Récupérer un mot de passe ZIP sous Linux

Ce que Linux offre d'origine

Linux est bien pourvu pour travailler avec les archives ZIP depuis le terminal. L'utilitaire unzip extrait une archive protégée par mot de passe une fois que vous le fournissez, et zip en crée, mais aucun ne récupère un mot de passe que vous avez oublié. Pour cela, vous vous tournez vers des outils dédiés, que la plupart des systèmes installent en une seule commande du gestionnaire de paquets. Le compromis est que ces outils sont rapides et scriptables mais aussi impitoyables, il vaut donc la peine de comprendre le chiffrement auquel vous faites face avant de consacrer des heures de temps CPU à une recherche.

Comme sur toute plateforme, le format compte. Une ancienne archive ZipCrypto est rapide à tester, tandis qu'une archive WinZip AES est lente par conception, car chaque essai passe par une étape de dérivation de clé délibérément coûteuse. Ce seul fait décide si une recherche large est réaliste ou s'il faut vous appuyer sur un dictionnaire ou un masque précis. Le vérifier d'abord coûte quelques secondes et peut vous épargner une recherche que le format a été spécifiquement conçu pour déjouer.

Vérifiez la méthode de chiffrement

La façon la plus claire d'inspecter une archive est avec 7z, qui fait partie du paquet p7zip disponible dans la plupart des distributions. Installez-le avec votre gestionnaire de paquets, par exemple sudo apt install p7zip-full sous Debian ou Ubuntu, puis lisez la méthode qu'il indique.

1. Exécutez 7z l -slt archive.zip. L'option -slt affiche les détails techniques de chaque entrée.
2. Lisez la ligne Method. Vous verrez ZipCrypto pour le schéma hérité ou AES-256 pour WinZip AES.
3. Vous pouvez aussi exécuter zipinfo -v archive.zip pour un listing détaillé qui montre quelles entrées sont chiffrées.

Une fois la méthode connue, vous savez à quoi vous attendre. ZipCrypto tolère une large recherche par force brute ou par dictionnaire ; AES exclut en pratique tout sauf un essai ciblé. La page des estimations de durée donne des ordres de grandeur dérivés de débits mesurés, et pourquoi la récupération peut échouer explique que faire quand une recherche ne donne rien.

Récupérez avec les outils natifs de Linux

Si vous préférez la ligne de commande, deux outils couvrent la plupart des cas. Utilisez-les uniquement sur des archives que vous possédez ou que vous êtes autorisé à ouvrir.

1. John the Ripper avec zip2john. John ne lit pas un ZIP directement ; son utilitaire zip2john extrait d'abord un hachage qui représente la vérification du mot de passe de l'archive. zip2john fait partie de la version jumbo de John the Ripper, qu'Openwall publie en code source sur GitHub ; le paquet john de Debian 12 et d'Ubuntu 24.04 ne l'inclut pas, donc sur ces systèmes compilez d'abord la version jumbo. Exécutez zip2john archive.zip > hash.txt, puis john hash.txt pour lancer une recherche, ou pointez-le vers une liste de mots avec john --wordlist=rockyou.txt hash.txt. Affichez un mot de passe retrouvé avec john --show hash.txt. John gère les archives ZipCrypto comme AES et c'est la plus complète des options natives.
2. fcrackzip. Un casseur plus léger et autonome destiné aux archives ZipCrypto traditionnelles. Essayez un dictionnaire avec fcrackzip -D -u -p rockyou.txt archive.zip, où -u vérifie chaque essai en décompressant réellement pour éviter les faux positifs, ou une force brute bornée avec fcrackzip -b -c a1 -l 1-6 -u archive.zip. Il est rapide à configurer mais ne cible pas les archives AES modernes, alors confirmez d'abord la méthode.

Les deux profitent énormément d'une bonne liste de mots et de toute structure dont vous vous souvenez à propos du mot de passe. Une force brute à l'aveugle sur un long espace de clés vaut rarement la peine d'être lancée, surtout contre AES, où la lente dérivation de clé multiplie chaque essai.

Récupérez le mot de passe dans le navigateur

Vous n'avez rien à installer du tout. ZipRecover s'exécute entièrement dans un navigateur moderne sous Linux. Les versions actuelles de Firefox, Chrome et Chromium le font tourner : les tests de bout en bout pilotent la page de récupération dans Chromium et, le 27 septembre 2026, aussi dans Firefox. L'archive est lue et chaque candidat est testé sur votre propre machine, sans étape d'envoi, donc un fichier privé reste sur votre appareil. Le hachage lourd s'exécute en WebAssembly, ou via l'API Web Crypto intégrée au navigateur quand elle est plus rapide. Il n'y a ni paquet à ajouter, ni service en arrière-plan, ni permission root à accorder, ce qui fait de ZipRecover une option sans trace sur un système verrouillé ou minimal où vous préféreriez ne pas installer un casseur.

1. Sélectionnez le fichier. Ouvrez l'outil de récupération et choisissez le ZIP depuis votre machine. Le navigateur lit ses octets localement et détecte s'il utilise ZipCrypto ou WinZip AES.
2. Choisissez une stratégie. Prenez un dictionnaire de mots de passe que vous auriez pu utiliser, un masque si vous vous souvenez de la forme, ou une force brute bornée pour un mot de passe court. Un dictionnaire ou un masque ciblé est bien plus efficace qu'une recherche large, surtout sur AES.
3. Confirmez et démarrez. Cochez la case qui confirme que vous possédez l'archive ou que vous êtes autorisé à l'ouvrir ; le bouton Démarrer la récupération reste verrouillé tant que vous ne l'avez pas fait. Lancez ensuite la recherche.
4. Lisez le résultat. Un candidat qui passe la vérification rapide est confirmé avant d'être affiché chaque fois que l'archive le permet : le HMAC pour AES, et le déchiffrement plus le CRC-32 pour une entrée ZipCrypto d'au moins 4 octets stockée ou compressée avec Deflate, soit presque toutes les archives. Quand seule une entrée ZipCrypto plus courte ou compressée autrement peut être testée, le résultat indique que le mot de passe n'a passé qu'une vérification rapide. Dans les deux cas, il n'apparaît que dans votre onglet.

Sous Linux, les outils natifs ont de vraies réserves : fcrackzip vise ZipCrypto et ne gère pas l'AES, tandis que John the Ripper via zip2john couvre les deux mais récompense un bon dictionnaire bien plus qu'une recherche à l'aveugle, alors confirmez d'abord la méthode. Si vous avez choisi le mot de passe et pouvez en décrire une partie, un dictionnaire ou un masque qui lui correspond peut aboutir en quelques secondes sur ZipCrypto, et aussi sur AES quand la recherche est petite. Un mot de passe long et aléatoire sur une archive AES est en pratique impossible à retrouver en devinant, et c'est le chiffrement qui fait son travail, donc mieux vaut chercher une copie sauvegardée plutôt que de vouloir surpasser PBKDF2. Le même terrain est couvert pour d'autres systèmes dans le guide Windows et le guide macOS, et la liste de vérification du mot de passe ZIP oublié est un bon point de départ si vous avez défini le mot de passe vous-même.