Gestionnaire de mots de passe : choisir et déployer

Un gestionnaire de mots de passe remplace votre mémoire et les mots de passe enregistrés du navigateur par un coffre chiffré, ouvert par un seul mot de passe maître et une seconde preuve d’identité. Le choix se joue sur trois points : le chiffrement côté client, l’auditabilité du code et la réversibilité des données. Le déploiement, lui, commence par un inventaire.

L’ANSSI range le coffre-fort de mots de passe parmi ses recommandations depuis son guide « Recommandations relatives à l’authentification multifacteur et aux mots de passe », publié le 8 octobre 2021. Reste le plus difficile : choisir la famille d’outil adaptée, puis la déployer sans que l’équipe contourne la règle dès la première semaine.

Pourquoi la mémoire et le navigateur ne suffisent plus

Votre mémoire retient trois ou quatre secrets solides, pas quarante. La suite est toujours la même : un mot de passe racine, décliné avec un chiffre ou une majuscule selon le service. Cette réutilisation transforme la moindre fuite chez un prestataire en trousseau de clés pour tout le reste de votre vie numérique.

Les attaquants ont industrialisé cette faiblesse. Le bourrage d’identifiants rejoue automatiquement, sur des centaines de sites, les couples adresse et mot de passe extraits d’anciennes fuites. Aucun déchiffrement, aucune force brute : un robot teste simplement ce qui a déjà fonctionné ailleurs. Cybermalveillance.gouv.fr en tire une règle sans nuance : utiliser un mot de passe différent pour chaque service.

Le navigateur, lui, propose depuis longtemps d’enregistrer vos identifiants. Cette solution dépanne, et elle vaut mieux qu’un tableur posé sur un partage réseau. Ses limites apparaissent dès que le compte sort du cadre strictement personnel :

• Les mots de passe enregistrés suivent la session : une session ouverte et laissée sans surveillance les expose
• Le partage entre collègues se fait par copier-coller, sans trace, sans durée de vie, sans révocation
• L’export en clair reste accessible en quelques clics depuis les réglages, pour vous comme pour un intrus
• La couverture s’arrête aux formulaires web, alors que vos secrets vivent aussi dans des applications et des consoles d’administration

Résultat ? Le magasin du navigateur tient un usage personnel sur un appareil verrouillé. Il ne tient ni la revue annuelle des accès, ni le départ d’un collaborateur, ni la séparation entre comptes privés et comptes professionnels.

Ce que recommandent la CNIL et l’ANSSI

La CNIL a fixé sa doctrine dans sa délibération n° 2022-100 du 21 juillet 2022. Elle raisonne en entropie, autrement dit en imprévisibilité, plutôt qu’en catalogue de caractères obligatoires. Pour un mot de passe employé seul, sans mesure complémentaire, elle vise 80 bits d’entropie.

Trois politiques équivalentes atteignent ce niveau, d’après la CNIL (2022) :

• douze caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux
• quatorze caractères mêlant majuscules, minuscules et chiffres
• une phrase de passe d’au moins sept mots

Deux inflexions méritent votre attention. La CNIL abandonne l’obligation de renouvellement périodique pour les comptes utilisateurs ordinaires et la réserve aux comptes à privilèges, administrateurs ou titulaires de droits étendus. Elle demande aussi qu’un service ne conserve jamais un mot de passe en clair, mais une empreinte calculée avec une fonction lente et un sel, scrypt ou Argon2 par exemple.

L’ANSSI, dans le guide cité plus haut, liste l’usage d’un coffre-fort de mots de passe parmi ses recommandations principales et demande d’adapter la robustesse d’un mot de passe à son contexte d’utilisation. Le même document privilégie l’authentification multifacteur et, parmi les facteurs disponibles, ceux qui reposent sur la possession d’un objet.

Cybermalveillance.gouv.fr complète pour le grand public : douze signes au minimum, un secret différent par service, double authentification activée partout où elle existe, ni pense-bête ni fichier non protégé. Les trois sources convergent vers le même outil, sans jamais prescrire une marque.

Comment fonctionne un gestionnaire de mots de passe

Un coffre n’est pas un carnet numérique verrouillé par un code. C’est un fichier chiffré dont la clé n’est stockée nulle part, ni sur votre machine, ni chez le fournisseur.

Tout part du mot de passe maître. Il sert à recalculer la clé à chaque ouverture, jamais à déverrouiller un secret conservé quelque part. Cette dérivation de clé passe par une fonction volontairement lente, appliquée un grand nombre de fois avec un sel unique, ce qui rend les essais massifs coûteux pour un attaquant qui aurait mis la main sur le fichier.

Le déverrouillage se déroule en quatre temps :

• vous saisissez le mot de passe maître sur votre appareil
• la fonction de dérivation reconstruit la clé de chiffrement en local
• le coffre est déchiffré en mémoire vive, pour la durée de la session
• l’application ou l’extension remplit le formulaire demandé, puis reverrouille

Le point décisif porte un nom : chiffrement côté client. Les données sont chiffrées sur votre appareil avant tout envoi. Le serveur du fournisseur ne reçoit qu’un bloc illisible qu’il stocke et réplique sans pouvoir l’ouvrir, faute de posséder la clé. Cette architecture à connaissance nulle limite les dégâts d’une compromission du service : les attaquants repartent avec du chiffré.

La synchronisation devient alors un simple transport. Le coffre voyage chiffré entre vos appareils, et le réseau traversé ne change rien à sa confidentialité, contrairement au trafic web ordinaire qu’un VPN protège en déplacement.

Où sont stockés vos secrets, concrètement ? Dans une copie locale chiffrée sur chaque appareil, plus une copie chiffrée chez le fournisseur si vous activez la synchronisation. Côté service en ligne, rien de comparable : un site correctement conçu ne détient que l’empreinte de votre mot de passe, jamais sa valeur, comme le rappelle la CNIL (2022).

Quatre familles de coffres, quatre compromis

Les solutions se rangent en quatre catégories. Chacune répond à un besoin distinct, et les mélanger dans une même équipe produit plus de désordre que de sécurité.

Le coffre intégré au navigateur ou au système

C’est le point d’entrée par défaut : navigateurs et systèmes mobiles embarquent un magasin d’identifiants, adossé au compte de l’appareil. Sa force tient à l’absence totale de friction, avec remplissage natif et enregistrement automatique. Ses limites : un seul écosystème, un partage rudimentaire ou inexistant, aucune gouvernance côté organisation. Pour des comptes personnels sur un appareil verrouillé, il rend service. Pour des accès professionnels partagés, il montre vite ses murs.

L’application dédiée synchronisée en nuage

Le format le plus répandu : une application sur chaque appareil, une extension de navigateur, un coffre chiffré répliqué par le fournisseur. Vous y gagnez la disponibilité partout, un générateur de secrets, des alertes en cas de fuite connue et un partage encadré. La contrepartie : le fournisseur concentre les coffres de millions d’utilisateurs, ce qui fait de l’audit publié et du modèle de chiffrement les deux questions à poser avant de s’engager.

Le coffre local ou auto-hébergé

Un fichier de coffre gardé sur votre poste ou sur un serveur que vous administrez, synchronisé par vos propres moyens. Vous gardez la maîtrise complète, sans dépendance à un tiers, et certains coffres locaux libres sont certifiés par l’ANSSI, comme le signale Cybermalveillance.gouv.fr. En échange, la sauvegarde, la synchronisation entre appareils et les mises à jour reposent entièrement sur vous. Un coffre local perdu sans copie est perdu pour de bon.

Le coffre d’entreprise avec rôles et partage

La même mécanique, augmentée d’une console d’administration : annuaire des utilisateurs, groupes, coffres partagés par équipe, politique de mot de passe maître, journalisation des accès, révocation immédiate. La gouvernance devient enfin possible. La limite est organisationnelle : ce niveau suppose un référent désigné, une procédure de récupération écrite et une revue régulière, sans quoi la console ajoute de la complexité sans rien verrouiller.

Un repère pour trancher rapidement :

• usage strictement personnel sur un seul écosystème : le magasin intégré suffit souvent
• plusieurs appareils et plusieurs systèmes, avec du partage familial ponctuel : l’application dédiée
• exigence de souveraineté ou goût prononcé pour l’autonomie : le coffre local ou auto-hébergé
• comptes partagés, arrivées et départs à gérer : le coffre d’entreprise, sans hésitation

Les critères qui départagent deux coffres

Deux produits de la même famille ne se valent pas. Six critères tranchent, et le premier pèse plus que les cinq autres réunis :

• audit de sécurité publié, récent, avec un rapport lisible et des correctifs documentés
• code ouvert à l’examen, qui autorise la vérification sans la garantir à lui seul
• partage intégré, par coffre ou par élément, avec révocation immédiate
• accès d’urgence désignant une personne de confiance après un délai de carence
• prise en charge des clés d’accès (passkeys) et des codes temporaires TOTP
• export dans un format lisible, pour quitter l’outil sans tout ressaisir

Les clés d’accès changent la donne à moyen terme. L’alliance FIDO les définit comme des identifiants fondés sur la cryptographie à clé publique, résistants à l’hameçonnage, synchronisés de manière chiffrée de bout en bout entre les appareils d’un même fournisseur. Un coffre qui les stocke aujourd’hui vous évitera une seconde migration demain.

Les codes temporaires posent une question de doctrine. Ranger vos secrets TOTP dans le coffre qui contient déjà les mots de passe réunit les deux facteurs au même endroit : le confort augmente, la valeur du second facteur diminue. Pour les comptes sensibles, gardez le second facteur ailleurs, sur un appareil ou une clé physique dédiée, selon la logique détaillée dans le guide sur le déploiement de l’authentification multifacteur.

Dernier critère, le plus négligé : la sortie. Testez l’export avant d’avoir besoin de migrer, vérifiez que le fichier contient bien les champs personnalisés et les notes, puis chiffrez-le et rangez-le hors ligne. Un export chiffré vérifié une fois par an vaut toutes les promesses de disponibilité.

Déployer un gestionnaire de mots de passe en équipe

Inventorier avant de migrer

Listez les services, les comptes et leurs détenteurs réels, y compris les comptes créés par un stagiaire parti depuis deux ans. Repérez trois catégories : les comptes nominatifs, les comptes partagés par une équipe et les comptes de service utilisés par des scripts. Classez ensuite par criticité, de la messagerie aux abonnements secondaires. Cet inventaire dure une demi-journée et conditionne tout le reste.

Migrer par vagues, jamais en une nuit

Importez les mots de passe enregistrés des navigateurs, puis désactivez l’enregistrement et purgez les magasins pour éviter les doublons contradictoires. Régénérez d’abord les secrets critiques, la messagerie en tête, avant les comptes secondaires. Une migration étalée sur quelques semaines tient mieux qu’un grand soir qui finit en tickets de support.

Organiser des coffres partagés par service

Un coffre par fonction, jamais un compte commun avec un mot de passe unique : comptabilité, communication, outils techniques. Chaque personne garde un accès nominatif au coffre partagé, ce qui rend la révocation possible sans casser le travail des autres. Les secrets d’administration, clés privées et comptes de service, méritent un coffre séparé à accès restreint, en cohérence avec le durcissement d’un serveur SSH et ses clés d’authentification.

Traiter les arrivées, les départs et la récupération

À l’arrivée, créez le compte nominatif, exigez un second facteur sur le coffre lui-même, ouvrez les coffres partagés utiles et rien de plus. Au départ, révoquez l’accès le jour même, puis renouvelez les secrets partagés auxquels la personne accédait. La procédure de récupération s’écrit à froid : clé de récupération imprimée, rangée en lieu sûr, détenue par deux personnes distinctes. Ces gestes prolongent les mesures décrites dans le guide pour protéger une entreprise des cybermenaces.

Les erreurs qui vident un coffre, et la première action

Cinq fautes reviennent dans presque tous les déploiements ratés :

• coffre protégé par le seul mot de passe maître, sans second facteur activé
• mot de passe maître court, ou pire, déjà utilisé sur un autre service
• partage des secrets par courriel, messagerie instantanée ou document partagé
• aucune sauvegarde du coffre et aucun test de restauration depuis l’installation
• magasins de navigateurs laissés actifs après la migration, avec des valeurs périmées

La sixième erreur est plus subtile : traiter le coffre comme un projet informatique au lieu d’un changement d’habitude. Un collaborateur qui ne comprend pas pourquoi son mot de passe racine pose problème continuera de l’utiliser, quel que soit l’outil déployé. Dix minutes d’explication sur le bourrage d’identifiants font plus qu’une politique de sécurité de vingt pages.

Prochaine étape : ouvrez la liste des identifiants enregistrés dans votre navigateur et repérez ceux qui reviennent à l’identique sur plusieurs services. Commencez par la messagerie principale, puisque Cybermalveillance.gouv.fr rappelle qu’elle commande la réinitialisation de tous les autres comptes. Un secret long et unique, un second facteur, puis le reste par vagues de dix comptes.