Les mots de passe enregistrés dans le navigateur sont-ils sûrs ?

Mise à jour 28/08/2026 · adressejetable.fr

« Voulez-vous que le navigateur retienne ce mot de passe ? » La réponse honnête : c’est nettement mieux que de réutiliser le même partout, et nettement moins solide qu’un gestionnaire dédié. Voici où passe exactement la ligne.

La réponse courte

Enregistrer ses mots de passe dans le navigateur est un progrès réel par rapport à la seule alternative que la plupart des gens pratiquent : un mot de passe unique répété partout. Le navigateur en génère des différents et les remplit, ce qui supprime d’un coup le risque le plus courant. Ce n’est simplement pas le même niveau de protection qu’un outil conçu pour cela.

Ce que le navigateur fait réellement

Les mots de passe sont stockés chiffrés dans le profil, avec une clé protégée par le système d’exploitation — trousseau du système, module de sécurité matériel, session utilisateur. Si la synchronisation est active, ils sont aussi chiffrés en transit vers votre compte, et certains navigateurs permettent d’ajouter une phrase secrète pour que l’éditeur lui-même ne puisse pas les lire.

Le point à comprendre est ailleurs : tant que votre session utilisateur est ouverte, le coffre l’est aussi. Le navigateur n’est pas conçu pour vous redemander un mot de passe principal : sa priorité est le confort. Quiconque a la main sur une session déverrouillée peut consulter les mots de passe enregistrés, souvent en quelques clics dans les réglages.

Les limites concrètes

• Les logiciels malveillants voleurs de données. Une famille entière de logiciels malveillants cible précisément les fichiers de profil des navigateurs et les jetons de session. C’est aujourd’hui le principal vecteur de compromission de comptes personnels.
• L’ordinateur partagé. Une session familiale ou professionnelle commune, un poste laissé déverrouillé quelques minutes, et le contenu est lisible sans effraction.
• L’enfermement dans un navigateur. Vos accès vivent dans un écosystème. Changer de navigateur, ou simplement utiliser un autre navigateur au travail, devient pénible.
• Le remplissage automatique trop zélé. Certaines pages sont conçues pour déclencher un remplissage dans un champ que vous ne voyez pas. Un gestionnaire dédié applique en général des règles plus strictes sur le domaine exact.
• Rien pour le reste. Pas de partage sécurisé avec un proche, pas de notes protégées, pas de documents, une gestion limitée des codes de double authentification.
• Une hygiène passive. L’alerte de fuite existe, mais l’outil ne vous accompagne guère dans le remplacement méthodique des mots de passe faibles ou réutilisés.

Quand cela suffit

Ne changez pas d’outil par principe. Le navigateur est un choix raisonnable si toutes ces conditions sont réunies :

• L’appareil vous appartient, votre session est protégée par un mot de passe ou une biométrie, et le disque est chiffré.
• Personne d’autre n’utilise cette session.
• Chaque site a un mot de passe différent, généré, jamais réutilisé.
• La synchronisation est protégée par une double authentification, et idéalement par une phrase secrète supplémentaire.
• Vous n’avez pas besoin de partager d’accès ni de stocker autre chose que des mots de passe.
• Les comptes vraiment sensibles — messagerie principale, banque — sont de toute façon protégés par une double authentification.

Si l’un de ces points manque, le passage à un outil dédié se justifie. Les critères sont dans comment choisir un gestionnaire de mots de passe.

Comment migrer proprement

1. Exportez les identifiants depuis les réglages du navigateur. L’export produit un fichier en clair : ne le laissez pas traîner.
2. Importez ce fichier dans le nouveau gestionnaire, puis vérifiez que le nombre d’entrées correspond.
3. Supprimez immédiatement le fichier d’export, y compris de la corbeille et du dossier de téléchargements.
4. Effacez les mots de passe du navigateur et désactivez la proposition d’enregistrement. Sans cette étape, l’ancien coffre reste en place, moins protégé, et se remplit à nouveau tout seul.
5. Vérifiez la synchronisation : si les mots de passe étaient synchronisés, assurez-vous que la suppression s’est bien propagée à tous vos appareils, et pas seulement à celui où vous avez fait le ménage.
6. Profitez du passage pour lancer un contrôle des mots de passe compromis et réutilisés — voir vérifier si vos mots de passe ont fuité — et commencez par la messagerie principale.

Le cas particulier des clés d’accès

De plus en plus de services proposent de remplacer le mot de passe par une clé d’accès (passkey) : une paire de clés cryptographiques dont la partie secrète ne quitte jamais votre appareil et que vous débloquez par empreinte, visage ou code. Il n’y a plus rien à taper, donc plus rien à voler dans une fuite ni à hameçonner, puisque la clé ne fonctionne que sur le domaine pour lequel elle a été créée.

Navigateurs et gestionnaires savent tous les deux les stocker, et la question de l’endroit où elles vivent se pose exactement dans les mêmes termes que pour les mots de passe : le navigateur les lie à son propre écosystème, un gestionnaire les rend disponibles partout. Là où les clés d’accès existent, activez-les ; là où elles n’existent pas encore — c’est-à-dire l’essentiel des sites — le mot de passe unique et la double authentification restent la règle.

Le point à ne pas oublier

La faute la plus fréquente lors d’une migration est de laisser les mots de passe dans le navigateur « au cas où ». On se retrouve alors avec deux coffres qui divergent : vous changez un mot de passe dans le gestionnaire, le navigateur remplit l’ancien, vous ne savez plus lequel fait foi, et le maillon le plus faible reste ouvert en permanence. Un seul coffre, une seule source de vérité. Et souvenez-vous que rien de tout cela ne décide de ce que les sites font de votre adresse : pour cela, une inscription anonyme avec une adresse jetable reste le complément naturel.

Questions fréquentes

Les mots de passe enregistrés sont-ils protégés si mon ordinateur est volé ?

Cela dépend entièrement du chiffrement du disque et de la solidité de votre session : sans disque chiffré, le profil du navigateur se lit depuis un autre système d’exploitation. Avec un disque chiffré et une session verrouillée, l’appareil volé ne livre rien.

Faut-il enregistrer le mot de passe de sa boîte mail dans le navigateur ?

C’est le compte qu’il vaut mieux éviter d’y laisser, parce qu’il commande la réinitialisation de tous les autres. Retenez celui-là par cœur ou gardez-le dans un outil dédié, et protégez-le par une double authentification.

Le navigateur peut-il me générer des mots de passe corrects ?

Oui, les générateurs intégrés produisent des mots de passe longs et aléatoires, ce qui est exactement ce qu’il faut. La faiblesse n’est pas dans la génération mais dans la conservation et dans l’absence d’accompagnement pour remplacer méthodiquement les anciens.