C'est précisément pour cela qu'une démarche structurée de récupération est nécessaire.
Les premiers réflexes avant toute tentative technique
Avant d'envisager un outil spécialisé, quelques vérifications simples résolvent une part notable des cas :
- Fouillez tous les canaux : recherchez dans votre messagerie les mots « mot de passe », « code », « archive », « ZIP » ou le nom du projet ; vérifiez également les SMS, les outils de messagerie interne et les tickets de support.
- Interrogez le service informatique ou l'expéditeur : beaucoup d'entreprises conservent les codes des archives transmises dans un coffre-fort numérique ou un gestionnaire d'équipe.
- Vérifiez votre gestionnaire de mots de passe : 1Password, Dashlane, KeePass ou le trousseau iCloud enregistrent parfois le code à votre insu.
- Notez les indices : langue du mot de passe, longueur approximative, date de création, habitudes du client (suffixe d'année, nom du projet, abréviation interne). Ces indices accélèrent considérablement les recherches.
- Testez les variantes probables de façon méthodique : notez chaque tentative dans un tableau pour ne pas tourner en rond et ne pas réessayer dix fois la même combinaison.
Ce qu'il faut absolument éviter
- Téléverser le fichier sur un site web inconnu qui promet de le « déverrouiller en ligne ». Vous feriez fuiter des données client ou des documents contractuels, parfois sur des plateformes qui revendent les archives.
- Installer un logiciel de « crack » téléchargé au hasard : ce type de programme est un vecteur classique de logiciels malveillants et de rançongiciels.
- Tenter des combinaisons au hasard pendant des heures : sans dictionnaire structuré ni puissance de calcul adaptée, les chances de succès sont quasi nulles.
- Modifier le fichier original : travaillez toujours sur une copie afin de préserver l'intégrité de l'archive.
Comment fonctionne une récupération moderne
Contrairement à une idée répandue, il n'est pas nécessaire d'envoyer le fichier chiffré à un tiers. Les services sérieux procèdent en deux étapes :
- Extraction locale de l'empreinte (hash) : un utilitaire extrait sur votre ordinateur la signature cryptographique utilisée pour vérifier le mot de passe. Cette empreinte ne permet pas de reconstruire le fichier, mais elle suffit pour tester des candidats. Le document source ne quitte donc jamais votre poste.
- Calcul sur ferme GPU : l'empreinte est testée à très grande vitesse sur des grappes de cartes graphiques, à l'aide de dictionnaires enrichis d'une base de motifs (mots de passe basés sur des dates, des noms de société, langage « leet speak », suffixes récurrents…).
Les chances et les délais varient selon le format :
- ZIP : le chiffrement ZipCrypto historique est rapide à traiter ; l'AES-256 est nettement plus exigeant.
- RAR : les versions RAR3 et RAR5 ont des coûts de calcul très différents ; RAR5 ralentit chaque tentative.
- 7Z : sa fonction de dérivation de clé est volontairement coûteuse, ce qui rend les mots de passe longs difficiles — mais les motifs courants restent très efficaces.
- PDF et Office (Word, Excel, PowerPoint) : les versions récentes utilisent AES avec de nombreuses itérations ; la qualité du dictionnaire prime alors sur la seule force brute.
C'est pourquoi les plates-formes spécialisées obtiennent souvent de meilleurs résultats que les logiciels grand public : elles s'appuient sur des bases de mots de passe et de régularités beaucoup plus larges, issues de l'analyse de cas réels.
Une solution adaptée aux échanges professionnels
Catpasswd est un service en ligne spécialisé dans le rétablissement de l'accès aux fichiers chiffrés : ZIP, RAR, 7Z, PDF, Word, Excel, PowerPoint, mais aussi portefeuilles Bitcoin et exports 1Password. Son fonctionnement présente plusieurs avantages dans un contexte client :
- Confidentialité : l'extraction du hash se fait en local ; vous ne téléversez pas les documents de vos clients sur un serveur tiers.
- Simplicité : aucune compétence en cryptographie n'est requise, et il n'est pas nécessaire de télécharger un logiciel lourd.
- Puissance : une ferme GPU cloud prend en charge les mots de passe longs et complexes qu'une machine de bureau ne traiterait pas dans un délai raisonnable.
- Tarification sans risque : en mode gratuit, le résultat est affiché après une courte attente ; l'option payante le révèle immédiatement ; si la récupération échoue, vous ne payez rien.
Comment éviter que le problème se reproduise
- Transmettez systématiquement le mot de passe par un canal distinct de celui utilisé pour le fichier, puis enregistrez-le dans un gestionnaire partagé.
- Définissez une convention interne (nom de projet + année + symbole, par exemple), documentée dans le coffre-fort de l'équipe.
- À réception d'une archive, vérifiez qu'elle s'ouvre et enregistrez le code avant d'archiver le fichier.
- Conservez une copie de référence (chiffrée avec un mot de passe maître connu du service informatique) dans un emplacement sécurisé.
FAQ
Est-il possible de récupérer le mot de passe sans envoyer le fichier au service ? Oui. L'extraction de l'empreinte cryptographique se fait localement sur votre machine ; seul ce hash est transmis pour le calcul, ce qui préserve la confidentialité des documents.
Combien de temps prend une récupération ? Cela dépend du format, de la version de chiffrement, de la longueur et de la complexité du mot de passe. Un code basé sur un motif courant peut être retrouvé rapidement ; un mot de passe long et aléatoire peut prendre beaucoup plus de temps, voire résister. Les indices que vous fournissez (langue, date, habitudes du client) améliorent nettement les résultats.
Mon archive RAR5 ou ZIP-AES est-elle prise en charge ? Les formats ZIP, RAR (y compris RAR5), 7Z, PDF et Office sont couverts, ainsi que les portefeuilles Bitcoin et les sauvegardes 1Password. Le délai varie selon la robustesse de l'algorithme utilisé.
Que se passe-t-il si le mot de passe est introuvable ? Vous n'êtes facturé qu'en cas de succès. En mode gratuit, l'attente est gratuite après rétablissement de l'accès ; si l'empreinte ne correspond à aucun candidat testé, aucun paiement n'est dû.
Est-ce légal de récupérer une archive reçue d'un client ? La démarche est légitime dès lors que vous disposez d'un droit d'accès au fichier : mission d'audit, contrat de prestation, contrôle interne ou succession numérique. Vous devez agir dans un cadre professionnel autorisé.
Pourquoi ne pas simplement utiliser un outil gratuit ? Les outils locaux comme Hashcat ou John the Ripper sont puissants, mais ils exigent des compétences techniques, une carte graphique adaptée et des dictionnaires de qualité. Un service spécialisé combine ces trois éléments et ne facture que le succès, ce qui est souvent plus économique en temps pour des données à enjeu.