Recycler le même mot de passe sur la messagerie, la banque et une dizaine d’outils SaaS reste la faille la plus banale qui soit. LastPass fait partie des gestionnaires de mots de passe les plus anciens du marché : créé en 2008 à Boston, racheté par LogMeIn (devenu GoTo) en 2015, il est redevenu une société indépendante en 2024. Son offre a beaucoup évolué depuis : au coffre-fort classique se sont ajoutés le SSO, la MFA sur poste de travail et, plus récemment, la surveillance des applications SaaS et des outils d’IA utilisés dans l’entreprise.
Quel problème LastPass règle, et pour qui
Pour un particulier, le principe est simple : un seul mot de passe maître ouvre un coffre-fort chiffré, et l’extension ou l’application remplit les identifiants à votre place. Le générateur crée des mots de passe longs et uniques, ce qui règle le problème de la réutilisation. Si vous partez de zéro, nos conseils pour des mots de passe sécurisés rappellent ce qu’un bon mot de passe doit contenir ; LastPass se charge ensuite de les retenir.
Pour une entreprise, l’enjeu est différent. Les accès partagés circulent par e-mail ou par messagerie, les départs de salariés laissent des comptes ouverts, et la DSI ignore une partie des outils réellement utilisés. LastPass répond par des dossiers partagés, une console d’administration, des stratégies imposées aux utilisateurs et, sur l’offre la plus haute, un inventaire des applications SaaS et IA consultées par les équipes. Si votre besoin se limite à transmettre ponctuellement un accès, notre guide pour partager des identifiants de façon sécurisée détaille les autres méthodes.
Fonctionnement et prise en main
LastPass chiffre les données sur l’appareil, en AES-256, avec une clé dérivée du mot de passe maître que l’éditeur dit ne jamais connaître ni stocker. Concrètement, le coffre se consulte depuis une extension (Chrome, Firefox, Safari, Edge, Opera), une application de bureau pour Windows et macOS, ou les applications iOS et Android. La page de téléchargement propose aussi des installeurs universels qui posent d’un coup les extensions et l’application de bureau, pratique pour équiper un parc de postes.
Le tableau de bord de sécurité sert de point de départ : il calcule un score, signale les mots de passe faibles, réutilisés ou trop anciens, et suit les adresses e-mail sur le dark web. Le coffre accepte aussi les clés d’accès ; si la notion vous est étrangère, notre article sur les passkeys explique pourquoi elles remplacent peu à peu le mot de passe.
Côté administrateur, la console est organisée en menus Utilisateurs, Applications, Stratégies, Rapports et Avancé. L’accueil propose un parcours d’adoption en trois étapes et un score de sécurité de l’organisation. L’API Enterprise, documentée dans le centre d’aide et accessible depuis la console, permet de créer ou désactiver des comptes et de récupérer des rapports, avec une collection Postman fournie par l’éditeur.
Cas d’usage par profil
- Particulier sur plusieurs appareils : Premium est le minimum utile, car la formule gratuite oblige à choisir entre ordinateur et mobile.
- Famille : Families regroupe six comptes et un tableau de bord où le gestionnaire invite les membres et partage des dossiers (codes Wi-Fi, abonnements, documents).
- Petite équipe ou startup : Teams couvre jusqu’à 50 personnes avec dossiers partagés et 25 stratégies, sans SSO ni groupes.
- PME structurée : Business ajoute groupes, intégration d’annuaire, connexion fédérée et SIEM, avec un SSO plafonné à trois applications.
- DSI qui veut maîtriser le shadow IT : Business Max repère les applications SaaS et les outils d’IA utilisés sans validation, alerte quand un identifiant fragile est employé et filtre la navigation par catégorie.
Ce que l’éditeur a communiqué sur ses incidents de sécurité
Impossible de choisir LastPass sans connaître son historique, tel que l’éditeur l’a lui-même publié sur son blog. En août 2022, un compte de développeur compromis a donné accès à l’environnement de développement : une partie du code source et de la documentation technique a été copiée, sans données clients selon LastPass. En décembre 2022, l’éditeur a annoncé que les informations volées avaient servi à atteindre un stockage cloud de sauvegardes : des données de compte (noms, adresses e-mail et de facturation, téléphones, adresses IP) et des copies de coffres ont été dérobées. Les champs sensibles de ces coffres (identifiants, mots de passe, notes) restaient chiffrés, mais certaines données comme les adresses des sites ne l’étaient pas.
Dans sa mise à jour de mars 2023, LastPass attribue l’attaque à une faille dans un logiciel tiers, et non à un défaut de ses produits. Il a fait intervenir Mandiant, reconstruit l’environnement de développement, renouvelé secrets et certificats et publié des recommandations distinctes pour les particuliers et les entreprises : les utilisateurs dont le mot de passe maître ne respectait pas les règles par défaut étaient invités à changer les mots de passe stockés. En juin 2026, l’éditeur a encore signalé un incident chez Klue, un prestataire relié à son CRM : des coordonnées professionnelles et des données commerciales ont été exposées, sans impact sur les coffres d’après LastPass.
LastPass face à Bitwarden, 1Password et Dashlane
Face à Bitwarden, LastPass n’a ni code ouvert ni auto-hébergement, et sa formule gratuite est nettement plus restrictive ; il se distingue en revanche par des prix affichés en euros, une console pensée pour les PME et la surveillance SaaS et IA. 1Password s’adresse surtout aux équipes techniques et aux entreprises attentives à l’ergonomie, tandis que Dashlane joue lui aussi la carte du particulier et de la PME avec une interface très guidée. LastPass se place entre les deux : une offre familiale complète et une montée en gamme vers la gestion des accès, plutôt que le seul coffre-fort. Pour comparer l’ensemble du marché, notre sélection des meilleurs logiciels de gestion de mots de passe passe en revue les alternatives.
Limites à connaître
Toutes les formules payantes sont facturées à l’année, sans option mensuelle, et la TVA s’ajoute à la commande. Le VPN de la formule Plus ne fonctionne pour l’instant que sous Windows. L’assistance passe par un portail réservé aux abonnés, sans téléphone ni chat d’assistance affichés, et la formule Free n’a droit qu’aux ressources en libre-service. Enfin, l’API Enterprise demande un peu de développement de votre côté et ne gère pas les groupes des applications SSO préconfigurées.
Quelle formule choisir
Seul et sur plusieurs appareils, prenez Premium ; à partir de deux personnes dans le foyer, Families revient moins cher par tête. En entreprise, Teams suffit tant que vous restez sous 50 utilisateurs et que vous n’avez pas besoin de SSO. Dès qu’un annuaire Microsoft Entra ou Okta pilote vos comptes, Business devient le bon niveau, et Business Max se justifie si vous voulez savoir quelles applications et quels outils d’IA vos équipes utilisent réellement. Profitez des 14 jours d’essai Business, sans carte bancaire, pour mesurer l’adoption dans la console avant de vous engager pour un an.