Ce que la synchro cloud et un export CSV gardent encore après l’enregistrement d’un mot de passe dans le navigateur

« Enregistré » ne veut pas dire « seulement sur cet ordinateur »

Beaucoup traitent le bouton Enregistrer du navigateur comme un pense-bête collé à cette machine : ce PC se souvient, les autres ignorent. Ce qui se passe est plus concret. Le navigateur écrit le site, le nom d’utilisateur et le mot de passe comme une seule fiche de saisie automatique. Cette fiche apparaît d’abord dans le profil courant. Si vous avez déjà activé la synchronisation avec un compte Google, Microsoft ou Mozilla, la même fiche peut aussi apparaître sur les autres appareils connectés à ce compte, selon les règles de chaque éditeur. La note précédente couvrait un saut voisin : un mot de passe laissé dans le presse-papiers système peut encore rester dans la synchro cloud et l’historique. Cliquer sur Enregistrer est la même classe d’exposition. Le destinataire n’est plus le presse-papiers du système d’exploitation. C’est le magasin de mots de passe du navigateur, le compte dans le cloud, et le fichier que vous exportez.

Mots de passe de connexion, de messagerie, de disque en ligne et d’administration : autant de contenus qui ne devraient pas se multiplier hors du formulaire courant sans que vous le remarquiez. La question n’est pas « ce navigateur est-il malin ». C’est « cet Enregistrer a-t-il remis à l’étape suivante un clair qui aurait dû rester dans le formulaire ». Une page produit qui écrit « chiffré » répond seulement à : quelqu’un sur le chemin peut-il écouter, et le coffre sur disque est-il du texte chiffré. Quand vous contrôlez, demandez aussi qui détient la clé de déchiffrement, quels autres appareils partagent le compte, et si le bouton d’export redéplie ce chiffré en texte.

Cette note s’en tient aux pages du Gestionnaire de mots de passe de Google et de la synchronisation Chrome, à l’avertissement d’export d’Edge, à celui de Firefox, et à la présentation de sécurité du trousseau iCloud, parce que ces couches sont écrites dans une langue publique que vous pouvez vérifier. Une stratégie d’entreprise, une extension tierce « d’export de mots de passe » et un ancien écran de réglages ajoutent une autre couche, que les pages produit formulent rarement dans la même phrase. Quand vous changez de navigateur, refaites le tour des réglages de cette version. Ne collez pas passwords.google.com sur l’interrupteur de synchro d’un autre éditeur.

Magasin local, synchro du compte et fichier d’export : trois couches distinctes

Entendre « est-il sûr d’enregistrer un mot de passe dans le navigateur » comme un oui ou un non fait tomber au moins trois couches. La première est le magasin local. Vous cliquez sur Enregistrer, et l’entrée entre dans le profil courant. Fermer cet onglet n’efface pas cette couche : le magasin vit dans le répertoire du profil, pas dans la mémoire de l’onglet. Sans connexion, l’aide Chrome est nette : les favoris et les autres informations ne sont enregistrés que sur l’appareil, et non dans le compte Google.

La deuxième est la synchronisation cloud du compte. Accéder à vos favoris, à vos mots de passe et plus encore sur tous vos appareils indique qu’une fois connecté à Chrome, vous pouvez enregistrer des informations dans votre compte Google, puis les utiliser sur tous les appareils où vous êtes connecté avec le même compte. Quand vous vous déconnectez de Chrome, « vos informations sont conservées en sécurité dans votre compte Google et supprimées de l’appareil ». La copie locale peut partir. La copie du compte reste. Apple prend un autre chemin. Le trousseau iCloud synchronise à l’intérieur d’un cercle de confiance. Le transfert est chiffré de bout en bout, donc Apple ne peut pas lire le clair, mais chaque appareil de confiance du cercle peut déchiffrer.

La troisième est le fichier d’export. Ce n’est pas « encore une copie chiffrée du blob de synchro ». C’est du clair officiel sur le disque. Google exige l’import en .csv et écrit que la première ligne doit contenir url, username et password. Edge et Firefox décrivent chacun ce fichier comme non protégé, ou lisible par quiconque. La synchro est liée à un compte et à des appareils. L’export est lié à quiconque peut ouvrir le texte posé dans Téléchargements.

Google : la clé est dans le compte par défaut ; deux autres interrupteurs changent cette phrase

Google inscrit le modèle par défaut dans Premiers pas avec le chiffrement sur l’appareil. La métaphore est celle d’un coffre-fort : vous mettez vos objets de valeur sous clé, et c’est la banque qui garde les clés. Le chiffrement standard brouille les mots de passe ou clés d’accès enregistrés avec une clé unique. Google stocke dans le compte Google la clé utilisée pour accéder à ces mots de passe, et s’en sert pour déchiffrer dans ces cas : lorsque vous les ouvrez sur passwords.google.com, sur des appareils compatibles ou dans les paramètres Chrome ; et lorsque le Check-up Mots de passe cherche des problèmes de sécurité. Le sens officiel tient en une phrase : ce type de chiffrement signifie que vous faites confiance à Google pour conserver la clé et protéger vos données.

Le chiffrement sur l’appareil change qui détient la clé. La même page indique qu’après configuration, vous verrouillez toujours les mots de passe ou clés d’accès avec le Gestionnaire de mots de passe de Google, mais c’est vous qui conservez la clé. Personne d’autre ne peut voir vos données. Vous déverrouillez avec votre mot de passe Google, ou avec le verrouillage d’écran d’un téléphone ou d’une tablette compatible. La phrase devient : vous seul pouvez déverrouiller des données telles que les mots de passe ou les clés d’accès. Elle écrit aussi le coût : une fois le chiffrement sur l’appareil configuré, vous ne pouvez pas le supprimer ; si vous perdez la clé, vous risquez de perdre les mots de passe. Cet interrupteur n’est pas activé par défaut. Tant que vous ne l’avez pas allumé, la phrase qui s’applique est « la clé est dans le compte », pas « vous seul pouvez voir ».

Une phrase secrète de synchronisation est un troisième modèle, et elle couvre davantage. L’aide de la synchro Chrome indique qu’avec une phrase secrète, vous pouvez utiliser le cloud Google pour stocker vos données Chrome sans que personne d’autre que vous n’y ait accès. Les modes de paiement et les adresses Google Wallet ne sont pas chiffrés par cette phrase. Après l’avoir créée, un nouvel appareil a besoin de la phrase pour se connecter ; vous ne pouvez plus consulter les mots de passe enregistrés sur passwords.google.com, ni utiliser Smart Lock pour les mots de passe. Le chiffrement sur l’appareil ne couvre que les mots de passe et les clés d’accès. Une phrase secrète couvre toutes les données Chrome que vous synchronisez avec Google. Aucun des deux interrupteurs n’est obligatoire. S’ils sont tous les deux éteints, la phrase qui s’applique reste celle de la banque qui garde la clé.

Une fois la synchro activée, la frontière de confiance est le compte, pas cet ordinateur. L’aide Chrome liste ce que vous pouvez enregistrer dans le compte après connexion : favoris, liste de lecture, mots de passe, informations de paiement, documents d’identité et coordonnées, extensions, applications Web, paramètres, et éventuellement onglets et historique. Connectez-vous sur un autre ordinateur avec le même compte Google et activez la synchro : cet ordinateur devient un récepteur. Le vieux portable oublié à la maison, jamais déconnecté, et le PC professionnel qui a un jour ouvert un profil Chrome personnel, sont dans cette frontière. Partager un compte Google avec un proche étend cet Enregistrer à chaque appareil qu’il peut ouvrir.

Apple : le bout en bout empêche Apple de lire le clair, pas les appareils du cercle

Apple nomme la fonction trousseau iCloud. La présentation de la sécurité des données iCloud place les mots de passe du trousseau parmi les catégories chiffrées de bout en bout : ces données ne peuvent être déchiffrées que sur vos appareils approuvés connectés au compte Apple. Personne d’autre ne peut y accéder, pas même Apple. Le guide de sécurité formule l’objectif ainsi : synchroniser les mots de passe entre iPhone, iPad, Mac et les autres appareils Apple sans les exposer à Apple. Les éléments du trousseau transitent par les serveurs Apple d’un appareil à l’autre, mais ils sont chiffrés de bout en bout, de sorte qu’Apple et les autres appareils ne peuvent pas en lire le contenu. La conception exige aussi que les mots de passe restent protégés si le compte Apple est compromis, si iCloud l’est par un attaquant externe ou un employé, ou si un tiers accède au compte.

« Les autres appareils ne peuvent pas lire » vise les appareils hors du cercle de confiance. La synchronisation sécurisée du trousseau indique que chaque appareil tient une liste locale des autres identités de synchronisation de l’utilisateur. Chaque élément synchronisé est chiffré de sorte que seul un appareil du cercle de confiance de l’utilisateur puisse le déchiffrer ; aucun autre appareil, ni Apple, ne le peut. Les noms d’utilisateur, mots de passe et numéros de carte Safari, ainsi que les mots de passe Wi-Fi, sont marqués comme synchronisables. Un nouvel appareil rejoint le cercle en s’associant à un appareil existant, ou via la récupération du trousseau. Le chiffrement arrête l’écoute sur le chemin et empêche Apple de lire le clair. Il n’arrête pas « l’iPad que vous avez déjà accepté d’ajouter ».

Quand vous comparez les deux phrases « chiffré », ne les entendez pas comme la même affirmation. Le défaut de Google est « la banque garde la clé ». Le défaut du trousseau Apple est « seuls les appareils du cercle peuvent déchiffrer ». Les deux produits traitent les appareils du même compte comme des extrémités de confiance. Un ordinateur de plus qui n’a jamais été déconnecté est un endroit de plus où cet Enregistrer peut se remplir tout seul. Partager un compte Apple, comme partager un compte Google, élargit la frontière de confiance. Ce n’est pas « une sauvegarde chiffrée de plus que vous seul pouvez lire ».

CSV exporté : les trois éditeurs le décrivent comme lisible par n’importe qui

Pour migrer ou sauvegarder, chaque éditeur propose un export. Au bout de ce chemin, ce n’est pas un autre coffre chiffré. C’est du texte sur le disque. La page Google Importer ou exporter des mots de passe et des clés d’accès écrit le format d’import en .csv et indique que la première ligne doit contenir url, username et password. Vous pouvez importer 3 000 mots de passe à la fois et en stocker jusqu’à 10 000 dans le compte Google. Le chemin d’export est Chrome → Mots de passe et saisie automatique → Gestionnaire de mots de passe de Google → Paramètres → Exporter des mots de passe → Télécharger le fichier. L’étape 3 après import est écrite à part : supprimez le fichier .csv de mots de passe sur l’appareil. La note importante : si vous ne supprimez pas votre fichier de mots de passe, toute personne utilisant l’appareil pourra l’ouvrir et accéder à vos mots de passe.

La phrase de Microsoft est plus courte. Exporter des mots de passe dans Microsoft Edge indique que vous pouvez exporter les mots de passe enregistrés depuis Edge sur ordinateur vers un CSV ; vous ne pouvez pas exporter depuis Edge sur Android ou iOS. L’avertissement : les mots de passe exportés vers un fichier CSV ne sont pas protégés et seront visibles par toute personne qui peut voir le fichier exporté. Une fois le fichier utilisé, Microsoft recommande vivement d’appuyer sur Maj+Suppr pour le supprimer définitivement. Cela n’affecte pas les mots de passe encore stockés en sécurité dans Edge. Une copie partie seulement dans la Corbeille peut encore être restaurée après une suppression ordinaire — c’est pourquoi la page écrit une suppression définitive.

Firefox met « plus chiffré » dans l’avertissement lui-même. Exportation des données de connexion avec Firefox indique qu’après l’export en .csv, les mots de passe ne sont pas chiffrés et apparaissent en clair à toute personne y ayant accès ; ne mettez pas le fichier en ligne, ne l’envoyez pas par courrier électronique et ne le partagez pas ; supprimez-le aussitôt que vous en avez fini. La boîte de dialogue rappelle que les mots de passe seront enregistrés dans un format lisible. Si un mot de passe principal est activé, vous le saisissez avant l’export. Ce mot de passe barre about:logins. Il ne barre pas « qui peut ouvrir le fichier une fois qu’il est déjà sur le disque ».

Les trois avertissements pointent le même saut : l’export est un atterrissage en clair. Si Téléchargements est aussi un dossier qu’un client de disque synchronise, le CSV peut être renvoyé. La note précédente sur un fichier non chiffré déposé dans un Drive couvrait ce qu’un fournisseur, un client de synchro et un raccourci par hash de contenu peuvent encore voir. Ici, la colonne password est ce clair. Un e-mail, un chat et un lien de partage recopient chacun « lisible par n’importe qui » une fois de plus. Aucune des pages officielles ne décrit ce CSV comme « encore chiffré, simplement avec une autre extension ».

Contrôle sur place : l’autre appareil déjà connecté, ou le CSV dans Téléchargements

« Je l’ai seulement enregistré dans mon propre navigateur » n’est pas une preuve. Découpez le contrôle en étapes que vous pouvez finir sur cette machine. Chaque étape répond à une seule question.

1. Écrivez un canari qui n’apparaîtra jamais dans un vrai flux métier. S’il vous faut des caractères aléatoires, tirez 6 à 128 dans le générateur de mot de passe (16 par défaut ; sous 8, la page avertit que la chaîne est plus faible). Traitez ce résultat comme un canari, pas comme un nouveau mot de passe de connexion. N’utilisez pas un mot de passe encore en service.
2. Dans Chrome, déclenchez Enregistrer le mot de passe sur une page d’exercice jetable ou un formulaire local, et enregistrez seulement le canari. Ouvrez Paramètres → Google et vous et voyez si les mots de passe figurent parmi les informations enregistrées dans le compte. Sur un autre appareil connecté au même compte Google avec la synchro activée, voyez si la saisie automatique ou le Gestionnaire de mots de passe montre la même entrée. Si oui, la deuxième couche a déjà écrit le compte.
3. Ouvrez passwords.google.com (ou le Gestionnaire de mots de passe de Google dans Chrome). Si vous y voyez le canari, le modèle en vigueur est le défaut, ou vous vous êtes déjà authentifié et avez déchiffré — pas « une phrase secrète de synchronisation est active, donc le coffre Web est sombre ». Puis ouvrez les pages du chiffrement sur l’appareil et des options de chiffrement, et voyez quelle phrase s’applique : la clé est dans le compte, vous seul détenez la clé, ou vous chiffrez toutes les données Chrome avec votre propre phrase secrète.
4. Exportez seulement le canari. Suivez le chemin officiel, téléchargez le CSV, et ouvrez-le dans un éditeur de texte. Confirmez que url / username / password et le clair du canari sont là. Ne laissez pas le fichier dans un dossier qu’un client de disque synchronise. Ne le collez pas dans un chat. Quand le contrôle est fini, supprimez comme chaque éditeur le recommande : Edge écrit Maj+Suppr ; Google et Firefox écrivent de le supprimer tout de suite. Puis vérifiez la Corbeille et les éléments récemment supprimés.
5. Si vous utilisez Safari ou d’autres appareils Apple, allez sur un autre appareil déjà dans le même cercle de confiance du trousseau iCloud et voyez s’il peut remplir automatiquement le canari. S’il le peut, une copie à l’intérieur du cercle est déjà là. C’est un autre fait que « Apple peut ou ne peut pas lire le clair ». Quand vous avez fini, supprimez l’entrée canari sur chaque appareil qui l’a reçue.

Le premier saut — cet appareil a-t-il remis du clair au magasin du navigateur — est une autre question que Chiffrer dans le navigateur : comment vérifier que le texte en clair n’a pas quitté l’appareil. Ici, la chaîne quitte presque toujours le formulaire courant, parce qu’Enregistrer signifie écrire dans un magasin de mots de passe. Cette note demande quelles couches elle a ensuite rejointes. Le canari ne doit apparaître que sur votre propre page de mots de passe, sur vos propres appareils synchronisés, et dans le seul fichier que vous avez choisi d’exporter. S’il apparaît sur un vieux PC que vous croyiez déconnecté, sur la tablette familiale, ou dans une copie de Téléchargements qu’un client de disque a déjà envoyée, la frontière de confiance est plus large que « ce navigateur ».

Traitez Enregistrer comme une autre exposition, avec un générateur qui s’ouvre sans compte

Si vous voulez d’abord générer en local, puis décider de remettre ou non la chaîne au navigateur, vous n’avez pas à vous inscrire, et vous ne remettez pas la chaîne à MakePwd. Ouvrez le générateur de mot de passe, tirez une chaîne aléatoire jetable, copiez-la ou notez-la seulement sur cette page, et utilisez la section ci-dessus pour décider si vous cliquez sur Enregistrer dans le navigateur. La génération et l’indication de force se terminent dans cet onglet. Les mots de passe nouvellement générés ne sont pas envoyés. Tous les outils s’ouvrent sans compte. Il n’y a pas de coffre de mots de passe qui garde la chaîne pour vous — MakePwd ne la synchronisera pas vers le cloud après Enregistrer.

Le générateur répond à « d’où vient cette chaîne ». Il ne répond pas à « le navigateur la synchronisera-t-il après Enregistrer ». Si vous voulez savoir si un mot de passe que vous utilisez déjà est faible ou figure sur la liste locale des mots fréquents, utilisez Tester la force. Le mot de passe testé n’est pas envoyé non plus, et le résultat n’est pas une recherche de fuites mondiale. Quand une autre personne a besoin du mot de passe, ne vous fiez pas à « je l’ai enregistré dans le navigateur, puis elle se connecte au même compte » — cela l’ajoute à la frontière de confiance. Un meilleur chemin est de l’envoyer une fois avec un lien auto-destructible : la clé reste dans le fragment # de l’URL et n’est pas envoyée au serveur en HTTP. Création et lecture sont toutes deux publiques. Le serveur ne stocke le texte chiffré qu’un moment.

Questions fréquentes

Si je clique sur Enregistrer le mot de passe, Google peut-il lire le clair ?

Dans le modèle par défaut, oui, selon le chemin que Google publie. L’aide du compte indique que le chiffrement standard stocke dans le compte Google la clé utilisée pour accéder à vos mots de passe. Google s’en sert pour les déchiffrer lorsque vous les ouvrez sur passwords.google.com, sur un appareil compatible ou dans les paramètres Chrome, et lorsque le Check-up Mots de passe cherche des problèmes de sécurité. Le sens officiel : vous faites confiance à Google pour conserver la clé. Activez le chiffrement sur l’appareil, et la phrase devient : vous seul avez la clé. Définissez une phrase secrète de synchronisation, et Google écrit qu’il ne peut pas lire les données Chrome qu’elle couvre ; vous ne pouvez plus consulter les mots de passe enregistrés sur passwords.google.com.

Un CSV de mots de passe exporté est-il encore chiffré ?

Les trois pages officielles le décrivent comme n’étant plus protégé. Google : si vous ne supprimez pas le fichier, toute personne utilisant l’appareil pourra l’ouvrir et accéder à vos mots de passe. Edge : les mots de passe exportés vers un CSV ne sont pas protégés et seront visibles par toute personne qui peut voir le fichier ; une fois l’usage terminé, Maj+Suppr pour le supprimer définitivement. Firefox : le fichier exporté n’est pas chiffré et apparaît en clair à quiconque peut le voir ; ne le mettez pas en ligne, ne l’envoyez pas par courrier, ne le partagez pas, et supprimez-le aussitôt.

Si je ferme le navigateur sur ce PC, les mots de passe enregistrés disparaissent-ils ?

Fermer la fenêtre n’efface pas la copie déjà entrée dans le compte. L’aide Chrome indique qu’une fois connecté, vous pouvez enregistrer les mots de passe dans le compte Google et les utiliser sur tous les appareils connectés avec le même compte. Sans connexion, les favoris et autres informations restent seulement sur cet appareil. En vous déconnectant de Chrome, les informations sont conservées en sécurité dans le compte Google et supprimées de l’appareil — la copie du compte reste. Le trousseau iCloud synchronise dans un cercle de confiance : les appareils du cercle peuvent déchiffrer ; Apple ne lit pas le clair.

Un mot de passe enregistré dans le navigateur, est-ce le même contrôle qu’une liste locale de mots faibles ?

Non. Le Check-up Mots de passe de Google s’exécute sur les entrées déjà enregistrées. En chiffrement standard, Google détient la clé de déchiffrement pour le faire. Le test de force MakePwd garde le mot de passe testé dans l’onglet courant, le compare à une liste locale de mots fréquents, et ne l’envoie pas. Ce n’est pas une recherche de fuites mondiale de type HIBP. Une absence signifie seulement que cette liste n’a pas trouvé de correspondance. Enregistrer dans le navigateur est une autre frontière de confiance : les appareils synchronisés et le fichier d’export.

Trois points à retenir avant le prochain Enregistrer

Premier : « Enregistré » signifie seulement que l’entrée est entrée dans le magasin de mots de passe du navigateur. Cela ne signifie pas que la chaîne n’existe que sur cet ordinateur. Deuxième : le magasin local, la synchro cloud du compte (la clé Google est dans le compte par défaut ; le chiffrement sur l’appareil et une phrase secrète changent cette phrase ; le trousseau Apple est de bout en bout dans le cercle) et le CSV exporté (les trois éditeurs le disent lisible par n’importe qui) sont trois copies restantes différentes. Fermer la fenêtre ne touche que l’interface locale. Elle ne touche ni le compte ni le fichier sur le disque. Troisième : contrôlez avec un canari jetable contre l’autre appareil, passwords.google.com et Téléchargements. Ne faites pas d’expérience avec une vraie connexion. Quand le contrôle d’export est fini, supprimez définitivement le fichier comme l’éditeur le recommande.

Si la question suivante est ce que le presse-papiers peut encore garder après Copier, lisez Ce que l’historique du presse-papiers et la synchro cloud gardent encore après la copie d’un mot de passe. Quand il faut prouver dans Network que le clair n’a pas quitté cet appareil pendant le chiffrement, lisez Chiffrer dans le navigateur : comment vérifier que le texte en clair n’a pas quitté l’appareil. Ce qu’une liste locale peut prouver — et pourquoi ce n’est pas une recherche de fuites mondiale — est dans Ce qu’une liste locale de mots de passe faibles peut prouver — et pourquoi ce n’est pas une recherche de fuites mondiale. Cette note ne trace qu’une ligne que vous pouvez écrire dans une conclusion : ce que la synchro cloud et un export CSV peuvent encore garder après un clic sur Enregistrer dans le navigateur.