Dashlane : comment le gestionnaire protège vos mots de passe, et ce qu’il ne peut pas faire

Dashlane est un gestionnaire de mots de passe qui chiffre vos identifiants sur votre appareil, en AES-256, avec une clé dérivée d’un mot de passe maître que l’éditeur ne connaît jamais. Ce mot de passe maître est le seul à retenir, et le seul que personne ne peut réinitialiser à votre place si vous n’avez pas activé une méthode de récupération.

Ce que Dashlane fait réellement de vos mots de passe

Dashlane est un gestionnaire de mots de passe créé à Paris en 2009, aujourd’hui basé à New York. Il stocke vos identifiants dans un coffre chiffré, les remplit dans les formulaires de connexion et en génère de nouveaux. La requête « dashlane mot de passe » recouvre en pratique trois questions distinctes : comment le coffre est protégé, ce qu’est le mot de passe maître, et comment retrouver ou exporter un identifiant enregistré. Les trois sont traitées ici.

Le point qui compte : le chiffrement a lieu sur votre appareil, pas sur les serveurs. Le coffre est chiffré en AES-256, avec une clé dérivée de votre mot de passe maître par Argon2d (RFC 9106, 3 passes et 32 Mo de mémoire sur les comptes récents) ou par PBKDF2-SHA256 à 200 000 itérations (RFC 8018) sur les comptes plus anciens. Dashlane ne reçoit que le résultat chiffré. C’est ce que l’éditeur appelle une architecture zero-knowledge : un employé qui ouvrirait la base de données verrait un bloc d’octets, sans la clé pour le lire.

Depuis janvier 2022, il n’existe plus d’application de bureau Windows ou macOS. Dashlane fonctionne par une extension de navigateur (Chrome, Firefox, Edge, Safari), une application web et des applications iOS et Android. Le partage d’un identifiant avec un autre utilisateur passe par une paire de clés RSA 2048 bits propre à chaque compte, si bien que là aussi le serveur ne relaie que du chiffré.

Le mot de passe maître : le seul à retenir, le seul que personne ne réinitialise

Le mot de passe maître ne quitte jamais votre appareil. Il ne figure ni dans la base de Dashlane, ni dans un e-mail, ni chez le support. Conséquence directe : si vous l’oubliez sans avoir activé une méthode de récupération, le coffre est perdu. Le support ne peut pas le réinitialiser, il n’a rien à réinitialiser.

Choisissez-le donc comme une phrase, pas comme un mot. Quatre ou cinq mots sans lien entre eux, une vingtaine de caractères, tapés assez souvent pour rester en mémoire. Ne la réutilisez nulle part ailleurs : c’est l’unique clé, et une fuite sur un autre service la compromettrait entièrement.

La double authentification (2FA) sur le compte Dashlane lui-même, par application TOTP (RFC 6238) ou clé physique, protège l’accès au compte et l’ajout d’un nouvel appareil. Elle ne remplace pas le mot de passe maître pour déchiffrer le coffre. Les deux mécanismes n’agissent pas au même niveau, et l’un sans l’autre laisse un trou.

Quatre dispositifs évitent la perte du coffre, tous à activer avant d’en avoir besoin :

• Clé de récupération de compte : une chaîne générée dans les paramètres de sécurité, à imprimer ou à conserver hors ligne. C’est la première chose à faire après l’installation.
• Récupération biométrique sur mobile : sur iOS et Android, Face ID, Touch ID ou l’empreinte permettent de définir un nouveau mot de passe maître, à condition que l’option ait été activée avant l’oubli.
• Connexion sans mot de passe maître : depuis 2023, un compte peut être créé sans mot de passe maître. L’appareil garde une clé locale protégée par un code PIN ou la biométrie, et un nouvel appareil s’ajoute par validation depuis un appareil déjà connecté.
• Comptes Business : l’administrateur peut activer la récupération pour les membres de l’organisation, ce qui n’existe pas sur les comptes personnels.

Au quotidien : remplissage, générateur, TOTP et ligne de commande

Le remplissage automatique est aussi une protection contre le hameçonnage. L’extension ne propose un identifiant que si le domaine de la page correspond à celui enregistré dans le coffre. Sur une copie du site hébergée sur un domaine voisin, elle ne propose rien. Un humain lit paypa1.com comme paypal.com, l’extension non.

Le générateur produit des mots de passe jusqu’à 40 caractères, avec ou sans symboles, et sait écarter les caractères ambigus (l, 1, I, O, 0) pour les cas où il faudra un jour le recopier à la main. Prenez la longueur maximale que le site accepte. Seize caractères aléatoires sur un alphabet de 70 signes représentent environ 98 bits d’entropie, hors de portée d’une attaque par force brute sur le hachage d’un service correctement configuré.

Selon la formule, Dashlane ajoute un score de santé des mots de passe (réutilisés, faibles, apparus dans une fuite), une surveillance du dark web sur vos adresses e-mail, la prise en charge des passkeys, un générateur de codes TOTP qui remplace une application d’authentification, et un VPN fourni par Hotspot Shield dans l’offre Premium. Le VPN et le coffre sont deux produits distincts : l’un chiffre le trafic réseau, l’autre les identifiants. Activer le VPN ne rend pas le coffre plus sûr.

Dashlane publie aussi un client en ligne de commande, open source, utile sur un serveur ou dans un script :

• npm install -g @dashlane/cli installe l’outil dcli.
• dcli sync télécharge et déchiffre le coffre localement, après saisie du mot de passe maître et du code 2FA.
• dcli p github.com copie dans le presse-papiers le mot de passe de l’entrée correspondante ; avec -o password il l’affiche en clair, à réserver aux scripts.
• dcli otp github.com renvoie le code TOTP courant si l’entrée en contient un.

Ce que Dashlane ne couvre pas, et face à quoi il se compare

Un gestionnaire ne protège pas un appareil déjà compromis. Un logiciel espion qui lit la mémoire de l’extension pendant que le coffre est déverrouillé, ou qui enregistre le clavier, obtient ce que vous tapez ou collez. Le verrouillage automatique après quelques minutes d’inactivité réduit la fenêtre, il ne la ferme pas.

L’exemple qui justifie tout ce détail sur la dérivation de clé : en décembre 2022, LastPass a reconnu le vol de sauvegardes de coffres chiffrés. Les comptes anciens y étaient protégés par PBKDF2 à 5 000 itérations seulement, ce qui rend le mot de passe maître attaquable hors ligne à grande vitesse. La leçon vaut pour tous les éditeurs, Dashlane compris : le jour où le chiffré fuit, il ne reste que la force du mot de passe maître et le coût de chaque essai.

Le vrai comparatif se joue avec le gestionnaire du navigateur et avec les concurrents dédiés.

Solution	Où sont les données	Chiffrement au repos	Points d’attention
Dashlane	Coffre chiffré, synchronisé via les serveurs de l’éditeur	AES-256, clé dérivée localement (Argon2d ou PBKDF2 200 000 itérations)	Abonnement payant, pas d’application de bureau, code de l’extension non publié (applications mobiles et CLI le sont)
Chrome / Edge (intégré)	Profil du navigateur, synchronisation par le compte Google ou Microsoft	Clé liée à la session utilisateur (DPAPI sous Windows)	Base longtemps déchiffrable par tout programme lancé dans votre session ; cible privilégiée des infostealers
Bitwarden	Coffre chiffré, serveurs de l’éditeur ou auto-hébergement	AES-256, PBKDF2 600 000 itérations ou Argon2id	Open source, offre gratuite sans limite d’entrées, interface plus austère
KeePass / KeePassXC	Un fichier .kdbx local	AES-256 ou ChaCha20, dérivation Argon2	Pas de synchronisation intégrée, à organiser soi-même (Syncthing, Nextcloud, clé USB)

Pannes courantes et comment les lire

L’extension ne propose rien sur une page de connexion. Le cas le plus fréquent : le formulaire est servi depuis un autre domaine que celui de l’entrée, par exemple un portail d’authentification sur auth.fournisseur-sso.com pour un service enregistré sous exemple.com. Ouvrez l’entrée et ajoutez ce second site web. Autre cause : le champ est injecté après le chargement de la page ; un clic dans le champ suffit en général à relancer la détection.

Un identifiant modifié sur le téléphone n’apparaît pas sur l’ordinateur. La synchronisation passe par les serveurs de Dashlane et exige que les deux appareils soient déverrouillés et connectés. Forcez-la depuis le menu de l’extension, et vérifiez qu’aucun proxy ou pare-feu d’entreprise ne bloque le domaine de l’éditeur.

Vous quittez Dashlane. L’export existe en CSV, en clair, et en archive sécurisée au format propriétaire (.dash), lisible uniquement par Dashlane. Exportez en CSV, importez dans le nouvel outil, puis effacez le fichier et videz la corbeille. Un CSV de mots de passe oublié dans le dossier Téléchargements est exactement le fichier que cherche un logiciel malveillant.

Questions fréquentes

J’ai oublié mon mot de passe maître Dashlane, que faire ?

Tentez d’abord la récupération biométrique sur votre téléphone si elle était activée, ou la clé de récupération de compte si vous l’aviez générée. Sans l’une ni l’autre, le coffre est indéchiffrable, y compris pour Dashlane : il faudra réinitialiser le compte, perdre son contenu et refaire les mots de passe service par service via la procédure « mot de passe oublié » de chaque site.

Dashlane peut-il lire mes mots de passe ?

Non. Le déchiffrement a lieu sur votre appareil avec une clé dérivée du mot de passe maître, que Dashlane ne reçoit jamais. Les serveurs stockent et synchronisent des données chiffrées en AES-256. La contrepartie de ce choix, c’est l’absence de récupération par le support.

Dashlane est-il gratuit ?

L’offre gratuite a été réduite à plusieurs reprises (limite passée de 50 à 25 mots de passe), puis l’éditeur l’a fermée aux nouvelles inscriptions : un nouveau compte commence par un essai, puis un abonnement Premium. Vérifiez la page tarifaire au moment de vous inscrire, ces conditions changent presque chaque année. Bitwarden reste l’option gratuite sans limite du nombre d’entrées.

Dashlane ou le gestionnaire de mots de passe de Chrome ?

Chrome suffit si vous n’utilisez qu’un navigateur, un seul compte Google et une machine saine. Dashlane apporte un coffre indépendant du navigateur, la 2FA sur le coffre lui-même, le partage chiffré, le générateur TOTP et une dérivation de clé conçue pour résister à une attaque hors ligne, là où la base de Chrome sous Windows a longtemps été déchiffrable par tout programme lancé dans votre session.

Que se passe-t-il si Dashlane est piraté ?

L’attaquant récupère des coffres chiffrés et doit casser chaque mot de passe maître hors ligne, un par un, en payant le coût d’Argon2d ou des 200 000 itérations de PBKDF2 à chaque essai. Une phrase de cinq mots ou vingt caractères aléatoires le tiennent hors d’atteinte ; « Dashlane2024! » non. C’est le scénario qu’a réellement vécu LastPass fin 2022.

Comment voir un mot de passe enregistré dans Dashlane ?

Dans l’extension ou l’application web, ouvrez l’entrée et cliquez sur l’icône d’œil à côté du champ ; selon vos réglages, Dashlane redemande le mot de passe maître avant l’affichage. Sur mobile, la biométrie joue ce rôle. En ligne de commande, dcli p nom-du-site copie la valeur dans le presse-papiers sans l’afficher à l’écran.

À lire aussi

2fa · attaques par mot de passe · brute force · chiffrement symetrique

Testez vos connaissances