Changer de gestionnaire de mots de passe sans exporter un fichier en clair

Google déploie sur Android le transfert direct des mots de passe et des clés d’accès d’un gestionnaire à l’autre. Quatre applications sont compatibles au départ : le gestionnaire de Google, 1Password, Bitwarden et Dashlane. Derrière cette commodité se cache la fin d’une pratique qui faisait grincer des dents depuis quinze ans.

Ce que remplaçait le fichier CSV

Jusqu’ici, changer de gestionnaire voulait dire exporter ses identifiants dans un fichier texte non chiffré, posé sur l’appareil. Tout ce qui pouvait lire vos fichiers pouvait le lire aussi, et l’on comptait sur l’utilisateur pour le supprimer ensuite. Quant aux clés d’accès, elles ne migraient pas du tout : une passkey est une clé privée que le gestionnaire est précisément censé ne jamais laisser sortir en clair. Changer d’application supposait donc de les recréer une par une, site par site.

Ce qui le remplace est un vrai standard

Deux briques publiées par la FIDO Alliance. Le format CXF décrit le quoi : une structure JSON qui encode mots de passe, clés d’accès, secrets TOTP et notes, pour que le gestionnaire d’arrivée comprenne ce que celui de départ lui envoie. Le protocole CXP décrit le comment : le transfert lui-même, chiffré de bout en bout avec HPKE. Aucun fichier ne se pose sur le disque à aucun moment.

Le format a été publié en version de revue en mars 2025. Parmi les contributeurs figurent Apple, Google, Microsoft, 1Password, Bitwarden et Dashlane, le travail initial ayant démarré dès 2023 entre 1Password, Dashlane, Bitwarden et NordPass. Autrement dit, les concurrents se sont mis d’accord pour se faciliter mutuellement le départ de leurs clients, ce qui n’arrive pas tous les jours.

Comment procéder

• Android détecte les gestionnaires déjà installés, le transfert se lance depuis les réglages et dure quelques secondes.
• Vérifiez que tout est bien arrivé avant de toucher à l’ancien gestionnaire.
• Testez une vraie connexion avec une clé d’accès migrée, pas seulement la présence de la ligne dans la liste.
• Ne désinstallez l’ancienne application qu’après ce test, et pas le même jour si vous pouvez l’éviter.

Ce que cela ne règle pas

Faciliter la sortie sert d’abord à faciliter l’entrée, et le gagnant d’une migration devenue simple est celui qui a le plus d’utilisateurs à capter. Surtout, le système reste au milieu : c’est lui qui détecte les gestionnaires et déclenche le transfert. Un standard ouvert mis en œuvre par une seule plateforme reste une porte dont quelqu’un d’autre tient la clé. Et pour l’instant, quatre applications seulement sont de la partie, les autres suivront « bientôt », mot dont on connaît l’élasticité. (Quinze ans pour se débarrasser d’un fichier texte, on ne va pas bouder notre plaisir ! 🙂)

Le Bien Heureux · Rédaction Capibara · Mardi 15 septembre 2026