Comment choisir un gestionnaire de mots de passe : sécurité, récupération et portabilité

Un gestionnaire de mots de passe conserve des identifiants et permet de les retrouver au moment voulu, au lieu de compter sur un mot de passe différent mémorisé pour chaque site. Selon le service, il peut remplir des formulaires, synchroniser les données entre appareils et stocker d’autres éléments, comme des notes sécurisées ou des clés d’accès. Son intérêt pratique est de réduire la réutilisation des mots de passe et de faciliter l’emploi de mots de passe longs et différents. L’outil aide à gérer les identifiants ; il ne rend pas un compte invulnérable et ne remplace pas les mesures de sécurité des sites auxquels vous vous connectez.

Un gestionnaire concentre aussi des informations précieuses. Si quelqu’un parvient à déverrouiller le coffre-fort, il peut accéder à de nombreux comptes ; la protection du compte du gestionnaire et la conception de la récupération sont donc tout aussi importantes. Une promesse de « chiffrement de bout en bout » ne suffit pas : il est utile de savoir quelles données sont chiffrées, où le chiffrement a lieu, ce que le fournisseur peut voir et ce qui se passe si vous perdez le mot de passe principal. Le guide OWASP sur le stockage cryptographique fournit des principes pour évaluer la protection des données stockées, mais ne certifie ni n’audite à lui seul un produit particulier.

Le choix ne doit pas se réduire à un classement universel du « plus sûr ». Une fonction peut être utile tout en étant mal adaptée à vos appareils ou à votre capacité à conserver une copie de secours. L’objectif est de réunir des éléments vérifiables et de déterminer si le service correspond à votre usage. Les déclarations du fournisseur décrivent ce qu’il documente ; elles ne constituent pas automatiquement une évaluation indépendante de sa mise en œuvre.

Avant de comparer les offres, faites l’inventaire des appareils sur lesquels vous devez utiliser le gestionnaire : téléphone, ordinateur, tablette, navigateurs et, le cas échéant, appareils partagés. Vérifiez que des applications ou extensions compatibles existent pour vos systèmes et que la synchronisation fonctionne avec la combinaison que vous utilisez réellement. Une longue liste de plateformes ne sert à rien si elle ne comprend pas celle dont vous avez besoin chaque jour. Vérifiez également si vous pouvez accéder aux identifiants hors ligne et quelles conditions le fournisseur impose pour cet usage.

Pensez aussi au partage. Vous pouvez vouloir partager certains mots de passe avec des proches ou des collègues, gérer des comptes familiaux ou permettre à une personne de confiance d’y accéder en cas d’urgence. Vérifiez si le service propose ces options, quels contrôles sont disponibles — par exemple, limiter les personnes autorisées à consulter ou modifier un élément — et si elles sont comprises dans l’offre que vous paieriez. Ne confondez pas un dossier partagé avec une procédure d’urgence : ils répondent à des objectifs différents et peuvent avoir des exigences distinctes.

Si vous enregistrez actuellement vos mots de passe dans votre navigateur, examinez les possibilités de migration avant de commencer. Les instructions de Google Chrome et de Microsoft Authenticator documentent des options d’importation ou d’exportation ; Apple décrit également l’exportation depuis l’iPhone. Ces procédures et leurs conditions peuvent varier selon l’appareil et la version. Avant de compter sur une voie précise, consultez la documentation en vigueur pour votre plateforme et vérifiez si elle couvre aussi d’autres données, comme les notes, les noms d’utilisateur ou les clés d’accès. La compatibilité pertinente est celle de votre parcours complet d’entrée et de sortie, pas le nombre de marques citées sur une page commerciale.

Recherchez des explications précises sur le chiffrement du coffre-fort, la protection du mot de passe principal et le traitement des données sur les serveurs et vos appareils. Distinguez ce que le fournisseur explique de ce qu’il ne précise pas. Un algorithme connu ne prouve pas à lui seul qu’une application est bien conçue : son utilisation, la gestion des clés, les mises à jour, la sécurité du compte et le traitement des erreurs comptent aussi. Si l’explication se limite à des formules générales comme « de niveau militaire », recherchez des détails vérifiables dans la documentation technique ou de sécurité.

L’authentification multifacteur ajoute une vérification au mot de passe. Vérifiez les méthodes prises en charge par le fournisseur et les solutions de remplacement proposées si vous perdez votre téléphone ou votre appareil d’authentification. Les méthodes n’ont pas toutes les mêmes propriétés, et l’activation de l’authentification multifacteur ne supprime pas les risques liés à l’hameçonnage, à une récupération faible ou à des appareils compromis. La documentation de Tableau, par exemple, décrit l’authentification multifacteur pour son propre service ; elle ne prouve pas qu’un autre gestionnaire offre des contrôles équivalents. Évaluez la documentation du produit que vous envisagez réellement d’utiliser.

Recherchez également des informations sur les audits ou évaluations externes : qui les a réalisés, quelle était leur portée, quand ils ont été publiés et s’ils couvrent le produit et les applications que vous utiliserez. « Audité », sans date ni portée, est une description incomplète. Un rapport peut examiner une partie du système ou une version antérieure. Considérez les audits déclarés comme un élément de preuve, et non comme une garantie permanente. OWASP et les guides du NIST sur l’identité peuvent aider à poser des questions sur le stockage et l’authentification, mais ne doivent pas être présentés comme des certifications d’un gestionnaire précis.

La question délicate est simple : que se passe-t-il si vous oubliez le mot de passe principal, perdez votre téléphone ou n’avez plus accès au second facteur ? Lisez la procédure officielle avant de stocker toutes vos informations dans le coffre-fort. Déterminez si la récupération dépend d’une clé de récupération, d’un appareil déjà autorisé, d’une autre personne ou d’une sauvegarde ; si chaque méthode exige une préparation préalable ; et si le rétablissement de l’accès peut entraîner la perte des données chiffrées. Les détails varient selon les services et les types de compte : ne partez donc pas du principe que « récupérer le compte » signifie récupérer son contenu.

Faites la distinction entre récupérer l’accès à un compte et récupérer le coffre-fort. Un fournisseur peut aider à réinitialiser les identifiants de connexion sans pouvoir déchiffrer les données, ou autoriser un mécanisme de récupération qui doit être configuré à l’avance. La documentation de transfert de Microsoft Authenticator montre pourquoi il est utile de vérifier les conditions de migration d’un outil d’authentification plutôt que de supposer que les comptes seront automatiquement restaurés sur un nouveau téléphone. Ce n’est pas un guide pour tous les gestionnaires, mais cela illustre l’importance de consulter la procédure propre au service utilisé.

Préparez un plan que vous pouvez appliquer sans dépendre de l’appareil susceptible d’être perdu. Il peut s’agir de conserver les informations de récupération dans un lieu protégé et séparé, de maintenir à jour un appareil de confiance ou de convenir d’une méthode d’urgence avec une personne autorisée, si le service le permet. Assurez-vous de comprendre ce que conserve chaque sauvegarde et comment elle est protégée. Évitez de laisser une copie lisible de tous vos mots de passe dans un dossier commun ou sur le même appareil que celui qui contient le coffre-fort. La meilleure récupération est celle que vous avez comprise et préparée avant d’en avoir besoin.

La portabilité compte même si vous pensez rester chez le même fournisseur. Vérifiez s’il permet d’exporter le coffre-fort, depuis quelle application, dans quel format et avec quelles restrictions. Un export peut faciliter une migration, mais il peut aussi créer temporairement un fichier lisible contenant des identifiants. Décidez où le conserver pendant le transfert et supprimez-le de façon sécurisée lorsque vous n’en avez plus besoin ; vider la corbeille ou effacer un fichier ne garantit pas toujours sa disparition de toutes les copies ou synchronisations.

Ne partez pas du principe que toutes les données sont exportées. Vérifiez si le format comprend les noms d’utilisateur, les adresses Web, les notes, les pièces jointes, les éléments partagés et les autres enregistrements qui vous intéressent. Vérifiez ensuite si le service de destination peut importer ce format et quels éléments il prend en charge. Les instructions de Bitwarden sur l’importation depuis Password Safe, ainsi que les guides d’exportation d’Apple et de Google, sont des exemples de documentation propre à un produit : elles peuvent aider à évaluer ces parcours, mais ne prouvent pas que toutes les combinaisons de source et de destination sont compatibles.

Un plan de sortie raisonnable est simple et vérifiable : consultez le guide officiel, confirmez ce qui est exporté, identifiez une destination compatible et protégez le fichier pendant l’opération. Si le fournisseur n’explique ni le format ni la procédure d’exportation, contactez l’assistance avant d’y stocker tous vos identifiants. Les restrictions d’exportation ne prouvent pas à elles seules de mauvaises pratiques de sécurité, mais elles influent sur votre dépendance au service. Pouvoir partir sans perdre d’informations est un critère de choix, pas un détail à examiner à la fin.

Ne comparez que les offres susceptibles de correspondre à votre usage. Notez le prix et la période de facturation en vigueur dans votre pays, les fonctions gratuites, le nombre d’utilisateurs ou d’appareils inclus et les options qui nécessitent une offre supérieure. Pensez aussi à la continuité : le prix peut-il changer, l’annulation influe-t-elle sur l’accès au coffre-fort ou aux fonctions de partage, et que deviennent les données lorsque vous cessez de payer ? N’utilisez pas le prix publié dans une autre région ou une offre temporaire comme s’il s’agissait du tarif habituel applicable à votre compte.

Le prix ne mesure pas la sécurité. Une offre gratuite peut suffire à une personne et à ses appareils, tandis qu’une famille ou une équipe peut avoir besoin de permissions, d’une récupération partagée ou d’outils d’administration. La comparaison utile oppose le coût à des besoins précis, et non le coût au nombre brut de fonctions. Si une fonction n’est disponible que dans une formule que vous n’utiliseriez pas, elle ne devrait pas orienter votre choix. Notez également les conditions susceptibles d’influer sur l’exportation ou l’accès après résiliation.

Avant de transférer tout votre coffre-fort, vous pouvez effectuer une évaluation prudente avec une quantité limitée de données non critiques. Vérifiez que les applications proviennent bien du fournisseur, configurez le second facteur disponible, examinez le verrouillage automatique et testez l’exportation sans exposer un fichier d’identifiants dans un espace partagé. Cela ne remplace pas un audit technique et ne prouve pas que le service est sûr ; cela permet de vérifier que vous comprenez le fonctionnement quotidien et les conditions de sortie.

Utilisez ces questions pour comparer deux ou trois options de manière cohérente. Si la documentation ne répond pas à une question, indiquez qu’elle reste en suspens au lieu de combler le manque par une supposition. La clarté et la possibilité de vérifier les procédures font partie de l’utilité du produit.

• Fonctionne-t-il sur tous mes appareils et navigateurs, et est-ce que je comprends ce qui se passe hors ligne ?
• Explique-t-il comment le coffre-fort est chiffré et quelles informations le fournisseur peut connaître ?
• Quelles méthodes d’authentification multifacteur propose-t-il, et comment récupérer l’accès si je perds le second facteur ?
• Puis-je exporter les données dont j’ai besoin dans un format accepté par un autre service ?
• Ai-je préparé un moyen de récupération et sais-je ce que je pourrais perdre en l’utilisant ?
• L’offre répond-elle à mes besoins de partage, et connais-je le coût et les conditions de résiliation ?
• La documentation de sécurité et d’audit précise-t-elle la portée et la date des évaluations ?

Un bon choix n’exige pas de trouver un service parfait. Il faut pouvoir expliquer pourquoi il convient à vos appareils, comment vous récupéreriez l’accès, quels éléments étayent votre confiance et comment vous changeriez de fournisseur. Si vous ne pouvez pas encore répondre, mettez la migration en pause et réglez ces questions avant de concentrer vos identifiants. Privilégiez une sécurité documentée, une récupération praticable et une sortie viable ; comparez ensuite la commodité et le prix.