Comment choisir un gestionnaire de mots de passe

Mise à jour 28/08/2026 · adressejetable.fr

Un seul mot de passe utilisé sur plusieurs sites est le plus grand trou de sécurité de la plupart des gens — bien devant les virus et les réseaux Wi-Fi. Un gestionnaire est l’outil qui le referme, et le seul qui tienne à l’échelle de cent comptes.

Pourquoi c’est le sujet numéro un

Quand une base de données fuite, les attaquants ne se contentent pas du service piraté : ils reprennent les couples adresse + mot de passe et les essayent automatiquement ailleurs. Un mot de passe réutilisé transforme donc la fuite d’un forum oublié en accès à votre messagerie, et la messagerie ouvre tout le reste par la fonction « mot de passe oublié ».

La parade est connue : un mot de passe différent, long et aléatoire, par service. Personne ne peut retenir cela pour des dizaines de comptes, et c’est exactement pour cette raison que l’outil existe. Vous ne mémorisez qu’un mot de passe principal ; le reste est généré et rempli pour vous.

Les critères de choix

• Chiffrement zero-knowledge. Le critère fondamental. Les données doivent être chiffrées et déchiffrées sur votre appareil, avec une clé dérivée de votre mot de passe principal, que l’éditeur ne connaît pas. C’est ce qui garantit qu’il ne peut pas lire votre coffre — et qu’un attaquant qui prendrait ses serveurs ne le pourrait pas davantage.
• Audits indépendants publiés. Comme pour les VPN, une affirmation vaut moins qu’un rapport externe daté. Regardez aussi si l’éditeur publie ses incidents et comment il les traite : la transparence après un problème en dit long.
• Vos plateformes. Applications pour vos systèmes, extensions pour les navigateurs que vous utilisez réellement, et une version web de secours pour les postes où vous ne pouvez rien installer.
• Le partage. Pouvoir transmettre un identifiant à un proche ou à un collègue sans l’envoyer par message. Les offres familiales rendent le coût par personne bien plus doux et évitent que le reste du foyer continue avec un carnet.
• La surveillance des fuites, qui compare le coffre aux bases publiques et signale les mots de passe compromis, faibles ou réutilisés. Voir aussi comment vérifier une fuite.
• L’accès hors ligne. Votre coffre doit rester lisible sans connexion : une panne de réseau ne doit pas vous couper de vos comptes.
• L’export. Vérifiez avant de vous engager que vous pouvez exporter l’ensemble dans un format standard. Un outil dont on ne peut pas sortir est un outil qui vous tient.
• La récupération. Que se passe-t-il si vous oubliez le mot de passe principal ? Clé de secours à imprimer, contact de confiance, appareil déjà authentifié : regardez ce qui est proposé et mettez-le en place le premier jour, pas le jour du problème.
• Les fonctions annexes utiles : stockage de notes sécurisées et de documents, génération de codes de double authentification, remplissage des formulaires de paiement.

« Et si le gestionnaire se fait pirater ? »

C’est l’objection la plus fréquente, et elle mérite une réponse précise. Avec un chiffrement zero-knowledge correctement implémenté, ce que l’attaquant obtient en volant les serveurs est un bloc de données illisible. La clé n’y est pas : elle est dérivée de votre mot de passe principal, sur votre appareil. Pour ouvrir le coffre, il faudrait deviner ce mot de passe, et les fonctions de dérivation modernes rendent cette recherche coûteuse au point d’être hors de portée si le mot de passe est long.

Deux conséquences pratiques. D’abord, la solidité de tout l’édifice repose sur votre mot de passe principal : c’est le seul endroit où l’effort compte vraiment. Ensuite, comparez au scénario alternatif — le même mot de passe partout — où une seule fuite chez n’importe quel service ouvre tous vos comptes d’un coup. Le risque résiduel du gestionnaire est très inférieur au risque certain de la réutilisation.

Comment démarrer sans y passer un week-end

1. Créez un mot de passe principal sous forme de phrase. Quatre ou cinq mots sans rapport entre eux, faciles à retenir, difficiles à deviner. Long vaut mieux que compliqué. Ne le réutilisez nulle part et ne le stockez nulle part ailleurs.
2. Activez la double authentification sur le gestionnaire lui-même, et mettez la clé de secours à l’abri, sur papier.
3. Importez les mots de passe du navigateur, puis effacez-les de celui-ci — sinon vous gardez deux coffres, dont le plus faible reste ouvert. Le sujet est traité dans les mots de passe enregistrés dans le navigateur.
4. Remplacez les mots de passe par ordre d’importance : messagerie principale d’abord, puis banque, puis les services qui contiennent un moyen de paiement. Dix comptes bien traités valent mieux que cent survolés.
5. Traitez ensuite les alertes de mots de passe réutilisés au fil de l’eau, à raison de quelques-uns par semaine.

Ce que cela ne remplace pas

Un gestionnaire protège vos accès, pas vos données personnelles chez les autres. Il ne décide pas à quels sites vous confiez votre adresse e-mail, ni ce qu’ils en font. Combiné à une hygiène de vie privée et à des adresses jetables pour les inscriptions sans lendemain, il forme en revanche la base la plus solide et la moins coûteuse en effort quotidien.

Questions fréquentes

Vaut-il mieux un gestionnaire dans le nuage ou un coffre stocké localement ?

Le stockage synchronisé est plus commode et, avec un chiffrement zero-knowledge, le fournisseur ne voit rien du contenu. Un coffre purement local supprime cette dépendance mais fait reposer les sauvegardes sur vous : un disque perdu sans copie, et tout est perdu.

Est-il prudent de conserver les codes de double authentification dans le même coffre ?

C’est un compromis : cela rassemble les deux facteurs au même endroit, donc la protection est moindre qu’avec une application séparée. Pour la plupart des comptes, la commodité l’emporte ; pour la messagerie principale et la banque, gardez le second facteur ailleurs.

Comment mes proches accéderont-ils à mes comptes s’il m’arrive quelque chose ?

La plupart des gestionnaires proposent un accès d’urgence, où un contact désigné peut demander l’ouverture du coffre après un délai d’attente que vous fixez. À défaut, une clé de secours imprimée et rangée avec vos documents importants remplit le même office.