--- id: CP-346 slug: gestionnaire-mots-de-passe-entreprise-vs-navigateur lang: fr title: Gestionnaire d'entreprise ou gestionnaire du navigateur description: "Gestionnaire d'entreprise et gestionnaire intégré au navigateur : ce qui les distingue, ce que fait le salarié et les pièges à éviter." canonical_url: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Gestionnaire d'entreprise ou gestionnaire du navigateur », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur/ (CC BY 4.0) wing: 5 theme: master_passwords reflex: cr-009 schema: G2 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur/ en: https://startbrain.io/cyberpedia/en/articles/enterprise-password-manager-vs-browser/ de: https://startbrain.io/cyberpedia/de/articles/unternehmens-passwortmanager-vs-browser/ es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-empresa-vs-navegador/ sources: - "n": 1 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 2 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide published: "2018-11-19" accessed: "2026-11-03" - "n": 3 title: "Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/003/ published: "2020-02-12" accessed: "2026-11-03" - "n": 4 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 5 title: "Password policy: updating your approach" publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/updating-your-approach published: "2018-11-19" accessed: "2026-11-03" - "n": 6 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" --- # Gestionnaire d'entreprise ou gestionnaire du navigateur Un gestionnaire de mots de passe est une base de données chiffrée par un unique mot de passe « maître » [1]. Il répond à un problème courant : un salarié gère des dizaines de mots de passe, pas seulement ceux du travail, et beaucoup réutilisent le même ou en choisissent de courants, ce que les attaquants exploitent [2]. Deux familles d'outils existent côté travail : le gestionnaire que l'entreprise fournit et administre, et celui qui est intégré au navigateur. Ils se ressemblent à l'écran, mais ils ne protègent pas de la même façon, et l'entreprise n'a pas la même prise sur eux. ## En 30 secondes - Où ça arrive : à chaque connexion à un outil professionnel, quand le navigateur propose « Enregistrer le mot de passe ». - Ce que veut l'attaquant : récupérer les identifiants enregistrés dans le navigateur, puis les réutiliser sur d'autres systèmes ou comptes pour étendre son accès [3]. - Le réflexe : utiliser uniquement le gestionnaire fourni par Brain pour les mots de passe professionnels, activer le double facteur et ne rien enregistrer dans le navigateur. - Si c'est déjà fait : signaler la perte ou le vol d'un appareil sans attendre, puis suivre les consignes de l'équipe sécurité pour changer les mots de passe concernés. ## Questions directes ### Qu'est-ce qu'un gestionnaire de mots de passe d'entreprise ? C'est un gestionnaire dont l'organisation pilote l'usage. Le NCSC britannique note que certains produits offrent une gestion centralisée des mots de passe dans l'organisation, et que ces solutions sont en général payantes [2]. Les identifiants sont stockés dans un coffre accessible par un mot de passe maître [2]. L'administrateur peut fixer des règles d'usage et voir une vue d'ensemble de l'utilisation des mots de passe [2]. ### En quoi diffère-t-il du gestionnaire du navigateur ? Le NCSC distingue les gestionnaires qui sont une application autonome et ceux qui sont intégrés au navigateur ou au système d'exploitation [2]. La CISA cite les gestionnaires intégrés au navigateur parmi les gestionnaires gratuits [4]. Les fonctions d'administration centralisée (partage contrôlé, journaux, règles) sont décrites par le NCSC pour les gestionnaires d'entreprise [2]. Le NCSC cite d'ailleurs, parmi les choix possibles d'une organisation, celui d'autoriser les salariés à enregistrer leurs mots de passe dans les navigateurs [2] : c'est donc à Brain de fixer la règle, et la règle de Brain est d'utiliser son outil. ### Pourquoi éviter d'enregistrer ses mots de passe professionnels dans le navigateur ? Les navigateurs conservent en général les identifiants sous forme chiffrée dans un magasin dédié, mais des méthodes existent pour en extraire les mots de passe en clair [3]. Sous Windows, par exemple, les identifiants chiffrés de Chrome se lisent dans un fichier de base de données, puis une fonction du système les déchiffre avec les identifiants de session mis en cache de la victime [3]. Des logiciels malveillants connus, comme Agent Tesla, collectent les identifiants de plusieurs navigateurs [3]. La CNIL ajoute de ne jamais enregistrer ses mots de passe dans le navigateur d'un ordinateur partagé [1]. ### Un gestionnaire d'entreprise peut-il lui aussi être attaqué ? Oui. Le NCSC le dit : un gestionnaire peut avoir des failles, et il attire les attaquants parce qu'une attaque réussie donne accès à tous les mots de passe stockés [2]. Il estime pourtant que les bénéfices l'emportent sur les risques [2]. Le mot de passe maître et le double facteur protègent cet accès unique. ### Que faire si un appareil est perdu ou volé ? Le signaler tout de suite à l'équipe sécurité. La marche à suivre est celle que Brain indique. ## Comment ça marche Le coffre est chiffré. Selon le NCSC, la clé de déchiffrement est en général dérivée du mot de passe maître, et elle ne devrait être accessible à personne d'autre, pas même au fournisseur du service pour les gestionnaires synchronisés dans le nuage [2]. La CNIL décrit le même principe : une base de données chiffrée par un unique mot de passe « maître », ce qui permet de retenir un seul mot de passe et d'avoir tous les autres très longs et différents [1]. Le NCSC cite d'autres fonctions utiles : - le remplissage automatique, qui ne propose les identifiants qu'au site pour lequel ils ont été enregistrés, et qui peut aider contre l'hameçonnage car un gestionnaire détecte mieux les faux sites qu'un humain [2] ; - la génération de mots de passe aléatoires, longs et uniques [2] ; - l'audit de la qualité des mots de passe, qui signale par exemple un mot de passe réutilisé [2]. Pour l'entreprise, la centralisation ajoute le partage de mots de passe avec journal des accès et contrôle par une personne autorisée [2]. Le NCSC ne recommande pas le partage entre individus, mais admet que des organisations ne peuvent pas encore s'en passer ; un gestionnaire d'entreprise réduit alors les risques [2]. Les administrateurs ne devraient pas pouvoir voir ni utiliser les mots de passe individuels, hors groupe de partage, et leur accès devrait être audité [2]. ## Ce que vous faites - Utilisez l'outil fourni par Brain pour tous les mots de passe professionnels. Le NCSC recommande aux organisations de fournir un moyen de stockage adapté, et recommande les gestionnaires de mots de passe là où c'est approprié [5]. - Activez le double facteur sur le gestionnaire. Avec lui, un attaquant doit connaître le mot de passe maître et posséder le second facteur [2]. La CNIL recommande aussi la double authentification quand le service la propose [1]. - N'enregistrez aucun mot de passe professionnel dans le navigateur. - Laissez l'outil générer les mots de passe. La CISA conseille des mots de passe longs (au moins 16 caractères), aléatoires et uniques pour chaque compte [4]. - Choisissez pour le mot de passe maître une phrase de passe : la CISA propose une suite de 4 à 7 mots sans lien entre eux [4]. - Signalez toute perte d'appareil. ## Les pièges ### Un mot de passe maître faible Tout le coffre dépend de lui. Le NCSC prévient que, si l'utilisateur l'oublie, il perd l'accès à tous ses mots de passe enregistrés, et qu'une méthode de récupération peut être exploitée pour accéder aux identifiants [2]. Choisissez donc une phrase longue, retenue de tête et jamais notée dans un fichier ou sur un post-it. La CNIL range les post-it, les fichiers texte, le smartphone et la messagerie parmi les supports non conçus pour stocker des mots de passe [1]. ### La synchronisation avec un compte personnel Certains gestionnaires d'entreprise proposent un coffre personnel pour les comptes privés. Le NCSC demande alors une bonne séparation : les mots de passe professionnels ne doivent pas être accessibles depuis le coffre personnel, et inversement [2]. Il note que, si l'entreprise autorise les appareils personnels ou les comptes personnels au travail, l'utilisateur ne voit pas toujours quel coffre il utilise [2]. Avant d'activer une synchronisation, vérifiez donc qu'elle ne mélange pas les deux. ### L'export en clair Certains gestionnaires exportent tous les mots de passe dans un fichier texte. Une fois exporté, par un utilisateur légitime ou par un attaquant, le fichier n'est plus protégé [2]. N'exportez le coffre que si la règle de l'entreprise l'autorise, et traitez le fichier comme l'indique cette règle. ### L'hameçonnage qui imite une page de connexion Le remplissage automatique aide ici : le gestionnaire ne propose les identifiants que sur le site enregistré [2]. Si l'outil ne propose rien sur une page de connexion censée être connue, c'est un signal d'alerte. Ne recopiez pas le mot de passe à la main sur une page suspecte. ### Le coffre comme cible Le NCSC rappelle que les gestionnaires, comme tout logiciel de sécurité, ne sont pas infaillibles et sont une cible attractive [5]. Il demande l'authentification multifacteur sur tous les gestionnaires synchronisés dans le nuage, et pour les comptes à privilèges [2]. ## Pour aller plus loin La révision 800-63-3 du NIST, remplacée depuis le 1er août 2025, recommandait que les services permettent le collage dans les champs de mot de passe [6]. La CNIL décrit le gestionnaire comme une base de données de mots de passe chiffrée par un unique mot de passe « maître » dont la sécurité a pu être vérifiée [1]. ## Sources 1. CNIL, « Les conseils de la CNIL pour un bon mot de passe », 26 janvier 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consulté le 3 novembre 2026) 2. NCSC (Royaume-Uni), « Password manager buyers guide », 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consulté le 3 novembre 2026) 3. MITRE ATT&CK, « Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK® », 12 février 2020. https://attack.mitre.org/techniques/T1555/003/ (consulté le 3 novembre 2026) 4. CISA, « Use Strong Passwords | CISA ». https://www.cisa.gov/secure-our-world/use-strong-passwords (consulté le 3 novembre 2026) 5. NCSC (Royaume-Uni), « Password policy: updating your approach », 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (consulté le 3 novembre 2026) 6. NIST, « NIST Special Publication 800-63B ». https://pages.nist.gov/800-63-3/sp800-63b.html (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.