Dashlane vs Vaultwarden en 2026 : qui détient réellement vos mots de passe ?
Le salarié de bureau européen moyen jongle désormais avec 80 à 150 comptes en ligne, et pour une part croissante d'entre eux, le fichier le plus précieux qu'ils possèdent n'est ni un document ni une photothèque, mais un coffre-fort de mots de passe chiffré. Ce coffre a une localisation physique. Il se trouve sur un serveur, dans un centre de données, sous les lois d'un pays donné, exploité par une entreprise qui répond devant des tribunaux précis. Parcourez les gestionnaires de mots de passe proposés dans n'importe quelle grande boutique d'extensions de navigateur et vous trouverez des dizaines de produits dont la page éditeur n'indique ni adresse d'entreprise, ni hébergeur, ni juridiction, à côté d'éditeurs établis qui publient leurs audits ; un consommateur peut installer l'un ou l'autre avec les deux mêmes clics. Dashlane et Vaultwarden se situent aux deux extrémités de cette carte. Dashlane est un service commercial fondé en France qui stocke votre coffre chiffré sur sa propre infrastructure cloud. Vaultwarden est un serveur léger, maintenu par la communauté et compatible avec les applications officielles de Bitwarden, que vous faites tourner vous-même sur une machine que vous contrôlez. Les deux peuvent être d'excellents choix pour un consommateur démocrate. Ils répondent simplement de façon totalement différente à la question « qui détient mes mots de passe ? », et cette différence pèse davantage en 2026 qu'il y a cinq ans.
Pourquoi l'origine démocratique compte tout particulièrement pour les gestionnaires de mots de passe
La plupart des catégories de produits de Democratic Market concernent des chaînes d'approvisionnement physiques : plantations de cacao, cellules de batterie, filatures de coton. Les gestionnaires de mots de passe ont eux aussi une chaîne d'approvisionnement, mais elle est faite de code, de bibliothèques cryptographiques, d'infrastructures serveur et de juridiction. La question pertinente n'est pas de savoir où le produit a été assemblé, mais quels gouvernements peuvent contraindre l'opérateur à agir. Dans une démocratie pleine ou imparfaite dotée de tribunaux indépendants, une demande de données d'utilisateurs exige généralement un mandat, peut être contestée et figure souvent dans les rapports de transparence. Dans un État autoritaire, l'opérateur peut n'avoir aucune possibilité légale de refuser. La loi chinoise sur le renseignement national de 2017, par exemple, oblige les organisations à « soutenir, assister et coopérer » avec le travail de renseignement de l'État, et le dispositif russe SORM donne aux services de sécurité un accès permanent aux infrastructures de communication. Un gestionnaire bien conçu utilise un chiffrement à connaissance nulle : l'opérateur ne voit jamais votre mot de passe maître et ne peut pas déchiffrer votre coffre. Mais la connaissance nulle est une promesse mise en œuvre dans un logiciel, et un logiciel peut être mis à jour. Un gouvernement capable de forcer un éditeur à livrer une extension de navigateur modifiée à un seul utilisateur ciblé peut contourner entièrement la cryptographie. C'est pourquoi Democratic Market traite la juridiction, la transparence du code et la gouvernance des mises à jour comme des critères de premier rang dans cette catégorie, aux côtés du score à l'indice de démocratie de l'EIU du pays où l'opérateur est juridiquement établi. L'ANSSI et Cybermalveillance.gouv.fr recommandent d'ailleurs l'usage d'un gestionnaire de mots de passe, tout en insistant sur le choix d'un outil de confiance.
Dashlane : ingénierie française, cloud à connaissance nulle, expérience soignée
Dashlane a été fondé à Paris en 2009 et conserve une grande partie de son ingénierie en France, avec un siège social à New York. Cela lui confère un double profil démocratique : la France obtient 7,99 à l'indice de démocratie de l'EIU et les États-Unis 7,85, toutes deux classées démocraties imparfaites mais dotées d'un contrôle judiciaire solide, d'autorités de protection des données et d'une presse libre. Sur le plan technique, Dashlane fait partie des conceptions les plus prudentes du marché. Les coffres sont chiffrés localement en AES-256, et la clé est dérivée de votre mot de passe maître avec Argon2d, une fonction gourmande en mémoire qui rend coûteuses les attaques par force brute hors ligne. L'entreprise publie un livre blanc de sécurité détaillé, gère un programme public de bug bounty et prend en charge les clés d'accès, ou passkeys, dans ses applications depuis 2023. En 2022, elle a abandonné ses applications de bureau natives pour Windows et macOS au profit d'un modèle centré sur l'extension de navigateur, ce qui a simplifié sa surface d'attaque mais a aussi concentré la confiance sur le canal de mise à jour de l'extension. Pour les particuliers, l'offre Premium coûte environ cinq euros par mois en facturation annuelle, les formules famille et entreprise étant plus chères. L'attrait est évident : surveillance du dark web, VPN intégré dans certaines offres, partage sécurisé, consoles d'administration pour les entreprises et quasiment aucune maintenance. La contrepartie, c'est que vous confiez à une entreprise, à son fournisseur cloud et à deux systèmes juridiques le texte chiffré de toute votre vie numérique. Pour un lecteur français, l'avantage est aussi pratique : un support et une documentation conçus par une équipe francophone, et une autorité de contrôle, la CNIL, que l'on peut saisir dans sa langue.
Vaultwarden : auto-hébergé, open source, et aussi solide que votre installation
Vaultwarden est né en 2018 sous le nom de bitwarden_rs, une réimplémentation en Rust de l'API serveur de Bitwarden écrite par le développeur Daniel García, et a été renommé en 2021 pour éviter toute confusion avec le produit officiel. Il est publié sous licence AGPL-3.0 : son code source est entièrement public et toute modification distribuée sous forme de service réseau doit être partagée. Son principal atout est l'efficacité : là où le serveur officiel de Bitwarden exigeait historiquement une pile de services .NET et Microsoft SQL Server, Vaultwarden tourne dans un seul conteneur Docker avec SQLite, MySQL ou PostgreSQL, et sert sans difficulté une famille ou une petite entreprise depuis un Raspberry Pi ou un serveur virtuel à cinq euros. Les utilisateurs se connectent avec les clients officiels de Bitwarden, eux-mêmes open source et développés par Bitwarden Inc., société basée en Californie. Le chiffrement s'effectue toujours côté client, avec PBKDF2-SHA256 et 600 000 itérations par défaut ou Argon2id sur option, si bien que le serveur ne voit jamais de texte en clair. Du point de vue de la souveraineté démocratique, Vaultwarden est proche de l'idéal : si vous l'hébergez sur du matériel en Allemagne (EIU 8,80), en Finlande (9,30) ou en Norvège (9,81), votre coffre relève du droit de ce pays et d'aucun autre ; un hébergement en France, chez OVHcloud ou Scaleway, vous place sous le droit français et sous le contrôle de la CNIL. Il existe toutefois une réserve importante. Vaultwarden est un projet bénévole sans entité commerciale derrière lui, il n'a pas fait l'objet du type d'audit formel par un tiers dont a bénéficié le serveur de Bitwarden, et sa sécurité dépend fortement du soin avec lequel vous configurez HTTPS, les sauvegardes, les jetons d'administration et les mises à jour. La souveraineté vous transfère la responsabilité.
Gestionnaires de mots de passe à risque démocratique : Kaspersky et clones opaques
Tous les gestionnaires de mots de passe vendus en Europe ne viennent pas de démocraties. Le cas le plus net est Kaspersky Password Manager, développé par Kaspersky Lab, dont le siège est à Moscou. La Russie obtient 2,28 à l'indice de démocratie de l'EIU, nettement dans la catégorie autoritaire. En mars 2022, l'Office fédéral allemand de la sécurité de l'information, le BSI, a émis un avertissement officiel contre l'utilisation des logiciels de sécurité Kaspersky, invoquant le risque qu'un éditeur russe soit contraint de mener des opérations offensives. En 2024, le département américain du Commerce est allé plus loin en interdisant la vente des produits Kaspersky, les mises à jour étant coupées à partir de septembre de la même année. Le gestionnaire de mots de passe a aussi son propre passif technique : en 2021, des chercheurs de Ledger Donjon, l'équipe de sécurité de l'entreprise française Ledger, ont révélé que son générateur de mots de passe avait pendant des années initialisé son aléa à partir de l'heure système, rendant les mots de passe générés bien plus prévisibles que les utilisateurs ne le pensaient. Une seconde catégorie de risque est plus difficile à repérer : les extensions et applications mobiles de gestion de mots de passe gratuites et sans marque, dont l'adresse de l'éditeur, l'hébergeur et le propriétaire ne peuvent être vérifiés. Plusieurs d'entre elles font transiter la synchronisation des coffres par des serveurs en Chine (EIU 1,94) ou par un hébergement anonyme. La position de Democratic Market est simple : si vous ne pouvez pas identifier qui contrôle le canal de mise à jour et sous quel droit il opère, vous ne pouvez pas évaluer sérieusement le risque, et ce produit ne doit pas détenir vos identifiants.
Dashlane vs Vaultwarden : fonctions, prix et profil démocratique côte à côte
En matière de fonctionnalités, Dashlane est le produit grand public le plus complet. Il propose le remplissage automatique dans les principaux navigateurs, le stockage des passkeys, des notes sécurisées, des pièces jointes chiffrées, des alertes d'hameçonnage lorsque le remplissage est tenté sur un domaine imitant un site légitime, une surveillance des fuites sur le dark web et une console d'administration pour les entreprises avec intégration SSO. Vaultwarden, via les clients Bitwarden, couvre l'essentiel : remplissage automatique, passkeys, notes sécurisées, pièces jointes, organisations pour le partage, authentification à deux facteurs y compris par clés matérielles FIDO2, et la fonction Bitwarden Send pour un partage chiffré éphémère. Il débloque aussi plusieurs fonctions que Bitwarden réserve aux clients payants, comme la génération de codes TOTP dans le coffre et le partage en organisation, sans abonnement. Côté prix, Dashlane coûte environ 60 euros par an pour un particulier, davantage pour les familles ou les équipes. Vaultwarden est un logiciel libre, mais vous paierez en pratique 40 à 80 euros par an pour un petit serveur virtuel ou pour l'électricité et le matériel d'un serveur domestique, sans compter votre temps. Sur le plan démocratique, Dashlane obtient de bons résultats : entreprise fondée en France, siège aux États-Unis, infrastructure cloud dans des démocraties établies, documentation de sécurité publiée. Vaultwarden obtient des notes encore plus élevées en souveraineté, puisque vous choisissez la juridiction, et en transparence, puisque chaque ligne du code serveur est publique. Il est moins bien noté en responsabilité institutionnelle : pas d'entreprise à poursuivre, pas d'accord de niveau de service, pas d'audit formel. Dans la grille de Democratic Market, les deux passent largement ; la différence tient à ce que vous privilégiez, la fiabilité externalisée ou le contrôle direct. Pour une voie intermédiaire, le service cloud officiel de Bitwarden propose une région de données européenne, avec les mêmes clients open source et un opérateur audité.
Législation européenne 2026 applicable aux gestionnaires de mots de passe
Plusieurs textes européens encadrent désormais directement cette catégorie. Le Règlement général sur la protection des données reste le socle : un gestionnaire de mots de passe dans le cloud qui traite des données de résidents de l'UE doit disposer d'une base légale, proposer des accords de sous-traitance à ses clients professionnels et respecter les restrictions aux transferts internationaux précisées par la Cour de justice dans l'arrêt Schrems II de 2020. Les transferts de données personnelles vers les États-Unis reposent actuellement sur le cadre de protection des données UE-États-Unis adopté en juillet 2023, que le Tribunal de l'Union européenne a validé en septembre 2025 face au recours du député français Philippe Latombe, même si de nouveaux pourvois restent possibles. Pour les entreprises, la directive NIS2, applicable depuis octobre 2024 et dont la transposition française place l'ANSSI au cœur du dispositif, impose aux entités essentielles et importantes de gérer les risques de cybersécurité liés à leur chaîne d'approvisionnement, ce qui revient en pratique à auditer les outils de gestion des identifiants qu'elles utilisent et leur lieu d'hébergement. Le plus important pour 2026 est le Cyber Resilience Act : ses obligations de signalement des vulnérabilités s'appliquent à partir de septembre 2026, avec une application complète en décembre 2027. Les fabricants de logiciels comportant des éléments numériques vendus dans l'UE, gestionnaires de mots de passe compris, devront signaler à l'ENISA les vulnérabilités activement exploitées dans un délai de 24 heures et fournir des mises à jour de sécurité pendant une période de support définie. Les projets open source développés hors de toute activité commerciale, comme Vaultwarden dans sa forme actuelle, sont largement exemptés, mais quiconque vend commercialement un service Vaultwarden hébergé entrerait dans le champ d'application.
Comment Democratic Market évalue les gestionnaires de mots de passe
Pour les catégories logicielles, Democratic Market adapte sa méthodologie de chaîne d'approvisionnement en cinq questions pondérées. Premièrement, la juridiction de l'opérateur : où l'entreprise est-elle immatriculée, où se trouve son actionnariat de contrôle, et quel est le score EIU de chaque pays concerné ? Tout opérateur contrôlé depuis un pays noté sous 6,0 est exclu. Deuxièmement, la localisation des données : où les coffres chiffrés sont-ils physiquement stockés, et les clients peuvent-ils choisir une région européenne ? Troisièmement, la transparence cryptographique : le modèle de chiffrement est-il documenté dans un livre blanc public, les clients sont-ils open source, et un cabinet indépendant a-t-il audité le code au cours des trois dernières années ? Quatrièmement, la gouvernance des mises à jour : qui peut pousser du nouveau code sur votre appareil, comment les versions sont-elles signées, et existe-t-il un processus de compilation reproductible permettant à des tiers de vérifier que l'application publiée correspond au code source publié ? Cinquièmement, l'historique des incidents et leur divulgation : l'éditeur a-t-il subi des violations, et avec quelle rapidité et quelle honnêteté les a-t-il signalées ? Selon ce cadre, Dashlane obtient de bonnes notes pour la juridiction, la documentation et la culture de transparence, et des notes moyennes pour la transparence du code, ses clients n'étant pas entièrement open source. Vaultwarden obtient les meilleures notes pour la transparence du code et la localisation des données, mais ses scores d'audit et de gouvernance dépendent de chaque déploiement. Kaspersky Password Manager échoue dès la première question.
Guide d'achat étape par étape : choisir un gestionnaire de mots de passe en 2026
Commencez par décider qui assurera la maintenance du système. Si personne dans votre foyer ou votre entreprise n'est à l'aise pour tenir à jour un serveur Linux, choisissez un service hébergé et arrêtez-vous là ; un coffre auto-hébergé mal entretenu est plus dangereux qu'un cloud commercial bien géré. Si vous optez pour un service hébergé, vérifiez le pays d'immatriculation de l'opérateur et son score EIU, puis cherchez un livre blanc de sécurité à jour et un rapport d'audit indépendant datant de moins de trois ans. Assurez-vous que l'éditeur prend en charge les passkeys et les clés de sécurité matérielles, car l'authentification résistante à l'hameçonnage est aujourd'hui l'amélioration la plus importante que vous puissiez apporter. Si vous choisissez d'auto-héberger Vaultwarden, prenez un hébergeur dont le siège se trouve dans une démocratie pleine, comme Hetzner en Allemagne ou un fournisseur équivalent dans les pays nordiques, ou un hébergeur français si vous préférez rester sous la juridiction de la CNIL, et gardez le centre de données dans la même juridiction. Placez le service derrière HTTPS avec un certificat valide, désactivez l'inscription libre une fois vos comptes créés, protégez le panneau d'administration par un long jeton ou désactivez-le entièrement, et programmez des sauvegardes chiffrées automatiques vers un second emplacement. Abonnez-vous aux notifications de version du projet et faites les mises à jour dans les jours qui suivent une publication de sécurité. Quelle que soit la voie choisie, définissez un mot de passe maître long et unique d'au moins cinq mots aléatoires, activez l'authentification à deux facteurs sur le coffre lui-même et exportez une copie de secours chiffrée conservée hors ligne.
Conclusion : quel gestionnaire de mots de passe pour un consommateur démocrate ?
Pour la plupart des particuliers et des familles en Europe, Dashlane est un choix démocratique solide : une entreprise aux racines françaises, dotée d'un modèle de sécurité transparent, opérant sous deux démocraties dotées de tribunaux indépendants et de régulateurs de la protection des données actifs, et qui ne demande presque aucun effort technique. Si vous voulez une souveraineté maximale et que vous, ou une personne de confiance, pouvez gérer un serveur de manière responsable, Vaultwarden hébergé en France, en Allemagne, en Finlande ou dans une autre démocratie pleine est l'option la plus forte disponible : code ouvert, juridiction locale et liberté vis-à-vis de tout abonnement. Les petites entreprises soumises à NIS2 doivent examiner avec soin la piste d'audit : un fournisseur commercial disposant de certifications formelles facilite souvent la conformité, tandis qu'une instance Vaultwarden auto-hébergée nécessite des procédures documentées pour convaincre un auditeur. Ce que nous recommandons d'éviter, sans hésitation, c'est tout gestionnaire de mots de passe dont l'opérateur est établi dans un État autoritaire ou ne peut tout simplement pas être identifié. Votre coffre est la clé maîtresse de votre banque, de votre messagerie et de votre identité. Choisir qui le garde est l'une des décisions d'achat numérique les plus lourdes de conséquences de l'année, et elle mérite la même attention que celle que vous portez à l'origine des aliments dans votre assiette.