Un gestionnaire de mots de passe est un coffre-fort chiffré qui stocke vos identifiants. Le fonctionnement repose sur 4 principes :

1. Chiffrement local (zero-knowledge) : vos mots de passe sont chiffrés sur votre appareil avant tout envoi vers le serveur. Le fournisseur du gestionnaire ne peut pas lire vos données, même s'il est compromis ou contraint judiciairement (architecture « zero-knowledge »).
2. Mot de passe maître : un unique mot de passe (très fort, à mémoriser) qui débloque le coffre. Sa fonction : dériver une clé cryptographique (PBKDF2, Argon2) pour déchiffrer les données locales.
3. Synchronisation chiffrée entre vos appareils (PC, mobile, tablette) via les serveurs du fournisseur, qui ne voient que des données chiffrées.
4. Auto-remplissage dans les navigateurs et applications, via extensions et intégrations système.

Conséquence critique : si vous oubliez votre mot de passe maître, vos données sont perdues. Le fournisseur ne peut pas vous le réinitialiser (sinon il aurait accès à vos données, ce qui contredirait le « zero-knowledge »). Certains gestionnaires offrent des mécanismes de récupération (clé de secours imprimable, contact d'urgence), à activer absolument à la création du compte.

L'adoption d'un gestionnaire de mots de passe résout d'un coup la majorité des problèmes :

• Mots de passe uniques par service : le gestionnaire en génère et mémorise des centaines
• Mots de passe ultra-forts : 20-30 caractères aléatoires par défaut
• Plus besoin de les mémoriser : un seul mot de passe maître à retenir
• Détection des fuites : alerte si l'un de vos comptes apparaît dans une base fuitée (Watchtower 1Password, Vault Health Bitwarden)
• Auto-remplissage sécurisé : impossibilité de saisir vos identifiants sur un site de phishing (le gestionnaire ne reconnaît pas le mauvais domaine)
• 2FA intégré : génère et remplit les codes TOTP automatiquement
• Partage sécurisé avec famille / collègues sans envoyer par email

Le coût ? 0 à 4 € par mois pour usage individuel, 3-8 €/utilisateur/mois en entreprise. Comparé au coût d'un seul compte compromis (heures de remise en état, achat compromis, données personnelles dans la nature), le ROI est instantané.

« L'adoption d'un gestionnaire de mots de passe est la mesure individuelle de cybersécurité avec le meilleur rapport efficacité / effort. Plus que l'antivirus, plus que la sauvegarde, plus que le VPN. »

— ANSSI, Guide d'hygiène informatique 2024

Tout repose sur le mot de passe maître. Il doit être :

• Très long : passphrase de 6-7 mots Diceware minimum (25-30 caractères)
• Unique : jamais utilisé sur aucun autre service
• Mémorisable : visualisation mentale, association d'idées
• Protégé par MFA : activer une authentification à deux facteurs sur le gestionnaire lui-même (FIDO2 ou TOTP, jamais SMS)
• Sauvegardé physiquement : écrit sur papier et conservé dans un endroit sûr (coffre, chez un proche de confiance) pour le cas de l'oubli

Exemple de bon mot de passe maître : cheval-bleu-violon-mardi-prune-juin-fenêtre. 7 mots Diceware, mémorisable par la visualisation d'une scène absurde (un cheval bleu jouant du violon un mardi près d'une fenêtre avec une prune et le mois de juin), résistant pour des millénaires au craquage.

Deux familles d'architectures :

• Cloud-based (Bitwarden, 1Password, Dashlane, Proton Pass) : le coffre est stocké sur les serveurs du fournisseur, chiffré localement. Synchronisation transparente entre appareils. Risque : si le fournisseur est compromis (cas LastPass 2022 — fuite des coffres chiffrés), un attaquant peut tenter de brute-forcer les mots de passe maîtres faibles. La parade : avoir un mot de passe maître long et complexe.
• Local-only (KeePass, KeePassXC) : fichier .kdbx stocké sur votre disque. Synchronisation manuelle ou via service cloud de votre choix (Dropbox, Drive, NextCloud, clé USB). Risque : perte du fichier en cas de panne disque sans backup. Avantage : aucune dépendance à un fournisseur, recommandé par l'ANSSI pour les usages sensibles.

Pour la majorité des utilisateurs, cloud-based avec mot de passe maître fort + MFA est la bonne option (Bitwarden ou 1Password). Pour les profils sensibles (avocats, journalistes, militants, fonctionnaires de défense), KeePassXC en local avec synchronisation chiffrée reste la référence.

En entreprise, le gestionnaire de mots de passe ne se déploie pas comme outil personnel mais comme infrastructure de gouvernance. Fonctionnalités à exiger :

• SSO (Single Sign-On) avec l'IDP de l'entreprise (Azure AD, Okta, OneLogin)
• Provisioning automatique (SCIM) : création / suppression des comptes synchronisée avec l'annuaire RH
• Politiques de mot de passe applicables centralement (longueur, complexité, durée)
• Coffres partagés par équipe (Marketing, IT, RH, Direction) avec contrôle d'accès
• Audit logs des accès, partages, modifications
• Mécanisme de récupération par admin (chiffrement à séquestre) en cas de départ ou d'oubli
• Détection des mots de passe faibles ou compromis dans l'organisation (vue d'ensemble pour le RSSI)
• Conformité : SOC 2 Type II, ISO 27001, certification ANSSI / FedRAMP

Solutions adaptées : 1Password Business, Bitwarden Enterprise, Dashlane Business, Keeper Enterprise. Côté coût, comptez 3 à 8 €/utilisateur/mois selon les fonctionnalités, soit un investissement très rentable par rapport au coût d'un seul incident lié à un mot de passe faible.

Si vous démarrez avec un gestionnaire, voici la séquence recommandée :

1. Créer un compte avec un mot de passe maître très fort (passphrase 7 mots)
2. Activer la MFA sur le gestionnaire lui-même (TOTP minimum, FIDO2 idéal)
3. Imprimer la clé de récupération et la stocker en lieu sûr
4. Installer les extensions navigateur et applications mobiles, se connecter
5. Importer les mots de passe existants depuis le navigateur (Chrome, Firefox, Edge) — le gestionnaire propose toujours un import automatique

Puis, progressivement (sur 1-2 mois) :

• Identifier les comptes prioritaires : email principal, banque, cloud, comptes professionnels critiques
• Pour chacun : générer un mot de passe unique fort via le gestionnaire et le mettre à jour sur le service
• Activer la MFA sur chaque compte qui le permet
• Supprimer les mots de passe stockés dans le navigateur (moins sécurisé que le gestionnaire dédié)
• Identifier et clôturer les comptes inutilisés (réduction de la surface d'attaque)