Un gestionnaire de mots de passe est un coffre-fort chiffré qui crée, stocke et saisit un mot de passe unique pour chaque compte, le tout protégé par un seul mot de passe maître. La CNIL le recommande depuis 2017 contre les post-it et la réutilisation d’un même mot de passe. Pour un détenteur de cryptos, il sécurise l’e-mail et les accès aux plateformes, mais ne doit jamais contenir la phrase de récupération d’un portefeuille matériel.
Pourquoi un gestionnaire de mots de passe protège-t-il d'abord vos comptes crypto et votre e-mail ?
Parce que la plupart des piratages de comptes commencent par un mot de passe faible, réutilisé ou volé. La CNIL rappelle dans sa recommandation sur la sécurité des mots de passe qu’une étude Verizon de 2021 attribuait 81 % des violations de données mondiales à un problème de mots de passe, et qu’environ 60 % des notifications reçues par la CNIL depuis début 2021 étaient liées à du piratage.
Les habitudes des particuliers n’aident pas. Selon le baromètre CNIL/Médiamétrie 2018 cité dans les cinq arguments de la CNIL pour adopter un gestionnaire, trois internautes sur dix centralisaient leurs mots de passe sur papier, près d’un quart utilisait toujours le même, et seulement 8 % recouraient à un gestionnaire.
Pour un détenteur de crypto-actifs, la chaîne de risque est simple. Votre boîte e-mail reçoit les liens de réinitialisation de votre plateforme d’échange. Si l’e-mail tombe, le compte d’échange suit, puis les fonds déposés. Un gestionnaire de mots de passe casse cette chaîne : chaque compte reçoit un mot de passe long, aléatoire et différent, que vous n’avez pas à mémoriser.
Il ne remplace pas les autres couches. Avant de déposer des fonds sur une plateforme, vérifiez son statut sur le registre de l’AMF, activez la double authentification et gardez en tête que tout achat de crypto-actifs expose à une perte en capital. Notre comparatif des plateformes crypto autorisées en France détaille ces points, et notre guide pour sécuriser ses cryptos en 2026 replace le gestionnaire dans l’ensemble du dispositif.
Comment fonctionne un gestionnaire de mots de passe : chiffrement, mot de passe maître et passkeys ?
Le principe tient en une phrase : une base de données chiffrée, ouverte par un seul secret que vous connaissez. La CNIL décrit le gestionnaire comme un logiciel qui stocke tous vos mots de passe et les protège en les chiffrant ; la saisie du mot de passe maître ouvre le coffre-fort.
Trois briques techniques méritent d’être comprises :
- Chiffrement de bout en bout : vos données sont chiffrées sur votre appareil avant toute synchronisation. L’éditeur ne détient pas la clé, dérivée de votre mot de passe maître. On parle aussi d’architecture « zéro connaissance ». Conséquence : si vous oubliez ce mot de passe, l’éditeur ne peut pas le retrouver pour vous.
- Mot de passe maître : c’est le seul à retenir, donc il doit être solide. La CNIL conseille au moins 12 caractères mélangeant chiffres et caractères spéciaux, et propose un générateur pour en construire un mémorisable.
- Passkeys (clés d’accès) : un couple de clés cryptographiques remplace le mot de passe. Vous vous authentifiez par empreinte, visage ou code de l’appareil, sans rien à taper ni à voler par phishing. Google indique dans sa présentation du Gestionnaire de mots de passe de Google que les clés d’accès sont plus sûres et plus faciles à utiliser que les mots de passe, et qu’elles s’enregistrent dans le compte Google.
Côté serveur, un bon prestataire ne stocke jamais un mot de passe en clair. La CNIL cite les fonctions scrypt ou Argon2, recommandées par l’ANSSI, pour transformer un mot de passe de façon non réversible avec un sel. Ce détail compte quand vous lisez la documentation d’un éditeur.
Au quotidien, le gestionnaire remplit automatiquement les champs identifiant et mot de passe, demande le mot de passe maître une fois par session, et génère un nouveau mot de passe à chaque inscription. C’est cette automatisation qui fait tenir la règle « un compte, un mot de passe » dans la durée.
Quels critères pour choisir un gestionnaire de mots de passe ?
Le bon choix dépend de vos risques, de votre budget et de votre tolérance au cloud, pas d’un classement universel. La CNIL propose une liste de questions à se poser : l’accès est-il contrôlé par un mot de passe maître ou mieux ? Le code source est-il libre et auditable ? La base est-elle hébergée en ligne ou seulement sur votre poste ? Les retours d’utilisateurs et de sites spécialisés sont-ils positifs ? Quel budget, gratuit, limité ou payant ?
Nous ajoutons trois critères utiles à un lecteur crypto : la publication d’audits de sécurité indépendants, la prise en charge des passkeys, et la possibilité d’exporter ses données pour changer d’outil sans être prisonnier.
| Famille | Exemples | Points forts | Limites documentées |
|---|---|---|---|
| Intégré au navigateur ou au système | Gestionnaire de mots de passe de Google (Chrome, Android) | Gratuit, déjà installé, synchronisation, alertes de compromission, passkeys | La CNIL note que le niveau de sécurité varie d’un produit à l’autre et qu’une personne qui prend le contrôle de votre session accède à tout si aucun mot de passe maître ne verrouille le trousseau |
| Logiciel libre local | KeePass, Passwordsafe | Code auditable, base stockée sur votre poste, KeePass évalué par l’ANSSI | Synchronisation entre appareils à organiser soi-même, ergonomie plus rude, pas de support commercial |
| Service dédié dans le cloud | NordPass | Applications sur tous les appareils, extensions de navigateur, audits et certifications publiés | Code propriétaire, dépendance à un éditeur, abonnement pour les fonctions avancées |
Quel que soit le choix, deux règles s’appliquent partout : activer la double authentification sur le gestionnaire lui-même, et ne jamais enregistrer de mots de passe dans le navigateur d’un ordinateur partagé, comme le rappelle la CNIL.
Que valent les gestionnaires gratuits : Google Chrome, KeePass et les autres cités par la CNIL ?
Ils suffisent à une majorité de particuliers, à condition d’en connaître les limites. Le Gestionnaire de mots de passe de Google est l’outil que beaucoup utilisent déjà sans le savoir : c’est lui qui propose d’enregistrer vos mots de passe dans Chrome et qui les affiche quand vous cherchez « voir mes mots de passe » ou « mots de passe enregistrés ».
Selon la documentation Google, il génère des mots de passe uniques, les saisit automatiquement sur les sites et dans les applications, prévient quand un mot de passe enregistré est publié sur Internet, crée des clés d’accès et propose un chiffrement sur l’appareil. Google conseille d’ajouter des informations de récupération et d’activer la validation en deux étapes. Sur Android, l’application Gestionnaire de mots de passe de Google s’installe depuis le Play Store, avec Google défini comme fournisseur de saisie automatique.
La réserve de la CNIL sur ces trousseaux intégrés tient en un point : par défaut, celui qui contrôle votre session contrôle vos mots de passe. Elle juge indispensable de privilégier un outil qui demande un mot de passe maître distinct. Autre limite pour un lecteur crypto : tout repose sur un seul compte Google, qui devient la cible unique.
Précision pour ceux qui tapent « gestionnaire de mot de passe Facebook » : Facebook ne propose pas de coffre-fort. C’est le navigateur ou le téléphone qui a mémorisé votre mot de passe Facebook. Remplacez-le par un mot de passe unique généré par votre gestionnaire.
Côté logiciels libres, la CNIL cite dans ses conseils pour un bon mot de passe trois outils régulièrement mis à jour : KeePass, dont la sécurité a été évaluée par l’ANSSI, Zenyway et Passwordsafe. KeePass fonctionne hors ligne, sur votre ordinateur : on ouvre le gestionnaire avec le mot de passe maître, puis on copie-colle identifiant et mot de passe dans le champ de connexion. C’est moins fluide qu’une extension de navigateur, mais la base ne quitte jamais votre machine.
Si vous voulez du gratuit, ces options citées par un organisme public valent mieux qu’une application inconnue du Play Store qui se présente comme « le meilleur gestionnaire de mots de passe ». Vérifiez toujours qui édite l’outil et s’il a été audité.
Comment marche NordPass et quels audits de sécurité a-t-il passés ?
NordPass est le gestionnaire de mots de passe de Nord Security, l’éditeur de NordVPN. Il stocke vos identifiants dans un coffre chiffré synchronisé entre vos appareils. Le périmètre décrit lors de son audit couvre des applications Android, iOS et de bureau, des extensions de navigateur, un panneau d’administration et le Nord Account, le compte unique de l’éditeur.
Sur la vérification indépendante, NordPass publie trois éléments :
- Audit de code par Cure53. L’éditeur annonce dans son billet sur l’audit Cure53 de NordPass Business que le produit grand public avait déjà été audité par ce cabinet allemand, puis que la version Business l’a été en octobre 2021 : 21 jours-personne de travail, 15 problèmes de sécurité identifiés dont un de gravité « haute ». NordPass indique avoir pris des mesures, sans détailler chaque correction dans ce billet.
- Certification ISO/IEC 27001:2017 de son système de gestion de la sécurité de l’information, décrite dans l’annonce de la certification ISO 27001 de NordPass. Elle porte sur l’organisation et ses processus, pas sur le code, et impose des audits réguliers pour être conservée.
- Attestation SOC 2 de type 2, annoncée en décembre 2023 dans le billet de NordPass sur l’audit SOC 2 de type 2, après un type 1 en 2022. Le type 2 évalue l’efficacité réelle des contrôles dans la durée. Le même billet précise que NordPass est conforme à l’ISO 27001 depuis 2021.
Ce que ces documents ne disent pas, il faut le dire aussi. Le code de NordPass n’est pas libre, ce qui ne satisfait pas le critère d’auditabilité ouverte de la CNIL. Les audits publiés ici datent de 2021 à 2023 ; au 11 octobre 2026, nos sources ne mentionnent pas d’audit de code plus récent, à vérifier sur les pages officielles de l’éditeur. L’audit Cure53 détaillé concerne la version Business, pas directement l’offre pour particuliers. Enfin, comme tout service cloud, NordPass ajoute une dépendance à un éditeur et à son Nord Account, qu’il faut protéger par une double authentification.
Combien coûte NordPass et pour qui l'abonnement vaut-il le coup ?
Nos sources ne communiquent ni le tarif ni les conditions d’une éventuelle version gratuite de NordPass : nous ne pouvons donc pas citer de prix au 11 octobre 2026, et nous vous renvoyons à la grille officielle de l’éditeur. Méfiez-vous des articles qui affichent un prix sans date, ces grilles changent souvent.
NordPass a du sens pour vous si :
- vous jonglez entre un ordinateur, un smartphone et plusieurs navigateurs, et vous voulez une synchronisation sans rien configurer ;
- vous détenez des comptes sur plusieurs plateformes crypto et une boîte e-mail de récupération, et vous n’avez jamais tenu la règle « un mot de passe par compte » ;
- vous accordez de la valeur aux audits et certifications publiés, même partiels, plutôt qu’à une application sans historique.
Il ne vaut pas le coup si :
- vous utilisez un seul appareil et le Gestionnaire de mots de passe de Google avec validation en deux étapes vous suffit ;
- vous refusez qu’un coffre, même chiffré de bout en bout, quitte votre machine : KeePass, gratuit et évalué par l’ANSSI, répond mieux à ce besoin ;
- vous exigez un code source ouvert, critère que NordPass ne remplit pas.
Dans tous les cas, commencez par l’outil déjà présent sur votre appareil pendant quelques semaines. Le vrai changement d’habitude, c’est de laisser le logiciel générer et retenir vos mots de passe. L’abonnement n’apporte un gain que si cette habitude est prise. Nous avons tenu le même raisonnement pour le VPN du même éditeur dans notre avis sur NordVPN et ce qu’il protège vraiment pour vos cryptos.
Faut-il ajouter une clé de sécurité physique comme la YubiKey à son gestionnaire ?
Oui pour les comptes qui donnent accès à de l’argent, à condition de posséder deux clés. La CNIL le répète : « deux cadenas valent mieux qu’un », l’authentification à plusieurs facteurs offre davantage de sécurité que le seul mot de passe. Un gestionnaire protège contre les mots de passe faibles et réutilisés. Il ne protège pas contre un site de phishing qui vous fait saisir votre code SMS en temps réel.
Une clé de sécurité FIDO comme la YubiKey 5 NFC ferme cette porte. Lors de la connexion, elle vérifie cryptographiquement que le site est le bon avant de répondre, en USB-A ou en NFC sur un téléphone. Elle sert d’abord à verrouiller trois comptes : votre boîte e-mail, votre gestionnaire de mots de passe lui-même, et votre plateforme d’échange quand celle-ci accepte les clés FIDO. Notre dossier sur la YubiKey et la protection des comptes contre le phishing détaille la mise en place service par service.
Les limites sont réelles. Si vous perdez votre seule clé sans méthode de secours, vous pouvez être enfermé hors de vos comptes : prenez-en deux et enregistrez les deux partout. Tous les sites et toutes les plateformes crypto n’acceptent pas les clés FIDO, certains se limitent encore au SMS ou à l’application d’authentification. Et une clé ne fait rien pour un portefeuille non dépositaire, dont la sécurité repose sur la phrase de récupération, pas sur un mot de passe. Le prix varie selon le vendeur : consultez la fiche produit.
Que ne faut-il jamais stocker dans un gestionnaire de mots de passe ?
La phrase de récupération (ou seed phrase) de votre portefeuille matériel, en premier. Cette suite de 12 ou 24 mots reconstitue l’intégralité de vos clés privées sur n’importe quel appareil. Celui qui la lit possède vos cryptos, sans mot de passe, sans double authentification, sans recours. C’est une différence de nature avec un mot de passe de plateforme, que l’on peut réinitialiser.
La nuance mérite d’être posée. Aucune de nos sources officielles, ni la CNIL ni NordPass, ne traite spécifiquement de la phrase de récupération. Les fabricants de portefeuilles matériels recommandent une conservation hors ligne, sur papier ou sur support métallique, à l’écart de tout appareil connecté. Certains utilisateurs avancés défendent un stockage dans un coffre local hors ligne, de type KeePass sur une machine jamais connectée. Notre position pour un public débutant à intermédiaire : jamais dans un gestionnaire synchronisé dans le cloud, et pas davantage dans une photo, une note ou un e-mail. Notre comparatif Ledger contre Trezor pour choisir un portefeuille matériel explique comment organiser cette sauvegarde physique.
D’autres secrets méritent la même prudence :
- les codes de secours de double authentification de votre gestionnaire lui-même, sinon le coffre contient sa propre clé de rechange ;
- la clé privée brute d’un portefeuille logiciel, pour la même raison que la phrase de récupération ;
- le mot de passe maître, par définition : s’il est dans le coffre, il ne protège plus rien.
En revanche, les mots de passe des plateformes, de l’e-mail, des réseaux sociaux, les numéros de carte et les notes chiffrées ont toute leur place dans le gestionnaire. C’est le rôle qu’il remplit mieux que votre mémoire.
Questions fréquentes
Quels sont les avis des utilisateurs sur NordPass ?
Nos sources, qui sont des documents officiels de la CNIL, de Google et de NordPass, ne contiennent pas d'enquête d'avis d'utilisateurs. Les éléments vérifiables sont les audits publiés : audit Cure53, certification ISO 27001 et attestation SOC 2 de type 2. Pour les retours d'usage, croisez plusieurs plateformes d'avis et méfiez-vous des notes sans commentaire daté.
Est-ce que NordPass est gratuit et combien coûte un abonnement ?
Nos sources ne précisent ni l'existence d'une version gratuite ni le prix d'un abonnement au 11 octobre 2026. Consultez la grille officielle de l'éditeur, qui évolue régulièrement. Avant de payer, testez un outil gratuit comme le Gestionnaire de mots de passe de Google ou KeePass, cité par la CNIL.
Comment marche NordPass ?
NordPass stocke vos identifiants dans un coffre chiffré, ouvert par votre mot de passe maître et synchronisé entre ses applications Android, iOS et de bureau et ses extensions de navigateur. L'accès passe par un Nord Account, qu'il faut protéger par une double authentification. L'éditeur publie des audits de sécurité indépendants depuis 2021.
Comment supprimer mon compte NordPass et pourquoi NordPass ne fonctionne pas parfois ?
La procédure de suppression et le dépannage ne figurent pas dans nos sources : passez par le centre d'aide officiel de l'éditeur. Avant de supprimer un compte, exportez vos mots de passe pour les importer ailleurs. En cas de panne du remplissage automatique, les causes classiques sont une extension à mettre à jour, une session expirée ou un navigateur non pris en charge.
J'ai oublié le mot de passe de mon gestionnaire, que faire ?
Avec un chiffrement de bout en bout, l'éditeur ne peut pas retrouver votre mot de passe maître. Seules les méthodes de récupération configurées à l'avance fonctionnent : code de secours, appareil de confiance ou contact de récupération selon l'outil. D'où l'importance d'un mot de passe maître mémorisable d'au moins 12 caractères, comme le conseille la CNIL, et d'activer ces options dès l'installation.
Comment voir mes mots de passe enregistrés dans Google Chrome ?
Connectez-vous à Chrome avec votre compte Google et ouvrez le Gestionnaire de mots de passe depuis les paramètres du navigateur ou l'application dédiée sur Android. Google y liste vos mots de passe enregistrés, signale ceux qui ont fuité et permet de les exporter. Google recommande d'activer la validation en deux étapes et d'ajouter des informations de récupération pour protéger cette liste.
Sources consultées et vérifiées le 11 octobre 2026. Une erreur ? Écrivez-nous via la page contact.
