Test & Avis Expert
gopass est un gestionnaire de secrets en ligne de commande écrit en Go, publié sous licence MIT. Il fonctionne sur Linux, macOS, Windows et BSD, sans interface graphique. La version 1.17.2 a été publiée le 10 septembre 2026 ; le dépôt est actif.
Comment ça marche
Chaque secret est un fichier chiffré posé dans une arborescence de dossiers, et cette arborescence est un dépôt Git. Le chiffrement par défaut repose sur GPG : la clé privée reste sur la machine, gopass ne fait qu’appeler GnuPG pour chiffrer et déchiffrer. Depuis la version 1.17, un moteur alternatif fondé sur age est également disponible, y compris avec des identités matérielles, et la 1.16 a ajouté un moteur cryptfs qui chiffre aussi les noms de fichiers.
La synchronisation entre machines et le partage en équipe ne sont pas des fonctions de gopass mais des propriétés du dépôt Git : un git push vers un serveur que l’on choisit. Le partage se fait en ajoutant des destinataires — chaque secret est alors chiffré pour plusieurs clés publiques. Il n’y a ni compte, ni serveur éditeur, ni offre payante : le projet est développé par une communauté, sans société derrière.
Ce que ça ne protège pas
Avec le moteur GPG par défaut, les noms des fichiers ne sont pas chiffrés. Toute personne qui accède au dépôt — l’hébergeur Git, un collègue, quiconque obtient une copie — lit l’arborescence : les sites, les services, les noms de comptes apparaissent en clair dans les chemins, même si les mots de passe ne le sont pas. Le moteur cryptfs répond à ce point, mais il n’est pas le réglage par défaut.
Le dépôt Git conserve l’historique complet : un secret supprimé reste dans les commits antérieurs, et la date de chaque modification est enregistrée. C’est un journal d’activité précis, offert à qui héberge le dépôt.
Enfin, tout repose sur une chaîne que gopass ne gère pas : la création de la paire de clés GPG, sa sauvegarde, sa phrase de passe, son expiration, sa révocation. Une clé privée perdue rend l’intégralité du coffre illisible. C’est un outil pour qui sait déjà administrer GnuPG, pas une porte d’entrée vers lui.
Face aux alternatives
KeePassXC vise le même besoin avec un fichier unique et une interface graphique : moins d’outillage à maîtriser, pas d’historique versionné, pas de partage granulaire. Bitwarden ajoute la synchronisation et les clients mobiles au prix d’un serveur qui détient les coffres chiffrés. gopass suppose que l’on considère GnuPG et Git comme des acquis ; c’est ce qui le rend pertinent en équipe technique et inadapté partout ailleurs.
