Gestionnaire de mot de passe gratuit : 6 options comparées honnêtement en 2026
L’essentiel en une minute
Un gestionnaire de mot de passe gratuit suffit à la plupart des particuliers en 2026, s’il couvre tous vos appareils. Bitwarden et Proton Pass synchronisent sans limite d’appareils, KeePassXC garde tout en local, et les gestionnaires de Google, d’Apple et de Microsoft sont sans doute déjà installés chez vous.
Nous comparons ces six options sur leurs limites, la synchronisation, les clés d’accès, le partage, les alertes, le code et le chiffrement. Les faits viennent surtout des pages des éditeurs et des autorités françaises, complétées par l’ICO britannique, des chercheurs de l’ETH Zurich, Privacy Guides et la presse, relus les 30 et 31 octobre 2026. Aucun test maison, aucun lien affilié.
Points clés
- Bitwarden Free et Proton Pass Free offrent mots de passe et appareils illimités. Bitwarden partage avec une personne, Proton Pass Free partage 2 coffres, chacun avec 2 autres personnes.
- KeePassXC 2.7.9 a obtenu en novembre 2025 une certification de premier niveau de l’ANSSI sous Windows 10, valable jusqu’en novembre 2028.
- Parmi les gestionnaires intégrés, seul Apple chiffre par défaut vos mots de passe de bout en bout. Chez Google, c’est une option.
- L’ANSSI recommande un coffre-fort de mots de passe et un mot de passe différent par service, et déconseille le SMS comme second facteur.
- Un export de migration est le plus souvent un fichier en clair : supprimez-le dès l’import terminé.
Pourquoi un gestionnaire plutôt que votre mémoire
Un mot de passe unique et robuste par service est impossible à retenir de tête : c’est le problème que règle un gestionnaire. Le guide de l’ANSSI recommande aux utilisateurs un mot de passe différent pour chaque service (R33), un coffre-fort de mots de passe pour les générer (R34), et aucun stockage dans un fichier ou un courriel (R35) (guide de l’ANSSI, version 2.0 du 8 octobre 2021, consulté le 30 octobre 2026).
Le même guide précise que les alternatives comme un fichier bureautique protégé par un mot de passe « n’apportent pas du tout le même niveau de protection ». Cybermalveillance.gouv.fr, dans sa fiche mise à jour le 5 octobre 2026, conseille un gestionnaire sécurisé pour n’avoir plus qu’un mot de passe à retenir (Cybermalveillance.gouv.fr).
Le gestionnaire aide aussi contre l’hameçonnage : en principe, il ne propose un mot de passe que sur le domaine enregistré, protection qui disparaît si vous le copiez-collez à la main. Notre guide pour reconnaître un phishing détaille les autres indices.
Gestionnaire de mot de passe gratuit : le tableau comparatif
Aucun gestionnaire de mot de passe gratuit ne coche toutes les cases : chacun arbitre entre synchronisation, contrôle et confort.
| Offre gratuite | Plateformes | Synchronisation | Partage | Code source | Éditeur |
|---|---|---|---|---|---|
| Bitwarden Free | Navigateurs, ordinateur, mobile, web | Appareils illimités, serveurs aux États-Unis ou dans l’UE | 1 autre personne | Ouvert | Bitwarden, Inc. (Californie) |
| Proton Pass Free | Navigateurs, ordinateur, mobile | Appareils illimités | 2 coffres, 2 personnes par coffre | Ouvert | Proton AG (Suisse) |
| KeePassXC | Windows, macOS, Linux | Aucune, fichier à synchroniser soi-même | Via KeeShare | Ouvert (GPLv3) | Équipe KeePassXC (Allemagne) |
| Chrome, Android, iOS avec Chrome | Appareils du compte Google | Groupe familial | Fermé | Google ; Google Ireland pour l’UE | |
| Apple Mots de passe | iOS 18, macOS Sequoia, Windows via iCloud | Appareils Apple et PC Windows | Contacts sur iOS 17, macOS 14 ou plus | Fermé | Apple ; Apple Distribution International (Irlande) pour l’UE |
| Microsoft Edge | Navigateur Edge | Avec un compte Microsoft | Non vérifié | Fermé | Microsoft |
La grille ajoute LastPass Free en contraste, sans le compter parmi les six. Les éditeurs viennent des politiques de confidentialité de Bitwarden, de Google et d’Apple, et du rapport de l’ANSSI pour KeePassXC.
Bitwarden Free : synchronisation illimitée et audits publiés
Bitwarden Free annonce appareils et mots de passe illimités, gestion des clés d’accès, export chiffré et partage gratuit avec un autre utilisateur (tarifs de Bitwarden, consultés le 30 octobre 2026).
Les limites : partage via une organisation gratuite de 2 utilisateurs et deux collections au plus ; double authentification par clé de sécurité, application ou e-mail. Les pièces jointes, l’authentificateur intégré et l’accès d’urgence sont réservés à Premium (documentation des offres). La plupart des rapports de santé du coffre aussi, mais le rapport Data Breach, qui interroge Have I Been Pwned, est « gratuit pour tous » (rapports de Bitwarden, consulté le 31 octobre 2026).
Bitwarden décrit un chiffrement de bout en bout AES-CBC 256 bits. La clé est dérivée du mot de passe maître par PBKDF2 avec 600 000 itérations par défaut, ou par Argon2id sur option (livre blanc de sécurité). La page des audits liste Cure53 chaque année depuis 2021 (page des audits). Le service propose une région États-Unis et une région Union européenne, à choisir à l’inscription (régions de serveurs).
En février 2026, des chercheurs de l’ETH Zurich ont publié 12 attaques contre Bitwarden en supposant un serveur entièrement compromis (ETH Zurich, 16 février 2026). Bitwarden indique avoir corrigé ou commencé à corriger sept problèmes et en avoir accepté trois comme choix de conception (Bitwarden).
Verdict : le bon point de départ si vous mélangez Windows, Android, iPhone et plusieurs navigateurs. Proton Pass l’emporte si vous voulez des alias e-mail ou partager un coffre à trois.
Proton Pass Free : la confidentialité, avec deux coffres
Proton Pass Free offre appareils et identifiants illimités, clés d’accès, alertes sur les mots de passe faibles et réutilisés, et 10 alias pour ne pas donner votre vraie adresse e-mail (tarifs de Proton Pass, consultés le 30 octobre 2026). La surveillance du dark web et l’authentificateur intégré sont réservés à Pass Plus.
Le partage passe par les coffres : en version gratuite, vous pouvez créer et partager jusqu’à 2 coffres, avec 3 personnes au plus par coffre en vous comptant, et chaque invité doit avoir un compte Proton Pass (aide Proton, consultée le 31 octobre 2026).
Selon Proton, chaque coffre est chiffré de bout en bout (AES-GCM 256 bits), métadonnées comprises. Les applications sont open source. Proton AG est installé à Genève et met en avant une juridiction hors des États-Unis et de l’UE ; le droit suisse s’applique (sécurité de Proton Pass).
Le dernier audit public trouvé, par Cure53, date de 2023 : un seul problème de gravité moyenne est resté ouvert, lié à Android (blog de Proton, 19 juillet 2023).
Verdict : idéal avec Proton Mail, ou pour des alias e-mail.
KeePassXC, KeePass et KeePassDX : le local certifié
KeePassXC est la seule option de ce comparatif dont la certification ANSSI est en cours de validité. Open source sous GPLv3, il tourne sous Windows, macOS et Linux sans stocker de données à distance. La version 2.8.0 est sortie le 21 octobre 2026 (KeePassXC, consulté le 30 octobre 2026).
Le rapport ANSSI-CSPN-2025/16 du 17 novembre 2025 porte sur la version 2.7.9, évaluée par Synacktiv, et vaut pour Windows 10 jusqu’au 17 novembre 2028 (page des audits du projet). L’ANSSI rappelle que la certification « ne constitue pas en soi une recommandation du produit » (rapport de certification).
La base est un fichier .kdbx chiffré en AES-256 ou Twofish selon la documentation. Le guide utilisateur recommande le format KDBX 4 avec Argon2, et décrit les clés d’accès via l’extension KeePassXC-Browser (guide utilisateur). Depuis la version 2.6.0, des rapports vérifient la santé des mots de passe hors ligne et, à la demande, leur présence dans Have I Been Pwned (KeePassXC 2.6.0).
KeePassXC n’a pas d’application mobile : sa page de documentation renvoie vers des applications tierces compatibles .kdbx, sur Android comme sur iPhone, que nous n’avons pas évaluées. Sur Android, KeePassDX, sous GPLv3, gère aussi ChaCha20 et les clés d’accès. Le KeePass d’origine, version 2.61.1 du 1er mai 2026, vise d’abord Windows.
Verdict : pour un poste sensible ou qui refuse tout cloud.
Google, Apple et Edge : les gestionnaires intégrés
Gratuits et déjà installés, ils valent mieux que des mots de passe réutilisés, mais vous attachent à un écosystème, avec un code fermé.
Gestionnaire de mots de passe de Google
Il est intégré à Chrome et à Android. Sa fonction Check-up signale les mots de passe compromis (Google Password Manager, consulté le 30 octobre 2026). Les clés d’accès y sont synchronisées et chiffrées de bout en bout, sur Android et dans Chrome sous Windows, macOS, Linux et ChromeOS (documentation développeurs de Google, mise à jour le 19 mai 2025).
Le partage est réservé à votre groupe familial, dont les membres reçoivent une copie du mot de passe (Clubic, 28 mai 2024). Pour les mots de passe, Google a lancé en 2022 un chiffrement sur l’appareil, avant envoi à ses serveurs (blog de Google, 5 mai 2022). Selon Privacy Guides, ce chiffrement de bout en bout reste optionnel.
Apple Mots de passe
L’application est disponible depuis iOS 18 et macOS Sequoia, et sur Windows via iCloud pour Windows. Elle gère les clés d’accès, les codes de validation, et alerte sur les mots de passe faibles, réutilisés ou apparus dans des fuites (assistance Apple). Apple classe « Mots de passe et Trousseau » parmi les données chiffrées de bout en bout dès la protection standard (sécurité des données iCloud).
Le partage en groupe est réservé à des personnes de vos contacts équipées d’un appareil sous iOS 17, iPadOS 17, macOS 14 ou plus récent (guide Mots de passe d’Apple) : autrement dit, entre utilisateurs Apple. La page d’Apple ne mentionne pas Android.
Microsoft Edge
Edge chiffre les mots de passe sur le disque en AES, avec une clé gardée par le système (DPAPI sous Windows). Microsoft précise qu’un logiciel malveillant actif dans votre session peut les lire. Avant synchronisation, les mots de passe sont chiffrés sur l’appareil (Microsoft Learn, mis à jour le 15 juin 2026), mais la page ne parle pas de chiffrement de bout en bout, et Privacy Guides estime qu’Edge n’en offre pas (Privacy Guides, 12 septembre 2025).
La Surveillance de mot de passe compare vos identifiants à une base de fuites si vous êtes connecté avec un compte Microsoft (assistance Microsoft).
Verdict : un bon début dans un seul écosystème ; entre iPhone et PC Windows, ou Android et Mac, préférez un gestionnaire indépendant.
LastPass Free et les autres offres limitées
LastPass Free, montré en contraste, fonctionne sur un seul type d’appareil, ordinateur ou mobile, et ne partage qu’un mot de passe avec une personne à la fois (tarifs de LastPass, consultés le 30 octobre 2026). Les pages de NordPass ont refusé notre accès : nous ne citons pas ses limites.
Ce que l’incident LastPass enseigne
Selon LastPass, un attaquant a volé du code source en août 2022, puis s’en est servi pour copier une sauvegarde des coffres clients, annoncée le 22 décembre 2022. Les champs sensibles restaient chiffrés en AES 256 bits, mais les adresses des sites ne l’étaient pas. LastPass prévenait que l’attaquant pouvait tenter de deviner les mots de passe maîtres par force brute (avis de LastPass).
Le 11 décembre 2025, l’ICO, régulateur britannique, a infligé 1,2 million de livres d’amende à LastPass UK Ltd pour une fuite touchant jusqu’à 1,6 million d’utilisateurs britanniques. Son enquête n’a trouvé « aucune preuve » que l’attaquant ait pu déchiffrer les mots de passe (ICO, notre traduction).
Trois leçons pratiques :
- Un coffre volé peut être attaqué hors ligne, sans limite de temps. Seule la robustesse du mot de passe maître le protège alors.
- Les métadonnées comptent : des adresses de sites en clair révèlent où vous avez un compte, de quoi préparer un hameçonnage ciblé.
- Prévoyez de changer vite vos mots de passe importants. Notre panorama des cyberattaques les plus fréquentes remet ce risque en contexte.
Quel gestionnaire choisir selon votre profil
Le bon choix dépend de vos appareils :
- Windows, Android et iPhone mélangés : Bitwarden Free, appareils illimités et audits annuels publiés.
- Masquer votre adresse e-mail ou partager un coffre à trois : Proton Pass Free.
- Aucun cloud, ou des données sensibles : KeePassXC sur ordinateur, KeePassDX sur Android.
- 100 % Apple : l’application Mots de passe, chiffrée de bout en bout par défaut.
- 100 % Android et Chrome : Google, en activant le chiffrement sur l’appareil.
- Beaucoup de partage en famille : les offres familiales payantes, dont les prix figurent plus bas.
Migrer sans exposer vos mots de passe
Le moment le plus risqué d’une migration est le fichier d’export, le plus souvent un CSV ou un JSON en clair. Bitwarden propose un export chiffré, mais un import vers un autre outil passe en général par un format lisible. Le guide de KeePassXC rappelle que les exports CSV, Bitwarden ou Proton Pass qu’il importe ne sont pas chiffrés et doivent être supprimés ensuite (guide utilisateur de KeePassXC).
- Exportez sur un ordinateur à jour.
- Importez aussitôt. Bitwarden accepte jusqu’à 40 000 éléments par fichier, et une organisation gratuite limitée à deux collections peut faire échouer l’import (aide à l’import de Bitwarden).
- Vérifiez quelques entrées. Privacy Guides signale que les exports CSV de KeePassXC peuvent perdre des données.
- Supprimez le fichier et videz la corbeille.
- Désactivez l’enregistrement dans le navigateur pour éviter deux coffres concurrents.
Les clés d’accès se migrent mal par fichier. La FIDO Alliance prépare un protocole d’échange, le Credential Exchange Protocol ; la version consultée est un brouillon d’octobre 2024 (FIDO Alliance). Notre article sur les passkeys explique leur fonctionnement.
Mot de passe maître et double authentification
Le mot de passe maître ouvre tout le coffre : l’ANSSI le qualifie de « très critique », et recommande de ne pas recevoir de facteur d’authentification par SMS (R8) (guide de l’ANSSI).
La CNIL fixe un minimum de 80 bits d’entropie pour un mot de passe seul : 12 caractères des quatre types, 14 caractères sans caractère spécial obligatoire, ou une phrase de passe d’au moins 7 mots (CNIL, 14 octobre 2022).
- Choisissez une phrase de passe de 7 mots ou plus, utilisée nulle part ailleurs.
- Activez la double authentification avec une application ou une clé de sécurité plutôt qu’un SMS.
- Notez votre code de secours sur papier, rangé chez vous.
- Protégez votre messagerie : l’ANSSI rappelle que sa compromission ouvre les comptes qui y sont liés (R36).
Si un escroc vous a déjà soutiré un mot de passe ou un code, notre guide sur l’arnaque en ligne détaille les démarches.
Ce que coûte le passage au payant
Le payant reste bon marché, mais il n’est pas indispensable seul. Bitwarden Premium coûte 19,80 $ par an et Families 47,88 $ pour 6 utilisateurs, hors taxes (tarifs de Bitwarden). Proton Pass Plus coûte 35,88 $ par an et Pass Family 59,88 $ pour 6 comptes (tarifs de Proton Pass). Prix relevés en dollars le 30 octobre 2026.
Payer se justifie pour les rapports de Bitwarden Premium, la surveillance du dark web de Proton, l’accès d’urgence ou un partage familial large. Comme pour un VPN gratuit ou payant, le gratuit convient quand le modèle économique est clair.
Ce que nous n’avons pas pu vérifier
- Les limites de NordPass Free et de RoboForm Free, dont nous n’avons pas pu lire les pages officielles.
- Les clés d’accès et le partage dans Edge, et qui détient sa clé de synchronisation.
- Un audit de Proton Pass postérieur à 2023.
- La certification de KeePassXC 2.8.0 : elle ne couvre que la version 2.7.9.
- Les prix en euros : les pages consultées affichaient des dollars.
Questions fréquentes
Quel est le meilleur gestionnaire de mot de passe gratuit ?
Il n’y en a pas un seul. Bitwarden Free et Proton Pass Free synchronisent sans limite d’appareils, et KeePassXC a une certification de l’ANSSI valable pour sa version 2.7.9. Le meilleur gestionnaire de mot de passe gratuit est celui qui couvre tous vos appareils.
Le gestionnaire de mots de passe de Google est-il sûr ?
Il est bien plus sûr que des mots de passe réutilisés, et ses clés d’accès sont chiffrées de bout en bout. Pour les mots de passe, ce chiffrement est une option selon Privacy Guides, alors qu’Apple l’applique par défaut.
Un gestionnaire de mot de passe gratuit peut-il être piraté ?
L’éditeur peut l’être, gratuit ou payant : LastPass l’a été en 2022. L’ICO n’a trouvé aucune preuve de déchiffrement, mais un coffre volé reste exposé à des essais hors ligne. Un mot de passe maître solide et la double authentification restent la meilleure protection.
Comment passer de Chrome à Bitwarden ?
Exportez depuis les paramètres du gestionnaire de Google, puis importez dans Bitwarden, qui lit le format de Chrome (aide de Bitwarden), puis supprimez le fichier exporté.
À propos de l’auteur
Abdelilah Ourti est ingénieur IA et architecte logiciel. Il conçoit et déploie des applications web et des systèmes d’IA, et publie sur NeurauTech des guides et des comparatifs destinés aux développeurs francophones. Ses autres articles sont réunis sur sa page auteur.
Méthode. Synthèse fondée sur des sources publiques consultées les 30 et 31 octobre 2026 : pages des éditeurs, rapport et guide de l’ANSSI, CNIL, Cybermalveillance.gouv.fr, décision de l’ICO, publication de l’ETH Zurich, Privacy Guides et presse spécialisée. Les affirmations des éditeurs sont présentées comme telles. Aucun logiciel n’a été testé, aucun lien n’est affilié et aucune relation commerciale ne lie l’auteur aux éditeurs mentionnés.
Une erreur ? Écrivez à [email protected] : l’article sera corrigé.
Dernière mise à jour : 31 octobre 2026.
Image d’en-tête : Sasun Bughdaryan (Unsplash License).
