Gestionnaire de mots de passe : fonctionnement et critères de choix

Un gestionnaire de mots de passe est un coffre-fort chiffré. Quatre mécanismes en assurent la sécurité :

• Chiffrement côté client. Les données sont chiffrées sur votre appareil avant tout envoi. L'éditeur du service ne détient que des blocs chiffrés qu'il ne peut pas lire — c'est ce qu'on appelle une architecture « à divulgation nulle ».
• Dérivation de clé. Le mot de passe maître n'est pas stocké : il sert à calculer la clé de chiffrement, via une fonction volontairement lente (PBKDF2, Argon2, scrypt) qui rend chaque tentative de cassage coûteuse.
• Synchronisation chiffrée entre vos appareils, ou fichier local que vous synchronisez vous-même.
• Remplissage automatique lié au domaine : le gestionnaire ne propose vos identifiants que sur le site pour lequel ils ont été enregistrés.

On adopte un gestionnaire pour ne plus retenir ses mots de passe. Mais son apport le plus intéressant est ailleurs : il ne se trompe pas de domaine.

Le remplissage automatique est lié à l'adresse exacte du site enregistré. Sur une page de connexion copiée à l'identique mais hébergée sur un domaine voisin, le gestionnaire ne propose rien. Là où l'œil humain se laisse prendre par une adresse quasi identique, le logiciel compare des chaînes de caractères et ne se laisse pas impressionner.

D'où un réflexe à intégrer : quand le gestionnaire ne propose pas vos identifiants sur un site que vous utilisez habituellement, c'est un signal. Avant de taper le mot de passe à la main, vérifiez l'adresse. C'est une des rares alertes gratuites et fiables dont dispose un utilisateur.

Le coffre ne vaut que ce que vaut le secret qui l'ouvre. Le mot de passe maître doit être :

• Long et réellement aléatoire : c'est le cas d'usage type de la phrase de passe de sept mots tirés au hasard vue au chapitre précédent, qui atteint la cible de 80 bits d'entropie de l'ANSSI. C'est un secret exposé à une attaque hors ligne si le coffre chiffré est un jour dérobé : cinq mots ne suffisent pas ici.
• Unique : jamais utilisé nulle part ailleurs, sous aucune variante.
• Protégé par un second facteur : activez l'authentification multifacteur sur le gestionnaire lui-même, de préférence par clé de sécurité ou par application, jamais par SMS (chapitre 3.3).
• Sauvegardé physiquement : le mot de passe maître et la clé de récupération, écrits sur papier, dans un endroit fermé. Pas dans un fichier, pas dans un email, pas dans le cloud.

Une phrase de sept mots se mémorise en construisant une image mentale absurde — c'est justement l'absurdité qui la rend mémorable. Comptez quelques jours de saisies quotidiennes pour qu'elle devienne automatique.

Deux familles d'architectures coexistent, et le choix n'est pas une question de qualité mais de modèle de risque.

Le risque du coffre en ligne n'est pas théorique : plusieurs éditeurs ont subi des vols de coffres chiffrés au cours des dernières années. Dans ce scénario, la seule chose qui protège encore l'utilisateur est la robustesse de son mot de passe maître et le nombre d'itérations de la fonction de dérivation. C'est la raison pour laquelle les exigences de la section 3 ne sont pas négociables.

L'ANSSI ne recommande ni ne désigne aucun produit comme obligatoire. Elle délivre en revanche des visas de sécurité, dont la CSPN (certification de sécurité de premier niveau), qui atteste qu'un produit a passé avec succès une évaluation menée par un laboratoire agréé : audit du code, tests de pénétration, vérification des mécanismes cryptographiques.

Concernant les gestionnaires de mots de passe, deux points factuels utiles :

• KeePassXC 2.7.9 a obtenu la certification ANSSI-CSPN-2025/16, délivrée le 17 novembre 2025 pour une durée de trois ans.
• L'historique KeePass avait obtenu une CSPN sur sa version 2.10 portable en 2010. KeePassXC en est un développement distinct, porté par une autre équipe.

Déployé à l'échelle d'une organisation, un gestionnaire n'est plus un outil personnel mais une brique d'infrastructure. Les fonctions à exiger, indépendamment de la solution retenue :

• Authentification unique adossée à l'annuaire de l'entreprise, et provisionnement automatique des comptes à l'arrivée et au départ des collaborateurs.
• Coffres partagés par équipe avec droits nominatifs — c'est ce qui permet de supprimer les comptes partagés et les mots de passe circulant par email.
• Mécanisme de récupération administrateur, indispensable en cas de départ ou d'oubli, et qui doit être documenté et encadré.
• Journalisation des accès, partages et modifications.
• Tableau de bord des mots de passe faibles, réutilisés ou apparus dans une fuite, pour piloter la remédiation.
• Second facteur obligatoire sur le gestionnaire lui-même, imposé par politique.
• Garanties vérifiables : localisation des données, certifications, audits de sécurité publiés, et réversibilité — la capacité d'exporter l'intégralité des coffres pour changer de solution.

L'ordre de déploiement qui fonctionne : d'abord les comptes à privilèges et les comptes de service (là où le risque est le plus élevé), puis les coffres d'équipe qui remplacent les fichiers partagés, et enfin la généralisation aux utilisateurs, accompagnée d'une consigne simple : on ne migre pas tout d'un coup, on commence par la messagerie professionnelle et les accès les plus sensibles.