Windows stocke les mots de passe à plusieurs endroits distincts selon leur nature : compte local, compte Microsoft, identifiants réseau ou mots de passe enregistrés dans un navigateur. Chaque type suit un mécanisme de stockage différent, avec ses propres outils de consultation. Localiser précisément où se trouvent les mots de passe sur Windows suppose de comprendre ces distinctions.
Base SAM : le fichier système des comptes locaux Windows
Les mots de passe des comptes locaux (ceux créés directement sur la machine, sans lien avec un compte Microsoft) sont conservés dans la base de données Security Accounts Manager (SAM). Ce fichier se situe physiquement sur le lecteur C:, dans le répertoire C:\Windows\System32\config.
A voir aussi : Pourquoi enlever ses données mobiles ?
Le fichier SAM ne peut pas être ouvert ni copié tant que Windows est en cours d’exécution. Le système verrouille l’accès pour empêcher toute lecture directe. Les mots de passe qui y figurent ne sont jamais stockés en clair : Windows les conserve sous forme de valeurs hachées, c’est-à-dire transformées par un algorithme cryptographique irréversible.
Concrètement, même en accédant au fichier SAM (par exemple depuis un autre système d’exploitation), on n’obtient pas le mot de passe lui-même mais son empreinte numérique. Cette conception rend la récupération directe d’un mot de passe local impossible sans outils spécialisés de force brute ou de dictionnaire.
A lire également : La vidéosurveillance peut-elle être visionnée à distance ?
Gestionnaire d’identifiants Windows : consulter les mots de passe enregistrés
Le Gestionnaire d’identifiants est l’outil intégré à Windows 10 et Windows 11 pour stocker et afficher les identifiants de connexion que le système a mémorisés. Il regroupe deux catégories distinctes.
Identifiants web
Cette section contient les mots de passe enregistrés via Microsoft Edge ou Internet Explorer. Chaque entrée affiche l’adresse du site, le nom d’utilisateur et un bouton « Afficher » qui demande une vérification d’identité (mot de passe administrateur ou code PIN) avant de révéler le mot de passe en clair.
Identifiants Windows
On y trouve les identifiants utilisés pour se connecter à des ressources réseau : partages de fichiers, serveurs distants, connexions Bureau à distance. Un point à retenir : les mots de passe réseau ne sont généralement pas affichables depuis cette interface. Windows peut stocker l’entrée, mais ne permet pas d’en révéler le secret. En cas d’oubli, la seule option est de réinitialiser le mot de passe côté serveur, puis de supprimer l’ancienne entrée dans le Gestionnaire.
Accéder au Gestionnaire d’identifiants
Deux chemins possibles :
- Par le Panneau de configuration : sélectionnez « Comptes d’utilisateurs », puis « Gestionnaire d’identifiants »
- Par l’invite de commande : tapez
rundll32.exe keymgr.dll,KRShowKeyMgrpour ouvrir directement la fenêtre de gestion des identifiants réseau stockés - Par la recherche Windows : tapez « Gestionnaire d’identifiants » dans la barre de recherche du menu Démarrer
Mots de passe dans les navigateurs : Chrome, Edge, Firefox
Les mots de passe enregistrés dans un navigateur ne sont pas gérés par le Gestionnaire d’identifiants Windows (sauf pour Edge dans sa version historique). Chaque navigateur dispose de son propre coffre-fort.
Dans Google Chrome, les mots de passe enregistrés se consultent via Paramètres > Gestionnaire de mots de passe Google. Chrome chiffre ces données localement et demande le mot de passe Windows ou la biométrie avant d’afficher un mot de passe en clair.
Firefox utilise un système indépendant de Windows. Les identifiants sont accessibles dans Paramètres > Vie privée et sécurité > Identifiants enregistrés. Firefox propose en plus un mot de passe principal facultatif, qui ajoute une couche de protection propre au navigateur.
Edge (version Chromium) synchronise les mots de passe avec le compte Microsoft si la synchronisation est activée. Ils restent consultables dans Paramètres > Profils > Mots de passe, avec la même vérification d’identité que Chrome.
Passkeys et PIN Windows Hello : ce qui n’est pas un mot de passe
Windows 11 introduit une distinction nette entre mots de passe et passkeys. Une passkey n’est pas un mot de passe récupérable. Elle repose sur une paire de clés cryptographiques : la clé privée reste sur l’appareil, déverrouillée localement par Windows Hello (code PIN, empreinte digitale ou reconnaissance faciale).
Le PIN Windows Hello lui-même n’est pas le mot de passe du compte Microsoft. Il ne quitte jamais la machine et ne fonctionne que sur l’appareil où il a été configuré. Chercher son « mot de passe Windows » dans les paramètres après avoir configuré un PIN ne mènera nulle part : ce sont deux mécanismes séparés.
Windows 11 24H2 ajoute un réglage spécifique dans Paramètres > Confidentialité et sécurité > Accès aux clés d’accès. Ce panneau permet d’autoriser ou de bloquer les navigateurs et applications qui souhaitent utiliser les passkeys enregistrées sur l’appareil. Si un gestionnaire de mots de passe tiers compatible est installé, il devient possible de stocker ses passkeys dans ce gestionnaire plutôt que dans Windows Hello.
Registre Windows : un emplacement technique à manipuler avec prudence
L’Éditeur de registre (regedit) contient des références aux comptes et à certains paramètres d’authentification, notamment dans la clé HKEY_LOCAL_MACHINE\SAM. Par défaut, cette branche est inaccessible même avec un compte administrateur.
Modifier des valeurs dans le registre ne permet pas de « voir » un mot de passe. Les données y sont hachées, tout comme dans le fichier SAM. L’Éditeur de registre sert surtout à des opérations de dépannage avancé, comme forcer l’activation de la connexion automatique (clé Winlogon), une pratique déconseillée sur un poste partagé.
- La clé
HKLM\SAM\SAMest verrouillée par défaut, même pour l’administrateur - La modification du registre peut rendre le système instable si une valeur est mal configurée
- Aucun mot de passe en clair n’apparaît dans le registre : seules des empreintes hachées y figurent
Le stockage des mots de passe sur Windows repose sur un principe constant : aucun mot de passe n’est conservé en texte lisible par le système. La base SAM hache les comptes locaux, le Gestionnaire d’identifiants chiffre les identifiants web, et les navigateurs appliquent leur propre couche de protection. Pour retrouver un mot de passe oublié, la réinitialisation reste presque toujours la voie la plus directe, plutôt que la recherche du mot de passe lui-même dans les fichiers système.
