Gestionnaires de mots de passe : comment choisir en connaissance de cause

Un gestionnaire de mots de passe conserve des identifiants dans un coffre-fort numérique et vous aide à les retrouver lorsque vous vous connectez. Au lieu de réutiliser un mot de passe simple ou d’essayer d’en mémoriser un différent pour chaque compte, vous pouvez créer des mots de passe uniques et laisser l’application les conserver. Cette commodité peut favoriser de meilleures habitudes, mais elle ne rend pas tous les comptes invulnérables : la sécurité dépend aussi de la protection du compte du gestionnaire, des appareils et des pratiques de récupération.

Avant de comparer les marques, réfléchissez à ce que vous souhaitez stocker en plus des mots de passe. Certains services permettent de conserver des notes, des codes de récupération, des cartes ou des fichiers ; d’autres se concentrent sur les identifiants. Pour une personne qui veut simplement remplir des formulaires de connexion, un coffre-fort simple peut suffire. Si vous comptez stocker des documents ou partager des éléments avec votre famille, les autorisations, les options de partage et les limites de stockage prennent davantage d’importance. L’intérêt principal n’est pas d’accumuler les fonctions, mais de réduire la réutilisation des mots de passe et de faciliter un accès sécurisé.

Un gestionnaire centralise des informations précieuses en un seul endroit : il faut donc évaluer à la fois la protection du coffre-fort et le risque de perdre l’accès. Une publication pédagogique de Purdue consacrée aux gestionnaires souligne leur utilité pratique sur différents appareils et plateformes, et met aussi en avant l’authentification multifacteur parmi les bonnes pratiques. Cela ne constitue ni un audit d’un service particulier ni la preuve que tous les produits offrent la même protection.

La compatibilité ne se résume pas à vérifier l’existence d’une application pour téléphone. Vérifiez si le service propose des applications pour vos systèmes d’exploitation, des extensions pour les navigateurs que vous utilisez et un moyen raisonnable d’accéder à votre coffre-fort depuis un ordinateur secondaire. Le fonctionnement du remplissage automatique compte également : une intégration cohérente avec le navigateur ou le système d’exploitation réduit la tentation d’enregistrer les mots de passe dans un endroit improvisé.

Faites le test avec vos propres appareils. Si vous passez d’un téléphone à un ordinateur personnel puis à un ordinateur professionnel, vérifiez que les applications existent pour chaque plateforme et que la synchronisation est incluse dans l’offre envisagée. Dans un cadre familial ou partagé, vérifiez si les fonctions de partage sont disponibles sans révéler le mot de passe principal. La documentation du fournisseur doit décrire les limites liées au système, au navigateur, au nombre d’appareils ou au type de compte ; ne supposez pas qu’une fonction annoncée s’applique à toutes les offres.

Une courte liste peut éviter un mauvais choix :

• Les systèmes d’exploitation et navigateurs que vous utilisez aujourd’hui.
• La disponibilité et les limites de synchronisation entre appareils.
• Les options de remplissage automatique et d’accès hors ligne, si nécessaire.
• L’accessibilité, la langue et la prise en charge de vos méthodes de connexion.

La compatibilité évolue. Avant de payer, consultez les pages officielles de téléchargement et d’aide, et vérifiez que les instructions correspondent à votre région et à la version actuelle. Un article général sur le sujet ne remplace pas cette vérification.

Lorsqu’un fournisseur décrit un coffre-fort comme chiffré, c’est un point de départ, pas une évaluation complète. Demandez quelles données sont chiffrées, où et quand le chiffrement a lieu, comment les clés sont gérées et quelles informations restent en dehors du coffre-fort chiffré. L’expression chiffrement de bout en bout peut décrire une architecture, mais lisez la définition donnée dans la documentation technique du service au lieu d’en déduire des détails que le fournisseur ne publie pas.

Il faut aussi distinguer chiffrement et sécurité totale. Même un chiffrement robuste ne protège pas, à lui seul, un appareil infecté, un mot de passe principal faible, une session laissée ouverte sur l’ordinateur d’un tiers ou un compte détourné par tromperie. OWASP recommande de prêter attention au choix et à la gestion de la cryptographie dans les systèmes qui stockent des données sensibles ; ses recommandations ne certifient pas des produits particuliers. La question pratique est de savoir si le fournisseur explique ses contrôles avec assez de précision pour que vous compreniez ce qu’ils protègent et leurs limites.

Cherchez une documentation qui précise au minimum le modèle de chiffrement, le traitement du mot de passe principal, la synchronisation, les sauvegardes et les conséquences de la perte des identifiants. Si le service publie des audits externes, des rapports de sécurité ou des informations sur les vulnérabilités et les mises à jour, considérez-les comme des éléments complémentaires : un audit a un périmètre et une date, et ne prouve pas l’absence de failles futures. La transparence technique est plus utile qu’une promesse générique de « sécurité de niveau militaire ».

L’authentification multifacteur (MFA) demande plusieurs types de preuve pour se connecter, par exemple un mot de passe et un code temporaire. Elle vise à réduire le risque qu’un mot de passe volé suffise à accéder au compte ; elle ne corrige pas la réutilisation d’un mot de passe principal et ne sécurise pas un appareil compromis. Vérifiez les méthodes prises en charge par le gestionnaire, le caractère facultatif ou obligatoire du MFA et les solutions de remplacement si vous perdez votre téléphone ou votre dispositif d’authentification.

Ces méthodes ne sont pas interchangeables dans toutes les situations. Les codes d’une application d’authentification, les clés de sécurité et les mécanismes de récupération ont des exigences et des risques différents. La norme NIST SP 800-63B-4 traite de l’authentification et de la gestion des authentificateurs dans le contexte de l’identité numérique ; c’est une référence normative, pas une certification des gestionnaires de mots de passe. Pour un choix courant, vérifiez que le service documente les méthodes compatibles et la procédure pour ajouter, remplacer ou révoquer un authentificateur.

Avant d’activer le MFA, conservez les codes de récupération dans un endroit séparé et sûr, si le service en fournit. Ne les gardez pas uniquement dans le coffre-fort auquel ils pourraient servir à retrouver l’accès. Vérifiez aussi s’il existe une méthode alternative et quelles vérifications elle exige. Le MFA renforce la défense contre certaines attaques, mais une récupération faible peut devenir le raccourci qui contourne cette protection.

La récupération mérite votre attention, car elle peut déterminer qui peut se reconnecter après la perte d’un mot de passe principal ou d’un second facteur. Les services n’utilisent pas tous le même modèle : certains peuvent autoriser la récupération d’un compte sous certaines conditions ; d’autres ne peuvent pas récupérer le contenu chiffré si les identifiants nécessaires sont perdus. Consultez les explications officielles et distinguez la récupération de l’accès au compte, la réinitialisation d’un mot de passe et la récupération des données du coffre-fort : ce ne sont pas nécessairement les mêmes opérations.

Ne partez pas du principe que l’assistance technique peut déchiffrer le coffre-fort. Si l’architecture empêche le fournisseur de disposer des clés nécessaires, la récupération peut être limitée, même si cela réduit certaines formes d’accès par le fournisseur. Le compromis est concret : davantage de voies de récupération peuvent aider un utilisateur légitime, mais elles créent aussi des procédures à protéger contre l’usurpation d’identité. Les recommandations d’OWASP sur la réinitialisation des mots de passe soulignent qu’il faut concevoir ces parcours avec soin ; ce sont des critères généraux, pas une description des règles d’un service donné.

Avant de migrer ou de payer, répondez à ces questions à l’aide de la documentation du produit :

• Que se passe-t-il si vous oubliez le mot de passe principal ?
• Quelles méthodes permettent de récupérer ou d’autoriser l’accès ?
• Qui peut lancer une récupération et quelles preuves sont demandées ?
• Récupère-t-on le compte, le coffre-fort ou les deux ?
• Quelles données sont perdues si vous ne conservez pas les clés ou codes nécessaires ?

Si une réponse n’est pas claire, contactez le fournisseur avant d’y stocker des informations irremplaçables. Il ne s’agit pas de choisir la récupération la plus facile, mais de comprendre les risques associés à chaque option.

La possibilité d’exporter les données réduit la dépendance à un service et facilite le changement de gestionnaire. Vérifiez les formats d’exportation proposés, les champs conservés et le fonctionnement sur les plateformes que vous utilisez. Ne supposez pas qu’une importation transférera automatiquement les notes, fichiers, dossiers, éléments partagés ou codes : la compatibilité dépend des formats et des fonctions de la source et de la destination.

Selon le format et le processus, un fichier exporté peut être lisible en texte clair. Traitez-le comme une copie sensible : ne le conservez que le temps nécessaire, évitez de l’envoyer par courriel ou de le laisser dans un dossier synchronisé sans protection et supprimez-le de façon sûre une fois l’opération terminée. Si le gestionnaire propose une exportation chiffrée, vérifiez sa protection et les clés nécessaires à la réimportation. Le guide d’OWASP sur le stockage cryptographique donne des critères généraux pour protéger les données sensibles, mais ne garantit pas le fonctionnement d’une option d’exportation particulière.

Une migration prudente réduit les erreurs et l’exposition :

1. Consultez la documentation d’exportation du service actuel et celle d’importation du nouveau.
2. N’exportez que le nécessaire et conservez le fichier dans un environnement contrôlé.
3. Vérifiez que les comptes importants figurent dans la destination.
4. Supprimez les fichiers temporaires et vérifiez les copies synchronisées ou téléchargées.
5. Gardez l’accès à l’ancien gestionnaire jusqu’à ce que vous ayez confirmé qu’il ne manque rien.

Si le service ne propose pas de solution de sortie claire, tenez compte de ce coût avant de commencer. La portabilité n’est pas un détail technique secondaire : elle fait aussi partie de votre capacité à changer de fournisseur.

Une offre gratuite peut suffire à une personne si elle couvre ses appareils, la synchronisation et ses méthodes d’accès. Une offre payante peut ajouter des fonctions comme le partage, un stockage supplémentaire, l’assistance ou des contrôles pour plusieurs personnes, mais la liste varie selon le service et peut évoluer. On ne peut pas conclure qu’une option est plus sûre parce qu’elle est payante, ni qu’une offre gratuite est insuffisante par définition.

Comparez l’offre précise à vos besoins, plutôt qu’à un tableau promotionnel isolé. Vérifiez le nombre d’appareils, les limites d’éléments ou de fichiers, les fonctions de MFA, la récupération, les options d’exportation et les conditions de résiliation. Si une fonction importante n’existe que dans une formule supérieure, demandez-vous si vous l’utiliserez réellement. La documentation officielle et les conditions du fournisseur sont les bonnes sources pour confirmer les prix et limites actuels ; ce guide ne donne pas de tarifs, car ils n’ont pas été vérifiés selon les marchés et les dates.

Les travaux pédagogiques sur les gestionnaires de mots de passe indiquent qu’ils peuvent être pratiques et disponibles gratuitement sur différents appareils, mais ne comparent pas les offres commerciales actuelles et ne testent pas la sécurité de marques précises. Cette distinction compte : une source générale aide à comprendre la catégorie, tandis que les conditions d’achat doivent être vérifiées sur le site du fournisseur. Choisissez l’offre la plus simple qui répond à vos besoins vérifiés et vous permet de partir sans perdre vos données.