Gestionnaire de mot de passe : fonctionnement, sécurité et comparatif

Un gestionnaire de mots de passe retient pour vous un mot de passe unique et robuste par compte. Voici comment il protège vos données, ses vraies limites, et comment choisir le vôtre.

Mis à jour le 14 octobre 2026

Qu’est-ce qu’un gestionnaire de mot de passe ?

Un gestionnaire de mots de passe est un logiciel qui enregistre vos identifiants dans un coffre-fort chiffré, les synchronise entre vos appareils et les remplit automatiquement sur les sites et applications. Vous ne retenez plus qu’un seul secret : le mot de passe maître qui déverrouille le coffre.

Son intérêt n’est pas seulement le confort. Il rend possible la règle de base de la sécurité en ligne : un mot de passe différent, long et aléatoire pour chaque compte. Personne ne peut mémoriser cent mots de passe comme vT8#qL2!xR9@mZ4p ; un gestionnaire le fait sans effort, et en propose un nouveau à chaque inscription grâce à son générateur intégré (le même principe que notre générateur de mot de passe).

La plupart des gestionnaires stockent aussi les clés d’accès (passkeys), les cartes bancaires, les notes sécurisées, les codes Wi-Fi et parfois les codes de double authentification.

Comment fonctionne un gestionnaire de mots de passe ?

Le chiffrement de bout en bout

Les bons gestionnaires chiffrent le coffre sur votre appareil, avant tout envoi, généralement en AES-256 ou XChaCha20. La clé de chiffrement est dérivée de votre mot de passe maître par une fonction volontairement lente (PBKDF2, Argon2id, scrypt) qui freine les tentatives de devinette. Les serveurs de l’éditeur ne reçoivent qu’un bloc de données illisible.

Le principe « zero-knowledge »

« Zero-knowledge » (à connaissance nulle) signifie que l’éditeur ne connaît ni votre mot de passe maître ni la clé de chiffrement. Conséquence directe : il ne peut ni lire vos données, ni les remettre à un tiers en clair, ni réinitialiser votre mot de passe maître si vous l’oubliez. C’est une garantie de sécurité et une responsabilité pour vous.

Le mot de passe maître

Tout repose sur lui. Il doit être long, unique et mémorisable : une phrase de passe de 5 à 6 mots tirés au hasard est le meilleur choix. Ne l’utilisez nulle part ailleurs et ne le stockez pas dans le coffre lui-même. Une fois le coffre déverrouillé sur un appareil, l’empreinte digitale ou la reconnaissance faciale évitent de le retaper sans cesse.

Le remplissage automatique

Le gestionnaire associe chaque identifiant à l’adresse exacte du site. Sur une page d’hameçonnage comme impots-gouv-remboursement.fr, il ne propose rien : c’est une protection contre le phishing que la mémoire humaine n’offre pas. Si votre gestionnaire ne reconnaît pas un site où vous pensez avoir un compte, méfiez-vous.

Est-ce vraiment sûr ? Les risques réels

Mettre tous ses mots de passe au même endroit inquiète souvent. La comparaison honnête n’est pas « gestionnaire contre sécurité parfaite », mais « gestionnaire contre ce que font réellement les gens » : réutiliser deux ou trois mots de passe, les noter dans un fichier ou un carnet. Face à cela, un gestionnaire est nettement plus sûr.

L’exemple de LastPass (2022)

En 2022, des attaquants ont volé chez LastPass du code source puis des sauvegardes contenant les coffres chiffrés de millions d’utilisateurs. Les coffres n’ont pas été déchiffrés en masse, mais ils peuvent être attaqués hors ligne, sans limite de temps. Des chercheurs ont depuis relié ce vol à des dizaines de millions de dollars de cryptomonnaies dérobées : les victimes avaient souvent un mot de passe maître court, créé des années plus tôt, et des paramètres de dérivation de clé anciens que LastPass n’avait pas mis à jour.

Les leçons sont concrètes :

Le mot de passe maître est la dernière ligne de défense. Une phrase de passe de 6 mots aléatoires résiste à une attaque hors ligne ; un mot de passe de 8 caractères, non.
La transparence de l’éditeur compte : audits publiés, communication rapide en cas d’incident, mise à jour des paramètres cryptographiques des anciens comptes.
Après une fuite, changez les secrets critiques stockés dans le coffre (portefeuilles de cryptomonnaies, banque, messagerie), pas seulement le mot de passe maître.

Les autres risques

Un appareil infecté : un logiciel espion peut capturer le mot de passe maître ou lire le coffre déverrouillé. Gardez votre système à jour et n’installez rien de douteux.
La perte d’accès : oubli du mot de passe maître, perte du seul appareil connecté. Préparez le kit de récupération dès le premier jour.
Le hameçonnage du coffre lui-même : un faux e-mail « votre coffre est verrouillé » mène à une fausse page de connexion. Activez la double authentification sur le compte du gestionnaire, idéalement avec une clé de sécurité ou une application.

Comment choisir son gestionnaire de mots de passe ?

Vos appareils. Tout chez Apple : l’app Mots de passe intégrée suffit souvent. Android et Chrome partout : le gestionnaire Google. Un mélange (iPhone, PC Windows, Firefox) : un gestionnaire indépendant multiplateforme.
Le chiffrement de bout en bout et le zero-knowledge, documentés dans un livre blanc de sécurité.
Des audits de sécurité indépendants publiés, ou un code source ouvert.
Le support des passkeys, qui remplacent progressivement les mots de passe.
Le partage : coffres familiaux, partage d’un identifiant avec un proche sans l’envoyer par SMS.
L’accès d’urgence : permettre à une personne de confiance d’accéder au coffre en cas de décès ou d’incapacité.
L’export : pouvoir partir facilement, au format CSV ou JSON, est un gage d’indépendance.
La juridiction, si la question de l’accès des autorités vous importe (rappelons qu’avec le zero-knowledge, l’éditeur ne peut livrer que des données chiffrées).

Comparatif des principaux gestionnaires de mots de passe

Gestionnaire	Offre gratuite	Plateformes	Code ouvert	Siège	Passkeys
Bitwarden	Oui, appareils illimités	Windows, macOS, Linux, Android, iOS, navigateurs	Oui	États-Unis	Oui
Proton Pass	Oui, appareils illimités, 10 alias e-mail	Windows, macOS, Linux, Android, iOS, navigateurs	Oui	Suisse	Oui
1Password	Non (essai gratuit)	Windows, macOS, Linux, Android, iOS, navigateurs	Non	Canada	Oui
Dashlane	Non (supprimée en septembre 2025)	Android, iOS, navigateurs (application web)	Partiel	États-Unis (fondé en France)	Oui
NordPass	Oui, un seul appareil actif à la fois	Windows, macOS, Linux, Android, iOS, navigateurs	Non	Europe (groupe Nord Security)	Oui
KeePassXC	Entièrement gratuit	Windows, macOS, Linux (mobile via applis compatibles KeePass)	Oui	Logiciel local, sans compte	Oui
Sticky Password	Oui, sans synchronisation	Windows, macOS, Android, iOS	Non	République tchèque	Non communiqué
Apple Mots de passe	Gratuit (intégré)	iPhone, iPad, Mac, Windows via iCloud ; pas d’Android	Non	États-Unis	Oui
Gestionnaire Google	Gratuit (intégré)	Chrome sur tous systèmes, Android, iOS	Non	États-Unis	Oui

Offres constatées en octobre 2026. Les éditeurs modifient régulièrement leurs formules : vérifiez les conditions avant de vous engager.

Notre avis, outil par outil

Bitwarden : le meilleur point de départ pour la plupart des gens. Code ouvert, audité, offre gratuite sans limite d’appareils ; l’abonnement Premium ajoute les codes de double authentification, l’accès d’urgence et les rapports de sécurité. Interface plus sobre que la concurrence.
Proton Pass : excellent choix gratuit, avec les alias e-mail qui masquent votre vraie adresse lors des inscriptions. Juridiction suisse et écosystème Proton (Mail, Drive, VPN) pour qui veut tout regrouper.
1Password : la référence payante en ergonomie et en partage familial. Sa « clé secrète » de 128 bits, combinée au mot de passe maître, rend un coffre volé quasiment impossible à attaquer hors ligne. Pas de version gratuite.
Dashlane : ergonomie soignée et surveillance des fuites, mais l’offre gratuite a disparu et l’application de bureau a été abandonnée au profit de l’extension de navigateur.
NordPass : simple et agréable, mais la version gratuite ne permet qu’une session active à la fois, ce qui la rend peu pratique entre téléphone et ordinateur.
KeePassXC : pour qui veut garder le contrôle total. Le coffre est un fichier .kdbx sur votre disque, sans compte ni serveur ; à vous de le synchroniser (cloud personnel, Syncthing) et de le sauvegarder. Puissant, mais exigeant.
Sticky Password : éditeur européen ancien, avec une option de synchronisation locale par Wi-Fi sans cloud. La synchronisation entre appareils est réservée à la version payante.
Apple Mots de passe : gratuit, chiffré de bout en bout, très bien intégré à l’iPhone et au Mac, avec codes de vérification et alertes de fuite. Inadapté si vous avez un téléphone Android.
Gestionnaire Google : gratuit, présent partout où Chrome tourne, avec contrôle des fuites. Activez le chiffrement sur l’appareil pour une protection équivalente au zero-knowledge. Détails dans notre guide du gestionnaire de mots de passe Google.

Si le budget est le critère principal, consultez notre sélection de gestionnaires de mots de passe gratuits.

Migrer vers un nouveau gestionnaire

Tous les gestionnaires sérieux savent importer les mots de passe enregistrés dans un navigateur ou un autre gestionnaire, presque toujours via un fichier CSV.

Exportez vos mots de passe depuis l’ancien outil (Chrome, Firefox, Safari ou l’ancien gestionnaire). Pour Chrome, la marche à suivre est détaillée dans notre guide Google.
Importez le fichier dans le nouveau gestionnaire (menu « Importer » des paramètres) et vérifiez quelques entrées.
Supprimez le fichier CSV immédiatement, puis videz la corbeille. Il contient tous vos mots de passe en clair.
Désactivez l’enregistrement des mots de passe dans le navigateur pour éviter les doublons et les conflits de remplissage automatique.
Recréez vos passkeys si besoin : elles ne sont pas toujours exportables. Ajoutez-en une nouvelle depuis le nouveau gestionnaire sur chaque site concerné.
Faites le ménage avec le rapport de sécurité : remplacez les mots de passe réutilisés, faibles ou exposés, en commençant par la messagerie, qui permet de réinitialiser tous les autres comptes.

N’envoyez jamais le fichier d’export par e-mail et ne le laissez pas dans un dossier synchronisé (Téléchargements sauvegardé dans le cloud, par exemple). Faites la migration en une seule session, sur un ordinateur de confiance.

Les bonnes pratiques une fois équipé

Activez la double authentification sur le compte du gestionnaire.
Imprimez le kit de récupération et désignez un contact d’urgence si l’option existe.
Laissez le gestionnaire générer chaque nouveau mot de passe : 16 à 20 caractères, ou la longueur maximale acceptée par le site.
Consultez le rapport de sécurité tous les quelques mois, et réagissez vite en cas de fuite.
Préférez les passkeys quand un site les propose : elles sont immunisées contre l’hameçonnage.

Questions fréquentes

Que se passe-t-il si j’oublie mon mot de passe maître ?

Avec un gestionnaire « zero-knowledge », l’éditeur ne peut pas le réinitialiser : il ne le connaît pas. Selon le service, il reste un kit ou une clé de récupération créé à l’inscription, un accès d’urgence confié à un proche, ou le déverrouillage biométrique sur un appareil déjà connecté. Sans aucun de ces moyens, le coffre est perdu. Imprimez votre kit de récupération et rangez-le en lieu sûr dès l’installation.

Un gestionnaire de mots de passe peut-il être piraté ?

Les serveurs de l’éditeur peuvent l’être, comme l’a montré LastPass en 2022, mais les coffres volés restent chiffrés. Le risque réel vient d’un mot de passe maître faible, d’un appareil infecté par un logiciel espion ou d’un hameçonnage. Un mot de passe maître long et unique, plus la double authentification, couvrent l’essentiel de ces scénarios.

Le gestionnaire du navigateur suffit-il ?

Pour beaucoup de gens, oui : Chrome (Google) et Safari (Apple) chiffrent les mots de passe, les synchronisent et alertent en cas de fuite. Leurs limites apparaissent quand vous changez d’écosystème (iPhone et PC Windows avec Firefox, par exemple), quand vous voulez partager des accès en famille de façon fine, ou stocker autre chose que des identifiants web.

Faut-il aussi y ranger les codes de double authentification ?

C’est pratique mais cela regroupe les deux facteurs au même endroit. Pour la messagerie principale, la banque et le gestionnaire lui-même, gardez le second facteur ailleurs (application d’authentification séparée ou clé de sécurité). Pour les comptes secondaires, le confort l’emporte souvent.

Combien de temps prend la mise en place ?

Une heure pour installer le gestionnaire et importer les mots de passe du navigateur. Ensuite, changez progressivement les mots de passe réutilisés ou faibles, en commençant par la messagerie et la banque : le rapport de sécurité du gestionnaire vous indique lesquels.