Vous avez déjà vu cette petite fenêtre apparaître après une connexion : « Voulez-vous enregistrer ce mot de passe ? » Un clic sur « Oui », et Chrome, Firefox ou Edge se souvient de tout à votre place. Enregistrer ses mots de passe dans le navigateur comporte des limites concrètes que la fenêtre de confirmation ne détaille pas.
Ce que fait réellement le navigateur quand il enregistre un mot de passe
Quand vous acceptez la proposition du navigateur, vos identifiants sont stockés dans un fichier sur votre ordinateur. Chrome les place dans un fichier lié à votre profil utilisateur, accessible via le répertoire local de l’application.
Ce fichier est chiffré, mais uniquement par la session Windows ou macOS ouverte sur votre machine. Autrement dit, si quelqu’un s’assoit devant votre ordinateur déjà allumé et ouvert, il peut accéder aux mots de passe enregistrés depuis les paramètres du navigateur, sans avoir à taper quoi que ce soit.
Firefox et Edge fonctionnent de façon similaire. Safari sur Mac s’appuie sur le trousseau du système, ce qui ajoute une couche, mais ne change pas le principe de base : la protection dépend de la sécurité de votre session locale.
Les infostealers : des logiciels conçus pour vider le navigateur
Le vrai risque ne vient pas toujours d’une personne physique devant votre écran. Il existe des logiciels malveillants appelés infostealers, dont l’unique objectif est d’extraire les mots de passe stockés dans les navigateurs.
Un infostealer peut arriver via un fichier téléchargé, une pièce jointe, ou une extension de navigateur douteuse. Une fois installé, il lit le fichier de mots de passe, le chiffrement local ne lui résiste pas longtemps, et il envoie les données à distance.
CopperStealer est un exemple documenté de ce type de logiciel : il ciblait spécifiquement les mots de passe enregistrés dans les navigateurs web les plus utilisés. Ce n’est pas un cas isolé.
La synchronisation entre appareils : commodité et nouveau risque
Chrome, Edge et Firefox proposent de synchroniser vos mots de passe entre tous vos appareils via un compte en ligne (compte Google, compte Microsoft, compte Firefox). C’est très utile au quotidien.
Mais cette synchronisation déplace une partie du risque vers ce compte de synchronisation. Si votre compte Google est compromis, tous les mots de passe synchronisés le sont aussi, sur tous vos appareils en même temps.
Voici ce que cette architecture implique concrètement :
- Un mot de passe Google faible ou réutilisé expose l’intégralité de vos identifiants enregistrés dans Chrome.
- Un appareil perdu ou volé, connecté à votre compte, donne accès à tous vos mots de passe si l’écran n’est pas verrouillé.
- Une extension malveillante installée sur un seul appareil peut accéder aux données synchronisées depuis tous les autres.
La synchronisation multiplie les points d’entrée possibles, même si chaque point individuel semble bien protégé.
L’autofill et le phishing : un mécanisme qui se retourne contre vous
Vous avez déjà remarqué que le navigateur remplit automatiquement votre identifiant et votre mot de passe dès que vous arrivez sur une page de connexion connue ? C’est l’autofill, ou remplissage automatique.
Ce mécanisme reconnaît le site par son adresse. Un site de phishing – une fausse page qui imite exactement le site de votre banque ou de votre messagerie – peut être conçu pour déclencher cet autofill, en reprenant les mêmes noms de champs.
Certains navigateurs ont renforcé leur détection, mais l’autofill peut remplir un formulaire sur un faux site sans que vous ayez rien tapé. Vous avez alors transmis votre mot de passe sans vous en rendre compte.
Ce que les gestionnaires de mots de passe dédiés font différemment
Des outils comme Bitwarden, Dashlane ou 1Password sont construits autour d’un seul objectif : stocker des identifiants de façon sécurisée. Cette spécialisation change plusieurs choses.
D’abord, ils utilisent un chiffrement bout en bout géré indépendamment du système d’exploitation et du navigateur. Même si votre ordinateur est infecté, l’accès aux données stockées exige le mot de passe maître, qui n’est jamais transmis au serveur.
Ensuite, ils fonctionnent sur tous les navigateurs et tous les systèmes, sans dépendre d’un écosystème particulier. Que vous utilisiez Windows, Android, iPhone ou Mac, les mêmes mots de passe sont disponibles de la même façon.
Enfin, ils incluent souvent des fonctions absentes des navigateurs :
- Une alerte si un de vos mots de passe apparaît dans une fuite de données connue.
- Un générateur de mots de passe longs et uniques pour chaque site.
- Un audit de vos mots de passe existants pour repérer ceux qui sont réutilisés ou trop simples.
Les passkeys : quand le navigateur stocke autre chose qu’un mot de passe
Une évolution récente mérite d’être mentionnée. Les passkeys remplacent le mot de passe classique par une paire de clés cryptographiques. Vous ne tapez plus rien : votre appareil prouve votre identité via une empreinte digitale ou un code PIN local.
L’avantage est que rien de secret n’est transmis au site web. Une passkey ne peut pas être interceptée comme un mot de passe. Apple décrit ce mécanisme comme résistant au phishing par conception.
Mais les passkeys sont liées à l’appareil ou au compte de synchronisation qui les stocke. Avec Apple, elles sont synchronisées via le trousseau iCloud, chiffré de bout en bout, avec authentification à deux facteurs obligatoire pour le compte Apple. La sécurité d’une passkey dépend donc de la sécurité du compte qui la synchronise, exactement comme pour les mots de passe classiques.
Les passkeys représentent une vraie amélioration, mais elles ne sont disponibles que sur les sites qui les prennent en charge.
Enregistrer ses mots de passe dans le navigateur reste une option pratique pour des comptes peu sensibles. Pour les accès importants – messagerie principale, banque, réseaux sociaux, espace de travail – un gestionnaire dédié offre une architecture de sécurité que les navigateurs ne peuvent pas égaler à ce jour.
