Vous connaissez cette sensation. Le site de votre mutuelle vous demande un mot de passe "d'au moins 12 caractères, une majuscule, un chiffre, un symbole, et ne devant pas contenir votre nom". Vous tapez la même chose que partout, avec un point d'exclamation de plus. Et trois semaines plus tard, en changeant un mot de passe compromis, vous vous rendez compte que quarante-sept services tournent encore avec la même clé.
J'ai fait ce calcul pour moi un dimanche après-midi, une feuille de papier devant moi, en essayant de me souvenir de tout. J'ai arrêté vers la trentaine. Ce qui m'a le plus gêné n'était pas le nombre. C'était de constater que le mot de passe que je venais de changer à un endroit restait valable ailleurs. Un attaquant qui le récupère sur un forum oublié en 2019 ouvre votre messagerie, votre banque et votre espace impôts avec la même chaîne de caractères.
Un gestionnaire de mots de passe résout ce problème. Enfin, il le résout si vous en choisissez un correct, et si vous prenez deux décisions difficiles au bon moment. Voilà ce que j'ai appris en gérant le mien, celui de ma famille, et en coachant des collègues qui galéraient à migrer.
Points clés à retenir
- Un gestionnaire ne vous protège vraiment que s'il est zero-knowledge : le fournisseur ne peut jamais lire vos identifiants.
- Le vrai critère de choix n'est pas le prix, c'est la combinaison chiffrement de bout en bout + audit de code indépendant + hébergement que vous pouvez situer.
- La perte du mot de passe maître est le seul scénario sans retour. Préparez l'urgence avant de tout migrer.
- Importer 300 identifiants prend une heure. Les trier et supprimer les comptes morts prend une soirée. Faites-le une fois.
- Aucun gestionnaire ne rattrape un appareil infecté par un keylogger. Le maître reste la cible.
Pourquoi le gestionnaire intégré à votre navigateur ne suffit pas
« J'utilise déjà celui de Chrome, ça compte ? » On me pose la question à chaque formation. La réponse honnête est : ça compte comme un début, pas comme une solution.
Le gestionnaire de mots de passe Google, ou celui de Firefox quand vous êtes dans Firefox, fait un travail correct sur un point précis : il génère des mots de passe solides et les remplit automatiquement. Pour 90 % des usages quotidiens, c'est déjà mieux que le carnet ou la mémoire.
Le problème apparaît ailleurs. Ces outils sont liés à un compte (votre compte Google, votre compte Firefox) et à un seul environnement. Changez de navigateur, passez sur un autre ordinateur, utilisez une application mobile : vos identifiants ne suivent pas toujours. Et surtout, la promesse de confidentialité dépend d'un fournisseur dont le métier principal n'est pas la gestion d'identifiants.
Ce que fait bien un gestionnaire intégré
- Générer des mots de passe longs sans que vous ayez à les retenir
- Remplir automatiquement les formulaires de connexion
- Vous alerter quand un mot de passe réapparaît sur plusieurs sites
Ce qu'il ne fait pas
- Vous laisser la main sur l'emplacement de vos données
- Fonctionner de façon homogène sur tous vos appareils et tous vos navigateurs
- Vous garantir une architecture que vous pouvez auditer vous-même
Mon avis, et je le défends : pour un usage personnel sérieux, un outil dédié reprend l'avantage dès que vous avez plus de vingt comptes sensibles. En dessous, le gestionnaire du navigateur fait l'affaire. Au-dessus, vous allez vouloir du chiffrement de bout en bout et du partage contrôlé.
Gestionnaire de mots de passe sécurisé : la grille pour l'auditer vous-même
Les comparatifs existent par dizaines. Le problème, c'est qu'ils classent des marques sans vous donner de quoi vérifier les promesses. Voici la grille que j'utilise, dans l'ordre.
Le chiffrement zero-knowledge
C'est non négociable. Un gestionnaire zero-knowledge chiffre vos données sur votre appareil, avec une clé dérivée de votre mot de passe maître. Le serveur ne stocke que du charabia. Si le fournisseur peut réinitialiser votre mot de passe maître à votre place, il peut aussi le lire : écartez.
Les audits de code indépendants
Un éditeur qui dit « nous sommes sécurisés » ne dit rien. Cherchez des rapports d'audit publiés, réalisés par des cabinets tiers, avec une date récente et des correctifs documentés. Un éditeur sérieux affiche ses failles passées. Un éditeur qui n'a jamais rien publié n'a probablement jamais été testé.
La certification et l'hébergement
En France, le repère concret est le visa de sécurité délivré par l'ANSSI, et le référentiel CSPN pour les produits qui s'y prêtent. Tous les bons gestionnaires ne sont pas certifiés — la démarche coûte cher et prend des années — mais la certification règle une partie de la question. Regardez aussi où sont hébergées les données. Un hébergement en Europe simplifie beaucoup la conformité au RGPD si vous gérez des comptes professionnels.
| Critère à vérifier | Bon signe | Signal d'alerte |
|---|---|---|
| Chiffrement | Zero-knowledge documenté | « Récupération du mot de passe maître » par l'éditeur |
| Audits | Rapports publics et datés | Aucune mention d'audit externe |
| Hébergement | Localisation annoncée, souvent en Europe | Flou total sur les serveurs |
| Portabilité | Export complet en clair ou chiffré | Export impossible = enfermement |
| Historique de sécurité | Incidents communiqués | Communication muette depuis des années |
Cette grille prend vingt minutes à appliquer. Elle vaut mieux que trois heures de lecture de comparatifs.
Gestionnaire de mot de passe gratuit : où est le piège
Un gestionnaire de mots de passe sécurisé gratuit existe. Plusieurs, même, et ils tiennent la route. Bitwarden propose une version gratuite complète pour un usage personnel, sans limite de nombre d'identifiants. Proton Pass et d'autres suivent des modèles proches. Ce n'est pas une arnaque.
Le piège est ailleurs, et il n'est pas là où on l'attend.
Le gratuit finance un modèle, pas un cadeau
Un service de gestion d'identifiants coûte cher : serveurs, audits, support, développement. S'il est gratuit pour vous, soit vous êtes le produit sous une forme ou une autre, soit l'éditeur monétise les fonctions avancées auprès des entreprises et des familles. Les deux fonctionnent. Sachez simplement dans quel cas vous êtes.
Ce qui passe derrière le péage
- Le partage sécurisé entre plusieurs personnes
- Le coffre familial avec droits différenciés
- Les rapports de sécurité avancés et l'alerte sur fuite de données
- L'authentification par clé matérielle dans certains cas
Pour un particulier seul, la version gratuite suffit souvent à vie. Pour une famille ou une petite structure, comptez quelques euros par mois. Franchement, c'est le meilleur rapport qualité-prix de votre budget numérique.
Perte du mot de passe maître : le scénario que personne ne prépare
J'ai vécu la frayeur de près. Un ami, à qui j'avais conseillé de migrer, a changé son mot de passe maître un vendredi soir, l'a mal noté dans son coffre, et s'en est rendu compte le lundi. Le mot de passe maître déverrouille tout : personne, chez l'éditeur, ne peut le lui rendre.
Il s'en est sorti. Mais il a passé un week-end à stresser, et ce week-end m'a appris deux choses.
La sauvegarde d'urgence, faite avant
Avant de migrer, notez votre mot de passe maître sur papier, dans un lieu physique que vous contrôlez, et scellez-le dans une enveloppe que vous saurez retrouver. C'est un compromis. Il est meilleur que le risque de tout perdre. Si votre gestionnaire propose une clé de récupération, imprimez-la aussi.
Ce qui ne se rattrape pas
Si vous perdez le mot de passe maître et la clé de récupération, vos données sont chiffrées pour de bon. Il faut repartir de zéro, réinitialiser chaque compte un par un. Sur 200 identifiants, c'est un cauchemar de plusieurs jours. Préparez avant, pas pendant.
Et si je perds mon téléphone, celui où est installé le gestionnaire ?
La plupart des applications conservent une copie locale chiffrée. Si votre mot de passe maître est robuste et que votre téléphone est verrouillé par un code ou une biométrie, le risque immédiat reste limité. La bonne pratique : révoquer l'appareil depuis un autre appareil, changer le mot de passe maître, et vérifier l'historique de connexions. Faites-le dans les heures qui suivent, pas dans la semaine.
Migration : importer, nettoyer, partager
La migration est le point de friction réel. Pas le choix de l'outil. C'est là que la plupart des gens abandonnent, et c'est dommage parce que ça se fait en deux temps.
L'import depuis le navigateur
Tous les gestionnaires importent un fichier CSV exporté depuis votre navigateur. Sur Chrome, l'export se fait depuis les paramètres de mots de passe. Le fichier est en clair : supprimez-le du disque dès l'import terminé, ne le laissez pas traîner dans vos téléchargements.
Le grand ménage
J'ai importé 312 identifiants la première fois. Après tri, il en restait 180 dont j'avais vraiment besoin. Les autres étaient des comptes sur des boutiques fermées, des newsletters oubliées, des essais jamais convertis. Ce tri prend une soirée. Il réduit votre surface d'attaque d'un tiers, pour de bon.
Le partage familial ou professionnel
Un coffre partagé ne signifie pas tout partager. Créez un coffre par usage — un pour la maison, un pour le boulot — et donnez à chacun des droits différenciés : lecture pour certains, écriture pour d'autres. En entreprise, le point sensible est la révocation. Quand un salarié part, vous devez pouvoir couper son accès aux identifiants partagés en un clic. Testez cette révocation avant d'en avoir besoin.
Les limites qu'on oublie
Un gestionnaire ne vous protège pas d'un keylogger installé sur votre machine. Il ne vous protège pas d'un site de phishing où vous saisissez vous-même vos identifiants. Il ne vous protège pas si votre mot de passe maître est « 123456 ». L'outil couvre la gestion et le stockage. La vigilance reste votre part du contrat.
Voilà, vous avez la grille. La question qui reste, et je la trouve plus intéressante que le choix de la marque : combien de vos comptes sont encore accessibles avec un mot de passe que vous avez déjà vu fuiter quelque part ? Tant que vous ne savez pas répondre, le meilleur gestionnaire du monde ne fera que sécuriser proprement des portes que vous avez laissées ouvertes ailleurs.
