KeePass et l'ANSSI : ce que la sécurité implique vraiment

• Chiffrement de toute la base, pas seulement des mots de passe : AES-256, ChaCha20 ou Twofish.
• Déverrouillage par mot de passe maître, par fichier de clé, ou par la combinaison des deux.
• Dérivation de clé résistante aux attaques par dictionnaire via Argon2 ou AES-KDF.
• Stockage local : la base est un fichier unique, déplaçable d'un ordinateur à un autre.
• Code source complet accessible et compilable soi-même, logiciel certifié OSI.
• Mode portable : aucune installation, pas de trace laissée sur le système.
• Gratuité totale : aucune version payante, donc aucun compte en ligne à créer pour ouvrir son coffre.

KeePass combine deux facteurs au déverrouillage : quelque chose que l'on sait (le mot de passe maître) et quelque chose que l'on possède (le fichier de clé). Ce n'est pas une authentification à deux facteurs en ligne : aucun code n'est envoyé par un serveur, puisque la base reste locale.

Pour les codes à usage unique des sites, KeePass 2.x les gère via des plugins ou des champs dédiés, selon la configuration retenue.

Le fonctionnement du TOTP dans KeePass détaille la marche à suivre, et la page sur KeePass avec une clé YubiKey couvre le cas d'un second facteur matériel. Le fichier de clé, lui, se conserve hors de l'ordinateur : sur une clé USB gardée séparément, par exemple.

KeePass 2.x n'intègre pas nativement les passkeys : le stockage des clés d'accès WebAuthn repose sur des plugins ou sur des projets dérivés. Un coffre KeePass classique conserve mots de passe, notes et fichiers, pas des identifiants FIDO2 prêts à l'emploi.

Ce point compte si l'on veut regrouper mots de passe et passkeys au même endroit : les gestionnaires qui proposent les deux nativement sont comparés dans le classement des gestionnaires de mots de passe open source. À l'inverse, KeePass reste pertinent pour qui veut un coffre local sans dépendance à un service en ligne, quitte à gérer les passkeys avec un autre outil.

Aucune faille de chiffrement de la base KeePass n'est documentée dans les références consultées. Les incidents connus dans l'écosystème des gestionnaires de mots de passe touchent des services en ligne, pas un coffre local fermé : la surface d'attaque de KeePass se limite au fichier et à la machine qui l'ouvre.

Le point faible identifié reste humain : mot de passe maître court, fichier de clé stocké à côté de la base, ou base laissée sur un espace synchronisé mal protégé.

La certification CSPN de KeePassXC 2.7.9 relève d'un autre projet et ne s'étend pas à KeePass. Pour situer KeePass face aux offres hébergées, la comparaison Bitwarden contre KeePass oppose un modèle serveur chiffré et un modèle local.

1. Choisir un algorithme de chiffrement solide

   Dans les propriétés de la base, retenir AES-256, ChaCha20 ou Twofish. Les trois sont pris en charge nativement ; le choix se fait selon la plateforme utilisée.

2. Régler la dérivation de clé sur Argon2

   Argon2 ou AES-KDF protège contre les attaques par dictionnaire sur la clé maître. Argon2 est l'option à privilégier quand elle est disponible dans les paramètres de la base.

3. Créer une clé maître longue et unique

   La clé maître ne doit servir nulle part ailleurs. Une phrase de passe longue vaut mieux qu'un mot court avec des caractères spéciaux ; le vérificateur de force aide à trancher.

4. Ajouter un fichier de clé

   Combiner mot de passe maître et fichier de clé impose les deux pour ouvrir la base. Le fichier se conserve sur un support distinct de celui qui héberge la base.

5. Garder la base hors ligne

   Un fichier local ne dépend d'aucun serveur. Si la base est synchronisée, vérifier que le service choisi chiffre le fichier et n'en garde pas une copie en clair.

6. Verrouiller et effacer la mémoire à la fermeture

   Activer le verrouillage automatique après inactivité et l'effacement des données sensibles en mémoire, pour qu'une session laissée ouverte ne donne pas accès au coffre.

7. Sauvegarder la base chiffrée

   Conserver plusieurs copies du fichier chiffré, sur des supports différents. Une base perdue sans sauvegarde ne se récupère pas, même avec la clé maître.

Sur mobile, KeePass passe par des ports : le logiciel de bureau n'existe pas tel quel sur Android. La sécurité dépend alors de l'application choisie, de la façon dont elle stocke la base et de la présence ou non d'un accès au fichier chiffré. Le port KeePass pour Android détaille les options disponibles.

Le point de vigilance reste le même que sur ordinateur : la base et le fichier de clé ne doivent pas voyager ensemble, et le téléphone doit être verrouillé.

Sur iPhone, la solution passe par une application compatible avec le format de fichier KeePass, décrite dans la page KeePass sur iPhone. Pour un usage nomade sans synchronisation manuelle, le guide de synchronisation de KeePass explique comment garder une base à jour sans exposer le fichier.

KeePass mise sur un coffre local et un code ouvert ; les offres hébergées misent sur la synchronisation chiffrée et des fonctions intégrées comme la 2FA ou les passkeys. Le choix dépend de la menace redoutée : perte du fichier d'un côté, compromission d'un compte en ligne de l'autre.

Les gestionnaires qui intègrent nativement la double authentification et les passkeys sont passés en revue dans le volet sécurité de 1Password et dans la page sécurité de Bitwarden. KeePass garde un avantage structurel : aucun serveur à compromettre, puisque la base ne quitte pas la machine. Le classement des gestionnaires de mots de passe gratuits situe KeePass parmi les offres sans abonnement.