Des dizaines de comptes, et la tentation de noter ses mots de passe sur un papier ou de réutiliser toujours le même. Selon un baromètre CNIL-Médiamétrie de 2018 cité par la CNIL, trois internautes sur dix notaient alors leurs mots de passe sur papier, près d’un quart utilisaient toujours le même et environ 8 % seulement se servaient d’un gestionnaire. Dans ses règles essentielles de sécurité, mises à jour en juin 2026, la CNIL compte pourtant l’adoption d’un gestionnaire de mots de passe parmi ses recommandations de base, aux côtés des mots de passe solides et de la double authentification. Voici comment le choisir et s’en servir sans créer de nouvelle faille.
Comment fonctionne un gestionnaire de mots de passe
La CNIL le décrit comme un outil qui conserve vos mots de passe sous forme chiffrée. L’ensemble est rangé dans un coffre-fort numérique que l’on ouvre avec un seul secret, le mot de passe maître. Le logiciel libre KeePass résume le principe : une seule clé maître à retenir pour déverrouiller toute la base, chiffrée avec des algorithmes comme AES-256, ChaCha20 ou Twofish.
Au quotidien, la CNIL cite plusieurs avantages : un seul mot de passe à mémoriser, la génération de mots de passe robustes selon les critères que vous fixez, des versions pour ordinateur et mobile, et une connexion simplifiée. Certains outils remplissent même automatiquement identifiant et mot de passe, en général après la saisie du mot de passe maître une fois par session.
Les sept questions à se poser pour le choisir
Dans sa fiche de 2018, la CNIL propose une grille de sept questions :
- L’outil répond-il à vos besoins et aux risques que vous courez ?
- L’accès à la base est-il protégé par un mot de passe maître ?
- S’agit-il d’un logiciel libre, dont le code peut être audité ?
- La base est-elle hébergée en ligne, ou seulement sur votre poste ou votre propre cloud ?
- Est-il recommandé par des sites spécialisés ?
- Les retours des utilisateurs sont-ils positifs ?
- Quel est votre budget : gratuit, gratuit avec limites ou payant ?
Dans ses règles de 2026, la CNIL cite KeePassXC. Autre outil libre, KeePass, dont la dernière version (2.61.1) date du 1er mai 2026, se présente comme un gestionnaire libre, gratuit et léger. KeePassXC, publié sous licence GPLv3 et testé sous Windows, macOS et Linux, garde les mots de passe dans un fichier chiffré hors ligne, que l’on peut placer où l’on veut, y compris dans un cloud, sans rien stocker sur des serveurs distants. La CNIL le présente comme gratuit et certifié par l’ANSSI ; selon l’éditeur, c’est sa version 2.7.9 qui a reçu un visa de sécurité de l’agence.
Bien l’installer et l’utiliser : les étapes
- Télécharger l’outil sur le site officiel de l’éditeur ou dans un magasin d’applications officiel, comme la CNIL le recommande pour toute application.
- Créer un mot de passe maître robuste : au moins 12 caractères, en mélangeant majuscules, minuscules, chiffres et caractères spéciaux. La CNIL invite à tester ses mots de passe avec les outils proposés sur son site.
- Enregistrer ses comptes, puis remplacer les mots de passe faibles : le gestionnaire sert à « générer et conserver de multiples mots de passe solides, uniques pour chaque compte ». La CNIL rappelle que de nombreuses attaques réussissent grâce à des mots de passe trop simples, partagés ou réutilisés.
- Activer la double authentification dès que possible, en priorité sur la messagerie, les comptes administrateurs et les services en ligne.
- Sauvegarder le coffre s’il s’agit d’un fichier local, selon la règle « 3-2-1 » préconisée par la CNIL : trois copies, sur deux supports, dont une déconnectée, en testant la restauration.
- Laisser les mises à jour automatiques activées sur l’outil comme sur l’appareil.
Les risques à garder en tête
Le trousseau du navigateur ou du système. Pour la CNIL, son niveau de sécurité varie d’un outil à l’autre. Les données étant stockées sur l’appareil, une personne qui prend la main sur votre session ou accède à votre ordinateur peut récupérer tous vos mots de passe. L’autorité conseille donc de privilégier un outil qui exige un mot de passe maître.
L’appareil mal verrouillé. La CNIL recommande de protéger téléphones et tablettes par un code de verrouillage complexe et d’activer le chiffrement de leurs données.
Le faux message. La CNIL invite à se méfier des messages d’hameçonnage et, en cas de doute, à vérifier par un autre moyen. Si un mot de passe a été compromis, il faut le changer et ne plus jamais le réutiliser.
En entreprise, la CNIL recommande fortement un gestionnaire aux salariés qui ont de nombreux comptes d’applications métiers ou qui manipulent des données sensibles, et invite les responsables informatiques à le promouvoir pour éviter que des mots de passe soient conservés en clair. La séparation des usages personnels et professionnels reste de mise.
Questions fréquentes
Un gestionnaire de mots de passe est-il forcément payant ?
Non. La CNIL distingue les offres gratuites, gratuites avec limites et payantes. KeePass et KeePassXC sont gratuits et à code source ouvert.
Le gestionnaire intégré au navigateur suffit-il ?
Son niveau de sécurité varie selon les outils, prévient la CNIL. Le critère décisif est la présence d’un mot de passe maître, sans lequel quiconque accède à votre session voit tous vos identifiants.
Quelle longueur pour le mot de passe maître ?
Au moins 12 caractères, avec des chiffres et des caractères spéciaux, selon la CNIL. C’est le seul mot de passe à retenir : il doit donc être à la fois long et mémorisable.
Où sont stockés mes mots de passe ?
Cela dépend de l’outil : certains hébergent la base en ligne, d’autres la gardent sur votre poste. KeePassXC, par exemple, utilise un fichier chiffré hors ligne que vous placez où vous le souhaitez.
Faut-il encore activer la double authentification ?
Oui. La CNIL la recommande dès que possible : elle limite le risque d’usurpation d’un compte même si l’identifiant et le mot de passe ont été volés.
Sources
- Sécurité des données : les règles essentielles pour protéger les données et votre activité — CNIL, 2026-06-19
- 5 arguments pour adopter le gestionnaire de mots de passe — CNIL, 2018-10-03
- KeePass Password Safe — KeePass (éditeur, logiciel libre), 2026-05-01
- KeePassXC Password Manager — KeePassXC (éditeur, logiciel libre), 2026-10-21