Mot de passe Chrome : comment le gestionnaire fonctionne vraiment

Chrome range vos identifiants dans une base SQLite nommée Login Data, dont la colonne mot de passe est chiffrée par une clé confiée au système d'exploitation : DPAPI sous Windows, Trousseau sous macOS. Il n'existe aucun mot de passe maître propre à Chrome, donc qui ouvre votre session ouvre aussi le coffre, sauf si vous activez la revérification biométrique et une phrase secrète de synchronisation.

Ce que Chrome enregistre quand vous cliquez sur « Enregistrer »

Quand vous validez un formulaire de connexion, Chrome propose de retenir le couple identifiant / mot de passe. La paire part dans une base locale puis, si la synchronisation est active, chez Google, où elle devient lisible depuis passwords.google.com et depuis Chrome sur vos autres appareils. Tout se pilote depuis chrome://password-manager/passwords, la page dédiée qui a remplacé l'ancien chrome://settings/passwords.

Le gestionnaire fait trois choses distinctes que beaucoup confondent : remplir les champs, générer une chaîne aléatoire d'une quinzaine de caractères mêlant majuscules, minuscules et chiffres, et comparer vos identifiants à des fuites connues. Ces fonctions sont indépendantes. Vous pouvez enregistrer sans synchroniser, ou synchroniser sans jamais toucher au générateur.

Où se trouve le fichier, système par système

Les mots de passe ne vivent pas dans un fichier texte, mais dans une base SQLite appelée Login Data, rangée dans le dossier du profil. Une table logins y stocke une ligne par identifiant.

Détail qui surprend beaucoup d'administrateurs : dans cette base, l'URL et le nom d'utilisateur sont en clair. Seule la colonne password_value est chiffrée. Sur une copie du fichier (Chrome verrouille l'original quand il tourne), la commande sqlite3 '/tmp/LoginData.copy' 'SELECT origin_url, username_value FROM logins;' sort l'inventaire complet des comptes sans casser le moindre chiffrement. C'est déjà une cartographie précieuse pour un attaquant, avant même la question du mot de passe.

Système	Chemin du fichier Login Data	Où vit la clé
Windows	%LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data	Fichier Local State, champ os_crypt.encrypted_key, protégé par DPAPI
macOS	~/Library/Application Support/Google/Chrome/Default/Login Data	Entrée « Chrome Safe Storage » du Trousseau
Linux	~/.config/google-chrome/Default/Login Data	gnome-keyring ou KWallet, sinon clé statique de repli

Le chiffrement, et ce qu’il protège réellement

Sous Windows, depuis Chrome 80 (février 2020), la valeur stockée commence par le préfixe v10 suivi d'un chiffré AES-256-GCM. La clé se trouve en base64 dans le fichier Local State, elle-même scellée par DPAPI et donc liée au compte Windows ouvert.

Sous macOS, Chrome dérive sa clé de l'entrée « Chrome Safe Storage » du Trousseau avec PBKDF2-HMAC-SHA1, sel saltysalt, 1003 itérations, puis chiffre en AES-128-CBC. Sous Linux, le même schéma tourne avec une seule itération, et sans gnome-keyring ni KWallet le repli est une clé statique, autant dire rien.

Le modèle de menace est donc net. Ce chiffrement protège contre un disque volé, une image système ou une sauvegarde lue depuis un autre compte. Il ne protège pas contre un programme qui s'exécute sous votre propre session, puisque ce programme peut demander au système exactement la même clé que Chrome : c'est le mode opératoire des infostealers, qui repartent avec le coffre en quelques secondes. Google a resserré ce point sous Windows avec l'App-Bound Encryption introduite dans Chrome 127, en juillet 2024, qui lie la clé au binaire Chrome et exige des privilèges plus élevés pour la récupérer.

Il n’y a pas de mot de passe maître dans Chrome

Firefox propose un mot de passe principal, saisi à chaque démarrage, qui chiffre le coffre. Chrome n'a pas d'équivalent. La confusion revient sans arrêt en support, et elle a une conséquence directe : par défaut, votre session système est la seule barrière.

Trois choses sont régulièrement prises l'une pour l'autre. Le mot de passe du compte Google déverrouille la synchronisation, pas le coffre local. Le verrouillage de profil Chrome sépare des espaces de travail, il ne chiffre rien de plus. La revérification par Windows Hello ou Touch ID, activable dans chrome://password-manager/settings, bloque l'affichage et l'export d'un mot de passe, mais laisse le remplissage automatique fonctionner.

La phrase secrète de synchronisation, elle, change vraiment le modèle : les données partent chiffrées de bout en bout avec une clé que Google ne détient pas. Contrepartie assumée, si vous l'oubliez, personne ne récupère le coffre synchronisé et il faut réinitialiser la synchronisation. Côté Google Password Manager, la même option porte le nom de chiffrement sur l'appareil.

Réglages utiles, export et pannes courantes

Quatre réglages font la différence entre un coffre correct et un coffre décoratif.

Autre panne très fréquente : le site envoie l'attribut autocomplete avec la valeur new-password, ou reconstruit son champ en JavaScript après le chargement, et Chrome cesse de remplir quoi que ce soit. Rien à réparer côté navigateur, c'est le formulaire qui dicte le comportement. Le contournement tient en un copier-coller depuis le gestionnaire, ou en un passage sur un gestionnaire tiers doté d'une extension plus insistante.

• Revérification avant affichage, dans chrome://password-manager/settings : impose Windows Hello, Touch ID ou le code de session avant de dévoiler ou d'exporter un identifiant.
• Contrôle des fuites, dans chrome://password-manager/checkup : la comparaison se fait sur un fragment haché de l'identifiant, le mot de passe lui-même ne quitte pas l'appareil.
• Export : le bouton produit un CSV totalement en clair, avec les colonnes name, url, username, password, note. À supprimer dès l'import terminé dans le gestionnaire de destination, corbeille vidée comprise.
• Liste des sites jamais enregistrés : si Chrome ne propose plus rien sur un domaine précis, c'est souvent qu'un « Jamais » cliqué par erreur l'y a ajouté. La retirer de la liste rétablit la proposition.

Questions fréquentes

Où voir tous les mots de passe enregistrés dans Chrome ?

Tapez chrome://password-manager/passwords dans la barre d'adresse, ou passez par le menu Paramètres puis Saisie automatique. Chaque entrée demande une authentification système avant d'afficher la valeur en clair. Les mêmes identifiants, si la synchronisation est active, sont visibles sur passwords.google.com depuis n'importe quel navigateur.

Quelqu’un peut-il lire mes mots de passe Chrome sans mon mot de passe Windows ?

En copiant seulement le fichier Login Data, non : la clé reste liée au compte Windows via DPAPI. En revanche, un programme exécuté sous votre session ouverte obtient la clé aussi facilement que Chrome. L'attaque classique ne casse aucun algorithme, elle se contente d'être au bon endroit. Verrouiller l'écran et éviter les binaires douteux compte plus que le choix du navigateur.

Le gestionnaire de Chrome vaut-il un gestionnaire dédié ?

Pour un usage personnel avec Windows Hello ou Touch ID activé et une phrase secrète de synchronisation, il couvre l'essentiel du besoin et il est gratuit. Un gestionnaire dédié apporte ce que Chrome ne fait pas : partage contrôlé entre plusieurs personnes, coffres d'équipe, journal d'accès, stockage de fichiers et de clés, et indépendance vis-à-vis d'un seul navigateur. En contexte professionnel avec des accès partagés, l'écart est réel.

Que fait exactement l’alerte « mot de passe compromis » ?

Chrome confronte vos identifiants à des bases de fuites publiques en n'envoyant qu'un fragment haché, protocole conçu pour que le service ne découvre ni le mot de passe ni la liste complète de vos comptes. Une alerte signifie que ce couple est apparu dans une fuite, pas que votre compte vient d'être piraté. La réponse reste la même : changer le mot de passe sur le site concerné, et partout où vous l'aviez réutilisé.

Comment empêcher Chrome de proposer d’enregistrer les mots de passe ?

Dans chrome://password-manager/settings, désactivez « Proposer d'enregistrer les mots de passe ». Sur un parc géré, la stratégie PasswordManagerEnabled mise à false via GPO ou profil de configuration verrouille l'option et grise le réglage pour l'utilisateur. Attention, désactiver n'efface pas ce qui est déjà stocké, il faut supprimer les entrées existantes séparément.

À lire aussi

attaques mot de passe · 2fa · chiffrement · brute force

Testez vos connaissances