Un client m'a appelé un mardi matin, paniqué. Son community manager venait de partir, et avec lui le seul accès au compte Instagram de la marque. Mot de passe changé la veille par dépit. Rien d'autre dans le coffre partagé de l'entreprise : pas d'email de secours, pas de numéro, rien. On a passé quatre heures à reconstituer l'accès par la procédure de récupération, en priant pour que les questions de sécurité de 2019 soient encore valides.
On y est arrivés. Mais cette matinée m'a rappelé une chose que je répète à chaque audit : gérer les identifiants et coffres-forts de mots de passe, ce n'est pas la même métier selon que vous êtes un particulier avec 80 comptes ou une équipe IT qui administre des secrets machines. Et c'est cette confusion qui coûte cher.
Points clés à retenir
- Un gestionnaire d'identifiants stocke des logins pour un usage personnel ; un coffre-fort administre des secrets, des rôles et des droits pour plusieurs personnes.
- Le mot de passe maître représente le point unique de défaillance : protégez-le avec une phrase de passe longue plutôt qu'une combinaison complexe mais courte.
- Pour une équipe, la question n'est pas "quel outil" mais "qui voit quoi, et comment on révoque un accès en cinq minutes".
- Les coffres gratuits suffisent largement pour un usage individuel ; ils deviennent un piège dès qu'il faut partager.
Gérer des identifiants ou administrer un coffre-fort : la différence qu'on ne vous explique jamais
La plupart des comparatifs rangent tout dans le même sac. "Gestionnaire de mots de passe." Point. Sauf que le mot recouvre deux métiers très différents, et que le second a failli me coûter un contrat.
Les identifiants : votre usage personnel
Un identifiant, c'est un trio : une URL, un login, un mot de passe. Le gestionnaire les enregistre, les remplit automatiquement, les synchronise entre votre navigateur et votre téléphone. C'est ce qu'on attend d'un outil grand public.
Un détail que je vois mal expliqué : la synchronisation entre Chrome sur ordinateur et le trousseau Android passe par votre compte Google. Pratique. Mais cela veut dire que votre navigateur détient une copie de vos secrets, chiffrée certes, mais accessible à quiconque déverrouille la session.
Le coffre-fort : du partage et de la gouvernance
Un coffre-fort d'équipe, lui, gère des secrets partagés : le compte Twitter de la boîte, l'accès à l'hébergeur, la clé Stripe, les identifiants de la base de production. On y ajoute des rôles (lecture seule, écriture, administrateur), des journaux d'accès, et une rotation des secrets.
La différence n'est pas cosmétique. Sur un compte individuel, si vous perdez l'accès, vous êtes seul à souffrir. Sur un coffre partagé, une mauvaise gestion bloque une équipe entière. Et là, quatre heures de galère ne suffisent plus.
Les trois chiffres qui devraient dicter votre choix d'outil
Avant de comparer les gestionnaires, mesurez trois choses.
- Le nombre d'identifiants médians par personne. Passez en revue votre navigateur : le compteur de mots de passe enregistrés est souvent révélateur. La moyenne tourne autour de cent trente pour un usage mêlant pro et perso, ce qui rend toute mémorisation illusoire.
- Le nombre de comptes partagés par au moins deux personnes. C'est le chiffre qui décide de tout : dès qu'il dépasse zéro, l'usage individuel ne tient plus.
- Le temps de révocation. Si un salarié partait demain, combien de temps vous faudrait-il pour couper tous ses accès ? En dessous de cinq minutes, votre organisation est saine. Au-delà d'une heure, vous avez un problème de gouvernance, pas de logiciel.
Sur ce troisième point, j'ai vu la différence concrète. Une PME où tout passait par un tableur partagé mettait deux jours à révoquer les accès d'un départ. Une autre, équipée d'un coffre d'équipe, le faisait en trois clics. Le budget logiciel n'était pas le même, mais le coût caché d'une fuite l'était encore moins.
Un coffre-fort de mots de passe gratuit suffit-il vraiment ?
La réponse honnête : pour un particulier, oui, dans la quasi-totalité des cas. Pour une équipe, presque jamais.
Ce que couvre le gratuit
Le gestionnaire de mots de passe Google, intégré à Chrome et Android, fait un travail tout à fait correct : génération de mots de passe robustes, alerte sur les mots de passe compromis, synchronisation multi-appareils. Un coffre-fort de mots de passe français gratuit comme Proton Pass propose des fonctions équivalentes, sans dépendance à un compte tiers.
Pour "voir mes mots de passe" enregistrés, la manipulation est simple : dans Chrome, ouvrez les paramètres, section remplissage automatique, puis gestionnaire de mots de passe. Vous y trouvez la liste, avec la possibilité de révéler chaque mot de passe après authentification. C'est aussi là que vous supprimez une entrée obsolète.
Ce que le gratuit ne couvre pas
Le partage sécurisé, les coffres d'équipe, les rôles, l'audit des accès. Les offres gratuites ferment ces portes ou les limitent à un ou deux utilisateurs.
Spoiler : c'est exactement là que la plupart des fuites d'identifiants se logent dans les petites structures. Pas dans un mot de passe mal chiffré, mais dans un partage sauvage où le mot de passe de la boîte circule par messagerie.
Comparatif : quel coffre-fort choisir selon votre profil
| Profil | Besoin principal | Type d'outil | Ce qu'il faut vérifier |
|---|---|---|---|
| Particulier | Stocker, générer, synchroniser | Gestionnaire d'identifiants intégré au navigateur | Chiffrement de bout en bout, export possible |
| Freelance avec clients | Partager des accès temporaires | Coffre individuel avec partage limité | Durée d'expiration des partages |
| Équipe de 5 à 50 | Coffres partagés et rôles | Coffre d'équipe | Journal d'accès, révocation immédiate |
| IT / administrateurs | Secrets machines, comptes à privilèges | Gestion de secrets, rotation automatique | Break-glass, intégration annuaire, audit |
Un mot sur le dernier profil, celui des administrateurs. C'est un métier à part. Les secrets machines, les comptes à privilèges, la rotation automatique des clés, tout cela ne se gère pas avec un navigateur. Une plateforme dédiée s'impose dès qu'une seule application déploie des secrets à l'échelle industrielle.
Ce que je recommande souvent : commencer gratuitement pour un usage individuel, mais tester le passage à un coffre d'équipe sur des comptes partagés bien réels, pas en démonstration. C'est là que les limites apparaissent.
Les erreurs que je vois le plus souvent dans les audits
J'ai mené assez d'audits pour avoir un catalogue. Voici celles qui reviennent le plus, avec ce qu'il faut faire à la place.
Erreur n°1 : un mot de passe maître trop faible
Le point unique de défaillance, c'est lui. Un mot de passe maître de dix caractères avec majuscules, chiffres et symboles peut être craqué en quelques heures par un attaquant qui a récupéré le fichier chiffré. Une phrase de passe de cinq mots au hasard résiste bien plus longtemps, et elle se mémorise mieux.
Erreur n°2 : partager sans décider qui possède les accès
Quand une équipe partage un compte, personne ne sait qui est responsable de la rotation. Le lendemain du départ de la personne qui a créé le compte, la question devient : comment récupérer la main ?
La règle que je donne : un compte partagé doit toujours avoir au moins deux propriétaires actifs. Pas un. Deux.
Erreur n°3 : ne jamais tester la sortie
Votre coffre-fort vous enferme-t-il ? Si vous ne pouvez pas exporter vos identifiants dans un format lisible et les ré-importer ailleurs, vous êtes en otage. Testez l'export le jour où vous adoptez l'outil, pas trois ans après.
Erreur n°4 : jamais changer les mots de passe critiques
Une rotation annuelle des identifiants à enjeu (accès bancaires, emails principaux, comptes d'administration) est une bonne hygiène. Ce n'est pas obligatoire pour un forum de recettes. Le discernement vaut mieux que la systématique.
Une procédure concrète pour reprendre la main en dix minutes
Si vous découvrez que votre gestion d'identifiants est en friche, voici l'ordre dans lequel je procède, du plus urgent au plus confortable.
- Récupérez les accès critiques : email principal, banque, comptes d'administration, réseaux sociaux marque. Notez-les dans un fichier local chiffré si nécessaire.
- Pariez sur un gestionnaire et n'en changez plus pendant au moins un an. L'écosystème importe plus que la fonctionnalité isolée.
- Migrez les identifiants par ordre d'enjeu. Les comptes de e-commerce en dernier, ceux de travail et financiers en premier.
- Changez les mots de passe à mesure que vous les enregistrez. Un ancien mot de passe réutilisé ailleurs vous suivra.
- Activez la double authentification partout où c'est possible. C'est le gain de sécurité le moins coûteux.
- Documentez le point de sortie : qui possède le compte principal, où se trouve la clé de secours, comment on révoque.
Cette procédure prend en réalité plus de dix minutes pour quelqu'un avec beaucoup de comptes. La première fois, comptez une heure ou deux. Mais une seule fois.
Ce qui importe vraiment, au fond
La conversation sur les identifiants et coffres-forts dérive souvent vers la comparaison d'outils. C'est le symptôme, pas le fond.
Le fond, c'est que la sécurité des accès n'est plus un problème de mémoire, elle est devenue un problème d'organisation. Un gestionnaire de mots de passe ne résout pas la question de savoir qui détient quoi dans une équipe. Il ne fait que la rendre visible, et c'est déjà beaucoup.
Ce qui me marque, après des années à voir la même catégorie d'incident se répéter, c'est que l'outil n'est presque jamais le maillon faible. Le maillon faible, c'est ce départ de salarié un mardi matin, et l'absence de règle qui décide, à ce moment précis, qui a la clé.
