Gestionnaires de mots de passe en 2026 : ce que deux incidents de sécurité enseignent sur l'origine et la confiance
En octobre 2023, 1Password a révélé qu'un attaquant avait atteint sa console interne d'administration Okta grâce à un jeton de session récupéré dans un fichier de support. Aucun coffre client n'a été touché, et l'architecture de l'entreprise faisait que même une compromission totale des serveurs n'aurait livré que des blocs chiffrés. Quelques mois plus tôt, des chercheurs avaient montré que KeePass 2.x pouvait laisser fuiter l'essentiel du mot de passe maître d'un utilisateur à partir d'un vidage mémoire, une faille référencée CVE-2023-32784 et corrigée dans la version 2.54. Deux incidents, deux produits très différents et une leçon qui compte davantage que n'importe quelle page marketing : un gestionnaire de mots de passe n'est pas seulement un logiciel. C'est une chaîne de juridictions, d'incitations économiques et de code que quelqu'un, quelque part, doit pouvoir inspecter. Pour un produit qui détient les clés de votre banque, de votre messagerie et des systèmes de votre employeur, le tracé de cette chaîne n'a rien d'abstrait. En France, où la CNIL et l'ANSSI recommandent toutes deux l'usage d'un gestionnaire de mots de passe aux particuliers comme aux organisations, la question de savoir qui se trouve derrière l'outil mérite d'être posée sérieusement.
Pourquoi l'origine démocratique d'un gestionnaire de mots de passe compte en 2026
Dans la plupart des catégories de consommation, le risque géopolitique arrive de façon indirecte, par les conditions de travail ou l'origine des minerais. Avec un gestionnaire de mots de passe, il arrive directement. L'entreprise qui écrit le code décide de la façon dont les clés de chiffrement sont dérivées, des données de télémétrie qui quittent votre appareil et de la manière dont le client se met à jour. L'État dans lequel elle opère décide si elle peut être contrainte, en silence, de livrer une version modifiée ou de remettre des métadonnées. Dans une démocratie pleine, de telles demandes passent par des tribunaux, des organes de contrôle et, de plus en plus, des rapports de transparence. Dans un État autoritaire, non. C'est pourquoi Democratic Market fait du domicile juridique du développeur et de ses serveurs un critère principal plutôt qu'une note de bas de page. Le Canada, siège de 1Password, obtient 8,77 à l'indice de démocratie de l'EIU dans notre base de données. L'Allemagne, où KeePass a été créé et est toujours maintenu par son auteur d'origine, obtient 8,58. La Russie, patrie du gestionnaire de mots de passe de Kaspersky, obtient 2,22. La cryptographie des trois produits peut être compétente ; l'environnement institutionnel qui les entoure n'est pas comparable, et un outil de sécurité ne vaut que ce que vaut la partie la plus faible capable de le modifier.
1Password : un SaaS canadien bâti autour de la Secret Key
1Password est développé par AgileBits, fondée à Toronto en 2005 par Dave Teare et Roustem Karimov. Pendant l'essentiel de son histoire, l'entreprise s'est développée sans capitaux extérieurs ; en 2022, elle a levé 620 millions de dollars américains pour une valorisation de 6,8 milliards, et vend aujourd'hui surtout des abonnements aux particuliers, aux familles et aux entreprises. Sa conception de sécurité présente une vraie singularité. Chaque compte combine le mot de passe maître avec une Secret Key de 128 bits générée sur l'appareil de l'utilisateur et jamais transmise à l'entreprise. Les deux sont mêlés dans un processus que 1Password appelle dérivation de clé à double secret : une copie volée de la base de données du serveur ne peut donc pas être attaquée par force brute sur la seule base du mot de passe maître. C'est la raison structurelle pour laquelle l'incident Okta de 2023 ne s'est pas transformé en fuite de coffres, et la comparaison avec la fuite LastPass de 2022 est éclairante : des coffres chiffrés protégés uniquement par le mot de passe des utilisateurs y avaient été exfiltrés, puis liés à des vols de cryptomonnaies. 1Password publie un livre blanc de sécurité détaillé, dispose d'une attestation SOC 2 Type 2 et gère un programme public de primes aux bogues. Les clients peuvent choisir une région de données, dont une région canadienne et une région européenne sous le domaine 1password.eu, ce qui importe pour toute organisation soumise au RGPD. Le Canada bénéficie en outre d'une décision d'adéquation de la Commission européenne pour les organisations commerciales, ce qui simplifie les transferts. Les contreparties sont celles de tout SaaS propriétaire : vous ne pouvez pas auditer vous-même le code du client, vous dépendez de la solidité financière et de la politique tarifaire de l'entreprise, et votre coffre réside sur une infrastructure que vous ne contrôlez pas, exploitée en pratique par de grands fournisseurs de cloud américains. L'offre individuelle coûte environ trois dollars par mois en facturation annuelle, l'offre entreprise environ huit dollars par utilisateur.
KeePass : logiciel libre allemand, local par conception
KeePass se situe à l'autre extrémité du spectre. Il a été publié pour la première fois en 2003 par Dominik Reichl, un développeur allemand qui le maintient toujours, sous licence publique générale GNU. Il n'y a ni entreprise, ni abonnement, ni serveur : le programme stocke tout dans un unique fichier KDBX chiffré que vous conservez où bon vous semble, sur un ordinateur portable, une clé USB ou un dossier de synchronisation que vous gérez vous-même. Le format actuel KDBX 4 prend en charge le chiffrement AES-256 et ChaCha20 avec dérivation de clé Argon2, et le code est examiné publiquement depuis deux décennies. En 2016, le projet EU-FOSSA de la Commission européenne a financé un audit indépendant de KeePass qui n'a relevé aucune vulnérabilité critique, exemple rare d'une institution publique payant pour vérifier un logiciel sur lequel comptent des millions de citoyens et de fonctionnaires. L'ANSSI a par ailleurs certifié d'anciennes versions de KeePass au titre de sa Certification de sécurité de premier niveau (CSPN), et le logiciel figure depuis longtemps dans le Socle interministériel de logiciels libres recommandé aux administrations françaises. L'écosystème est large : KeePassXC, une réécriture multiplateforme maintenue par la communauté, propose des clients natifs pour Linux et macOS ainsi qu'une intégration aux navigateurs, tandis que des applications compatibles comme KeePassDX sur Android lisent le même format de fichier. Les faiblesses sont tout aussi nettes. KeePass suppose que l'utilisateur gère lui-même la synchronisation, les sauvegardes et l'hygiène de ses appareils ; la faille de vidage mémoire de 2023 a montré qu'un logiciel local n'est jamais plus sûr que la machine sur laquelle il tourne ; et il n'existe aucun fournisseur à appeler lorsqu'un salarié oublie son mot de passe maître. Pour qui accepte cette responsabilité, il offre pourtant ce qu'aucun SaaS ne peut offrir : un coffre qui n'a jamais besoin de quitter une juridiction démocratique choisie par vous.
Gestionnaires de mots de passe à risque démocratique : Kaspersky et applications gratuites opaques
Le cas à haut risque le plus net dans cette catégorie est Kaspersky Password Manager, développé par la société de sécurité basée à Moscou. La Russie obtient 2,22 à l'indice de l'EIU et est classée parmi les régimes autoritaires. Kaspersky soutient de longue date que le traitement des données des utilisateurs européens a lieu en Suisse et que son code peut être examiné dans des centres de transparence, mais les gouvernements ont tiré leurs propres conclusions. Le BSI allemand a mis en garde contre les antivirus Kaspersky en mars 2022 et, en juin 2024, le département américain du Commerce a interdit la vente de logiciels Kaspersky, les mises à jour pour les clients américains existants prenant fin en septembre de la même année. Un gestionnaire de mots de passe qui reçoit des mises à jour automatiques d'une entreprise susceptible d'être contrainte par le droit russe représente un risque qu'aucun chiffrement, aussi solide soit-il sur le papier, ne supprime. Le second groupe à risque est plus difficile à cerner : des applications gratuites de mots de passe dans les boutiques mobiles dont l'identité du développeur, l'actionnariat et l'emplacement des serveurs restent flous. Nos audits trouvent régulièrement des applications qui affichent une société écran dans un pays, des serveurs dans un autre et des équipes de développement dans un troisième, parfois dans des États dont le score EIU est inférieur à 4. Si l'on ne peut pas établir qui écrit le code et quels tribunaux peuvent contraindre ses auteurs, Democratic Market considère le produit comme d'origine opaque, et une origine opaque pour un coffre d'identifiants entraîne une exclusion automatique.
1Password vs KeePass vs alternatives : fonctionnalités, prix et profil démocratique
En fonctionnalités, 1Password est le produit le plus abouti. Il offre une synchronisation fluide entre Windows, macOS, Linux, iOS, Android et navigateurs, le stockage des clés d'accès (passkeys), des coffres partagés avec des permissions fines, les alertes de fuite Watchtower, la gestion de clés SSH et une console d'administration avec provisionnement SCIM pour les entreprises. KeePass propose un chiffrement robuste, des extensions, la saisie automatique et un contrôle local total, mais la synchronisation, le partage et les passkeys dépendent d'extensions ou de dérivés tiers, et l'interface accuse son âge. Côté coût, KeePass est gratuit pour toujours ; 1Password revient à environ 36 dollars par an pour un particulier et à près de 96 dollars par utilisateur et par an pour un poste professionnel. Côté profil démocratique, les deux s'en sortent bien : le Canada à 8,77 et l'Allemagne à 8,58 sont des démocraties pleines dotées de tribunaux indépendants et d'un droit solide de la protection des données. La différence réelle tient à l'endroit où se situe le contrôle. Avec 1Password, la confiance est déléguée à une entreprise canadienne et à ses fournisseurs de cloud ; avec KeePass, elle reste chez l'utilisateur, qui peut garder le fichier en France, en Suède (9,39) ou chez lui. Deux autres options méritent leur place dans tout comparatif. Bitwarden, basé aux États-Unis (7,85), est open source, audité de manière indépendante et auto-hébergeable, y compris via le serveur communautaire en Rust Vaultwarden. Proton Pass, de la société genevoise Proton AG, apporte la juridiction suisse (9,15) et le chiffrement de bout en bout dans un modèle freemium. Aucun ne remplace les deux produits de ce comparatif, mais tous deux montrent que confort et transparence ne s'excluent plus.
Réglementation européenne 2026 : RGPD, NIS 2 et Cyber Resilience Act
L'environnement réglementaire des gestionnaires de mots de passe s'est nettement durci en Europe. Le RGPD continue de s'appliquer à tout coffre contenant des données personnelles, c'est-à-dire en pratique à tous, et fait de l'emplacement des serveurs et des sous-traitants une question de conformité pour chaque entreprise qui utilise un gestionnaire en SaaS. La directive NIS 2, que les États membres devaient transposer avant octobre 2024, impose aux entités essentielles et importantes des politiques de contrôle d'accès et d'authentification ; en France, sa transposition dans le cadre du projet de loi relatif à la résilience des infrastructures critiques a pris du retard, mais l'ANSSI prépare déjà des milliers d'organisations à ces exigences, et les auditeurs demandent de plus en plus quel gestionnaire d'identifiants est utilisé et où ses données résident. Le changement le plus important est le Cyber Resilience Act, en vigueur depuis décembre 2024. Ses obligations de signalement des vulnérabilités et des incidents s'appliquent à partir de septembre 2026, et ses exigences complètes de sécurité dès la conception à partir de décembre 2027. Les gestionnaires de mots de passe vendus sur le marché européen devront disposer d'un processus documenté de gestion des vulnérabilités, de mises à jour de sécurité pour toute la durée de vie prévue du produit et d'une nomenclature logicielle. Le règlement exempte les logiciels libres développés en dehors d'une activité commerciale et prévoit un régime allégé pour les gestionnaires de projets open source, ce qui concerne KeePass. Les éditeurs commerciaux comme 1Password devront démontrer directement leur conformité. Pour les acheteurs, l'effet pratique est positif : d'ici 2027, chaque gestionnaire de mots de passe vendu dans l'UE devra expliquer comment il traite les failles, et ceux qui en sont incapables disparaîtront du marché.
Comment Democratic Market évalue les gestionnaires de mots de passe
Notre méthodologie pour cette catégorie pondère cinq facteurs. D'abord, la juridiction de l'entité qui contrôle le développeur, notée selon l'indice de l'EIU ; tout ce qui se situe sous 6,0 est exclu, et tout actionnariat flou est considéré comme exclu jusqu'à preuve du contraire. Ensuite, l'emplacement des serveurs et des sous-traitants pour les données synchronisées, y compris la possibilité de choisir une région européenne. Troisièmement, la vérifiabilité : le code du client est-il ouvert, des audits indépendants sont-ils publiés et à quand remontent-ils, existe-t-il un programme de primes aux bogues ? Quatrièmement, l'architecture cryptographique, et en particulier la question de savoir si une compromission du serveur suffirait à exposer les coffres. Cinquièmement, la portabilité, c'est-à-dire la possibilité d'exporter son coffre dans un format ouvert et de partir. Selon cette grille, KeePass obtient les meilleures notes en vérifiabilité et en portabilité, tandis que 1Password excelle en architecture et en ergonomie mais perd des points en raison de son code fermé. Tous deux passent largement. Kaspersky Password Manager échoue dès la première étape, quelles que soient ses qualités techniques. Nous mettons ces évaluations à jour lorsque l'EIU publie son indice annuel, lorsqu'un produit change de propriétaire ou lorsqu'un incident significatif est révélé, comme ce fut le cas pour les deux produits en 2023.
Guide d'achat pas à pas : choisir un gestionnaire de mots de passe démocratique
Commencez par décider qui détiendra les clés. Si vous gérez les mots de passe d'une famille ou d'une petite équipe et privilégiez le confort, un modèle SaaS est raisonnable, à condition que le fournisseur soit établi dans une démocratie pleine et propose une région de données européenne ou canadienne. Si vous êtes un utilisateur technique isolé, ou si vous travaillez dans le journalisme, le militantisme ou toute fonction où l'accès de l'État constitue une menace réelle, un coffre local comme KeePass ou KeePassXC laisse la décision entre vos mains. Deuxièmement, vérifiez le domicile juridique du développeur et le score EIU de son pays avant tout téléchargement, et écartez les applications dont la fiche ne mentionne pas une entreprise réelle avec une adresse. Troisièmement, recherchez un audit indépendant publié au cours des trois dernières années. Quatrièmement, choisissez un mot de passe maître long et unique, idéalement une phrase de passe d'au moins cinq mots aléatoires, comme le recommande l'ANSSI, et activez l'authentification à deux facteurs sur tout compte cloud. Cinquièmement, testez la fonction d'exportation dès le premier jour, pour savoir que vous pouvez partir. Sixièmement, si vous choisissez KeePass, définissez immédiatement une routine de sauvegarde : au moins une copie chiffrée hors ligne et une dans un dossier de synchronisation hébergé dans une juridiction démocratique. Enfin, migrez progressivement, en commençant par la messagerie et la banque, et supprimez les anciens mots de passe des navigateurs une fois le nouveau coffre opérationnel.
Conclusion : quel gestionnaire de mots de passe le consommateur démocratique doit-il choisir ?
Entre 1Password et KeePass, il n'y a pas de mauvaise réponse, et c'est précisément le sens de ce comparatif. Tous deux sont développés dans des démocraties pleines, tous deux ont résisté à l'examen public d'incidents réels, et tous deux protègent les coffres par une cryptographie robuste et bien documentée. Le choix dépend de la personne à qui vous voulez faire confiance. Si vous préférez un service géré offrant une excellente synchronisation, le partage et la prise en charge des passkeys, 1Password est le produit le plus solide, et sa base canadienne ainsi que sa région de données européenne lui donnent un bon profil démocratique ; prévoyez environ 36 dollars par an. Si vous voulez zéro coût récurrent, un code ouvert audité avec de l'argent public et un coffre qui ne quitte jamais la juridiction que vous avez choisie, KeePass ou KeePassXC vous conviendra mieux, à condition d'assumer la responsabilité des sauvegardes et de la sécurité de vos appareils. Ce que nous déconseillons, c'est tout gestionnaire de mots de passe dont le développeur répond à un État autoritaire ou ne peut tout simplement pas être identifié. Dans cette catégorie plus que dans presque toute autre, l'origine n'est pas une déclaration de valeurs plaquée sur le produit. Elle fait partie du modèle de sécurité.