Comment afficher vos mots de passe enregistrés dans Firefox (ordinateur de bureau et mobile)

Le gestionnaire de mots de passe intégré de Firefox stocke les identifiants de connexion localement dans une base de données SQLite chiffrée (logins.json et key4.db) dans votre répertoire de profil Firefox. Pour afficher un mot de passe enregistré, accédez à about:logins dans la barre d’adresse, sélectionnez l’entrée souhaitée dans la liste, puis cliquez sur l’icône en forme d’œil à côté du champ de mot de passe pour le révéler. Sur mobile, le chemin équivalent est Paramètres > Identifiants et mots de passe > Identifiants enregistrés.

Ce guide couvre toutes les méthodes pour accéder, gérer et renforcer les identifiants enregistrés par Firefox — sur ordinateur (Windows, macOS, Linux), Android et iOS — y compris l’architecture de stockage sous-jacente, le chiffrement par mot de passe principal, et les cas où le gestionnaire natif de Firefox est insuffisant pour les environnements de production ou multi-utilisateurs.

Comment Firefox stocke les mots de passe en interne

Avant de plonger dans les étapes de l’interface, comprendre la couche de stockage vous aide à prendre des décisions de sécurité éclairées.

Firefox enregistre les identifiants dans deux fichiers à l’intérieur de votre dossier de profil :

• logins.json — stocke les noms d’utilisateur, mots de passe, noms d’hôte et métadonnées chiffrés
• key4.db — une base de données de clés NSS (Network Security Services) qui contient les clés de chiffrement utilisées pour protéger logins.json

Le chiffrement par défaut utilise 3DES (profils hérités) ou AES-256-CBC (profils modernes), enveloppé par une clé dérivée de votre connexion OS ou, si défini, de votre mot de passe principal via PBKDF2-SHA256.

Emplacements du répertoire de profil par OS :

Si vous avez besoin de migrer des identifiants, copier à la fois logins.json et key4.db vers un nouveau profil est suffisant — aucun des deux fichiers n’est utile sans l’autre.

Afficher les mots de passe enregistrés dans Firefox sur ordinateur

Étape 1 : Ouvrir le gestionnaire de mots de passe

Il existe deux façons d’accéder au gestionnaire de mots de passe :

Méthode A — URL directe (la plus rapide) :

Tapez ce qui suit directement dans la barre d’adresse et appuyez sur Entrée :

about:logins

Méthode B — Navigation par menu :

1. Cliquez sur le menu hamburger (trois lignes horizontales) dans le coin supérieur droit.
2. Sélectionnez Mots de passe dans le menu déroulant.

Les deux méthodes ouvrent la même interface about:logins.

Étape 2 : Localiser l’entrée d’identifiant

Le panneau de gauche liste tous les identifiants enregistrés triés alphabétiquement par nom d’hôte. Utilisez la barre de recherche en haut du panneau pour filtrer par nom de domaine, nom d’utilisateur ou toute chaîne partielle. Firefox effectue une correspondance de sous-chaîne en temps réel sur tous les champs.

Conseil : Si vous avez des centaines d’entrées, utilisez les options de tri (par nom, dernière utilisation, dernière modification ou statut d’alerte de violation) pour affiner efficacement les résultats.

Étape 3 : Révéler le mot de passe

Cliquez sur n’importe quelle entrée pour développer son panneau de détails à droite. Le champ de mot de passe affiche des caractères masqués par défaut. Cliquez sur l’icône en forme d’œil à droite du champ de mot de passe pour basculer la visibilité.

Important : Si un mot de passe principal est configuré (voir la section sécurité ci-dessous), Firefox vous demandera de le saisir avant de révéler tout identifiant. C’est intentionnel et constitue l’une des protections locales les plus efficaces disponibles.

Étape 4 : Copier ou modifier l’identifiant

• Cliquez sur l’icône de copie à côté du champ nom d’utilisateur ou mot de passe pour copier l’une ou l’autre valeur dans le presse-papiers.
• Cliquez sur Modifier pour changer directement le nom d’utilisateur ou le mot de passe stocké dans le gestionnaire.
• Cliquez sur Supprimer pour effacer définitivement l’entrée.

Cas particulier — entrées en double : Firefox peut stocker plusieurs identifiants par domaine. Si vous voyez des noms d’hôte en double, cela se produit généralement lorsqu’un site a modifié son URL de connexion ou que vous avez enregistré des identifiants à la fois sous les variantes http:// et https://. Nettoyez-les manuellement pour éviter toute confusion lors de la connexion.

Exporter tous les mots de passe enregistrés

Firefox permet l’export en masse à des fins de migration ou de sauvegarde :

1. Dans about:logins, cliquez sur le menu à trois points (en haut à droite de la page).
2. Sélectionnez Exporter les identifiants.
3. Confirmez l’avertissement — l’export produit un fichier CSV en texte brut avec tous les identifiants non chiffrés.

"url","username","password","httpRealm","formActionOrigin","guid","timeCreated","timeLastUsed","timePasswordChanged"
"https://example.com","user@example.com","MyPassword123","","https://example.com","..."

Avertissement critique : Ce fichier CSV est totalement non chiffré. Stockez-le uniquement dans un volume chiffré ou une archive protégée par mot de passe. Supprimez-le immédiatement après utilisation. Ne le stockez jamais sur un hébergement partagé ou un stockage cloud non chiffré.

Afficher les mots de passe enregistrés dans Firefox sur Android

1. Ouvrez Firefox pour Android.
2. Appuyez sur le menu à trois points dans le coin supérieur droit.
3. Sélectionnez Paramètres.
4. Appuyez sur Identifiants et mots de passe.
5. Appuyez sur Identifiants enregistrés.
6. Utilisez la barre de recherche pour filtrer les entrées, puis appuyez sur n’importe quelle entrée.
7. Appuyez sur l’icône en forme d’œil à côté du champ de mot de passe.

Firefox sur Android impose une authentification biométrique ou par code PIN de l’appareil avant de révéler les mots de passe si votre appareil dispose d’un verrouillage d’écran configuré. Cela est contrôlé par l’API BiometricPrompt d’Android et ne peut pas être contourné sans accès au niveau de l’appareil.

Afficher les mots de passe enregistrés dans Firefox sur iOS

1. Ouvrez Firefox pour iOS.
2. Appuyez sur le menu hamburger (trois lignes horizontales) dans le coin inférieur droit.
3. Sélectionnez Paramètres.
4. Appuyez sur Identifiants et mots de passe.
5. Appuyez sur Identifiants enregistrés.
6. Authentifiez-vous avec Face ID, Touch ID ou le code d’accès de votre appareil lorsque vous y êtes invité.
7. Appuyez sur n’importe quelle entrée, puis appuyez sur l’icône en forme d’œil pour révéler le mot de passe.

Sur iOS, Firefox s’intègre au framework système LocalAuthentication, ce qui signifie que l’accès aux identifiants est conditionné par le même système biométrique utilisé pour déverrouiller votre appareil.

Renforcement de la sécurité : protéger les mots de passe enregistrés dans Firefox

Définir un mot de passe principal (anciennement mot de passe maître)

Le mot de passe principal chiffre la base de données de clés key4.db avec votre phrase secrète choisie, rendant les identifiants stockés inaccessibles sans elle — même si quelqu’un copie votre répertoire de profil.

Pour l’activer :

1. Ouvrez le menu Firefox et accédez à Paramètres.
2. Accédez à l’onglet Vie privée et sécurité.
3. Faites défiler jusqu’à la section Identifiants et mots de passe.
4. Cochez Utiliser un mot de passe principal.
5. Saisissez et confirmez une phrase secrète robuste.

Note technique : Sans mot de passe principal, Firefox utilise une chaîne vide par défaut comme clé de chiffrement, ce qui signifie que logins.json est techniquement chiffré mais trivialement déchiffrable par tout outil qui lit key4.db. Définir un mot de passe principal robuste est la mesure de sécurité locale la plus impactante que vous puissiez prendre.

Activer l’authentification à deux facteurs sur les comptes Firefox

Si vous utilisez Firefox Sync pour synchroniser les mots de passe entre appareils, votre compte Firefox devient une cible de grande valeur. Activez la 2FA :

1. Visitez accounts.firefox.com.
2. Accédez à Sécurité dans les paramètres de votre compte.
3. Activez l’authentification en deux étapes à l’aide d’une application d’authentification (TOTP).

Cela protège la couche de synchronisation mais ne remplace pas le mot de passe principal pour la protection du stockage local — les deux doivent être actifs simultanément.

Maintenir Firefox à jour

Firefox publie des correctifs de sécurité à un rythme régulier. Les versions obsolètes peuvent être vulnérables à des exploits capables d’extraire des identifiants de la mémoire ou des fichiers de profil. Activez les mises à jour automatiques sous Paramètres > Général > Mises à jour de Firefox.

Auditer les identifiants compromis

Firefox s’intègre à Mozilla Monitor (anciennement Firefox Monitor), qui vérifie vos identifiants enregistrés par rapport à la base de données Have I Been Pwned. Les entrées signalées par une icône d’alerte de violation dans about:logins doivent être considérées comme compromises et modifiées immédiatement.

Gestionnaire de mots de passe Firefox vs. gestionnaires de mots de passe dédiés

Le gestionnaire intégré de Firefox est pratique mais présente des limitations architecturales dans les contextes d’entreprise, multi-utilisateurs ou côté serveur.

Pour un usage personnel sur un seul appareil, le gestionnaire de Firefox est adéquat lorsqu’un mot de passe principal robuste et la 2FA sont configurés sur le compte Firefox. Pour les équipes, les développeurs gérant plusieurs environnements, ou toute personne exploitant une infrastructure serveur, une solution auto-hébergée sur un VPS offre un contrôle et une auditabilité bien supérieurs.

Exécuter un gestionnaire de mots de passe auto-hébergé sur un VPS

Si vous gérez des identifiants pour une équipe, un pipeline de développement ou plusieurs environnements clients, héberger une solution comme Vaultwarden (un serveur compatible Bitwarden léger écrit en Rust) sur un VPS élimine entièrement la dépendance à une infrastructure de synchronisation tierce.

Un déploiement minimal sur un VPS Linux ressemble à ceci :

# Install Docker and Docker Compose if not already present
apt update && apt install -y docker.io docker-compose

# Create a directory for Vaultwarden data
mkdir -p /opt/vaultwarden/data

# Create a Docker Compose file
cat > /opt/vaultwarden/docker-compose.yml <<EOF
version: "3"
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    volumes:
      - ./data:/data
    environment:
      WEBSOCKET_ENABLED: "true"
      SIGNUPS_ALLOWED: "false"
    ports:
      - "127.0.0.1:8080:80"
EOF

# Start the service
cd /opt/vaultwarden && docker-compose up -d

Placez ceci derrière un proxy inverse Nginx avec un certificat TLS valide. L’association avec un certificat SSL garantit que tout le trafic d’identifiants est chiffré en transit. Pour les équipes nécessitant des environnements isolés par projet, les serveurs dédiés offrent l’isolation au niveau matériel que l’infrastructure partagée ne peut pas garantir.

Si vous préférez un panneau de contrôle géré pour la configuration du serveur web, un VPS avec cPanel simplifie la gestion des hôtes virtuels et des SSL sans configuration Nginx manuelle.

Récupérer les mots de passe quand Firefox ne démarre pas

Si Firefox plante ou devient corrompu, vous pouvez extraire les identifiants directement depuis les fichiers de profil à l’aide de l’outil Python firefox_decrypt :

# Clone the tool
git clone https://github.com/unode/firefox_decrypt.git
cd firefox_decrypt

# Point it at your profile directory
python3 firefox_decrypt.py ~/.mozilla/firefox/<your-profile>

Vous serez invité à saisir votre mot de passe principal s’il en existe un. L’outil affiche les identifiants en texte brut sur stdout — redirigez-le avec précaution :

python3 firefox_decrypt.py ~/.mozilla/firefox/<your-profile> > /tmp/recovered_creds.txt

Chiffrez ou supprimez /tmp/recovered_creds.txt immédiatement après utilisation. Cette approche est également utile pour les audits forensiques sur des serveurs Linux où un profil Firefox sans interface graphique a été utilisé pour des tests de navigateur automatisés.

Matrice de décision pratique

Utilisez cette liste de contrôle pour déterminer la bonne approche de gestion des identifiants selon votre situation :

• Utilisateur unique, appareil personnel, comptes à faible risque — Le gestionnaire de mots de passe Firefox avec mot de passe principal et 2FA sur le compte Firefox est suffisant.
• Utilisateur unique, comptes à haute valeur (banque, infrastructure) — Utilisez un gestionnaire de mots de passe dédié (coffre local KeePass ou Bitwarden cloud) en plus ou à la place du gestionnaire de Firefox.
• Développeur gérant plusieurs environnements serveur — Auto-hébergez Vaultwarden sur un VPS avec TLS et liste blanche d’IP. Utilisez le Bitwarden CLI pour la récupération scriptée des identifiants.
• Petite équipe partageant des identifiants — Vaultwarden avec des coffres d’organisation, hébergé sur un VPS avec des sauvegardes chiffrées quotidiennes vers un stockage hors site.
• Environnement d’entreprise ou soumis à des réglementations de conformité — Gestion des secrets dédiée (HashiCorp Vault, AWS Secrets Manager) avec journalisation d’audit complète ; le gestionnaire de Firefox n’est pas approprié pour ce cas d’usage.
• Identifiants de messagerie spécifiquement — Envisagez un hébergement de messagerie avec 2FA appliqué au niveau du fournisseur, indépendamment des mots de passe stockés dans le navigateur.

FAQ

Les mots de passe enregistrés dans Firefox peuvent-ils être accessibles sans le mot de passe principal ?

Oui, si aucun mot de passe principal n’est défini, la clé de chiffrement est dérivée d’une chaîne vide et tout outil qui lit key4.db conjointement avec logins.json peut déchiffrer tous les identifiants stockés sans interaction de l’utilisateur. Définir un mot de passe principal robuste est obligatoire si la sécurité locale des identifiants est importante.

Où exactement les mots de passe Firefox sont-ils stockés sur Linux ?

Ils sont stockés dans deux fichiers — logins.json et key4.db — à l’intérieur de votre répertoire de profil à ~/.mozilla/firefox/<profile-id>/. Les deux fichiers doivent être présents ensemble pour que le déchiffrement fonctionne.

Firefox Sync chiffre-t-il les mots de passe avant de les envoyer aux serveurs de Mozilla ?

Oui. Firefox Sync utilise un modèle de chiffrement côté client où les données sont chiffrées localement à l’aide de clés dérivées de votre mot de passe de compte avant la transmission. Les serveurs de Mozilla ne stockent que du texte chiffré. Cependant, il ne s’agit pas d’une architecture zéro connaissance au sens strict, car la dérivation de clé implique vos identifiants de compte que Mozilla authentifie.

Pourquoi l’icône en forme d’œil n’apparaît-elle pas pour certaines entrées de mot de passe ?

Cela se produit généralement lorsque l’entrée a été enregistrée sans valeur de mot de passe (entrées avec nom d’utilisateur uniquement), ou lorsque l’entrée est signalée comme une violation et que Firefox a temporairement restreint l’affichage. Vérifiez les détails de l’entrée et assurez-vous que le champ de mot de passe n’est pas vide.

Est-il sûr d’utiliser le gestionnaire de mots de passe de Firefox sur un ordinateur partagé ou public ?

Non. Sur tout appareil partagé, les mots de passe enregistrés sont accessibles à toute personne disposant d’un accès au niveau OS à votre profil utilisateur, qu’un mot de passe principal soit défini ou non — car le mot de passe principal protège la clé de chiffrement, mais le répertoire de profil lui-même est lisible par le compte utilisateur OS. Utilisez toujours le mode de navigation privée et ne sauvegardez jamais de mots de passe sur du matériel partagé.