Sauvegarder vos mots de passe navigateur dans Chrome, Firefox ou Safari semble pratique. C’est pourtant l’une des habitudes les plus dangereuses que vous puissiez avoir..
Vous venez de vous connecter à votre banque. Le navigateur affiche sa petite fenêtre familière : « Voulez-vous enregistrer ce mot de passe ? » Vous cliquez sur « Oui » sans réfléchir. C’est pratique, rapide, et tout le monde le fait.
Pourtant, cette habitude anodine est l’une des plus dangereuses que vous puissiez avoir en matière de sécurité numérique. En quelques clics, n’importe qui ayant accès à votre ordinateur peut récupérer l’ensemble de vos mots de passe — sans logiciel, sans compétences techniques particulières, et souvent sans même que vous le remarquiez.
Dans cet article, nous allons vous montrer exactement comment cela fonctionne, quels sont les risques concrets d’enregistrer vos mots de passe navigateur et surtout comment vous en protéger efficacement.
Comment les navigateurs stockent vos mots de passe navigateur
Quand vous acceptez qu’un navigateur mémorise un mot de passe, celui-ci est stocké localement sur votre appareil dans un fichier de base de données. En théorie, ces données sont chiffrées. En pratique, ce chiffrement est directement lié à votre session utilisateur sur votre ordinateur.
Autrement dit : si quelqu’un accède à votre session Windows, macOS ou Linux — même brièvement — il peut déchiffrer et lire vos mots de passe. Sans effort supplémentaire.
Voici comment chaque navigateur gère (ou plutôt mal gère) vos identifiants.
Google Chrome
Chrome stocke vos mots de passe dans un fichier SQLite nommé Login Data, situé dans le dossier de profil utilisateur. Sous Windows, ce fichier est chiffré via l’API DPAPI (Data Protection API), qui est automatiquement déverrouillée dès que vous êtes connecté à votre session Windows.
Résultat : n’importe quel programme — ou personne — ayant accès à votre session peut extraire vos mots de passe avec des outils librement disponibles sur internet. Des logiciels malveillants appelés infostealers exploitent exactement cette faiblesse de manière automatisée.
Pour voir vous-même l’étendue du problème, ouvrez Chrome et tapez dans la barre d’adresse : chrome://password-manager/passwords. Chaque mot de passe enregistré est visible en clair après avoir cliqué sur l’icône d’œil, sans aucune authentification supplémentaire requise.
Mozilla Firefox
Firefox utilise un système légèrement différent : vos mots de passe sont stockés dans un fichier logins.json, chiffré avec une clé elle-même stockée dans un fichier key4.db. Par défaut, il n’y a aucun mot de passe maître pour protéger ces données.
Firefox propose bien une option « Mot de passe principal » (anciennement « Mot de passe maître ») dans ses paramètres de sécurité, mais elle est désactivée par défaut et la grande majorité des utilisateurs ne la connaît pas.
Sans ce mot de passe principal activé, vos identifiants Firefox sont aussi vulnérables que sous Chrome. Des outils comme firefox_decrypt permettent d’extraire tous vos mots de passe en quelques secondes sur un ordinateur non verrouillé.
Safari
Safari stocke vos mots de passe dans le Trousseau macOS (iCloud Keychain). C’est le système le plus sécurisé parmi les quatre navigateurs abordés ici, car l’accès au trousseau nécessite normalement votre mot de passe macOS ou votre Touch ID.
Cependant, si votre session macOS est déjà ouverte et que vous vous absentez sans verrouiller l’écran, un accès physique à votre Mac suffit pour consulter vos mots de passe via Réglages → Mots de passe — protégé uniquement par Face ID, Touch ID ou le mot de passe de la session déjà active.
Microsoft Edge
Edge étant basé sur Chromium (le même moteur que Chrome), il souffre exactement des mêmes vulnérabilités. Les mots de passe sont stockés dans un fichier Login Data chiffré via DPAPI, automatiquement déverrouillé sur votre session Windows.
Edge propose une synchronisation avec votre compte Microsoft, ce qui ajoute une surface d’attaque supplémentaire : si votre compte Microsoft est compromis, vos mots de passe le sont aussi.
Les attaques concrètes qui exploitent ces failles
Ce n’est pas théorique. Ces vulnérabilités sont exploitées massivement et quotidiennement. Voici les scénarios les plus courants.
Les infostealers : le vol automatisé à grande échelle
Les infostealers sont des logiciels malveillants spécialement conçus pour extraire les mots de passe stockés dans les navigateurs. Des familles bien connues comme Redline Stealer, Raccoon ou Vidar ciblent directement les fichiers de mots de passe de Chrome, Firefox et Edge.
Ces programmes se propagent via des pièces jointes malveillantes, des logiciels piratés, de fausses mises à jour ou des publicités infectées. Une fois installés, ils extraient vos mots de passe en quelques secondes et les envoient au cybercriminel — souvent avant même que votre antivirus les détecte.
Ces données sont ensuite revendues en masse sur le dark web, parfois pour quelques euros par lot.
L’accès physique : l’ami, le collègue, le réparateur
Vous prêtez votre ordinateur deux minutes à un ami pour qu’il vérifie un truc rapidement ? Vous laissez votre PC sans surveillance dans un café le temps d’aller aux toilettes ? Vous confiez votre ordinateur à un réparateur ?
Dans chacun de ces cas, l’accès à vos mots de passe stockés dans le navigateur est trivial. Pas besoin de compétences en informatique : il suffit d’aller dans les paramètres du navigateur et de cliquer sur « Afficher ».
Les malwares via les extensions de navigateur
Certaines extensions malveillantes — parfois disponibles sur les boutiques officielles pendant plusieurs semaines avant d’être retirées — peuvent accéder aux mots de passe stockés dans le navigateur et les exfiltrer en arrière-plan, sans que vous remarquiez quoi que ce soit.
Ce qui peut arriver une fois vos mots de passe volés
La liste est longue, et chaque élément a des conséquences concrètes sur votre vie.
Accès à votre messagerie — Votre email est la clé maîtresse de tous vos autres comptes. Avec votre adresse email, un attaquant peut réinitialiser les mots de passe de tous vos autres services : réseaux sociaux, banque, administration, e-commerce.
Fraude bancaire — Accès à votre espace client bancaire, virements frauduleux, souscription de crédits à votre nom, vidage de compte.
Usurpation d’identité — Avec vos identifiants administration (impots.gouv.fr, ameli.fr, france-connect.gouv.fr), un attaquant peut effectuer des démarches en votre nom, détourner des remboursements ou contracter des emprunts.
Credential stuffing — Si vous réutilisez le même mot de passe sur plusieurs sites (et statistiquement, vous le faites), le vol d’un seul identifiant ouvre l’accès à des dizaines de comptes simultanément. C’est automatisé et massif.
Chantage et extorsion — L’accès à vos emails ou réseaux sociaux permet à un attaquant de récupérer des informations personnelles, des photos ou des conversations privées susceptibles d’être utilisées pour du chantage.
La solution : un gestionnaire de mots de passe dédié
La réponse à tous ces problèmes tient en une phrase : ne plus jamais confier vos mots de passe à votre navigateur, et utiliser à la place un gestionnaire de mots de passe dédié.
Un gestionnaire de mots de passe dédié présente plusieurs avantages fondamentaux par rapport au stockage navigateur :
- Chiffrement de bout en bout — vos mots de passe sont chiffrés avec votre propre clé, que le service lui-même ne peut pas lire
- Mot de passe maître obligatoire — l’accès à votre coffre-fort nécessite toujours une authentification dédiée
- Disponible sur tous vos appareils — ordinateur, smartphone, tablette
- Génération de mots de passe forts et uniques — un mot de passe différent par site, impossible à retenir mais impossible à deviner
- Alertes en cas de fuite — vous êtes notifié si l’un de vos mots de passe apparaît dans une base de données piratée
Parmi les solutions disponibles, Proton Pass est celle que nous recommandons sur webologie.me/. Voici pourquoi.
Pourquoi Proton Pass ?
Proton Pass est développé par Proton, la société suisse à l’origine de Proton Mail — référence mondiale en matière de messagerie chiffrée. Contrairement à de nombreux concurrents, Proton Pass est open source : son code est audité publiquement, ce qui garantit qu’il fait bien ce qu’il prétend faire.
Proton Pass utilise un chiffrement de bout en bout sur l’ensemble de vos données — pas seulement vos mots de passe, mais aussi vos noms d’utilisateur, URLs et notes associées. Les serveurs de Proton ne peuvent physiquement pas lire vos données.
Proton Pass est disponible gratuitement, avec une version premium qui ajoute notamment la génération d’alias email (pour ne jamais donner votre vraie adresse lors d’une inscription) et un accès depuis un nombre illimité d’appareils.
👉 Essayer Proton Pass — actuellement à −50%
Guide pratique : migrer depuis votre navigateur vers Proton Pass
La migration est plus simple que vous ne le pensez. Voici comment procéder navigateur par navigateur.
Exporter depuis Chrome
- Ouvrez Chrome et allez dans Paramètres → Gestionnaire de mots de passe (ou tapez
chrome://password-manager/passwords) - Cliquez sur l’icône ⚙️ (engrenage) en haut à droite
- Cliquez sur « Exporter les mots de passe »
- Confirmez et enregistrez le fichier CSV sur votre bureau
Exporter depuis Firefox
- Ouvrez Firefox et allez dans Paramètres → Vie privée et sécurité → Identifiants et mots de passe
- Cliquez sur « Identifiants enregistrés »
- Cliquez sur le menu ⋯ en haut à droite
- Sélectionnez « Exporter les identifiants » et enregistrez le fichier CSV
Exporter depuis Safari
- Ouvrez Safari et allez dans Fichier → Exporter → Mots de passe
- Authentifiez-vous avec votre mot de passe macOS ou Touch ID
- Enregistrez le fichier CSV
Exporter depuis Edge
- Ouvrez Edge et allez dans Paramètres → Mots de passe (ou tapez
edge://password-manager/passwords) - Cliquez sur ⋯ à côté de « Mots de passe enregistrés »
- Sélectionnez « Exporter les mots de passe » et enregistrez le fichier CSV
Importer dans Proton Pass
- Installez l’extension Proton Pass sur votre navigateur depuis proton.me/pass
- Créez votre compte et définissez un mot de passe maître fort
- Dans l’extension, allez dans Paramètres → Importer
- Sélectionnez votre navigateur dans la liste et importez le fichier CSV
- Vérifiez que tous vos mots de passe sont bien importés
- Supprimez immédiatement le fichier CSV de votre bureau — il contient tous vos mots de passe en clair !
Dernière étape : désactiver le gestionnaire du navigateur
Une fois la migration terminée, désactivez le gestionnaire de mots de passe intégré à votre navigateur pour éviter que de nouveaux mots de passe y soient stockés.
- Chrome : Paramètres → Gestionnaire de mots de passe → désactiver « Proposer d’enregistrer les mots de passe »
- Firefox : Paramètres → Vie privée et sécurité → décocher « Demander d’enregistrer les identifiants »
- Safari : Préférences → Remplissage automatique → décocher « Noms d’utilisateur et mots de passe »
- Edge : Paramètres → Mots de passe → désactiver « Proposer d’enregistrer les mots de passe »
En résumé
Stocker vos mots de passe dans votre navigateur, c’est laisser vos clés sous le paillasson numérique. Pratique au quotidien, catastrophique en cas d’incident.
Les risques sont réels, les attaques automatisées, et les conséquences potentiellement graves : fraude bancaire, usurpation d’identité, perte d’accès à vos comptes les plus importants.
La migration vers un gestionnaire de mots de passe dédié comme Proton Pass prend moins d’une heure et vous protège durablement. C’est l’une des actions les plus efficaces que vous puissiez faire aujourd’hui pour reprendre le contrôle de votre sécurité numérique.
voir aussi mon article sur les gestionnaire de mots de passe
👉 Découvrir Proton Pass — −50% en ce moment
En savoir plus sur Webologie
Subscribe to get the latest posts sent to your email.