Software
Impossible de parler de LastPass sans commencer par août 2022. Quatre ans plus tard, l’affaire n’est toujours pas soldée : le régulateur britannique a infligé une amende à l’éditeur en décembre 2025, et une transaction de plusieurs dizaines de millions de dollars est passée devant un tribunal américain en 2026. Voilà le contexte dans lequel je reprends ce gestionnaire de mots de passe, fonction par fonction, sans faire comme si de rien n’était.
Peut-on encore utiliser LastPass en 2026 ? Techniquement, oui : le produit fonctionne, le chiffrement se fait sur votre appareil et pas sur les serveurs de l’éditeur, et l’ergonomie reste l’une des plus abordables du marché. Mais je ne le conseille plus par défaut à quelqu’un qui part de zéro. Quand un gestionnaire de mots de passe a laissé partir des sauvegardes de coffres, la confiance devient une caractéristique produit à part entière.
En bref
- Le produit reste solide sur ses fonctions de base : coffre chiffré, générateur, remplissage automatique, authentification multifacteur.
- La version gratuite est limitée à un seul type d’appareil : ordinateurs ou mobiles, jamais les deux.
- Les incidents d’août 2022 ont abouti à une amende de 1,2 million de livres de l’autorité britannique en décembre 2025, pour environ 1,6 million d’utilisateurs concernés au Royaume-Uni.
- Point clé souvent mal compris : selon cette même autorité, rien n’indique que les mots de passe stockés aient été déchiffrés, ceux-ci n’étant pas détenus en clair par l’éditeur.
Ce que LastPass fait bien, et ça n’a pas changé
Le principe reste le bon : un coffre-fort numérique unique, ouvert par un seul mot de passe maître, dans lequel vivent tous les identifiants. C’est la seule façon réaliste d’avoir un mot de passe différent et long sur chaque service, et c’est infiniment mieux que le carnet, le fichier tableur ou la mémoire du navigateur.
Le générateur et le remplissage automatique
Le générateur de mots de passe produit des chaînes complexes en un clic, avec des règles ajustables quand un site impose ses propres contraintes. Couplé à l’extension pour navigateur, il transforme la création de compte en formalité : le mot de passe est généré, enregistré et resservi sans que vous ayez à le lire une seule fois.
Le tableau de bord de sécurité
C’est la fonction que je fais découvrir en premier. Le tableau de bord de sécurité passe le coffre en revue et signale les mots de passe faibles, réutilisés d’un site à l’autre ou repérés dans une fuite connue. Sur un compte ouvert depuis des années, la première analyse est toujours un moment inconfortable, et c’est exactement l’intérêt.
L’authentification multifacteur et la surveillance des fuites
L’authentification multifacteur ajoute une seconde vérification à l’ouverture du coffre, et je la considère comme non négociable sur ce type d’outil. La surveillance du dark web complète le dispositif en alertant quand une adresse e-mail associée apparaît dans un lot de données compromises.
Ce qui s’est passé en 2022, expliqué simplement
Les faits ont été établis par l’autorité britannique de protection des données dans sa décision de décembre 2025. Le déroulé est en deux temps.
- En août 2022, un attaquant accède d’abord à l’ordinateur professionnel d’un salarié basé en Europe.
- Il compromet ensuite l’ordinateur personnel d’un second salarié, aux États-Unis, y installe un logiciel espion et capture son mot de passe maître.
- La combinaison des deux intrusions lui ouvre l’accès à une base de sauvegarde contenant des informations clients : noms, adresses e-mail, numéros de téléphone et adresses des sites enregistrés.
Le point technique décisif est le suivant, et il est régulièrement déformé dans les deux sens : les mots de passe eux-mêmes sont chiffrés localement, sur l’appareil de l’utilisateur, et l’éditeur ne les détient pas en clair. L’autorité britannique indique qu’aucun élément n’établit qu’ils aient été déchiffrés. En revanche, une sauvegarde de coffre dérobée peut être attaquée hors ligne, sans limite de tentatives, et un mot de passe maître trop court finit par céder.
Un coffre volé aujourd’hui reste attaquable pendant des années.
Les suites, qui disent quelque chose du secteur
En décembre 2025, l’Information Commissioner’s Office britannique a prononcé une amende de 1,2 million de livres contre l’entité britannique de l’éditeur, retenant l’insuffisance des mesures techniques et de sécurité, pour environ 1,6 million d’utilisateurs concernés au Royaume-Uni.
Aux États-Unis, un accord transactionnel de 24,5 millions de dollars a été négocié pour clore une action collective, avec une enveloppe distincte destinée aux victimes de vols de cryptomonnaies liés à des coffres compromis. L’audience d’homologation définitive était fixée au 14 juillet 2026 ; à la date de mise à jour de cet article, je n’ai pas trouvé de confirmation publique de son issue, et je préfère le signaler plutôt que de l’affirmer.
Ce que j’en retire pour le lecteur : le risque d’un gestionnaire de mots de passe n’est pas théorique, et il ne disparaît pas avec le temps. C’est une raison de choisir soigneusement, pas une raison de revenir aux mots de passe notés sur un carnet, qui restent la pire option de toutes.
Gratuit ou Premium : ce qui change vraiment
La version gratuite a beaucoup perdu de son intérêt le jour où l’éditeur l’a restreinte à un seul type d’appareil. Vous choisissez : ordinateurs ou mobiles. Pour la plupart des gens, cette limite rend la formule inutilisable en pratique, puisqu’on saisit des mots de passe des deux côtés.
| Critère | Version gratuite | LastPass Premium |
|---|---|---|
| Appareils | Un seul type : ordinateurs ou mobiles | Tous, sans distinction |
| Nombre de mots de passe | Illimité | Illimité |
| Stockage de fichiers chiffré | Non | 1 Go |
| Accès d’urgence et partage élargi | Non | Oui |
| Clé physique pour l’authentification | Non | Oui |
Côté tarif, la grille publique de l’éditeur situe LastPass Premium autour de 3 dollars par mois en facturation annuelle. Face à 1Password et Dashlane, l’écart de prix est faible : le choix ne se joue pas là, il se joue sur l’ergonomie et sur l’historique de sécurité de chacun.
Questions fréquentes
Mon coffre a-t-il été compromis en 2022 ?
Si votre compte existait avant août 2022, partez du principe que oui. La règle pratique que j’applique : changer le mot de passe maître, puis renouveler en priorité les identifiants des comptes sensibles, à commencer par la messagerie principale, qui commande la réinitialisation de tous les autres.
Quel mot de passe maître faut-il choisir ?
Une phrase de passe longue, composée de plusieurs mots sans lien entre eux, protège bien mieux qu’un mot court truffé de caractères spéciaux. La longueur est ce qui rend une attaque hors ligne coûteuse, plus que la complexité apparente.
Que se passe-t-il si j’oublie ce mot de passe maître ?
Personne ne peut vous le rendre : c’est la contrepartie du chiffrement local, l’éditeur ne le connaît pas. Il existe des mécanismes de récupération à configurer avant l’incident, notamment l’accès d’urgence accordé à un proche. Réglé après coup, c’est trop tard.
Le chiffrement AES-256 est-il suffisant ?
L’algorithme n’est pas le maillon faible et n’a pas été mis en défaut. Ce qui a été attaqué en 2022, ce sont les mots de passe maîtres trop simples, testés hors ligne sur des sauvegardes dérobées. La solidité du coffre dépend donc directement de la vôtre.
Alors, je le recommande ou pas ?
Pour quelqu’un qui utilise déjà LastPass depuis des années, avec un mot de passe maître long et l’authentification multifacteur active : rester est défendable, migrer un coffre entier a aussi un coût et des risques d’erreur. Pour quelqu’un qui s’équipe aujourd’hui, je regarde d’abord ailleurs, non par défiance de principe, mais parce qu’à fonctions et prix comparables, l’historique fait partie du produit.
Et quel que soit l’outil retenu, la même hygiène s’applique : une phrase de passe longue, un second facteur activé, et une revue annuelle du coffre. C’est ce trio qui protège, pas la marque inscrite sur l’icône.
Un gestionnaire, ça ne suffit pas seul
La sécurité d’un poste se joue aussi sur ce qui tourne en arrière-plan. J’ai expliqué ailleurs la suite que j’ai retenue pour mes propres machines, et pourquoi.
Article mis à jour en août 2026. Sources consultées pour cette version : communiqué et décision de l’Information Commissioner’s Office britannique de décembre 2025 sur l’amende infligée à LastPass UK Ltd ; documentation et grille tarifaire publiques de l’éditeur pour la composition des offres gratuite et Premium ; couverture de presse spécialisée sur l’accord transactionnel américain de 24,5 millions de dollars et son calendrier d’homologation. Les offres et les tarifs évoluent : vérifiez les conditions en vigueur avant tout abonnement. Cet article présente un avis fondé sur mon usage et sur des sources publiques, il ne constitue pas un conseil juridique.