Mot de passe principal Firefox oublié : ce qu’on peut encore sauver

↑ Ce conseil fait partie du guide : mots de passe et fuites

Mot de passe principal Firefox oublié, comment faire ?

Il ne se retrouve pas. Aucun outil ne le déchiffre, et l’effacer supprime du même coup tous les identifiants enregistrés dans Firefox. Avant de cliquer sur Effacer, copiez ailleurs les fichiers logins.json et key4.db, puis ouvrez la liste sur un autre appareil synchronisé : elle y reste lisible et exportable.

1. Ne cherchez pas à le retrouver.
2. Copiez logins.json et key4.db ailleurs.
3. Exportez la liste depuis un appareil synchronisé.
4. Effacez-le par l’adresse interne de Firefox.
5. Changez les mots de passe des comptes sensibles.

Pourquoi un mot de passe principal oublié ne se retrouve pas

Mozilla l’écrit sans détour dans sa documentation : « Il n’existe aucun moyen de récupérer un mot de passe principal oublié. » Ce n’est pas une précaution juridique, c’est la description de la mécanique.

Firefox range les identifiants enregistrés dans deux fichiers du dossier de profil : logins.json contient les noms d’utilisateur et les mots de passe chiffrés, key4.db la clé qui les déchiffre. Un mot de passe principal sert à chiffrer cette clé. Il n’ouvre donc pas un coffre dont la clé serait rangée ailleurs : il est la serrure de la clé. Sans lui, le coffre n’a plus rien à déchiffrer.

C’est pour cela que le bouton proposé par Firefox s’appelle Effacer et non Réinitialiser : il ne déverrouille pas la liste, il jette la clé. Mozilla intitule pourtant sa page « Réinitialiser votre mot de passe principal si vous l’avez oublié », et c’est ce mot-là qui égare : on cherche comment réinitialiser un mot de passe principal comme on réinitialise un code d’accès, alors qu’aucune réinitialisation n’existe — et aucun tutoriel n’y changera rien. Effacer le mot de passe principal supprime tous les identifiants enregistrés ; l’avertissement est écrit au-dessus du bouton.

Les logiciels vendus comme « récupérateurs de mots de passe Firefox » vivent de cette confusion : ils ne lisent logins.json que là où rien ne le protège. Leurs sites sont souvent ceux des faux hackers qui promettent de récupérer un compte.

Les 2 fichiers à copier avant de cliquer sur Effacer

Ce geste prend trente secondes et n’existe plus après : le mot de passe principal effacé, il n’y a plus rien à conserver.

1. Fermez Firefox complètement.
2. Ouvrez le dossier de profil. Dans Firefox, about:support affiche une ligne Dossier de profil et un bouton Ouvrir le dossier correspondant. Sans Firefox : Windows + R, puis %APPDATA%\Mozilla\Firefox\Profiles\ — le profil unique contient le mot default.
3. Si Firefox vient du Microsoft Store (version MSIX), le profil est ailleurs : %LOCALAPPDATA%\Packages\Mozilla.Firefox\LocalCache\Roaming\Mozilla\Firefox\Profiles\.
4. Copiez logins.json et key4.db sur une clé USB ou dans un dossier à part. Ils pèsent quelques centaines de kilo-octets.
5. Notez le nombre de lignes qu’affichait about:logins : autant de comptes dont il faudra reprendre l’accès.

Les deux fichiers ne valent qu’ensemble : logins.json seul est illisible, key4.db seul ne contient aucun identifiant. N’en copier qu’un revient à ne rien copier.

Et si une sauvegarde plus ancienne existait ? C’est la seule piste qui rende parfois un mot de passe principal perdu, à une condition : l’avoir changé depuis, et se souvenir du précédent. Les sauvegardes du dossier de profil s’ouvrent alors avec l’ancien. Sous Windows : l’Historique des fichiers, ou le clic droit puis Restaurer les versions précédentes. La paire restaurée ne rend que les comptes de cette date — c’est déjà beaucoup.

L’appareil synchronisé : la vraie porte de sortie

C’est la piste que les tutoriels oublient, et la seule qui rende vraiment la liste : la synchronisation ne passe pas par le mot de passe principal. Si la case Identifiants et mots de passe était cochée, la liste existe sur chaque Firefox connecté au compte Mozilla.

Mieux : Firefox pour Android et pour iOS n’ont pas de mot de passe principal. Le téléphone affiche donc la liste sans rien réclamer, pendant que l’ordinateur la garde fermée.

1. Sur le second appareil, connectez-vous au compte Mozilla avec votre adresse email et le mot de passe du compte — pas le mot de passe principal — puis ouvrez about:logins (ordinateur) ou les Paramètres puis Mots de passe (téléphone).
2. Si la liste est là, exportez-la depuis un ordinateur : about:logins, menu aux trois points en haut à droite, Exporter les identifiants…, puis Exporter… dans la fenêtre d’avertissement.
3. Rangez tout de suite ces accès dans un gestionnaire de mots de passe, pas dans un second navigateur.
4. Supprimez le fichier exporté, corbeille vidée.

Firefox avertit avant l’export, et c’est à prendre au mot : le fichier .csv n’est pas chiffré. Le Bloc-notes l’ouvre ligne par ligne — l’adresse du site, votre nom d’utilisateur, le mot de passe en clair : c’est le fichier d’informations personnelles le plus dangereux que vous aurez jamais sur votre disque. Effacez-le dès que vos accès sont rangés, comme pour tout ménage dans un navigateur — effacer les mots de passe enregistrés.

Si la synchronisation n’était pas active et qu’il n’y a pas de second appareil, cette piste est fermée. Autant le savoir avant de chercher une heure.

Effacer le mot de passe principal, étape par étape

1. Les deux fichiers du profil sont copiés ailleurs (voir plus haut).
2. Dans la barre d’adresse de Firefox, saisissez chrome://pippki/content/resetpassword.xhtml puis Entrée.
3. La page Effacer le mot de passe principal s’affiche. Cliquez sur Effacer.
4. Confirmez. Le mot de passe principal disparaît, et la liste des identifiants enregistrés avec lui.
5. Redémarrez Firefox : plus aucune demande, et about:logins s’ouvre sur une liste vide.

Vous connaissez le mot de passe et vous voulez seulement le désactiver ? Pas par cette page, elle effacerait la liste pour rien. Pour modifier le mot de passe principal — ou le retirer — Paramètres, Vie privée et sécurité, Changer le mot de passe principal…, saisissez l’actuel, puis laissez les deux champs du nouveau vides : c’est ainsi qu’on le désactive sans rien perdre.

Dans Thunderbird, le mécanisme est le même mais la page ne s’atteint pas par la barre d’adresse. Menu ☰, Outils, Outils de développement, Console d’erreurs (Ctrl + Maj + J), puis collez openDialog("chrome://pippki/content/resetpassword.xhtml") et validez. Les réglages (serveur, port) restent, mais il faudra retaper le mot de passe de chaque compte : procurez-les-vous avant, sinon Thunderbird ne se reconnectera plus.

Reprendre ses identifiants une fois la liste vidée

about:logins est vide, mais les comptes existent toujours : Firefox n’en gardait qu’une copie. L’ordre compte, parce que la boîte mail commande tous les autres.

1. La boîte mail d’abord. Si son identifiant n’existait que dans le profil Firefox, reprenez-la par la procédure du fournisseur : le cas sans numéro de téléphone est détaillé ici.
2. Puis la banque, les impôts, le compte marchand principal : ceux dont la perte coûte de l’argent.
3. Activez la double authentification au fur et à mesure : comment l’activer sans se piéger.
4. Enregistrez les nouveaux identifiants dans un gestionnaire, pas dans le seul navigateur. C’est ce qui évite de revivre la même journée.

Si la liste a disparu sans mot de passe principal en cause — après une mise à jour, un redémarrage — trois contrôles : la case de synchronisation, un second profil Firefox, et un .csv exporté autrefois, qui se réimporte tel quel.

Les autres navigateurs de la machine, dernière piste

Avant de conclure que tout est perdu, regardez dans Google Chrome et dans Edge : les mêmes comptes y sont souvent enregistrés en double. Ces navigateurs n’ont pas de mot de passe principal — rien à y oublier. Sous Windows, leur liste est adossée à la session, et le mot de passe du compte Microsoft du PC se réinitialise en ligne par « Mot de passe oublié » et votre adresse email. Deux adresses : chrome://password-manager/passwords et edge://wallet/passwords.

Le compromis est inverse du nôtre, et c’est bon à savoir avant de choisir où ranger la suite : chez Chrome, rien ne se perd, mais tout ce qui tourne dans votre session lit la liste. Pour ne plus rien confier au navigateur, le réglage à désactiver s’appelle Proposer d’enregistrer les mots de passe ; il existe dans les trois.

Firefox le réclame et vous n’en avez jamais défini

Quatre causes, et elles se vérifient en quelques clics.

• La demande tombe en pleine navigation. C’est normal : Firefox ne le réclame qu’une fois par session, au moment où il a besoin d’un mot de passe enregistré. Elle surgit donc une heure après le démarrage, sur un formulaire de connexion.
• Ce n’est pas le profil que vous croyez. about:profiles liste les profils de la machine. Un second profil, né d’une réparation ou d’une migration de compte Windows, a son propre key4.db et son propre mot de passe principal.
• C’est Thunderbird, pas Firefox. Deux programmes, deux profils séparés : un mot de passe principal posé dans l’un ne s’applique pas à l’autre, et les deux fenêtres se ressemblent beaucoup.
• Ce n’est pas Firefox du tout. Aucun site ni support n’a besoin de connaître votre mot de passe principal. Un formulaire qui le réclame avec une adresse mail, un code ou un numéro de carte imite le navigateur — procédé décrit dans la fausse fenêtre de connexion dessinée dans la page.

Le contrôle qui tranche : la case Utiliser un mot de passe principal dit si ce profil en a réellement un. Décochée, rien dans Firefox n’en demande.

Ce que le mot de passe principal protège vraiment

Vous arrivez ici parce qu’il vous bloque. Reste à dire à quoi il sert : c’est la seule raison de le remettre.

La phrase de Mozilla citée plus haut est le mode d’emploi d’un voleur de données : il ne « casse » rien, il copie les deux fichiers et les lit ailleurs. Un mot de passe principal rend cette copie inutilisable — c’est pourquoi les pirates passent par le navigateur plutôt que par la force brute.

Ce qu’il protège	Ce qu’il ne protège pas
Les identifiants et mots de passe enregistrés dans Firefox	Vos messages, vos fichiers, votre historique de navigation
La copie des deux fichiers du profil emportée par un logiciel espion	La session déjà déverrouillée : une fois le mot de passe tapé, la liste reste ouverte jusqu’à la fermeture de Firefox
Un ordinateur partagé, où un proche ouvre votre navigateur	Un disque emporté en clair : c’est le rôle du chiffrement du disque

Le chiffrement lui-même s’est renforcé : Firefox est passé du 3DES-CBC sur 112 bits à l’AES-256-CBC sur 256 bits, et le rechiffrement s’est fait tout seul lors d’une mise à jour. Ces chiffres ne valent rien sans mot de passe principal : c’est lui qui décide si la clé est, oui ou non, posée à côté de la serrure.

Pour en remettre un : même chemin, puis Utiliser un mot de passe principal. L’écran vous laisse créer un mot de passe principal neuf : choisissez une phrase plutôt qu’un mot, et écrivez-la sur papier. C’est le seul mot de passe de votre vie numérique qui n’a aucune procédure de récupération : vous venez d’en faire l’expérience.

Questions fréquentes

Le mot de passe principal de Firefox est-il celui de mon compte Mozilla ?

Non, ce sont deux mots de passe différents. Celui du compte Mozilla ouvre la synchronisation et se réinitialise par votre adresse email. Le mot de passe principal est déclaré localement : il ne se synchronise pas, aucune réinitialisation n’existe, et chaque profil de Firefox a le sien.

Existe-t-il un logiciel qui retrouve un mot de passe principal Firefox ?

Aucun ne le déchiffre. Les utilitaires vendus pour cela lisent logins.json quand aucun mot de passe principal n’est posé, le cas par défaut. Ceux qui promettent de le deviner essaient des mots l’un après l’autre, et n’aboutissent que sur un mot court et banal.

Mon téléphone affiche-t-il la liste sans mot de passe principal ?

Oui. Firefox pour Android et pour iOS n’ont pas de mot de passe principal. Si la synchronisation était active avec la case Identifiants et mots de passe cochée, connectez-vous au compte Mozilla sur le téléphone : la liste y est lisible, et exportable depuis un ordinateur.

Firefox réclame le mot de passe principal en pleine navigation, est-ce normal ?

Oui. Firefox ne le demande qu’une fois par session, au moment précis où il a besoin d’un mot de passe enregistré. La demande peut donc tomber une heure après le démarrage. Pour savoir si ce profil en a un, regardez la case dans Paramètres, Vie privée et sécurité.

Comment réinitialiser le mot de passe principal de Google Chrome ?

La question n’a pas de réponse : Google Chrome et Edge n’ont pas de mot de passe principal. Ces navigateurs adossent leur liste à la session Windows, et réclament le mot de passe du compte Windows ou le code PIN pour afficher un identifiant enregistré. Rien à oublier, donc, mais rien à opposer non plus à ce qui tourne dans votre session.

Pouvez-vous m’aider à retrouver mes accès, et combien ça coûte ?

Oui. Le diagnostic au téléphone dure 15 minutes et reste gratuit : il sert à savoir s’il reste une piste, un mot de passe principal oublié n’en laissant pas toujours. L’assistance à distance démarre à 19 € la demi-heure, le déplacement au Mans à 49 €. Si rien n’est récupéré, la tentative n’est pas facturée. Tout est sur la page tarifs, ou décrivez votre situation par écrit.

Sources

• Mozilla — Réinitialiser votre mot de passe principal si vous l’avez oublié (la page d’effacement et son avertissement).
• Mozilla — Utiliser un mot de passe principal (logins.json, key4.db, AES-256, mot de passe non synchronisé, une demande par session).
• Mozilla — Protéger son Thunderbird avec un mot de passe principal (« il n’existe aucun moyen de récupérer un mot de passe principal oublié »).
• Mozilla — Exportation des données de connexion (le .csv en clair) et Profils de Firefox (le chemin du dossier).
• Google — gérer les mots de passe dans Chrome (pas de mot de passe principal : Windows Hello) et Microsoft — réinitialiser votre mot de passe Windows.
• cybermalveillance.gouv.fr — bien gérer ses mots de passe et CNIL — recommandation sur les mots de passe.

À lire aussi : effacer les identifiants enregistrés du navigateur · mon mot de passe a été volé · faut-il passer aux clés d’accès · sauvegarder son profil et ses données · mots de passe et fuites, le guide complet.