gestionnaire de mot de passe de Firefox

Christophe C · Le 04/10/2025, à 10:22

Bonjour,

quand on veut améliorer sa sécurité "mot de passe" sur firefox, on se doit de passer par un gestionnaire de mot de passe :
- qui crée des mots de passe complexes
- qui les charge lorsqu'on visite le site concerné

Pour que le gestionnaire de mot de passe soit efficace, il faut lui-même qu'il soit :
- protégé par un mot de passe maître long et robuste
- crypté dans un algorithme solide

Et ensuite on peut avoir d'autres besoins (ou pas) :
- multi-navigateurs (fonctionne avec les navigateurs du marché)
- synchro entre différents comptes

Il est claire que le gestionnaire de mot de passe de Fx n'est pas compatible multi-navigateurs. Par contre il me semble faire tout le reste.

J'ai déjà lu plusieurs déclarations indiquant qu'il ne fallait pas l'utiliser, et privilégier Bitwarden ou KeepassXC, mais je n'ai jamais vu l'explication technique de sa "faiblesse".

Quelqu'un a t'il une vision un peu étayée techniquement sur ce qui rendrait le gestionnaire de MDP de Fx problématique (dès lors qu'il a un mot de passe maître solide et qu'on n'utilise que Fx) ?

Sorbus · Le 05/10/2025, à 13:43

Bonjour Christophe,

Cette question m'intéresse. Je me suis posé la même avant de me mettre à utiliser récemment KeepassXC, qui représente notamment pour moi l'avantage de pouvoir utiliser mon fichier de base de données KeepassXC sur un autre ordi qui est sous Windows avec pour navigateur chrome (boulot, pas le choix) . D'après ce que j'ai pu lire, Firefox n'est pas le plus mauvais des navigateurs en ce qui concerne le gestionnaire de mots de passe... et on le sait, plus globalement sur la sécurité.

Juste pour compléter, je mets une copie d'écran des paramètres du gestionnaire de mots de passe de Firefox sur mon ordi (la case "proposer d'enregistrer les mots de passe" est décochée chez moi du fait de mon usage de KeepassXC.)

Mais de fait, si toutes les cases sont cochées, et notamment la case "utiliser un mot de passe principal", et que celui-ci soit robuste, que peut-on dire du "plus", point de vue sécurité, de l'usage d'un gestionnaire de mots de passe spécifique comme Bitwarden ou KeepassXC ?

Les protocoles de chiffrement utilisés ont sans doute leur importance. Je lis sur un site qui promeut un gestionnaire de mots de passe commercial

"La plupart des navigateurs, comme Google Chrome, Safari et Firefox, utilisent des protocoles de chiffrement tels que AES-256 pour protéger les identifiants de connexion enregistrés. Il s’agit généralement d’une sécurité fiable"

(mais poursuit le site, il y a mieux)

En regardant dans KeepassXC installé sur mon ordi, je vois qu'en allant dans "Base de données" > "Paramètres de la base de données" > sécurité > onglet "Paramètres de chiffrement", j'ai le choix entre "AES 256 bits" (qui est mis par défaut) ou "Twofish 256 bits" ou "ChaCha20 256 bits".

Ceci dit, pour un usage perso ou familial ne comportant guère d'éléments de l'ordre du secret défense, compte-tenu du nombre de personnes qui utilisent des systèmes et des mots de passe sans aucune sécurité, il y a des proies - hélas pour elles - plus faciles à pirater pour les hackers.
Donc, oui, pour une utilisation perso ou familiale, si on n'a pas besoin d'un usage multi-plateforme, le gestionnaire de mots de passe de Firefox ne suffit-il pas ?
Techniquement, quels avantages de sécurité présentent des gestionnaires de mdp spécialisés ?

Dernière modification par Sorbus (Le 05/10/2025, à 14:02)

Christophe C · Le 05/10/2025, à 17:46

Concernant fx, j'ai réussit à trouver un document qui parle de AES256 pour le cryptage des MDP firefox lors des synchro (où il y a un passage par un site centralisé Fx - synchro que je n'utilise pas).
Mais je n'ai rien trouvé sur l'encryptation des MDP sur le DD de son PC (fichiers key4.db et logins.json). Aucune raison que ce soit différent, ceci dit.

Christophe C · Le 14/10/2025, à 19:40

Bon, et bien 1 réponse pour l'encryptation des MDP en local :

Dans la présentation des nouveautés de la version 144 de fx, je lis :

Login details stored locally in Firefox’s password manager now use a modern encryption scheme (AES-256-CBC), rather than 3DES-CBC as before. Passwords synced through Firefox Sync were already end-to-end encrypted and use AES-256-GCM.

Pas de changement pour la synchro, mais pour le stockage local, c'est désormais de l'AES256. Je n'arrivais pas à trouver ce que c'était, désormais on le sait. je comprend que la version CBC de 3DES (avec salage) était pas mal, mais moins bien que AES256.

Dernière modification par Christophe C (Le 14/10/2025, à 20:12)

Sorbus · Le 16/10/2025, à 19:47

Bonjour Christophe,

Nous aurons au moins amorcé la discussion sur le sujet, avec quelques premiers éléments de réponse. D'autres compléteront peut-être un jour en tombant sur ce fil...

lool_lauris · Le 16/10/2025, à 20:41

Salut,

La "faiblesse" du gestionnaire de mots de passe de Firefox vient du fait qu'il est possible de l'utiliser sans définir un mot de passe principal. Il y a hélas pas mal de gens qui utilisent le navigateur sans en connaître toutes les possibilités et sans appréhender les principes de base de la sécurité.

À partir du moment où l'on définit un mot de passe principal suffisamment solide, le gestionnaire est de bonne qualité.

Pour palier au manque évoqué plus haut, les développeurs de Firefox devraient imposer la création d'un mot de passe principal ; je ne comprends pas pourquoi ils n'ont pas imposé cette fonctionnalité.

Christophe C · Le 17/10/2025, à 19:06

ca fait un moment que je l'ai utilisé, mais il me semble que KeepassXC n'impose pas de mot de passe maitre non plus.
C'est fortement suggéré, mais cela se désactive, je crois (?)

ceci dit, on est d'accord que sans MDP fort, un gestionnaire est assez moyennement utile.

Dernière modification par Christophe C (Le 17/10/2025, à 19:10)

lynn · Le 17/10/2025, à 19:38

Bonjour,

Christophe C a écrit :

ceci dit, on est d'accord que sans MDP fort, un gestionnaire est assez moyennement utile.

C'est surtout que ça n'a aucun sens... autant écrire tes mots de passe dans un simple fichier texte !

Tu imagines une banque avec son super coffre fort dernier cri mais à qui on laisse la porte ouverte parce que c'est plus simple quand on veux mettre ou prendre quelque chose dedans !?

Christophe C · Le 17/10/2025, à 22:17

Non, cela reste plus intéressant que pasword1234, ou un autre mot de passe du même genre.
Le pirate de pekin, moscou ou paris se connecte sur le site bancaire, lance son robot qui test toutes les guignolades en terme de MDP bidon, et il trouve en 1 Mn.

Si le mot de passe c'est Xirr45;-/krpKD23qsmlk892, il ne trouve pas.
Pour craquer celui-là (si pas de mot de passe sur le fichier des MDP), il faut qu'il repère le PC d'origine, que celui-ci soit allumé, et qu'il passe le pare-feu. Où qu'il vole le PC. Ce qui devient beaucoup plus compliqué que de balayer les sites bancaires sur le web en brutforce avec un robot.
Je suppose que c'est pour cela que certains gestionnaires de MDP ne forcent pas un mot de passe maitre. ils doivent estimer que l'accès au fichier des MDP n'est pas si simple.

Ceci dit, se casser la tête à mettre en place un gestionnaire, et ne pas y mettre un mot de passe maître robuste, je trouve que c'est bête. Mais c'est toujours mieux que rien.

Je nuance, mais sur le fonds on est bien d'accord que la bonne pratique c'est le MDP maitre.

Ceci dit, Birwarden et KeepasXC obligent-il à un MDP maitre, ou est-ce optionnel, comme sur FX ? Je les ai testé, mais je ne me souviens plus.

lool_lauris · Le 18/10/2025, à 01:53

Christophe C a écrit :

Ceci dit, Birwarden et KeepasXC obligent-il à un MDP maitre,

Pour bitwarden je ne sais pas mais en tout cas pour KeepassXC, on ne peut pas créer une base de données sans créer initialement un mot de passe d'entrée.

Christophe C · Le 18/10/2025, à 11:29

C'est vrai qu'il faudrait que Fx fasse de même.

A l'utilisation, le gestionnaire MDP de Fx est quand même plus agréable. Il y a moins de manipulation, c'est évidement mieux intégré. L'extension KeepssXC pour Fx est assez fluide, mais pas tout à fait autant.

Ubuntu-fr

Navigation

Liens de recherche

Annonce

#1 Le 04/10/2025, à 10:22

gestionnaire de mot de passe de Firefox

#2 Le 05/10/2025, à 13:43

Re : gestionnaire de mot de passe de Firefox

#3 Le 05/10/2025, à 17:46

Re : gestionnaire de mot de passe de Firefox

#4 Le 14/10/2025, à 19:40

Re : gestionnaire de mot de passe de Firefox

#5 Le 16/10/2025, à 19:47

Re : gestionnaire de mot de passe de Firefox

#6 Le 16/10/2025, à 20:41

Re : gestionnaire de mot de passe de Firefox

#7 Le 17/10/2025, à 19:06

Re : gestionnaire de mot de passe de Firefox

#8 Le 17/10/2025, à 19:38

Re : gestionnaire de mot de passe de Firefox

#9 Le 17/10/2025, à 22:17

Re : gestionnaire de mot de passe de Firefox

#10 Le 18/10/2025, à 01:53

Re : gestionnaire de mot de passe de Firefox

#11 Le 18/10/2025, à 11:29

Re : gestionnaire de mot de passe de Firefox

Pied de page des forums