Gestionnaire de mots de passe : peut-on vraiment lui confier toutes ses clés ?

Le coffre conserve des données chiffrées

Un gestionnaire de mots de passe est un logiciel qui centralise le stockage chiffré et la gestion de vos identifiants. C’est la définition de l’Agence nationale de la sécurité des systèmes d’information (ANSSI), dans son guide publié le 7 octobre 2021. Il peut être intégré au navigateur, installé comme application ou fourni par un service synchronisé. Ces architectures ne sont pas identiques; les confondre serait comme appeler « train » la locomotive, les rails et l’horaire.

Dans les conceptions documentées par Bitwarden et 1Password, consultées le 15 septembre 2026, une clé aléatoire chiffre le contenu du coffre; cette clé est elle-même protégée par d’autres clés liées au compte. Le mot de passe principal ne chiffre donc généralement pas chaque fiche directement.

Le déchiffrement se fait sur l’appareil autorisé. Tant que le coffre est verrouillé, une copie volée doit encore être déchiffrée. Une fois ouvert, le logiciel doit rendre les données utilisables à l’écran ou au navigateur. Le chiffrement protège le coffre fermé; il ne crée pas un champ de force autour d’un ordinateur compromis. Voir aussi notre rubrique Technologie.

Le secret principal est transformé en clé

Une fonction de dérivation de clé transforme un secret mémorisable en matériau cryptographique. Elle ajoute habituellement un sel — une valeur non secrète qui distingue les comptes — puis répète un calcul coûteux. Ce délai presque imperceptible pour une ouverture devient dispendieux lorsqu’un attaquant doit multiplier les essais. C’est un tourniquet de gare : un passage reste banal, une foule de tentatives se congestionne.

La documentation de Bitwarden consultée le 15 septembre 2026 propose PBKDF2 et Argon2id. Elle précise que l’augmentation du facteur de travail ralentit l’attaquant et l’utilisateur légitime. Le calcul utilise le processeur, qui dissipe de l’énergie comme l’explique notre article sur la chaleur d’un téléphone.

Cette dérivation ne transforme pas un secret prévisible en bon secret : elle renchérit chaque essai sans ajouter l’imprévisibilité absente au départ. Le livre blanc de 1Password consulté le 15 septembre 2026 décrit aussi une clé de compte aléatoire combinée au mot de passe. C’est un exemple, pas une propriété universelle.

Précision. « Un seul mot de passe pour tous les autres » est incomplet. Le secret principal ouvre un système de clés; les mots de passe enregistrés peuvent rester distincts et aléatoires. Le NIST, dans sa norme finale publiée le 31 juillet 2025, note que les gestionnaires munis d’un générateur favorisent des mots de passe plus robustes.

La synchronisation déplace un coffre encore verrouillé

Dans un service synchronisé avec chiffrement de bout en bout, le client chiffre le coffre avant son envoi et le déchiffre après son retour sur un appareil autorisé. Le serveur peut distribuer une copie chiffrée sans posséder la clé qui révèle son contenu. Bitwarden affirme ce modèle dans son livre blanc consulté le 15 septembre 2026; 1Password décrit séparément ses clés de coffre et de compte.

Cela ne signifie pas que le serveur ne sait rien. Les métadonnées conservées, les procédures de récupération, le partage et les appareils approuvés varient selon le produit. L’expression commerciale « connaissance zéro » ne remplace pas un schéma cryptographique publié. En fait, une livrée bleue ne prouve pas qu’un train est électrique. C’est de l’humour, mais aussi une règle d’évaluation.

Le remplissage automatique forme une autre couche. L’extension associe une fiche à l’adresse du site et propose les identifiants lorsque cette adresse correspond. Sur un faux domaine, l’absence de proposition peut servir d’avertissement. La norme du NIST publiée le 31 juillet 2025 demande aux vérificateurs d’autoriser les gestionnaires et le remplissage automatique; elle dit aussi explicitement que les mots de passe ne résistent pas, par eux-mêmes, à l’hameçonnage.

Le gestionnaire ne supprime pas l’hameçonnage

Le principal gain est mécanique : le logiciel peut générer un secret différent pour chaque site, le conserver et éviter de le retaper. La compromission d’un service ne révèle alors pas automatiquement le mot de passe d’un autre. C’est pourquoi l’ANSSI recommandait un coffre-fort le 7 octobre 2021 et pourquoi le NIST exige depuis le 31 juillet 2025 que les sites n’en bloquent pas l’usage.

Mais le coffre devient une cible de grande valeur. Une étude d’ETH Zurich présentée du 13 au 15 août 2025 au symposium USENIX Security a imité l’interface verrouillée de quatre extensions. Parmi 448 utilisateurs des gestionnaires étudiés, 140 ont saisi leur secret principal, soit 31,25 %. L’expérience comptait 29 809 participants au total. Ce résultat mesure un scénario institutionnel précis; il ne donne pas un taux général de victimisation.

Le piège exploite la frontière visuelle floue entre une fenêtre d’extension et le contenu contrôlé par le site. Un logiciel malveillant sur l’appareil, une extension compromise ou un secret principal divulgué posent d’autres problèmes. Le livre blanc de Bitwarden consulté le 15 septembre 2026 cite lui-même l’hameçonnage, les extensions malveillantes et les attaques du navigateur parmi les vecteurs à considérer.

Pour évaluer un système, les questions utiles portent donc sur l’endroit où le chiffrement se produit, la dérivation de clé, le comportement du remplissage, la récupération, les audits et l’exportation. Demander seulement « utilise-t-il AES-256 ? » revient à choisir un train d’après l’alliage d’un boulon : l’information est vraie, mais elle ne décrit ni le trajet ni les aiguillages.