Il existe encore, en 2026, des millions de comptes protégés par un mot de passe du type « azerty123 », « motdepasse » ou la date de naissance du chat. Ce n’est pas de la paresse : c’est une conséquence logique d’une demande impossible. Un internaute moyen gère aujourd’hui plusieurs dizaines de comptes en ligne, et on lui demande d’inventer pour chacun une chaîne longue, unique, imprévisible — puis de s’en souvenir. Le cerveau humain n’est pas fait pour ça. Le gestionnaire de mots de passe, lui, est fait exactement pour ça.
Pourquoi « azerty123 » est déjà cassé avant même d’être attaqué
Un attaquant sérieux ne s’assoit pas devant votre écran pour tester des combinaisons à la main. Il utilise des listes de mots de passe déjà fuités, compilées à partir de brèches passées, et les rejoue automatiquement. Cette technique s’appelle le bourrage d’identifiants : si votre couple e-mail + mot de passe a fuité chez un petit forum en 2019, il sera testé sur votre boîte mail, votre banque et votre compte de jeu.
Le problème n’est donc pas seulement la faiblesse du mot de passe, c’est sa réutilisation. Un mot de passe fort mais utilisé partout reste une clé unique ouvrant toutes les portes. Le service Have I Been Pwned, maintenu par le chercheur Troy Hunt, permet de vérifier gratuitement si une adresse figure dans des fuites connues. La plupart des gens qui font le test découvrent qu’ils apparaissent dans plusieurs incidents.
Ce qu’est réellement un gestionnaire de mots de passe
Un gestionnaire de mots de passe est un coffre-fort chiffré. Vous ne retenez plus qu’un seul secret — le mot de passe maître — et le logiciel stocke tout le reste : identifiants, mots de passe générés aléatoirement, notes, codes de récupération, parfois cartes bancaires.
Trois fonctions le rendent indispensable :
- Générer : il crée à la demande des mots de passe de 20 à 40 caractères parfaitement aléatoires, que personne (vous compris) n’aura besoin de mémoriser.
- Remplir : l’extension navigateur reconnaît le domaine exact du site et ne remplit rien si l’adresse ne correspond pas — une protection réelle contre l’hameçonnage, là où l’œil humain se fait piéger par un « rn » qui imite un « m ».
- Auditer : la plupart des coffres signalent les mots de passe réutilisés, trop courts, ou compromis dans une fuite connue.
« Et si le coffre est piraté ? » : la vraie réponse technique
C’est l’objection la plus fréquente, et elle est légitime. La réponse tient dans un principe d’architecture : le chiffrement de bout en bout à connaissance nulle. Le contenu du coffre est chiffré sur votre appareil, avec une clé dérivée de votre mot de passe maître, avant d’être envoyé sur un serveur. Le fournisseur ne stocke qu’un bloc de données illisible.
Techniquement, la dérivation passe par une fonction lente comme PBKDF2 ou, mieux, Argon2, conçue pour rendre coûteuse chaque tentative de déchiffrement. Le chiffrement lui-même repose sur AES-256, standard éprouvé.
Corollaire important : si vous oubliez votre mot de passe maître, personne ne peut vous le rendre. C’est le prix de la confidentialité réelle. D’où l’obligation de conserver la clé de récupération ailleurs — sur papier, dans un endroit sûr.
Cloud, local, auto-hébergé : trois écoles
Le choix se fait surtout sur le curseur confort / contrôle.
Les solutions cloud comme Bitwarden ou 1Password synchronisent automatiquement entre PC, téléphone et navigateur. Bitwarden a l’avantage d’être open source et auditable, avec une offre gratuite sérieuse.
Les solutions locales, dont l’archétype est KeePassXC, gardent un simple fichier .kdbx sur votre disque. Rien ne sort de chez vous ; la synchronisation, c’est votre problème.
Entre les deux, l’auto-hébergement : Vaultwarden, réimplémentation légère du serveur Bitwarden en Rust, tourne dans un conteneur Docker sur un petit serveur ou un NAS. On garde les clients Bitwarden officiels et la synchronisation, mais les données restent sur sa propre machine. C’est aujourd’hui l’option préférée des autodidactes qui administrent déjà un serveur.
Le mot de passe maître : la seule chose à retenir
Puisque tout repose sur lui, il doit être long — la longueur compte davantage que les caractères exotiques. La méthode la plus fiable est la phrase de passe Diceware : quatre à six mots courants choisis au hasard, du type « lampe-tortue-brique-avocat ». C’est extrêmement long à casser, et pourtant mémorisable en une soirée.
À éviter absolument : un mot de passe maître déjà utilisé ailleurs, une citation célèbre, ou une information biographique devinable.
L’étape suivante : la double authentification et les passkeys
Un coffre bien protégé mérite une seconde serrure. Activez l’authentification à deux facteurs sur le gestionnaire lui-même, ainsi que sur vos comptes critiques : messagerie, banque, hébergeur. Un code temporaire (TOTP) ou une clé matérielle valent mieux qu’un SMS, vulnérable au détournement de carte SIM.
La suite logique s’appelle passkey : une paire de clés cryptographiques remplace le mot de passe, la clé privée ne quitte jamais l’appareil, et il n’y a donc plus rien à voler côté serveur. Standardisé par l’alliance FIDO, ce mécanisme est déjà déployé chez Google, Apple, Microsoft et de nombreux services. Bonne nouvelle : les gestionnaires modernes stockent aussi les passkeys, ce qui en fait le coffre unique de la transition.
Un plan d’action en une soirée
Pas besoin de tout migrer d’un coup. Une méthode réaliste :
- Choisir un gestionnaire et créer un mot de passe maître de type phrase de passe.
- Imprimer ou noter la clé de récupération, la ranger hors ligne.
- Changer d’abord les mots de passe des comptes pivots : l’adresse e-mail principale d’abord, car elle sert à réinitialiser tout le reste.
- Ensuite banque, impôts, hébergeur, réseaux sociaux.
- Laisser le reste se remplir naturellement : chaque fois que vous vous connectez à un vieux service, remplacez son mot de passe et enregistrez-le.
En quelques semaines, sans effort de mémoire, votre surface d’attaque se réduit drastiquement. « azerty123 » n’était pas un choix : c’était un symptôme d’un système mal conçu, qui demandait à l’humain de faire le travail d’une machine. Le gestionnaire de mots de passe corrige simplement cette erreur de conception.