Choisir un gestionnaire de mots de passe fiable : le guide complet

Gestionnaire de mots de passe : comment choisir un outil fiable sans se tromper ?

Vous avez probablement déjà vu la recommandation quelque part : « utilisez un gestionnaire de mots de passe ». Simple à dire. Mais quand on ouvre un comparatif, on se retrouve face à trente solutions, des promesses de chiffrement « militaire », des versions gratuites aux fonctionnalités mystérieusement limitées et des avis d’utilisateurs totalement contradictoires.

Le vrai problème n'est pas de trouver un gestionnaire. C'est d'en choisir un qui ne vous lâchera pas dans deux ans, qui ne sera pas racheté par une entreprise douteuse et dont la sécurité reposera sur des bases saines plutôt que sur un argument marketing.

Spoiler : le plus connu n'est pas le meilleur, et le plus cher non plus. J'ai testé pendant plusieurs années une bonne partie de ces outils pour un usage personnel puis pour une petite équipe, et j'ai appris à mes dépens où se cachent les pièges.

D'abord, comprendre ce que « fiable » veut vraiment dire

La plupart des gens cherchent un gestionnaire qui « protège bien leurs mots de passe ». C'est une question mal posée. La vraie question est : qui peut accéder à vos données si l'entreprise qui édite le logiciel se fait pirater ?

Un gestionnaire sérieux fonctionne sur le principe du zero-knowledge (zéro connaissance). Concrètement : vos mots de passe sont chiffrés sur votre appareil avant d'être envoyés sur les serveurs de l'entreprise. La clé de déchiffrement est dérivée de votre mot de passe principal, que l'entreprise ne connaît pas et ne stocke jamais. Si leurs serveurs sont compromis, les attaquants n'obtiennent qu'un tas de données chiffrées illisibles.

Ça paraît évident ? Eh bien non. Tous les gestionnaires ne fonctionnent pas ainsi. Certains ont connu des versions où le chiffrement était appliqué côté serveur, ce qui signifie que l'entreprise pouvait techniquement lire vos données. D'autres ont eu des failles qui ont exposé des mots de passe en clair dans les logs.

Mon premier gestionnaire, il y a des années, était un petit outil propriétaire très noté. J'ai découvert après plusieurs mois qu'il synchronisait les mots de passe via un serveur en clair pendant la synchronisation. Une horreur. Résultat : j'ai dû changer des dizaines de mots de passe et cet outil a fini au fond d'un tiroir numérique.

Vérifiez l'audit et l'ouverture du code, pas les badges rassurants

« Chiffrement AES-256 », « sécurité bancaire », « certifié ISO 27001 » — ces mentions fleurissent sur tous les sites commerciaux. Dans les faits, le chiffrement AES-256 est utilisé presque partout, même par des outils médiocres. Ce qui fait la différence, c'est la manière dont le chiffrement est implémenté — et là, une seule chose compte : l'audit indépendant du code source.

Les gestionnaires sérieux publient leurs audits de sécurité, réalisés par des cabinets externes. Ils ont aussi une politique de divulgation responsable : si un chercheur découvre une faille, l'entreprise s'engage à la corriger dans un délai raisonnable et à en informer ses utilisateurs. Ces informations se trouvent en général dans leur documentation ou leurs pages dédiées à la sécurité.

Pour les outils open source (Bitwarden, KeePass, Proton Pass), le code est consultable publiquement. N'importe quel expert peut le relire, et des milliers de développeurs le font. Ça ne garantit pas l'absence de faille, mais cela rend la découverte et la correction beaucoup plus rapides qu'avec un code fermé. Quand une faille est trouvée dans un outil propriétaire, on l'apprend parfois des mois plus tard, parfois jamais.

Les 4 critères concrets qui devraient guider votre choix

J'ai installé, testé et abandonné une douzaine de gestionnaires en quelques années. Après toutes ces heures perdues, j'ai fini par réduire mes critères à quatre questions simples.

Comment récupérez-vous votre compte si vous oubliez votre mot de passe ?

C'est LA question que personne ne pose avant de s'engager — et celle qui provoque les pires drames numériques.

La plupart des gestionnaires n'ont aucun moyen de réinitialiser votre mot de passe principal. C'est un choix de sécurité : si l'entreprise pouvait le réinitialiser, elle pourrait aussi y accéder. Mais les solutions varient énormément sur les options de récupération :

• Certains offrent des clés de récupération à générer à l'inscription, qu'il faut conserver précieusement ailleurs.
• D'autres permettent de désigner des personnes de confiance qui peuvent vous aider à retrouver l'accès après un délai.
• D'autres encore ont des options de récupération biométrique ou par appareil de confiance.
• Enfin, certains — les plus stricts — n'offrent aucune récupération. Perdu le mot de passe, perdu le coffre. Point final.

Mon conseil : testez la procédure de récupération avant de transférer tous vos identifiants. Créez un compte, générez les clés de récupération, puis simulez un accès perdu. Si la procédure est confuse ou impossible, changez d'outil. J'ai aidé un ami à récupérer un compte bancaire après qu'il a perdu l'accès à son gestionnaire — la banque a exigé des semaines de justificatifs. Il aurait préféré ne jamais avoir à passer par là.

Quel est le modèle économique de l'éditeur ?

Un gestionnaire de mots de passe coûte de l'argent à opérer : serveurs, audits, équipes de développement, support. Si l'outil est gratuit, demandez-vous qui paie la facture.

Certaines entreprises proposent un modèle freemium honnête : les particuliers ont accès à une version gratuite limitée, et les entreprises paient pour des fonctionnalités avancées. D'autres ont des modèles plus opaques. Et certains outils « gratuits à vie » ont fini par être rachetés par des entreprises dont la politique de confidentialité laissait à désirer, ou ont simplement fermé leurs portes en laissant les utilisateurs migrer en urgence.

Les options open source auto-hébergeables (comme Vaultwarden, une implémentation compatible Bitwarden) éliminent ce problème : vous hébergez vous-même votre serveur, donc personne ne peut fermer votre service.

Vérifiez aussi la stabilité de l'entreprise. Une start-up qui lève des fonds peut être rachetée du jour au lendemain et voir son modèle économique radicalement transformé. Une entreprise établie depuis des années sur ce marché précis est un pari plus sûr. Ce n'est pas glamour, mais c'est pragmatique.

Import, export et historique des mots de passe : votre liberté future

Ce critère semble secondaire jusqu'au jour où vous voulez quitter l'outil. Et vous voudrez peut-être le quitter un jour. Les bons gestionnaires permettent d'exporter facilement toutes vos données dans un format standard (CSV ou JSON). Les moins bons vous enferment avec des exports limités ou des formats propriétaires.

Vérifiez également la présence d'un historique des versions de chaque mot de passe. Si vous modifiez un identifiant et que vous vous trompez, ou si vous voulez retrouver une ancienne version, cette fonction est précieuse. Elle est absente de plusieurs outils populaires, ce qui peut rendre la vie difficile en cas d'erreur.

Enfin, un bon gestionnaire vous permet d'importer facilement vos mots de passe depuis votre navigateur ou depuis un autre gestionnaire. Si l'import est chaotique, vous risquez de repousser la migration à plus tard — et de continuer à utiliser des mots de passe réutilisés.

Le partage sécurisé, plus important que vous ne le pensez

Vous n'avez peut-être pas besoin de partager des mots de passe aujourd'hui. Mais dès que vous vivez en couple, que vous avez des enfants ou que vous gérez des comptes communs (banque, abonnements, comptes administratifs), le partage devient une fonctionnalité centrale.

Les gestionnaires proposent des mécanismes très différents :

• Certains autorisent le partage d'identifiants individuels avec un autre utilisateur du même service.
• D'autres offrent des coffres partagés au sein d'un « espace familial » ou d'une organisation.
• Les plus avancés permettent de définir des droits d'accès fins : lecture seule, modification, historique des accès.

Testez la fonction de partage avec un compte secondaire avant de vous engager. Un outil qui partage mal vous poussera à la solution dangereuse : envoyer des mots de passe par SMS ou par message non chiffré. Ne sous-estimez pas ce besoin.

Gratuit ou payant : que vaut vraiment la différence ?

La question revient systématiquement. Ma réponse depuis des années : la version gratuite des gestionnaires sérieux est largement suffisante pour un usage individuel. Les fonctionnalités de base — stockage illimité de mots de passe, générateur, synchronisation entre appareils — sont incluses dans les offres gratuites de la plupart des acteurs majeurs.

Les versions payantes ajoutent généralement :

• Le partage avancé entre utilisateurs (souvent limité ou absent en gratuit)
• Les coffres multiples (pour séparer vie personnelle et professionnelle)
• La surveillance du dark web (alertes si vos identifiants apparaissent dans des fuites)
• Les clés de sécurité matérielles (FIDO2) pour l'authentification
• Un nombre illimité d'appareils

Pour un particulier, la gratuité suffit dans la grande majorité des cas. Pour une famille ou une petite entreprise, le passage au payant devient pertinent.

Un tableau comparatif simple pour clarifier :

Fonctionnalité	Version gratuite	Version payante
Stockage de mots de passe	Illimité (chez les acteurs sérieux)	Illimité
Synchronisation multi-appareils	Incluse	Incluse
Partage avec d'autres utilisateurs	Souvent limité à quelques items	Illimité, avec droits fins
Surveillance des fuites (dark web)	Rarement incluse	Généralement incluse
Clés de sécurité matérielles (FIDO2)	Parfois absente	Incluse
Support prioritaire	Non	Oui

Le prix des versions payantes varie considérablement, d'environ 10 € à plus de 60 € par an selon les acteurs et les fonctionnalités. Ce qui coûte plus cher n'est pas nécessairement plus sécurisé : la sécurité repose sur l'architecture et l'audit, pas sur le tarif.

Les erreurs que j'ai vu faire — et que j'ai faites moi-même

J'ai accompagné des proches, des collègues et des clients dans leur migration vers un gestionnaire de mots de passe. Les mêmes erreurs reviennent à chaque fois.

Erreur n°1 : chercher un gestionnaire « pour les mots de passe forts » au lieu de chercher un outil qui élimine la réutilisation

On me demande souvent : « est-ce que cet outil va vraiment me protéger ? » La vraie valeur d'un gestionnaire n'est pas de stocker des mots de passe robustes. C'est de rendre la réutilisation impossible en pratique. Le jour où vous utilisez un gestionnaire, chaque compte peut avoir un mot de passe unique et généré aléatoirement, sans effort de mémorisation.

La principale menace n'est pas le piratage du gestionnaire lui-même — c'est la réutilisation d'un mot de passe fuité sur un site, réutilisé ailleurs. Pour mesurer l'ampleur du problème : la plupart des grandes fuites de données impliquent des identifiants en clair, et les attaquants testent immédiatement ces identifiants sur d'autres services populaires.

Erreur n°2 : sous-estimer le temps de migration — et reporter indéfiniment

C'est l'excuse n°1 : « je n'ai pas le temps de tout migrer ». Puis, trois mois plus tard, l'utilisateur est toujours avec ses mots de passe dans le navigateur, vulnérable.

Ma méthode après des années d'essais : ne migrez pas tout en une fois. Commencez par vos comptes les plus sensibles — messagerie, banque, administration, réseaux sociaux. Ensuite, au fil des connexions, ajoutez chaque site dans le gestionnaire lorsqu'il se présente. En deux à trois semaines, la majorité des comptes courants sont couverts sans effort supplémentaire.

L'import automatique depuis le navigateur accélère ce processus : la plupart des gestionnaires récupèrent les identifiants stockés dans Chrome, Firefox ou Safari en quelques clics. Mais méfiez-vous : l'import massif peut aussi importer des doublons, des anciens mots de passe ou des identifiants obsolètes. Un nettoyage rapide s'impose après l'import.

Erreur n°3 : négliger la double authentification sur le gestionnaire lui-même

Votre gestionnaire de mots de passe est la clé de voûte de votre vie numérique. S'il est compromis, tout l'édifice s'écroule. Pourtant, beaucoup d'utilisateurs n'activent pas la double authentification (2FA) sur leur coffre. C'est comme installer une porte blindée et la laisser entrouverte.

Activez la 2FA dès l'inscription. Si votre gestionnaire le prend en charge, utilisez une application d'authentification (authenticator) plutôt que le SMS, qui est vulnérable au SIM swapping. Mieux encore : si vous possédez une clé de sécurité matérielle, utilisez-la comme second facteur.

Que recommandent les autorités françaises ?

L'ANSSI (Agence nationale de la sécurité des systèmes d'information) a publié des recommandations sur les gestionnaires de mots de passe. Plutôt que de labelliser des produits précis, l'agence définit des exigences fonctionnelles et techniques : chiffrement local, zero-knowledge, authentification robuste, etc. Cette approche est plus pertinente qu'une simple liste d'outils approuvés.

En pratique, les gestionnaires open source comme Bitwarden ou KeePass répondent généralement à ces exigences, tout comme certains acteurs commerciaux reconnus. L'important est moins le nom de l'outil que sa conformité à ces principes fondamentaux. Si un outil ne peut pas vous expliquer clairement comment il gère le chiffrement et la récupération, passez votre chemin.

En fin de compte, le meilleur gestionnaire est celui que vous utiliserez vraiment

J'ai passé de longs mois à hésiter entre plusieurs solutions, à lire des comparatifs, à tester des versions d'essai. À un moment, il faut trancher. N'importe quel gestionnaire sérieux et audité — même imparfait — est infiniment supérieur à des mots de passe réutilisés ou stockés dans un navigateur.

Le critère décisif, celui que je n'ai pas vu dans les comparatifs pendant des années, est simple : l'outil doit s'intégrer naturellement à votre quotidien. Si son utilisation est pénible, vous cesserez de l'utiliser au bout de deux semaines. Si l'extension navigateur est capricieuse, vous contournerez. Si l'application mobile est lente, vous copierez les mots de passe autrement.

Franchement, la différence de sécurité entre les meilleurs gestionnaires se joue à la marge. La différence entre un bon gestionnaire et pas de gestionnaire du tout, elle, se mesure en comptes compromis et en nuits blanches à tout réinitialiser. Choisissez un outil fiable, configurez la récupération, activez la double authentification — puis passez à autre chose. Votre temps est mieux investi ailleurs que dans l'obsession de la solution parfaite.

Et si un jour vous décidez de changer, les exports standard et les imports simplifiés vous permettront de migrer sans douleur. Votre coffre numérique doit être un outil de liberté, pas une prison. C'est le test ultime : choisissez un gestionnaire que vous pourrez quitter aussi facilement que vous l'avez rejoint — c'est le signe le plus sûr de sa fiabilité.