Gestion des mots de passe Android : où les retrouver et les sécuriser

Votre téléphone Android garde en mémoire tous les identifiants et mots de passe que vous avez accepté de sauvegarder. Retrouver ces informations est assez simple, à condition de savoir où cliquer. Selon la marque et la version d'Android, le chemin peut varier légèrement, mais le point d'entrée reste le même : les paramètres système.

Comment accéder au gestionnaire de mots de passe Google

Le gestionnaire par défaut sur la quasi-totalité des appareils Android est celui de Google, anciennement appelé Smart Lock. Il est directement intégré au système et au navigateur Chrome. Pour y accéder depuis votre téléphone :

• Ouvrez les Paramètres de votre appareil.
• Faites défiler jusqu'à la section Google (parfois nommée "Services Google").
• Appuyez sur Gérer votre compte Google.
• Allez dans l'onglet Sécurité.
• Sélectionnez Gestionnaire de mots de passe.

Une fois dans cette interface, vous verrez la liste de tous les comptes dont les mots de passe ont été enregistrés. Il suffit de taper sur un compte pour afficher le mot de passe (une vérification de votre empreinte, code PIN ou reconnaissance faciale sera demandée). Vous pouvez aussi modifier ou supprimer une entrée directement depuis ce menu.

Sur certains téléphones, notamment les plus récents, un raccourci plus direct existe : allez dans Paramètres puis Mots de passe et comptes. Cela vous mènera au même endroit.

Accéder aux mots de passe depuis Chrome

Si vous utilisez Chrome comme navigateur principal, vous pouvez aussi retrouver vos mots de passe sans passer par les paramètres système :

1. Ouvrez Chrome sur votre Android.
2. Appuyez sur les trois points verticaux (⋮) en haut à droite.
3. Sélectionnez Paramètres.
4. Choisissez Mots de passe.

Vous retrouvez exactement la même liste que celle du gestionnaire Google. Les mots de passe sont synchronisés avec votre compte Google : si vous les modifiez sur votre téléphone, ils le seront aussi sur votre ordinateur, à condition que la synchronisation soit activée dans Chrome.

Le cas particulier des Samsung et Samsung Pass

Si vous possédez un smartphone Samsung, vous avez un deuxième gestionnaire préinstallé : Samsung Pass. Il fonctionne de la même manière que celui de Google, mais il est intégré au framework Samsung, notamment au navigateur Internet Samsung et aux applications de la marque.

Pour y accéder : Paramètres → Données biométriques et sécurité → Samsung Pass. Vous devrez vous authentifier avec votre empreinte ou votre iris. Samsung Pass permet aussi de stocker des cartes de fidélité et des adresses, en plus des mots de passe.

Attention : les mots de passe enregistrés dans Samsung Pass ne sont pas automatiquement partagés avec le gestionnaire Google. Si vous utilisez les deux, vous risquez d'avoir des doublons ou de ne pas retrouver un mot de passe là où vous l'attendez.

Que vaut vraiment la sécurité du gestionnaire intégré Android ?

Le gestionnaire de mots de passe d'Android repose sur ce qu'on appelle Android Keystore. C'est un module matériel et logiciel qui chiffre les données avec l'algorithme AES, une norme de chiffrement reconnue comme robuste. Les mots de passe sont stockés localement sur l'appareil et protégés par le verrouillage de l'écran (code, empreinte, visage).

Mais ce système a des limites. D'abord, il est assez basique : vous pouvez stocker des identifiants et des clés d'accès, rien de plus. Pas de notes sécurisées, pas de partage de coffre avec des proches ou des collègues. Ensuite, il dépend entièrement de l'écosystème Google. Si quelqu'un accède à votre compte Google (par exemple via un mot de passe faible ou une session ouverte sur un autre appareil), il peut potentiellement consulter tous vos mots de passe synchronisés.

Utiliser le gestionnaire de mots de passe intégré à votre téléphone, c'est comme utiliser votre téléphone sans protège-écran ni coque. C'est possible, mais vous prenez des risques inutiles.

Google lui-même propose un Check-up Mots de passe qui analyse vos identifiants et vous alerte si certains ont été compromis dans une fuite de données connue. C'est un bon réflexe à activer depuis le gestionnaire de mots de passe. Mais cela ne résout pas le problème de fond : votre coffre est lié à un seul compte, celui de Google.

Alternatives pour une gestion plus solide des mots de passe

Si vous voulez plus de contrôle et moins de dépendance à Google, plusieurs gestionnaires de mots de passe tiers existent. Ils offrent des fonctionnalités que le gestionnaire natif n'a pas :

• Chiffrement de bout en bout : même l'éditeur du logiciel ne peut pas lire vos mots de passe.
• Stockage hors ligne : vos données ne sont pas sur les serveurs de Google.
• Partage sécurisé : utile pour une famille ou une petite équipe professionnelle.
• Générateur de mots de passe avancé : certains permettent de définir des règles précises (longueur, caractères, exclusion de caractères ambigus).

Des solutions comme Bitwarden, 1Password ou Proton Pass fonctionnent sur Android, iOS, Windows, Mac et Linux. L'importation depuis le gestionnaire Google est simple : allez dans les paramètres du gestionnaire Google, choisissez Exporter les mots de passe, puis importez le fichier CSV dans votre nouveau gestionnaire.

Un mot d'ordre : si vous optez pour un gestionnaire tiers, ne réutilisez surtout pas le même mot de passe maître que celui de votre compte Google. Sinon, le gain de sécurité est nul.

L'erreur à ne pas commettre : laisser la synchronisation sans protection

Le principal risque avec le gestionnaire Google, ce n'est pas le chiffrement lui-même, c'est la synchronisation. Si votre compte Google est accessible depuis un vieil ordinateur, un téléphone prêté ou une session Chrome non déconnectée, n'importe qui peut ouvrir le gestionnaire et voir tous vos mots de passe. La seule protection est le mot de passe de votre compte Google.

Activez la validation en deux étapes (2FA) sur votre compte Google. Cela ajoute une couche : même si quelqu'un connaît votre mot de passe, il ne pourra pas accéder à vos données sans un code envoyé sur votre téléphone ou une clé de sécurité physique. C'est le minimum pour utiliser le gestionnaire intégré sans prendre de risque inutile.

Pour les professionnels qui manipulent des données sensibles, le gestionnaire natif d'Android est insuffisant. Une solution dédiée, avec chiffrement de bout en bout et sans lien avec un compte publicitaire, est plus adaptée. Le confort de la saisie automatique ne vaut pas une fuite de mots de passe professionnels.