Gestionnaires de mots de passe : sont-ils sûrs ?

Qu’est-ce qu’un gestionnaire de mots de passe ?

Un gestionnaire de mots de passe est un programme qui génère, stocke et remplit vos mots de passe ^[2]. Il peut être intégré à votre navigateur web ou à votre téléphone, ou prendre la forme d’une application distincte proposée par un tiers ^[1]. Vous le déverrouillez avec un mot de passe principal (souvent appelé mot de passe maître), si bien que vous n’avez qu’un seul mot de passe robuste à retenir ^[2].

Son principal avantage est de vous permettre d’utiliser un mot de passe unique pour chaque service, puisque vous n’avez plus à les mémoriser ^[1]. C’est important, car la réutilisation des mots de passe propage les dégâts. Le NCSC explique que si un compte est compromis, un pirate peut essayer le même mot de passe sur vos autres comptes ^[1].

La plupart des gestionnaires proposent aussi ^[1] :

• La génération de mots de passe : la création d’un mot de passe robuste et unique pour chaque compte.
• Le remplissage automatique : la saisie du mot de passe à votre place, qui aide aussi contre le phishing, car elle ne s’effectue que sur le bon site web.
• La synchronisation : la mise à disposition de vos mots de passe sur tous vos appareils.
• Les alertes de fuite : un avertissement lorsqu’un mot de passe enregistré a fuité.

Les agences de sécurité les recommandent-elles ?

Oui. La CISA, l’agence américaine de cybersécurité, conseille d’utiliser un gestionnaire de mots de passe pour stocker tous vos mots de passe et de protéger le coffre par une phrase de passe robuste ^[3]. Les lignes directrices du NIST de 2025 vont plus loin pour les sites web : les services doivent autoriser les gestionnaires de mots de passe et le remplissage automatique, et devraient permettre de coller les mots de passe ^[4].

Comment un gestionnaire de mots de passe protège-t-il les mots de passe ?

Vos mots de passe enregistrés se trouvent dans un fichier chiffré appelé coffre. Le livre blanc sur la sécurité publié par Bitwarden offre un exemple détaillé de la manière dont un gestionnaire dans le cloud le protège ^[5] :

1. Votre mot de passe maître est renforcé par une fonction de dérivation de clé, PBKDF2-SHA256 avec 600.000 itérations par défaut, afin de créer une clé de chiffrement. Les utilisateurs peuvent opter pour Argon2id à la place ^[5].
2. Le coffre est chiffré sur votre appareil en AES-256 avant tout envoi ^[5].
3. Le mot de passe maître et les clés de chiffrement qui en sont dérivées ne sont jamais envoyés aux serveurs de Bitwarden ni stockés sur ceux-ci ; le serveur ne reçoit qu’une empreinte (hash) du mot de passe maître, qui sert à vérifier les connexions ^[5].
4. Les serveurs ne stockent et ne synchronisent les données du coffre que sous forme chiffrée, et Bitwarden affirme que son personnel ne peut pas voir vos mots de passe ^[5].

Cette conception est souvent présentée commercialement comme un chiffrement à connaissance nulle (zero-knowledge) : l’entreprise ne devrait pas pouvoir lire votre coffre, même si ses serveurs sont piratés. Les chercheurs notent que les affirmations des éditeurs impliquent une protection même face à un serveur entièrement malveillant ^[6]. Le renforcement de clé rend chaque tentative de deviner le mot de passe maître lente, d’où l’importance d’un long mot de passe maître si un coffre chiffré venait à être volé ; des chercheurs ont mis en cause des mots de passe maîtres faibles et un faible nombre d’itérations sur d’anciens comptes LastPass ^[9].

Et les gestionnaires intégrés aux navigateurs et aux téléphones ?

Le NCSC indique qu’il est sûr de laisser votre navigateur ou votre système d’exploitation enregistrer vos mots de passe sur vos propres appareils, et que Chrome, Edge et Safari le proposent tous ^[1]. L’application Mots de passe d’Apple, introduite avec iOS 18, stocke les mots de passe, les passkeys, les mots de passe Wi-Fi et les codes de vérification. Elle signale aussi les mots de passe faciles à deviner, réutilisés ou présents dans des fuites de données connues ^[10]. Le NCSC note que les mots de passe stockés dans le navigateur ne sont pas mieux protégés que vos appareils et vos comptes : laissez donc les mises à jour de sécurité automatiques activées ^[1].

Les gestionnaires de mots de passe sont-ils sûrs ?

Les gestionnaires de mots de passe concentrent vos secrets en un seul endroit ; leur sécurité a donc été mise à l’épreuve publiquement, par des attaquants comme par des chercheurs. Deux affaires méritent d’être connues.

Que s’est-il passé lors de la fuite de LastPass ?

En août 2022, des attaquants se sont introduits chez LastPass lors de deux incidents liés. Lors du second, ils ont exploité une faille d’un logiciel de serveur multimédia installé sur l’ordinateur personnel d’un ingénieur senior et y ont placé un enregistreur de frappe pour voler son mot de passe maître ^[8]. Ils ont ainsi obtenu les clés nécessaires pour télécharger la base de données de sauvegarde de LastPass ^[8]. En décembre 2025, l’Information Commissioner’s Office (ICO) britannique a infligé à LastPass une amende de 1,2 million de livres sterling. Il a estimé que l’entreprise n’avait pas mis en place des mesures de sécurité suffisamment robustes ^[8]. Jusqu’à 1,6 million d’utilisateurs britanniques ont été touchés. Des noms, adresses e-mail, numéros de téléphone et URL de sites enregistrées ont été dérobés ^[8].

L’ICO n’a trouvé aucune preuve que des mots de passe de clients aient été déchiffrés ^[8]. Par ailleurs, en 2023, des chercheurs en sécurité ont relié plus de 150 victimes et plus de 35 millions de dollars de vols de cryptomonnaies à des phrases de récupération (seed phrases) stockées dans LastPass. Ils soupçonnaient que des mots de passe maîtres faibles de coffres volés étaient cassés hors ligne ^[9]. Les chercheurs ont reconnu qu’ils ne pourraient probablement pas relier formellement ces vols à la fuite ; il s’agit donc d’un soupçon, et non d’une conclusion établie ^[9].

Qu’a révélé l’étude de l’ETH Zurich de 2026 ?

Des chercheurs de l’ETH Zurich et de l’Università della Svizzera italiana (USI) ont vérifié si les promesses de « connaissance nulle » de quatre gestionnaires dans le cloud tenaient lorsque le serveur de l’entreprise est entièrement malveillant, par exemple après une intrusion ^[6]. Ils ont présenté 12 attaques distinctes contre Bitwarden, 7 contre LastPass, 6 contre Dashlane et 6 contre 1Password ^[6]. La plupart permettent de récupérer des mots de passe, et les pires vont jusqu’à la compromission totale de tous les coffres d’une organisation ^[6].

Le contexte compte. Les attaques supposent que l’attaquant contrôle déjà les serveurs de l’éditeur ^[7]. Beaucoup nécessitent ensuite des actions ordinaires de l’utilisateur, comme se connecter ou synchroniser ; d’autres exigent des actions comme le partage ou la rotation des clés ^[7]. Les chercheurs ont communiqué leurs résultats aux éditeurs, et des corrections sont en cours ^[6]. Dashlane a indiqué avoir supprimé la cryptographie héritée à l’origine de son problème le plus grave, et LastPass a contesté une partie de l’évaluation de la gravité ^[7]. Les chercheurs ont déclaré ne pas pouvoir exclure que des attaquants avancés connaissent déjà ces faiblesses ^[7].

Faut-il donc continuer à en utiliser un ?

La recommandation officielle reste oui. Le NCSC ^[1] et la CISA ^[3] recommandent tous deux les gestionnaires de mots de passe, car pour la plupart des gens l’alternative consiste à réutiliser des mots de passe faibles. Les leçons de ces affaires sont de choisir un mot de passe maître robuste, d’activer la validation en deux étapes et de maintenir le logiciel à jour ^[1][3].

Comment les gestionnaires de mots de passe se comparent-ils aux autres façons de stocker ses mots de passe ?

Chaque approche arbitre entre la commodité et des risques différents. Le NCSC admet que certaines personnes notent leurs mots de passe dans un carnet, par exemple celles qui ont besoin de l’aide de leur famille pour gérer leurs comptes, car un attaquant aurait besoin d’un accès physique ^[1]. Il prévient toutefois que certaines banques interdisent de noter les mots de passe, que toute personne y ayant accès peut les copier et que vous perdez la protection du remplissage automatique contre les sites de phishing ^[1]. La CISA déconseille d’enregistrer les mots de passe dans un fichier sur votre ordinateur ^[2].

Comment choisir et configurer un gestionnaire de mots de passe ?

Selon le NCSC, le meilleur gestionnaire de mots de passe est celui qui répond à vos besoins et que vous trouvez le plus simple à utiliser ^[1]. Parmi les critères à peser : son fonctionnement sur tous vos appareils et systèmes d’exploitation, la possibilité de paramétrer les mots de passe qu’il génère, le choix entre une version payante ou gratuite, et des fonctions supplémentaires comme le partage de mots de passe ou les alertes de fuite ^[1]. Le principal avantage d’un gestionnaire tiers sur celui d’un navigateur est la synchronisation entre des navigateurs et des appareils hétérogènes ^[1].

1. Créez un mot de passe maître robuste. La CISA recommande des mots de passe d’au moins 16 caractères, soit aléatoires, soit sous forme de phrase de passe de 4 à 7 mots sans rapport entre eux ^[2], et indique que le mot de passe du coffre doit être long, unique et aléatoire ^[3].
2. Activez la validation en deux étapes pour le gestionnaire. Le NCSC indique qu’elle tient les criminels à l’écart même s’ils découvrent votre mot de passe principal ^[1].
3. Configurez la récupération. Si vous oubliez le mot de passe principal, de nombreux gestionnaires proposent des indices de mot de passe ou un accès d’urgence via des contacts de confiance ^[1]. Configurez-les avant d’en avoir besoin.
4. Remplacez les mots de passe faibles. Passez en revue vos mots de passe existants et remplacez ceux qui ne sont pas longs, uniques et aléatoires par des mots de passe générés par le gestionnaire ^[3].
5. Évitez les ordinateurs partagés. N’enregistrez jamais de mots de passe dans le navigateur d’un ordinateur partagé ou public ^[1].
6. Ajoutez des passkeys lorsqu’elles sont proposées. Le NCSC recommande désormais les passkeys comme premier choix de connexion, avec des mots de passe robustes et la validation en deux étapes là où elles ne sont pas disponibles ^[11]. De nombreux gestionnaires stockent aussi les passkeys ; le NCSC appelle ces outils des gestionnaires d’identifiants ^[12].

Quelles règles de mots de passe les lignes directrices officielles recommandent-elles désormais ?

La publication SP 800-63B-4 du NIST, finalisée en 2025, a modifié des règles de mots de passe établies de longue date pour les sites web et les services, dans un sens favorable aux gestionnaires de mots de passe ^[4] :

• Les mots de passe utilisés comme facteur unique doivent comporter au moins 15 caractères ; ceux utilisés avec un autre facteur, au moins 8 ^[4].
• Les services devraient accepter des mots de passe d’au moins 64 caractères ^[4].
• Les services ne doivent pas imposer de règles de composition, comme l’obligation de mélanger différents types de caractères ^[4].
• Les services ne doivent pas imposer de changements de mot de passe périodiques, mais doivent exiger un changement en cas de preuve de compromission ^[4].
• Les nouveaux mots de passe doivent être comparés à une liste noire de mots de passe courants, prévisibles ou compromis ^[4].
• Les services doivent autoriser les gestionnaires de mots de passe et le remplissage automatique, et devraient permettre le collage ^[4].

Ces règles s’appliquent aux services, et non directement à vous. Elles facilitent la génération et le remplissage de longs mots de passe aléatoires par un gestionnaire.

Quel avenir pour les gestionnaires de mots de passe ?

Les gestionnaires de mots de passe deviennent des gestionnaires d’identifiants au sens large. L’application Mots de passe d’Apple contient déjà des passkeys et des codes de vérification à côté des mots de passe ^[10]. Le NCSC s’attend à ce que les gens continuent d’utiliser des mots de passe, gérés par un gestionnaire de mots de passe, là où les passkeys ne sont pas encore proposées, pendant que celles-ci se répandent ^[11][12].

Les travaux de 2026 ont aussi mis sous pression les affirmations des éditeurs en matière de sécurité. Les chercheurs recommandent d’intégrer les nouveaux utilisateurs avec la cryptographie la plus récente par défaut et de laisser les clients existants choisir s’ils veulent migrer ^[7]. La version complète de l’article, révisée pour la dernière fois en août 2026, comprend des résultats supplémentaires sur 1Password ^[6].

Ces informations de sécurité sont d’ordre général et ne constituent pas une recommandation de produit. Consultez la documentation de sécurité publiée par un gestionnaire et l’historique de ses mises à jour avant de lui confier vos comptes.