Gestionnaire de mots de passe KeePassXC : open source et sans verrouillage
KeePassXC est un gestionnaire de mots de passe open source, local par défaut, qui stocke toutes vos identifiants dans un coffre KDBX hors ligne que vous contrôlez entièrement.
Utilisez-le comme gestionnaire de mots de passe sur Linux, puis accédez au même coffre sur Android avec des applications fiables comme KeePassDX ou KeePass2Android.
Table des matières
Pourquoi KeePassXC reste le choix le plus sûr
Sécurité transparente et vérifiable
KeePassXC est entièrement open source, vous pouvez donc auditer le code et éviter toute télémétrie cachée.
Coffres locaux par défaut
Votre coffre KDBX reste hors ligne sauf si vous choisissez de le synchroniser selon vos conditions.
Accès multiplateforme
Une base de données KDBX portable fonctionne sur Linux, Windows, macOS et Android.
- Cryptographie robuste par défaut avec Argon2id et chiffrements modernes.
- Support des tokens matériels (YubiKey, Nitrokey) pour fichier clé ou challenge-réponse.
- Pas d’abonnement ni de paywall — sécurité sans surcoût.
Clé matérielle recommandée pour KeePassXC
Un fichier coffre portable partout
Votre base KeePass est un fichier unique .kdbx stockez ce coffre KDBX sur une clé USB chiffrée, un dépôt Git privé ou un espace de stockage auto-hébergé.
L’ouverture sur un autre appareil ne nécessite jamais de compte, juste votre mot de passe maître (et fichier clé si configuré).
Utilisez une synchronisation compatible avec la gestion de versions (Syncthing ou Git) pour éviter les conflits et garder une copie de sauvegarde en lecture seule hors ligne. Tout déchiffrement se fait localement, votre gestionnaire hors ligne ne partage jamais vos secrets avec des serveurs tiers.
Applications officielles et partenaires fiables
Utilisez ces clients maintenus qui respectent la norme KeePass ouverte.
| Plateforme | Paquet ou source | Remarques |
|---|---|---|
| Linux | Dépôts distro, Flatpak, AppImage | Privilégiez les paquets distro pour les mises à jour ; Flatpak offre un sandboxing. |
| Windows | Installateur signé, version portable | Activez le verrouillage automatique à la reprise et utilisez Windows Hello uniquement pour faciliter le déverrouillage. |
| Android | KeePassDX (F-Droid) ou KeePass2Android | Activez la suppression du presse-papiers, biométrie uniquement pour le déverrouillage local. |
| Navigateurs | KeePassXC-Browser (Firefox/Chromium) | Utilise le client desktop en cours d’exécution — aucun pont cloud requis. |
Checklist pour un coffre renforcé
- Créez un mot de passe maître long et unique, ajoutez éventuellement un fichier clé hors ligne.
- Utilisez Argon2id avec une mémoire élevée (64–128 Mo) et plusieurs itérations pour ralentir les attaques par force brute.
- Regroupez les entrées, ajoutez des tags et stockez les secrets TOTP pour générer des codes hors ligne.
- Activez le verrouillage automatique en cas d’inactivité, de mise en veille ou de verrouillage d’écran.
- Sauvegardez le fichier .kdbx et le fichier clé dans un emplacement chiffré et hors site.
Flux de travail recommandés
Bureaux Linux et Windows
- Lancez KeePassXC avec l’intégration navigateur activée uniquement pour les profils de confiance.
- Utilisez le transfert d’agent SSH depuis KeePassXC pour Git ou l’accès serveur afin d’éviter de stocker les clés sur disque.
- Stockez les secrets d’infrastructure (tokens API, accès base de données) avec des groupes d’entrées séparés par projet.
Android
- Installez depuis F-Droid pour éviter les trackers supplémentaires et garantir des builds reproductibles.
- Gardez la base dans un stockage chiffré sur l’appareil ; évitez les dossiers cloud tiers.
- Activez le déverrouillage rapide par biométrie uniquement après que l’application a demandé le mot de passe maître une fois par session.
Stratégies de synchronisation et sauvegarde
Choisissez un modèle de synchronisation qui garde le fichier KDBX sous votre contrôle :
- Syncthing : pair-à-pair, chiffré de bout en bout, idéal pour un partage familial ou en équipe.
- Git : historique des versions avec commits signés ; évitez les dépôts publics et changez régulièrement vos identifiants.
- Stockage auto-hébergé : WebDAV ou SFTP sur un serveur que vous possédez, avec authentification par clé uniquement.
- Rotation hors ligne : copie périodique sur un disque chiffré conservé hors site pour se prémunir contre les ransomwares.
Applications que je ne recommande pas
Ces services ajoutent des frictions, bloquent des fonctionnalités clés derrière un paywall, ou ont un historique d’incidents :
- LastPass: multiples fuites de données et fonctionnalités clés réservées à la version Pro.
- Dashlane: modèle cloud uniquement avec contrôle limité sur le stockage du coffre.
- 1Password: backend de synchronisation fermé et accès uniquement par abonnement.
- Bitwarden: plans cloud uniquement : pratique, mais l’auto-hébergement ou KeePassXC offrent une meilleure maîtrise.
Questions fréquentes
Toutes les réponses sur KeePassXC, les fichiers KDBX et la synchronisation sécurisée.
Lectures complémentaires et ressources internes
Renforcez votre protection de la vie privée avec ces guides :