La plupart des réglages d'un gestionnaire de mots de passe sont un simple arbitrage entre confort et effort. L'un d'eux est un arbitrage entre confort et risque, et le plus intéressant est que l'éditeur le dit sur sa propre page de documentation au lieu de l'enfouir.
Ce que fait réellement le réglage
Le remplissage automatique ordinaire attend qu'on le lui demande. Vous arrivez sur une page de connexion, vous cliquez sur l'extension ou vous appuyez sur un raccourci, et les identifiants sont saisis.
Le remplissage automatique au chargement supprime cette étape. Dès que la page a fini de charger, les champs sont remplis. Aucun clic, aucun raccourci, rien à remarquer. Pour qui se connecte toute la journée à la même poignée de services, c'est un vrai gain de temps, et c'est bien pour cela que le réglage existe.
La phrase qui mérite deux lectures
Bitwarden documente sa propre fonctionnalité ainsi :
Cette fonctionnalité est désactivée par défaut car, bien que globalement sûre, des sites web compromis ou non fiables pourraient en profiter pour voler des identifiants.
Trois éléments dans une seule phrase, et les trois comptent.
Elle est désactivée par défaut, donc personne n'arrive au risque par accident. Elle est décrite comme globalement sûre, ce qui est une caractérisation honnête plutôt qu'une alarme. Et le mode de défaillance précis est nommé : des sites web compromis ou non fiables, qui profitent du comportement pour obtenir des identifiants.
Un éditeur qui aurait voulu faire adopter la fonctionnalité l'aurait présentée comme un simple interrupteur de confort assorti d'une note de bas de page. On lit plutôt ici une décision remise à l'utilisateur avec le raisonnement qui l'accompagne.
Pourquoi le moment du remplissage est tout le problème
Voici la partie facile à manquer, parce qu'elle ressemble à une petite différence.
Un remplissage manuel exige que vous soyez présent et que vous décidiez. Vous voyez la page, vous la reconnaissez ou non, et seulement ensuite vous agissez. Cette pause fait un travail de sécurité même quand vous ne la percevez pas ainsi.
Un remplissage au chargement se produit avant cette pause. Si vous avez suivi un lien qui n'était pas ce que vous imaginiez, ou si un site auquel vous faites confiance a été compromis, les identifiants atteignent le formulaire pendant que vous lisez encore l'en-tête. Le réglage ne supprime pas seulement un clic. Il supprime le moment où un être humain regarde la page et porte un jugement.
C'est pourquoi les mêmes identifiants, le même gestionnaire et le même site peuvent être en sécurité avec un réglage et exposés avec l'autre. La robustesse du mot de passe ne change rien ici.
Les deux garde-fous, et leurs limites
Bitwarden documente des protections plutôt que de livrer la fonctionnalité nue, et être précis sur ce qu'elles couvrent importe plus que de les énumérer.
Les iframes non fiables sont bloquées. Les extensions de navigateur ne remplissent pas automatiquement au chargement à l'intérieur d'une iframe non fiable. Cela referme une forme d'attaque réelle, où un cadre hostile est intégré dans une page qui, par ailleurs, paraît tout à fait normale.
Une connexion dégradée déclenche un avertissement. Si l'entrée enregistrée attend du HTTPS et que la page est servie en HTTP, un avertissement apparaît avant le remplissage. Cela détecte une interception ou une usurpation qui repose sur le passage de la connexion en HTTP simple.
Les deux sont utiles. Aucune ne traite le cas nommé dans la phrase même de l'éditeur : un domaine légitime qui a lui-même été compromis. Le contrôle des iframes n'aide pas quand le code hostile se trouve dans la page elle-même, et le contrôle HTTPS n'aide pas quand l'attaquant détient un certificat valide pour un domaine qu'il contrôle désormais. Les garde-fous réduisent le risque. Ils ne suppriment pas la raison pour laquelle le réglage est livré désactivé.
Comment décider concrètement
Ce n'est pas une question à réponse unique, et quiconque vous dit le contraire vous vend de la simplicité.
La variable n'est pas votre mot de passe, c'est votre navigation. Quelqu'un qui se connecte à quatre services connus depuis sa propre machine est exposé différemment de quelqu'un qui ouvre toute la journée des liens venant d'expéditeurs inconnus. La robustesse de ce qui est rempli n'a pas d'importance, car le risque est que cela soit rempli quelque part où ce n'était pas prévu.
Comptez le coût réel de le laisser désactivé. C'est un clic, ou un raccourci clavier, par connexion. Si c'est bien cette friction que l'on cherche à résoudre, mettez-la en balance avec un mode de défaillance qui coûte un compte.
Si vous l'activez, activez-le en connaissance de cause. La fonctionnalité n'est pas un piège et la documentation ne cache rien. C'est un choix dont la conséquence est énoncée, et la seule mauvaise version de ce choix est celle qu'on fait sans avoir lu la phrase.
Le gestionnaire qui documente ses propres compromis → BitwardenOpen source · Remplissage au chargement désactivé par défaut · Auto-hébergement possible→En résumé
Le remplissage automatique au chargement remplit les formulaires de connexion sans qu'on le lui demande, et Bitwarden le livre désactivé parce que des sites web compromis ou non fiables pourraient en profiter pour voler des identifiants.
Le mécanisme relève du moment, pas de la cryptographie : remplir avant que vous ayez regardé la page supprime le contrôle humain qu'un remplissage manuel préserve. Deux garde-fous documentés, le blocage des iframes non fiables et l'avertissement en cas de connexion HTTP inattendue, réduisent le risque sans couvrir un site légitime qui a été compromis.
Désactivé est la valeur par défaut et désactivé est la réponse sûre. L'activer se défend si vous savez pourquoi c'est désactivé, et c'est tout l'objet de la phrase écrite par l'éditeur.
La description du remplissage automatique au chargement, la raison citée pour laquelle il est désactivé par défaut, et les deux protections documentées, à savoir le blocage du remplissage automatique au chargement pour les iframes non fiables et l'avertissement avant remplissage en HTTP lorsque le HTTPS est attendu d'après l'URI enregistrée, sont tirés de la documentation d'aide publiée par Bitwarden sur le remplissage automatique dans le navigateur, consultée au moment de la rédaction. D'autres gestionnaires de mots de passe implémentent ce réglage différemment et certains activent par défaut un comportement comparable ; consultez la documentation de votre propre gestionnaire plutôt que de supposer que cela s'applique partout. Les liens commerciaux portent l'attribut rel="sponsored nofollow" ; une commission d'affiliation peut s'appliquer sans surcoût pour vous.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Verrouille tes comptes → NordPassMots de passe forts et uniques · scanner de fuites · offre gratuite→Questions fréquentes
Qu'est-ce que le remplissage automatique au chargement de la page ?
C'est le réglage qui fait remplir un formulaire de connexion par votre gestionnaire de mots de passe dès que la page a fini de charger, sans que vous cliquiez sur quoi que ce soit. Le remplissage automatique ordinaire attend que vous le demandiez, par un clic ou un raccourci clavier. Cette variante supprime cette étape, ce qui est exactement ce qui la rend pratique et exactement ce qui la rend différente du point de vue de la sécurité.
Le remplissage automatique au chargement est-il sûr ?
La documentation de Bitwarden répond à cette question avec précaution plutôt que par oui ou par non. Elle indique que la fonctionnalité est désactivée par défaut car, bien que globalement sûre, des sites web compromis ou non fiables pourraient en profiter pour voler des identifiants. La réponse honnête est donc que cela se passe généralement bien et que cela comporte un risque précis, ce qui explique pourquoi le choix vous est laissé plutôt que fait à votre place.
Pourquoi le moment du remplissage compte-t-il autant ?
Parce qu'un remplissage manuel exige que vous regardiez la page et décidiez d'agir, alors qu'un remplissage au chargement se produit que vous ayez remarqué ou non où vous avez atterri. Si un site est compromis ou n'est pas celui que vous croyiez, les identifiants sont déjà dans le formulaire avant que vous ayez évalué quoi que ce soit. Le réglage supprime le moment du jugement, pas seulement le clic.
Quelles protections existent si je l'active ?
Bitwarden en documente deux. Les extensions de navigateur bloquent le remplissage automatique au chargement dans les iframes non fiables, ce qui referme le cas d'un cadre hostile intégré à une page par ailleurs normale. Et un avertissement apparaît avant le remplissage automatique sur un site en HTTP alors que le HTTPS était attendu d'après l'URI enregistrée, ce qui détecte une connexion dégradée ou usurpée. Les deux sont réelles, et aucune ne couvre un domaine légitime qui a lui-même été compromis.
Devrais-je l'activer ?
Cela dépend d'un jugement que vous seul pouvez porter : le degré de confiance que vous accordez aux sites sur lesquels vous vous connectez habituellement, et la probabilité que vous vous retrouviez sur une page que vous n'aviez pas l'intention de visiter. Quelqu'un qui se connecte à trois services bien connus depuis une machine personnelle n'est pas dans la même situation que quelqu'un qui ouvre toute la journée des liens venant d'expéditeurs inconnus. La position par défaut est désactivée, et y rester vous coûte un clic par connexion.
