Comment choisir un gestionnaire de mots de passe fiable

Pourquoi utiliser un gestionnaire de mots de passe

La cause la plus fréquente de piratage de compte n'est pas un pirate sophistiqué — c'est le bon vieux mot de passe réutilisé. Si le même mot de passe protège votre messagerie, un réseau social et une boutique en ligne, une fuite de données chez l'un de ces services ouvre automatiquement la porte à tous les autres. Un gestionnaire de mots de passe résout ce problème simplement : il génère un mot de passe unique et complexe pour chaque site et le stocke chiffré, si bien que vous n'avez plus qu'un seul mot de passe maître à retenir.

Le critère principal : l'architecture zero-knowledge

Avant de comparer interfaces et tarifs, il faut comprendre comment fonctionne le stockage des données au sein du service. Les gestionnaires de mots de passe fiables utilisent un modèle zero-knowledge : tout le chiffrement se fait localement sur votre appareil avant que les données ne soient envoyées au serveur de l'entreprise. La clé de chiffrement est dérivée de votre mot de passe maître et n'est jamais transmise au fournisseur du service ni stockée par celui-ci — ce qui signifie que même en cas de piratage des serveurs de l'entreprise, les données volées restent un bloc inutile d'octets chiffrés.

Pour le chiffrement du coffre-fort lui-même, la norme du secteur est l'AES-256, et la clé dérivée du mot de passe maître doit passer par un algorithme résistant aux attaques par force brute, comme Argon2id ou PBKDF2 avec un nombre élevé d'itérations — exactement les algorithmes recommandés pour le stockage des secrets par l'OWASP Password Storage Cheat Sheet. Si un fournisseur ne précise pas quel algorithme il utilise, c'est une raison de se méfier.

Cinq autres critères pratiques

• Des audits indépendants. Cherchez des rapports de tests d'intrusion ou un code client open source — les affirmations complaisantes du type « nous sommes sécurisés » ne prouvent rien.
• L'authentification à deux facteurs pour le gestionnaire lui-même — un code séparé ou une clé de sécurité protège le coffre-fort même si votre mot de passe maître est repéré ou intercepté.
• L'accès multiplateforme et hors ligne. Vos mots de passe doivent s'ouvrir aussi bien sur téléphone que sur ordinateur, même sans accès à internet — sinon vous risquez de vous retrouver enfermé hors de vos propres comptes au pire moment.
• L'export des données. La possibilité d'exporter les mots de passe dans un format standard vous évite d'être prisonnier d'un fournisseur pour toujours.
• Un historique des incidents transparent. Ne vous fiez pas à l'affirmation « nous n'avons jamais été piratés » — regardez plutôt comment l'entreprise a communiqué sur les incidents survenus, et ce qu'elle a changé dans son architecture par la suite.

Le mot de passe maître — le maillon le plus faible du système

Quelle que soit la robustesse du chiffrement, tout repose sur un seul mot de passe maître. Les recommandations actuelles du NIST SP 800-63B déplacent l'accent de la complexité vers la longueur : il est conseillé aux organisations de renoncer à exiger un mélange de caractères obligatoire et des changements de mot de passe imposés à intervalles réguliers — l'accent est mis plutôt sur une longueur suffisante et sur la vérification des mots de passe par rapport à des listes de combinaisons connues comme compromises. Pour un mot de passe maître, en pratique, cela se traduit ainsi.

1. Composez une phrase de quatre ou cinq mots aléatoires, sans lien sémantique entre eux — à partir de quinze caractères, c'est bien plus difficile à casser par force brute qu'un mot de passe court agrémenté de symboles et de chiffres.
2. Ne réutilisez jamais ce mot de passe ailleurs — pas même pour un seul autre service.
3. Activez la connexion via un code provenant d'une application séparée, pas seulement le mot de passe — plus de détails dans notre article sur l'authentification à deux facteurs.
4. Conservez le code de récupération officiel hors ligne — sur papier dans un coffre, ou dans un autre gestionnaire — jamais dans un e-mail ou l'application de notes de votre téléphone.
5. Changez votre mot de passe maître non pas « par précaution, une fois par trimestre », mais lorsque vous suspectez qu'il a été compromis : une rotation forcée sans raison conduit généralement à des mots de passe plus faibles et plus prévisibles.

Une checklist rapide avant de s'inscrire

Ces points peuvent être vérifiés en quelques minutes sur le site d'un service, avant même d'y créer un coffre-fort.

• Une description publique du modèle de chiffrement existe : zero-knowledge, AES-256, et l'algorithme utilisé pour dériver la clé du mot de passe maître.
• Des rapports d'audit indépendants sont disponibles, ou le code source des applications clientes est ouvert.
• La 2FA ou une passkey est prise en charge pour se connecter au compte du gestionnaire lui-même.
• Des applications existent pour tous vos appareils, avec un mode hors ligne.
• Il existe un moyen clair d'exporter vos données dans un format standard.

Se connecter à son gestionnaire de mots de passe sur un Wi-Fi public

Accéder à son coffre-fort de mots de passe depuis un café, un aéroport ou un hôtel est une préoccupation à part. Le chiffrement propre au coffre-fort protège vos données même sur un réseau non sécurisé, mais une couche de protection supplémentaire pour la connexion elle-même réduit le risque que d'autres données circulant sur ce même réseau soient interceptées au passage — plus de détails dans notre article sur la protection de vos données sur un Wi-Fi public. Par exemple, l'application HamikVPN chiffre la connexion internet sur votre téléphone et votre ordinateur, ce qui peut s'avérer utile précisément dans ce genre de situation sur des réseaux inconnus.