Gestionnaire de mots de passe : commencer par les solutions gratuites

Un gestionnaire de mots de passe sécurisé fait partie des outils que les organismes publics recommandent (conseils de la CNIL). Cybermalveillance.gouv.fr en fait la quatrième de ses dix bonnes pratiques sur les mots de passe (mises à jour le 12 mai 2026), juste après les trois règles qu'il rend applicables : un mot de passe différent par service, au moins 12 caractères, rien de devinable. La question n'est donc pas de savoir s'il en faut un, mais lequel, et s'il faut payer.

Étape 1 : regarder ce que vous avez déjà

Le gestionnaire de votre compte Google. Il crée des mots de passe uniques, les enregistre, les saisit automatiquement sur les sites et dans les applications, et prévient lorsqu'un mot de passe enregistré est compromis (aide Google).

Le trousseau iCloud sur iPhone, iPad et Mac. Il tient à jour mots de passe et clés d'accès sur les appareils approuvés ; Apple indique qu'il est chiffré en AES 256 bits et que ses données ne peuvent pas être lues par Apple (assistance Apple).

KeePassXC. Cybermalveillance.gouv.fr le présente comme un logiciel libre, gratuit et en français, certifié par l'ANSSI dans sa version 2.7.9. Il stocke les mots de passe et en génère d'aléatoires.

La CNIL apporte une réserve sur les gestionnaires intégrés au navigateur ou au système : leur niveau de sécurité varie de l'un à l'autre, et lorsque les données sont stockées localement sans protection propre, une personne qui prend le contrôle de votre session accède à tous vos mots de passe. Elle recommande de privilégier ceux qui se déverrouillent avec un mot de passe maître (« 5 arguments pour adopter le gestionnaire de mots de passe », page datée du 3 octobre 2018). En pratique : verrouillez votre session et votre téléphone, et activez la double authentification sur le compte qui héberge vos mots de passe.

Étape 2 : savoir ce que l'outil change face aux arnaques

Il rend supportable la règle du mot de passe unique. Si un site que vous utilisez subit une fuite, seul ce compte est exposé. Voir fuite de données, que faire.

Il peut aussi servir de garde-fou contre l'hameçonnage. 1Password indique par exemple, dans la description de son modèle de sécurité, ne remplir un mot de passe que sur le site où il a été enregistré. Sur une copie hébergée à une autre adresse, rien n'est proposé : cette absence est un signal à prendre au sérieux.

Ce qu'il ne fait pas :

• il ne vous empêche pas de copier le mot de passe à la main sur une fausse page si vous passez outre ;
• il ne protège pas un code reçu par SMS que vous dictez à un faux conseiller au téléphone ;
• il ne sert à rien contre un virus voleur de mots de passe déjà installé sur l'appareil, cas cité par Cybermalveillance.gouv.fr, dans sa fiche sur la fraude au faux conseiller bancaire, parmi les sources d'information des escrocs ;
• il concentre le risque sur un seul secret. Le mot de passe maître doit être long, unique, et n'être communiqué à personne. La CNIL demande au moins 12 caractères.

Enfin, la fiche de Cybermalveillance.gouv.fr sur les mots de passe rappelle que le mot de passe de votre messagerie est l'un des plus importants à protéger, puisque la messagerie, généralement associée à beaucoup de vos comptes en ligne, reçoit les liens de réinitialisation de vos autres comptes. Vous pouvez éprouver la robustesse d'une construction de mot de passe avec notre vérificateur de mot de passe, sans y saisir un mot de passe que vous utilisez réellement.

Étape 3 : décider si un service payant apporte quelque chose

Les questions que la CNIL suggère de se poser servent de grille :

• L'accès au coffre est-il contrôlé par un mot de passe maître, ou mieux ?
• Est-ce un logiciel libre dont le code peut être audité ?
• La base est-elle hébergée en ligne ou seulement sur votre poste ?
• Quel budget : gratuit, gratuit avec limites, payant ?

Un service payant se justifie surtout dans trois cas : vous utilisez à la fois des appareils Apple, Android et Windows et voulez la même base partout ; vous partagez des accès en famille ; vous voulez des alertes de fuite et de site suspect sans rien configurer. Si vous n'avez qu'un écosystème et aucun partage, l'outil intégré, bien verrouillé, fait le travail.

Étape 4 : deux offres payantes, faits vérifiés le 1er octobre 2026

Ce sont les deux services pour lesquels la page affiche un lien partenaire. Nous ne les avons pas testés. Tout vient de leurs pages officielles, lues à cette date ; les prix n'y sont pas repris car ils changent.

	Dashlane	1Password
Essai	14 jours	14 jours
Formule gratuite permanente	Non affichée sur la page des tarifs personnels	Non affichée sur la page des tarifs personnels
Offre familiale	« Friends & Family », 10 membres	« Familles », jusqu'à 5 membres invités
Alerte de site suspect	Alerte avant la saisie automatique	Saisie limitée au site enregistré (modèle de sécurité), alertes Watchtower
Évaluations indépendantes déclarées par l'éditeur	Non vérifié par nous (la page sécurité renvoie à un « Centre de confiance », non consulté)	SOC 2 type 2 (rapport sur demande), ISO 27001 (détail via le Trust Center), tests d'intrusion (rapports annuels via le Trust Center)
Pages en français	Oui	Oui, prix en euros

Dashlane

D'après la page pour les particuliers et la grille tarifaire personnelle : synchronisation du coffre sur tous les appareils et navigateurs ; alerte en temps réel avant de remplir automatiquement des identifiants sur un site jugé suspect ; alertes en cas de mot de passe faible ou compromis ; surveillance du dark web ; VPN inclus dans la formule Premium. La page sécurité décrit une architecture où le coffre est chiffré et déchiffré localement, l'éditeur déclarant ne pas pouvoir accéder aux identifiants.

Limites relevées :

• dans la formule « Friends & Family », le VPN est réservé au gestionnaire de l'abonnement ;
• la connexion sans mot de passe est indiquée comme réservée, pour l'instant, aux nouveaux utilisateurs sur mobile ;
• la page des tarifs personnels ne présente qu'un essai gratuit de 14 jours, pas de formule gratuite durable ;
• nous n'avons pas trouvé, sur les pages consultées, de rapport d'audit indépendant daté. L'architecture décrite est une déclaration de l'éditeur.

1Password

D'après la grille tarifaire personnelle : formules individuelle et familiale (jusqu'à 5 membres invités) ; applications pour macOS, iOS, Windows, Android et Linux, extensions pour les principaux navigateurs ; alertes Watchtower pour les mots de passe faibles ou réutilisés et les sites compromis ; mode voyage qui masque certains coffres. La page « Security audits » de l'éditeur mentionne une certification SOC 2 type 2, des certifications ISO 27001:2022, et un test d'intrusion avec revue de code mené par Independent Security Evaluators en avril et en juin 2020, dont le rapport est publié.

Limites relevées :

• pas de formule gratuite sur la page des tarifs, seulement l'essai de 14 jours ;
• les tarifs promotionnels sont réservés aux nouveaux clients et à la première année ;
• depuis le 3 novembre 2025, les rapports annuels de tests d'intrusion ne sont plus publiés directement mais mis à disposition par le « Trust Center » de l'éditeur, qui précise ne pas publier tous ses audits ;
• la page d'audits et la description du modèle de sécurité sont en anglais.

Ce qu'il faut retenir

Commencez par l'outil gratuit que vous possédez déjà ou par KeePassXC, activez la double authentification sur votre messagerie, et ne payez que pour un besoin identifié : plusieurs écosystèmes, partage familial, alertes. Aucun gestionnaire ne protège d'un code dicté au téléphone : pour cela, voir notre article sur le faux conseiller bancaire.