VKT Toolkit · 18 octobre 2026 · 6 min de lecture

Protéger par mot de passe vos secrets 2FA dans le navigateur (2026)

Un secret TOTP n'est pas un mot de passe. C'est la graine qui produit chaque code à 6 chiffres d'un compte. Copiez-la une fois et vous générerez des codes valides indéfiniment, sans que le propriétaire s'en aperçoive. Un mot de passe fuité se change en une minute ; un secret fuité est dupliqué en silence, et il faut réenrôler chaque compte.

Ce secret vit dans le popup de l'extension, à un clic. Aucune invite, aucun PIN, aucune seconde étape. Quiconque s'assied devant votre poste non verrouillé, ou copie votre profil de navigateur, peut lire la liste. Le mot de passe principal optionnel de LocalBox2FA comble ce trou. Voici ce qu'il fait et comment l'utiliser sans vous enfermer dehors.

La deuxième clé traîne dans un tiroir ouvert

La 2FA suppose que le second facteur est là où l'attaquant n'est pas. Sur un téléphone, c'est derrière le verrouillage. Dans une extension, le secret n'est qu'une valeur dans chrome.storage.local, protégée par votre compte système et rien d'autre — une ligne mince sur un poste partagé.

LocalBox2FA est minimal : Manifest V3, une seule autorisation (storage) plus une autorisation d’hôte pour le serveur de licences — contacté uniquement pour activer, valider ou désactiver une clé de licence, jamais avec vos données —, TOTP calculé avec Web Crypto, sans compte chez nous, sans analyse. La synchronisation entre appareils est optionnelle et désactivée par défaut ; une fois activée, les enregistrements scellés sont reflétés via chrome.storage.sync dans votre propre compte de navigateur, et le mot de passe principal reste sur l'appareil. Les secrets restent donc sur votre machine par défaut, pas à l'abri de qui l'utilise.

Ce que le mot de passe principal chiffre vraiment

Optionnel, désactivé par défaut. Une fois activé :

• Seul le champ secret est chiffré, avec AES-GCM et une clé de 256 bits.
• La clé est dérivée de votre mot de passe avec PBKDF2-SHA256, 600 000 itérations et un salt aléatoire. Le mot de passe lui-même n'est jamais stocké.
• Le CryptoKey dérivé ne vit que dans la mémoire du popup et n'est jamais écrit dans le stockage.

name, digits, period, algorithm et la date d'ajout restent en clair dans le stockage. Cette séparation est voulue, mais une fois verrouillé l'interface masque toute la liste : c'est l'objet de la section suivante. Le chiffrement a lieu là où les codes sont calculés ; rien ne quitte l'appareil.

Pourquoi on le saisit à chaque fois — c'est voulu

Pas de « se souvenir de moi », pas de déverrouillage 24 heures, pas de raccourci biométrique. Chaque ouverture commence par le mot de passe.

Que coûterait l'économie ? L'extension devrait conserver la clé dérivée, ou une clé qui l'ouvre, de façon persistante. Qui obtiendrait cette valeur ouvrirait votre coffre sans mot de passe. Le prix est une saisie par popup ; le bénéfice, fermer le popup met vraiment fin à l'accès. Un portable volé écran verrouillé ne livre que du chiffré.

Ce qui se passe une fois verrouillé

Verrouillé, le popup n'affiche que l'écran de déverrouillage. La liste des comptes n'est pas rendue du tout : impossible de savoir quels services sont dans le coffre avant de déverrouiller.

C'est le compromis assumé. Seul le secret est chiffré, mais afficher la liste révélerait quels comptes vous gardez ; l'extension masque donc tout et demande le mot de passe d'abord. Une fois déverrouillé, codes, recherche, renommage et le 🔐 des enregistrements chiffrés reviennent.

Les noms restent en clair dans le stockage : copier votre profil de navigateur suffit à les lire. Gardez-les banals. « Mail pro » convient ; un numéro de compte ou un PIN n'y ont rien à faire.

L'activer et le désactiver

Ouvrez le popup, allez dans les réglages, définissez un mot de passe principal. Seule contrainte : non vide. Pas de longueur minimale, de majuscule ni de symbole. Choix assumé de l'auteur : les règles de complexité poussent vers des schémas courts et prévisibles ; une longue phrase retapable chaque jour est plus utile.

Vous pouvez le désactiver à tout moment dans les réglages. La matière de clé est alors supprimée et les enregistrements repassent en clair.

Enregistrements existants : ni migration ni remise à zéro

Rien n'est migré ni effacé, aucun secret n'est à recoller. La storage key ne change pas : en clair et chiffré cohabitent. Les nouveaux ajouts sont stockés chiffrés ; les anciens fonctionnent toujours, sans le 🔐.

Mot de passe oublié : aucun retour possible

AES-GCM n'a pas de porte dérobée, et il n'existe ni lien de réinitialisation, ni clé de récupération, ni dérogation du support. Mot de passe oublié, secrets perdus : le support ne peut pas les déchiffrer.

La seule sortie est Tout effacer : deux confirmations, puis tout disparaît. Comportement correct pour un outil local, et raison d'une habitude : exportez avant d'activer le chiffrement. L'export est gratuit et produit un fichier texte de lignes name:secret, à garder hors ligne comme les secrets.

Noter le mot de passe sur papier reste raisonnable : un outil local n'a pas de récupération de compte.

Ce que cette couche bloque — et ce qu'elle ne bloque pas

Cela bloque un collègue qui clique sur l'icône d'un poste non verrouillé, la lecture des valeurs brutes d'un profil copié, et un portable volé aux données de navigateur non protégées. Cela ne bloque ni malware exécuté avec vos droits, ni keylogger, ni processus lisant la mémoire du popup déverrouillé, ni quelqu'un qui connaît le mot de passe. Ce n'est pas du chiffrement de disque ni un substitut au verrouillage d'écran.

Un second cadenas sur un tiroir, pas la porte d'une chambre forte.

Questions fréquentes

Découvrez d'autres outils dans le catalogue d'extensions VKT, ou écrivez-nous à [email protected].