Gérer mots de passe avec gestionnaire sécurisé : le guide anti-fuite

La scène se répète à chaque fois que je rends visite à ma mère. Elle sort un carnet à spirale, l'ouvre à une page cornée, et me lit à voix haute une suite de mots de passe écrits au stylo bleu. Le même mot de passe revient six fois. Parfois sept. Quand je lui fais remarquer, elle hausse les épaules : « C'est plus simple à retenir. »

Elle a raison sur un point : c'est simple. Et c'est exactement pour ça qu'un gestionnaire de mots de passe existe. Pas pour vous compliquer la vie, mais pour rendre le mot de passe unique et long aussi facile à utiliser que le même mot de passe partout. Le carnet, lui, ne prévient personne quand un site se fait vider.

Franchement, j'ai mis des années avant de passer le pas. Je vais vous raconter ce que j'ai appris, y compris ce qui a mal tourné.

Gérer ses mots de passe avec un gestionnaire sécurisé : ce que ça change vraiment

Un gestionnaire de mots de passe, c'est un coffre-fort numérique. Vous retenez une phrase de passe, et l'outil génère, stocke et remplit à votre place des identifiants que vous n'auriez jamais pu mémoriser : vingt-deux caractères, majuscules, symboles, aucune logique.

Le gain réel n'est pas la « sécurité » dans l'abstrait. C'est qu'un mot de passe unique par site devient enfin supportable. Le jour où un service se fait pirater, votre identifiant volé ne fonctionne nulle part ailleurs. Voilà toute la mécanique.

Ce qu'un coffre protège — et ce qu'il ne protège pas

J'ai longtemps cru qu'un gestionnaire me rendait invulnérable. Erreur de débutant. Voici le modèle de menaces, sans langue de bois :

• Il protège contre la réutilisation de mots de passe et contre le vol opportuniste sur un site tiers.
• Il protège mal contre un keylogger installé sur votre machine.
• Il ne protège pas du tout si votre appareil est déjà compromis au moment où vous déverrouillez le coffre.
• Et le mot de passe maître reste un point unique de défaillance : celui qui le devine accède à tout.

Ce dernier point mérite qu'on s'y attarde. J'ai vu des gens choisir un mot de passe maître de huit caractères parce que « c'est plus rapide à taper ». C'est comme fermer une porte blindée avec un cadenas de vélo.

Quel est le meilleur gestionnaire de mots de passe gratuit ?

La question qu'on me pose le plus souvent. Et la réponse honnête : il n'y a pas de « meilleur » universel, mais un meilleur pour votre usage. Les offres gratuites des grands acteurs couvrent largement un usage personnel — un nombre d'entrées illimité chez certains, une synchronisation multi-appareils chez d'autres.

Comparons ce qui compte vraiment quand on ne paie pas :

Outil	Offre gratuite	Synchronisation multi-appareils	Points forts
Bitwarden	Très généreuse	Oui	Open source, audité, partage limité
Proton Pass	Correcte	Oui	Alias e-mail intégrés
Gestionnaire Google	Gratuit, intégré	Oui via compte Google	Zéro friction sur Android et Chrome
KeePass	Gratuit et complet	Non natif	Local, contrôle total, export libre

Mon choix personnel s'est porté sur Bitwarden il y a quelques années, après avoir testé les autres. Pas par militantisme de l'open source — je m'en fiche un peu, honnêtement. Parce que l'offre gratuite ne m'a jamais bloqué : j'ai deux cents identifiants, et je n'ai jamais eu à payer pour synchroniser mon téléphone et mon ordinateur.

Spoiler : la plupart des gens n'ont pas besoin de la version payante. Le passage au payant se justifie surtout pour le partage sécurisé en famille ou en équipe.

Comment gérer ses mots de passe Google ?

Si vous utilisez Chrome ou un téléphone Android, vous avez déjà un gestionnaire de mots de passe sans le savoir. Google enregistre les identifiants saisis dans le navigateur et les propose à la saisie automatique.

Où retrouver la liste de vos mots de passe enregistrés

Sur le web, rendez-vous dans les paramètres de votre compte Google, section sécurité, puis « Gestionnaire de mots de passe ». Vous y verrez la liste complète, avec la possibilité de vérifier un mot de passe compromis, d'en supprimer un, ou d'en exporter l'ensemble.

Sur Android, c'est dans les paramètres du système, rubrique Google, puis gestionnaire de mots de passe. La même liste, accessible depuis le téléphone.

Avouons-le : c'est pratique. Vraiment. La saisie automatique fonctionne mieux que chez la plupart des concurrents, parce qu'elle est intégrée au système. Le revers de la médaille ? Votre coffre est lié à votre compte Google. Si vous perdez l'accès à ce compte, vous perdez l'accès au coffre. Et l'export existe, mais il n'est pas mis en avant.

Quelle est la meilleure alternative à KeePass ?

KeePass a un profil très particulier : logiciel libre, base de données chiffrée stockée en local, aucune synchronisation par défaut. Certains y voient le paradis de la confidentialité. D'autres, un casse-tête.

J'ai testé KeePass pendant trois semaines. J'ai abandonné. Pas par manque de rigueur — mais parce que synchroniser le fichier entre mon portable et mon téléphone demandait une gymnastique que je n'étais pas prêt à maintenir. Un fichier oublié de mettre à jour, et je me retrouvais avec deux versions divergentes. Total waste of time, pour mon usage.

Trois alternatives concrètes

• Bitwarden : le compromis le plus équilibré entre contrôle et simplicité.
• Proton Pass : pertinent si vous êtes déjà dans l'écosystème Proton.
• 1Password : payant, mais l'expérience utilisateur est impeccable — c'est l'argument qui revient le plus souvent chez ceux qui l'utilisent.

Et si vous tenez à KeePass pour le contrôle total ? Il existe des dérivés comme KeePassXC qui ajoutent une interface plus moderne et une intégration navigateur correcte. C'est ce que j'aurais dû essayer en premier, franchement.

Le KeePass est-il payant ?

Non. KeePass est gratuit, et le restera : c'est un logiciel libre distribué sous licence ouverte. Aucun abonnement, aucune version premium cachée.

Attention toutefois à une confusion fréquente : certains dérivés ou services qui gravitent autour de KeePass, comme des hébergements de fichiers synchronisés ou des applications mobiles tierces, peuvent être payants. Le cœur du logiciel, lui, ne l'est pas.

La migration, le vrai piège (et mes erreurs)

Changer de gestionnaire, c'est là que les ennuis commencent. J'ai fait cette bascule deux fois, et les deux fois j'ai commis la même erreur.

Quand vous exportez votre coffre, la plupart des outils produisent un fichier CSV ou JSON en clair. Tous vos mots de passe, lisibles par n'importe qui, dans un fichier posé sur votre bureau. Je l'ai laissé traîner deux jours la première fois. Deux jours. Rien ne s'est passé, mais j'y repense encore.

La procédure que j'applique désormais

1. Exportez depuis l'ancien outil vers un fichier local, sur une machine de confiance.
2. Importez immédiatement dans le nouveau gestionnaire.
3. Supprimez le fichier d'export, puis videz la corbeille.
4. Vérifiez que les identifiants critiques — banque, messagerie principale, comptes professionnels — fonctionnent bien avant de désactiver l'ancien compte.
5. Fermez l'ancien compte seulement une fois la vérification terminée.

Une erreur que j'ai faite aussi : changer le mot de passe maître en même temps que la migration. Mauvaise idée. Si quelque chose casse, vous ne savez plus si le problème vient du transfert ou du nouveau mot de passe. Une chose à la fois.

Et si le mot de passe maître est oublié ?

C'est la question qui fait peur, et elle est légitime. Un gestionnaire sérieux ne connaît pas votre mot de passe maître. Il ne peut donc pas vous le rendre. Aucune procédure de récupération, aucune assistance magique.

Ce qui existe, en revanche : une clé de récupération générée à la création du compte, à conserver hors ligne, sur papier. Et pour les cas les plus graves, le déverrouillage biométrique sur mobile, qui évite de saisir le mot de passe maître à chaque fois.

Voilà pourquoi je conseille une phrase de passe longue plutôt qu'un mot de passe court et complexe : « cheval-bleu-ardoise-42-lampe » se retient bien mieux que « Xk9#mQ2! » et résiste infiniment plus au cassage. Et écrivez cette phrase de passe sur un papier rangé chez vous. Oui, sur papier. C'est le compromis que je recommande, et je le défendrai bec et ongles.

Le carnet de ma mère, au fond, n'était pas une si mauvaise idée. Il lui manquait juste une chose : des mots de passe différents sur chaque ligne.