Introduction

Quatre options, quatre philosophies radicalement différentes.

L’app Mots de passe (Apple) est gratuite, intégrée, et déjà là. KeePassXC est un coffre local, sans serveur, sans abonnement, sans entreprise au bout de la chaîne. Bitwarden est open source avec une version gratuite et auto-hébergeable. 1Password est payant, cross-platform, mais cloud propriétaire sous juridiction 5 Eyes.

Le bon choix dépend d’une seule chose : ton profil d’usage et ce que tu es prêt à confier à qui.

À lire : Les réglages privacy macOS à changer en 15 minutes

Les critères qui comptent

On garde les critères utiles, pas ceux qui font joli dans un tableau :

• Architecture de sécurité : qui peut techniquement accéder à tes données ?
• Privacy et juridiction : sous quelle loi tes données sont-elles soumises ?
• Portabilité : ça marche sur Android, Windows, Linux ?
• Fonctions avancées : Travel Mode, partage équipe, 2FA intégré
• Hébergement : cloud tiers, ou chez toi
• Prix : gratuit, abonnement, ou achat unique
• Audits indépendants : est-ce que les affirmations ont été vérifiées ?

Ce qu’on n’évalue pas : les thèmes, le nombre de widgets, et les fonctionnalités que personne n’utilise.

App Mots de passe (Apple)

Philosophie

Apple a construit son gestionnaire autour de la sécurité et de la facilité d’emploi : tout se passe sur les appareils que tu détiens, chiffré avec tes propres clés. Synchro iCloud, passkeys pour le 2FA, déverrouillage par Touch ID ou Face ID, tout est fait pour te faciliter la vie.

Les forces

Gratuit et intégré. L’app Mots de passe est disponible sur macOS Sequoia (15.x) et Tahoe (26.x), iOS 18 et iPadOS 18. Elle gère mots de passe, identifiants, codes 2FA (TOTP), passkeys, mots de passe Wi-Fi, et notes sécurisées. Rien à installer, rien à configurer, rien à payer.

Chiffrement de bout en bout. Avec la Protection avancée des données iCloud activée, les données de l’app Mots de passe sont chiffrées avec des clés générées localement. Apple ne peut pas les lire, même contraint légalement. Sans cette option, certaines métadonnées restent accessibles à Apple.

À lire : Apple Silicon et Secure Enclave : ce que ça change vraiment

Passkeys. L’intégration native des passkeys est probablement le point le plus solide en 2026. Les passkeys remplacent les mots de passe par une paire de clés cryptographiques : rien n’est jamais transmis au serveur. Sur Mac et iPhone, ça fonctionne sans friction avec Face ID ou Touch ID.

Partage familial. L’app permet de créer des coffres partagés pour la famille iCloud : identifiants personnels d’un côté, accès communs (Netflix, Wi-Fi) dans le coffre partagé.

Détection des mots de passe compromis. Vérification automatique via un système propriétaire Apple utilisant le protocole k-anonymity : aucun mot de passe n’est envoyé tel quel. Apple ne communique pas les bases de fuites utilisées, mais le mécanisme vérifie tes identifiants contre des listes de compromissions connues sans exposer tes données.

Les limites honnêtes

Apple uniquement, presque. Mac, iPhone, iPad, Apple Watch. Sur Windows, il existe une extension iCloud Passwords pour Chrome et Edge, mais c’est une béquille. Sur Android ? Rien. Si ton setup dépasse l’écosystème Apple, l’app Mots de passe devient un frein réel.

Juridiction américaine. Apple est soumis au CLOUD Act, aux National Security Letters, et à la surveillance américaine. La Protection avancée des données iCloud renforce la protection technique, mais ne change pas la juridiction.

Audits publics limités. Apple publie des white papers mais pas d’audit public indépendant sur l’app Mots de passe, contrairement à 1Password ou Bitwarden.

Pour qui : utilisateurs 100% Apple, particuliers comme professionnels, familles.

Prix : gratuit.

KeePassXC

Philosophie

KeePassXC est dans une catégorie à part. Ce n’est pas un service cloud, pas un abonnement, pas une entreprise avec des serveurs. C’est un logiciel desktop qui chiffre un fichier sur ton disque. Pour comprendre KeePassXC, il faut comprendre sa logique : tes mots de passe sont dans un fichier (.kdbx), chiffré, que tu stockes où tu veux. Ce fichier, c’est ton coffre-fort. KeePassXC est la clé qui l’ouvre.

Comment ça marche concrètement

Sur Mac, tu installes KeePassXC (un .dmg, comme n’importe quelle app). Tu crées une base de données, un fichier .kdbx protégé par ton mot de passe maître. Ce fichier contient tous tes identifiants, chiffrés. Tu le stockes dans un dossier synchronisé (Nextcloud, NAS, ou même iCloud si tu veux), et KeePassXC l’ouvre à la demande. Une extension navigateur (KeePassXC-Browser) remplit automatiquement tes identifiants sur les sites web. Touch ID fonctionne pour le déverrouillage rapide.

Sur iPhone, tu installes KeePassium, une app open source (GPLv3), développée au Luxembourg, zéro collecte de données. Tu la pointes vers ton fichier .kdbx sur Nextcloud via WebDAV (l’adresse de ton Nextcloud + tes identifiants, 10 minutes de configuration). KeePassium le télécharge, le cache localement, et le synchronise à chaque ouverture. Touch ID et Face ID fonctionnent pour le déverrouillage. Tu actives le remplissage automatique dans les réglages iOS, et c’est fini.

La synchronisation est bidirectionnelle. Tu ajoutes un mot de passe sur iPhone ? KeePassium écrit dans le fichier sur Nextcloud. Tu ouvres KeePassXC sur Mac ? Il détecte le changement et recharge la base. Même chose dans l’autre sens. Le fichier sur Nextcloud sert de point de synchronisation, toujours chiffré, que ce soit au repos ou en transit.

Les forces

Zéro serveur tiers, zéro entreprise, zéro juridiction. Le fichier .kdbx est chez toi : sur ton Mac, ton Nextcloud, ton NAS. Personne ne peut y accéder sans ton mot de passe maître, parce qu’il n’y a aucun intermédiaire dans la boucle. C’est toi qui décides où tes mots de passe vivent.

Open source et certifié. KeePassXC est sous licence GPL, le code est public. L’application a fait l’objet d’un audit indépendant en 2023 (Zaur Molotnikov, rapport public), avec des conclusions positives sur la protection cryptographique. Mieux encore : KeePassXC 2.7.9 a obtenu le visa de sécurité CSPN de l’ANSSI, reconnu en France et en Allemagne (certification sur v2.7.9 / Windows 10 ; l’architecture cryptographique est commune à toutes les plateformes). C’est une certification officielle, pas un audit commandité par l’éditeur.

100% gratuit, sans limite. KeePassXC n’est pas freemium : il n’y a pas de version payante, pas d’abonnement, pas de fonctionnalité derrière un paywall. Le projet vit de contributions bénévoles et de dons. Tu installes, tu utilises, c’est fini.

Sur iOS, c’est KeePassium qui prend le relais. La version de base est gratuite ; la version premium (multi-base, déverrouillage automatique) est optionnelle.

Fonctions complètes. KeePassXC gère les mots de passe, les passkeys (depuis la version 2.7.7), les codes 2FA (TOTP), l’intégration SSH (agent SSH pour tes clés), le remplissage automatique via extension navigateur, le support des clés de sécurité physiques (YubiKey), et la vérification de mots de passe compromis via Have I Been Pwned (intégrée dans l’app, requête k-anonymity sans exposer tes données).

Cross-platform desktop. Mac, Windows, Linux. L’interface est cohérente sur les trois plateformes.

Les limites honnêtes

Pas d’extension Safari. L’autofill et les passkeys de KeePassXC fonctionnent via une extension navigateur, disponible pour Firefox, Chrome et Edge. Safari n’est pas supporté. Sur Safari, il faut copier-coller depuis l’app (Cmd+B pour l’identifiant, Cmd+C pour le mot de passe, presse-papier effacé automatiquement). C’est la principale limite pour un utilisateur Mac.

Interface austère. KeePassXC est fonctionnel, pas beau. L’interface a été modernisée ces dernières années mais reste moins intuitive que 1Password ou Bitwarden. Ce n’est pas rédhibitoire, mais il y a une courbe d’apprentissage.

Pas d’app iOS native. Sur iPhone, tu passes par KeePassium, une app tierce, certes souveraine (open source, Luxembourg), mais c’est un logiciel supplémentaire à connaître. L’expérience est très bonne une fois configurée, mais ce n’est pas aussi transparent que Bitwarden ou 1Password où tout est intégré.

Travel Mode naturel. KeePassXC n’a pas de bouton “Travel Mode”, mais l’architecture fichier fait mieux : tu as plusieurs fichiers .kdbx, tu choisis lesquels sont sur quel appareil. Avant un voyage, tu ne synchronises pas le fichier sensible sur ton iPhone, c’est tout. Et si tu utilises un fichier-clé en plus du mot de passe maître, tu peux révoquer un appareil instantanément : supprime le fichier-clé de l’appareil, et même si quelqu’un a la base .kdbx, il ne peut rien en faire. C’est la granularité que les solutions cloud ne peuvent pas offrir.

Pour qui : utilisateurs avec un profil un peu plus technique, qui ne veulent aucun serveur tiers dans la boucle, intégration avec flux SSH ou YubiKey.

Prix : gratuit.

Bitwarden

Philosophie

Bitwarden est la réponse open source au problème des gestionnaires de mots de passe cloud. Le code est public, auditable par n’importe qui, le modèle économique est honnête, et tu peux héberger toi-même si tu ne veux pas dépendre de leurs serveurs.

Les forces

Open source. Le code est sur GitHub, sous licence GPL. Audité annuellement par des tiers indépendants (Cure53 en 2018, Fracture Labs en 2024, ETH Zurich en 2025 pour la cryptographie), rapports publics sur bitwarden.com/compliance. C’est la transparence maximale pour un outil de sécurité.

Version gratuite fonctionnelle. Contrairement à 1Password (100% payant), Bitwarden a une version gratuite réelle : stockage illimité de mots de passe, synchronisation cross-platform, partage avec une autre personne. La version Premium (19,80 $/an) ajoute les codes 2FA (TOTP), les rapports de sécurité (détection de fuites via Have I Been Pwned, mots de passe faibles ou réutilisés), et les pièces jointes chiffrées. À noter : KeePassXC offre la plupart de ces fonctions Premium (2FA, vérification HIBP) gratuitement, mais sans la synchronisation cloud intégrée.

Passkeys et 2FA. Comme Apple et KeePassXC, Bitwarden gère les passkeys nativement. Les codes 2FA (TOTP) sont réservés au plan Premium (19,80 $/an).

Clés de sécurité physiques et stockage. Depuis la hausse de janvier 2026, le Premium a été étoffé pour justifier le tarif. Tu peux maintenant associer jusqu’à 10 clés physiques (YubiKey, Nitrokey) à ton compte, contre 2 auparavant. Le stockage de pièces jointes chiffrées passe à 5 Go. Un bloqueur de phishing est également annoncé, pas encore déployé à l’heure où cet article est publié. Pour la comparaison : KeePassXC supporte lui aussi les YubiKey nativement, sans abonnement, mais sans le cloud derrière.

Cross-platform complet. Mac, iPhone, iPad, Windows, Android, Linux, extensions pour tous les navigateurs. Plus large que 1Password sur le support Linux.

Auto-hébergement. Tu peux faire tourner ton propre serveur Bitwarden sur ton NAS ou ton VPS. En pratique, la plupart des gens en auto-hébergement utilisent Vaultwarden : c’est une réécriture communautaire du serveur Bitwarden en Rust (un langage axé sécurité et performance, Apple migre d’ailleurs des composants macOS vers Rust). Vaultwarden est ultra-léger, tourne sur un Raspberry Pi, et reste 100% compatible avec les apps Bitwarden officielles. Tes mots de passe restent sur ton infrastructure, sous ta juridiction, avec ton niveau de sécurité. Pour l’audience de MacSouverain, c’est l’option la plus souveraine d’un gestionnaire cloud.

Juridiction américaine gérable. Bitwarden est basé aux États-Unis, ce qui est défavorable en soi. Mais avec l’auto-hébergement, la question de la juridiction de l’entreprise devient secondaire puisque tes données ne sont pas sur leurs serveurs.

À lire : Qu’est-ce que la souveraineté digitale en pratique

Les limites honnêtes

Interface moins léchée que 1Password. Bitwarden est fonctionnellement complet, mais l’expérience utilisateur est moins polie. Ce n’est pas rédhibitoire, mais ça se ressent au quotidien.

Auto-hébergement : le frein, c’est l’installation. Héberger Vaultwarden sur un VPS ou un NAS demande une configuration initiale (Docker, reverse proxy). Une fois en place, la maintenance est minimale : une mise à jour de temps en temps, un backup de la base, et ça tourne tout seul. On y reviendra dans nos futurs guides pour monter une infrastructure souveraine complète.

2FA intégré (TOTP) en version payante seulement. La version gratuite ne gère pas les codes 2FA directement dans Bitwarden. Il faut passer au Premium (19,80 $/an) ou utiliser une app 2FA séparée.

Pas de Travel Mode. Bitwarden n’a pas d’équivalent au Travel Mode de 1Password.

Pour qui : utilisateurs qui veulent open source et/ou auto-hébergement, budgets serrés.

Prix : gratuit (basique) ou 19,80 $/an pour le Premium (hausse janvier 2026, de 10 $/an, avec stockage 5 Go et support 10 clés physiques en contrepartie).

1Password

Philosophie

1Password résout un problème précis : avoir un gestionnaire fiable, auditable, cross-platform, avec des fonctions avancées pour les usages professionnels. Son architecture repose sur deux facteurs : ton mot de passe maître et une Clé secrète, une clé de 128 bits générée localement et jamais envoyée à leurs serveurs. Même si leurs serveurs étaient compromis, tes données sont inexploitables sans cette clé.

Les forces

Clé secrète : une différence structurelle. L’app Mots de passe dépend principalement de ton mot de passe iCloud pour la récupération. 1Password ajoute une couche cryptographique qui ne peut pas être brute-forcée depuis leurs serveurs. Ce n’est pas du marketing, c’est de l’ingénierie.

Cross-platform complet. Mac, iPhone, iPad, Windows, Android, Linux, extensions pour Chrome, Firefox, Safari, Edge. Si une personne de ton entourage a un Android ou un PC Windows, 1Password fonctionne partout sans friction.

Travel Mode. Tu pars dans un pays à contrôle aux frontières et tu ne veux pas qu’une inspection accède à certains coffres ? Tu les marques comme “non voyage”, ils disparaissent de l’application jusqu’à réactivation depuis un appareil de confiance. Ça ne protège pas contre un mot de passe extorqué, mais ça protège contre une fouille physique.

Watchtower. Surveillance en continu via la base Have I Been Pwned (14 milliards de comptes compromis) : mots de passe présents dans des fuites, mots de passe faibles ou réutilisés, sites sans 2FA activé, certificats SSL expirés, dates d’expiration proches. C’est l’audit de sécurité le plus complet des quatre. En comparaison, l’app Mots de passe Apple détecte les fuites, les mots de passe faibles et réutilisés, fonctionnel mais basique. Bitwarden propose des rapports similaires (Vault Health Reports) mais à générer manuellement et avec le dark web monitoring réservé au plan payant. KeePassXC se limite à la vérification de force et aux doublons, pas de détection de fuites intégrée.

Audits indépendants. Audité régulièrement par Cure53 entre 2020 et 2022 (rapports publics). Depuis 2025, les rapports de pentest annuels sont accessibles via le Trust Center de 1Password (accès sur demande). Ce n’est pas open source, mais c’est un niveau de transparence acceptable pour un outil de sécurité payant.

Plans équipe. Gestion d’accès partagés, politiques de sécurité, rapports d’activité. Pour un indépendant qui gère des accès clients ou une petite équipe, c’est une vraie différence.

Les limites honnêtes

Propriétaire et payant. 1Password n’est pas open source. Tu fais confiance à leurs audits, pas à du code vérifiable. Le plan individuel coûte 2,74 €/mois facturés annuellement (tarif promotionnel première année pour les nouveaux clients). Pas cher pour un outil de sécurité, mais non nul.

Canada, membre des 5 Eyes. AgileBits est basée à Toronto. Le Canada est membre des 5 Eyes, l’alliance de surveillance partagée entre États-Unis, Royaume-Uni, Canada, Australie et Nouvelle-Zélande. L’architecture à connaissance zéro limite le risque, mais la juridiction reste défavorable comparée à la Suisse ou à une solution auto-hébergée.

Pas de version gratuite. Essai 14 jours, puis payant.

Pour qui : utilisateurs cross-platform, professionnels, voyageurs fréquents, petites équipes.

Prix : 2,74 €/mois individuel, 4,31 €/mois famille 5 utilisateurs (facturés annuellement, tarif promotionnel première année pour les nouveaux clients).

La recommandation de Mack

Tu es 100% dans l’écosystème Apple. L’app Mots de passe fait le travail, que tu sois particulier ou pro. Gratuit, chiffré, passkeys, partage famille, et surtout : Touch ID et Face ID déverrouillent tes comptes sans friction. Active la Protection avancée des données iCloud et ne cherche pas plus loin.

Tu veux que tes mots de passe soient en mode souveraineté maximale. KeePassXC. Fichier local chiffré, synchronisation sur ton Nextcloud, aucune entreprise dans la boucle. Sur iPhone, KeePassium (open source, Luxembourg) fait le relais avec Touch ID et Face ID. C’est la souveraineté maximale sur ce sujet, et le Travel Mode le plus élégant : tu contrôles physiquement ce qui est sur chaque appareil. Certifié ANSSI.

Tu veux open source avec l’option auto-hébergement, ou tu as un budget serré. Bitwarden. Gratuit pour l’essentiel, Premium à 19,80 $/an pour le reste, et Vaultwarden sur ton NAS si tu veux garder le contrôle total. Open source, audité, souverain si tu l’héberges toi-même. Touch ID et Face ID supportés partout.

Tu as des appareils hors Apple et tu as besoin de Travel Mode ou de gestion d’équipe. 1Password fait le job techniquement, et il le fait bien. L’architecture zero-knowledge avec clé secrète est solide, Watchtower est le meilleur audit de sécurité du marché, et le Travel Mode est unique. Mais c’est un cloud propriétaire sous juridiction canadienne (Five Eyes).
La souveraineté, c’est aussi la juridiction : tes données sont hébergées par une entreprise soumise aux lois de surveillance des Five Eyes. C’est la raison pour laquelle MacSouverain ne peut pas le recommander comme solution privacy, malgré ses qualités techniques indéniables.

À lire : Pourquoi ton client mail est une passoire et comment intégrer un gestionnaire de mots de passe dans une posture de sécurité complète.