Test & Avis Expert
LessPass est un générateur de mots de passe déterministe, publié sous GPL-3.0 (l’application mobile étant également disponible sous MPL 2.0). Il existe en extension Chrome et Firefox, en applications iOS et Android, en interface web et en ligne de commande installable par pip. Le dépôt recevait encore des envois en septembre 2026.
Comment ça marche
LessPass ne stocke rien. Le mot de passe d’un site est recalculé à chaque fois à partir de trois éléments : le nom du site, l’identifiant, et un mot de passe maître. La dérivation utilise PBKDF2 avec SHA-256 et 100 000 itérations, puis met le résultat en forme selon les règles choisies (longueur, présence de chiffres, de majuscules, de symboles). Le même triplet redonne toujours le même mot de passe, sur n’importe quelle machine — c’est tout le principe : il n’y a ni coffre à synchroniser, ni sauvegarde à prévoir, ni fichier à perdre.
Un serveur LessPass existe pour mémoriser les profils (site, identifiant, options) — jamais les mots de passe eux-mêmes. Les inscriptions sur le serveur public du projet sont fermées ; il reste possible d’héberger sa propre instance ou d’utiliser une implémentation tierce. Sans serveur, l’outil fonctionne parfaitement, à condition de ressaisir les paramètres à chaque fois.
Ce que ça ne protège pas
Le modèle sans coffre a des contreparties qui ne sont pas des détails. On ne peut pas enregistrer un mot de passe imposé de l’extérieur : un code fourni par une banque, une clé de récupération, un mot de passe hérité d’avant l’adoption de LessPass n’ont pas leur place dans le système. Changer un mot de passe oblige à incrémenter un compteur, qu’il faut alors mémoriser ou noter ailleurs — et la promesse « rien à retenir, rien à sauvegarder » s’effondre dès le premier changement.
Le mot de passe maître est un point de défaillance total. Il ne chiffre pas un coffre que l’on peut mettre à l’abri : il est la totalité du secret. S’il fuite, tous les comptes tombent en même temps, sans qu’aucune révocation soit possible, et sans qu’on puisse le changer sans changer tous les mots de passe dérivés. Les 100 000 itérations de PBKDF2-SHA256 correspondent à des recommandations aujourd’hui dépassées face au matériel de calcul actuel, ce qui rend cette hypothèse d’autant plus sensible.
Enfin, un mot de passe recalculé à la demande ne détecte pas l’hameçonnage : rien ne vérifie que le site visité est bien celui dont on tape le nom.
Face aux alternatives
Spectre applique le même principe avec une fonction de dérivation différente et les mêmes limites structurelles. Face à KeePassXC ou Bitwarden, l’échange est explicite : LessPass supprime le coffre, donc le vol de coffre et la sauvegarde, mais perd la capacité de stocker un secret arbitraire et la possibilité de changer de mot de passe maître.
