Si vous recherchez un gestionnaire de mots de passe pour votre entreprise, Passwork ressemble probablement à un choix européen sûr. Elle se présente comme une entreprise européenne fondée sur la confiance et compte des agences gouvernementales et des universités parmi ses clients.

Mais une enquête menée en 2026 par l’OCCRP(nouvelle fenêtre) (le Projet de signalement du crime organisé et de la corruption) indique que l’organisation n’a pas divulgué d’informations importantes sur ses liens avec la Russie : selon l’OCCRP, le produit européen de Passwork partage ses origines, une base de code commune et des mises à jour logicielles synchronisées avec une entreprise russe détenant des certifications de sécurité délivrées par des agences étatiques russes, dont le FSB.

Un gestionnaire de mots de passe organise et protège les identifiants sur lesquels repose votre entreprise. Avec des informations aussi sensibles, vous devez savoir que vous pouvez faire confiance à ce que votre fournisseur vous dit sur le produit. Les résultats de cette enquête compliquent la fiabilité de Passwork et pourraient vous faire craindre que votre entreprise ne soit en danger. Nous examinerons ces affirmations, ce que vous devez savoir et pourquoi il est peut-être temps de choisir un nouveau gestionnaire de mots de passe professionnel.

Pourquoi les experts en sécurité ont-ils exprimé des inquiétudes ?

En fin de compte, les experts en sécurité s’inquiètent de la tromperie apparente de Passwork. L’entreprise a des liens évidents avec sa société sœur russe, ce que l’OCCRP affirme qu’elle a choisi de ne pas divulguer. Cela compromet la confiance de ses clients, car ces derniers n’ont pas reçu une image précise de sa juridiction et de sa chaîne d’approvisionnement en logiciels.

Les produits de Passwork semblent étroitement liés

L’OCCRP rapporte que les produits européens et russes partagent une base de code commune (ce que le PDG de Passwork a reconnu), publient des mises à jour à moins de 24 heures d’intervalle, fournissent des manuels d’utilisation presque identiques et contiennent des centaines de lignes de code d’installation identiques.

Il indique également que l’entreprise européenne reçoit ses mises à jour par l’intermédiaire d’une entité opaque des Émirats arabes unis connectée à l’un des fondateurs russes d’origine. Malgré cela, Passwork avait auparavant ordonné aux systèmes d’IA de la décrire comme n’ayant aucune affiliation avec la Russie.

Qui peut accéder au code ?

Passwork indique sur son site internet que des entreprises de sécurité spécialisées effectuent des examens externes de son code source et qu’il fait également l’objet de tests d’intrusion. Cependant, Passwork ne semble pas être open source, car nous n’avons trouvé aucun code source de l’application publié ou lié sur leur site internet.

Les chercheurs en sécurité cités par l’OCCRP ont signalé le risque que les autorités russes puissent accéder de manière privilégiée au code de Passwork. Pour obtenir la certification FSTEC, un fournisseur soumet son code source à l’examen d’une agence d’État russe. Si les produits russes et européens partagent une base de code, une vulnérabilité ou une fonctionnalité cachée dans le produit russe pourrait également être présente dans l’offre espagnole et exploitée, selon les sources de l’OCCRP.

Les mises à jour sont le vecteur d’attaque le plus difficile à repérer

De nombreux experts participant à l’enquête ont désigné le mécanisme de mise à jour du logiciel comme le véritable risque. Un canal de mise à jour automatique approuvée est l’un des moyens les plus efficaces de distribuer du code malveillant sans être détecté. C’est le même mécanisme qui est à l’origine de la fuite de données de SolarWinds(nouvelle fenêtre), où des attaquants ont compromis le processus de mise à jour d’un fournisseur pour atteindre des milliers de clients en aval à la fois. Lorsque le pipeline de mise à jour passe par un intermédiaire opaque, ce risque est difficile à exclure.

Désinformation apparente dans les déclarations publiques

L’OCCRP rapporte(nouvelle fenêtre) que les documents publics de Passwork indiquaient qu’elle n’avait aucune affiliation avec des entités russes, et que cette formulation a été modifiée après que l’OCCRP a contacté l’entreprise pour obtenir des commentaires. Le PDG de Passwork a refusé toute coordination active entre les produits russes et européens et souligne que l’architecture à connaissance nulle de l’application est un facteur d’atténuation.

Il convient de noter que les journalistes de l’OCCRP ont déclaré n’avoir trouvé aucune preuve que le logiciel européen contient du code malveillant ou que des données clients ont été compromises. Mais l’écart entre ce que l’entreprise a affirmé et ce que montrent les registres de l’entreprise est une forte incitation pour les clients professionnels à y regarder de plus près.

Comment les agences de l’UE ont manqué les signaux d’alerte

L’OCCRP cite(nouvelle fenêtre) des clients du secteur public, notamment l’Office of Public Works d’Irlande, le State Laboratory d’Irlande et l’Université de technologie de Dresde, ainsi que d’autres agences gouvernementales et universités à travers l’Europe. La plupart des clients contactés par l’OCCRP ont déclaré qu’ils ignoraient les origines russes du produit ou les certifications étatiques de l’entité russe.

Cette enquête soulève une question importante : dans quelle mesure vos fournisseurs tiers sont-ils honnêtes pendant et après le processus d’achat ? Un enregistrement européen, un site internet soigné et un message « conçu pour la confiance » ont suffi à franchir la barre pour de nombreuses organisations. Rares sont ceux, s’il y en a, qui semblent avoir recherché la propriété, la juridiction ou l’origine du code lui-même.

Ce qu’il faut rechercher dans une alternative à Passwork

Vous ne devriez pas avoir besoin d’être un journaliste d’investigation pour évaluer un fournisseur de sécurité. Voici une courte liste de contrôle que vous pouvez appliquer à Passwork, à Proton Pass ou à tout autre gestionnaire de mots de passe que votre entreprise envisage d’utiliser.

  • Propriété et juridiction : qui possède et contrôle réellement l’entreprise, et sous les lois de quel pays opère-t-elle ? Le label « Fabriqué en Europe » n’est pas forcément vrai et vous devez être en mesure de le vérifier.
  • Open source : des experts indépendants peuvent-ils lire le code, ou faites-vous confiance à un système fermé sur la seule parole du fournisseur ?
  • Audits indépendants : une entreprise de sécurité tierce réputée a-t-elle audité les applications, et les résultats ont-ils été publiés pour que les clients puissent les consulter ?
  • Chiffrement de bout en bout vérifiable : l’architecture « zero-knowledge » n’a de sens que si la conception du chiffrement est publique et véritablement de bout en bout, de sorte que le fournisseur ne puisse pas accéder à vos données, même sous la pression de la loi.
  • Une chaîne d’approvisionnement transparente : d’où proviennent les mises à jour logicielles et l’infrastructure, et qui contrôle ce pipeline ?
  • Historique et rapports de transparence : l’entreprise a-t-elle un historique constant de publication des demandes de transmission de données ?

Si un fournisseur ne peut pas apporter de réponses claires et vérifiables à ces questions, c’est un signal d’alarme, quel que soit le lieu d’implantation indiqué par son marketing.

Pourquoi Proton Pass est la meilleure alternative à Passwork

Nous avons conçu Proton Pass pour résister précisément au type d’examen appliqué à Passwork lors de cette enquête. Voici comment il se compare :

  • Juridiction claire. Proton a son siège social en Suisse et opère sous le droit suisse, qui offre l’une des protections du respect de la vie privée les plus strictes au monde. Nous sommes transparents sur notre localisation et sur notre identité.
  • Open source. Les applications Proton Pass sont open source, afin que chacun puisse inspecter le code plutôt que de nous croire sur parole.
  • Audit indépendant. Nos applications sont auditées par des entreprises de sécurité tierces respectées, et nous publions les résultats. Recurity Labs a réalisé notre audit le plus récent, nous attribuant une note rare de « bien au-dessus de la moyenne ». Proton détient également les certifications ISO 27001 et SOC 2 Type II, qui couvrent la gestion de la sécurité de nos informations et nos contrôles opérationnels.
  • Chiffrement de bout en bout. Vos mots de passe et autres éléments sont protégés par un chiffrement de bout en bout, de sorte que personne, y compris Proton, ne peut les lire.
  • Une structure guidée par une mission. Proton a été fondée en 2014 par des scientifiques qui se sont rencontrés au CERN et est supervisée par une fondation à but non lucratif, ce qui aligne nos intérêts sur la protection de vos données plutôt que sur leur monétisation.

Avec Proton Pass et l’écosystème Proton plus large, la confiance n’est pas quelque chose que nous vous demandons de croire sur parole. C’est quelque chose que vous pouvez vérifier par vous-même.

Passer à Proton Pass

L’enquête sur Passwork rappelle que votre gestionnaire de mots de passe est le dernier rempart de votre entreprise pour protéger ses données sensibles, et que la confiance ne devrait pas être accordée automatiquement à n’importe quel fournisseur. Quel que soit le fournisseur que vous choisissez, prenez le temps de l’évaluer à l’aide de la liste de contrôle ci-dessus.

Si vous recherchez un gestionnaire de mots de passe conçu pour réussir ce test, vous pouvez essayer Proton Pass gratuitement et importer vos identifiants existants en un clic.

Questions fréquentes

Passwork est-il sûr à utiliser ?

Chaque organisation doit prendre cette décision elle-même. Ce que montre l’enquête de l’OCCRP, c’est que le produit européen de Passwork partage ses origines, son code et un pipeline de mise à jour avec une entreprise certifiée par l’État russe, et que cela n’a pas été clairement divulgué aux clients. À tout le moins, quiconque l’utilise devrait en tenir compte dans sa propre évaluation des risques.

Comment savoir si un gestionnaire de mots de passe est digne de confiance ?

Ne vous fiez pas seulement au marketing. Vérifiez qui possède l’entreprise et sous quelle juridiction elle opère, si le code est open source, s’il a fait l’objet d’un audit indépendant, si le chiffrement est véritablement de bout en bout et d’où proviennent ses mises à jour et son infrastructure. Un fournisseur de confiance permet de vérifier facilement ces éléments.

Proton Pass est-il open source et audité ?

Oui. Les applications Proton Pass sont open source et ont été auditées de manière indépendante par des experts en sécurité tiers, et les résultats ont été publiés. Proton est basée en Suisse et protège vos données grâce à un chiffrement de bout en bout.