La fonction mot de passe enregistrer apparaît dans Chrome, Firefox, Edge ou Safari dès la première connexion à un service : le navigateur propose de mémoriser l’identifiant pour remplir automatiquement le formulaire lors de la prochaine visite.
Ce mécanisme repose sur un stockage local ou synchronisé, chiffré à des degrés variables selon le navigateur et les paramètres actifs. La praticité est réelle, mais elle crée des situations où un seul point de défaillance suffit à exposer l’ensemble des comptes protégés par cette méthode.
Ce que le navigateur fait réellement quand il enregistre un mot de passe
Quand un navigateur stocke un identifiant, il l’écrit dans une base de données locale sur l’ordinateur ou l’appareil mobile. Sur Chrome et Edge, cette base est liée au profil utilisateur du système d’exploitation. Sur Firefox, elle repose sur un fichier chiffré dans le dossier de profil.
Le chiffrement existe, mais il dépend d’une clé dérivée du compte de session de l’appareil. Un utilisateur connecté à sa session Windows ou macOS peut donc consulter ses mots de passe enregistrés sans autre authentification, depuis les paramètres du navigateur. Ce n’est pas un bug : c’est le fonctionnement attendu.
La synchronisation ajoute une couche. Lorsqu’elle est activée, les identifiants remontent vers les serveurs du fournisseur (Google, Microsoft, Apple, Mozilla) et redescendent sur tous les appareils liés au même compte. La sécurité des mots de passe synchronisés dépend donc directement de la sécurité du compte de synchronisation.
Scénarios de risque concrets pour vos comptes
Trois situations concentrent la majorité des compromissions liées aux mots de passe enregistrés dans un navigateur.
- Accès physique non surveillé : un collègue, un proche ou un technicien qui s’installe quelques minutes devant un ordinateur déverrouillé peut ouvrir les paramètres du navigateur et lire les mots de passe en clair. Aucune compétence technique n’est requise.
- Logiciel malveillant de type infostealer : ces programmes sont conçus spécifiquement pour extraire les bases de données de mots de passe des navigateurs installés. Ils ciblent les fichiers de profil Chrome, Edge et Firefox par défaut, avant même de chercher d’autres données sur la machine.
- Compte de synchronisation compromis : si le compte Google ou Microsoft associé à la synchronisation est piraté – par hameçonnage ou réutilisation d’un mot de passe – l’attaquant accède à tous les identifiants synchronisés depuis son propre appareil, sans jamais toucher à l’ordinateur de la victime.
Le troisième scénario est particulièrement sous-estimé, parce qu’il contourne toutes les protections locales. La protection du compte de synchronisation est donc plus importante que le navigateur lui-même.
Pourquoi le compte Google ou Microsoft devient le maillon faible
La synchronisation des mots de passe entre appareils est activée par défaut dans Chrome et Edge lorsqu’un compte est connecté. L’utilisateur qui active la synchronisation sans y prêter attention confie l’ensemble de ses identifiants à un service en ligne, protégé uniquement par le mot de passe de ce compte – et souvent par ce mot de passe seul.
L’authentification multifacteur sur le compte de synchronisation est la mesure la plus efficace pour réduire ce risque. Le Centre pour la Cybersécurité Belgique (CCB) recommande d’activer cette protection en priorité sur les comptes sensibles et les comptes administrateurs. Elle empêche un attaquant qui a obtenu le mot de passe du compte Google ou Microsoft d’y accéder sans posséder également le second facteur.
Les options de récupération du compte méritent aussi une vérification : une adresse de récupération compromise permet de réinitialiser le compte et d’accéder aux mots de passe synchronisés.
Gestionnaire de mots de passe dédié : ce que le navigateur ne propose pas
Un gestionnaire de mots de passe dédié (Bitwarden, KeePass, ou équivalent) diffère du stockage navigateur sur plusieurs points techniques.
Le coffre-fort est chiffré avec une clé dérivée du mot de passe maître, que le fournisseur du service ne connaît pas. Même en cas de compromission des serveurs, les données restent illisibles sans ce mot de passe maître. Les navigateurs, eux, chiffrent les données avec une clé liée au compte de session système ou au compte cloud – deux éléments auxquels le fournisseur a potentiellement accès.
Les gestionnaires dédiés offrent aussi une fonctionnalité que les navigateurs n’ont pas : la détection de phishing par vérification de l’URL exacte. Avant de remplir automatiquement un formulaire, l’outil vérifie que l’adresse correspond précisément au site enregistré. Un faux site avec une URL légèrement différente ne déclenchera pas le remplissage automatique. Les navigateurs appliquent une vérification similaire, mais moins stricte selon les implémentations.
Les passkeys : une alternative qui supprime le mot de passe
Les passkeys constituent une évolution technique qui élimine le mot de passe à la source. Au lieu d’un identifiant textuel, elles reposent sur une paire de clés cryptographiques : une clé privée reste sur l’appareil, une clé publique est enregistrée sur le serveur du site.
L’avantage de sécurité est structurel : la clé privée ne quitte jamais l’appareil et n’est jamais transmise au site. Un faux site ne peut pas récupérer une passkey, parce qu’elle est liée à l’identifiant exact du service pour lequel elle a été créée. Le phishing par faux formulaire devient inopérant.
Chrome, Safari et Edge gèrent déjà les passkeys. De plus en plus de services en ligne les proposent comme méthode de connexion. Elles ne remplacent pas encore tous les scénarios d’usage, mais pour les comptes sensibles – messagerie, services bancaires en ligne, administration – leur adoption réduit concrètement la surface d’attaque.
Paramètres à vérifier si vous gardez les mots de passe dans le navigateur
Si l’abandon du stockage navigateur n’est pas envisageable immédiatement, certains paramètres réduisent l’exposition sans changer les habitudes.
- Activer l’authentification multifacteur sur le compte de synchronisation (compte Google, Microsoft ou Apple) : c’est la mesure la plus importante, indépendamment du reste.
- Vérifier les options de récupération du compte de synchronisation : adresse email de secours, numéro de téléphone, codes de récupération. Chacune de ces options est un point d’entrée potentiel.
- Désactiver la synchronisation des mots de passe sur les appareils partagés : un ordinateur familial, un appareil de travail utilisé par plusieurs personnes, ou un appareil reconditionnné revendu ne devrait pas conserver de mots de passe synchronisés.
- Activer le verrouillage automatique de session sur l’ordinateur : cela ne protège pas contre les logiciels malveillants, mais bloque l’accès physique opportuniste.
Le réflexe de cliquer sur « Enregistrer le mot de passe » à chaque connexion crée progressivement un inventaire complet de vos accès en ligne, concentré dans un seul endroit. La question n’est pas de savoir si cet endroit est protégé, mais de savoir combien de chemins y conduisent – et lesquels sont laissés ouverts sans le savoir.
