Gestionnaire de mots de passe : le plus souverain n'est pas celui que tu crois

Le vrai problème (ce n’est pas toi)

Tu réutilises le même mot de passe, ou trois-quatre variantes, sur des dizaines de sites. Pas par négligence : parce qu’aucun cerveau humain ne retient 200 mots de passe uniques. Le système te demande quelque chose d’impossible, et tu fais ce que tout le monde fait.

Le problème, c’est ce qui se passe ensuite. Les sites se font pirater en permanence — pas seulement ta banque, surtout le petit forum sur lequel tu t’es inscrit en 2015 et que tu as oublié depuis. Le jour où l’un d’eux fuite, ton adresse mail et ton mot de passe se retrouvent dans une base de données qui circule. Et là, des outils automatisés essaient ce couple identifiant/mot de passe sur des centaines d’autres services : ta boîte mail, tes comptes marchands, tes réseaux. Ça s’appelle le credential stuffing, et c’est entièrement industrialisé.

Ton maillon faible n’est donc pas la sécurité de ton compte le plus sensible. C’est le mot de passe que tu as recyclé sur le site le moins sérieux. Une seule fuite, un seul mot de passe partagé entre deux comptes, et l’effet domino touche toute ta vie numérique.

Un gestionnaire de mots de passe ne sert pas à devenir parano. Il sert à confier à une machine une tâche impossible à réaliser pour les humains : un mot de passe unique et solide par site, sans en retenir un seul. La suite de cet article tient en une question : lequel choisir. Et quand on tient à sa souveraineté, la réponse n’est pas forcément celle que l’on croit.

Comment ça marche, en deux minutes

Un gestionnaire de mots de passe, c’est un coffre chiffré. Tu y ranges tous tes identifiants, et tu le verrouilles avec une seule clé : ton mot de passe maître. C’est le seul que tu auras à retenir désormais. Tout le reste, le gestionnaire le génère, le stocke et le remplit à ta place.

Le point qui change tout, c’est où se passe le chiffrement. Sur un gestionnaire sérieux, ton coffre est chiffré sur ton appareil, avant que quoi que ce soit ne parte ailleurs. Ton mot de passe maître ne quitte jamais ta machine : il sert à fabriquer la clé de déchiffrement localement, point. Le fournisseur, lui, ne reçoit qu’un bloc de données illisible.

C’est ce qu’on appelle une architecture zero-knowledge : le service qui héberge ton coffre n’a, littéralement, aucune connaissance de ce qu’il contient. Il stocke ta boîte fermée sans en posséder la clé. Concrètement, ça veut dire que même si ce fournisseur se fait pirater demain, ce que les attaquants récupèrent est inexploitable — un coffre verrouillé sans la clé pour l’ouvrir.

C’est exactement ce qui rend défendable, plus loin dans cet article, l’idée de confier son coffre à un service en ligne. Ce n’est pas « je fais confiance à l’entreprise ». C’est « l’entreprise ne peut pas lire mes données, même si elle le voulait, même si on l’y forçait ».

Pas de mot de passe maître, pas de coffre : personne ne pourra te le réinitialiser à ta place. C’est la contrepartie directe du zero-knowledge.

C’est pourquoi les services sérieux prévoient un filet : une clé de récupération, générée une seule fois à la création du compte, que tu mets de côté hors-ligne en lieu sûr. Elle te permet de retrouver l’accès si tu perds ton mot de passe maître, sans jamais donner au fournisseur la moindre capacité de lire ton coffre. Les modalités exactes varient selon l’outil, et je détaille celles de Proton Pass dans le guide dédié à son installation. Le principe à retenir : la responsabilité est réelle, mais pas sans recours, à condition d’avoir posé ce filet dès le départ.

Cette responsabilité-là, c’est le cœur du choix qui arrive — et c’est précisément là que la question de la souveraineté devient concrète.

Trois familles, trois compromis

Il n’existe pas de “meilleur gestionnaire” dans l’absolu. Il existe trois familles d’approches, et chacune fait un compromis différent entre commodité, contrôle et fiabilité. Aucune n’est gratuite en contreparties — celui qui te vend la sienne comme parfaite te ment.

Pour s’y retrouver, une seule question tranche : est-ce qu’un serveur tient ton coffre, et si oui, qui le fait tourner ? Cette question sépare les trois familles plus clairement que n’importe quel tableau de fonctionnalités.

Famille 1 — Le coffre local

Ton coffre est un simple fichier chiffré, posé sur ta machine. La référence ici, c’est KeePassXC : open source, gratuit, ton fichier t’appartient entièrement. Pas de serveur, pas de service en ligne, pas de synchro automatique — juste un fichier chiffré que tu possèdes et que tu déplaces toi-même. C’est la souveraineté à l’état pur, avec l’absence totale d’automatisme qui va avec.

Sa zone grise est l’envers exact de sa force : rien ne sort, donc rien ne se synchronise tout seul. Tu veux tes mots de passe sur ton téléphone et ton PC ? C’est à toi d’organiser le transfert et la mise à jour du fichier entre tes appareils. Et surtout : ce fichier unique concentre tout le risque sur un seul point. Disque mort sans sauvegarde, et tout ton coffre disparaît. Le contrôle total, c’est aussi la responsabilité totale.

Pour qui ? Celui qui veut zéro dépendance et accepte de gérer lui-même la synchro et les sauvegardes.

Famille 2 — Le coffre cloud zero-knowledge

Ton coffre est chiffré sur ton appareil (section précédente), puis synchronisé via les serveurs d’un fournisseur qui ne peut pas le lire. Tu retrouves tes mots de passe partout, automatiquement, sans rien gérer. Les deux références sérieuses sont Bitwarden et Proton Pass : toutes deux open source, auditées, avec une offre gratuite qui suffit largement pour l’usage courant.

Sa zone grise : ton coffre est quand même hébergé chez quelqu’un d’autre. Tu dépends de ce tiers pour la disponibilité, et tu dois faire confiance à son modèle zero-knowledge. La nuance honnête, c’est que cette confiance est vérifiable et non aveugle — le code est ouvert, les audits sont publics. Mais ça reste un acteur externe dans ta chaîne, et il faut le nommer plutôt que le cacher.

Pour qui ? La grande majorité des gens : ceux qui veulent une vraie sécurité sans rien administrer.

Famille 3 — Le coffre auto-hébergé

C’est la famille 2, à l’identique : un serveur tourne en continu, tes apps et ton navigateur s’y synchronisent tout seuls, exactement comme avec un fournisseur cloud. La seule différence, c’est que le fournisseur, c’est toi. Vaultwarden te permet d’héberger toi-même un coffre compatible Bitwarden, chez toi, sous ton contrôle complet. Rien à voir avec le fichier local de la famille 1 : ici tu n’administres pas un document, tu administres une infrastructure.

Sur le papier, c’est le graal de la souveraineté : zero-knowledge et aucun tiers. Mais sa zone grise est la plus lourde des trois, et c’est précisément le sujet de la section suivante : toute la fiabilité repose désormais sur toi. Sauvegardes, disponibilité, mises à jour de sécurité, redondance — si ton serveur tombe ou que ta sauvegarde est défaillante, tu perds l’accès à toute ta vie numérique. Je consacrerai un article entier à le mettre en place proprement ; ici, je le pose juste sur la carte.

Pour qui ? Celui qui a déjà une infrastructure fiable et redondante — et qui sait pourquoi il la veut.

Le bon réflexe n’est pas celui qu’on croit

Si tu lis ce blog, ton instinct te pousse sans doute vers la famille 3 : auto-héberger, tout rapatrier chez toi, ne dépendre de personne. C’est le réflexe souverain par défaut. Et sur un gestionnaire de mots de passe, c’est souvent le mauvais.

Voilà pourquoi. Ton coffre de mots de passe n’est pas un service comme les autres. Si ton serveur Jellyfin tombe, tu ne regardes pas de film ce soir. Si ton coffre de mots de passe devient inaccessible — serveur mort, sauvegarde corrompue, mauvaise manip pendant une mise à jour — tu perds la clé d’entrée de toute ta vie numérique en même temps. Mail, banque, impôts, comptes pro. La criticité n’a rien à voir.

Or auto-héberger, ce n’est pas « être plus en sécurité ». C’est transférer la charge de la fiabilité du fournisseur vers toi. Un Proton ou un Bitwarden font tourner des serveurs redondants, des sauvegardes géographiquement réparties, une équipe qui veille 24/7. Quand tu auto-héberges, tout ça, c’est toi — ou ce n’est personne. Et un Vaultwarden seul, sur un unique serveur, sans sauvegarde testée et sans redondance, n’est pas plus souverain qu’un coffre cloud : il est juste plus fragile. Tu as troqué un risque que tu maîtrises mal (la confiance dans un tiers) contre un risque que tu maîtrises encore moins (ta propre infra non redondée).

C’est là que le mot « souveraineté » mérite d’être repris. La souveraineté, ce n’est pas tout auto-héberger à n’importe quel prix. C’est le contrôle éclairé : savoir exactement à qui tu fais confiance, pourquoi, et ce que ça te coûterait si ça lâchait. Confier son coffre à un service zero-knowledge open source et audité, en connaissant précisément la zone grise que ça implique, c’est un choix souverain. Auto-héberger sans filet parce que « c’est mieux par principe », c’en est rarement un.

Le critère de décision tient donc en une question honnête : est-ce que ton infrastructure est réellement plus fiable que celle d’un fournisseur sérieux ? Si tu as une redondance propre, des sauvegardes que tu as déjà restaurées pour de vrai, et la discipline de maintenir tout ça — alors la famille 3 est pour toi, et elle est excellente. Sinon, le coffre cloud zero-knowledge n’est pas un compromis au rabais : c’est le choix le plus responsable.

Je prends mon propre cas, parce que je ne vais pas te prêcher l’inverse de ce que je fais. Aujourd’hui, mon coffre est sur un service cloud. Pas par paresse : parce que je n’ai pas encore, sur mon homelab, la redondance et les sauvegardes répliquées qui me permettraient d’héberger un service aussi critique sans diminuer sa fiabilité. Le jour où cette brique sera en place — et c’est un chantier précis, pas une vague intention — je rapatrierai mon coffre en interne. La condition est nommée, le prérequis est clair. Tant qu’il n’est pas rempli, rapatrier serait une régression déguisée en progrès.

Mon choix, et celui que je te recommande

Le cadre posé, voici ma réponse concrète — et je distingue les deux, parce qu’elles ne sont pas tout à fait identiques.

Ce que je te recommande, par défaut : Bitwarden ou Proton Pass. Les deux cochent tout ce qui compte : open source, code auditable, audits indépendants publics, architecture zero-knowledge, et une offre gratuite qui suffit pour l’usage courant. Tu ne te trompes avec aucun des deux. Leur principale différence n’est pas technique, elle est juridique : Bitwarden est une société américaine, Proton est suisse. Selon ton modèle de menace et ta sensibilité à la juridiction, l’un ou l’autre te parlera davantage.

Pour qui Bitwarden ? Celui qui veut la référence la plus installée, la plus longue à l’épreuve du temps — et qui apprécie qu’elle propose aussi une option d’auto-hébergement le jour où il franchira ce pas.

Pour qui Proton Pass ? Celui qui tient à la juridiction suisse, ou qui est déjà dans l’écosystème Proton et veut tout regrouper.

Mon choix personnel, c’est Proton Pass. Autant être transparent : Proton est le seul service tiers à qui je confie des données aussi sensibles. Sur un blog qui prêche l’indépendance, c’est l’exception qui confirme la règle, et je l’assume. Le pourquoi du comment — l’écosystème, ce que j’y mets, ce que je n’y mets pas — je lui consacrerai un article entier, parce que ça mérite mieux qu’un paragraphe. Ici, retiens juste que mon coffre de mots de passe y vit, et que ça coche exactement la définition de souveraineté de la section précédente : un tiers à qui je fais une confiance vérifiable, en connaissant la zone grise.

Un dernier point, et il prépare la suite. Sur l’offre gratuite, le générateur de codes à usage unique (le fameux 2FA) n’est pas inclus — il faut l’offre payante. Beaucoup le voient comme une limite. Je le vois comme un bon réflexe imposé : tes codes 2FA restent dans une application séparée, et c’est précisément la meilleure posture. Mettre ton second facteur dans le même coffre que tes mots de passe, c’est ranger la clé de secours dans le coffre qu’elle est censée protéger. On en parlera en détail dans le prochain article.

Par où tu commences

Tu as compris le mécanisme, les trois familles et le critère de choix. Maintenant, l’ennemi n’est plus l’ignorance, c’est l’inertie. Alors on fait simple.

1. Choisis-en un et installe-le. Bitwarden ou Proton Pass, peu importe lequel des deux — l’un des deux vaut infiniment mieux que de continuer à recycler trois mots de passe de tête. Tu changeras plus tard si besoin, un coffre s’exporte et se migre. Ne transforme pas ce choix en semaine de réflexion : c’est exactement le genre d’arbitrage qui ne mérite pas plus de dix minutes.

2. Soigne ton mot de passe maître. C’est le seul que tu auras à retenir, et personne ne pourra te le réinitialiser. Prends une phrase de passe : quatre ou cinq mots sans rapport entre eux, faciles à mémoriser pour toi, impossibles à deviner pour une machine. Pas le nom de ton chat suivi de ton année de naissance.

3. Mets ta clé de récupération en sécurité, tout de suite. À la création de ton compte, le service te fournit une clé de récupération. Ne la balaie pas d’un clic : c’est ton seul filet si tu oublies ton mot de passe maître. Note-la hors-ligne, range-la dans un endroit sûr, et n’y reviens que le jour où tu en auras besoin.

4. Ne migre pas tout d’un coup. N’essaie pas de rentrer tes 200 comptes dans la soirée, tu vas abandonner au trentième. Laisse le gestionnaire faire son travail : à chaque fois que tu te connectes quelque part dans les prochaines semaines, il te proposera d’enregistrer l’identifiant. En un mois d’usage normal, tes comptes actifs y sont tous, sans effort de migration.

5. Profites-en pour changer les mots de passe recyclés. Au fur et à mesure que tu enregistres un compte, si son mot de passe est un de tes vieux classiques réutilisés, laisse le gestionnaire en générer un neuf et unique. C’est là que tu casses réellement l’effet domino de la première section.

Voilà. Pas de configuration avancée, pas de réglage obscur. Un gestionnaire installé et utilisé imparfaitement protège infiniment mieux que le meilleur des outils que tu n’as pas mis en place.

Et après ? Deux suites logiques, déjà en chantier. La première : ajouter une double authentification sur tes comptes importants, le fameux second facteur qu’on a laissé volontairement de côté ici — c’est le sujet du prochain article. La seconde, pour ceux qui auront l’infrastructure qu’il faut : héberger son propre coffre avec Vaultwarden, et passer de la famille 2 à la famille 3 en connaissance de cause. Chaque chose en son temps. Et sur un autre front, tout aussi simple, le choix de ton navigateur protège presque autant que le mot de passe. Pour aujourd’hui, tu as fait le plus important.