Gestionnaire d'entreprise ou gestionnaire du navigateur
Gestionnaire d'entreprise et gestionnaire intégré au navigateur : ce qui les distingue, ce que fait le salarié et les pièges à éviter.
En 30 secondes
- Où ça arrive
- À chaque connexion à un outil professionnel, quand le navigateur propose « Enregistrer le mot de passe ».
- Ce que veut l'attaquant
- Récupérer les identifiants enregistrés dans le navigateur, puis les réutiliser sur d'autres systèmes ou comptes pour étendre son accès3.
- Le réflexe
- Utiliser uniquement le gestionnaire fourni par Brain pour les mots de passe professionnels, activer le double facteur et ne rien enregistrer dans le navigateur.
- Si c'est déjà fait
- Signaler la perte ou le vol d'un appareil sans attendre, puis suivre les consignes de l'équipe sécurité pour changer les mots de passe concernés.
De quoi parle-t-on
Un gestionnaire de mots de passe est une base de données chiffrée par un unique mot de passe « maître »1. Il répond à un problème courant : un salarié gère des dizaines de mots de passe, pas seulement ceux du travail, et beaucoup réutilisent le même ou en choisissent de courants, ce que les attaquants exploitent2.
Deux familles d'outils existent côté travail : le gestionnaire que l'entreprise fournit et administre, et celui qui est intégré au navigateur. Ils se ressemblent à l'écran, mais ils ne protègent pas de la même façon, et l'entreprise n'a pas la même prise sur eux.
Questions directes
Qu'est-ce qu'un gestionnaire de mots de passe d'entreprise ?
C'est un gestionnaire dont l'organisation pilote l'usage. Le NCSC britannique note que certains produits offrent une gestion centralisée des mots de passe dans l'organisation, et que ces solutions sont en général payantes2. Les identifiants sont stockés dans un coffre accessible par un mot de passe maître2. L'administrateur peut fixer des règles d'usage et voir une vue d'ensemble de l'utilisation des mots de passe2.
En quoi diffère-t-il du gestionnaire du navigateur ?
Le NCSC distingue les gestionnaires qui sont une application autonome et ceux qui sont intégrés au navigateur ou au système d'exploitation2. La CISA cite les gestionnaires intégrés au navigateur parmi les gestionnaires gratuits4. Les fonctions d'administration centralisée (partage contrôlé, journaux, règles) sont décrites par le NCSC pour les gestionnaires d'entreprise2. Le NCSC cite d'ailleurs, parmi les choix possibles d'une organisation, celui d'autoriser les salariés à enregistrer leurs mots de passe dans les navigateurs2 : c'est donc à Brain de fixer la règle, et la règle de Brain est d'utiliser son outil.
Pourquoi éviter d'enregistrer ses mots de passe professionnels dans le navigateur ?
Les navigateurs conservent en général les identifiants sous forme chiffrée dans un magasin dédié, mais des méthodes existent pour en extraire les mots de passe en clair3. Sous Windows, par exemple, les identifiants chiffrés de Chrome se lisent dans un fichier de base de données, puis une fonction du système les déchiffre avec les identifiants de session mis en cache de la victime3. Des logiciels malveillants connus, comme Agent Tesla, collectent les identifiants de plusieurs navigateurs3. La CNIL ajoute de ne jamais enregistrer ses mots de passe dans le navigateur d'un ordinateur partagé1.
Un gestionnaire d'entreprise peut-il lui aussi être attaqué ?
Oui. Le NCSC le dit : un gestionnaire peut avoir des failles, et il attire les attaquants parce qu'une attaque réussie donne accès à tous les mots de passe stockés2. Il estime pourtant que les bénéfices l'emportent sur les risques2. Le mot de passe maître et le double facteur protègent cet accès unique.
Que faire si un appareil est perdu ou volé ?
Le signaler tout de suite à l'équipe sécurité. La marche à suivre est celle que Brain indique.
1Comment ça marche1 min
Le coffre est chiffré. Selon le NCSC, la clé de déchiffrement est en général dérivée du mot de passe maître, et elle ne devrait être accessible à personne d'autre, pas même au fournisseur du service pour les gestionnaires synchronisés dans le nuage2. La CNIL décrit le même principe : une base de données chiffrée par un unique mot de passe « maître », ce qui permet de retenir un seul mot de passe et d'avoir tous les autres très longs et différents1.
Le NCSC cite d'autres fonctions utiles :
- le remplissage automatique, qui ne propose les identifiants qu'au site pour lequel ils ont été enregistrés, et qui peut aider contre l'hameçonnage car un gestionnaire détecte mieux les faux sites qu'un humain2 ;
- la génération de mots de passe aléatoires, longs et uniques2 ;
- l'audit de la qualité des mots de passe, qui signale par exemple un mot de passe réutilisé2.
Pour l'entreprise, la centralisation ajoute le partage de mots de passe avec journal des accès et contrôle par une personne autorisée2. Le NCSC ne recommande pas le partage entre individus, mais admet que des organisations ne peuvent pas encore s'en passer ; un gestionnaire d'entreprise réduit alors les risques2. Les administrateurs ne devraient pas pouvoir voir ni utiliser les mots de passe individuels, hors groupe de partage, et leur accès devrait être audité2.
2Ce que vous faites1 min
- Utilisez l'outil fourni par Brain pour tous les mots de passe professionnels. Le NCSC recommande aux organisations de fournir un moyen de stockage adapté, et recommande les gestionnaires de mots de passe là où c'est approprié5.
- Activez le double facteur sur le gestionnaire. Avec lui, un attaquant doit connaître le mot de passe maître et posséder le second facteur2. La CNIL recommande aussi la double authentification quand le service la propose1.
- N'enregistrez aucun mot de passe professionnel dans le navigateur.
- Laissez l'outil générer les mots de passe. La CISA conseille des mots de passe longs (au moins 16 caractères), aléatoires et uniques pour chaque compte4.
- Choisissez pour le mot de passe maître une phrase de passe : la CISA propose une suite de 4 à 7 mots sans lien entre eux4.
- Signalez toute perte d'appareil.
3Les pièges2 min
Un mot de passe maître faible
Tout le coffre dépend de lui. Le NCSC prévient que, si l'utilisateur l'oublie, il perd l'accès à tous ses mots de passe enregistrés, et qu'une méthode de récupération peut être exploitée pour accéder aux identifiants2. Choisissez donc une phrase longue, retenue de tête et jamais notée dans un fichier ou sur un post-it. La CNIL range les post-it, les fichiers texte, le smartphone et la messagerie parmi les supports non conçus pour stocker des mots de passe1.
La synchronisation avec un compte personnel
Certains gestionnaires d'entreprise proposent un coffre personnel pour les comptes privés. Le NCSC demande alors une bonne séparation : les mots de passe professionnels ne doivent pas être accessibles depuis le coffre personnel, et inversement2. Il note que, si l'entreprise autorise les appareils personnels ou les comptes personnels au travail, l'utilisateur ne voit pas toujours quel coffre il utilise2. Avant d'activer une synchronisation, vérifiez donc qu'elle ne mélange pas les deux.
L'export en clair
Certains gestionnaires exportent tous les mots de passe dans un fichier texte. Une fois exporté, par un utilisateur légitime ou par un attaquant, le fichier n'est plus protégé2. N'exportez le coffre que si la règle de l'entreprise l'autorise, et traitez le fichier comme l'indique cette règle.
L'hameçonnage qui imite une page de connexion
Le remplissage automatique aide ici : le gestionnaire ne propose les identifiants que sur le site enregistré2. Si l'outil ne propose rien sur une page de connexion censée être connue, c'est un signal d'alerte. Ne recopiez pas le mot de passe à la main sur une page suspecte.
Le coffre comme cible
Le NCSC rappelle que les gestionnaires, comme tout logiciel de sécurité, ne sont pas infaillibles et sont une cible attractive5. Il demande l'authentification multifacteur sur tous les gestionnaires synchronisés dans le nuage, et pour les comptes à privilèges2.
4Pour aller plus loin1 min
La révision 800-63-3 du NIST, remplacée depuis le 1er août 2025, recommandait que les services permettent le collage dans les champs de mot de passe6. La CNIL décrit le gestionnaire comme une base de données de mots de passe chiffrée par un unique mot de passe « maître » dont la sécurité a pu être vérifiée1.
Fiche
- Identifiant
- CP-346
- Aile
- 5. Vie au bureau et réflexes
- Compétence Brain
- Maîtriser ses mots de passe (master_passwords)
- Réflexe Brain
- cr-009
- Schéma
- G2 · Comparatif Mythe vs Réalité
- Langues
- de, en, fr
- Sources
- 6 sources vérifiées le 3 novembre 2026
Sources6 sources
- CNIL, « Les conseils de la CNIL pour un bon mot de passe », 26 janvier 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consulté le 3 novembre 2026)
- NCSC (Royaume-Uni), « Password manager buyers guide », 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consulté le 3 novembre 2026)
- MITRE ATT&CK, « Credentials from Password Stores: Credentials from Web Browsers, Sub-technique T1555.003 - Enterprise | MITRE ATT&CK® », 12 février 2020. https://attack.mitre.org/techniques/T1555/003/ (consulté le 3 novembre 2026)
- CISA, « Use Strong Passwords | CISA ». https://www.cisa.gov/secure-our-world/use-strong-passwords (consulté le 3 novembre 2026)
- NCSC (Royaume-Uni), « Password policy: updating your approach », 19 novembre 2018. https://www.ncsc.gov.uk/collection/passwords/updating-your-approach (consulté le 3 novembre 2026)
- NIST, « NIST Special Publication 800-63B ». https://pages.nist.gov/800-63-3/sp800-63b.html (consulté le 3 novembre 2026)
Citer cet article
Brain, « Gestionnaire d'entreprise ou gestionnaire du navigateur », Cyberpedia, 2026. https:/
BibTeX
@misc{brain_cp346_fr_2026,
author = {Brain},
title = {Gestionnaire d'entreprise ou gestionnaire du navigateur},
year = {2026},
howpublished = {Cyberpedia},
url = {https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-entreprise-vs-navigateur/},
note = {CC BY 4.0}
}