De nombreux gestionnaires de mots de passe prenant désormais aussi en charge le stockage et la génération de codes TOTP, une question importante se pose :

Est-il plus sûr de stocker les jetons TOTP dans le gestionnaire de mots de passe, ou vaut-il mieux utiliser une application d’authentification distincte ?

La réponse n’est pas tranchée. Les deux approches présentent des avantages évidents, mais aussi des inconvénients notables. En comprenant les différences, vous pouvez prendre des décisions de sécurité éclairées, à titre privé comme en entreprise.

1. Que sont les jetons TOTP ?

Le TOTP est un procédé de génération de mots de passe à usage unique basés sur le temps. Les codes sont générés à partir d’un secret partagé et de l’heure actuelle, et changent généralement toutes les 30 secondes.

Lors de la connexion, deux facteurs sont combinés :

1. un mot de passe (quelque chose que vous savez), et
2. un code à durée limitée (quelque chose que vous possédez).

Le TOTP est souvent utilisé pour :

• les comptes de messagerie
• les plateformes cloud
• les accès VPN
• les interfaces d’administration
• les applications métier

Le principe de sécurité fondamental de la MFA est la séparation des facteurs : même si un facteur est compromis, il ne suffit pas à lui seul pour accéder au compte.

2. Stocker les jetons TOTP dans le gestionnaire de mots de passe

Fonctionnement

Les gestionnaires de mots de passe modernes peuvent enregistrer le secret TOTP avec les identifiants. Lors de la connexion, le code actuel est généré automatiquement puis saisi ou copié dans le presse-papiers.

Avantages

Grand confort et simplicité d’utilisation : un seul outil pour les mots de passe et le TOTP simplifie considérablement la connexion. Plus besoin de jongler entre plusieurs applications.

Moins de friction, moins d’erreurs : une complexité réduite diminue le risque de fausses manipulations, de codes oubliés ou de contournement de la MFA par commodité.

Sauvegarde et restauration centralisées : en cas de perte d’un appareil, l’accès peut souvent être rétabli sans difficulté via la procédure de récupération du gestionnaire de mots de passe, un facteur important pour la continuité des activités.

Meilleure adhésion de l’équipe : dans les PME et auprès des utilisateurs non techniques, une approche simple conduit souvent à une meilleure utilisation globale de la MFA.

Inconvénients

Point de défaillance unique : si le coffre-fort de mots de passe est compromis, le mot de passe et le code TOTP peuvent être exposés en même temps.

Séparation des facteurs affaiblie : même si la MFA est formellement utilisée, les deux facteurs se trouvent dans un même système, ce qui affaiblit le modèle de sécurité initial.

Risque accru en cas d’appareil compromis : un malware présent sur l’appareil peut, dans certains cas, permettre un accès complet.

3. Utiliser une application d’authentification dédiée

Fonctionnement

Une application distincte sur le smartphone ou un autre appareil génère les codes TOTP. Les jetons sont généralement liés à l’appareil et fonctionnent aussi hors ligne.

Avantages

Séparation claire des facteurs de sécurité : le mot de passe et le TOTP se trouvent sur des appareils différents ou dans des applications distinctes.

Dommages limités en cas de vol du mot de passe : un mot de passe compromis ne suffit pas tant que l’attaquant n’a pas accès à l’application d’authentification.

Meilleur alignement sur les principes Zero Trust : la séparation des facteurs soutient une stratégie de sécurité multicouche.

Recommandée pour les comptes les plus critiques : accès administrateur, systèmes de production ou plateformes financières tirent profit de cette approche.

Inconvénients

Confort d’utilisation moindre : le passage constant d’une application à l’autre ralentit le travail, surtout en cas de connexions fréquentes.

Risque accru de blocage du compte : si le smartphone est perdu et qu’il n’existe aucune sauvegarde, l’accès peut être définitivement perdu.

Procédures de sauvegarde fastidieuses : les QR codes et clés de récupération doivent être conservés manuellement et en lieu sûr, ce qui est souvent négligé dans la pratique.

Adhésion plus faible des utilisateurs : les configurations MFA complexes sont plus souvent contournées ou mal utilisées.

4. Comparaison de sécurité : scénarios de risque typiques

Appareil compromis

• TOTP dans le gestionnaire de mots de passe : risque élevé si le coffre-fort est accessible
• Application d’authentification : protection supplémentaire grâce à la séparation de l’appareil et de l’application

Attaques de phishing

• Les deux méthodes protègent contre la réutilisation des mots de passe
• Aucune des deux approches n’est entièrement résistante au phishing sans mesures supplémentaires (p. ex. passkeys)

Perte de l’appareil

• Gestionnaire de mots de passe : restauration généralement plus simple
• Application d’authentification : dépend des sauvegardes et des codes de récupération

5. Point de vue de l’entreprise : PME vs grandes entreprises

PME et petites équipes

• Ressources informatiques limitées
• Forte priorité à la convivialité
• La continuité des activités est prioritaire

Pour de nombreuses PME, stocker le TOTP dans le gestionnaire de mots de passe constitue un compromis pratique entre sécurité et facilité d’utilisation.

Grandes entreprises

Caractéristiques :

• Exigences de conformité plus élevées
• Gestion des accès à privilèges
• Modèles de menace plus exigeants

On y choisit souvent une approche échelonnée : applications d’authentification dédiées pour les comptes à privilèges, TOTP dans le gestionnaire de mots de passe pour les utilisateurs standard.

6. Bonne pratique : une approche hybride

Un modèle hybride allie sécurité et efficacité :

• Risque faible : TOTP dans le gestionnaire de mots de passe
• Risque élevé / comptes à privilèges : application d’authentification dédiée ou clé de sécurité matérielle

Cette approche fondée sur les risques permet de renforcer les mesures de sécurité de manière ciblée, là où elles ont le plus d’effet.

7. Alternatives au TOTP

Le TOTP est très répandu, mais ce n’est pas la seule option :

• Passkeys (FIDO2 / WebAuthn) : résistantes au phishing et sans mot de passe
• Clés de sécurité matérielles : protection très élevée
• Méthodes par notification push : pratiques, mais pas toujours résistantes au phishing

Lorsqu’elles sont disponibles, ces méthodes peuvent encore renforcer la sécurité.

8. Aide à la décision

Posez-vous les questions suivantes :

• Quel est le degré de criticité du compte ?
• Quel modèle de menace s’applique ?
• Quel est le niveau technique des utilisateurs ?
• Quelle importance accordez-vous à la restauration et à la disponibilité ?
• Existe-t-il des exigences réglementaires ou de conformité ?

9. Conclusion : le contexte est déterminant

Il n’existe pas de réponse universelle à la question de savoir où stocker les jetons TOTP.

Les gestionnaires de mots de passe l’emportent en confort et en adhésion, tandis que les applications d’authentification dédiées offrent une séparation des facteurs plus forte.

La sécurité n’est pas un choix absolu, mais une question de contexte.

La meilleure solution est celle qui convient à l’organisation, au risque et aux utilisateurs, complétée par des règles claires, des contrôles réguliers et des mesures de protection multicouches.

À noter : PassSecurium™, notre gestionnaire de mots de passe, prend en charge le stockage et la génération sécurisés de codes TOTP.

Les clients professionnels peuvent demander une démonstration en direct ou un accès d’essai, tandis que les particuliers peuvent s’inscrire directement sur notre site pour une version privée gratuite.