Thinking Thinking

Answer

Les gestionnaires de mots de passe sont-ils sûrs?

Oui, et la réponse honnête nomme les menaces qu'ils ne couvrent pas: logiciel malveillant sur l'appareil, hameçonnage que vous saisissez, vol de session et perte du mot de passe maître.

Par Thinking Desk Mis à jour le 3 min de lecture

L'essentiel

  • Un gestionnaire réputable est assez sûr, et plus sûr que la réutilisation, une note sur téléphone ou un tableur partagé.
  • Il protège contre la réutilisation, les mots de passe faibles et une compromission chez l'éditeur, car le coffre est chiffré sur votre appareil avant l'envoi.
  • Il ne protège pas contre un logiciel malveillant sur votre machine, des identifiants collés dans une page d'hameçonnage, un cookie de session volé, ou la perte de votre mot de passe maître.
  • Les coffres LastPass ont été copiés depuis une sauvegarde serveur en 2022, d'où l'importance de la dérivation de clé et des métadonnées non chiffrées.
  • Les passkeys sont la seule amélioration qui retire l'hameçonnage de l'équation, car ils sont liés à l'origine du site.
Sur cette page
  1. Réponse courte
  2. Contre quoi il protège
  3. Ce que la fuite LastPass a prouvé
  4. Contre quoi il ne protège pas
  5. Comment en utiliser un en sécurité

Réponse courte

Oui, un gestionnaire de mots de passe réputable est assez sûr, et plus sûr que tout ce que vous utiliseriez réalistement à sa place. La version honnête a une frontière. Il protège un secret stocké contre une compromission de l'éditeur et contre la réutilisation de mots de passe.

Il ne vous protège pas contre un logiciel malveillant sur votre machine, contre une page d'hameçonnage dans laquelle vous tapez, contre un cookie de session volé, ni contre la perte de votre mot de passe maître.

Contre quoi il protège

La réutilisation, l'attaque qui vide réellement les comptes: une liste fuitée rejouée contre cent sites. Un gestionnaire rend chaque mot de passe unique, une fuite reste donc un seul problème.

Les mots de passe faibles, car une chaîne générée de 20 caractères ne se devine pas.

Et une compromission chez l'éditeur, si la conception est zero-knowledge. Votre coffre est chiffré sur votre appareil avant l'envoi, l'éditeur stocke un chiffre qu'il ne peut pas lire. La durée de résistance de ce chiffre dépend de la dérivation de clé: Bitwarden utilise par défaut PBKDF2-SHA256 à 600 000 itérations ou Argon2id à 32 MiB, Keeper PBKDF2 à 1 000 000 d'itérations, et 1Password ajoute une Secret Key de 128 bits qui ne quitte jamais vos appareils, ce qui laisse une base volée sans rien à attaquer hors ligne.

Chaque jeudi matin, heure d'Europe centrale.

Le briefing Thinking

Un courriel par semaine : ce qui a changé dans le logiciel professionnel européen, quels prix ont bougé et quel comparatif nous avons publié. Aucun courrier commercial.

Nous conservons votre adresse pour envoyer le briefing. Un clic suffit pour vous désabonner, et nous ne la transmettons jamais.

Ce que la fuite LastPass a prouvé

En août 2022, des attaquants ont pris du code source et des secrets internes à un ingénieur de LastPass. Dans une seconde intrusion liée, jusqu'en octobre 2022, ils ont utilisé des clés de la machine personnelle d'un ingénieur DevOps pour copier des sauvegardes de coffres clients. Le 22 décembre 2022, LastPass a annoncé que des données de coffres avaient été copiées, y compris des champs non chiffrés comme les adresses de sites.

Cela n'a pas prouvé que les gestionnaires sont dangereux. Cela a prouvé que la menace réaliste est une copie du coffre chiffré et non un mot de passe maître deviné, que les métadonnées en clair indiquent aux attaquants quels coffres valent le calcul, et qu'un éditeur publiant des audits datés par cabinet et par année avance une affirmation vérifiable.

Contre quoi il ne protège pas

Un logiciel malveillant sur l'appareil. Du code exécute en votre nom peut lire le coffre après son déverrouillage ou capturer le mot de passe maître pendant la saisie. Rien dans un coffre n'est plus sûr que la machine qui le déverrouille.

L'hameçonnage, en partie seulement. Le remplissage ne se déclenche pas sur un domaine qui ne correspond pas, mais il ne vous empêche pas de copier un mot de passe dans une contrefaçon convaincante. Les passkeys résolvent cela, car ils sont liés à l'origine du site.

Votre propre mot de passe maître. Le zero-knowledge signifie que l'éditeur ne peut vraiment pas le récupérer. Pas de kit de secours, pas de données.

Le vol de session. La plupart des détournements modernes ne touchent jamais votre mot de passe. C'est ainsi que le locataire Okta de 1Password a été compromis en octobre 2023, via un cookie de session volé appartenant à un employé informatique, sans accès aux données utilisateurs selon son enquête.

Un éditeur que vous ne pouvez pas vérifier. Aucun audit publié, aucune dérivation de clé documentée et aucun prix lisible, c'est une demande de confiance non méritée.

Comment en utiliser un en sécurité

  1. Donnez au gestionnaire une phrase de passe longue et unique, sur papier et nulle part en numérique.
  2. Activez le deuxième facteur, clé matérielle ou passkey plutôt que SMS.
  3. Basculez e-mail, banque, registraire et cloud sur des passkeys quand c'est proposé.
  4. Configurez la récupération à l'avance, par accès d'urgence, Emergency Kit ou organisateur familial.
  5. Gardez l'appareil à jour, car le terminal est le point faible.

L'alternative à un gestionnaire n'est pas une sécurité parfaite, c'est un mot de passe réutilisé ou un tableur. Nous avons classé les produits sur les audits, l'hébergement et le prix dans les meilleurs gestionnaires de mots de passe en 2026, et les deux options les plus comparées se rencontrent dans 1Password vs Bitwarden.

Questions et réponses

Un gestionnaire de mots de passe peut-il être pirate?
L'éditeur peut être compromis, et c'est arrivé: des sauvegardes de coffres clients de LastPass ont été copiées en 2022. Dans un produit zero-knowledge l'attaquant obtient du chiffre, la question devient donc combien de temps ce chiffre résiste. Cela se décide à la dérivation de clé, par exemple 600 000 itérations PBKDF2 chez Bitwarden, 1 000 000 chez Keeper, ou la Secret Key de 128 bits de 1Password qui ne quitte jamais vos appareils.
Que se passe-t-il si j'oublie mon mot de passe maître?
Dans un vrai produit zero-knowledge, l'éditeur ne peut pas le récupérer et vos données restent illisibles. C'est pourquoi on configure la récupération avant d'en avoir besoin: l'accès d'urgence de Bitwarden avec un contact de confiance et un délai, l'Emergency Kit imprimable de 1Password, ou un organisateur familial capable de restaurer un compte.
Le gestionnaire du navigateur suffit-il?
C'est mieux que de réutiliser un mot de passe et moins bien que tout produit dédié. Les coffres de navigateur sont liés à un profil, publient rarement des audits externes datés et ne savent généralement pas partager un identifiant avec un collègue sous une règle d'accès. L'application Mots de passe d'Apple est l'exception à envisager, car c'est un stockage système avec groupes partagés.
Les passkeys remplacent-ils un gestionnaire?
Pas encore, ils changent ce qu'il stocke. Les passkeys sont liés à l'origine d'un site, donc l'hameçonnage cesse de fonctionner sur ces comptes, et c'est une vraie amélioration par rapport à tout mot de passe. Mais la plupart des services exigent encore un mot de passe, il faut donc un endroit pour les deux. Tous les grands gestionnaires stockent désormais des passkeys à côté des mots de passe.

Sources

Chaque prix et chaque fait ci-dessus a été vérifié sur ces pages à la date indiquée.

  1. [1] 2022 LastPass data breach, timeline and December 2022 disclosure consulté le 2026-11-11
  2. [2] Bitwarden KDF algorithms, PBKDF2 600,000 iterations default and Argon2id parameters consulté le 2026-11-11
  3. [3] About 1Password security, two-secret key derivation and AES-GCM-256 consulté le 2026-11-11
  4. [4] Is Bitwarden audited? Audit list by firm and year consulté le 2026-11-11
  5. [5] 1Password discloses security incident linked to Okta breach, BleepingComputer, October 2023 consulté le 2026-11-11
  6. [6] Keeper security model, PBKDF2 1,000,000 iterations and zero-knowledge architecture consulté le 2026-11-11
Sujets password-managersecuritythreat-modelpasskeys