Les navigateurs web stockent les identifiants dans des bases de données locales dont le niveau de protection varie selon l’OS et la configuration. Retrouver ses mots de passe enregistrés suppose de savoir où chaque système les conserve, mais aussi de comprendre les limites de ces emplacements en matière de sécurité.
Stockage des mots de passe dans les navigateurs : ce que protège réellement le chiffrement local
Chrome, Firefox et Edge chiffrent les mots de passe enregistrés via les API cryptographiques du système d’exploitation. Sous Windows, Chrome s’appuie sur DPAPI (Data Protection API), qui lie le déchiffrement à la session utilisateur active. Concrètement, tout processus exécuté dans votre session Windows peut accéder aux mots de passe en clair.
A lire également : Créer et développer son entreprise en Europe : conseils et démarches essentiels
Firefox se distingue par la possibilité de définir un mot de passe principal qui ajoute une couche de chiffrement indépendante de la session OS. Sans cette option activée, le fichier logins.json reste lisible par tout logiciel disposant des droits utilisateur.
La CNIL considère désormais que l’enregistrement de mots de passe dans un navigateur sans mot de passe maître est une mauvaise pratique. Ses recommandations sur l’authentification préconisent un gestionnaire de mots de passe dédié, avec stockage sous forme d’empreintes cryptographiques utilisant des algorithmes modernes comme Argon2, scrypt, bcrypt ou PBKDF2. Cette position officielle tranche avec l’approche permissive de la plupart des tutoriels en ligne.
Lire également : Où trouver des articles tendance et originaux pour un shopping en ligne réussi
Nous recommandons de consulter la liste des mots de passe sur CGI Network pour identifier précisément les emplacements où vos identifiants sont conservés selon votre configuration.
Retrouver vos mots de passe enregistrés sur Chrome, Firefox et Edge
Google Chrome et le gestionnaire de mots de passe Google
Ouvrez Chrome, puis accédez à Paramètres, sélectionnez la section Saisie automatique et mots de passe, puis Gestionnaire de mots de passe Google. La liste complète de vos identifiants apparaît, triée par site. Pour afficher un mot de passe, cliquez sur l’icône en forme d’œil : le système vous demandera votre code PIN, empreinte digitale ou mot de passe Windows.
Sur Android, le chemin passe par Paramètres de l’appareil, puis Google, puis Gestionnaire de mots de passe. Les identifiants synchronisés via votre compte Google y sont regroupés.
Firefox : le menu Identifiants et mots de passe
Rendez-vous dans Paramètres, section Vie privée et sécurité, puis Identifiants et mots de passe. Firefox affiche chaque entrée avec le nom d’utilisateur et un bouton pour révéler le mot de passe. Si vous avez activé le mot de passe principal, il sera demandé avant toute consultation.
Microsoft Edge
Edge utilise le même moteur que Chrome (Chromium) et stocke les mots de passe de façon similaire. Accédez à Paramètres, Profils, puis Mots de passe. La vérification d’identité passe par Windows Hello ou le mot de passe du compte Windows.
Exporter et migrer ses mots de passe sans fichier CSV en clair
L’export CSV reste la méthode la plus courante pour extraire ses identifiants d’un navigateur. Le problème : un fichier CSV contient tous vos mots de passe en texte brut, sans aucun chiffrement. Un oubli de suppression, une sauvegarde cloud automatique, et ce fichier devient un vecteur de compromission.
Le Gestionnaire de mots de passe Google propose désormais des options d’import et d’export intégrant le protocole Credential Exchange. Ce mécanisme permet de transférer mots de passe et passkeys vers un autre gestionnaire sans générer de fichier intermédiaire en clair, ce qui réduit significativement la surface d’attaque lors d’une migration.
Si vous devez malgré tout utiliser un CSV, appliquez ces précautions :
- Chiffrez le fichier immédiatement après export (7-Zip avec AES-256 ou GPG) et supprimez la version non chiffrée
- Désactivez la synchronisation cloud du dossier contenant le fichier pour éviter qu’il ne se retrouve sur Google Drive, OneDrive ou iCloud
- Importez dans le gestionnaire cible dans la foulée, puis détruisez le fichier chiffré avec un outil de suppression sécurisée
Gestionnaire dédié ou navigateur : critères de choix techniques
Un gestionnaire de mots de passe dédié (KeePass, Bitwarden, Proton Pass) offre un coffre-fort chiffré de bout en bout avec un mot de passe maître obligatoire. Le navigateur, lui, délègue la protection à l’OS. La différence n’est pas anecdotique : un malware de type infostealer extrait les mots de passe Chrome en quelques secondes dès qu’il obtient les droits utilisateur.
Les gestionnaires dédiés stockent les données dans un format propriétaire chiffré, souvent avec une architecture zero-knowledge. Le fournisseur lui-même ne peut pas lire vos identifiants. Proton Pass, par exemple, échappe au Cloud Act en hébergeant ses serveurs en Suisse, un point qui compte pour les utilisateurs soucieux de juridiction.
Nous observons que le choix se résume rarement à une question de confort. Les critères discriminants sont :
- La présence d’un audit de sécurité indépendant publié et vérifiable
- Le support des passkeys (FIDO2/WebAuthn) en plus des mots de passe classiques
- La possibilité de partager un identifiant sans révéler le mot de passe en clair au destinataire
- L’interopérabilité avec les systèmes d’authentification à deux facteurs (TOTP, clés physiques)
Passkeys et avenir de l’authentification sans mot de passe
Les passkeys remplacent progressivement les mots de passe traditionnels par un couple clé publique/clé privée. La clé privée reste sur l’appareil, protégée par la biométrie ou le code de déverrouillage. Aucun secret partagé ne transite sur le réseau, ce qui élimine le phishing par interception d’identifiants.
Google, Apple et Microsoft intègrent nativement les passkeys dans leurs gestionnaires respectifs. La synchronisation des passkeys entre appareils fonctionne via le compte cloud du fournisseur, ce qui soulève les mêmes questions de confiance que pour les mots de passe classiques.
Pour les comptes qui ne supportent pas encore les passkeys, la double authentification par application TOTP (et non par SMS, vulnérable au SIM swapping) reste le complément le plus fiable à un mot de passe fort stocké dans un gestionnaire dédié.
Le gestionnaire de mots de passe du navigateur reste un outil de dépannage acceptable pour un usage personnel non sensible. Pour tout le reste, migrer vers un coffre-fort dédié et activer les passkeys là où c’est proposé constitue la combinaison la plus solide à ce jour.