Depuis iOS 18, les mots de passe ont quitté les Réglages pour devenir une app à part entière, avec son icône sur l’écran d’accueil. Le moteur reste le Trousseau iCloud, en place depuis 2013. L’accès passe de six tapes à deux. L’organisation par catégories rend enfin lisible ce que le système stockait déjà sans le montrer. Plusieurs nouveautés méritent le détour. D’autres manques laissent encore la place aux gestionnaires tiers comme Proton Pass.
Une app sortie des Réglages
Apple a présenté l’app Mots de passe à la WWDC 2024 et l’a livrée avec iOS 18 en septembre. La même app arrive sur iPadOS 18 et sur macOS Sequoia, avec un contenu synchronisé à l’identique. Le Vision Pro y a droit depuis visionOS 2.
Les six catégories de l’écran d’accueil
L’écran d’ouverture range les entrées en six listes : Tous, Clés d’accès, Codes, Wi-Fi, Sécurité et Supprimés récemment. La rubrique Wi-Fi mérite le détour : elle affiche en clair les mots de passe des réseaux auxquels l’iPhone s’est connecté un jour, une information qui restait auparavant invisible sans passer par un Mac. Supprimés récemment garde les entrées effacées pendant 30 jours, le temps de revenir sur une suppression malheureuse.
Verrouillage et synchronisation
L’app s’ouvre par Face ID ou par le code de l’appareil. La synchronisation passe par le Trousseau iCloud, chiffré de bout en bout, ce qui veut dire qu’Apple ne peut pas lire le contenu même en cas de réquisition. Si le Trousseau est désactivé sur le compte, l’app ne stocke plus rien au-delà de l’appareil courant.
Les alertes de sécurité
La section Sécurité reprend les recommandations qui existaient déjà dans les Réglages, avec une présentation plus directe.
Mots de passe faibles, réutilisés, fuités
Le système compare en permanence vos identifiants à des listes publiques de fuites de données. La comparaison se fait localement, par un protocole qui n’envoie jamais le mot de passe entier chez Apple. L’app signale trois cas : un identifiant apparu dans une fuite connue, un mot de passe réutilisé ailleurs, un code trop court pour résister à une attaque par force brute. Le bouton « Changer sur le site web » ouvre directement la page de modification quand le site l’expose. Un mot de passe de remplacement est généré dans la foulée.
Les codes de validation dans l’app
La catégorie Codes rassemble les codes à usage unique, ceux qu’on allait chercher dans Google Authenticator ou dans un SMS. L’app les génère toutes les 30 secondes et les propose au remplissage automatique en même temps que le mot de passe. Le confort a un prix : les deux facteurs se retrouvent au même endroit, ce qui affaiblit un peu la double authentification si votre appareil tombe entre de mauvaises mains déverrouillé.
Créer et partager ses entrées
La gestion des mots de passe au quotidien tient à deux gestes : créer l’entrée, puis la retrouver au bon moment. Le partage arrive en supplément.
Les clés d’accès
Les clés d’accès (passkeys) remplacent le mot de passe par une paire de clés cryptographiques liée à Face ID. Rien à retenir ni à taper. Rien à voler non plus sur le serveur du site, qui ne détient que la partie publique. L’app les stocke dans sa propre catégorie et les synchronise comme le reste. La liste des sites compatibles s’allonge doucement du côté des banques françaises.
Les groupes partagés
Un groupe partagé permet de donner l’accès à un lot d’identifiants à des contacts de confiance : le compte Netflix de la maison, la box internet, les accès d’une association. Chaque membre peut modifier une entrée et la modification se propage aux autres. Les groupes se gèrent depuis l’onglet dédié. Un membre retiré perd l’accès immédiatement, sans que les mots de passe changent pour autant.
La génération automatique
Au moment de créer un compte, Safari propose un mot de passe fort et l’enregistre sans intervention. Le format par défaut mélange lettres et chiffres, séparés par des tirets. Un menu contextuel permet de demander une version sans caractères spéciaux, pour les sites qui les refusent encore.
- Longueur fixe de 20 caractères en génération standard
- Option « Pas de caractères spéciaux » pour les formulaires récalcitrants
- Enregistrement direct dans le Trousseau, sans étape de confirmation
- Règles personnalisées reconnues quand le site les déclare
Remplissage automatique et compatibilité
Le remplissage fonctionne dans Safari, dans les apps tierces et dans les autres navigateurs installés sur l’iPhone. Depuis iOS 18, Réglages > Apps > Mots de passe permet aussi de désigner un gestionnaire tiers comme source par défaut, ce qui règle la cohabitation avec 1Password ou Bitwarden.
En dehors des appareils Apple
Sur Windows, l’app iCloud pour Windows expose le même contenu et alimente une extension pour Chrome et Edge. Sur Android, rien. C’est la limite principale de la solution d’Apple face aux gestionnaires multiplateformes. C’est aussi ce qui pousse encore beaucoup d’utilisateurs vers une app tierce.
Ce que l’app ne fait pas
Les notes sécurisées et les pièces jointes restent absentes. Les cartes bancaires demeurent du ressort de Safari et de Wallet. Le partage ponctuel par lien manque aussi : tout passe par des groupes de contacts déclarés à l’avance. Quant à l’import depuis un concurrent, il exige toujours un fichier CSV exporté en clair, qu’il vaut mieux effacer juste après.
L’app Mots de passe couvre donc l’essentiel pour un utilisateur qui vit à 100 % chez Apple et veut arrêter de réutiliser le même mot de passe partout. Pour un usage mixte avec un PC au bureau et un Android dans la poche, le compte n’y est toujours pas.
