En mai 2026, un chercheur a montré que Microsoft Edge chargeait les mots de passe enregistrés en clair dans la mémoire de son processus au démarrage. Le 14 mai, Microsoft a annoncé que la version 148 et les versions ultérieures cesseraient de précharger le coffre à ce moment-là. Le scénario initial supposait déjà un accès local privilégié ou un appareil compromis : il ne s'agissait pas d'une lecture à distance des mots de passe.
La correction cible le préchargement de l'ensemble du coffre, pas l'usage normal d'un mot de passe par le navigateur. Lorsqu'Edge remplit un formulaire, le secret peut toujours être présent en mémoire pendant son utilisation.
Un coffre chiffré peut laisser des traces en clair
Le 6 mai 2026, une enquête relayée par Le Monde Informatique a attiré l'attention sur la gestion des mots de passe enregistrés dans Microsoft Edge. Le chercheur norvégien Tom Jøran Sønstebyseter Rønning a signalé que le navigateur pouvait déchiffrer les identifiants au démarrage et les conserver en clair dans la mémoire de son processus.
Le point important est la différence entre deux moments souvent confondus : le stockage sur disque et l'utilisation en mémoire. Edge documente un stockage local chiffré. Mais lorsqu'un secret est chargé en clair, il peut être recherché dans une capture mémoire par un attaquant qui contrôle déjà suffisamment la machine.
Pourquoi ce comportement inquiétait les équipes IT
Le scénario décrit ne demandait pas de visiter chaque site concerné. Les identifiants enregistrés pouvaient être présents en mémoire même lorsqu'ils n'étaient pas utilisés pendant la session. Heise a reproduit le test en créant un mot de passe de démonstration, puis en le retrouvant dans un dump mémoire après un redémarrage du navigateur.
Ce n'est pas une attaque à distance accessible à n'importe qui. Il faut d'abord compromettre le poste ou obtenir un accès local privilégié. Mais ce prérequis ne rend pas le risque anodin : dans une PME, un poste administrateur, un terminal partagé ou une machine contenant des accès à la messagerie peut devenir un multiplicateur d'impact.
Une correction a changé le diagnostic
La première réponse attribuée à Microsoft présentait ce fonctionnement comme intentionnel et rappelait que le scénario supposait déjà un appareil compromis. Dans son billet du 14 mai, Microsoft a annoncé une mesure de défense en profondeur : ne plus charger tous les mots de passe enregistrés en mémoire au démarrage. Les notes de version Edge documentent la correction pour les versions 148 et ultérieures. Cette évolution réduit l'exposition décrite, mais ne transforme pas un poste compromis en environnement sûr.
La leçon dépasse donc ce cas précis : un chiffrement au repos protège un fichier, pas nécessairement les données pendant toute leur durée de vie. Une politique sérieuse doit regarder les clés, les processus, les extensions, les sessions et les droits locaux.
Les réflexes utiles pour une TPE-PME
- Maintenir Edge et les autres logiciels à jour, puis contrôler que les politiques de navigateur sont bien appliquées.
- Limiter les droits administrateur locaux et éviter les comptes partagés.
- Activer une authentification multifacteur résistante au phishing pour les comptes critiques.
- Réduire le nombre de secrets enregistrés dans les navigateurs lorsque l'organisation a besoin d'un contrôle centralisé.
- Prévoir la révocation et la rotation des identifiants après la compromission d'un poste.
- Séparer les accès personnels, métiers et administrateurs afin de limiter le rayon d'action d'un secret exposé.
Si vous suspectez un poste compromis, le guide pratique sur les infostealers détaille les réflexes de confinement et de révocation.
Le lien avec Soclyde
Une approche local-first ne supprime pas le risque lié à la mémoire d'un appareil et ne protège pas un poste compromis. Soclyde conserve le coffre chiffré sur les appareils plutôt que dans un coffre cloud centralisé exploité par Soclyde. Choisir un coffre distinct peut aider une équipe à mieux situer ses identifiants professionnels, mais Soclyde ne supprime pas automatiquement les mots de passe déjà enregistrés dans Edge. Consultez aussi notre guide d'audit d'un gestionnaire de mots de passe pour comparer les contrôles utiles.
Ce choix doit rester cohérent avec les protections du poste : chiffrement du disque, mises à jour, verrouillage de session, comptes séparés et sauvegardes maîtrisées. La confidentialité ne vient pas d'un seul réglage, mais d'un périmètre que l'on comprend et que l'on peut réellement contrôler.
À retenir
La question n'est pas de savoir si Edge est « sûr » ou « dangereux » dans l'absolu. Il faut préciser le modèle de menace : qui peut accéder au poste, quels comptes y sont enregistrés et combien de temps un attaquant peut rester présent ?
La correction Edge 148 vise le chargement global du coffre au démarrage, pas toute présence temporaire de secrets en mémoire. Pour une petite équipe, les priorités restent les mises à jour, la protection des postes, la MFA, des droits locaux réduits et un stockage dont l'emplacement est explicite. Échangez avec Soclyde sur votre stratégie de mots de passe.
