C'est la deuxième chose la plus précieuse sur ce site après une clé de sécurité, et les deux fonctionnent ensemble : la clé empêche quelqu'un de se connecter en votre nom, et le gestionnaire empêche qu'un site compromis entraîne tous les autres. Faites les deux et la voie ordinaire vers votre vie est fermée.
01Pourquoi un hors ligne
La plupart des gestionnaires de mots de passe stockent votre coffre sur les serveurs de l'entreprise. C'est un vrai confort et ce n'est pas automatiquement une erreur : les bons les chiffrent pour ne pas pouvoir les lire. Mais cela crée une cible unique, permanente et bien connue : une base de données de millions de coffres, au même endroit, gérée par une entreprise qui peut être compromise, rachetée, faire l'objet d'une assignation, ou simplement commettre une erreur. Cela s'est produit, plus d'une fois, chez de grands fournisseurs.
KeePassXC conserve la base de données sous forme de fichier sur votre propre disque. Il n'y a pas d'entreprise, pas de compte, pas de serveur, et rien à compromettre à grande échelle. Si quelqu'un veut vos mots de passe, il doit s'en prendre à vous spécifiquement, ce qui est une proposition complètement différente de récolter tout le monde d'un coup.
- Aucun tiers ne détient votre coffre, donc aucun tiers ne peut le perdre, être contraint de le divulguer ou modifier ses conditions.
- Il fonctionne hors ligne, y compris sur une machine qui n'a jamais été connectée à Internet.
- Open source et audité, avec un format de fichier ouvert que de nombreux programmes indépendants peuvent lire, vous n'êtes pas enfermé.
- Gratuit pour toujours, sans niveau qui retient une fonctionnalité de sécurité jusqu'à ce que vous payiez.
- Les sauvegardes sont votre responsabilité. Perdez le fichier sans copie et les mots de passe sont perdus. Il n'y a pas de service d'assistance.
- La synchronisation entre appareils est votre responsabilité, et c'est la partie que la plupart des gens ratent. Voir la section 05.
- Le mobile est une application distincte d'un autre développeur, pas officielle.
- Personne ne peut réinitialiser votre mot de passe principal. C'est le but, et c'est aussi le risque.
Si le mode hors ligne vous semble représenter plus de responsabilité que vous n'en voulez, utilisez plutôt Bitwarden ou Proton Pass et passez à autre chose. L'option catastrophique est celle que vous utilisez actuellement, le même mot de passe à cinquante endroits. Ne laissez pas la recherche de l'outil parfait vous laisser avec le pire.
02Le mot de passe principal, c'est-à-dire l'essentiel
Tout repose sur une seule phrase secrète. Si elle est faible, rien d'autre dans ce guide n'a d'importance ; si elle est forte, un attaquant qui possède votre fichier de base de données n'a toujours rien.
Quatre à six mots aléatoires — pas une phrase que vous avez composée, qui est bien moins aléatoire qu'elle n'en a l'air. Quelque chose comme harbour-plum-ditch-tractor-vine. C'est long, véritablement aléatoire, et vous pouvez réellement le mémoriser, ce qu'une suite de symboles n'est jamais. Laissez KeePassXC le générer pour vous en utilisant son mode phrase secrète, puis notez-le sur papier jusqu'à ce qu'il soit dans votre tête, et détruisez le papier ensuite.
La phrase secrète principale ne doit exister qu'à exactement deux endroits : votre mémoire et, si vous en avez besoin, une sauvegarde physique scellée en lieu sûr. Jamais dans un fichier, jamais dans une application de notes, jamais dans un message que vous vous envoyez, et jamais dans ce document ni aucun autre.
03Configuration
-
Installez-le depuis la source officielle
Téléchargez depuis keepassxc.org, ou sous Linux depuis le dépôt de votre distribution ou Flatpak. Tapez l'adresse à la main — les domaines imitateurs de gestionnaires de mots de passe sont une attaque bien rodée, pour des raisons évidentes.
-
Créez la base de données
Base de données → Nouvelle base de données. Donnez-lui un nom qui n'est pas « passwords ». Il vous sera demandé des paramètres de chiffrement, les valeurs par défaut sont bonnes, et le curseur de temps de déchiffrement mérite d'être compris : une valeur plus élevée ralentit chaque tentative d'un attaquant. Une seconde sur votre propre machine est un réglage raisonnable et un obstacle sérieux à la force brute.
-
Définissez la phrase secrète principale
Utilisez le générateur, en mode phrase de passe, comme décrit ci-dessus. Prenez le temps de la mémoriser avant de remplir la base de données avec quoi que ce soit, car c'est le seul moment où recommencer ne coûte rien.
-
Choisissez un fichier clé — avec soin
KeePassXC peut exiger un second fichier en plus de votre phrase de passe. Cela renforce la sécurité : quelqu'un qui obtient la base de données et devine la phrase de passe ne peut toujours pas l'ouvrir. Cela double aussi le nombre de choses que vous pouvez perdre, et le fichier clé ne doit pas se trouver dans le même dossier que la base de données, sinon il ne protège contre rien. Passez outre, sauf si vous avez un endroit raisonnable où le conserver, comme une clé USB que vous gardez à part.
-
Enregistrez-la quelque part que vous sauvegarderez réellement
Pas sur le bureau. Un dossier de documents inclus dans la sauvegarde que vous faites déjà.
04L'utiliser au quotidien
Laissez-le tout générer
Le but d'un gestionnaire n'est pas de stocker les mots de passe que vous avez, mais que vous n'en inventiez plus jamais. Pour chaque nouveau compte, cliquez sur l'icône de dé et prenez ce qu'il produit. Vous ne le verrez jamais, ne le taperez jamais et n'aurez jamais besoin de vous en souvenir, donc la longueur est gratuite : utilisez 20 caractères ou plus partout où le site le permet.
Traitez vos comptes existants progressivement, en commençant par les plus importants — l'e-mail, puis tout ce qui touche à l'argent, puis tout ce depuis quoi vous publiez. Pas besoin de faire les deux cents en une soirée ; faire les dix premiers cette semaine représente l'essentiel du bénéfice.
L'extension de navigateur
KeePassXC-Browser remplit les mots de passe dans les pages pour vous. Installez-la depuis la boutique de modules officielle de votre navigateur et connectez-la à l'application de bureau, qui vous demandera d'approuver la liaison.
L'extension ne propose un mot de passe que sur le domaine pour lequel il a été enregistré. Sur un domaine d'hameçonnage qui lui ressemble, elle reste silencieuse, et ce silence est un avertissement que vous devriez apprendre à remarquer. Si le gestionnaire ne propose pas de remplir, arrêtez-vous et vérifiez la barre d'adresse plutôt que de le taper manuellement.
Codes à deux facteurs
KeePassXC peut stocker des secrets TOTP et générer lui-même les codes à six chiffres. C'est pratique et cela implique un vrai compromis : votre mot de passe et votre second facteur vivent désormais dans le même fichier, donc une seule compromission obtient les deux. Pour la plupart des comptes, la commodité l'emporte. Pour vos comptes les plus importants, utilisez plutôt une clé de sécurité, qui est plus forte que l'un ou l'autre.
Quoi d'autre y conserver
La base de données est un conteneur chiffré, c'est donc un endroit judicieux pour plus que des mots de passe : codes de récupération de chaque compte, clés de licence logicielle, les réponses aux « questions de sécurité » (qui devraient être des chaînes aléatoires, pas de vraies réponses), et le document scanné occasionnel. Chaque entrée a un champ de notes et peut contenir des pièces jointes.
05Synchronisation et sauvegardes, là où les gens se trompent
Vous avez un seul fichier. Vous le voulez sur votre ordinateur portable et votre téléphone. Aucun serveur ne fait cela pour vous, vous devez donc choisir une méthode, et ce choix compte.
| Méthode | Verdict | Notes |
|---|---|---|
| Stockage cloud ordinaire (Drive, Dropbox, Proton) | Très bien | Le fichier est déjà chiffré, donc le fournisseur stocke un blob opaque. C'est la configuration courante et elle est raisonnable. Votre phrase secrète principale fait tout le travail, faites-en une bonne. |
| Syncthing | Meilleur | De appareil à appareil, sans aucun tiers impliqué. Plus de configuration, et le plus cohérent avec la raison pour laquelle vous avez choisi un gestionnaire hors ligne. |
| S'envoyer le fichier par e-mail | No | Il atterrit dans une boîte mail, de façon permanente, en plusieurs copies, sur des serveurs que vous ne contrôlez pas. |
| Deux appareils modifiant en même temps | Attention | Le vrai danger. Deux copies modifiées avant une synchronisation produisent un fichier de conflit, et une mauvaise résolution perd silencieusement de nouvelles entrées. Fermez la base de données sur un appareil avant de travailler sur l'autre. |
La synchronisation n'est pas une sauvegarde. Une synchronisation copie fidèlement une suppression ou une corruption sur tous vos appareils. Conservez une copie périodique quelque part qui ne se synchronise pas, un disque externe, une clé USB dans un tiroir, et vérifiez de temps en temps qu'elle s'ouvre encore. KeePassXC peut aussi conserver des sauvegardes automatiques de la version précédente à chaque enregistrement ; activez cela dans les paramètres.
06L'associer à une YubiKey
C'est la combinaison qui rend les deux outils nettement plus robustes, et c'est l'une des fonctionnalités les moins connues de l'un comme de l'autre. KeePassXC peut exiger un challenge-réponse matériel d'une YubiKey en plus de votre phrase de passe. Sans la clé physique présente, la bonne phrase de passe seule n'ouvrira pas la base de données.
-
Configurer un emplacement sur la clé
À l'aide du gestionnaire YubiKey, configurez l'un des deux emplacements en mode défi-réponse HMAC-SHA1. Faites-le sur les deux de vos clés, avec le même secret, sinon votre clé de secours n'ouvrira pas votre base de données, ce qui est une très mauvaise surprise.
-
L'ajouter à la base de données
Base de données → Sécurité de la base de données → Changer le fichier clé / Défi-réponse, puis sélectionnez la clé. Enregistrez.
-
Tester immédiatement la clé de secours
Fermez la base de données, débranchez la première clé et ouvrez-la avec la seconde. Si cela ne fonctionne pas, corrigez-le maintenant, pendant que vous avez encore une clé fonctionnelle dans la machine.
Votre base de données ne peut désormais plus être ouverte sans le matériel. C'est à la fois l'avantage en matière de sécurité et le risque opérationnel. Cela complique aussi l'usage mobile, car l'application du téléphone doit prendre en charge le même défi-réponse via NFC. Cela vaut la peine si la base de données protège un travail qui met des personnes en danger ; c'est probablement plus de friction que de valeur dans le cas contraire.
07Ce contre quoi cela ne vous protège pas
- La réutilisation de mots de passe, et donc le fait qu'un site compromis les compromette tous.
- Les mots de passe faibles, définitivement, puisque vous cessez d'en inventer.
- Hameçonnage, en partie, le refus de l'extension de remplir est un vrai signal.
- Perdre l'accès à des comptes créés il y a des années et oubliés.
- Un logiciel malveillant sur votre ordinateur. Un enregistreur de frappe capture la phrase de passe principale pendant que vous la tapez, et il a alors tout. Le gestionnaire suppose que la machine n'est pas déjà compromise.
- Une phrase de passe principale faible. Toute la conception se résume à ce seul secret.
- Être contraint de l'ouvrir.
- Une violation sur le site lui-même, un mot de passe unique limite les dégâts, il n'empêche pas la violation.
- Un écran déverrouillé et sans surveillance. Configurez la base de données pour qu'elle se verrouille après quelques minutes d'inactivité et lorsque l'écran se verrouille.
08Questions que les gens posent réellement
Que faire si j'oublie la phrase de passe principale ?
Les données sont perdues. Il n'y a pas de réinitialisation, pas de récupération, pas de ligne d'assistance, c'est la conséquence directe du fait que personne d'autre ne détient votre coffre. Dans les premières semaines, gardez une copie écrite dans un endroit physiquement sûr jusqu'à ce que vous soyez certain de l'avoir mémorisée. Beaucoup de gens en gardent une copie scellée en permanence, chez une personne de confiance ou dans un coffre-fort ; c'est un compromis raisonnable plutôt qu'un manque de courage.
Est-il sûr de mettre le fichier dans Google Drive ou Dropbox ?
Oui, à condition que cela fasse de votre phrase de passe principale la seule chose qui sépare le stockage de ce fournisseur de toute votre vie numérique. Le fichier est fortement chiffré et le fournisseur ne voit que du bruit. Si cela vous convient, c'est la synchronisation la plus simple qui soit. Sinon, utilisez Syncthing.
Et mon téléphone ?
KeePassDX sur Android et Strongbox sur iOS lisent tous deux le même format de fichier et sont bien considérés. Aucun n'est développé par l'équipe KeePassXC, donc vérifiez-les vous-même avant de leur faire confiance. Pointez l'application vers le même fichier synchronisé et elle se comportera comme vous l'attendez.
Devrais-je abandonner le gestionnaire de mots de passe intégré à mon navigateur ?
Oui, éventuellement, mais ne laissez pas la migration vous empêcher d'en utiliser un du tout. Les gestionnaires de navigateur sont liés au compte du navigateur, sont souvent déverrouillés dès que le navigateur l'est, et sont une cible habituelle des logiciels malveillants voleurs d'informations. Exportez depuis le navigateur, importez dans KeePassXC, puis supprimez le fichier d'export de manière sécurisée, c'est une liste en texte brut de tous les mots de passe que vous possédez, et un nombre surprenant d'entre eux traînent encore dans des dossiers de téléchargements.
En quoi est-ce différent de KeePass, KeePassX, KeeWeb ?
Ils partagent un format de fichier et un arbre généalogique. KeePassXC est celui multiplateforme activement maintenu, avec une interface moderne et l'extension de navigateur, c'est pourquoi c'est la recommandation ici. Votre base de données s'ouvrira dans les autres si vous souhaitez un jour changer.
09Sources et lectures complémentaires
- KeePassXC — site officiel et téléchargements keepassxc.org
- Guide d'utilisation de KeePassXC, le manuel complet keepassxc.org/docs
- Syncthing — synchronisation de appareil à appareil sans tiers syncthing.net
- Have I Been Pwned, vérifiez lesquels de vos comptes sont déjà compromis haveibeenpwned.com
- Privacy Guides — comparatif des gestionnaires de mots de passe privacyguides.org
Dernière révision : 25 septembre 2026