On m'a posé la question trois fois en un mois, à des dîners différents : « mais comment tu fais pour retenir tous tes mots de passe ? » Ma réponse les déçoit toujours un peu. Je ne les retiens pas. J'en retiens un seul, et encore, je le tape rarement.
Le reste, c'est un logiciel qui s'en occupe. Pas parce que je suis un obsédé de la cybersécurité, mais parce qu'un jour de 2021 j'ai découvert que ma boîte mail pro était en vente sur un forum russe, avec le mot de passe que j'utilisais aussi pour mon compte bancaire. Le grand nettoyage a duré un week-end entier. Depuis, j'ai une méthode, et elle tient dans une phrase : un gestionnaire de mots de passe sécurisé, correctement configuré, et une seule phrase de passe à mémoriser.
Ce qui suit, c'est comment ça marche vraiment sous le capot, ce qu'on ne vous dit pas dans les comparatifs, et pourquoi j'ai changé d'avis deux fois sur l'outil que j'utilise.
Points clés à retenir
- Un gestionnaire ne « connaît » jamais vos mots de passe : tout est chiffré chez vous, avant l'envoi.
- La phrase de passe maître est le seul point de défaillance. Elle doit être longue, pas compliquée.
- Le maillon faible n'est presque jamais le site piraté, c'est votre boîte mail.
- Un gestionnaire gratuit suffit pour un particulier. Le payant apporte du confort, pas de la sécurité en plus.
- KeePass est excellent et absolument pas fait pour ceux qui ne veulent pas mettre les mains dans le cambouis.
Comment fonctionne vraiment un gestionnaire de mots de passe sécurisé
La plupart des articles expliquent qu'un gestionnaire « stocke vos mots de passe en sécurité ». C'est à la fois vrai et complètement inutile comme explication. La vraie question, c'est pourquoi le serveur du fournisseur ne peut pas lire vos identifiants, même s'il le voulait.
Le chiffrement dit « zéro connaissance », expliqué sans schéma
Quand vous créez votre coffre, le logiciel dérive une clé à partir de votre phrase de passe maître, via une fonction de hachage lente (souvent Argon2 ou PBKDF2, répétée des centaines de milliers de fois). Cette clé ne quitte jamais votre appareil. Elle sert à chiffrer chaque entrée en local, généralement en AES-256, avant l'envoi vers le serveur.
Ce qui arrive dans le cloud ressemble à un fichier de bruit blanc. Si le fournisseur se fait vider demain, l'attaquant récupère des blocs illisibles. Le fournisseur lui-même ne peut pas déchiffrer votre coffre — c'est ce qu'on appelle le modèle zéro connaissance, et c'est le seul critère qui compte vraiment quand vous choisissez un outil.
Corollaire désagréable : si vous oubliez votre phrase de passe maître, personne ne peut vous sauver. Pas de « mot de passe oublié », pas de support technique. Le coffre est perdu. C'est le prix de la sécurité réelle.
Local ou cloud : la vraie différence
Deux familles s'affrontent. Les gestionnaires en coffre local (KeePass et ses dérivés) stockent le fichier chiffré sur votre disque, à vous de le synchroniser via Dropbox ou un dossier partagé. Les gestionnaires en ligne (Bitwarden, Dashlane, 1Password, Proton Pass) hébergent le coffre chiffré et le rendent accessible partout.
J'ai vécu les deux. Le local m'a coûté deux heures de configuration, une clé de sécurité à acheter et une frayeur quand j'ai failli écraser mon fichier .kdbx en synchronisant depuis deux machines. Le cloud m'a pris quatre minutes à installer. Sécurité équivalente, effort très inégal.
| Critère | Coffre local (type KeePass) | Coffre en ligne (type Bitwarden) |
|---|---|---|
| Hébergement | Votre disque | Serveurs du fournisseur (chiffrés) |
| Synchronisation multi-appareils | À votre charge | Automatique |
| Risque de perte du coffre | Élevé si pas de sauvegarde | Faible |
| Courbe d'apprentissage | Raide | Douce |
| Coût | Gratuit | Gratuit ou quelques euros/mois |
Mon avis, et je l'assume : pour un particulier, un gestionnaire en ligne réputé et gratuit est le meilleur compromis. KeePass est un outil remarquable pour qui aime bricoler — pas pour celui qui veut juste arrêter de réutiliser « Azerty123! » partout.
Comment verrouiller les mots de passe : la configuration qui compte
Un gestionnaire mal configuré protège à peine mieux qu'un carnet. Voici les réglages que je vérifie systématiquement après une installation.
La phrase de passe maître : longue, pas compliquée
Oubliez les « P@ssw0rd!2026 » avec majuscules et symboles. Une phrase de passe de quatre ou cinq mots sans rapport entre eux — du genre « arrosoir-cactus-voiture-soleil » — résiste bien mieux à une attaque par force brute qu'un mot de passe court et biscornu. Vous la tapez une fois par jour au maximum. Prenez-en une que vous pouvez chanter.
La double authentification, obligatoire sur le coffre
Votre coffre contient toutes vos clés. C'est la cible la plus précieuse de votre vie numérique. Activez la 2FA dessus avant même de commencer à y stocker quoi que ce soit : une application d'authentification (Aegis, Authy) ou mieux, une clé physique type YubiKey. Ce n'est pas du zèle, c'est le minimum.
L'audit qui m'a fait transpirer
La première fois que j'ai importé mes identifiants depuis Chrome, l'outil m'a sorti un rapport brutal : 27 comptes partageaient la même douzaine de mots de passe. Douze ans de flemme, résumés en une page. J'ai passé une soirée à générer un mot de passe unique pour chacun, en commençant par la messagerie et la banque.
Ordre de priorité, si vous devez le faire en plusieurs fois :
- Votre boîte mail principale (voir la section suivante, c'est le compte le plus critique).
- Vos comptes bancaires et administratifs.
- Les réseaux sociaux.
- Tout le reste — forums, boutiques, newsletters.
Quels sont les inconvénients de KeePass ?
KeePass est gratuit, open source, audité, et il chiffre localement. Sur le papier, c'est l'outil idéal. Ses inconvénients, dans la vraie vie, sont ailleurs.
Le premier est l'absence de synchronisation native. Votre fichier de coffre doit voyager entre vos appareils par vos propres moyens — Dropbox, Nextcloud, clé USB. Et si deux appareils modifient le fichier en même temps, c'est le conflit, et parfois la perte des dernières entrées. Je l'ai vécu, j'ai récupéré une version antérieure, j'ai perdu une heure.
Le deuxième est la configuration des plugins. Il faut installer et paramétrer soi-même les extensions de navigateur, choisir une clé de sécurité, décider où stocker le fichier. Un utilisateur qui ne sait pas ce qu'est une archive .kdbx n'ira pas au bout. Ce n'est pas un défaut de conception — c'est un choix philosophique. Mais ça exclut la majorité des gens.
Troisième inconvénient, plus discret : l'application mobile officielle est austère, et les dérivés (KeePassXC, KeePassDX) n'ont pas tous la même ergonomie. On s'y habitue, mais on ne prend pas de plaisir.
En résumé, KeePass est excellent pour un profil technique qui veut tout contrôler. Pour tout le reste, un gestionnaire hébergé reste plus sûr dans la pratique — parce qu'un outil qu'on n'utilise pas ne protège rien.
Quel élément piraté permet au pirate d'accéder à tous mes comptes ?
La réponse tient en un mot : votre adresse e-mail. Pas votre mot de passe, pas votre ordinateur. Votre boîte mail.
Le scénario est toujours le même. Un site mal protégé fuit votre adresse et un vieux mot de passe. L'attaquant tente ce couple identifiant/mot de passe sur les grands services — Gmail, Outlook, réseaux sociaux. Ça s'appelle le credential stuffing, et ça marche parce que les gens réutilisent leurs mots de passe.
Une fois dans votre messagerie, la partie est finie. Il clique sur « mot de passe oublié » sur vos autres comptes, reçoit le lien de réinitialisation dans votre boîte, et change le mot de passe. Il verrouille même votre compte en modifiant l'adresse de secours. Tout le reste tombe comme des dominos.
C'est pour cette raison que j'ai mis un mot de passe unique de 60 caractères sur ma boîte principale, protégée par une clé physique. Si ce compte tombe, tout tombe. Traitez-le comme la clé de votre maison, pas comme un compte de newsletter.
Comment sécuriser l'accès à mon ordinateur ?
Le meilleur coffre du monde ne sert à rien si quelqu'un s'assoit devant votre session ouverte. Trois strates, du plus simple au plus solide.
Le verrouillage automatique, jamais négocié
Configurez un verrouillage après quelques minutes d'inactivité — cinq suffisent. Et prenez l'habitude de faire Win+L (Windows) ou Ctrl+Cmd+Q (macOS) chaque fois que vous quittez le poste, même pour aller chercher un café. Ça paraît bête. C'est la mesure la plus efficace du lot.
Un mot de passe de session distinct
Le mot de passe de votre ordinateur ne doit pas être le même que celui de votre gestionnaire, ni de votre boîte mail. Idéalement, activez la reconnaissance biométrique (empreinte, Windows Hello) pour déverrouiller le coffre — c'est plus rapide et plus sûr qu'un mot de passe tapé devant témoin.
Le chiffrement du disque
Si on vous vole le portable, un disque non chiffré se lit en quelques minutes avec un câble adapté. FileVault sur macOS, BitLocker sur Windows, LUKS sur Linux : activez-le, c'est un clic. Sans ça, toutes les protections logicielles s'évaporent dès que la machine change de mains.
Gestionnaire gratuit ou payant : ce que je recommande
La version gratuite de Bitwarden me suffit depuis des années, avec plus de 200 identifiants stockés, la synchronisation sur trois appareils et le partage d'entrées en famille. Je n'ai jamais eu besoin de payer — et payer n'aurait rien ajouté à ma sécurité, seulement du confort (rapports avancés, stockage de fichiers, alertes de fuite).
Ceux qui paient le font souvent pour deux raisons valables : le partage familial (plusieurs coffres reliés), ou l'intégration d'un VPN et d'un moniteur de fuite dans le même abonnement. Si vous êtes seul et que vous voulez juste arrêter de réutiliser vos mots de passe, le gratuit fait le travail.
Une chose à éviter absolument, en revanche : le gestionnaire intégré au navigateur. Chrome et Firefox proposent de mémoriser vos mots de passe, c'est pratique, c'est gratuit, mais ils ne sont pas protégés par une phrase de passe maître dédiée. Un malware qui tourne sur la machine peut y accéder. Le gestionnaire du navigateur est un filet de sécurité acceptable en l'absence de mieux, pas une solution.
Sur les gestionnaires français, le paysage bouge vite. Proton Pass, développé en Suisse voisine, propose une offre gratuite solide et un chiffrement de bout en bout. Côté ANSSI, méfiez-vous des certifications affichées : l'agence publie des recommandations, pas un label commercial que n'importe quel éditeur pourrait arborer. Vérifiez toujours la source avant de faire confiance à une mention « certifié ».
Ce qui reste, une fois tout ça posé, c'est une phrase que je répète à chaque fois qu'on me pose la question : le meilleur gestionnaire de mots de passe, c'est celui que vous utilisez vraiment. Un coffre parfaitement sécurisé mais abandonné après trois semaines n'a jamais protégé personne. Et si vous ne devez changer qu'une chose cette semaine, changez le mot de passe de votre boîte mail.
