Afficher les mots de passe enregistrés dans un navigateur ne déclenche aucune connexion au compte concerné. Le site distant ne reçoit aucune requête, aucun signal, aucune notification. La confusion vient du fait que les navigateurs stockent ces identifiants localement, dans un fichier ou une base chiffrée sur l’appareil, sans interaction avec les serveurs du service en question. Ce que vous consultez ne quitte pas votre machine, sauf si vous vous connectez effectivement au compte.
Ce que le site voit réellement quand vous consultez un mot de passe enregistré
Consulter un mot de passe dans le gestionnaire de Chrome, Firefox ou Edge ne génère aucune requête HTTP vers le site associé. Le serveur distant n’est pas contacté. Aucun log de connexion n’est créé côté service, aucune alerte d’activité n’est envoyée.
La situation change dès qu’une connexion effective a lieu. Se connecter depuis un nouvel appareil ou une nouvelle adresse IP peut déclencher une vérification, voire un e-mail d’alerte de la part du service, indépendamment de la manière dont le mot de passe a été saisi ou récupéré. Ce n’est pas la consultation du mot de passe qui alerte le site, c’est l’authentification elle-même dans un contexte inhabituel.
Les passkeys, qui reposent sur une paire de clés cryptographiques, fonctionnent différemment : elles n’exposent jamais de secret réutilisable au site. Mais elles constituent une alternative aux mots de passe, pas une méthode pour les afficher.
Afficher les mots de passe dans Chrome, Firefox et Edge : où chercher
Chaque navigateur stocke ses identifiants dans une section dédiée des paramètres. Les chemins d’accès varient, mais la logique reste identique : une liste des sites enregistrés, avec un bouton pour révéler chaque mot de passe masqué.
- Google Chrome : accédez à chrome://password-manager/passwords directement dans la barre d’adresse, ou passez par Paramètres > Gestionnaire de mots de passe. Chaque entrée affiche un icône en forme d’oeil pour révéler le mot de passe. Sur Windows, une confirmation d’identité système (PIN ou empreinte) peut être demandée.
- Mozilla Firefox : allez dans Paramètres > Confidentialité et sécurité > Identifiants et mots de passe enregistrés, puis cliquez sur « Identifiants enregistrés ». Un bouton oeil apparaît dans le champ mot de passe de chaque entrée. Si un mot de passe principal a été configuré, Firefox le demandera avant d’afficher quoi que ce soit.
- Microsoft Edge : accédez à edge://wallet/passwords ou passez par Paramètres > Mots de passe. L’interface ressemble à celle de Chrome (les deux partagent le moteur Chromium). Une authentification Windows Hello peut être requise selon la configuration de l’appareil.
Sur mobile, les chemins sont similaires : iOS et Android intègrent leurs propres gestionnaires système (Trousseau Apple, Gestionnaire de mots de passe Google) accessibles depuis les réglages de l’appareil, indépendamment du navigateur.
Ce que conserve le navigateur et ce qu’une personne ayant accès à l’appareil peut découvrir
C’est le vrai périmètre de risque. Un mot de passe affiché dans le navigateur est accessible à quiconque déverrouille la session, sans aucune connaissance technique particulière. Le clic sur l’icône oeil ne demande pas le mot de passe du compte visé, mais parfois celui de la session système, et pas toujours.
Chrome, par exemple, ne demande pas systématiquement d’authentification supplémentaire sur toutes les configurations. Sur un poste partagé sans verrouillage de session, l’intégralité du gestionnaire de mots de passe est accessible en quelques secondes.
Firefox propose un mot de passe principal (autrefois appelé mot de passe maître) qui chiffre les identifiants stockés. Sans cette option activée, les mots de passe sont protégés uniquement par les droits d’accès au profil système, ce qui reste insuffisant sur un appareil partagé.
La CNIL déconseille d’enregistrer des mots de passe dans le navigateur sans avoir activé ce type de protection supplémentaire, et recommande l’usage d’un gestionnaire de mots de passe dédié pour éviter la réutilisation des mêmes identifiants sur plusieurs services.
Credential stuffing : pourquoi un mot de passe exposé dépasse le seul compte concerné
Un identifiant récupéré sur un appareil non sécurisé ne menace pas seulement le compte auquel il est associé. Le vrai risque est la réutilisation du même mot de passe sur d’autres services. Des identifiants obtenus sur un service peuvent être testés automatiquement sur des dizaines d’autres plateformes : c’est le credential stuffing, une technique qui exploite la tendance à recycler les mêmes mots de passe.
La parade n’est pas de masquer les mots de passe plus hermétiquement, mais d’utiliser un identifiant unique par service. Un gestionnaire de mots de passe dédié, combiné à l’authentification multifacteur, réduit la surface d’attaque de façon bien plus efficace que le seul fait de désactiver l’enregistrement dans le navigateur.
- Mot de passe unique par service : si un identifiant est compromis, le dommage reste circonscrit à un seul compte. Sans unicité, une seule fuite suffit à compromettre l’ensemble des comptes utilisant les mêmes credentials.
- Authentification multifacteur : même si un mot de passe est exposé, l’accès au compte reste bloqué sans le second facteur. C’est la protection la plus efficace contre une connexion non autorisée depuis des identifiants volés.
- Gestionnaire de mots de passe dédié : des outils comme Bitwarden, KeePass ou 1Password chiffrent les identifiants avec un algorithme robuste et permettent de générer des mots de passe forts et uniques pour chaque service, sans dépendre de la sécurité du navigateur.
Consulter un mot de passe enregistré n’alerte pas le site concerné. Mais cette manipulation expose davantage qu’un seul identifiant si elle se fait sans précaution sur un appareil partagé ou mal sécurisé. La question n’est pas tant de savoir si le site voit quelque chose, mais de contrôler qui, sur votre appareil, peut voir quoi.
