Comment choisir un gestionnaire de mots de passe : que comparer avant de décider

Un gestionnaire de mots de passe sert à conserver des identifiants et à vous aider à utiliser un mot de passe différent pour chaque service. Au quotidien, il évite d’avoir à tout mémoriser ou à réutiliser le même mot de passe. L’Electronic Frontier Foundation (EFF) explique que ces programmes peuvent générer des mots de passe, les stocker dans un coffre-fort et remplir les champs de connexion ; beaucoup synchronisent aussi les informations entre appareils. L’objectif n’est pas de trouver l’application qui propose le plus de fonctions, mais d’en choisir une que vous pourrez utiliser régulièrement et à laquelle vous pourrez conserver l’accès. (EFF)

Avant de regarder les marques, notez les services auxquels vous vous connectez et les appareils que vous utilisez : par exemple, un téléphone et un ordinateur, plusieurs navigateurs ou des appareils partagés à la maison. Ajoutez deux questions : devez-vous partager des identifiants avec quelqu’un d’autre ? Allez-vous conserver uniquement des mots de passe, ou aussi des notes et d’autres données ? Vos réponses changent les fonctions auxquelles il faut accorder de l’importance. Un usage individuel simple n’exige pas forcément les mêmes options qu’un groupe familial ou une équipe de travail ; il s’agit d’une distinction pratique, et non d’une classification de sécurité.

Il est également utile de reconnaître le compromis que suppose la concentration des identifiants. Un coffre-fort facilite l’utilisation de mots de passe différents, mais rassemble des informations sensibles dans un seul compte et une seule application. L’EFF avertit que cela peut créer un point de défaillance unique et recommande de prêter attention à la robustesse du mot de passe principal et à l’authentification à deux facteurs. La commodité et le risque ne s’évaluent pas séparément : plus votre accès dépend d’un seul compte, plus il est important de comprendre comment le protéger et quoi faire si vous ne pouvez plus vous connecter. (EFF)

Une liste générale de systèmes d’exploitation ne suffit pas à établir la compatibilité. Consultez la documentation du service pour chaque appareil et navigateur que vous utilisez, puis vérifiez s’il propose une application, une extension de navigateur ou les deux. Confirmez ensuite que les fonctions importantes — enregistrer de nouveaux identifiants, remplir les champs de connexion et synchroniser les modifications, par exemple — sont disponibles dans cette combinaison précise. La disponibilité peut varier selon les plateformes ; ne partez pas du principe qu’une fonction présentée sur la page d’accueil existe dans toutes les versions.

Faites un essai correspondant à votre parcours habituel : ouvrez un compte depuis votre téléphone, vérifiez si l’identifiant apparaît sur votre ordinateur et testez la connexion avec le navigateur que vous utilisez vraiment. Si vous passez d’un navigateur à l’autre, vérifiez que le gestionnaire les prend en charge sans vous imposer un parcours peu pratique. Pensez aussi aux appareils empruntés ou partagés : vous préférerez peut-être ne pas laisser de session ouverte ni activer le remplissage automatique dans un profil que vous ne contrôlez pas. Ce sont des conditions d’utilisation à vérifier dans la documentation, et non des éléments à déduire du nom d’une fonction.

La synchronisation est utile, mais demandez comment elle fonctionne lorsqu’un appareil est hors ligne ou lorsque vous modifiez un mot de passe à deux endroits en même temps. Si le fournisseur documente le fonctionnement hors ligne et la résolution des conflits, examinez ces détails. Si les explications ne sont pas claires, notez la question et posez-la avant de migrer un coffre-fort important. La compatibilité réelle est celle que vous pouvez vérifier avec votre combinaison d’appareils, et non celle que laisse supposer une promesse générale de disponibilité sur plusieurs appareils.

Faites la différence entre le mot de passe principal qui protège le coffre-fort et la méthode supplémentaire éventuellement utilisée pour vous connecter au compte du service. Ce n’est pas nécessairement la même chose. Vérifiez si le fournisseur prend en charge l’authentification multifacteur, quelles méthodes il propose et quelles étapes sont requises pour les activer. La CISA recommande d’envisager l’authentification multifacteur, car elle ajoute une vérification au-delà du mot de passe ; la disponibilité d’une méthode précise, telle qu’une clé de sécurité, doit être confirmée dans la documentation du gestionnaire. (CISA)

Lisez particulièrement attentivement les informations sur la récupération. Renseignez-vous sur les options disponibles si vous oubliez le mot de passe principal, perdez votre téléphone ou ne pouvez plus utiliser le deuxième facteur. Le rétablissement de l’accès peut avoir des conséquences sur la sécurité : un processus qui facilite la récupération d’un compte doit aussi préciser ce que le fournisseur peut restaurer et ce qui dépend de vous. N’interprétez pas le mot « récupération » comme la garantie que tout le contenu pourra toujours être restauré ; cherchez la procédure documentée et les conditions qu’elle impose.

Le NIST a publié des recommandations sur l’authentification numérique, mais SP 800-63-3, encore cité dans certaines documentations, a été remplacée par SP 800-63-4 depuis le 1er août 2025. Cette édition antérieure ne doit donc pas être présentée comme le guide actuel. Pour comparer un produit, privilégiez la documentation actuelle du fournisseur et les références à jour du NIST ; une certification ou une formule commerciale ne prouve pas, à elle seule, qu’une configuration précise répond à tous vos besoins. (NIST, avis de remplacement) La récupération mérite autant d’attention que la connexion : un coffre-fort sécurisé auquel vous ne pouvez plus accéder peut devenir un grave problème opérationnel.

Avant de transférer vos identifiants, cherchez comment exporter le coffre-fort et quel format le service propose. Vérifiez si l’exportation comprend tous les éléments que vous conservez réellement — des notes ou des champs personnalisés, par exemple — et si le gestionnaire de remplacement que vous pourriez envisager dispose d’un outil d’importation compatible. La présence d’un bouton d’exportation ne suffit pas à prouver qu’une migration future sera simple : les structures et les champs peuvent différer d’un service à l’autre.

Demandez également si l’exportation est chiffrée ou si elle génère un fichier lisible sans protection, puis consultez les instructions officielles pour le conserver et le supprimer. Un export en texte brut peut exposer de nombreux identifiants s’il reste dans un dossier synchronisé, sur un ordinateur partagé ou dans une sauvegarde que vous n’aviez pas prévue. Évitez de conserver des copies inutiles : après avoir vérifié la migration, suivez les consignes du fournisseur pour supprimer en toute sécurité les fichiers temporaires. N’affirmez pas qu’un format précis est universel sans l’avoir confirmé dans la documentation des deux services.

La portabilité permet de vérifier votre maîtrise de vos données ; ce n’est pas seulement une fonction de confort. Avant de changer de gestionnaire, conservez l’accès au service d’origine jusqu’à ce que vous ayez vérifié que les entrées importantes ont été correctement importées et que vous pouvez vous en servir pour vous connecter. Comparez plusieurs types de comptes, et pas seulement un mot de passe simple. Vous réduirez ainsi le risque de découvrir plus tard qu’il manque des notes, des adresses Web ou des champs que vous utilisiez. Si la documentation ne précise pas clairement ce qui est exporté, considérez ce manque de clarté comme un coût pratique du choix.

Les listes de fonctionnalités peuvent mélanger des fonctions essentielles et des ajouts que vous n’utiliserez peut-être jamais. Distinguez l’indispensable — la prise en charge de vos appareils, la synchronisation et l’exportation, par exemple — du souhaitable, comme le partage d’éléments ou la conservation d’autres types d’informations. Pour comparer les offres, consultez les conditions en vigueur sur le site officiel : contenu de l’offre gratuite, éventuelle limite d’appareils ou d’éléments, fonctions nécessitant un abonnement et modalités de renouvellement. Les prix peuvent varier selon le pays, la monnaie, les promotions et la date ; sans source actuelle du vendeur, il n’est pas raisonnable de présenter un chiffre comme universel.

Un tableau comparatif que vous établissez vous-même peut éviter qu’une fonction séduisante ne masque une lacune importante. Évaluez uniquement les éléments que vous avez confirmés et indiquez « non documenté » lorsque vous ne trouvez pas de réponse dans les informations officielles. Ne transformez pas cette absence d’information en affirmation selon laquelle le service ne propose pas la fonction : il s’agit d’une incertitude à lever. Le coût pertinent est celui de l’offre qui répond à vos besoins réels, et non le prix d’entrée considéré isolément ni la valeur apparente d’une longue liste d’options.

Pour comparer la confidentialité et la sécurité, recherchez des explications précises sur le chiffrement, l’accès du fournisseur aux données, la protection du compte et les mises à jour. L’EFF rappelle que les gestionnaires de mots de passe n’éliminent pas tous les risques et que la configuration ainsi que les habitudes d’utilisation comptent aussi. Ne considérez pas une mention telle que « chiffrement de bout en bout » comme une réponse complète sans comprendre à quelles données et à quels processus elle s’applique. Si les informations techniques ne sont pas claires, interrogez le fournisseur ou écartez cette option si ce point est déterminant pour vous. (EFF)

Avant de vous engager, vérifiez les points suivants dans la documentation actuelle du service et dans les conditions applicables sur votre marché :

• Appareils : votre téléphone, votre ordinateur et les navigateurs que vous utilisez habituellement sont pris en charge.
• Accès : vous comprenez comment le compte est protégé et quelles méthodes d’authentification supplémentaires sont acceptées.
• Récupération : vous connaissez les options disponibles si vous perdez un appareil ou oubliez le mot de passe principal.
• Portabilité : vous savez comment exporter les données, ce que contient le fichier et comment le protéger.
• Coût et limites : les fonctions dont vous avez besoin sont disponibles dans l’offre et le pays où vous utiliserez le service.
• Partage : les règles d’accès et de révocation conviennent aux personnes avec lesquelles vous partageriez des informations, le cas échéant.

Si le service permet de l’essayer sans migrer immédiatement toutes vos informations, commencez avec quelques comptes peu sensibles. Vérifiez que le gestionnaire enregistre et remplit les identifiants sur les appareils prévus, puis testez l’exportation en suivant les instructions officielles avant de lui confier tout votre coffre-fort. N’utilisez pas de véritables identifiants dans des outils de test tiers et ne laissez pas un fichier exporté sans protection. Un essai limité peut révéler des difficultés d’utilisation ; il ne constitue pas un audit de sécurité indépendant et ne prouve pas que le service est invulnérable. Prévoyez une transition : conservez temporairement l’accès à votre ancien gestionnaire jusqu’à ce que vous ayez vérifié que les entrées essentielles fonctionnent dans le nouveau système et que vous compreniez comment récupérer le compte.