Pourquoi Votre Gestionnaire de Mots de Passe Ne Devrait Rien Savoir de Vos Mots de Passe

Voici une question inconfortable : Quand vous stockez vos mots de passe dans un gestionnaire, qui d’autre peut les voir ?

Si votre réponse est “personne”, vous avez probablement raison. Mais comment le savez-vous ?

La plupart des gens font confiance à leur gestionnaire de mots de passe parce que… eh bien, parce qu’ils n’ont pas le choix. L’entreprise dit qu’elle ne peut pas voir vos données, et vous la croyez. Mais et s’il existait un moyen de le prouver—pas avec des promesses, mais avec les mathématiques ?

C’est exactement ce que fait l’architecture zero-knowledge.

Je construis Clefi, un gestionnaire de mots de passe conçu pour les utilisateurs français et européens avec la conformité intégrée dès le premier jour. Et la fondation de la sécurité de Clefi repose sur un principe simple :

Le serveur ne devrait jamais—en aucune circonstance—pouvoir voir vos mots de passe.

Pas même si nous le voulions. Pas si un hacker s’introduisait. Pas si un gouvernement l’exigeait. Jamais.

Laissez-moi vous montrer comment ça fonctionne.

Table des matières

Le Problème : La Confiance Ne Devrait Pas Être Requise

La plupart des gestionnaires de mots de passe fonctionnent comme ceci :

1. Vous créez un compte et définissez un mot de passe maître
2. Vous ajoutez vos mots de passe au coffre
3. Tout est chiffré et envoyé aux serveurs de l’entreprise
4. L’entreprise promet qu’elle ne peut pas déchiffrer vos données

Cette dernière étape ? Elle repose sur la confiance. Vous faites confiance à l’entreprise qu’elle a correctement implémenté le chiffrement. Vous faites confiance qu’elle ne garde pas une copie de votre mot de passe maître. Vous faites confiance que ses employés ne peuvent pas jeter un œil à vos données.

Et la plupart du temps, cette confiance est bien placée ! Mais la confiance n’est pas un modèle de sécurité—c’est un espoir.

L’architecture zero-knowledge élimine le besoin de confiance. Elle rend cryptographiquement impossible pour le fournisseur de service d’accéder à vos données, même s’il le voulait.

Comment Fonctionne l’Architecture Zero-Knowledge

L’idée centrale est simple : Tout le chiffrement et déchiffrement se produisent sur votre appareil, pas sur le serveur.

Voici les étapes :

Étape 1 : Votre Mot de Passe Maître Ne Quitte Jamais Votre Appareil

Quand vous créez votre compte Clefi et définissez un mot de passe maître, ce mot de passe n’est jamais envoyé à nos serveurs. Pas en texte clair, pas chiffré, pas haché. Il reste sur votre ordinateur, dans votre navigateur, complètement sous votre contrôle.

À la place, nous dérivons deux choses de votre mot de passe maître en utilisant un processus appelé dérivation de clé :

1. Une clé d’authentification - Cela prouve que vous connaissez votre mot de passe (pour vous connecter)
2. Une clé de chiffrement - Cela chiffre et déchiffre votre coffre

Pensez-y comme ceci : Votre mot de passe maître est la graine qui fait pousser deux arbres différents. Un arbre (authentification) vous permet de prouver qui vous êtes. L’autre arbre (chiffrement) verrouille et déverrouille votre coffre. Le serveur ne voit jamais que l’arbre d’authentification—jamais l’arbre de chiffrement.

Étape 2 : Votre Coffre Est Chiffré Localement

Quand vous enregistrez un mot de passe dans Clefi, voici ce qui se passe :

1. Votre navigateur utilise votre clé de chiffrement (qui vit uniquement sur votre appareil) pour chiffrer le mot de passe
2. Le coffre chiffré est envoyé à nos serveurs
3. Nos serveurs stockent le blob chiffré—mais n’ont aucun moyen de le déchiffrer

C’est comme mettre vos mots de passe dans un coffre-fort, le verrouiller, puis stocker le coffre-fort verrouillé dans un entrepôt. L’entrepôt (nos serveurs) peut stocker votre coffre, mais il n’a pas la clé pour l’ouvrir. Seulement vous l’avez.

Étape 3 : Le Déchiffrement Se Produit Dans Votre Navigateur

Quand vous avez besoin d’un mot de passe :

1. Votre navigateur demande votre coffre chiffré au serveur
2. Le serveur envoie le blob chiffré (toujours verrouillé)
3. Votre navigateur utilise votre clé de chiffrement (toujours sur votre appareil) pour le déchiffrer
4. Vous voyez vos mots de passe

Le serveur ne participe jamais au déchiffrement. C’est juste un casier de stockage.

La Cryptographie Qui Rend Cela Possible

L’architecture zero-knowledge n’est pas de la magie—ce sont des mathématiques. Voici ce qui se passe sous le capot (en langage clair) :

Argon2id : Rendre Votre Mot de Passe Maître Incassable

Votre mot de passe maître pourrait être “batterie cheval correct agrafe”—fort, mais toujours juste une phrase de passe. Nous devons le transformer en clés cryptographiques.

Nous utilisons Argon2id, un algorithme de hachage de mot de passe spécifiquement conçu pour être :

• Gourmand en mémoire : Nécessite beaucoup de RAM, rendant coûteuse une attaque avec du matériel spécialisé
• Gourmand en temps : Prend du temps à calculer délibérément, ralentissant les attaques par force brute
• Résistant aux GPU : Ne peut pas être accéléré en utilisant des cartes graphiques

Pensez à Argon2id comme rendant intentionnellement le craquage de mot de passe lent et coûteux. C’est le gagnant du Password Hashing Competition et le standard actuel.

HKDF-SHA256 : Transformer Une Clé En Deux

Nous utilisons HKDF (HMAC-based Key Derivation Function) pour diviser votre mot de passe maître en :

• La clé d’authentification (pour prouver que c’est vous)
• La clé de chiffrement (pour verrouiller votre coffre)

Cette séparation signifie que même si quelqu’un interceptait votre clé d’authentification (utilisée pour la connexion), ils ne pourraient toujours pas déchiffrer votre coffre. Les clés sont mathématiquement liées mais computationnellement impossibles à inverser.

XChaCha20-Poly1305 : Le Verrou du Coffre

Votre coffre est chiffré en utilisant XChaCha20-Poly1305, un algorithme de chiffrement authentifié qui :

• Chiffre vos données pour qu’elles soient illisibles
• Authentifie vos données pour que toute altération soit détectable
• Performe rapidement pour que votre expérience soit fluide

“Chiffrement authentifié” signifie que si quelqu’un essaie de modifier votre coffre chiffré (même sans le déchiffrer), nous le saurons. Les mathématiques montreront que quelque chose ne va pas, et nous le rejetterons.

Pourquoi Ces Algorithmes ?

Je ne les ai pas inventés. Personne ne devrait inventer sa propre cryptographie.

Ces algorithmes sont :

• ✅ Recommandés par les experts en cryptographie du monde entier
• ✅ Audités et éprouvés au combat dans des systèmes de production
• ✅ Modernes, évitant les algorithmes plus anciens avec des faiblesses connues
• ✅ Implémentations standard (nous utilisons des bibliothèques bien testées, pas du code personnalisé)

Ce Que Cela Signifie Pour Vous

Voici ce que l’architecture zero-knowledge garantit :

1. Vos mots de passe sont privés—vraiment privés Pas “nous promettons de ne pas regarder” privés. Mathématiquement impossible d’accéder privés.

2. Une violation de données n’expose pas vos mots de passe Si quelqu’un piratait les serveurs de Clefi demain et volait tout, ils obtiendraient des blobs chiffrés qu’ils ne peuvent pas déchiffrer. Vos mots de passe seraient toujours en sécurité.

3. Nous ne pouvons pas être forcés de livrer vos données Même si un gouvernement, un tribunal ou un acteur malveillant exigeait que nous déchiffrions le coffre d’un utilisateur spécifique—nous ne pouvons littéralement pas. Nous n’avons pas les clés.

4. Vous avez le contrôle Votre mot de passe maître est le seul point de confiance. Gardez-le en sécurité, et votre coffre est sécurisé. Perdez-le, et nous ne pouvons pas vous aider à le récupérer (parce que nous n’avons jamais eu accès en premier lieu).

Où En Est le Développement de Clefi Aujourd’hui

Je partage cette plongée technique parce que la fondation cryptographique de Clefi est maintenant implémentée et fonctionnelle.

Voici où nous en sommes :

✅ Architecture zero-knowledge implémentée - Le flux central de chiffrement/déchiffrement est construit et testé ✅ Stockage du coffre backend complet - API sécurisée pour stocker et récupérer les coffres chiffrés ✅ Système d’authentification fonctionnel - Flux de connexion avec dérivation de clé Argon2id 🚧 Extension navigateur en développement - Auto-remplissage et capture de mot de passe bientôt disponibles 🚧 Raffinement de l’interface web - Rendre l’interface belle et intuitive 📅 Lancement ciblé : Q1-Q2 2026

La partie difficile—faire les choses correctement en matière de sécurité—est terminée. Maintenant, il s’agit de construire l’expérience utilisateur autour de cette fondation à toute épreuve.

Envie de Suivre l’Aventure ?

Je construis Clefi en public, et j’aimerais vous avoir dans l’aventure.

Si vous êtes intéressé par :

• Être notifié quand Clefi sera lancé
• Accès anticipé à la bêta
• Mises à jour de développement en coulisses
• Opportunités de façonner les fonctionnalités avec vos retours

👉 Rejoignez la liste de diffusion sur clefi.app

J’envoie des mises à jour sur les jalons majeurs, des plongées techniques comme celle-ci, et la réalité honnête de la construction d’un SaaS axé sur la sécurité en France.

Et si vous avez des questions sur l’architecture zero-knowledge, la sécurité des mots de passe, ou la conformité pour les PME françaises—je veux les entendre.

📧 [email protected] ou [email protected] 💻 @andrea_nekolab sur Twitter/X

Prochainement : Je partagerai comment nous construisons l’extension navigateur avec sécurité et utilisabilité à l’esprit, et les défis uniques pour rendre la cryptographie assez rapide pour l’auto-remplissage en temps réel.

🔐 clefi.app - Inscrivez-vous pour les mises à jour de lancement