Comment ça marche
De l'archive verrouillée au mot de passe récupéré
ZipRecover s'exécute entièrement dans votre navigateur. Chaque étape ci-dessous montre ce qui arrive à votre fichier et pourquoi il ne quitte jamais votre appareil.
Comment fonctionne la récupération, étape par étape
1. Lecture locale du fichier
Vous choisissez un ZIP depuis votre appareil. Le navigateur en lit les octets avec la File API, sur cette page, et ne les envoie jamais à un serveur.
2. Détection du format
La page analyse la structure du ZIP (répertoire central, en-têtes locaux, champs additionnels), détecte ZipCrypto ou WinZip AES et la taille de clé, et extrait une entrée chiffrée pour les tests, de préférence la plus petite qui soit assez grande pour confirmer un mot de passe de façon décisive (parmi les entrées d'au plus 256 Mo compressés).
3. Confirmation de l'autorisation
Avant qu'une recherche démarre, vous cochez une case confirmant que vous êtes propriétaire de l'archive ou autorisé à l'ouvrir. Le bouton Démarrer la récupération reste verrouillé tant que vous ne l'avez pas fait, tout comme Reprendre.
4. Test des candidats
Un Web Worker par cœur de processeur teste sa part des candidats issus de la stratégie choisie. Les pré-vérifications rapides rejettent immédiatement la plupart des tentatives erronées.
5. Le résultat
Un candidat qui passe la vérification rapide est confirmé avant d'être signalé chaque fois que l'archive le permet : le HMAC pour AES, et le déchiffrement plus le CRC-32 pour une entrée ZipCrypto d'au moins 4 octets stockée ou compressée avec Deflate, soit presque toutes les archives. Quand seule une entrée ZipCrypto plus courte ou compressée autrement peut être testée, le résultat indique que le mot de passe n'a passé qu'une vérification rapide. Dans les deux cas, il n'apparaît que dans votre onglet.
Tout s'exécute sur votre appareil
De nombreux outils de récupération en ligne vous demandent d'envoyer votre archive vers un serveur que vous ne contrôlez pas. ZipRecover adopte l'approche inverse. L'archive est ouverte avec la File API du navigateur et analysée sur la page, et tout le test des mots de passe se déroule dans des Web Workers en arrière-plan sur votre propre machine, avec le hachage lourd en WebAssembly (ou, pour la dérivation de clé AES, via l'API Web Crypto intégrée au navigateur quand elle est plus rapide sur votre appareil). Il n'y a aucune étape d'envoi, il n'existe donc aucune copie de votre fichier sur l'infrastructure de qui que ce soit d'autre.
Comment un mot de passe est testé
Une archive ZIP ne stocke pas votre mot de passe. Elle stocke des valeurs dérivées de celui-ci, ce qui permet à l'outil de vérifier une tentative sans jamais connaître l'original. La vérification exacte dépend de la méthode de chiffrement.
Archives WinZip AES
Les entrées chiffrées en AES dérivent une clé de votre mot de passe à l'aide de PBKDF2-HMAC-SHA1 avec 1000 itérations et d'un sel aléatoire stocké dans l'archive. Cette dérivation produit la clé de chiffrement, une clé d'authentification et une valeur de vérification du mot de passe de 2 octets. ZipRecover dérive la clé pour chaque candidat et compare d'abord ces 2 octets. Cela rejette à moindre coût l'immense majorité des tentatives erronées. Un candidat qui passe cette vérification est ensuite confirmé en recalculant le code d'authentification HMAC-SHA1 de 10 octets de l'entrée, qui est une vérification définitive. Apprenez-en plus sur la page du chiffrement AES.
Archives ZipCrypto
Le ZipCrypto classique utilise un flux de clés léger. Les 12 premiers octets d'une entrée forment un en-tête de chiffrement dont l'octet final doit correspondre à une valeur de contrôle connue. ZipRecover l'utilise comme filtre rapide, puis confirme un candidat survivant en déchiffrant l'entrée, en la décompressant avec le décompresseur intégré du navigateur (DecompressionStream) et en comparant le CRC-32 stocké.
Cette confirmation fonctionne pour les entrées d'au moins 4 octets stockées ou compressées avec Deflate, soit la quasi-totalité des archives. En dessous de 4 octets, le CRC-32 couvre trop peu de texte clair pour écarter les mauvais mots de passe, et le résultat indique alors que le mot de passe n'a passé qu'une vérification rapide. ZipRecover ne peut pas confirmer une entrée ZipCrypto compressée avec une autre méthode, comme BZip2, LZMA ou Deflate64 (options proposées par des outils comme 7-Zip) : pour celles-ci, il compare seulement la longueur déchiffrée à la taille enregistrée dans l'archive, et ces deux valeurs ne coïncident presque jamais pour un fichier compressé. Ainsi, quand tous les fichiers chiffrés d'une archive ZipCrypto utilisent une telle méthode, une recherche se termine en général sans correspondance, même quand le bon mot de passe a été essayé.
Comment une réussite est confirmée
Pour les archives AES et pour les entrées ZipCrypto d'au moins 4 octets stockées ou compressées avec Deflate, soit presque toutes les archives, un mot de passe signalé a passé une confirmation complète après le filtre rapide : le HMAC pour AES, et le déchiffrement puis le CRC-32 pour ZipCrypto. L'exception est une archive dont chaque entrée protégée assez petite pour être vérifiée dans le navigateur (256 Mo compressés) est une entrée ZipCrypto minuscule (moins de 4 octets) ou qui utilise une autre méthode de compression : le résultat indique alors que le mot de passe n'a réussi qu'une vérification rapide, et vous invite à ouvrir l'archive avec ce mot de passe pour vous en assurer.
Les trois stratégies
Vous choisissez comment les mots de passe candidats sont générés :
- Dictionnaire. Fournissez une liste de mots de passe probables. Des variations facultatives (majuscules, chiffres à la fin, leetspeak courant) sont essayées automatiquement. Idéal lorsque vous avez une bonne idée du mot de passe.
- Motif / masque. Décrivez la forme dont vous vous souvenez à l'aide de marqueurs :
?dchiffre,?lminuscule,?umajuscule,?ssymbole,?an'importe lequel. Tout le reste est littéral, par exempleFacture?d?d?d?d. - Force brute. Essaie toutes les combinaisons d'un jeu de caractères jusqu'à une longueur que vous choisissez. Pratique uniquement pour les mots de passe courts, et bien plus lent sur les archives AES.
Pourquoi la vitesse dépend de l'archive
| Chiffrement | Coût par candidat | Usage réaliste |
|---|---|---|
| ZipCrypto | Très faible | Dictionnaires, masques et recherches par force brute courtes |
| WinZip AES | Élevé (PBKDF2 x1000) | Dictionnaires et masques strictement limités |
Comme AES ralentit délibérément la dérivation de la clé, le test est plusieurs ordres de grandeur plus lent que ZipCrypto. Ce ralentissement est inscrit dans le format, aucun outil ne peut le supprimer, et c'est pourquoi un mot de passe AES aléatoire et fort est en pratique impossible à retrouver en devinant. ZipRecover est le plus efficace lorsque vous pouvez restreindre la recherche avec ce dont vous vous souvenez.
Utilisation autorisée uniquement
Utilisez cet outil uniquement sur des archives ZIP que vous possédez ou que vous êtes autorisé à ouvrir. Tenter d'ouvrir des fichiers sans autorisation peut enfreindre les lois applicables. Consultez notre Politique d'utilisation acceptable et nos Conditions d'utilisation.
Questions sur le processus
Le fichier ZIP est-il envoyé ?
Non. Le fichier est lu localement avec la File API du navigateur et analysé sur cette page ; seuls les octets d'une entrée chiffrée, avec un résumé de l'archive (noms et tailles des entrées), sont transmis aux Web Workers qui testent les mots de passe. Aucune requête ne fait sortir votre archive de l'appareil. Consultez sécurité et confidentialité.
Que teste réellement l'outil ?
Pour WinZip AES, il dérive une clé avec PBKDF2-HMAC-SHA1 et vérifie la valeur de vérification de 2 octets du format, puis confirme avec le HMAC stocké. Pour ZipCrypto, il vérifie l'en-tête de 12 octets, puis confirme en déchiffrant et en comparant le CRC-32, ce qui fonctionne pour les entrées d'au moins 4 octets stockées ou compressées avec Deflate (presque toutes les archives). Quand seule une entrée plus courte peut être testée, le résultat indique que le mot de passe n'a réussi qu'une vérification rapide ; quand la seule entrée testable utilise une autre méthode de compression, l'outil ne peut comparer que la longueur déchiffrée, que le bon mot de passe ne passe généralement pas non plus, et une recherche se termine alors en général sans correspondance.
Pourquoi AES est-il bien plus lent que ZipCrypto ?
WinZip AES exécute délibérément PBKDF2 avec 1000 itérations de HMAC-SHA1 par candidat, afin de rendre chaque tentative coûteuse. ZipCrypto n'a pas cet étirement, on peut donc tester bien plus de candidats par seconde.
Puis-je faire une pause et reprendre plus tard ?
Oui. La récupération s'exécute dans des Web Workers, la page reste donc réactive pendant une pause ou une reprise. Les recherches par masque et par force brute enregistrent leur progression sur cet appareil au fil de l'eau : après un rechargement, ou après avoir fermé l'onglet, l'outil vous propose de continuer quand vous choisissez à nouveau le même fichier. Arrêter met fin à une recherche pour de bon et efface sa progression enregistrée, et une recherche par dictionnaire repart toujours de zéro.
Récupération de mot de passe ZIP
Poursuivre sur ce sujet
Sujets connexes : Chiffrement ZIP Confidentialité et traitement local
Prêt à récupérer votre mot de passe ZIP ?
Tout s'exécute localement dans votre navigateur. Votre archive ne quitte jamais votre appareil.