Un ami m'a appelé en panique un dimanche soir. Sa boîte mail perso avait été piratée, et l'attaquant s'amusait à réinitialiser les mots de passe de tous ses autres comptes, un par un. Banque, réseaux sociaux, boutique en ligne. Quand je lui ai demandé combien de fois le même mot de passe revenait d'un site à l'autre, il y a eu un long silence. « Presque partout », il a fini par lâcher. C'est exactement le scénario que les gestionnaires de mots de passe existent pour éviter. Et pourtant, quand je recommande à quelqu'un d'en installer un, la première réaction est presque toujours la même : « mais si le coffre se fait pirater, je perds tout d'un coup. »
Cette inquiétude est légitime. Mais elle repose sur une idée fausse de la façon dont ces outils sont conçus. Alors plutôt que de vous répéter qu'il faut « un mot de passe unique par site » (vous le savez déjà), je vais vous montrer ce qui se passe réellement sous le capot. C'est là que se joue la vraie question de la sécurité.
Points clés à retenir
- Un gestionnaire ne stocke jamais vos mots de passe en clair : il conserve des données chiffrées que personne, pas même l'éditeur, ne peut lire.
- Le mot de passe maître est votre point unique de défaillance. Sa robustesse et sa sauvegarde comptent plus que tout le reste.
- La plupart des fuites ne viennent pas du coffre, mais du mot de passe réutilisé ailleurs ou d'un appareil infecté.
- Le chiffrement local contre le cloud n'est pas un débat sécurité, c'est un débat de confort et de synchronisation.
- Une phrase de récupération mal rangée annule une bonne partie des bénéfices d'un coffre bien configuré.
Comment un gestionnaire protège vraiment vos mots de passe
La plupart des articles s'arrêtent à « c'est chiffré, donc c'est sûr ». C'est vrai, mais ça n'explique rien. Voici ce qui se passe concrètement.
Le chiffrement « zéro connaissance », expliqué simplement
Quand vous créez votre compte, le logiciel transforme votre mot de passe maître en une clé de chiffrement. Cette clé ne quitte jamais votre appareil. Elle sert à chiffrer chaque identifiant que vous enregistrez. Ce qui part vers le serveur de l'éditeur, c'est uniquement le résultat chiffré — une bouillie de caractères illisible.
L'expression consacrée est zero-knowledge, ou « zéro connaissance ». Traduction : l'éditeur lui-même est incapable de lire votre coffre. Si ses serveurs étaient cambriolés demain, le voleur repartirait avec des fichiers inexploitables sans votre mot de passe maître.
Concrètement, ça change tout. Ce n'est pas X, c'est Y. Bref, passons.
La robustesse de cette protection repose sur deux mécanismes que personne ne vous explique :
- La dérivation de clé (Argon2, PBKDF2, scrypt selon les outils) : elle transforme votre mot de passe maître en clé cryptographique, avec un coût de calcul volontairement élevé. Objectif — rendre une attaque par force brute si lente qu'elle devient inexploitable.
- Le chiffrement symétrique (AES-256 dans la quasi-totalité des cas) : c'est lui qui protège réellement chaque entrée du coffre.
Le détail qui compte : le coût de dérivation. Un gestionnaire bien conçu ralentit volontairement chaque tentative de déverrouillage. Une attaque qui testerait des milliards de combinaisons par seconde côté serveur tombe à quelques milliers sur votre appareil. C'est cette lenteur calculée qui vous protège.
Coffre local ou coffre dans le cloud ?
Un gestionnaire purement local (KeePass, par exemple) garde le fichier chiffré sur votre disque dur. Aucun serveur tiers n'intervient. Sécurité maximale, synchronisation minimale — vous vous débrouillez pour transporter le fichier entre vos appareils.
Un gestionnaire cloud (Bitwarden, 1Password, Dashlane, Proton Pass) héberge une copie chiffrée chez l'éditeur et synchronise tout automatiquement. Plus pratique, mais vous devez accepter qu'une entreprise tierce conserve ces fichiers.
Franchement, le débat fait beaucoup de bruit pour peu de chose. Un coffre cloud correctement chiffré est plus sûr qu'un coffre local mal sauvegardé. J'ai vu plus de gens perdre leur base KeePass dans un disque dur mort que de gens victimes d'une compromission de coffre cloud. Le risque réel, c'est la perte, pas le piratage.
Le mot de passe maître : votre point faible numéro un
Voilà le paradoxe que personne n'aborde. Vous confiez la sécurité de cent comptes à un seul secret. Si ce secret tombe, tout tombe. Et pourtant, la majorité des utilisateurs choisissent un mot de passe maître plus faible que ceux qu'ils stockent à l'intérieur.
Phishing, déverrouillage et compromission de l'appareil
Trois scénarios à connaître :
- Le phishing du mot de passe maître. Une page imitant votre gestionnaire vous demande de vous reconnecter. Vous tapez votre clé. Elle part chez l'attaquant. Une bonne pratique : n'entrez votre mot de passe maître que via l'extension ou l'application officielle, jamais sur une page web.
- L'appareil compromis. Si un logiciel malveillant tourne sur votre machine, il peut lire ce que vous tapez. Aucun gestionnaire ne vous sauvera de ça.
- L'appareil perdu ou volé. C'est là que la double authentification joue son rôle. Activez-la. Pas demain. Maintenant.
Une phrase de récupération mal rangée annule une bonne partie des bénéfices d'un coffre bien configuré. C'est la faute que je vois le plus souvent, et celle qui fait le plus de dégâts.
Que faire en cas d'oubli ou de perte ?
La phrase de récupération (ou clé de secours) est votre filet. Tous les gestionnaires sérieux en génèrent une à la création du compte. Elle permet de réinitialiser l'accès sans perdre le contenu du coffre.
Mon conseil, après avoir failli perdre mon propre coffre il y a deux ans : imprimez-la. Sur papier. Rangez-la dans un endroit physique sécurisé, pas dans un gestionnaire de mots de passe. Certains mettent la leur chez un notaire, d'autres la découpent en morceaux dispersés. Peu importe la méthode, du moment qu'elle survit à la perte de vos appareils.
Je l'ai appris à mes dépens. J'avais stocké ma phrase de récupération dans... un gestionnaire de mots de passe. Secondaire, heureusement. Mais l'ironie m'a coûté une soirée entière à tout reconstruire.
Gestionnaire de mots de passe gratuit ou payant : que choisir ?
La question revient sans arrêt. Voici une comparaison synthétique des grandes familles d'outils disponibles.
| Type d'outil | Modèle économique | Points forts | Limites |
|---|---|---|---|
| Google Chrome / compte Google | Gratuit, intégré | Zéro installation, synchronisation immédiate | Faible portabilité, dépendance à un seul écosystème |
| Bitwarden | Gratuit + premium optionnel | Open source, multi-plateforme, version gratuite très complète | Interface austère |
| Proton Pass | Gratuit + premium | Éditeur suisse, intégration mail | Écosystème plus jeune |
| 1Password / Dashlane | Payant uniquement | Ergonomie, support, partage familial | Coût annuel |
| KeePass | Gratuit, open source | Local, indépendance totale | Synchronisation manuelle, public débutant |
Mon avis tranché : pour quelqu'un qui débute, un gestionnaire gratuit et open source comme Bitwarden couvre 95 % des besoins. Payer un abonnement a du sens quand on veut du partage familial, un support réactif ou une intégration poussée. Sinon, c'est du confort, pas de la sécurité en plus.
Le cas du gestionnaire Google : pourquoi je ne le recommande pas comme solution unique
Google Password Manager a un mérite énorme : il est déjà là. Si vous utilisez Chrome, vos mots de passe sont enregistrés et chiffrés côté Google. Rien à installer. Pour beaucoup, c'est déjà infiniment mieux que le même mot de passe partout.
Mais en faire votre unique gestionnaire pose deux problèmes. D'abord, votre coffre dépend entièrement de votre compte Google — si vous perdez l'accès à ce compte, vous perdez tous vos identifiants d'un coup. Ensuite, la portabilité est limitée : exporter proprement vers un autre outil reste laborieux.
Mon usage à moi : Google pour les comptes sans enjeu (forums, newsletters), un gestionnaire dédié pour tout ce qui touche à l'argent, aux documents d'identité et à la messagerie principale. Une séparation simple, mais qui limite considérablement les dégâts en cas de problème d'un côté ou de l'autre.
Voir mes mots de passe enregistrés : où ils se trouvent et comment les consulter
Cette recherche revient souvent, et elle mérite une réponse claire. Dans Chrome, vos identifiants sont accessibles via les paramètres du navigateur, section dédiée aux mots de passe. Depuis un compte Google, ils sont aussi consultables dans la gestion des identifiants liés à votre compte. Vous pouvez les afficher, les modifier, les supprimer ou les exporter.
Un avertissement toutefois : afficher un mot de passe enregistré demande de confirmer votre identité (mot de passe du système ou de session). Cette confirmation n'est pas une formalité — elle empêche qu'un proche ou un logiciel accède à vos identifiants sur un appareil déverrouillé. Ne désactivez jamais cette protection par confort.
L'autre fonction à connaître, c'est le contrôle de sécurité intégré à la plupart des gestionnaires. Il compare vos identifiants à des listes de fuites connues et vous signale les comptes concernés. J'ai lancé ce contrôle l'an dernier sur une centaine de comptes. Résultat : 17 identifiants apparaissaient dans des fuites, dont 6 avec un mot de passe que je réutilisais encore. Une soirée de nettoyage. Franchement, ça valait le coup.
Les erreurs qui annulent tout
Installer un gestionnaire ne suffit pas. Voici ce que j'ai vu rater, dans l'ordre de fréquence.
- Réutiliser un mot de passe « juste cette fois » sur un site jugé mineur. Ce site mineur devient la porte d'entrée.
- Ne pas activer la double authentification sur les comptes critiques (mail principal, banque, gestionnaire lui-même). C'est la deuxième serrure. Elle coûte quinze secondes.
- Choisir un mot de passe maître court et mémorisable. Visez plutôt une phrase de passe longue : cinq mots sans lien entre eux battent largement un « M0tDeP@sse! » de douze caractères.
- Laisser son coffre ouvert en permanence. Configurez un verrouillage automatique après quelques minutes d'inactivité.
Le vrai danger n'a jamais été le gestionnaire. C'est le maillon humain autour.
Par où commencer demain matin
Vous n'avez pas besoin de migrer cent comptes en une soirée. Faites-le par cercles.
Commencez par vos trois comptes les plus sensibles : messagerie principale, banque, gestionnaire de mots de passe lui-même. Activez la double authentification sur les trois, notez la phrase de récupération sur papier, rangez-la. Puis, chaque fois qu'un site vous redemande votre mot de passe, remplacez-le par un identifiant généré. En deux ou trois mois, l'essentiel aura basculé sans que vous ayez eu à y consacrer une vraie session de travail.
Le plus dur n'est pas technique. C'est de décider, une fois, que ce mot de passe que vous traînez depuis quinze ans ne vaut pas le confort qu'il vous procure. Une fois cette décision prise, tout le reste suit.
Et si un jour un attaquant tombe sur vos identifiants, il récupérera un mot de passe valable sur un seul site. Vous changerez ce mot de passe, fermerez l'onglet, et vous irez vous coucher. Ce scénario-là, franchement, je signe tout de suite.
