Chaque navigateur, chaque système d’exploitation et chaque application de gestion d’identifiants stocke vos mots de passe enregistrés dans un emplacement distinct. Retrouver un identifiant oublié suppose de savoir précisément où chercher, car les chemins d’accès varient selon l’appareil, le navigateur et le type de stockage (local ou cloud). Ce guide compare les principaux emplacements et leur niveau de sécurité pour vous permettre de localiser vos mots de passe sans tâtonnement.
Comparatif des emplacements de mots de passe enregistrés par navigateur et système
Le tableau ci-dessous synthétise les chemins d’accès aux mots de passe enregistrés pour les environnements les plus courants. Il distingue le stockage local du stockage synchronisé via un compte en ligne.
Lire également : Guide pratique pour accéder facilement à la messagerie académique Aix-Marseille
| Environnement | Chemin d’accès rapide | Synchronisation cloud | Authentification requise |
|---|---|---|---|
| Chrome (ordinateur) | Paramètres > Saisie automatique > Gestionnaire de mots de passe | Oui (compte Google) | Mot de passe système ou biométrie |
| Chrome (Android) | Paramètres > Gestionnaire de mots de passe de Google | Oui (compte Google) | Verrouillage de l’appareil |
| Safari (macOS) | App Mots de passe (macOS Sequoia+) ou Préférences Système > Mots de passe | Oui (iCloud) | Touch ID ou mot de passe session |
| Safari (iOS) | Réglages > Mots de passe | Oui (iCloud) | Face ID, Touch ID ou code |
| Edge (Windows) | Paramètres > Mots de passe | Oui (compte Microsoft) | Mot de passe Windows Hello |
| Firefox | Paramètres > Vie privée et sécurité > Identifiants et mots de passe | Optionnelle (Firefox Sync) | Mot de passe principal si activé |
| Gestionnaire dédié (Dashlane, Bitwarden, etc.) | Application native ou extension navigateur | Oui (serveur chiffré éditeur) | Mot de passe maître + 2FA |
Un point ressort de ce comparatif : tous les navigateurs exigent une authentification locale avant d’afficher un mot de passe en clair. La différence se joue sur la robustesse de cette authentification et sur le périmètre de synchronisation.
Pour consulter une liste des mots de passe sur CGI Network plus détaillée, le chemin complet vers chaque gestionnaire y est décrit pas à pas.
A voir aussi : Astuces efficaces pour accéder à un compte Snapchat sans mot de passe facilement
Stockage local ou synchronisation cloud : écarts de sécurité concrets
La synchronisation cloud simplifie l’accès multi-appareils, mais elle déplace la surface d’attaque. Un mot de passe stocké uniquement en local sur votre ordinateur n’est accessible qu’avec un accès physique à la machine et une authentification système. En revanche, un mot de passe synchronisé via un compte Google ou Apple devient aussi vulnérable que le mot de passe de ce compte.
Risque principal du stockage navigateur synchronisé
Si votre compte Google ou Microsoft est compromis (phishing, mot de passe réutilisé), l’attaquant accède à l’ensemble de vos identifiants synchronisés depuis n’importe quel appareil. Le chiffrement côté serveur protège contre une fuite de base de données, mais pas contre un accès légitime au compte.
Activer la validation en deux étapes sur le compte de synchronisation réduit ce risque de manière significative. Sans cette protection, la commodité de la synchronisation se transforme en faille.
Avantage des gestionnaires dédiés sur ce point
Les gestionnaires comme Dashlane ou Bitwarden chiffrent le coffre-fort avec un mot de passe maître que l’éditeur ne connaît pas (architecture dite « zero-knowledge »). Le compte en ligne sert uniquement de transport pour le coffre chiffré. Même en cas de compromission du serveur, les mots de passe restent illisibles sans le mot de passe maître.
Cette architecture explique pourquoi ces outils exigent un mot de passe maître robuste, distinct de tout autre identifiant. Le prix de cette sécurité supplémentaire : perdre ce mot de passe maître signifie perdre l’accès à l’ensemble du coffre, sans recours possible chez la plupart des éditeurs.
Passkeys et mots de passe : deux emplacements à ne pas confondre
Les passkeys (clés d’accès FIDO) apparaissent désormais dans les mêmes interfaces que les mots de passe classiques, que ce soit dans Chrome, Edge, Safari ou les réglages iOS et Android. Cette cohabitation crée une confusion fréquente.
Les passkeys ne sont pas des mots de passe. Elles reposent sur une paire de clés cryptographiques : la clé privée reste stockée dans le module de sécurité de l’appareil ou synchronisée via le compte de l’éditeur (Google, Apple, Microsoft), tandis que le site ne reçoit que la clé publique. Une passkey volée côté serveur est inutilisable sans l’appareil ou le compte associé.
- Sur Chrome et Android, les passkeys sont gérées dans le Gestionnaire de mots de passe de Google, mais stockées séparément et ancrées au Credential Manager de l’appareil.
- Sur Windows et Edge, la documentation Microsoft indique que mots de passe et clés d’accès se gèrent dans des sections distinctes, les passkeys étant liées au compte Microsoft ou au module TPM.
- Sur iOS et macOS, l’app Mots de passe (introduite avec les dernières versions) regroupe mots de passe et passkeys dans le trousseau iCloud, avec un indicateur visuel pour les distinguer.
En pratique, si vous cherchez un identifiant et ne le trouvez pas dans la section mots de passe, vérifiez la section clés d’accès. Certains sites migrent automatiquement vers les passkeys après une première connexion réussie, ce qui peut donner l’impression que le mot de passe a disparu.
Exporter ses mots de passe : précautions avant de changer de gestionnaire
La plupart des navigateurs et gestionnaires permettent d’exporter les mots de passe enregistrés sous forme de fichier CSV. Chrome propose cette option dans Paramètres > Gestionnaire de mots de passe > Exporter. Firefox, Edge et Safari offrent des fonctions équivalentes.
Un fichier CSV contient tous vos identifiants en texte brut, sans aucun chiffrement. Quiconque accède à ce fichier dispose de l’intégralité de vos comptes. Trois précautions réduisent le risque :
- Effectuer l’export sur un appareil de confiance, déconnecté du réseau si possible, et supprimer le fichier immédiatement après l’import dans le nouveau gestionnaire.
- Ne jamais stocker le fichier CSV dans un dossier synchronisé (Google Drive, OneDrive, iCloud) ni l’envoyer par messagerie.
- Vérifier que l’import dans le nouveau gestionnaire a bien fonctionné avant de supprimer les données de l’ancien, en testant la connexion sur deux ou trois comptes.
L’export reste la seule méthode fiable pour migrer d’un navigateur vers un gestionnaire dédié, ou inversement. Firefox permet aussi l’import direct depuis Chrome sans passer par un fichier intermédiaire, ce qui limite l’exposition.
La localisation de vos mots de passe enregistrés dépend autant du navigateur utilisé que du type de stockage choisi. Vérifier régulièrement quels identifiants sont synchronisés, distinguer mots de passe et passkeys, et traiter tout fichier d’export comme une donnée hautement sensible reste le socle d’une gestion fiable de ses accès.