Comment migrer de LastPass vers Bitwarden (ou Proton Pass)

Pourquoi vous auriez déjà dû migrer

LastPass a subi deux fuites graves consécutives en 2022-2023 :

• Août 2022 : code source et informations techniques propriétaires volés
• Décembre 2022 : données de coffres clients volées, y compris des coffres de mots de passe chiffrés

La fuite de décembre 2022 est la préoccupation opérationnelle. LastPass a divulgué que des attaquants avaient obtenu les données des coffres clients — chiffrées, mais avec les métadonnées exposées (URLs, noms d’utilisateur). Pour les utilisateurs avec un mot de passe maître faible ou des itérations de chiffrement de coffre plus anciennes, les coffres chiffrés sont vulnérables aux attaques par force brute avec suffisamment de temps et de ressources de calcul.

Implication pratique : tout mot de passe stocké dans LastPass avant décembre 2022 doit être considéré comme potentiellement compromis. L’urgence de la migration varie selon le modèle de menace — les comptes à forte valeur (banque, e-mail professionnel) devraient déjà avoir vu leurs mots de passe renouvelés ; les comptes à faible valeur (connexions ponctuelles à des forums) moins urgents mais utiles tout de même.

La question de la migration en 2026 n’est pas « faut-il migrer ? » — c’est tranché. C’est « vers quelle alternative ? »

Choisir entre Bitwarden et Proton Pass

Les deux sont crédibles. Le choix dépend de vos priorités de souveraineté :

Bitwarden (basé aux États-Unis, entièrement auto-hébergeable)

Pour :

• Le gestionnaire de mots de passe open source le plus mature
• Le plus grand écosystème d’intégrations et de clients
• Le palier premium le moins cher (10 $/an)
• Auto-hébergeable sur Hetzner via Vaultwarden pour une souveraineté complète
• Éprouvé à l’échelle entreprise

Contre :

• Basé aux États-Unis (exposition CLOUD Act pour la version hébergée)
• L’auto-hébergement nécessite des capacités techniques

Idéal pour : la plupart des utilisateurs qui veulent une UX soignée, un large écosystème et la tarification la moins chère. Auto-hébergez sur une infrastructure européenne pour une souveraineté complète.

Proton Pass (Suisse, entièrement souverain)

Pour :

• Juridiction suisse (plus forte que le RGPD)
• Version gratuite généreuse avec toutes les fonctionnalités débloquées
• Intégré à l’écosystème Proton (Mail, Drive, VPN)
• Chiffrement de bout en bout audité
• Posture de confidentialité plus propre que Bitwarden

Contre :

• Plus récent (lancé en 2023, moins mature que Bitwarden)
• Écosystème d’intégrations tierces plus restreint
• Non auto-hébergeable
• Certaines fonctionnalités avancées (SSO SAML, Active Directory) uniquement en palier entreprise

Idéal pour : les utilisateurs déjà dans l’écosystème Proton ou y envisageant l’entrée, ceux qui privilégient la juridiction suisse, les particuliers et petites équipes.

Ce guide se concentre sur Bitwarden comme destination de migration la plus courante. La migration vers Proton Pass suit les mêmes étapes générales — les deux disposent d’importateurs LastPass similaires.

Étapes détaillées de la migration

Étape 1 : configurer votre nouveau compte

Pour Bitwarden :

1. Rendez-vous sur bitwarden.com et créez un compte
2. Choisissez un mot de passe maître robuste — c’est le seul mot de passe que vous aurez à retenir ; faites-le long et unique
3. Enregistrez votre code de récupération en lieu sûr (imprimé, dans un coffre ignifuge, PAS dans un gestionnaire de mots de passe)
4. Facultatif : passez à Premium (10 $/an) pour 1 Go de pièces jointes chiffrées et les fonctionnalités d’accès d’urgence

Pour Proton Pass :

1. Rendez-vous sur proton.me/pass et créez un compte (ou utilisez un compte Proton existant)
2. Choisissez un mot de passe maître robuste — mêmes considérations que Bitwarden
3. Enregistrez votre phrase de récupération en lieu sûr
4. La version gratuite couvre la plupart des usages personnels ; le palier Plus à 1,99 €/mois ajoute des fonctionnalités avancées

Pour Bitwarden auto-hébergé (avancé) :

Pour les organisations ou utilisateurs techniques voulant une souveraineté UE complète :

Hetzner CX22 (2 vCPU, 4 Go de RAM) : 5 €/mois
Vaultwarden (compatible Bitwarden, plus léger) : open source
Reverse proxy Caddy + SSL Let's Encrypt : gratuit

Coût total d’infrastructure : environ 60 €/an pour un nombre illimité d’utilisateurs, entièrement sous votre contrôle.

Étape 2 : exporter depuis LastPass

LastPass requiert le mot de passe maître pour l’export :

1. Connectez-vous au coffre web LastPass
2. Options du compte → Avancé → Exporter (sous Gérer votre coffre)
3. Réauthentifiez-vous avec le mot de passe maître
4. Choisissez le format LastPass CSV File
5. Enregistrez sur disque chiffré ou clé USB

Note de sécurité critique : le CSV exporté contient tous vos mots de passe en clair. Traitez-le comme le fichier le plus sensible que vous ayez à manipuler :

• Enregistrez uniquement sur disque chiffré (FileVault, BitLocker, LUKS)
• N’envoyez pas par e-mail
• Ne téléversez sur aucun service cloud
• Ne stockez pas sur un appareil mobile
• Supprimez-le immédiatement après la migration

Étape 3 : importer dans la nouvelle plateforme

Bitwarden :

1. Coffre web Bitwarden → Outils → Importer des données
2. Sélectionnez la source : LastPass (csv)
3. Choisissez votre fichier CSV exporté
4. Cliquez sur Importer les données

Bitwarden importe :

• Identifiants (nom d’utilisateur, mot de passe, URL, notes)
• Notes sécurisées
• Dossiers → Dossiers Bitwarden
• Éléments de remplissage de formulaire → Éléments d’identité / carte Bitwarden

Proton Pass :

1. Proton Pass web → Paramètres → Importer
2. Sélectionnez LastPass
3. Choisissez votre fichier CSV
4. Confirmez l’import

Les deux gèrent proprement le format d’export LastPass standard. Cas limites :

• Les champs personnalisés peuvent nécessiter une revue manuelle
• Les éléments avec des caractères inhabituels dans les URLs peuvent nécessiter une vérification
• Les adresses de remplissage de formulaire migrent mais peuvent nécessiter un ajustement de format

Étape 4 : configurer l’authentification à deux facteurs

Non négociable pour la sécurité d’un gestionnaire de mots de passe :

Options 2FA Bitwarden :

• Application d’authentification (Aegis, Raivo, Authy)
• E-mail (le moins sûr)
• YubiKey (Premium, recommandé pour les usages à fort enjeu)
• Duo (Premium)
• FIDO2 WebAuthn (Premium)

Options 2FA Proton Pass :

• Application d’authentification
• Clé de sécurité matérielle (FIDO2)
• 2FA Proton intégrée

Recommandation pour les deux : clé de sécurité matérielle (YubiKey 5 NFC ou similaire, environ 55 €) plus application d’authentification en backup. La combinaison est la plus robuste.

Enregistrez vos codes de récupération 2FA hors ligne (imprimés dans un coffre ignifuge, PAS dans votre gestionnaire de mots de passe).

Étape 5 : recréer la structure des dossiers

Dossiers LastPass → Dossiers Bitwarden / dossiers Proton Pass. Votre import préserve cela dans la plupart des cas, mais vérifiez :

• Tous les dossiers ont-ils été importés correctement ?
• Les dossiers imbriqués sont-ils préservés ?
• Les dossiers partagés LastPass sont-ils correctement représentés ?

Pour Bitwarden spécifiquement : les dossiers partagés LastPass doivent être recréés sous forme de Collections d’Organisation Bitwarden (fonctionnalité Premium pour usage personnel, ou incluse dans les plans Famille/Business).

Étape 6 : installer partout

Bitwarden et Proton Pass ont tous deux une couverture multiplateforme complète :

• Extensions de navigateur : Chrome, Firefox, Safari, Edge, Brave, Opera, Vivaldi
• Applications de bureau : Windows, macOS, Linux
• Applications mobiles : iOS, Android (App Store et APK)
• CLI : pour les développeurs et le scripting

Installez sur chaque appareil où vous utilisez actuellement LastPass. Connectez-vous avec le mot de passe maître et vérifiez la 2FA sur chaque appareil.

Étape 7 : tester les connexions critiques

Avant de résilier LastPass, vérifiez que la migration fonctionne :

1. Déconnectez-vous de 5-10 services critiques (banque, e-mail, outils de travail, réseaux sociaux)
2. Essayez de vous reconnecter en utilisant uniquement la saisie automatique du nouveau gestionnaire de mots de passe
3. Vérifiez que les codes TOTP se génèrent correctement (si vous stockez les secrets TOTP dans votre gestionnaire de mots de passe)
4. Testez sur mobile — la saisie automatique fonctionne différemment sur iOS et Android, les deux fonctionnent mais nécessitent une configuration

Si quelque chose échoue, revenez à LastPass pendant que vous corrigez. C’est pour cela qu’il est essentiel de faire tourner les deux en parallèle pendant 30 jours.

Étape 8 : mettre à jour les mots de passe faibles et compromis

La migration est le moment parfait pour renouveler les mots de passe qui auraient dû l’être :

Pour les utilisateurs LastPass spécifiquement : les mots de passe stockés avant décembre 2022 doivent être considérés comme potentiellement compromis. Priorité de renouvellement :

1. Services bancaires et financiers (priorité maximale)
2. Comptes e-mail (ils déverrouillent tout le reste)
3. Comptes professionnels (implications de conformité et de sécurité)
4. Services de stockage cloud et de sauvegarde
5. Grands comptes e-commerce (Amazon, eBay, etc.)
6. Réseaux sociaux (surtout si vous les utilisez pour SSO)

Utilisez le générateur de mots de passe de Bitwarden ou de Proton Pass pour créer des mots de passe forts et uniques. Les deux disposent de détection de fuite qui signale automatiquement les mots de passe compromis.

Pour les comptes de moindre priorité (sites e-commerce ponctuels, forums), regroupez ce travail ou acceptez le risque. Investissement de temps réaliste pour un renouvellement complet de 100+ comptes : 4-6 heures sur une à deux semaines.

Étape 9 : configurer la surveillance de santé des mots de passe

Les deux plateformes incluent une vérification de santé des mots de passe :

Rapports Bitwarden (Premium) :

• Rapport de mots de passe exposés (vérifié contre Have I Been Pwned)
• Rapport de mots de passe réutilisés
• Rapport de mots de passe faibles
• Rapport de 2FA inactive
• Rapport de sites non sécurisés

Pass Monitor de Proton Pass :

• Surveillance dark web
• Détection de mots de passe faibles
• Détection de mots de passe réutilisés
• Recommandations 2FA

Exécutez les rapports mensuellement au début, trimestriellement ensuite. Chaque constat est une action : renouveler, activer la 2FA, ou mettre à jour les identifiants.

Étape 10 : résilier LastPass et supprimer l’export en toute sécurité

Après 30 jours de confiance :

1. Vérifiez que tous les identifiants sont accessibles dans la nouvelle plateforme
2. Vérifiez les codes TOTP pour les configurations 2FA critiques
3. Résiliez l’abonnement LastPass via les paramètres du compte
4. Supprimez le CSV exporté de façon sécurisée :
   • macOS : srm -v file.csv (anciens macOS) ou utilisez la fonction « Vider la corbeille de façon sécurisée » du Finder
   • Linux : shred -u file.csv
   • Windows : suppression de fichier sécurisée de BleachBit
   • Ou simplement écrasez le fichier plusieurs fois avec des données aléatoires puis supprimez

Ne sautez pas l’étape de suppression sécurisée. Le CSV contient tous vos mots de passe ; une suppression ordinaire laisse des traces récupérables.

Conseils pour une migration fluide

• Prévoyez un week-end pour cela. Deux heures de migration focalisée valent mieux que deux semaines de « je le ferai plus tard ».
• Les clés de sécurité matérielles valent leurs 55 €. YubiKey 5 NFC associée à Bitwarden ou Proton Pass fournit une authentification résistante au phishing qui est véritablement difficile à compromettre.
• Coffres famille / partagés nécessitent attention. Si vous avez un plan LastPass Families avec des dossiers partagés, recréez le partage dans Bitwarden Family (40 $/an pour 6 utilisateurs) ou Proton Family.
• Pour les développeurs, la CLI compte. La CLI Bitwarden (bw) est excellente pour le scripting et la gestion de secrets CI/CD. La CLI Proton Pass est plus récente.
• Auto-héberger Bitwarden est véritablement viable. Vaultwarden sur un serveur Hetzner à 5 €/mois vous offre une gestion de mots de passe entièrement souveraine. Le compromis, c’est la responsabilité opérationnelle — uptime, sauvegardes, correctifs de sécurité.
• N’utilisez pas le même mot de passe maître que LastPass. Certains utilisateurs le font « par habitude ». Ne le faites pas. Choisissez un mot de passe maître différent et plus robuste pour la nouvelle plateforme.
• Le stockage TOTP dans le gestionnaire de mots de passe est un compromis. Commodité (un seul endroit) vs sécurité (point de défaillance unique). Bitwarden Premium et Proton Pass prennent en charge le stockage TOTP ; pour les comptes les plus sensibles, envisagez de conserver TOTP dans une application d’authentification séparée.
• L’accès d’urgence compte. Configurez l’accès d’urgence Bitwarden Premium (ou l’équivalent Proton) pour qu’une personne de confiance puisse demander l’accès à votre coffre s’il vous arrive quelque chose. C’est l’équivalent numérique d’un testament.
• L’histoire de l’écosystème Proton compte si vous y êtes déjà. Si vous utilisez Proton Mail et Proton Drive, l’intégration Proton Pass peut le justifier face à Bitwarden. Si vous n’êtes pas dans l’écosystème Proton, l’ensemble de fonctionnalités plus large de Bitwarden peut compter davantage.