Quel gestionnaire de mots de passe choisir ?

↑ Ce conseil fait partie du guide : Mots de passe fuités

Pourquoi un gestionnaire change tout

Le problème n'est pas d'avoir un mot de passe faible : c'est d'avoir le même partout. Quand un site quelconque se fait voler sa base de clients, ce mot de passe est essayé automatiquement sur des dizaines de services — messagerie et banque en tête. C'est le mécanisme décrit dans savoir si son adresse mail a fuité.

Un gestionnaire règle cela d'un coup : il crée et retient un mot de passe différent pour chaque site, et vous n'en mémorisez qu'un seul. Il apporte aussi un bénéfice moins connu mais décisif : il refuse de remplir un formulaire sur une fausse page, parce que l'adresse ne correspond pas à celle qu'il a enregistrée. Autrement dit, il vous prévient d'un hameçonnage avant même que vous l'ayez repéré.

Les critères qui comptent vraiment

Le marché est pléthorique, mais cinq critères suffisent à trancher :

1. Vos appareils. Si tout est chez Apple, le trousseau intégré suffit souvent. Si vous mêlez Windows, Android et iPhone, une application indépendante évite les frustrations.
2. Le chiffrement de bout en bout : l'éditeur ne doit pas pouvoir lire votre coffre. Tous les acteurs sérieux le disent clairement ; si ce n'est pas écrit, passez.
3. La récupération en cas d'oubli : comment rentre-t-on si le mot de passe maître est perdu ? Clé de secours, contact de confiance… Vérifiez-le avant, jamais après.
4. L'export. Pouvoir récupérer ses données en un fichier lisible est la garantie de ne pas être prisonnier d'un éditeur.
5. La simplicité. Un gestionnaire trop compliqué finit contourné : c'est le critère le plus souvent négligé, et le plus décisif.

Ce qui ne devrait pas peser : la longueur de la liste de fonctions. Un coffre, du remplissage automatique, une synchronisation fiable et un export : le reste est accessoire.

Le gestionnaire du navigateur

Chrome, Firefox, Edge et Safari en embarquent un, gratuit, déjà synchronisé avec votre compte. Pour une personne qui réutilise aujourd'hui le même mot de passe partout, c'est le meilleur rapport effort/bénéfice : rien à installer, remplissage automatique, et une alerte quand un mot de passe enregistré apparaît dans une fuite — ce que détaille mon mot de passe apparaît dans une alerte Chrome.

Ses limites, à connaître :

• Le coffre est lié au compte du navigateur : si ce compte est compromis, tout l'est. D'où l'obligation d'y activer la double authentification.
• Il ne partage pas facilement un accès avec un conjoint ou un associé.
• Il suit mal quand on change d'univers : un mot de passe enregistré dans Chrome sur Windows ne suit pas dans Safari sur iPhone.

Les applications dédiées

Une application dédiée — il en existe plusieurs sérieuses, gratuites ou à quelques euros par mois — apporte trois choses que le navigateur ne fait pas : le partage d'accès avec un proche ou un collègue, la portabilité entre tous les systèmes, et le stockage sécurisé d'autre chose que des mots de passe (codes de secours, numéros de série, documents).

Deux familles, selon votre tempérament :

• Avec synchronisation en ligne : le coffre chiffré est hébergé par l'éditeur. C'est le plus pratique, et le chiffrement de bout en bout fait que l'éditeur ne peut pas le lire.
• Local, sans serveur : le coffre est un fichier que vous gardez et sauvegardez vous-même. Plus austère, et la sauvegarde devient votre responsabilité.

Dans les deux cas, prévoyez la sauvegarde du coffre : c'est devenu un fichier critique. Voyez sauvegarder ses données.

Le carnet papier : ce qu'il vaut

Il faut le dire franchement : un carnet où chaque site a un mot de passe différent vaut infiniment mieux qu'un seul mot de passe réutilisé partout. Aucun pirate à l'autre bout du monde ne lira votre carnet.

Ses vraies limites sont ailleurs :

• Il ne protège pas contre l'hameçonnage : vous recopiez le mot de passe sur la fausse page vous-même.
• Il n'existe qu'en un exemplaire : un dégât des eaux, un déménagement, et tout est perdu.
• Il pousse à des mots de passe courts, parce qu'on les recopie à la main.

Si c'est votre solution, deux améliorations simples : rangez le carnet hors de vue des visiteurs, et photographiez-le pour en garder une copie dans un endroit sûr. Et si vous voulez le garder tout en protégeant les comptes importants, activez au moins la double authentification sur la messagerie et la banque : c'est là que se joue le risque.

Le mot de passe maître

Tout repose sur lui, donc il mérite deux minutes de réflexion. Le bon compromis aujourd'hui : une phrase de passe — quatre ou cinq mots sans rapport entre eux, faciles à retenir, impossibles à deviner. C'est plus solide qu'un mot compliqué de huit caractères, et incomparablement plus simple à taper.

• Il ne doit servir qu'à ça : jamais sur un site.
• Il doit être récupérable : notez la phrase sur un papier rangé avec vos documents d'identité, ou configurez la clé de secours proposée par l'application.
• Activez la double authentification sur le coffre lui-même.

Le scénario à éviter est connu : un coffre parfaitement sécurisé, un mot de passe maître oublié, et plus aucun accès à rien. Prévoyez la sortie de secours le jour de l'installation.

Et les passkeys dans tout ça

Depuis deux ou trois ans, une alternative gagne du terrain : les passkeys (clés d'accès). Le principe : une clé secrète reste dans votre téléphone, votre ordinateur ou votre gestionnaire, protégée par l'empreinte ou le code de l'appareil, et le site vérifie cette clé. Il n'y a plus de mot de passe à taper, donc plus rien à voler ni à saisir par erreur sur une fausse page.

Ce que cela change pour le choix d'un gestionnaire :

• La plupart des gestionnaires sérieux stockent désormais les passkeys au même titre que les mots de passe : vérifiez-le si vous changez d'outil aujourd'hui.
• Les passkeys de l'écosystème Apple, Google ou Microsoft sont liées à leur compte : pratique, mais cela complique le passage d'un univers à l'autre — exactement le critère évoqué plus haut.
• La bascule est progressive : on ajoute une passkey, le mot de passe reste en secours au début. Rien n'oblige à tout changer d'un coup.

Gardez la même précaution que pour le reste : un second chemin d'accès, sur un deuxième appareil ou via les codes de secours. Le fonctionnement détaillé est dans double authentification : comment ça marche vraiment.

Migrer sans tout casser

Inutile de changer trente mots de passe en une soirée. La bascule progressive fonctionne très bien :

1. Installez le gestionnaire et importez ce qui est déjà enregistré dans le navigateur (tous proposent l'import).
2. Commencez par les comptes critiques : messagerie d'abord, puis banque, puis les comptes avec une carte enregistrée. Un mot de passe neuf et unique pour chacun.
3. Laissez faire le quotidien : à chaque connexion suivante, remplacez le mot de passe par un mot généré. En trois semaines, l'essentiel est passé.
4. Supprimez ensuite les mots de passe du navigateur si vous utilisez une application dédiée, pour éviter d'avoir deux vérités.
5. Traitez les alertes de fuite affichées par le gestionnaire : c'est le tri prioritaire, expliqué dans mots de passe fuités.

Ce que ça ne remplace pas

Un gestionnaire est un très bon outil, mais il ne couvre pas tout :

• Il ne protège pas un compte dont le code reçu par SMS a été donné à quelqu'un au téléphone — voyez l'arnaque au faux conseiller bancaire.
• Il ne referme pas les portes dérobées d'un compte déjà piraté (règles de transfert, adresse de récupération) — c'est l'objet de compte en ligne piraté.
• Il ne remplace pas la double authentification, qui reste la protection décisive.
• Sur un ordinateur compromis, il ne peut rien : un logiciel espion voit ce que vous voyez, comme l'explique détecter un logiciel espion.

Mettre tout cela en place — coffre, mots de passe neufs sur les comptes importants, double authentification, codes de secours rangés — représente une bonne séance. C'est précisément ce que couvre la page prévention, et le diagnostic au téléphone (quinze minutes) permet d'en estimer l'ampleur sans rien débourser.

Questions fréquentes

Est-ce risqué de mettre tous ses mots de passe au même endroit ?

C'est la question naturelle, et la réponse est non : le coffre est chiffré, et le risque qu'il remplace — le même mot de passe réutilisé partout — est infiniment plus grand. Protégez simplement le coffre par une phrase de passe et la double authentification.

Faut-il payer pour un gestionnaire ?

Non : les versions gratuites, y compris celles des navigateurs, couvrent l'usage d'un particulier. Payer se justifie surtout pour le partage familial, le support ou le stockage de documents.

Que se passe-t-il si l'éditeur ferme ou se fait pirater ?

Avec un chiffrement de bout en bout, un vol de la base ne donne pas accès aux coffres. Gardez tout de même un export récent de votre coffre : c'est ce qui vous permet de changer d'outil à tout moment.

Les passkeys rendent-elles les gestionnaires inutiles ?

Non : la transition prendra des années, et la plupart des sites demandent encore un mot de passe. Les gestionnaires sérieux stockent désormais les deux, ce qui en fait justement le bon endroit pour traverser cette période.

À lire aussi : le guide des mots de passe fuités · la double authentification expliquée.