--- id: CP-201 slug: gestionnaire-mots-de-passe-zero-knowledge lang: fr title: Gestionnaire de mots de passe et chiffrement Zero-Knowledge description: Comment un gestionnaire chiffre votre coffre à partir du mot de passe maître, et ce que vous faites pour qu'il protège vraiment vos comptes. canonical_url: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ markdown_url: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, « Gestionnaire de mots de passe et chiffrement Zero-Knowledge », Cyberpedia, 2026. https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-013 schema: G3 updated: "2026-11-03" translations: fr: https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ en: https://startbrain.io/cyberpedia/en/articles/zero-knowledge-password-manager/ es: https://startbrain.io/cyberpedia/es/articles/gestor-contrasenas-zero-knowledge/ sources: - "n": 1 title: Password manager buyers guide publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide accessed: "2026-11-03" - "n": 2 title: "SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/132/final accessed: "2026-11-03" - "n": 3 title: Password Storage - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html accessed: "2026-11-03" - "n": 4 title: Les conseils de la CNIL pour un bon mot de passe publisher: CNIL url: https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe published: "2017-01-26" accessed: "2026-11-03" - "n": 5 title: Use Strong Passwords | CISA publisher: CISA url: https://www.cisa.gov/secure-our-world/use-strong-passwords accessed: "2026-11-03" - "n": 6 title: Three random words publisher: NCSC (Royaume-Uni) url: https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words published: "2021-12-21" accessed: "2026-11-03" - "n": 7 title: Authentication - OWASP Cheat Sheet Series publisher: OWASP url: https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html accessed: "2026-11-03" - "n": 8 title: NIST Special Publication 800-63B publisher: NIST url: https://pages.nist.gov/800-63-3/sp800-63b.html accessed: "2026-11-03" - "n": 9 title: Pourquoi et comment bien gérer ses mots de passe ? publisher: Cybermalveillance.gouv.fr url: https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe published: "2019-11-23" accessed: "2026-11-03" - "n": 10 title: "Credentials from Password Stores: Password Managers" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1555/005/ accessed: "2026-11-03" --- # Gestionnaire de mots de passe et chiffrement Zero-Knowledge Un gestionnaire de mots de passe range les identifiants d'un salarié dans un coffre. Ce coffre s'ouvre avec un seul secret, le mot de passe maître [1]. Les dizaines de mots de passe que chacun utilise sont difficiles à mémoriser, et l'effet est connu : on réutilise les mêmes ou on choisit des mots de passe courants, ce que les attaquants exploitent [1]. Dans le cas idéal décrit par le NCSC, la clé qui déchiffre le coffre est généralement dérivée du mot de passe maître, et elle ne devrait pas être accessible au fournisseur du service de synchronisation [1]. Cette propriété a une contrepartie : si la clé de déchiffrement est perdue, il ne doit pas être possible de la réinitialiser pour récupérer le contenu du coffre [1]. ## En 30 secondes - Où ça arrive : chaque fois qu'un mot de passe est créé, saisi ou enregistré, au travail comme à la maison. - Ce que veut l'attaquant : le mot de passe maître ou les identifiants en clair extraits de la mémoire [10], car une attaque réussie donne accès à tous les mots de passe stockés [1]. - Le réflexe : choisir une phrase secrète longue et unique comme mot de passe maître [5][6], activer l'authentification multifacteur sur le gestionnaire [1] et ne jamais réutiliser ce secret ailleurs [4]. - Si c'est déjà fait : savoir si une récupération existe, qui peut la déclencher, et si vous la voulez [1]. ## Questions directes ### Le fournisseur peut-il lire mes mots de passe ? Le guide du NCSC (Royaume-Uni) décrit le cas idéal : les identifiants stockés ne sont accessibles qu'à l'utilisateur, avec sa clé de déchiffrement, généralement dérivée du mot de passe maître. Cette clé ne doit pas être accessible aux autres, fournisseur compris [1]. Un gestionnaire qui offre une récupération par le fournisseur s'écarte de ce cas : le NCSC avertit que la méthode de récupération peut être exploitée pour accéder aux identifiants, surtout quand le fournisseur en est responsable [1]. ### Que se passe-t-il si j'oublie le mot de passe maître ? Vous perdez l'accès à tous vos mots de passe enregistrés et devez réinitialiser un à un les comptes concernés, ce qui demande beaucoup de temps [1]. Certains gestionnaires proposent une récupération qui fait intervenir d'autres personnes autorisées : un collègue, un administrateur ou le fournisseur [1]. Le NCSC recommande de décider si l'on veut cette option en pesant ses risques contre le coût d'un coffre perdu [1]. ### Pourquoi le mot de passe maître n'est-il pas utilisé tel quel comme clé ? Une fonction de dérivation de clé transforme le mot de passe en clé de chiffrement. Le NIST a publié en décembre 2010 la recommandation SP 800-132, qui décrit la dérivation de clés maîtresses à partir de mots de passe ou de phrases secrètes pour protéger des données stockées [2]. Le NIST indique en 2023 prévoir une révision de ce document [2]. ### Un gestionnaire peut-il être attaqué ? Oui. Le NCSC rappelle que, comme tout logiciel, un gestionnaire peut avoir des vulnérabilités, et qu'il est une cible naturelle puisqu'une attaque réussie donne accès à tous les mots de passe d'un utilisateur [1]. Le même guide conclut que les bénéfices l'emportent sur les risques [1]. ## Comment ça marche Le mot de passe maître passe par une fonction de dérivation pour produire la clé de chiffrement [2]. Pour le stockage des mots de passe côté serveur, l'OWASP recommande des algorithmes lents tels qu'Argon2id, bcrypt ou PBKDF2, et juge les algorithmes rapides comme SHA-256 inadaptés, car ils laissent l'attaquant tester un très grand nombre de combinaisons à la seconde [3]. Un algorithme lent et gourmand en mémoire rend la force brute plus difficile, plus coûteuse et plus longue [3]. Le réglage se fait par un facteur de travail, c'est-à-dire le nombre d'itérations de l'algorithme pour chaque mot de passe [3]. L'OWASP donne plusieurs configurations minimales équivalentes pour Argon2id, dont l'une est 19 MiB de mémoire, 2 itérations et 1 degré de parallélisme et, pour PBKDF2 avec une exigence FIPS-140, un facteur de 600 000 ou plus avec HMAC-SHA-256 [3]. Ces chiffres décrivent le stockage des mots de passe côté serveur. Les sources du dossier ne disent pas quels paramètres retient chaque gestionnaire pour son coffre. Côté usage, le gestionnaire remplit aussi les formulaires. Il ne doit proposer les identifiants que pour le site où ils ont été enregistrés, jamais l'ensemble du coffre à un site visité [1]. Le NCSC ajoute qu'un gestionnaire peut mieux repérer les faux sites qu'un humain [1]. ## Ce que vous faites Choisissez comme mot de passe maître une phrase secrète longue. La CISA propose une suite de 4 à 7 mots sans rapport entre eux [5]. Le NCSC conseille trois mots au hasard, par exemple « applenemobiro », et déconseille les dates de naissance, les équipes sportives, les noms de proches ou d'animaux, que les réseaux sociaux révèlent souvent [6]. Remplacer un « o » par un zéro n'apporte guère de force, car les cybercriminels connaissent l'astuce [6]. La CNIL cite en exemple un mot de passe d'au moins 12 caractères de 4 types, et note qu'il peut être plus court si le compte a des sécurités complémentaires [4]. Ne réutilisez jamais ce mot de passe maître. La CNIL demande un mot de passe propre et unique pour chaque compte sensible, afin d'éviter les piratages en cascade [4]. Activez l'authentification multifacteur sur le gestionnaire. Avec elle, l'attaquant doit connaître le mot de passe maître et posséder le second facteur [1]. Le NCSC demande de l'utiliser sur tous les gestionnaires avec synchronisation dans le cloud, et pour les comptes à privilèges comme les comptes d'administrateur [1]. L'OWASP cite une analyse de Microsoft selon laquelle l'authentification multifacteur aurait stoppé 99,9 % des compromissions de comptes [7]. Décidez si vous voulez un moyen de récupération, en pesant ses risques contre le coût d'un coffre perdu, et sachez qui pourrait le déclencher [1]. Si votre entreprise a une politique, suivez-la. Le NCSC recommande aux responsables de définir une règle claire sur l'export du coffre en clair, car une fois exportés, les mots de passe ne sont plus protégés [1]. Laissez le gestionnaire générer les mots de passe de vos autres comptes : il facilite l'usage de mots de passe uniques, longs et aléatoires [1]. Le NIST note que le collage dans les champs de saisie facilite l'usage des gestionnaires [8]. Cette version du NIST SP 800-63 est remplacée par la SP 800-63-4 depuis le 1er août 2025 [8]. ## Les pièges - Un mot de passe maître faible. L'attaquant peut tenter de le deviner par force brute [10]. Le MITRE renvoie, pour la politique de mot de passe maître, aux recommandations du NIST [10]. - L'hameçonnage. Le MITRE préconise de former les utilisateurs à reconnaître les tentatives d'hameçonnage qui volent des cookies de session ou des identifiants [10]. - Le coffre ouvert en mémoire. Une fois la base déverrouillée, les identifiants peuvent être copiés en mémoire, et des attaquants en extraient le mot de passe maître ou les identifiants en clair [10]. Le MITRE conseille de reverrouiller le gestionnaire après un court délai [10]. - Les logiciels non à jour. Le MITRE recommande de mettre à jour régulièrement navigateurs, gestionnaires et logiciels associés [10], et le NCSC de vérifier que l'éditeur corrige vite ses failles [1]. - Les extensions et le navigateur. Le gestionnaire s'appuie souvent sur une extension de navigateur pour remplir les formulaires [1]. Le MITRE cite parmi les cibles de certains codes malveillants les données des extensions de navigateur et des gestionnaires [10]. Sur un ordinateur partagé, Cybermalveillance.gouv.fr déconseille d'enregistrer ses mots de passe dans le navigateur [9]. - Les bases de coffres volées. Le MITRE cite des acteurs et des logiciels malveillants qui ont visé ces bases : Threat Group-3390 a obtenu une base KeePass sur une machine compromise, et Indrik Spider a exporté des mots de passe depuis des gestionnaires [10]. - La perte du secret sans récupération. Si la clé est perdue et qu'aucune récupération n'existe, le coffre reste illisible [1]. - Les notes en clair. Post-it, fichiers texte, messagerie ou téléphone ne sont pas conçus pour stocker des mots de passe [4]. ## Sources 1. NCSC (Royaume-Uni), « Password manager buyers guide ». https://www.ncsc.gov.uk/collection/passwords/password-manager-buyers-guide (consulté le 3 novembre 2026) 2. NIST, « SP 800-132, Recommendation for Password-Based Key Derivation: Part 1: Storage Applications | CSRC ». https://csrc.nist.gov/pubs/sp/800/132/final (consulté le 3 novembre 2026) 3. OWASP, « Password Storage - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/Password_Storage_Cheat_Sheet.html (consulté le 3 novembre 2026) 4. CNIL, « Les conseils de la CNIL pour un bon mot de passe », 26 janvier 2017. https://www.cnil.fr/fr/les-conseils-de-la-cnil-pour-un-bon-mot-de-passe (consulté le 3 novembre 2026) 5. CISA, « Use Strong Passwords | CISA ». https://www.cisa.gov/secure-our-world/use-strong-passwords (consulté le 3 novembre 2026) 6. NCSC (Royaume-Uni), « Three random words », 21 décembre 2021. https://www.ncsc.gov.uk/collection/top-tips-for-staying-secure-online/three-random-words (consulté le 3 novembre 2026) 7. OWASP, « Authentication - OWASP Cheat Sheet Series ». https://cheatsheetseries.owasp.org/cheatsheets/Authentication_Cheat_Sheet.html (consulté le 3 novembre 2026) 8. NIST, « NIST Special Publication 800-63B ». https://pages.nist.gov/800-63-3/sp800-63b.html (consulté le 3 novembre 2026) 9. Cybermalveillance.gouv.fr, « Pourquoi et comment bien gérer ses mots de passe ? », 23 novembre 2019. https://www.cybermalveillance.gouv.fr/tous-nos-contenus/bonnes-pratiques/mots-de-passe (consulté le 3 novembre 2026) 10. MITRE ATT&CK, « Credentials from Password Stores: Password Managers ». https://attack.mitre.org/techniques/T1555/005/ (consulté le 3 novembre 2026) --- Source originale : Cyberpedia, l'encyclopédie publique de cybersécurité et d'IA publiée par Brain. Version canonique : https://startbrain.io/cyberpedia/fr/articles/gestionnaire-mots-de-passe-zero-knowledge/ Vous pouvez reprendre ce texte librement sous licence CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), à condition de citer « Brain, Cyberpedia » avec un lien vers l'adresse ci-dessus.