Décryptage · Bases de la sécurité
Les gestionnaires de mots de passe sont-ils sûrs ?
C'est la bonne question à se poser avant de confier à un seul outil les clés de toute sa vie en ligne. La réponse : oui, un gestionnaire réputé est bien plus sûr que ce que font la plupart des gens aujourd'hui, mais la fuite LastPass a montré pourquoi le choix de lequel compte. Voici comment ils fonctionnent et à quoi faire attention.
Dernière mise à jour : July 10, 2026 · Rédigé par l'équipe Privacy Intact ; voir notre méthode.
Comment un gestionnaire de mots de passe vous protège réellement
Un gestionnaire stocke tous vos identifiants dans un « coffre » chiffré. L'élément crucial, c'est le chiffrement à connaissance nulle : votre coffre est verrouillé et déverrouillé sur votre propre appareil avec votre mot de passe principal, et l'entreprise ne détient jamais que la version brouillée. Elle ne peut pas lire vos mots de passe. Et, point essentiel, un attaquant qui s'introduit dans ses serveurs ne le peut pas davantage, parce que ce qu'il volerait est illisible sans votre mot de passe principal.
Voilà tout le modèle de sécurité en une phrase : l'entreprise stocke vos données mais ne peut jamais les voir. C'est pourquoi un bon gestionnaire est digne de confiance, même s'il détient autant de choses.
« Mais un coffre unique n'est-il pas un point de défaillance unique ? »
C'est la crainte la plus répandue, et elle prend le risque à l'envers. Pour presque tout le monde, le vrai danger n'est pas un coffre cassé : c'est la réutilisation des mots de passe. Utilisez le même mot de passe à dix endroits et une seule fuite livre les dix à un attaquant. C'est ainsi que la plupart des gens se font réellement compromettre.
Tout le métier d'un gestionnaire est de tuer la réutilisation : chaque compte reçoit son propre mot de passe long et aléatoire que vous n'avez jamais à retenir. Oui, vous concentrez le risque dans un seul coffre, mais c'est un coffre doté d'un chiffrement à connaissance nulle et (avec un mot de passe principal solide) bien plus difficile à casser que les mots de passe faibles et répétés qu'il remplace. Le compromis est très largement en votre faveur.
La leçon LastPass : le choix du gestionnaire compte
Et c'est là qu'intervient la nuance importante. LastPass, longtemps un choix par défaut, a subi une fuite majeure en 2022-2023 lors de laquelle des attaquants ont volé des copies chiffrées des coffres de mots de passe de plus de 25 millions d'utilisateurs ; et, parce que de nombreux coffres anciens utilisaient des réglages de renforcement de mot de passe faibles et stockaient les adresses des sites web sans chiffrement, des chercheurs en sécurité ont depuis relié les données volées à des vols de cryptomonnaies à grande échelle. Le chiffrement a fait que les mots de passe principaux solides ont largement tenu, mais les plus faibles ont été exposés au cassage par force brute, et l'ampleur même de l'affaire a servi de signal d'alarme.
Ce qu'il faut en retenir, ce n'est pas de se méfier de tous les gestionnaires : c'est que l'ingénierie et l'historique d'un gestionnaire font partie de sa sécurité. Choisissez-en un qui utilise des réglages de chiffrement solides par défaut et qui n'a pas livré les coffres de ses utilisateurs à des attaquants. Tous nos choix passent cette barre ; LastPass est celui dont nous éloignons les gens.
Les vrais risques (et comment les neutraliser)
- Un mot de passe principal faible. Tout repose dessus. Utilisez une longue phrase secrète de plusieurs mots aléatoires, unique à votre gestionnaire, et ne l'écrivez jamais dans un courriel ou une note.
- Pas de second facteur. Activez l'authentification à deux facteurs sur votre gestionnaire, pour qu'un mot de passe principal fuité ne suffise pas à lui seul à ouvrir votre coffre.
- L'hameçonnage. Un gestionnaire ne remplit pas automatiquement sur un faux domaine, un atout discret mais précieux ; en revanche, si vous tapez manuellement votre mot de passe principal sur une fausse page convaincante, il est exposé. Ralentissez face aux messages urgents du type « connectez-vous maintenant ».
- Un appareil infecté. Le gestionnaire ne peut pas vous protéger si un logiciel malveillant épie déjà vos frappes ; c'est pourquoi l'hygiène de base de l'appareil et les mises à jour comptent toujours.
En résumé
Un gestionnaire de mots de passe réputé est l'une des améliorations à plus fort impact et au moindre effort que vous puissiez apporter à votre sécurité, et vous n'avez même pas à payer pour cela. Le seul vrai devoir, c'est d'en choisir un digne de confiance et de protéger votre mot de passe principal.
FAQ
La sécurité des gestionnaires de mots de passe, vos questions
Les gestionnaires de mots de passe sont-ils sûrs à utiliser ?
Oui : pour la grande majorité des gens, un gestionnaire de mots de passe réputé est bien plus sûr que l'alternative qui consiste à réutiliser ou à mémoriser ses mots de passe. Ils utilisent un chiffrement à connaissance nulle : l'entreprise elle-même ne peut pas lire votre coffre, et un attaquant qui pénètre ses serveurs non plus. Les données sont inutilisables sans votre mot de passe principal. Ce qu'il faut choisir avec soin, c'est lequel, en fonction de son ingénierie et de son historique.
N'est-ce pas risqué de mettre tous mes mots de passe au même endroit ?
On en a l'impression, mais c'est l'inverse qui est vrai. La menace réaliste pour la plupart des gens, ce n'est pas un coffre cassé : c'est la réutilisation des mots de passe, où un seul mot de passe fuité déverrouille dix comptes. Un gestionnaire règle exactement ce problème en donnant à chaque compte un mot de passe fort et unique que vous n'avez pas à retenir. Avec un chiffrement à connaissance nulle et un mot de passe principal solide, le « tous les œufs dans le même panier » est un panier très bien verrouillé.
Que s'est-il passé avec LastPass ?
LastPass, jadis une recommandation de premier plan, a subi une fuite majeure en 2022-2023 lors de laquelle des attaquants ont volé des copies chiffrées des coffres de mots de passe de plus de 25 millions d'utilisateurs ; et, parce que de nombreux coffres anciens utilisaient des réglages de renforcement de mot de passe faibles et stockaient les adresses des sites web sans chiffrement, des chercheurs en sécurité ont depuis relié les données volées à des vols de cryptomonnaies à grande échelle. La leçon n'est pas « les gestionnaires de mots de passe ne sont pas sûrs » ; c'est que l'ingénierie et l'historique comptent, et que vous devriez choisir un gestionnaire qui n'a pas exposé les coffres de ses utilisateurs. Beaucoup ne l'ont pas fait.
Quelle est la seule chose la plus importante à bien faire ?
Votre mot de passe principal. C'est l'unique clé de tout, il doit donc être long, unique, et jamais réutilisé ailleurs ; une phrase secrète de plusieurs mots aléatoires fonctionne bien. Associez-la à l'authentification à deux facteurs sur votre gestionnaire, et même un attaquant déterminé reste à la porte.