Test & Avis Expert
NordPass est un gestionnaire de mots de passe commercial édité par Nord Security, le groupe qui publie aussi NordVPN. Il stocke identifiants, notes, moyens de paiement et clés d'accès dans un coffre synchronisé entre navigateur, ordinateur et mobile. Il s'adresse à qui veut un produit fini, avec support et facturation, plutôt qu'un outil à administrer soi-même.
Comment ça marche
Le coffre est chiffré sur l'appareil avant d'être envoyé. L'éditeur documente l'emploi de XChaCha20 pour le chiffrement symétrique, de X25519 pour l'échange de clés lors des partages, et d'Argon2id avec un sel de 16 octets pour dériver la clé maître depuis le mot de passe principal — Argon2id est une fonction de dérivation conçue pour rendre les attaques par force brute coûteuses en mémoire. NordPass décrit une architecture dite à connaissance nulle : les serveurs ne détiennent que des données déjà chiffrées. Les coffres sont hébergés sur Amazon Web Services, dans des centres de données situés aux États-Unis et dans l'Union européenne. L'offre comprend le remplissage automatique, le partage d'éléments entre comptes, un scanner de fuites, la gestion des clés d'accès et un générateur de codes à usage unique.
Ce que ça ne protège pas
Le code des applications n'est pas publié : la vérification repose entièrement sur des audits commandés par l'éditeur. Le seul dont NordPass documente publiquement l'auteur et la date est celui de Cure53, annoncé en octobre 2021, portant sur les applications Android, iOS et bureau, les extensions de navigateur, le panneau d'administration et Nord Account ; il représentait 21 jours-personne et a relevé quinze problèmes, dont un de gravité haute, corrigés depuis. Les pages produit évoquent ensuite des audits réguliers sans nommer de cabinet ni d'année : cette mention-là n'est pas vérifiable. Les certifications affichées (ISO/IEC 27001, SOC 2 type 2) portent sur des processus d'organisation, pas sur la solidité cryptographique du produit. Enfin, les conditions et la politique de confidentialité ne sont pas servies depuis nordpass.com mais renvoyées vers le domaine Nord Account, et les pages produit n'indiquent ni l'entité juridique responsable ni son pays d'établissement : si la juridiction compte pour vous, il faut aller la chercher ailleurs que sur le site.
Face aux alternatives
Bitwarden couvre les mêmes usages avec un code ouvert et une option d'auto-hébergement. KeePassXC se passe entièrement de serveur, au prix d'une synchronisation à organiser soi-même. Proton Pass est également commercial mais publie le code de ses clients. Le choix se joue moins sur les algorithmes, comparables d'un produit à l'autre, que sur ce que vous pouvez vérifier vous-même et sur l'identité de celui qui détient l'infrastructure.
