État au 11.12.2025

Nous prenons au sérieux l’analyse des risques publiée par le BSI (l’Office fédéral allemand de la sécurité des technologies de l’information) et souhaitons en replacer les résultats dans leur contexte en toute transparence. Nous comprenons que la couverture médiatique puisse susciter des inquiétudes. Vous trouverez donc ci-dessous une explication brève et factuelle de l’objet de l’analyse et de nos prochaines étapes.

Ce qui a été analysé exactement

La fiche publiée par le BSI porte exclusivement sur nos offres privées (FREE et Standard), testées en avril 2025 dans les versions mobiles 1.1.63 (Android) et 2.1.2 (iOS). Les offres Business ne faisaient pas partie de cette analyse de protection des consommateurs et ne sont pas concernées par ses conclusions.

Offres Business et zero-knowledge

PassSecurium a été conçu dès l’origine pour une utilisation en entreprise. Il est issu de notre plateforme de sécurité SWISS SECURIUM (un autre produit Business de notre portefeuille). PassSecurium suit un modèle de sécurité strict : chaque instance client est isolée, chiffrée avec un mot de passe maître d’instance individuel et pilotée individuellement par le client grâce à des politiques de sécurité centralisées, à la MFA et à la gestion des appareils et des accès. Une fois le mot de passe maître attribué, nous n’avons plus aucune possibilité technique d’accéder au contenu du coffre-fort. Le concept zero-knowledge est ainsi garanti dans nos offres Business depuis le début.

La gestion des clés dans les offres privées (FREE et Standard)

La fiche du BSI indique que, dans les offres privées (FREE et Standard), des clés peuvent se trouver côté serveur, et en déduit une possibilité d’accès théorique. Il nous importe de replacer correctement cette affirmation dans son contexte : les clés sont stockées séparément et strictement protégées. Chez nous, un accès au contenu des coffres-forts est impossible sur le plan organisationnel et il est verrouillé par des processus et des contrôles clairs.

Cela comprend notamment des modèles d’accès selon le principe du besoin d’en connaître (need-to-know), la séparation des tâches, une journalisation inaltérable ainsi que d’autres mesures de protection techniques dans l’environnement d’exploitation. Nous exploitons en outre un SMSI certifié ISO/IEC 27001 et réalisons régulièrement des tests d’intrusion internes et externes ainsi que des revues de sécurité continues.

Contrôles de sécurité et mises à jour continus

PassSecurium est maintenu et développé en permanence. Des contrôles de sécurité réguliers, internes comme externes, font partie intégrante de notre développement produit. Leurs enseignements, tout comme les résultats du BSI, sont systématiquement intégrés à nos mesures d’amélioration. Depuis la période d’analyse, des mises à jour des applications mobiles ont par ailleurs été publiées ; elles traitent plusieurs des points mentionnés dans le rapport. Nous recommandons à tous les utilisateurs de toujours maintenir leur application à jour.

Master upgrade (version 3.0)

Parallèlement à la maintenance courante du produit, nous travaillons depuis plus d’un an à un master upgrade. La décision de refondre en profondeur le concept cryptographique, afin de l’aligner sur un standard aujourd’hui établi, avait été prise avant l’analyse du BSI ; les travaux se sont poursuivis en parallèle pendant l’étude.

Le master upgrade version 3.0 est déjà utilisé en interne et chez certains clients pilotes sélectionnés. Le déploiement mondial est prévu pour janvier 2026.**

Qu’est-ce que cela signifie pour vous, nos clients ?

Clients Business

• Vos instances Business ne font pas partie de l’évaluation du BSI et ne sont pas concernées par les points mentionnés. Aucune action n’est requise.
• Sur demande, nous fournissons des preuves techniques et des documents d’audit.

Offres privées (FREE et Standard) :

• Veuillez utiliser la dernière version de l’application et prévoir la mise à niveau vers la version 3.x dès son déploiement mondial.
• Nous comprenons que la couverture médiatique puisse susciter des inquiétudes. Si, en tant que client privé, vous décidiez malgré tout de ne plus utiliser notre solution, nous le comprenons et acceptons dans ce contexte une résiliation extraordinaire de votre abonnement privé.

Transparence et contact

Nous défendons une communication claire et vérifiable. Pour toute question, contactez votre interlocuteur habituel ou utilisez notre formulaire de demande d’assistance.
--

**Mise à jour (février 2026) : le déploiement mondial du master upgrade version 3.0 est désormais prévu pour début mars 2026. Nous garantissons ainsi l’intégration d’autres optimisations de performance importantes dans la version finale.

Source principale : rapport final du BSI « Gefährdungsanalyse ausgewählter Passwort-Manager » (en allemand)