Un gestionnaire de mots de passe stocke l’ensemble de vos identifiants dans un coffre chiffré, protégé par un unique mot de passe maître. La question de savoir lequel n’a jamais été piraté revient souvent, mais elle repose sur une confusion : l’absence d’incident public ne prouve pas l’absence d’incident. Comprendre ce que signifie réellement « être piraté » pour ce type d’outil permet de faire un choix éclairé, loin des raccourcis marketing.
Compromission serveur, vulnérabilité logicielle et vol de coffre : trois réalités distinctes
Quand on parle de piratage d’un gestionnaire de mots de passe, on mélange généralement trois scénarios très différents. Les distinguer change radicalement l’analyse de la sécurité d’un service.
A lire en complément : Quel est le VPN le plus utilisé ?
Le premier scénario est la compromission des serveurs du fournisseur. Un attaquant accède aux bases de données hébergées. C’est ce qui s’est produit avec LastPass : des coffres chiffrés ont été exfiltrés. Le chiffrement protège encore les données, mais l’attaquant dispose du temps pour tenter de casser les mots de passe maîtres faibles.
Le deuxième scénario concerne les vulnérabilités du logiciel lui-même. Un bug dans l’extension de navigateur, par exemple, peut exposer des identifiants sans que les serveurs soient touchés. Bitwarden a documenté en 2023 un risque lié à l’auto-remplissage sur des pages de phishing : le logiciel fonctionnait correctement, mais pouvait être trompé par un site malveillant.
A voir aussi : Comment faire si on n'a plus accès à son application 2FA ?
Le troisième est le vol ciblé du coffre local, via un malware sur la machine de l’utilisateur. Aucun gestionnaire ne protège contre un ordinateur déjà compromis.
Pourquoi cette distinction change tout
Un service dont les serveurs n’ont jamais été compromis peut tout de même présenter des vulnérabilités logicielles corrigées par audit. À l’inverse, un service victime d’une brèche serveur peut n’avoir exposé aucune donnée exploitable si le chiffrement est robuste. Évaluer la sécurité sur le seul critère « piraté ou non » est trompeur.
Gestionnaires de mots de passe sans brèche publique connue : Bitwarden et 1Password
Parmi les gestionnaires les plus répandus, Bitwarden et 1Password n’ont pas de brèche publique connue ayant exposé les coffres de leurs utilisateurs. Cette distinction mérite d’être précisée.
1Password a été concerné par un incident lié à Okta en 2023, qui a touché des systèmes de support. Aucun accès aux coffres utilisateurs n’a été rapporté. Les deux services font l’objet d’audits de sécurité récurrents par des cabinets indépendants, ce qui constitue un indicateur plus fiable qu’une simple absence de gros titre dans la presse.
Pour autant, affirmer qu’un service n’a « jamais » été piraté reste une déclaration invérifiable. Seuls les incidents rendus publics sont connus. Un audit régulier, un code source ouvert (dans le cas de Bitwarden) et une architecture zero-knowledge – où le fournisseur ne peut pas déchiffrer vos données – sont des garanties plus tangibles qu’un argument d’autorité.
Auto-hébergement et open source : une sécurité qui dépend de vous
KeePass et ses dérivés (KeePassXC) stockent le coffre localement, sans serveur distant. Pas de serveur signifie pas de brèche serveur possible. L’argument séduit, mais il transfère la responsabilité de la sécurité entièrement sur l’utilisateur : sauvegardes, mises à jour, protection de la machine.
Vaultwarden, souvent confondu avec Bitwarden, est un projet communautaire distinct. Un audit ERNW de 2024 aurait identifié un contournement d’authentification, corrigé dans la version 1.32.0. Les audits réalisés sur Bitwarden ne couvrent pas automatiquement Vaultwarden. Les solutions auto-hébergées ne sont pas automatiquement plus sûres qu’un service cloud audité.
Ce qu’il faut vérifier avant de choisir un gestionnaire auto-hébergé
- La fréquence des mises à jour de sécurité et la réactivité de la communauté face aux vulnérabilités signalées
- La séparation entre le projet officiel (Bitwarden) et les implémentations tierces (Vaultwarden), qui n’offrent pas les mêmes garanties d’audit
- Votre capacité réelle à maintenir un serveur sécurisé : chiffrement du disque, pare-feu, sauvegardes chiffrées régulières
Critères concrets pour évaluer la sécurité d’un gestionnaire de mots de passe
Plutôt que de chercher le gestionnaire « jamais piraté », concentrez-vous sur des critères vérifiables. Le modèle de chiffrement, la transparence du code et la politique de divulgation des incidents comptent davantage qu’un slogan.
- Chiffrement de bout en bout avec architecture zero-knowledge : le fournisseur ne peut pas lire vos données, même en cas de brèche serveur. Bitwarden, 1Password et Proton Pass revendiquent ce modèle
- Audits de sécurité indépendants publiés et accessibles : un service qui ne publie pas ses rapports d’audit ne permet pas la vérification
- Authentification multifacteur (MFA) sur le compte maître : une couche de protection qui limite l’impact d’un mot de passe maître compromis
- Gestion de l’auto-remplissage : certains gestionnaires remplissent les champs sur des sous-domaines ou des iframes sans avertissement, ce qui facilite le phishing
Le comportement de l’extension de navigateur est souvent le maillon faible. Un gestionnaire peut chiffrer parfaitement vos données tout en les exposant au moment du remplissage automatique sur un site frauduleux.
LastPass et la leçon des coffres exfiltrés
LastPass reste le cas d’école. La brèche de 2022 a permis l’exfiltration de coffres chiffrés. Le chiffrement AES-256 protège les données, mais la robustesse dépend directement du mot de passe maître choisi par chaque utilisateur. Un mot de passe maître court ou réutilisé rend le coffre vulnérable à une attaque par force brute, même des années après l’exfiltration.
Ce cas illustre un point fondamental : le chiffrement ne compense pas un mot de passe maître faible. Un gestionnaire techniquement solide devient fragile si l’utilisateur choisit « Azerty123 » comme clé d’accès principale.
Aucun gestionnaire de mots de passe ne peut garantir n’avoir jamais été la cible d’une attaque réussie. Bitwarden et 1Password n’ont pas d’incident public impliquant l’exposition de coffres, ce qui les place en tête sur ce critère précis. La vraie protection repose sur une combinaison : architecture zero-knowledge, mot de passe maître long et unique, authentification multifacteur activée, et vigilance face aux sites de phishing lors du remplissage automatique.
