Vous cliquez « Enregistrer » sur la fenêtre de Chrome depuis des années, et la question finit par venir : enregistrer ses mots de passe dans le navigateur, est-ce sûr ? Oui pour la vie courante, non sur une machine compromise. Voici où passe la frontière, et le réglage à changer aujourd'hui.
Enregistrer ses mots de passe dans le navigateur : ce qui est vraiment protégé
Chrome et Edge ne rangent pas vos identifiants dans un fichier texte. Sur Windows, ils tiennent dans une base du profil utilisateur (le fichier Login Data pour Chrome), chiffrés par une clé que protège DPAPI, le mécanisme de Windows rattaché à votre compte. Deux scénarios courants sont couverts, avec une réserve de taille sur le premier.
- Le vol de l'ordinateur. Disque retiré et branché ailleurs, la base n'est pas lisible telle quelle. Mais ce n'est pas un coffre-fort : DPAPI dérive sa clé de vos identifiants de session, si bien qu'un attaquant qui connaît ou devine le mot de passe du compte Windows déchiffre le tout hors ligne, avec des outils publics. Un mot de passe de session faible ou absent la réduit à presque rien. Ce qui verrouille vraiment ce scénario, c'est le chiffrement du disque (BitLocker sur les éditions Pro, chiffrement de l'appareil sur Famille quand le matériel le permet), et côté Chrome le chiffrement sur l'appareil — plus protecteur, mais sans filet en cas d'oubli.
- Le hameçonnage. Bénéfice qu'on oublie : le gestionnaire ne remplit le formulaire que si le domaine correspond. Sur une fausse page « micr0soft-login », le champ reste vide — un signal d'alerte que votre mémoire ne donne pas.
Vérifier ses fuites une fois par trimestre, c'est déjà bien ; être prévenu quand elles arrivent, c'est mieux. Norton 360 Standard ajoute, selon les formules, une surveillance des fuites de données à la protection en temps réel.
Ce que le navigateur ne protège pas : le logiciel voleur d'informations
Tout cela repose sur une hypothèse : que vous seul exécutiez des programmes sous votre session. Une famille entière de logiciels malveillants, les infostealers (voleurs d'informations), exploite cette faille. Le programme tourne sous votre compte, Windows lui accorde donc vos droits, il obtient le déchiffrement de la base et l'envoie ailleurs. Mots de passe, mais aussi cookies de session — et un cookie volé permet parfois d'entrer dans un compte sans le mot de passe ni le second facteur.
Google a réagi dès Chrome 127, en 2024, avec un chiffrement dit « lié à l'application » (App-Bound Encryption), confié à un service à privilèges élevés. Vraie amélioration, mais pas fin de partie : des contournements sont documentés — débogage distant, abus des interfaces COM, ou lecture de la clé à l'instant où le navigateur la manipule en mémoire, technique du voleur VoidStealer décrite en mars 2026.
La conclusion est déplaisante mais nette : sur un PC déjà infecté, aucun gestionnaire de mots de passe n'est une défense. Un gestionnaire dédié fait mieux si son coffre est verrouillé au moment de l'infection ; ouvert, il est lisible lui aussi.
Le réglage à activer aujourd'hui dans Chrome et dans Edge
Meilleur rapport effort/protection de cette page. Par défaut, quiconque s'assoit devant votre session ouverte se connecte à tous vos sites par remplissage automatique, sans jamais voir un mot de passe. Les deux savent l'empêcher.
Chrome : tapez chrome://password-manager/settings dans la barre d'adresse, puis activez Utiliser Windows Hello pour saisir les mots de passe. Par les menus : ⋮ → Paramètres → Saisie automatique et mots de passe → Gestionnaire de mots de passe Google.
Edge : tapez edge://settings/passwords, ouvrez Microsoft Password Manager → Autres paramètres, puis activez Demander les options de connexion de l'appareil avant d'afficher ou de remplir le mot de passe du site web. Microsoft a retiré le mot de passe principal personnalisé d'Edge le 4 juin 2026 : les profils concernés ont basculé sur l'authentification de l'appareil. Ces libellés bougent selon les versions : prenez le plus proche.
Sa portée est limitée : elle protège des humains, pas des logiciels — un voleur lit le fichier, pas l'interface. Complétez-la par Windows + L en quittant votre bureau.
Navigateur ou gestionnaire dédié : la comparaison honnête
| Critère | Gestionnaire du navigateur | Gestionnaire dédié |
|---|---|---|
| Coût | Inclus, déjà là | Version gratuite suffisante en usage personnel (Bitwarden, Proton Pass, KeePassXC) |
| Verrouillage pendant la session | Possible, option à activer soi-même | Oui, natif, avec délai d'inactivité |
| Face à un voleur d'informations | Faible : base déchiffrable sous votre session | Meilleure si le coffre est verrouillé, faible s'il est ouvert |
| Portée | Sites web | Sites, notes, codes de secours |
Notre position, sans détour : pour un particulier, le gestionnaire du navigateur avec la ré-authentification activée et des mots de passe tous différents suffit — inutile de payer. Pour un indépendant ou une entreprise, le dédié s'impose dès qu'il y a des accès bancaires, des comptes clients ou du partage ; s'en passer est l'une des erreurs de cybersécurité les plus fréquentes dans les petites structures.
Changer tous ses mots de passe ne sert à rien tant que la machine qui les tape reste compromise. Nettoyer le poste, puis le garder surveillé en continu : c'est ce qui rend l'opération durable.
Voir les 14 offresVérifier si vos mots de passe ont fuité, et quoi faire si les alertes reviennent
Une part importante des piratages de comptes ordinaires ne vise pas votre navigateur, mais votre habitude : un site se fait pirater, la liste des couples adresse e-mail / mot de passe circule, des robots les essaient ailleurs. La fuite d'un forum oublié devient la clé de votre boîte mail.
Dans Chrome : chrome://password-manager/checkup liste les mots de passe apparus dans une fuite connue, les réutilisés et les trop faibles. Dans Edge : la Surveillance des mots de passe, dans le même écran de réglages, signale les identifiants compromis. Hors navigateur : haveibeenpwned.com teste une adresse e-mail contre une très large base de fuites publiques ; pour un mot de passe, seuls les cinq premiers caractères de son empreinte SHA-1 sont transmis, parmi plus d'un million de préfixes — le service ne peut pas savoir lequel est le vôtre.
Traitez les résultats par ordre de dégâts : messagerie principale d'abord, puisqu'elle réinitialise le reste, puis banque et paiement. Sur ces comptes-là, activez la double authentification, par application ou clé physique plutôt que par SMS, et les clés d'accès (passkeys) quand un site les propose : il n'y a plus de mot de passe à voler.
Et si les alertes reviennent après avoir tout changé ? C'est que le poste où vous tapez les nouveaux mots de passe est encore compromis. Dans cet ordre :
- Nettoyez d'abord la machine par une analyse complète — notre guide pour supprimer un virus sur un PC Windows détaille la marche à suivre.
- Déconnectez toutes les sessions actives dans les réglages de sécurité de vos comptes principaux : c'est ce qui invalide les cookies volés, qu'un changement de mot de passe ne neutralise pas toujours.
- Puis seulement, changez les mots de passe, depuis un appareil sain : un téléphone à jour fait l'affaire.
Deux réflexes de dernier recours. Passez les extensions en revue, supprimez ce que vous ne reconnaissez pas : une extension malveillante voit tout ce que vous tapez. Et si un utilitaire légitime est bloqué pendant le nettoyage, ne coupez jamais la protection : ajoutez une exclusion sur ce seul fichier, dans Sécurité Windows → Protection contre les virus et menaces → Gérer les paramètres → Ajouter ou supprimer des exclusions, puis retirez-la.
Ce qui tient sur la durée
La protection du navigateur s'arrête à la porte du poste. Tout se joue en amont, sur l'hygiène de la machine — et là, disons-le franchement, Windows embarque déjà Microsoft Defender, gratuit et actif par défaut. Pour un usage prudent, sans téléchargements douteux et système à jour, c'est un socle sérieux, bien classé par les laboratoires indépendants.
Un comportement de Windows mérite d'être connu : dès que vous installez un antivirus tiers, Defender se désactive pour éviter deux protections en temps réel en conflit. Reste l'analyse périodique limitée, désactivée par défaut, qui lui laisse donner un second avis.
Les suites payantes se jouent donc ailleurs : Bitdefender Antivirus Plus mise sur l'analyse comportementale, utile face à des programmes trop récents pour figurer dans les bases de signatures, et Norton 360 Standard ajoute, selon les formules et les pays, une surveillance des fuites de données. Le détail est dans notre comparaison antivirus gratuit ou payant ; notre sélection de protections en temps réel situe les offres.
Résumons. Enregistrer ses mots de passe dans le navigateur reste un choix défendable, à trois conditions : activer la ré-authentification décrite plus haut, mettre un mot de passe différent sur chaque site, et vérifier les fuites chaque trimestre. C'est cet ensemble qui protège, jamais le coffre seul.
Un antivirus sous licence, c'est des mises à jour quotidiennes et quelqu'un à joindre en cas de problème.
Voir Norton 360 Standard → Licence livrée par e-mail · support en français · paiement sécurisé