On a tous ce moment où Chrome propose d’enregistrer un mot de passe et où on clique « oui » sans réfléchir. Le problème arrive le jour où quelqu’un accède à la session Windows ou au compte Google : tous les identifiants stockés dans le navigateur deviennent lisibles en quelques clics. Passer d’un mot de passe enregistré Chrome à un gestionnaire dédié, c’est une migration concrète, pas un changement cosmétique.
Faille structurelle du gestionnaire de mots de passe Chrome
Le gestionnaire de mots de passe de Google Chrome chiffre les identifiants, mais la protection repose sur la session de l’appareil. Si un malware tourne sur la machine, il peut intercepter la clé maître (appelée Security Domain Secret) qui transite en clair dans la mémoire de Chrome lors de l’enregistrement ou de la récupération d’un identifiant.
Des chercheurs en sécurité ont montré que cette clé maître n’est ni révocable ni remplaçable une fois compromise. Tant que Google ne revoit pas le design, un attaquant qui l’a captée peut déchiffrer tous les mots de passe et passkeys synchronisés sur le compte, y compris ceux ajoutés après la compromission.
Ce n’est pas un scénario théorique réservé aux cibles de haut profil. Un simple infostealer récupéré via une extension douteuse ou un installeur vérolé suffit. Le vrai risque n’est pas que Chrome stocke mal vos données, c’est qu’il n’isole pas le coffre du reste du navigateur.
Exporter ses mots de passe Chrome proprement
Avant de migrer, on récupère le fichier CSV depuis les paramètres du navigateur. La manipulation prend deux minutes, mais la suite demande de la rigueur.
Procédure d’export depuis Chrome
- Ouvrir Chrome, cliquer sur les trois points en haut à droite, puis sélectionner « Mots de passe et remplissage automatique » et enfin « Gestionnaire de mots de passe de Google ».
- Dans les paramètres du gestionnaire, repérer « Exporter les mots de passe » et cliquer sur « Télécharger un fichier ». Chrome demande le mot de passe du système ou du compte Google pour valider.
- Le fichier CSV généré contient tous les identifiants en texte brut : URL, nom d’utilisateur, mot de passe. Supprimez ce fichier dès l’import terminé, y compris de la corbeille.
Tant que ce fichier existe sur le disque, n’importe quel programme ayant accès au répertoire de téléchargement peut le lire. On ne le laisse pas traîner « au cas où ».
Choisir un coffre-fort de mots de passe adapté à son usage
Tous les gestionnaires de mots de passe ne se valent pas, et le critère principal n’est pas l’interface mais l’architecture de sécurité. Un bon coffre-fort chiffre les données localement avec un mot de passe principal que le fournisseur ne connaît pas (chiffrement côté client, souvent appelé « zero-knowledge »).
Critères concrets de sélection
Le premier point à vérifier : le gestionnaire fonctionne-t-il sur tous vos appareils (Windows, macOS, Android, iOS, extensions navigateur) ? Un coffre accessible uniquement sur desktop perd la moitié de son intérêt.
Le deuxième : la gestion des alertes de compromission. Des outils comme 1Password (Watchtower), Bitwarden ou Dashlane comparent vos identifiants aux bases de fuites connues et signalent les mots de passe exposés. Chrome propose un check-up similaire, mais sans isolation du coffre, l’alerte arrive après le problème.
Dernier point souvent négligé : la portabilité des données. La FIDO Alliance travaille sur des spécifications (Credential Exchange Format et Credential Exchange Protocol) pour standardiser l’export et l’import chiffrés de passkeys et de mots de passe entre gestionnaires. Apple, Google, 1Password, Bitwarden, Dashlane et NordPass participent à ce groupe de travail. À terme, changer de coffre-fort ne devrait plus imposer de manipuler un CSV en clair.
Import et nettoyage après migration
Une fois le gestionnaire choisi, on importe le fichier CSV depuis ses paramètres. La plupart des coffres-forts proposent un bouton d’import dédié qui mappe automatiquement les colonnes URL, identifiant et mot de passe.
Vérification post-import
Après l’import, on vérifie que le nombre d’entrées correspond. Il arrive que des lignes mal formatées sautent. On ouvre quelques comptes au hasard pour s’assurer que le remplissage automatique fonctionne dans le navigateur via l’extension du gestionnaire.
Ensuite, on désactive la sauvegarde automatique des mots de passe dans Chrome. Dans les paramètres du gestionnaire de mots de passe Google, on coupe l’option « Proposer d’enregistrer les mots de passe ». Sans cette étape, Chrome continue de capturer les nouveaux identifiants en parallèle du coffre-fort, ce qui crée des doublons et maintient le risque initial.
Supprimer les mots de passe stockés dans Chrome
Effacez les mots de passe enregistrés dans Chrome après avoir vérifié l’import. On passe par « Effacer les données de navigation », en cochant uniquement « Mots de passe et autres données de connexion ». Le fichier CSV d’export doit aussi avoir été supprimé du disque à ce stade.
Les retours varient sur la durée de synchronisation : sur certains comptes Google avec plusieurs appareils, la suppression met quelques minutes à se propager. On vérifie sur chaque appareil que le gestionnaire Chrome est bien vide avant de considérer la migration terminée.
Passkeys et mots de passe Chrome : ce qui change concrètement
Les passkeys remplacent progressivement les mots de passe classiques sur de nombreux services. Chrome synchronise les passkeys via le compte Google, mais les failles récentes sur la clé maître (Security Domain Secret) montrent que la synchronisation cloud des passkeys dans Chrome reste vulnérable à l’extraction mémoire.
Un gestionnaire tiers qui stocke les passkeys dans un coffre isolé, protégé par un mot de passe principal distinct de la session système, réduit cette surface d’attaque. Les spécifications CXF/CXP de la FIDO Alliance devraient faciliter le transfert sécurisé de passkeys entre coffres-forts une fois finalisées.
Migrer ses mots de passe enregistrés depuis Chrome vers un gestionnaire dédié prend moins d’une demi-heure. La partie qui demande de la discipline, c’est ce qui suit : couper l’enregistrement automatique dans le navigateur, purger les anciennes données, et s’assurer que le coffre-fort devient le seul point d’entrée pour tous les identifiants, sur tous les appareils.
