L’essentiel en 3 points
KeePass et Bitwarden sont de bonnes solutions, mais elles arrivent souvent trop tôt. Le gestionnaire du navigateur fonctionne dans les applications Android, à condition d’être désigné comme service de saisie automatique, ce que personne ne fait. Votre objectif n’est pas de tout résoudre en une séance : c’est d’arrêter de perdre trente minutes à chaque accompagnement.
Le symptôme
L’usager vient pour son espace Ameli. Ou son compte CAF. Ou France Travail. Le vrai sujet du rendez-vous n’a rien à voir avec un mot de passe. Et pourtant, tout s’arrête là : « je ne me souviens plus », le carnet qu’on feuillette, le code de réinitialisation qui part sur un numéro qui n’existe plus. Trente minutes s’évaporent avant que la démarche commence vraiment.
Ce n’est pas de la malchance. C’est structurel. Le mot de passe n’est presque jamais la raison du rendez-vous : c’est le verrou qui empêche d’atteindre la vraie raison.
L’honnêteté terrain
J’ai monté un atelier gestionnaire de mots de passe. J’en ai convaincu très peu.
Ce n’est pas un aveu d’échec, c’est le point de départ d’un accompagnement réaliste. La vraie question n’est pas « KeePass ou Bitwarden ? ». C’est : quel outil, pour quel usager, à quelle étape.
La progression en 3 étapes réalistes
Il n’existe pas une bonne solution. Il existe la solution adaptée au profil de la personne, à son niveau d’autonomie, et à ce qu’elle est réellement prête à faire.
Étape 0 : le carnet papier
Ne le criminalisez pas.
Un carnet rangé dans un tiroir, avec les mots de passe des comptes importants écrits lisiblement, c’est une solution imparfaite mais fonctionnelle. Elle est infiniment moins dangereuse qu’un seul mot de passe réutilisé partout depuis dix ans.
Une précision utile : ce que l’ANSSI écarte, c’est le post-it sous le clavier et le fichier « mots de passe » non chiffré sur l’ordinateur. Un carnet rangé en lieu sûr, hors du portefeuille et hors du bureau, ne relève pas de la même imprudence.
Ce qu’on peut faire en séance : noter uniquement les comptes critiques, messagerie principale en tête, puis Ameli, impôts, banque, FranceConnect. Vérifier où le carnet est rangé. Distinguer les comptes importants des comptes secondaires.
Pour qui : publics très débutants, seniors isolés, accompagnements courts sans suite possible. Ne cherchez pas à aller plus loin si la personne n’est pas prête.
Étape 1 : le gestionnaire du navigateur
Chrome, Firefox, Edge : tous en proposent un. Sans installation, sans compte supplémentaire. Et l’usager l’a souvent déjà activé sans le savoir.
Sur cette étape circule une idée reçue qu’il faut corriger, y compris dans nos propres rangs.
Non, le gestionnaire du navigateur ne s’arrête pas aux sites web.
Android dispose d’un « service de saisie automatique » qui fonctionne dans les applications, pas seulement dans le navigateur. Le gestionnaire de Google y est intégré et remplit les identifiants dans les applications. Firefox propose la même chose sous l’intitulé « remplissage automatique dans d’autres applications », mais l’option est désactivée par défaut.
Le blocage que vous constatez en séance est donc réel, mais il n’a pas la cause qu’on lui prête. Ce n’est pas une incapacité technique, c’est un réglage jamais fait. Et ça change tout : un réglage, ça se corrige en deux minutes dans les paramètres du téléphone. Une incapacité, ça obligerait à changer d’outil.
Le réflexe à prendre : avant de conclure que « ça ne marche pas sur son téléphone », allez vérifier quel service de saisie automatique est sélectionné. Neuf fois sur dix, il est sur « aucun ».
Reste une limite qui, elle, tient : le point de défaillance unique. Si le compte Google ou Microsoft associé tombe, tous les mots de passe enregistrés tombent avec lui. D’où la règle : le mot de passe de ce compte-là doit être le plus solide de tous, et la double authentification y est non négociable.
Pour qui : usagers avec une autonomie correcte, sur ordinateur comme sur téléphone. Si le smartphone est l’outil principal, prévoyez cinq minutes pour activer le service de saisie automatique. C’est le geste qui débloque tout.
Étape 2 : KeePass et Bitwarden
Ce sont les solutions alignées sur les bonnes pratiques de l’ANSSI, qui recommande explicitement l’usage d’un coffre-fort de mots de passe. Et quand ça fonctionne, c’est la solution qui libère vraiment : fini les blocages, fini les réinitialisations.
Mais la mise en place est fastidieuse, et le mot de passe maître est une responsabilité lourde.
KeePass : stockage local, aucune donnée envoyée sur un serveur externe. Interface austère, synchronisation multi-appareils non intuitive. Sur Android, KeePassDX propose un service de saisie automatique, mais la configuration reste technique.
Bitwarden : cloud chiffré, open source, audité par des cabinets indépendants, gratuit en version de base. Sa saisie automatique Android est nettement plus simple à mettre en route.
Un point qui a changé récemment et que beaucoup ignorent : c’est KeePassXC, dérivé de KeePass et développé par une autre équipe, qui détient une certification CSPN de l’ANSSI depuis novembre 2025. Le détail compte quand on recommande un outil à quelqu’un : ce que cette certification couvre exactement.
Pour qui : usagers autonomes, multi-appareils, prêts à investir du temps de configuration. Deux à trois séances minimum. Pas pour les débutants.
Quel outil pour quel usager
Ce tableau est une grille de préparation de séance, pas un support à montrer à l’usager.
| Profil | Solution | Quand | Résistance fréquente |
|---|---|---|---|
| Grand débutant | Carnet sécurisé | 1re séance | « Je vais l’oublier » : ne noter que les comptes critiques |
| Intermédiaire, ordinateur | Gestionnaire du navigateur | Séance 2 | « C’est compliqué » : démonstration de cinq minutes |
| Smartphone d’abord | Navigateur + activation de la saisie automatique | Séance 2 | « Ça ne marche pas dans mes applis » : vérifier le réglage |
| Autonome, multi-appareils | Bitwarden | Séance 3 minimum | « Et si ça se fait pirater ? » : voir plus bas |
| Professionnel, souveraineté | KeePassXC ou KeePassDX | Hors atelier standard | « Trop complexe » : formation dédiée |
La stratégie multi-séances
Un réinitialisation faite à la hâte sera oubliée deux jours plus tard. Une installation faite en quinze minutes dédiées, préparée, avec l’usager qui fait lui-même les gestes, tient dans le temps.
Séance 1 : notez le problème, ne le résolvez pas. « La prochaine fois, on prend quinze minutes pour régler ça une fois pour toutes. » Identifiez le profil, choisissez la solution.
Séance 2 : quinze minutes dédiées, pas plus. Démonstration, puis l’usager fait lui-même. Ne passez pas au vrai sujet tant que ce n’est pas fait.
Séance 3 : vérifiez que ça fonctionne. C’est là que ça accroche : synchronisation, saisie automatique non activée, mot de passe maître oublié. Réglez.
Au bout de quelques séances, les trente minutes disparaissent.
Deux faits à connaître avant d’en parler en séance
Le piratage de l’ANTS, avril 2026
Le 15 avril 2026, l’Agence nationale des titres sécurisés détecte une intrusion sur son portail usager. Cartes d’identité, passeports, permis de conduire, cartes grises. L’information est rendue publique le 20 avril.
La faille n’avait rien de sophistiqué : une vulnérabilité de type IDOR sur l’interface du portail, où il suffisait de modifier un identifiant dans une requête pour accéder aux données d’un autre usager.
Sur les volumes, soyons précis, parce que les chiffres qui circulent varient du simple au double. Le ministère de l’Intérieur a confirmé 11,7 millions de comptes concernés. L’auteur présumé revendique de son côté 18 à 19 millions d’enregistrements. Les données exposées : nom, prénoms, date et lieu de naissance, adresse électronique, identifiants de compte. L’agence a précisé que ces données ne permettent pas d’accéder directement à un compte.
Ce que ça change en atelier : si l’adresse électronique utilisée sur l’ANTS est la même que la messagerie principale, et si cette messagerie partage son mot de passe avec d’autres services, la personne est exposée bien au-delà de l’ANTS. C’est l’argument concret pour un mot de passe différent par service. Pas une théorie : un fait documenté, survenu à des millions de gens que vous accompagnez.
La faille sur les gestionnaires eux-mêmes, août 2025
En août 2025, à la conférence DEF CON 33, le chercheur en sécurité Marek Tóth a présenté une technique de détournement de clic visant les extensions de navigateur des gestionnaires de mots de passe.
Le principe : un site malveillant superpose des éléments invisibles à l’interface de remplissage automatique. L’usager croit cliquer sur un bandeau de cookies ou un bouton anodin, et déclenche en réalité la livraison de ses identifiants à l’attaquant. Sur onze gestionnaires testés, tous se sont montrés vulnérables à au moins une variante. 1Password, Bitwarden, LastPass, Enpass, iCloud Passwords et LogMeOnce figuraient parmi les produits concernés, pour environ quarante millions d’installations cumulées. Bitwarden a corrigé dans sa version 2025.8.0 ; 1Password et LastPass ont classé le signalement comme informatif, estimant que le problème relève du fonctionnement des navigateurs.
La parade, actionnable en séance
Désactiver la suggestion de remplissage automatique injectée directement dans les pages web, et passer par le copier-coller ou par l’icône de l’extension. Sur les navigateurs de la famille Chrome, régler l’accès aux sites de l’extension sur « au clic ». Détail des techniques et des contournements sur la publication du chercheur.
La leçon n’est pas « les gestionnaires sont inutiles ». C’est qu’un gestionnaire réduit massivement le risque sans l’éliminer. Très bon outil, pas bouclier magique. Et c’est exactement la réponse honnête à donner à qui vous demande : « Et si Bitwarden se fait pirater ? »
Que faire si… le pense-bête à garder sous la main
- Un compte peut-être compromis : Cybermalveillance.gouv.fr, et Have I Been Pwned pour vérifier si l’adresse figure dans une fuite connue.
- Des données personnelles fuitées via un tiers : la CNIL, pour signaler une violation si l’organisme n’a pas prévenu.
- Une commande sur un site frauduleux : SignalConso pour l’arnaque à la consommation, Pharos pour faire retirer le site.
- Cyberattaque, extorsion, usurpation d’identité : 17Cyber, et Cybermalveillance.gouv.fr.
FAQ
Faut-il absolument installer KeePass ou Bitwarden en atelier ?
Non. Ce sont de bonnes solutions, mais elles arrivent souvent trop tôt pour un public débutant. Le carnet sécurisé ou le gestionnaire de navigateur peuvent rester la destination réaliste selon le profil, pas seulement une étape intermédiaire.
Le gestionnaire du navigateur fonctionne-t-il dans les applications Android ?
Oui, mais à une condition rarement remplie : il doit être désigné comme service de saisie automatique du téléphone. C’est en principe le cas pour le gestionnaire de Google sur Android, mais l’option est désactivée par défaut chez Firefox et de nombreux usagers ne l’ont jamais activée. Le blocage constaté en atelier est un problème de réglage, pas d’incapacité technique.
KeePass ou Bitwarden : lequel choisir ?
KeePass stocke les données localement, sans serveur externe, mais demande une configuration technique pour la synchronisation. Bitwarden fonctionne dans le cloud chiffré, avec une saisie automatique Android plus simple. À noter : c’est KeePassXC, dérivé de KeePass, qui détient une certification CSPN de l’ANSSI depuis novembre 2025.
Un gestionnaire de mots de passe peut-il être piraté ?
Le risque n’est pas nul. En août 2025, le chercheur Marek Tóth a présenté à la DEF CON 33 une technique de détournement de clic visant les extensions de navigateur de plusieurs gestionnaires, dont 1Password, Bitwarden et LastPass. La parade existe : désactiver le remplissage automatique proposé dans la page et passer par le copier-coller ou l’icône de l’extension.
Comment traiter ce sujet sans monopoliser tout le rendez-vous ?
En le répartissant sur deux à trois séances : identifier le blocage sans le résoudre dans l’urgence, consacrer quinze minutes dédiées à la mise en place au rendez-vous suivant, puis vérifier que tout fonctionne à la séance d’après.
Où creuser chaque question
- Recommandations ANSSI mots de passe : le guide complet 2026
- Gestionnaire de mots de passe certifié ANSSI : existe-t-il vraiment ?
- Phrase de passe ANSSI : la méthode du tirage aléatoire
- Gérer les mots de passe en atelier : méthode terrain Clé A / Clé B
- Animer un atelier mots de passe : déroulé complet
- Reconnaître et expliquer le phishing à vos usagers
Le document de référence de l’agence est public : guide ANSSI relatif à l’authentification multifacteur et aux mots de passe.
Besoin d’une intervention cybersécurité calée sur votre public et vos contraintes de séance ? Voir les formats disponibles.