Protéger ses mots de passe avec un gestionnaire fiable : le guide

Un client m'a appelé un mardi matin, paniqué. Son compte de messagerie professionnel envoyait des factures frauduleuses à ses propres fournisseurs depuis la veille au soir. Mot de passe : Marco2019!. Le même qu'il utilisait sur sa banque en ligne, son espace URSSAF et son site d'avis clients qu'il avait créé en 2019 et oublié depuis. Personne ne l'avait piraté "lui". On avait simplement récupéré sa combinaison dans un vieux dump et testé ailleurs.

C'est là que la plupart des gens découvrent le problème : un mot de passe réutilisé, ce n'est pas un mot de passe, c'est une clé qui ouvre quinze portes à la fois. Et le seul moyen réaliste de ne plus jamais réutiliser un mot de passe, c'est de ne plus jamais avoir à le retenir. D'où le gestionnaire. Mais « gestionnaire fiable », tout le monde le promet sur sa page d'accueil. Comment on vérifie, concrètement ?

Un gestionnaire fiable, ça se reconnaît à quoi ?

Pas à son interface. Pas à son prix. Pas au nombre d'étoiles sur un store d'applications. Ça se reconnaît à des choses vérifiables, et il y en a peu.

Le modèle zero-knowledge, ou rien

Voici le test qui élimine 80 % des prétendants en dix secondes. Posez-vous la question : si l'éditeur décidait demain de lire mes données, le pourrait-il ? Si la réponse n'est pas un « non » catégorique et documenté, ce n'est pas un coffre, c'est une base de données avec un joli habillage.

Le modèle zero-knowledge signifie que la dérivation de votre clé se fait chez vous, à partir de votre mot de passe maître, et que le serveur ne stocke qu'un bloc chiffré qu'il est incapable d'ouvrir. Concrètement : l'éditeur peut perdre vos données, il ne peut pas les lire. C'est une nuance qui change tout le jour où le serveur est compromis.

Le chiffrement annoncé compte aussi. AES-256 et XChaCha20 sont les deux standards sérieux en 2026. Mais attention au piège classique : un éditeur qui affiche « AES-256 » en gros sur sa page d'accueil alors que sa propre documentation indique qu'une clé de secours est conservée côté serveur pour la récupération de compte. Ce n'est plus du zero-knowledge, c'est du zero-knowledge marketing.

L'historique de failles, et surtout la façon d'en parler

Un éditeur qui n'a jamais connu d'incident sur dix ans est soit très bon, soit très discret. Un éditeur qui publie un post-mortem détaillé après une faille, avec la chronologie, l'impact réel et les mesures prises, vous en dit beaucoup plus sur sa fiabilité qu'une page « Sécurité » remplie de cadenas verts.

J'ai appris ça à mes dépens. Il y a quelques années, j'ai migré tout mon coffre professionnel chez un service dont j'avais lu la promesse « chiffrement militaire » sur la page d'accueil. Trois mois plus tard, une note de blog annonçait un incident. Le communiqué faisait quatre lignes. Pas de chronologie, pas de périmètre, pas de réponse à la seule question qui compte : est-ce que mon coffre a été exposé, oui ou non ? J'ai tout migré la semaine suivante. Pas parce qu'il y avait eu une faille. Parce qu'on m'a pris pour un idiot.

Où sont hébergées vos données, et sous quelle loi

Critère qu'on oublie systématiquement. Un coffre chiffré hébergé dans un pays dont la législation permet la saisie de données sans vous prévenir, ce n'est pas la même chose qu'un coffre hébergé dans l'Union européenne. Le chiffrement protège contre le voleur, moins contre le juge.

Si vous travaillez avec des données clients ou des secrets industriels, ce point n'est pas un détail de juriste. C'est un critère de choix au même titre que le chiffrement. Une société dont le siège est hors UE mais qui annonce un hébergement européen : vérifiez où se trouve le support technique, parce que c'est souvent là que passent les demandes de récupération.

Le mot de passe maître : votre seul vrai point de défaillance

Vous allez mettre tous vos œufs dans un panier dont la clé tient dans votre tête. Autant dire que cette clé mérite plus d'attention que toutes les autres réunies.

Une phrase de passe, pas un mot de passe

Oubliez les combinaisons du type Tr0ub4dor&3. Elles sont difficiles à retenir pour vous et faciles à casser pour une machine qui teste des milliards de variantes par seconde. Ce qui résiste à une attaque par force brute, c'est la longueur, pas la bizarrerie.

Une phrase de cinq ou six mots sans rapport entre eux, séparés par un symbole, vous donne une entropie largement supérieure à n'importe quelle suite de caractères spéciaux mémorisable. Et surtout : vous la retiendrez. Une phrase de passe que vous n'oubliez pas vaut mieux qu'un chef-d'œuvre cryptographique que vous allez noter sur un post-it.

• Ne réutilisez jamais ce mot de passe maître ailleurs. Nulle part. Jamais.
• Ne le stockez pas dans un fichier local non chiffré, même « temporairement ».
• Écrivez-le une fois sur papier, rangez ce papier dans un endroit physique sûr, puis oubliez qu'il existe.
• Réfléchissez à deux fois avant de changer ce mot de passe : c'est souvent là qu'on perd des gens.

Pour la rotation, franchement, l'obsession du changement périodique est contre-productive. Changer tous les six mois pousse les gens à incrémenter un chiffre à la fin. Une phrase de passe solide, non compromise, peut tenir des années. Ce qu'il faut changer en urgence, c'est le jour où vous soupçonnez une exposition.

La double authentification, mais pas n'importe laquelle

Votre coffre doit être protégé par un second facteur. Le SMS est le niveau le plus faible de cette échelle, parce qu'il est vulnérable au SIM swapping. Une application d'authentification, ou mieux, une clé physique de type FIDO2, vous protège réellement.

Et là, contre-intuitif : la clé physique vous protège aussi contre vous-même. Elle rend le phishing du mot de passe maître quasiment impossible, parce que l'authentification est liée au domaine du site. Même si vous tapez votre phrase de passe sur une fausse page, la clé ne suivra pas.

Coffre cloud, coffre local, navigateur : le vrai match

Vous avez trois grandes familles d'outils, et elles ne visent pas les mêmes besoins. Voici ce qui les distingue concrètement.

Type	Chiffrement	Synchro	Risque principal	Pour qui
Coffre cloud zero-knowledge	Fort, côté client	Automatique, tous appareils	Compromission serveur, dépendance à l'éditeur	La majorité des usages personnels et pro
Coffre local (fichier chiffré, hors ligne)	Fort, sous votre contrôle total	Manuelle, par votre propre moyen	Perte du fichier, pas d'accès en cas d'oubli	Profils sensibles, secrets techniques
Gestionnaire intégré au navigateur	Variable, souvent opaque	Lié au compte navigateur	Confusion avec le compte principal, export difficile	Usage occasionnel, dépannage
Gestionnaire d'entreprise avec coffres partagés	Fort, souvent audité	Administrée, avec droits	Mauvaise configuration des accès partagés	Équipes, partage d'identifiants critiques

Le gestionnaire du navigateur n'est pas un ennemi. C'est un point de départ honnête si vous n'avez rien. Le problème, c'est qu'il est souvent lié au compte principal de votre écosystème, et que le jour où vous voulez partir, vous vous apercevez que l'export est incomplet. La portabilité est un critère de fiabilité au même titre que le chiffrement. Un outil dont vous ne pouvez pas sortir facilement vous tient par la main plus qu'il ne vous protège.

Que faire le jour où le coffre de votre éditeur est compromis ?

C'est la question que personne ne pose au moment de choisir, et à laquelle tout le monde cherche une réponse en urgence. Alors voici la marche à suivre, dans l'ordre.

1. Ne changez rien dans la panique. Si l'éditeur recommande une action précise, lisez-la avant d'agir.
2. Cherchez dans la communication officielle la seule information utile : le contenu chiffré a-t-il été exfiltéré, oui ou non ? Un vol de données chiffrées n'est pas la même chose qu'un vol de clés.
3. Si votre mot de passe maître était faible, considérez le coffre comme compromis et changez-le partout, en commençant par votre messagerie principale.
4. Activez ou renforcez la double authentification sur tous les comptes critiques, en priorité la messagerie et la banque.
5. Envisagez la migration, mais pas dans l'heure. Une migration précipitée crée plus de dégâts qu'une fuite maîtrisée.

Ce qui m'a marqué dans l'incident que j'évoquais plus haut, c'est le temps perdu à chercher des informations plutôt qu'à agir. Le problème n'était pas la faille, c'était le silence. Un éditeur fiable, c'est aussi celui qui vous parle vite et clairement quand ça casse.

Trois erreurs que je vois encore trop souvent

1. Mettre son coffre dans le cloud et sa clé dans un mail

J'ai vu quelqu'un stocker son fichier de coffre chiffré en pièce jointe d'un brouillon de messagerie, « au cas où ». Le fichier était bien chiffré. Le mot de passe maître, lui, était dans une note du même compte. Autant dire que le chiffrement n'a servi à rien.

2. Partager des identifiants par messagerie d'équipe

Le partage d'identifiants dans un canal Slack ou Teams annule tout le bénéfice du gestionnaire. C'est exactement le scénario que le coffre était censé éviter. Les fonctions de coffres partagés existent pour ça : utilisez-les, même si c'est un peu plus de clics au début.

3. Migrer un week-end entier sans sauvegarde

J'ai fait cette erreur une fois. Import massif de 400 identifiants, un fichier mal encodé, et deux heures à reconstituer les comptes les plus anciens à la main. Exportez toujours votre coffre avant toute opération de masse. Le fichier d'export n'est pas la solution la plus élégante, mais il vous sauve la mise.

Comment choisir, en pratique, en une soirée

Oubliez les classements de dix-huit outils. Vous n'en testerez pas dix-huit. Testez-en deux, sur trois critères, et décidez.

• Le zero-knowledge est-il documenté, ou juste affirmé ? Cherchez la page technique, pas la page marketing.
• Pouvez-vous exporter toutes vos données en un clic, dans un format lisible ? Faites le test avant de migrer, pas après.
• Que dit l'éditeur sur ses incidents passés ? Une page vide est plus suspecte qu'une page honnête.

Le reste — interface, prix, applications mobiles — ce sont des critères de confort. Ils comptent, mais ils ne font pas la fiabilité. Et si vous devez choisir un seul point sur lequel être intransigeant, c'est celui-ci : le modèle de chiffrement et la juridiction d'hébergement. Le reste se rattrape. Une clé détenue par un tiers, non.