Je suis passé de LastPass à 1Password (et vous devriez aussi)

Des oranges

J’utilise LastPass comme principal gestionnaire de mots de passe depuis de nombreuses années. Si je devais deviner, je dirais que cela doit faire près de 10 ans maintenant. Et au cours de ces années, cela m’a laissé tomber, m’a déçu et m’a frustré à plusieurs reprises. Il y a quelques semaines, j’ai finalement opté pour 1Password. J’aurais dû le faire il y a longtemps.

Pour être clair, il n’y a rien de mal flagrant avec LastPass – ou du moins c’est ce que je me suis dit pendant plusieurs années. Bien sûr, l’application Android ne remplit pas toujours automatiquement les options et l’extension Chrome reste connectée littéralement tout le temps. L’application a également subi plusieurs violations de données au fil des ans. Mais tout cela est normal pour le cours, n’est-ce pas ?

Même pas proche.

Honnêtement, je n’avais pas réalisé à quel point LastPass était un gestionnaire de mots de passe médiocre jusqu’à ce que j’utilise 1Password. Les problèmes de remplissage automatique d’Android sont une chose – un ennui mineur au mieux – mais la mauvaise mise en œuvre de la sécurité pour une application censée stocker certaines de vos informations les plus privées est carrément inexcusable.

Les protocoles de sécurité de LastPass sont pathétiques

Si vous avez un compte LastPass, vous savez déjà comment cela fonctionne : vous installez l’application ou accédez au site Web et connectez-vous. Peut-être avez-vous également activé l’authentification à deux facteurs sur votre compte, ce qui est bon pour vous. Mais c’est facultatif, et si vous ne savez pas déjà que LastPass propose 2FA, il est pratiquement garanti que vous ne l’avez pas activé. (Comment avez-vous pu activer quelque chose dont vous n’étiez pas conscient, après tout ?)

Et si vous installez l’extension Chrome, vous n’avez qu’à vous connecter une seule fois. Après cela, tant que l’ordinateur reste en ligne, il ne vous sera plus jamais demandé de vous reconnecter. À ce stade, toute personne ayant accès à votre ordinateur a également accès à vos mots de passe. C’est une catastrophe qui ne demande qu’à arriver. Vous pouvez modifier ce comportement dans les paramètres d’extension de LastPass, mais il est tout simplement déconcertant que le verrouillage automatique ne soit pas activé par défaut. Vous ne devriez pas avoir à opter pour une meilleure sécurité, en particulier dans un gestionnaire de mots de passe.

Mais 1Password fait les choses différemment. Tout d’abord, cela ne force pas seulement 2FA à sortir de la boîte, mais il définit une "clé secrète" lorsque vous créez votre compte. Il s’agit d’une clé très complexe qui est requise chaque fois que vous vous connectez sur un nouvel appareil (remarque : uniquement lors de la première connexion (après confirmation de l’appareil, vous pouvez vous connecter uniquement avec votre nom d’utilisateur et votre mot de passe). La clé est automatiquement générée et partagée avec vous dans un document lorsque vous vous inscrivez à 1Password. Cette clé est également stockée sur vos appareils de confiance, il est donc facile à garder en sécurité mais difficile à perdre.

C’est un grand niveau de sécurité pour tous vos mots de passe. Vous savez quoi d’autre 1Password fait que LastPass ne fait pas? Verrouillez automatiquement le coffre-fort dans l’extension Chrome par défaut. 1Password et LastPass verrouillent le coffre-fort après une période d’inactivité sur mobile, mais il n’en va pas de même pour les extensions de navigateur. C’est déconcertant. (Si vous utilisez LastPass et que vous ne souhaitez pas changer, veuillez activer cette fonctionnalité Options du compte > Préférences des extensions > Déconnexion après ces nombreuses minutes d’inactivité.)

Pourquoi n’est-ce pas activé par défaut ?

Désormais, LastPass pourrait résoudre ces deux problèmes assez facilement en forçant 2FA et en verrouillant automatiquement le coffre-fort par défaut. Mais cela fait des années maintenant et aucune de ces choses n’a été faite. Difficile de dire si ou quand ils le feront un jour. Alors, il est temps de changer.

1Password n’a jamais vu de violation de données

Depuis 2011, LastPass a été impliqué dans cinq violations de données ou autres incidents de sécurité – 2011, 2015, 2016, 2017 et 2019. Pour être juste, certains d’entre eux n’étaient pas majeurs ; juste des exploits qui ont été découverts. Et dans tous ces cas, LastPass a fait un travail remarquable en désactivant ou en corrigeant ces vulnérabilités. Il est juste de donner du crédit là où il est dû.

Mais si vous recherchez sur Google « violation de données 1password», la première option n’est pas une fuite très médiatisée dont 1Password faisait partie. Il s’agit d’un lien vers le blog 1Password sur ce qui se passerait si jamais l’entreprise faisait partie d’une violation, qui commence par les mots «1Password n’a jamais été piraté ». Si vous envisagez un changement, cela vaut la peine d’être lu. Même si vous n’envisagez pas de changer pour le moment, cela vaut la peine d’être lu. Cela pourrait vous faire changer d’avis.

L’application Android est beaucoup plus fiable

Vous pouvez effectuer une recherche dans le coffre-fort 1Password directement à partir de la boîte de dialogue de remplissage automatique.

L’une de mes plus grandes bêtes noires avec LastPass est le manque de fiabilité de l’option de remplissage automatique de l’application Android, même après que Google a mis en place l’API de remplissage automatique, qui, je l’espérais, résoudrait ces problèmes. Mais non.

Je ne sais pas quel est le facteur déterminant ici, mais parfois la fonction de remplissage automatique fonctionne bien sur LastPass. D’autres fois, il ne demande jamais du tout. Et d’autres, il demande mais dit qu’il n’y a pas de mots de passe enregistrés pour cette application/site. Et il n’y a aucun moyen de rechercher directement à partir de l’invite de remplissage automatique.

Encore une fois, 1Password résout tous ces problèmes. Pour commencer, il n’y a pas eu une seule fois où il n’a pas proposé d’invite sur une boîte de mot de passe. Et dans le cas où il n’associe pas un mot de passe d’un site à son application correspondante, vous pouvez effectuer une recherche directement à partir de l’invite et attribuer le mot de passe au site directement, cela ne prend que quelques clics. Après cela, l’association est stockée, donc la prochaine connexion sera encore plus facile. LastPass n’a rien de tel.

Maintenant, pour être juste, si vous êtes un utilisateur iOS, vous n’avez probablement rencontré aucun de ces problèmes. Les options de remplissage automatique du mot de passe iOS semblent fonctionner de manière beaucoup plus fiable que celles d’Android, car je n’ai rencontré aucun problème avec LastPass sur iOS. Cela dit, 1Password fonctionne aussi bien, donc vous ne perdez rien si vous faites le saut.

Le changement était plus indolore que je ne l’aurais jamais imaginé

J’ai un aveu gênant: la principale raison pour laquelle je n’ai pas changé plus tôt est que je ne voulais pas passer le temps à le faire. Dans ma tête, cela allait prendre des heures. C’est en fait tellement incorrect que je me sens stupide rien qu’en le disant. Le changement a littéralement pris cinq minutes. Sans blague—cinq.

En fait, 1Password a un excellent guide pour faire exactement cela sur son site d’assistance. En fin de compte, cela se résume à deux étapes : exportez votre coffre-fort LastPass, puis importez-le dans 1Password. D’après mon expérience, tout s’est parfaitement synchronisé.

Au total, 1Password était opérationnel sur trois téléphones et quatre ordinateurs en 20 minutes environ, ce qui inclut la suppression de LastPass de ces appareils. Je me sens ridicule d’avoir attendu si longtemps.

Il y a cependant un petit hic. Pour une raison quelconque, il existe deux versions de l’extension de navigateur 1Password: l’une nécessite l’installation de l’application de bureau et l’autre non. Je recommande d’utiliser l’ extension 1PasswordX, qui fonctionne toute seule. Sinon, vous devrez également installer l’application de bureau, qui est honnêtement une sorte de redondance. En prime, l’extension 1Password a un impact beaucoup plus faible sur les ressources système que l’extension LastPass (au moins dans Chrome).

Mais il y a aussi la question du prix. Pour la plupart des gens, LastPass est gratuit – vous pouvez l’utiliser sur plusieurs appareils sans payer un centime. Si vous souhaitez ajouter un stockage de fichiers cryptés au mélange, vous pouvez le faire pour 3 $ par mois.

Les plans de 1Password.

Mais 1Password coûte 3 $ par mois ou 5 $ par mois pour toute votre famille. Vous connaissez le dicton "vous obtenez ce que vous payez?" Eh bien, je ne pense pas que ce soit plus vrai qu’ici – 1Password est plus sécurisé et plus pratique que LastPass, ce qui fait plus que valoir 3 $ par mois.

Si vous envisagez de passer de LastPass à 1Password, je le recommande vivement. J’aurais aimé le faire il y a des années.

Divulgation : 1Password propose des comptes gratuits pour les journalistes, vers lesquels je suis passé avant d’écrire. Cela n’a en aucun cas façonné les conclusions ou le résultat de l’article.