Comment auditer la sécurité d’un gestionnaire de mots de passe

Choisir un gestionnaire de mots de passe revient à confier un trousseau critique à une architecture logicielle. La question n’est donc pas seulement « l’application est-elle connue ? », mais « que se passe-t-il si le serveur, l’appareil, le compte administrateur ou la sauvegarde est compromis ? »

Cette grille s’adresse aux particuliers exigeants et aux TPE/PME. Elle aide à comparer des solutions et à préparer les questions d’un fournisseur ; elle ne remplace pas un audit indépendant ni un avis juridique.

1. Commencer par le scénario de menace

Avant de comparer les fonctionnalités, décrivez ce que vous cherchez à éviter :

• le vol du coffre ou de sa sauvegarde après une intrusion serveur ;
• la récupération d’un compte par une personne qui ne devrait plus y avoir accès ;
• la fuite d’un secret via un appareil infecté, une extension ou un presse-papiers ;
• la perte du coffre après un vol, une panne ou le départ d’un responsable ;
• le partage trop large d’un accès d’équipe, sans révocation claire.

Un service peut être excellent sur un risque et faible sur un autre. Notez le niveau de gravité, la probabilité, les personnes exposées et le délai acceptable de retour à l’activité.

2. Examiner l’architecture et le chiffrement

Demandez un schéma simple du parcours d’un secret : création, chiffrement, synchronisation, déverrouillage, partage, sauvegarde et suppression. Le fournisseur doit pouvoir expliquer :

• ce qui est chiffré avant de quitter l’appareil et ce qui reste lisible par le service ;
• comment le mot de passe maître ou la clé de déverrouillage produit la clé du coffre ;
• si chaque coffre possède des clés distinctes et comment elles sont renouvelées ;
• quelles métadonnées subsistent : adresses de service, noms d’entrées, appareils, journaux ou adresses IP ;
• comment une modification ou une synchronisation est authentifiée et protégée contre une altération.

« Chiffrement de bout en bout » et « zero-knowledge » sont des points de départ, pas des preuves. Cherchez la documentation technique, les limites annoncées et les audits publiés, en vérifiant leur périmètre et leur date.

3. Utiliser une grille de comparaison

Attribuez une note de 0 à 3 à chaque critère : 0 = absent ou non documenté, 1 = partiel, 2 = satisfaisant, 3 = démontré et régulièrement vérifié. Une absence de preuve ne vaut pas automatiquement une note de 0 technique, mais elle doit peser dans la décision.

Grille d’évaluation d’un gestionnaire de mots de passe

Critère	Ce qu’il faut vérifier	Preuve attendue
Architecture	Chiffrement côté client, séparation des clés, métadonnées et modèle de menace	Documentation technique datée, schéma, limites explicites
Cryptographie	Algorithmes et dérivation de clé adaptés, paramètres documentés, intégrité authentifiée	Spécification, code audité ou rapport indépendant couvrant le coffre
Accès	MFA, protection du mot de passe maître, sessions, appareils autorisés et révocation	Test en environnement de démonstration et procédure d’administration
Sauvegardes	Format exportable, chiffrement, fréquence, séparation et restauration testée	Procédure de sauvegarde/restauration et résultat d’un test
Récupération	Perte d’appareil, oubli du secret maître, départ ou indisponibilité du fournisseur	Scénarios, responsabilités, délais et dépendances documentés
Partage	Accès minimum, groupes, expiration, révocation, comptes nominatifs et traçabilité	Test d’ajout, de retrait et de changement de rôle
Appareils	Stockage mémoire, verrouillage, extensions, presse-papiers et mises à jour	Documentation des contrôles et politique de support
Gouvernance	Divulgation de vulnérabilités, incidents, sous-traitants, rétention et sortie	Politique de sécurité, canaux d’alerte, export et suppression

Ne compensez pas une faiblesse critique par une moyenne élevée. Un mécanisme de récupération opaque ou une sauvegarde impossible à restaurer peut être rédhibitoire, même si l’interface est excellente.

4. Vérifier les copies et la récupération

Une solution locale limite certaines copies centralisées, mais elle ne protège pas d’une perte d’appareil. Une solution synchronisée simplifie la continuité, mais ajoute des comptes, des serveurs et des flux à protéger. Dans les deux cas :

1. définissez qui peut créer une copie et où elle est conservée ;
2. chiffrez la copie avec un secret distinct du compte quotidien ;
3. séparez au moins une copie du poste principal et limitez son accès ;
4. testez la restauration sur un appareil propre, avec un délai mesuré ;
5. vérifiez que l’export est complet, lisible et supprimable après l’essai.

Un plan sans test est une hypothèse. Le test doit aussi couvrir la perte du téléphone utilisé pour le MFA et l’indisponibilité de la personne qui connaît le secret de récupération.

5. Évaluer le partage d’équipe

Pour chaque coffre ou collection partagée, demandez qui possède l’accès, qui l’approuve, qui peut exporter et qui peut le retirer. Préférez des comptes nominatifs, des groupes liés aux rôles et une révocation automatique ou rapide. Les comptes partagés permanents, les liens sans expiration et les droits administrateur par défaut sont des signaux d’alerte.

Faites un test de départ : retirez un utilisateur fictif, changez un rôle, remplacez un secret partagé et vérifiez ce qui reste dans les journaux. Un partage sécurisé doit réduire la copie manuelle, pas simplement déplacer le mot de passe dans une autre interface.

6. Ne pas oublier les appareils

Le meilleur coffre ne peut pas corriger un appareil compromis. Vérifiez le verrouillage de session, les mises à jour, le chiffrement du disque, les droits de l’extension navigateur et la gestion du presse-papiers. Sur un poste ou un téléphone infecté, un secret déverrouillé peut être observé avant même son stockage.

Demandez aussi quelles versions de systèmes sont supportées, comment les mises à jour sont signées et comment une vulnérabilité est annoncée. Pour une PME, ces réponses doivent rejoindre la politique de postes, le MFA et la procédure d’incident.

7. Questions à poser au fournisseur

• Quelles données le serveur peut-il lire si un coffre synchronisé lui est envoyé ?
• Quelles métadonnées sont conservées, pendant combien de temps et pour quels sous-traitants ?
• Quel est le périmètre exact du dernier audit ou test d’intrusion ?
• Comment dérivez-vous les clés, et comment rendez-vous un essai hors ligne coûteux ?
• Que se passe-t-il si le compte est verrouillé, si le MFA est perdu ou si le fournisseur est indisponible ?
• Puis-je restaurer une copie chiffrée sans votre service ? Dans quel format et avec quelles limites ?
• Comment révoquer un appareil, un membre et un accès partagé ? Quel délai est garanti ?
• Comment signalez-vous une vulnérabilité et un incident affectant les coffres ?
• Comment supprimer les données à la fin du contrat et vérifier la suppression des copies ?

Les réponses doivent être précises, cohérentes entre la documentation, le contrat et le produit testé. Une réponse marketing qui évite la question des métadonnées ou de la récupération est un signal d’alerte.

8. Décider sans promesse absolue

Retenez la solution qui correspond à votre menace, à vos compétences et à votre capacité de reprise. Documentez les écarts, les contrôles compensatoires et la date de revue. Recommencez l’évaluation après un changement d’architecture, une acquisition, un incident ou une évolution importante du fournisseur.

Soclyde s’inscrit dans le cas où une organisation veut générer des secrets uniques, conserver un coffre chiffré sur ses appareils et limiter les copies centralisées. Cette approche ne remplace ni le MFA du service protégé, ni les sauvegardes, ni la sécurité des appareils. Le bon choix est celui dont les hypothèses restent compréhensibles et vérifiables par votre équipe.

Checklist finale

• [ ] Le modèle de menace et les limites du service sont écrits.
• [ ] Le chiffrement, les clés et les métadonnées sont documentés.
• [ ] Le MFA et la révocation des appareils ont été testés.
• [ ] Une copie chiffrée existe et sa restauration a été mesurée.
• [ ] Le partage est nominatif, limité et révocable.
• [ ] Les appareils, extensions et mises à jour sont couverts par une politique.
• [ ] L’export, la suppression et le plan de sortie sont réalistes.
• [ ] Les preuves seront revues après un changement ou au moins une fois par an.