Dans mon article sur les gestionnaires de mots de passe, je t’ai dit lequel j’avais choisi : Proton Pass. Et je t’ai promis d’y revenir, parce qu’un choix balancé en une phrase, ça ne vaut rien tant que tu ne sais pas ce que tu signes vraiment.

Alors on y est. Pas pour te vendre Proton Pass : tu as déjà le cadre pour décider si c’est le bon outil pour toi, et si ta réponse est Bitwarden, tu as fait un très bon choix aussi. Cet article part de l’étape d’après : tu as tranché pour Proton Pass, tu ouvres la page d’inscription, et là une série de questions se posent que personne ne t’explique. Faut-il payer ? Qu’est-ce que le gratuit te donne vraiment ? Et surtout, ce fameux filet de récupération dont je t’ai parlé sans le détailler : c’est quoi, concrètement, et qu’est-ce qui se passe le jour où tu oublies ton mot de passe maître ?

On va installer Proton Pass proprement, de la bonne manière. Mais avant de cliquer sur quoi que ce soit, il y a un piège à comprendre. Un piège qui n’a rien à voir avec Proton en particulier : c’est la contrepartie directe du chiffrement zero-knowledge qu’on a vu ensemble. Celui qui transforme un simple oubli en catastrophe. On le désamorce tout de suite.

Proton Pass gratuit ou payant : ce que tu paies vraiment

Première question quand tu crées ton compte : est-ce qu’il faut sortir la carte bleue ? Réponse courte : non. Réponse honnête : ça dépend, mais sûrement pas pour les raisons que tu crois.

Commençons par ce que le gratuit te donne, car c’est loin d’être une version bridée pour te forcer la main. Regarde par toi-même ce que chaque offre couvre :

Tableau comparatif Proton Pass Free contre Pass Plus, avec les fonctions communes cochées des deux côtés et le prix de 1,99 euro par mois pour Pass Plus.

Tableau comparatif des offres Proton Pass Free et Pass Plus, montrant que le cœur des fonctions et le chiffrement de bout en bout sont identiques, et que Pass Plus n’ajoute que du confort.

Lis bien ce tableau : tout ce qui fait le cœur du métier d’un gestionnaire de mots de passe est là, gratuitement :

  • Identifiants,

  • notes et cartes en illimité, sur autant d’appareils que tu veux,

  • avec le générateur de mot de passe,

  • la synchronisation,

  • les passkeys

  • et 10 alias hide-my-email.

Aucune carte requise, pas de pub. Et surtout, le chiffrement de bout en bout est identique sur toutes les offres : tu n’achètes jamais « plus de sécurité », elle est la même pour tout le monde.

Je le sais d’expérience, et c’est le moment d’être transparent : j’ai utilisé Proton Pass en version gratuite pendant plusieurs années, sans le moindre problème. Pas une frustration, pas un mur, pas une fonction manquante qui m’aurait bloqué au quotidien. Pour l’écrasante majorité des gens, le gratuit n’est pas un produit d’appel : c’est la version définitive.

Alors qu’est-ce que débloque Pass Plus (1,99 €/mois en engagement annuel) ? Surtout du confort et des fonctions avancées :

  • alias hide-my-email illimités,

  • A2F intégrée (on y revient plus bas, parce que c’est un piège),

  • partage sécurisé de coffres,

  • surveillance du dark web,

  • pièces jointes,

  • accès d’urgence,

  • domaine perso pour tes alias,

  • historique des éléments.

Utile ? Oui, si tu en as besoin.

Indispensable ? Pour la plupart des gens, non.

Et puisque cet article n’est pas sponsorisé (aucun article de ce blog ne l’est), autant être transparent sur mon cas. Je suis chez Proton depuis le tout début, à l’époque où ProtonMail était le seul service qu’ils proposaient. J’ai grandi avec eux : à chaque nouveau service, VPN, drive, agenda, puis Pass, je l’ai adopté au fur et à mesure. Je ne suis pas arrivé sur Proton Pass en comparant douze gestionnaires, j’y suis arrivé parce qu’il est né dans un écosystème que j’utilisais déjà, se révèlant très fiable et sécurisé.

Et c’est là le point qui vaut pour toi, pas seulement pour moi : presque tout l’écosystème Proton s’utilise gratuitement :

  • Mail, Pass,

  • VPN,

  • Drive,

  • agenda,

  • authenticator

Tu peux monter une vie numérique privée complète sans payer un centime, avec des limites (une seule adresse mail, VPN sur un appareil, stockage réduit, 10 alias). Ces limites suffisent très largement pour la majorité des gens. L’abonnement Unlimited ne débloque pas des fonctions vitales : il lève des plafonds et ajoute du confort. Plus d’adresses, plus de stockage, le VPN partout, les alias illimités. Utile si tu vis vraiment dans l’écosystème. Pas indispensable pour monsieur tout le monde.

Moi, si je paie Unlimited aujourd’hui, c’est pour ces plafonds levés, détaillés dans mon article sur la suite Proton, et Pass Plus est arrivé dans le lot, comme un bonus. Je ne me suis jamais dit « il faut que je paie pour mon gestionnaire de mots de passe ».

La leçon, garde-la en tête : ne prends pas Pass Plus pour Pass Plus. Si le gratuit couvre tes besoins, et il les couvre probablement, reste en gratuit sans complexe. Le jour où tu paieras, ce sera sans doute comme moi : parce que tu veux lever les plafonds de tout l’écosystème.

Mot de passe maître oublié : le piège de la récupération

Reprenons ce qu’on a posé dans l’article précédent, parce que tout part de là. Proton Pass est zero-knowledge : tes données sont chiffrées sur ton appareil, avec une clé dérivée de ton mot de passe. Proton ne connaît pas ce mot de passe et ne peut pas lire ton coffre. C’est toute la force du système.

C’est aussi tout le piège. Si Proton ne peut pas lire tes données, Proton ne peut pas non plus te les rendre le jour où tu oublies ton mot de passe. Pas de bouton « mot de passe oublié » magique : ce serait la preuve que quelqu’un détient une copie de ta clé, donc que le zero-knowledge est un mensonge.

La contrepartie de « personne ne peut lire mes données », c’est « personne ne peut me les récupérer ». Toi compris, si tu n’as rien préparé.

Le filet doit donc être posé avant d’en avoir besoin. Chez Proton, ce filet, c’est la phrase de récupération.

Infographie comparant deux chemins de récupération. E-mail ou SMS réinitialise le mot de passe mais laisse le coffre verrouillé. La phrase de récupération réinitialise le mot de passe et déchiffre les données.

Infographie expliquant que « récupération » recouvre deux opérations distinctes, réinitialiser le mot de passe et déchiffrer les données, et que seule la phrase de récupération fait les deux.

Ce qu’est vraiment la phrase de récupération

C’est une suite de 12 mots, générée aléatoirement par l’application sur ton appareil au moment où tu l’actives, et jamais stockée sur les serveurs de Proton. Techniquement, Proton conserve seulement un « vérificateur » qui valide ta phrase sans en connaître le contenu. Un second mot de passe de secours dont toi seul détiens la copie. Tu la notes une fois, tu la ranges en lieu sûr, tu n’y touches plus.

La subtilité qui piège tout le monde : réinitialiser n’est pas déchiffrer

Voici le point que presque personne ne comprend avant qu’il ne soit trop tard. Chez Proton, « récupération » recouvre deux choses différentes :

  • Réinitialiser ton mot de passe : retrouver l’accès au compte, pouvoir te reconnecter.

  • Déchiffrer tes données : rouvrir ton coffre et retrouver tes mots de passe.

Et toutes les méthodes ne font pas les deux.

La récupération par e-mail ou par SMS réinitialise ton mot de passe, mais ne déchiffre pas tes données. Tu retrouves l’accès au compte, tu te reconnectes, et tu découvres que ton coffre est toujours verrouillé. Tu as la clé de la maison, mais le coffre-fort à l’intérieur reste fermé.

La phrase de récupération, elle, fait les deux : elle réinitialise ton mot de passe et déverrouille tes données, d’un seul geste. C’est la seule méthode qui te rend ton coffre intact.

Et ce n’est pas moi qui l’invente pour dramatiser : Proton l’affiche lui-même noir sur blanc dans les paramètres de récupération.

Interface Proton affichant une capacité de récupération de 4 sur 10 et le message indiquant que réinitialiser le mot de passe ne permet pas de récupérer les données chiffrées.

Page Récupération de Proton, indiquant une capacité de récupération faible et précisant que les options de réinitialisation du mot de passe ne permettent pas de récupérer les données chiffrées.

Conséquence pratique : si tu ne configures que l’e-mail ou le SMS, le jour où tu oublies ton mot de passe maître, tu récupères un compte vide. Tes centaines d’identifiants sont perdus, définitivement.

Ce que tu fais, concrètement

La règle tient en une phrase : active ta phrase de récupération dès la création du compte, et note-la hors-ligne.

Où la ranger ? Surtout pas dans Proton Pass ni dans Proton Drive : le jour où tu es enfermé dehors, tu n’as accès à aucun des deux (Proton le dit lui-même dans sa doc). Le bon endroit reste hors ligne :

  • Le papier, tout simplement, rangé là où tu gardes tes documents importants. C’est démodé, c’est aussi imbattable face à une compromission numérique.

  • Une clé USB chiffrée, si tu préfères le format numérique. C’est la solution que j’utilise personnellement. On ne rentre pas dans les détails ici, mais l’idée tient en une ligne : un support chiffré, physique, que tu ranges hors ligne au même titre qu’un papier.

C’est exactement la même logique que les codes de secours 2FA vus dans l’article précédent : tu peux d’ailleurs les ranger au même endroit.

Deux détails qui comptent :

  • La phrase est à usage unique : une fois utilisée pour récupérer ton compte, tu dois en générer une nouvelle et la ranger à nouveau.

  • L’ordre des 12 mots doit être respecté à la saisie. Recopie-les proprement.

Installer Proton Pass proprement, PC et mobile

Objectif de cette section : un coffre opérationnel sur ton ordinateur et sur ton téléphone, les deux synchronisés. C’est le vrai confort d’un gestionnaire : tu enregistres un identifiant sur ton PC, il apparaît sur ton mobile dans la foulée, et inversement.

1. Créer ton compte (ou te connecter), et poser le filet tout de suite

Tu as déjà un compte Proton (parce que tu utilises déjà leur mail, leur VPN ou un autre service) ? Alors rien à créer : Proton Pass utilise le même compte que tout le reste de l’écosystème. Tu te connectes simplement avec tes identifiants habituels, et tu peux sauter directement à l’installation de l’extension (étape 2). Vérifie juste, tant que tu y es, que ta phrase de récupération est bien active dans tes paramètres. C’est le moment ou jamais.

Tu pars de zéro ? Rends-toi sur proton.me/fr/pass et crée ton compte. Choisis ton adresse, puis ton mot de passe maître. Prends une phrase de passe : quatre ou cinq mots sans rapport entre eux, mémorisable pour toi, impossible à deviner pour une machine. C’est le seul mot de passe que tu auras à retenir désormais, alors soigne-le et respecte les bonnes pratiques (longueur, pas de données personnelles, pas de mot de passe déjà utilisé ailleurs).

Conseil pratique pour la transition : note ton mot de passe maître sur un papier au début, le temps de l’ancrer. À force de le taper, il rentrera tout seul, et tu pourras détruire le papier une fois qu’il est dans ta tête. Le papier est un filet temporaire d’apprentissage, pas une cachette permanente.

Dès le compte créé, va dans les paramètres de récupération et active ta phrase de récupération (les 12 mots de la section précédente). Note-la, range-la, et seulement ensuite continue. Ne remets pas ce geste à plus tard : « plus tard » est exactement le moment où on oublie, et c’est tout l’objet de la section d’avant.

Paramètres Proton de la phrase de récupération, indiquant qu'elle est composée de 12 mots et qu'elle est le seul moyen de tout récupérer, avec la récupération par phrase activée.

Page des paramètres de la phrase de récupération de Proton, avec l’option pour générer la phrase et l’interrupteur autorisant la récupération par phrase activé.

2. Installer l’extension navigateur (ton poste de travail)

C’est sur le navigateur que tu passes le plus de temps, donc c’est là que le remplissage automatique change vraiment ton quotidien. Proton Pass propose une extension pour Chrome, Firefox, Edge, Brave et Safari.

Installe l’extension depuis la boutique officielle de ton navigateur (ou depuis proton.me/fr/pass/download, qui t’y renvoie), épingle-la à ta barre d’outils, et connecte-toi avec ton compte. À partir de là, dès que tu te connectes à un site, l’extension te propose d’enregistrer l’identifiant, puis de le remplir automatiquement à la visite suivante.

Page du module Proton Pass sur le catalogue d'extensions Firefox, éditée par Proton, avec le bouton Ajouter à Firefox.

Page officielle de l’extension Proton Pass sur le catalogue de modules Firefox, avec le bouton d’ajout au navigateur.

3. Installer l’application mobile (le coffre dans ta poche)

Tout se télécharge depuis une seule page : proton.me/fr/pass/download. Tu y retrouves l’application pour Windows, macOS et Linux, les extensions pour Chrome, Firefox, Edge, Brave et Safari, l’application web, et de quoi installer la version mobile.

Pour le téléphone, le plus rapide est de scanner le QR code affiché sur cette page : il t’envoie directement vers Proton Pass sur le Play Store (Android) ou l’App Store (iOS). Sur Android, tu peux aussi passer par F-Droid si tu tiens à une version compilée depuis les sources.

Connecte-toi avec le même compte. Tes entrées enregistrées sur le PC sont déjà là : c’est la synchronisation chiffrée de bout en bout qui opère. Active ensuite le remplissage automatique dans les réglages du téléphone, pour que Proton Pass te propose tes identifiants directement dans tes autres applications.

Page de téléchargement de Proton Pass montrant les versions Windows, macOS, Linux, Android, iOS, les extensions navigateur et un QR code pour l'application mobile.

Page de téléchargement de Proton Pass (proton.me/fr/pass/download), listant les applications par plateforme, les extensions navigateur et un QR code pour l’installation mobile.

4. Ta première entrée, pour vérifier que le duo tourne

Test simple pour valider l’ensemble : connecte-toi à un site depuis ton PC, laisse l’extension enregistrer l’identifiant. Puis ouvre l’app sur ton téléphone. L’entrée doit y apparaître en quelques secondes. Si c’est le cas, ton duo est opérationnel : un seul coffre, deux accès, synchronisés et chiffrés.

Coffre Proton Pass avec plusieurs entrées enregistrées et le détail d'un identifiant, mot de passe masqué et évalué comme fort.

Coffre Proton Pass affichant plusieurs identifiants enregistrés et le détail d’une entrée, avec mot de passe masqué et marqué comme fort.

À partir de maintenant, laisse le gestionnaire travailler. À chaque connexion dans les prochaines semaines, il te proposera d’enregistrer l’identifiant, et ton coffre se remplira tout seul sans effort de migration. Exactement la méthode qu’on avait posée dans l’article gestionnaire : tu ne migres pas 200 comptes en une soirée, tu les captures au fil de l’usage.

Faut-il mettre ses codes 2FA (TOTP) dans Proton?

Pass Plus sait aussi stocker tes codes 2FA (les fameux TOTP à six chiffres). Concrètement, une seule application remplit ton mot de passe et ton code de validation, dans la même fenêtre, d’un même geste. C’est indéniablement pratique. Et c’est un arbitrage qu’il est necessaire de faire, parce qu’il oppose directement deux choses qu’on aimerait ne jamais avoir à départager :

  • la facilité

  • et la sécurité.

Ce que tu gagnes : la facilité. Plus besoin de jongler entre deux applis au moment de te connecter. Tout est au même endroit, le remplissage est instantané, et pour quelqu’un qui débute, cette simplicité peut faire la différence entre « j’active la 2FA partout » et « je laisse tomber, c’est trop pénible ». Une 2FA imparfaite mais activée vaut infiniment mieux qu’une 2FA parfaite jamais mise en place.

Ce que tu perds : l’indépendance des deux serrures. On l’a vu en détail dans l’article sur la 2FA : l’intérêt d’un second facteur, c’est justement qu’il soit séparé du premier. Si tu ranges ton mot de passe et ton code TOTP dans le même coffre, une seule compromission de ce coffre (ou de son mot de passe maître) livre les deux d’un coup. Tu viens de reconstruire le point de défaillance unique que la 2FA existe précisément pour supprimer. Les deux serrures sont revenues sur la même porte.

Où je place le curseur, et pourquoi. Pour moi, la règle reste nette : garde ton second facteur dans une appli séparée.

Le léger inconfort de deux applis, c’est le prix de l’indépendance des deux serrures, et c’est un prix dérisoire au regard de ce qu’il protège. Ça tombe bien, Proton l’a compris et livre son authenticator dans une application distincte de Pass : Proton Authenticator, gratuit, multiplateforme, que je te recommandais déjà dans l’article 2FA. Tes deux serrures restent dans deux contenants, sans que tu quittes l’écosystème.

Une nuance honnête pour finir. Mettre tes TOTP dans Proton Pass reste très supérieur à ne pas avoir de 2FA du tout. Si le choix réel, pour toi, est entre « TOTP dans Pass » et « pas de 2FA », prends la TOTP dans Pass sans hésiter. Le compromis que je déconseille, c’est de le faire par confort alors que tu es parfaitement capable d’installer une seconde appli. Ce n’est pas le même arbitrage, et toi seul sais lequel te convient.

On récapitule

Voilà. Tu as installé Proton Pass correctement :

  • compte créé ou reconnecté,

  • mot de passe maître soigné,

  • phrase de récupération posée avant d’en avoir besoin,

  • coffre synchronisé entre ton PC et ton téléphone,

  • tes deux serrures gardées séparées. Ce n’est pas le parcours le plus rapide, c’est le parcours qui tient.

Et souviens-toi du fil de ces trois articles, parce qu’il dit tout : un mot de passe unique par site, une seconde serrure indépendante, et un coffre dont tu comprends exactement le fonctionnement, y compris ce qui se passe le jour où ça coince. Ce n’est pas de la parano. C’est le contrôle que tu as décidé de garder, en connaissance de cause. C’est exactement ça, la souveraineté.

Home Made Tech

Ta tech, tes clés, ta liberté.

Sources