Faut-il vraiment faire confiance au gestionnaire de mots de passe de Google ?

Les gestionnaires de mots de passe sont devenus indispensables : ils évitent de réutiliser les mêmes trois mots de passe partout et simplifient la création de clés longues et uniques pour chaque service. Le gestionnaire intégré de Google coche clairement la case « pratique » : gratuit, intégré au navigateur, et capable de proposer et d'enregistrer automatiquement des mots de passe forts quand un site vous demande de créer un compte.

La question n'est donc pas de savoir s'il fonctionne bien au quotidien, mais plutôt s'il correspond à votre définition de « sécurité ». Car derrière le confort d'usage, il y a des choix techniques et des limites qu'il faut connaître avant de lui confier toute votre vie numérique.

Ce que Google fait bien côté sécurité... et ce qui manque

Sur le plan de base, le gestionnaire de mots de passe de Google respecte les standards attendus : les données sont chiffrées et protégées par les mécanismes habituels du compte Google, notamment l'authentification à deux facteurs (2FA). Cela permet d'éviter qu'un tiers accède facilement à votre coffre de mots de passe s'il ne dispose pas de vos identifiants et de votre deuxième facteur (code, clé, etc.).

Là où Google apparaît moins solide face à certains gestionnaires spécialisés, c'est sur l'absence de véritable chiffrement « zero-knowledge ». Des solutions comme NordPass ou Bitwarden reposent sur un modèle où le fournisseur n'a aucun moyen d'accéder à vos données, le chiffrement étant intégralement côté client. Google propose bien une option de chiffrement sur l'appareil, mais la clé reste accessible sur ce même appareil, ce qui ne protège pas en cas de malware ou de compromission locale. En clair, vous dépendez de la capacité de Google à garder son infrastructure et votre compte à l'abri, comme pour le reste de vos données liées au compte (Gmail, Drive, etc.), avec le risque systémique que représente toute solution cloud centralisée en cas de fuite ou de faille majeure.

Quand utiliser (ou éviter) le gestionnaire de Google

Pour un usage « grand public », comptes de services classiques, peu de données ultra-sensibles, le gestionnaire de Google reste une option correcte, surtout si vous vivez déjà dans l'écosystème Google et Android et que vous activez une 2FA robuste sur votre compte. Son intégration à Chrome, à Android et à votre compte Google le rend simple à adopter, sans installer d'application supplémentaire.

En revanche, si vous manipulez régulièrement des informations sensibles (accès pro critiques, données financières importantes, travail soumis à des exigences strictes de confidentialité), ou si vous souhaitez éviter d'être enfermé dans un seul écosystème, il peut être pertinent de se tourner vers un gestionnaire dédié. Les solutions spécialisées offrent généralement un vrai chiffrement zero-knowledge, une indépendance vis-à-vis d'un unique compte central, et des fonctions supplémentaires comme l'analyse de la « hygiène » de vos mots de passe, les alertes de phishing ou encore la surveillance de fuites sur le dark web, souvent via un abonnement payant.