KeePass : Le guide complet du gestionnaire de mots de passe open source

Relu par Fitia, Rédactrice en chef

La gestion des identifiants figure parmi les points faibles majeurs de la cybersécurité. La réutilisation de mots de passe, le phishing assisté par IA et les infostealers provoquent des dégâts considérables. 

Une catégorie d’outils s’est imposée pour répondre à un besoin précis. Leur promesse : stocker ses identifiants dans un coffre chiffré, sans dépendre d’un cloud tiers.

En bref, KeePass en 2026 : le gestionnaire local qui mise sur la souveraineté plutôt que sur le cloud.

• Fonctionnement : base KDBX chiffrée AES-256, dérivation Argon2id, mot de passe maître complété par fichier clé ou YubiKey, sans serveur central.
• Écosystème : KeePassXC certifié CSPN, KeePassDX sur Android, Strongbox ou KeePassium sur iOS, et support des passkeys via plugins.
• Limites : ergonomie austère, synchronisation à gérer soi-même, CVE-2026-86776 sans correctif confirmé et support communautaire uniquement.

Pourquoi KeePass figure parmi les solutions de référence ?

KeePass a vu le jour en 2003, à une époque où le cloud n’existait pas encore. Sa philosophie tient en une phrase. La base de données ne quitte jamais l’appareil de l’utilisateur. Aucun compte en ligne, aucun abonnement. L’utilisateur est seul dépositaire de ses données, ce qui représente à la fois sa plus grande force et sa principale contrainte.

Ce guide explique ce que KeePass est, ce qu’il n’est pas, et pour quels profils il demeure pertinent en 2026. Nous aborderons son écosystème, son fonctionnement technique, ses forces et ses limites. La CVE-2026-86776 et le support des passkeys seront également traités.

L’écosystème KeePass : qui fait quoi ?

La confusion vient de la multiplicité des projets. Tous partagent le même format KDBX, mais les équipes diffèrent. Le projet original, KeePass 2.x, est écrit en C#. Il fonctionne principalement sous Windows, avec un support Linux et macOS via Mono. Son interface demeure austère, et son extensibilité repose sur des plugins.

Écrit en C++, KeePassXC s’exécute nativement sur Windows, macOS et Linux. Aucune dépendance à .NET ou Mono n’est requise. Son interface est plus fluide, et son intégration système plus poussée. Pour de nombreux utilisateurs non-Windows, KeePassXC est devenu le point d’entrée naturel dans l’écosystème.

Sur Android, KeePassDX est un client natif écrit en Kotlin et Java. Il supporte les passkeys depuis la version 4.2.0. KeePass2Android, plus ancien, propose une synchronisation via Nextcloud et une gestion des conflits de fichiers.

Côté iOS, Strongbox est un client payant réputé pour son support YubiKey et son AutoFill. KeePassium propose une alternative gratuite compatible KDBX.

Un fonctionnement technique : KDBX, chiffrement, mot de passe maître

Comprendre le fonctionnement de KeePass aide à évaluer sa sécurité et ses limites.

Toutes les données sont stockées dans un fichier unique au format KDBX. La version actuelle est la 4.0. Ce format est un conteneur chiffré lisible par tous les clients compatibles. Cette interopérabilité représente l’une des grandes forces de l’écosystème. Une base créée avec KeePassXC s’ouvre avec KeePassDX sur Android.

KeePass utilise AES-256 par défaut. Selon les clients, ChaCha20 et Twofish sont également disponibles. La dérivation de clé repose sur Argon2id, un algorithme résistant aux attaques par GPU. Le cassage par force brute du mot de passe maître devient considérablement plus difficile.

Ce mot de passe maître est l’unique clé d’accès à la base. Il peut être complété par un fichier clé, stocké sur une clé USB par exemple. Un YubiKey en mode challenge-response ajoute une couche de sécurité supplémentaire.

Dernier élément technique : la base KDBX ne quitte pas l’appareil. Aucune donnée n’est transmise à un serveur distant, sauf si l’utilisateur synchronise le fichier via un service tiers. Cette architecture limite drastiquement la surface d’attaque. Pas de serveur central à compromettre, pas de fuite de base de données côté éditeur.

Les forces de KeePass

KeePass est gratuit, sans version premium ni limitation fonctionnelle. Son code source est ouvert et auditable. Aucun éditeur unique ne contrôle son évolution. Cette transparence offre un gage de confiance pour les utilisateurs soucieux de leur souveraineté numérique.

Les données restent chez l’utilisateur. Aucun tiers n’a accès à la base. Cette caractéristique compte particulièrement pour les organisations soumises à des contraintes réglementaires strictes. Le RGPD, les secteurs régulés et les administrations y trouvent un intérêt direct.

Le 17 novembre 2025, KeePassXC 2.7.9 a obtenu la certification CSPN de l’ANSSI. Référence : ANSSI-CSPN-2025/16. Cette certification court jusqu’en novembre 2028. Un centre indépendant a évalué le produit, qui répond aux exigences de l’Agence. Elle est reconnue en France et en Allemagne.

La certification CSPN n’est pas une recommandation de l’ANSSI. Elle certifie que le produit a été évalué selon un référentiel donné. L’absence totale de vulnérabilités n’est pas garantie.

KeePass et KeePassXC supportent des plugins qui étendent leurs fonctionnalités. Synchronisation cloud, intégration navigateur et support des passkeys sont disponibles. Cette extensibilité autorise l’adaptation de l’outil à des besoins spécifiques.

Les limites et les points de vigilance

Ergonomie et courbe d’apprentissage

L’interface de KeePass est souvent critiquée. Les avis en 2026 évoquent des interfaces relativement sommaires et moins intuitives que les solutions commerciales. KeePassXC améliore les choses, mais reste en retrait des gestionnaires cloud.

La configuration initiale demande un effort. Le choix du chiffrement, le paramétrage d’Argon2id et la mise en place de la synchronisation représentent autant d’étapes techniques. Pour un utilisateur non technique, l’expérience peut être décourageante.

Synchronisation et fragmentation

KeePass ne synchronise pas nativement entre appareils. Il faut mettre en place une solution externe : Nextcloud, Syncthing ou un cloud chiffré. Cette étape est fréquemment source de frictions. La gestion des conflits de fichiers KDBX complique encore la tâche.

Choisir entre KeePass, KeePassXC, KeePassDX et les autres clients peut être déroutant. Les différences de fonctionnalités et de support ne sont pas toujours évidentes.

Support et CVE-2026-86776

Aucune hotline n’est disponible, ni de support payant. L’aide passe par les forums, la documentation et la communauté. Pour une organisation, cela peut représenter un frein.

En septembre 2026, une vulnérabilité référencée CVE-2026-86776 a été publiée. Elle concerne les versions 2.35 à 2.61.1 de KeePass. Selon la description officielle, ces versions ne valident pas les tailles de champs d’en-tête KDBX. L’allocation mémoire intervient dans la fonction ReadHeaderField. Un fichier KDBX malveillant peut alors réclamer environ 2 Go de RAM, provoquant un déni de service. Le score CVSS est de 4.6, avec un vecteur local et une interaction de l’utilisateur requise.

La position de KeePass diffère. L’éditeur conteste la qualification de faille de sécurité. Selon lui, l’allocation de 2 Go est documentée dans la spécification KDBX. KeePass valide la taille en vérifiant que la valeur Int32 n’est pas négative. Et 2 Go de RAM temporaire ne posent pas problème sur un bureau moderne. KeePass n’est pas une application serveur, et le ramasse-miettes libère la mémoire après un certain temps.

La CVE est réelle. Son impact pratique s’avère limité. Aucun correctif officiel n’était confirmé au moment de la publication (CVE publiée le 9 septembre 2026). Évitez les fichiers KDBX de sources non fiables en attendant un patch.

Passkeys et KeePass : état des lieux 2026

Les passkeys représentent la grande évolution de l’authentification en 2026. Elles remplacent progressivement les mots de passe par une paire de clés cryptographiques. KeePass n’est pas en reste, même si le support reste jeune.

KeePassPasskey sur Windows 11

KeePassPasskey est un plugin qui transforme KeePass en fournisseur natif de passkeys pour Windows 11. Une fois installé, les sites compatibles proposent KeePassPasskey comme option de stockage. Les passkeys atterrissent directement dans votre base. Prérequis selon la documentation officielle du projet : KeePass 2.54 ou ultérieur, Windows 11 24H2 ou ultérieur, avec TPM activé.

KeePassXC et les flags BE/BS

Depuis la version 2.7.12, KeePassXC stocke les flags Backup Eligibility (BE) et Backup State (BS) avec chaque passkey. Le flag BE indique si une passkey peut être sauvegardée et synchronisée. Le flag BS marque son état de sauvegarde actuel. Cette modification peut casser des passkeys existantes pour lesquelles les flags n’étaient pas stockés. Un correctif manuel est possible via des attributs dans l’entrée.

KeePassDX sur Android

KeePassDX supporte les passkeys depuis la version 4.2.0, à condition d’utiliser Android 14 (API 34) ou supérieur. Le service de gestion des passkeys s’active dans les paramètres Android, sous Sécurité et confidentialité, puis Mots de passe, Passkeys et remplissage automatique.

Limites du support

Le support des passkeys dans l’écosystème KeePass dépend encore de plugins et de versions récentes. Il n’est pas aussi transparent que sur les solutions natives. Mais pour un gestionnaire local, c’est une avancée majeure. Elle permet de rester dans l’écosystème sans renoncer à l’authentification moderne.

KeePass sur mobile

Utiliser KeePass sur mobile est possible, mais demande une configuration réfléchie.

KeePassDX est un client natif Android qui supporte les passkeys, les TOTP, l’Auto-Type et le format KDBX 4.0. C’est l’option recommandée pour Android 14 et supérieur.

KeePass2Android, plus ancien mais toujours maintenu, propose une synchronisation via Nextcloud. Moins moderne que KeePassDX.

Strongbox est un client iOS payant réputé, avec support YubiKey et AutoFill. KeePassium propose une alternative gratuite, également compatible KDBX, avec AutoFill et support FIDO2.

La synchronisation passe par Syncthing, en peer-to-peer sans cloud tiers. Nextcloud reste l’autre option, auto-hébergée ou chez un fournisseur. Configurez correctement la synchronisation. Les conflits de fichiers KDBX peuvent corrompre la base.

Les bonnes pratiques

Voici les actions concrètes pour tirer le meilleur de KeePass en 2026.

Sécuriser l’accès au coffre

Choisissez une phrase de passe longue, de 5 à 6 mots minimum. Elle doit être unique, mémorisable et jamais réutilisée ailleurs. C’est la clé de votre base : sa solidité conditionne toute votre sécurité.

Ajoutez une couche d’authentification physique. Un fichier clé stocké sur une clé USB, ou un YubiKey en challenge-response, complique nettement l’accès à votre base.

Maintenir la base dans le temps

Sauvegardez régulièrement votre fichier KDBX. Utilisez un cloud chiffré, une clé USB ou une combinaison. Testez la restauration pour vous assurer que la sauvegarde est exploitable.

KeePass et ses forks corrigent fréquemment des vulnérabilités. La CVE-2026-86776 en est l’illustration. Surveillez les publications officielles pour appliquer les correctifs dès leur disponibilité.

N’installez que des plugins vérifiés, depuis les dépôts officiels. Les plugins tiers ajoutent une surface d’attaque supplémentaire.

Utilisez des services comme Have I Been Pwned pour vérifier si un mot de passe stocké a été compromis.

Ne changez pas vos mots de passe systématiquement tous les 90 jours. Le NIST recommande de changer en cas de compromission ou de doute.

KeePass c’est pour qui ? Cas d’usage et profils

KeePass ne convient pas à tout le monde. Voici les profils pour lesquels il reste un choix pertinent, et ceux pour lesquels une alternative vaut mieux.

Profils recommandés

Les utilisateurs avancés veulent contrôler leurs données. Ils acceptent une courbe d’apprentissage et utilisent déjà des outils open source. Ils y trouvent une personnalisation inégalée.

Pour les profils souveraineté, la certification ANSSI de KeePassXC offre un argument fort. Entreprises, administrations et secteurs régulés y trouvent leur compte. Les données ne quittent pas le périmètre de l’organisation.

Dans les environnements isolés, KeePass fonctionne sans connexion. Machines hors ligne et réseaux air-gapped sont pris en charge nativement.

Du côté des petites équipes techniques, le partage d’une base via Nextcloud ou un dossier partagé reste possible. Attention aux conflits de fichiers.

Profils pour qui KeePass ne convient pas

En revanche, KeePass ne convient pas à tous. Les utilisateurs non techniques passeront leur chemin. Ceux qui veulent une synchronisation transparente et ceux qui ont besoin d’un support commercial également. Les grandes entreprises avec des besoins IAM/PAM avancés sont dans le même cas.

Pour ces profils, Bitwarden, 1Password ou une solution SSO/IAM seront plus appropriés.

FAQ