Vous avez probablement déjà vu ce message : « mot de passe oublié ? ». Et vous avez probablement fait comme tout le monde. Vous avez cliqué, vous avez créé un nouveau mot de passe, vous l'avez noté quelque part — un carnet, un fichier Excel, un Post-it collé sous le clavier — et vous êtes passé à autre chose.
Le problème, c'est que ce petit manège recommence tous les six mois. Et à force, on finit par réutiliser le même mot de passe partout. Moi le premier. Pendant des années, j'avais trois mots de passe qui tournaient en boucle, avec des variantes ridicules : un « ! » à la fin pour les sites bancaires, un « 2 » pour les autres. Je me sentais futé. Je ne l'étais pas.
Ce qui m'a fait basculer, ce n'est pas une grande prise de conscience. C'est un mail d'un service que j'utilisais à peine, m'informant qu'une fuite avait exposé mon adresse et mon mot de passe. Le mot de passe en question, je l'utilisais aussi sur ma messagerie principale. J'ai passé une soirée entière à changer des identifiants sur une quinzaine de sites. Je ne recommencerai pas.
Points clés à retenir
- Un gestionnaire de mots de passe mémorise vos identifiants à votre place : vous n'en retenez qu'un seul, le mot de passe maître.
- Il génère des mots de passe longs et uniques pour chaque site, ce qui casse la mécanique de la réutilisation.
- Les gestionnaires intégrés aux navigateurs (Chrome, Android via Google) sont pratiques mais moins cloisonnés qu'un outil dédié.
- Le vrai risque n'est pas le mot de passe faible isolé, c'est le même mot de passe répété sur des dizaines de services.
- La migration demande une heure bien investie : on importe, on change les comptes sensibles en priorité, on active la double authentification.
- Le point faible d'un bon gestionnaire reste souvent… vous, et votre mot de passe maître.
Gérer ses mots de passe avec un gestionnaire : pourquoi ça change tout
Un gestionnaire de mots de passe, c'est un coffre-fort chiffré. Vous y rangez tous vos identifiants. Vous n'en retenez qu'un seul, celui qui ouvre le coffre. Le reste, c'est lui qui s'en occupe.
Ce qui surprend quand on y passe vraiment, c'est le changement de rapport à la connexion. On arrête de réfléchir. On clique, ça remplit, on est connecté. Et là, un truc bizarre se produit : on commence à créer des comptes sur des sites qu'on évitait avant, parce que « ça allait encore faire un mot de passe de plus ».
Ce que fait vraiment un gestionnaire, au-delà du stockage
Beaucoup imaginent un simple carnet électronique. C'est plus que ça. Un gestionnaire correct fait trois choses que vous ne ferez jamais à la main correctement :
- Il génère des mots de passe de 16 à 20 caractères, aléatoires, différents pour chaque service.
- Il les remplit automatiquement sur le bon domaine — et refuse de le faire sur un faux site qui imite votre banque.
- Il vous alerte quand un identifiant réapparaît dans une fuite connue.
Le troisième point est celui que j'ai le plus sous-estimé. Recevoir un « ce mot de passe est apparu dans une fuite, changez-le » est désagréable. Mais c'est infiniment mieux que de l'apprendre six mois plus tard, quand votre compte est déjà vidé.
Le vrai problème n'est pas le mot de passe faible
On répète partout qu'il faut des mots de passe « forts ». C'est à moitié faux. Un mot de passe fort mais réutilisé reste une passoire. Le jour où le site le plus mal sécurisé de votre liste se fait pirater, le mot de passe tombe, et il ouvre la porte à tous les autres.
Un gestionnaire attaque ce problème à la racine. Chaque site reçoit son propre mot de passe. Si l'un tombe, les autres sont intacts. C'est bête, mais c'est exactement ce qu'aucun humain ne fait spontanément au-delà de cinq comptes.
Gestionnaire des mots de passe enregistrés : le navigateur suffit-il ?
Franchement, pour beaucoup de gens, oui. J'ai commencé par là moi aussi. Chrome propose d'enregistrer, de remplir, de synchroniser. C'est gratuit, ça marche, et ça ne demande aucune installation.
Le problème, c'est ce que ça implique. Quand vous laissez Chrome stocker vos mots de passe, ils sont liés à votre compte Google. Concrètement : si quelqu'un accède à votre session Google, il accède à tout le reste. Votre messagerie, vos documents, et le trousseau de clés qui va avec.
Voir mes mots de passe enregistrés dans Chrome : où et comment
Pour consulter ce que le navigateur a stocké, c'est simple. Dans Chrome, ouvrez les paramètres, section « Remplissage automatique », puis « Gestionnaire de mots de passe ». Vous y verrez la liste complète des identifiants enregistrés, avec le nom du site, l'identifiant et le mot de passe masqué.
Un clic sur l'œil affiche le mot de passe — après vérification de votre identité système. Sur Android, la logique est la même : les identifiants enregistrés via Google transitent par le même compte et se synchronisent entre votre téléphone et votre ordinateur.
Deux choses à vérifier dans cette liste, et elles m'ont surpris la première fois :
- Les identifiants vieux de plusieurs années, sur des sites que vous n'utilisez plus. Ils traînent, et parfois le site existe encore.
- Les doublons. Chrome enregistre parfois plusieurs entrées pour un même domaine, avec des mots de passe différents. Vous ne saurez jamais lequel est le bon sans tester.
Les limites du gestionnaire intégré
Ce qui manque à un gestionnaire de navigateur, ce n'est pas la sécurité de base. C'est le cloisonnement. Un compte Google compromis, et tout tombe d'un coup. Un outil dédié ajoute une couche : même si votre navigateur est piraté, le coffre reste fermé.
Il y a aussi la question du partage. Un gestionnaire de navigateur ne sait pas partager un identifiant avec quelqu'un d'autre. Pour un usage familial ou une petite équipe, c'est vite bloquant.
Gestionnaire de mots de passe gratuit : ce qu'on obtient vraiment
La plupart des outils sérieux proposent une version gratuite. Elle suffit largement pour un usage personnel. Voici ce que j'ai observé en comparant celles que j'ai testées sur mon propre usage.
| Type de solution | Gratuit | Points forts | Limites |
|---|---|---|---|
| Gestionnaire de navigateur (Chrome, Android/Google) | Oui, sans limite | Zéro installation, synchronisation immédiate | Lié au compte principal, pas de partage, cloisonnement faible |
| Gestionnaire dédié, version gratuite | Oui, appareil unique | Chiffrement de bout en bout, générateur, alertes de fuite | Synchronisation multi-appareils souvent payante |
| Gestionnaire dédié, version payante | Non | Synchronisation illimitée, partage, support | Abonnement annuel, quelques dizaines d'euros |
Le point qui coince le plus souvent, c'est la synchronisation. Beaucoup de versions gratuites ne synchronisent qu'un seul appareil. Si vous avez un téléphone et un ordinateur, ça devient vite pénible.
Comment choisir sans se tromper
La question du « meilleur » gestionnaire est sans réponse, parce qu'elle dépend de trois critères qui n'ont rien à voir avec les comparatifs habituels :
- Où sont hébergées vos données, et sous quelle juridiction. Cloud américain, cloud européen, ou stockage local chez vous.
- Le chiffrement : ce qui compte, c'est que vos données soient illisibles pour l'éditeur lui-même. Si l'éditeur peut les voir, elles peuvent fuiter.
- Le modèle de sauvegarde. Un coffre unique sans sauvegarde, c'est un point de défaillance unique. Beaucoup de gestionnaires proposent un export chiffré — gardez-en une copie quelque part.
Mon avis, tranché : si vous n'avez qu'un appareil et un usage très simple, le gestionnaire du navigateur suffit. Dès que vous avez un téléphone, un ordi et un compte bancaire dans le lot, passez à un outil dédié. La différence de cloisonnement vaut les quelques euros par an.
Migrer ses mots de passe existants sans tout casser
La partie que tout le monde redoute, et c'est justifié. Vous avez des identifiants dispersés entre le navigateur, un fichier, un carnet, et votre mémoire. Il faut tout rapatrier.
Ce qui m'a pris le plus de temps, ce n'est pas l'import — c'est de décider quels comptes changeaient en priorité. Parce que tout changer d'un coup, c'est le meilleur moyen de se retrouver bloqué, avec un compte important verrouillé et aucun moyen de récupérer.
L'ordre dans lequel j'ai procédé
- La messagerie principale. C'est la clé de tout le reste : la plupart des réinitialisations de mot de passe passent par elle.
- Les comptes bancaires et de paiement.
- Les réseaux sociaux et tout ce qui contient des données personnelles identifiables.
- Le reste. Les forums, les boutiques, les newsletters.
La double authentification, ensuite. Elle ne remplace pas un bon mot de passe, mais elle ajoute un obstacle qui décourage la grande majorité des tentatives automatisées. Activez-la au minimum sur la messagerie et la banque.
Reprendre le contrôle d'un compte déjà compromis
Si un de vos comptes a déjà été touché, l'ordre change. On change le mot de passe, on révoque les sessions actives, on vérifie les adresses de récupération et les règles de transfert automatique. Ces deux derniers points sont souvent oubliés, et c'est précisément ce que les attaquants exploitent pour garder un accès discret.
Avouons-le : je ne l'ai pas fait la première fois. J'ai changé le mot de passe, satisfait, et j'ai découvert trois semaines plus tard qu'une redirection silencieuse envoyait toujours une copie de mes mails ailleurs. Une heure de vérification en plus aurait évité ça.
Les risques réels d'un gestionnaire (et pourquoi vous restez le maillon faible)
Un gestionnaire n'est pas magique. Il a ses points de fragilité, et les ignorer serait une erreur.
Premier point : l'auto-remplissage. Un site qui imite parfaitement votre banque peut vous inciter à y saisir vos identifiants si vous ne faites pas attention. Les bons gestionnaires vérifient le domaine et refusent de remplir sur un site qui ne correspond pas. Encore faut-il que vous ne validiez pas à la main.
Deuxième point : le mot de passe maître. C'est la clé de votre coffre. S'il est faible, ou pire, réutilisé ailleurs, tout le bénéfice s'effondre. La bonne pratique : une phrase de passe longue, mémorisable, unique, et jamais utilisée sur un autre site.
Troisième point : la dépendance. Si vous perdez l'accès à votre coffre, vous perdez tout. D'où l'importance d'un plan de secours : codes de récupération imprimés et rangés ailleurs, export chiffré conservé hors ligne.
Le plan de secours que personne ne met en place
Il tient en trois éléments, et il m'a fallu une frayeur pour m'y mettre :
- Les codes de récupération du gestionnaire, sur papier, rangés dans un endroit physique distinct de votre ordinateur.
- Un export chiffré du coffre, mis à jour une fois par an.
- Le mot de passe maître noté… nulle part. Ou alors dans un endroit dont vous êtes le seul à connaître l'existence et l'usage.
Ce dernier point est inconfortable. C'est normal. Un plan de secours qui ne demande aucun effort de mémoire est un plan que n'importe qui peut exploiter.
Ce qui reste après la bascule
La bascule vers un gestionnaire ne rend pas plus prudent. Elle rend simplement la chose suivante impossible : réutiliser le même mot de passe partout.
Et c'est déjà énorme. La majorité des incidents que je vois autour de moi ne viennent pas d'un génie du piratage, mais d'un identifiant répété sur quinze sites, dont un seul était mal protégé. Un gestionnaire ferme cette porte-là. Pas toutes, mais celle-là.
La vraie question n'est pas de savoir quel outil est le meilleur. C'est de savoir combien de vos comptes partagent encore le même mot de passe en ce moment. Si la réponse vous met mal à l'aise, vous savez par où commencer ce soir.
