Dans un effort de recentrage sur ses produits principaux, Dropbox annonce que son gestionnaire de mots de passe sera bientôt déconnecté.
Le calendrier présenté est assez serré. Le 28 août, Dropbox Passwords passera ainsi en lecture seule, que ce soit pour l’application mobile ou l’extension de navigateur. Il sera donc toujours possible d’utiliser le service, mais pas d’y ajouter de nouvelles données. Ensuite, le 11 septembre, l’application mobile cessera de fonctionner. Enfin, le 28 octobre, ce sera au tour de l’extension de navigateur. À compter de cette date, Dropbox Passwords ne pourra plus être utilisé.
L’éditeur indique qu’à la même date, toutes les données des clients « seront supprimées de manière permanente et sécurisée » de ses serveurs. La fonction de surveillance du dark web sera également coupée. Elle était notamment utilisée pour envoyer des notifications quand des identifiants étaient repérés dans des jeux de données.
Il est conseillé par l’entreprise d’exporter ses données vers un autre gestionnaire de mots de passe, via un fichier CSV, avant le 28 octobre. La marche à suivre est indiquée dans l’annonce.
Commentaires (55)
Abonnez-vous pour prendre part au débat
Déjà abonné ? Se connecter
Cet article est en accès libre, mais il est le fruit du travail d'une rédaction qui ne travaille que pour ses lecteurs, sur un média sans pub et sans tracker. Soutenez le journalisme tech de qualité en vous abonnant.
Accédez en illimité aux articles
Profitez d’un média expert et unique
Intégrez la communauté et prenez part aux débats
Partagez des articles premium à vos contacts
Abonnez-vousLe 30/07/2025 à 11h23
Le 30/07/2025 à 14h07
Le 30/07/2025 à 15h37
Y’a peut être que 5, 10 ou 100 utilisateurs dans le tas sur des milliers qui ne seront pas devant leur ordinateur jusqu’à fin novembre car en voyage, ou dans le coma, ou dans un pays en guerre sans connexion ou …
Mais pour ces quelques utilisateurs la sentence sera la perte de TOUS leurs accès à TOUS leurs comptes en ligne. C’est violent.
Le minimum serait de gérer la fermeture sur plus longtemps, avec un monitoring de qui exporte ses données ou pas et pourquoi pas d’envoyer un backup par mail aux personnes qui n’ont rien exporté le jour de la fermeture.
Le 30/07/2025 à 15h47
Le 30/07/2025 à 22h37
Mais en système principal je suis d'accord, c'est donner le bâton pour se faire battre.
Déjà je comprends pas de prendre un service tiers pour un truc aussi sensible que la gestion des mdps. Il y a tellement d'outils qui tournent en local et sont faciles à synchroniser !
Le 31/07/2025 à 07h37
Et potentiellement, si c'est si rapide, ça peu aussi être pour des raisons autres, comme la sécurité.
Le 07/08/2025 à 10h10
Le seul truc utile à sauvegarder c'est le mot de passe mail, (et surtout s'assurer qu'il soit accessible sans MFA le jour où ton smartphone est HS par ex) tout le reste de mon point de vue est jetable...
Le 30/07/2025 à 23h00
Le 31/07/2025 à 07h42
Et si tu ne vois pas passer les 3 mails de relance et que tu utilises que l'extension depuis 6 mois ? Bah ça ne changera pas grand chose.
Euh ils ont prévenus, si toi tu ne fais pas ta part parce que tu ne lis pas où mal tes mails, c'est plus leur faute.
Le 31/07/2025 à 08h43
Pour moi, le souci, c'est de désactiver le service et EN MÊME TEMPS de tput supprimer. La désactivation du service, c'est quelque chose qui se voit forcément : ça peut servir de signal d'alarme pour les personnes qui n'ont pas vus passer la communication.
Après, peut-être que tous les clients logiciels du service (dont l'extension l'extension) affichent un gros message immancable, ce qui règle aussi le problème.
Pour un service aussi central, supprimer définitivement toutes les données sans assurer le coup me semble un brin bourrin. ^^
Le 31/07/2025 à 09h25
En voila du violent.... :)
Modifié le 30/07/2025 à 11h30
j'aurais eu envie de dire "bien fait", si j'étais un tant soit peu méchant, ou juste lucide
Modifié le 30/07/2025 à 12h00
Le 30/07/2025 à 12h05
Le 30/07/2025 à 13h55
Par contre j'en cherche un qui puisse comme dropbox m'uploader automatiquement les photos prises sur les smartphones.
Le 30/07/2025 à 15h08
Modifié le 30/07/2025 à 15h10
m…e grillé, j'tape pas assez vite
Le 30/07/2025 à 18h09
Le 30/07/2025 à 21h15
Y a écrit "modifié à 15h10".
Le poste qui l'a 'grillé' a été posté à 15h08.
C'est cohérent.
Ils ont posté à peu près en même temps, chacun, un message initial à 15h08 (éventuellement 15h09 pour 8j7uf95z3) puis le 2e poste a été édité à 15h10 pour signifier qu'il avait été devancé.
Le 30/07/2025 à 22h35
Modifié le 30/07/2025 à 15h12
Le 30/07/2025 à 23h41
Bon du coup je déplace mon drive de dropbox à mon Syno... en même temps l'abonnement expire dans 2 mois, ca me laisse le temps de tout bien verifier :)
Le 31/07/2025 à 10h00
Le 30/07/2025 à 13h26
ça fonctionne extrèmement bien pour ce que je fais et c'est très rapide
Le 30/07/2025 à 13h32
Sur la période j'ai eu deux opérations de maintenance qui ont duré plus longtemps qu'anticipé sinon aucun problème.
Et le prix est tout à fait compétitif.
Modifié le 30/07/2025 à 16h29
Et il gère aussi les photos faites sur le smartphone.
Le 30/07/2025 à 12h13
Ouf, toujours pas d'arrêt de service pour mon fichier keepassxc
Le 30/07/2025 à 13h31
J'ajoute aussi les problèmes d'intégration avec Snap sous Ubuntu c'est casse pied pour M Tout le monde.
Modifié le 30/07/2025 à 13h36
C'est plutôt sur smartphone où l'intégration est une plaie (le MagicKeyboard qu'il faut à chaque fois aller chercher), mais là je pense que c'est plus lié à l'ergonomie de merde de ces systèmes.
Le 30/07/2025 à 14h17
Mais clairement, c'est pas aussi simple, c'est contraignant, et pas plus sûr. Juste une question de choix ! Personnelement, j'ai arrêté et je suis parti sur la simplicité.
Un Bitwarden n'est pas près de disparaitre, c'est juste un choix bizarre de mettre ses MDP dans un gestionnaire Dropbox, tout comme je ne les mettrais pas chez un cozycloud, un ProtonPass ou n'importe qu'elle suite qui n'est pas dédiée.
Le 30/07/2025 à 14h34
Mais comme tous mes jeux tournent maintenant très bien sous linux, je vais abandonner windows et passer sur Mint et à la version linux d'eset. Je vais donc perdre le gestionnaire de mot de passe et le firewall logiciel ( pour lui pas grave maintenant que j'ai un firewall matériel
Modifié le 30/07/2025 à 14h58
J'ai vraiment pour principe de pouvoir me contenter du contenu de ma tête pour mes accès. Le gros problème pour moi c'est surtout les branleurs de RSSI de banques qui obligent à un PIN: A croire qu'ils sont incapables de comprendre qu'on n'est pas limité au clavier d'un DAB sur son PC/smartphone. En prime, à longueur donnée, bonjour la réduction de combinaisons de 10 chiffres vs alphabet complet (minuscules et majuscules)+chiffres+caractères spéciaux usuels (qu'on aura via tout type de clavier, au moins 20).
On va dire un rapport (26*2+10+20)^8/10^8 pour typiquement 8 caractères imposés (car ils imposent aussi la longueur, qui ne fait pas partie de l'inconnue!). Ça fait un rapport de ~2M au bénéfice mot de passe vs PIN!!!
Avec un tel système, pas étonnant qu'ils imposent la double authentification... On est en plein dans la sécurité-spectacle (et business).
Le 30/07/2025 à 21h30
Modifié le 31/07/2025 à 08h07
Après si on est vraiment une cible suffisamment VIP pour que quelqu'un fasse tout le boulot pour nous attaquer personnellement, c'est qu'il y a une bonne raison et je pense qu'on la connaît et qu'on doit alors prendre des précautions particulières dans ce domaine. Mais personne ne va se bouger comme ça pour un mec lambda.
Et comme il l'a dit, on peut avoir plusieurs stratégies suivant la sensibilité du compte. Parce qu'honnêtement, pour 90 à 95% des comptes on n'en a rien à fiche de la sécurité car il n'y a aucun intérêt à les pirater. On s'en tape que quelqu'un puisse commander sur un site à notre place, ou toute autre opération ne pouvant apporter aucun intérêt à l'attaquant. Avant encore ça servait à éviter de pouvoir accéder aux données personnelles stockées sur le compte, mais maintenant que les pirates se servent directement dans les bases, le mot de passe ne les protège plus.
Et pour les comptes qui ont des stratégies inutilement contraignantes (règles de contenu du mot de passe non standard, changements fréquents avec blocage des précédents, nombre d'essais ridiculement bas), et qu'on n'utilise pas trop souvent, on peut carrément laisser tomber le mot de passe et faire "mot de passe oublié" à chaque fois. Je ne sais pas si les admins ont des stats sur l'utilisation de cette fonction mais il y a des sites où elle doit être très élevée.
Le 30/07/2025 à 21h56
Tu noteras que les "branleurs de RSSI de banques" imposent en général la saisie du PIN avec la souris, et pas le clavier. Il y a une raison à cela : éviter les keylogger. De plus, le nombre de tentative est très restreint avant blocage du compte. Et avec la double authentification, ce n'est vraiment plus un problème.
A noter aussi que dans pas mal de banque (pas toutes toutefois), l'identifiant est un numéro qui n'est pas forcément le numéro de compte, et qui est choisi par la banque. Et cet identifiant, s'il n'est pas secret comme peut l'être un mot de passe, il n'en reste pas moins "confidentiel".
Au passage, cette pratique sur les codes courts couplés avec un identifiant confidentiel faisaient partie des recommandations de la CNIL et de l'ANSSI jusqu'à assez récemment, au même titre que de forcer le renouvellement des mots de passe. Les deux pratiques ont été retirées (la première, parce que pas suffisamment sécurisée, la seconde, car les mots de passe avaient tendance à être marquée sur un post-it sur le bord de l'écran ou sous le clavier, affaiblissant ainsi l'utilité du changement).
La double authentification est une obligation européenne. Mais bon...
Le 31/07/2025 à 00h06
Le 31/07/2025 à 08h05
Le truc, c'est que les keylogger c'est très simple à mettre en oeuvre au sein d'un OS. Car la fonctionnalité sur laquelle ils reposent est une fonctionnalité détournée qui peut être utilisée à des fins tout à fait légitimes (contrôle parental, raccourci, des outils comme TextExpander, etc.), et que la "charge virale" pour le réaliser est vraiment minuscule.
Bien que non précisé dans mon commentaire initial, c'était effectivement l'idée derrière, pour pallier la faiblesse du code PIN par rapport à un mot de passe. Merci de la précision ;)
Le 31/07/2025 à 01h15
La raison principale que je vois à ça, c'est d'être sûr de bien exposer ton code à tout le monde quand tu es sur un écran 30 pouces. Alors qu'au clavier, ce serait limite trop discret, pas assez de prise de risque. Il faut vivre dangereusement !
Le 31/07/2025 à 08h04
Le 31/07/2025 à 08h02
J'ai bien conscience du pb pour avoir utilisé des outils de bruteforce moi même. C'est pourquoi 1 invariant par type d'accès.
Maintenant comme dit par ailleurs la bonne pratique c'est de stocker un hash.
Idem pour le coup du clavier virtuel ce n'est pas une protection valable vs perte de combinaisons... qui amène double auth et on en revient a m'imposer ce que je m'efforce d'éviter : avoir besoin de plus que le contenu de ma tête.
Si l'Europe impose des emplatres sur jambe de bois de pin code c'est juste légiférer l'obligation a être con.
Un pin code n'a rien a foutre pour tout ce qui a un clavier complet.
Modifié le 31/07/2025 à 08h35
S'il est vrai que la bonne pratique c'est de stocker un hash, on le vois bien que cette bonne pratique n'est, encore en 2025, pas suivi partout. Et ça, on ne peut rien y faire en tant qu'utilisateur, car c'est difficile de le savoir. Donc des mots de passe en clair, oui, il y en a...
Le seul cas où on peut savoir avec certitude que le mot de passe n'est pas haché, c'est si le mot de passe est renvoyé par e-mail en cas d'oublie.
Merci de ne pas inverser les choses non plus. Ce n'est pas l'usage d'un code PIN qui a induit la mise en place de la double authentification, c'est la double authentification qui a permis l'usage du code PIN. C'est quand même différent.
Précision : l'Europe n'impose pas le code PIN. L'Europe impose l'authentification multifactorielle.
[edit] Un petit rajout : l'usage d'un code PIN empêche aussi un utilisateur à réutiliser le même mot de passe qu'ailleurs. En cas de fuite de mot de passe d'une base de données tiers, les risques sont ainsi grandement limités. Car oui, la réutilisation d'un mot de passe est un énorme fléau, aujourd'hui encore.
Le 31/07/2025 à 16h42
Qui a entraîné quoi entre PIN et double-auth, sincèrement cela ne change rien à l'affaire: Un PIN n'est juste pas raisonnable (vs jeu de caractères complet+règles de complexité suffisantes), sans double auth. Donc intuitivement je disais que le manque d'entropie de l'un a entraîné la nécessité de l'autre mais vu que tout ceci nage en pleine absurdité cela pourrait en effet être l'inverse!
C'est tout le pb d'essayer de raisonner logiquement face à des gens qui ne savent visiblement même pas ce que ce mot veut dire (je parles pas de toi, mais des branleurs de RSSI bancaires et du législateur gérontocrate agonisant dont ils ont fatalement à un moment tenu la main).
Pour ma part, afin d'éviter de tomber dans les classiques types dates de naissance j'essaie au moins de baser mes PIN sur des motifs... ce que les claviers virtuels ordonnés au pif rendent également difficile si on n'a pas un clavier numérique a côté pour se remémorer via le motif la suite de chiffres à entrer!
Et comme il est impossible de faire des variantes fonction du service ou de se rappeler quel motif correspond à quoi (1ère lettre écrite en mode afficheur à segment? Trop facile!)... eh bien fatalement si côté mots de passe j'ai une stratégie qui assure l'unicité/ségrégation (selon la criticité des accès) pour les PIN ce n'est pas le cas: A l'impossible nul n'est tenu...
Le 31/07/2025 à 21h07
Franchement, cette volonté de cracher sur les RSSI bancaires terni tout ton discours. Tu peux ne pas être d'accord avec la politique qu'ils ont choisi. J'ai essayé de t'expliquer que c'était pas forcément déconnant. Après on est d'accord, pas d'accord, chacun est libre de son choix.
Maintenant, et si tout n'est pas parfait dans le monde bancaire, ils ont quand même une bonne robustesse et ils ont d'ailleurs tout intérêt, puisqu'à défaut de pouvoir prouver la négligence de leurs clients, ils sont tenus pour responsable et doivent rembourser tout paiement indus (en tout cas, en France).
Et le fait que la très grande majorité des banques utilisent un système plus ou moins analogue n'est pas non plus anodin, et tend à montrer que le système n'a pas été mis en place par le premier branquignol venu et que si les différents acteurs du domaine ont convergé vers un système similaire, c'est qu'il doit y avoir une raison.
De plus, ton histoire de motif créé un faux sentiment de sécurité car ne te protège absolument pas contre une attaque qui serait ciblée contre toi, ou même une attaque qui recouperait tout simplement plusieurs bases de données qui auraient fuité.
Modifié le 31/07/2025 à 23h09
Aussi, le bancaire n'a jamais visé une sécurité infaillible mais un taux de fraude contrôlé et soutenable, qu'ils arrivent à conserver depuis des décennies. On râle souvent sur les boîtes qui n'ont pas anticipé les conséquences de tel ou tel piratage, au niveau bancaire il n'y a jamais de piratage d'ampleur.
Si vous voulez du monétaire sécurisé entièrement par la technique, il y a les cryptos. Et quand ça se passe pas comme prévu, ça pardonne pas, c'est instantané et souvent tout disparaît (l'argent, les clients et le projet). Ne voyez ici qu'une constatation et non un jugement pour l'un ou l'autre.
Modifié le 04/08/2025 à 08h27
Le bancaire vise surtout à maintenir un niveau de fraude assurable... sachant que c'est eux qui vendent les assurances incluses dans les frais de gestion de compte!
Bref, on en reste à des PIN qui n'ont jamais eu de sens que sur un clavier numérique seul et limités à des DAB pour cartes avec des plafonds de paiement qui limitaient l'impact pour le client.
On a juste parfois (pas le cas des applis de double auth) été au delà des 4 chiffres, sachant pourtant parfaitement qu'il en avait été ainsi pour les cartes de paiement car les études d'alors avaient démontré qu'au delà les gens retenaient mal les suites de chiffres (ici en prime non choisies/sans pouvoir les raccrocher à rien, cf le nb d'années de naissance ou chiffres de mois/jour utilisés par au moins 80% des gens quand on ne leur impose rien) et faisaient bcp trop d'erreurs.
Depuis des décennies, les mots de passe sont le fondement des accès informatiques et on a juste accru les règles de complexité (taille, présence d'un nb de chiffres+caractères spéciaux). Si le bancaire fait son original en réduisant d'un facteur 2M (et on multiplie par 72 à chaque caractère ajouté au delà des 8 d'un PIN d'accès bancaire) les combinaisons c'est car il gagne de l'argent sur la fraude en plus de ruiner les stratégies de mémorisation du client (à part fdorin, qui doit bosser dans une banque?).
C'est la seule explication logique, si on élude la bétise et les habitudes historiques liés aux claviers de DAB/terminaux de paiement.
Maintenant, c'est sûr, on peut utiliser le type d'outil object de l'article: Mais on perds le côté suffisant d'avoir juste sa tête avec soi et il faut avoir confiance, cf:
Modifié le 01/08/2025 à 08h46
Bin je ne vais pas dire merci, non plus, au fait de ruiner mes stratégies pour un truc totalement stupide, moins robuste et qui ramène 30 ans en arrière sur tout ce a un clavier alphanumérique et non numérique seul.
Que tout le secteur fasse pareil n'est pas un critère invalidant mon constat (ratio de combinaisons d'au moins 2M, en se limitant aux 8 chiffres et sans possibilité réaliste d'imposer au delà car plus personne ne retiendra, contrairement à un MdP): Se retrouver à mettre le même PIN car la limitation des symboles utilisables limite de facto toute stratégie de mémorisation/différentiation, c'est vraiment naze. Là aucun recoupement à faire et qq bases à choper et leurs hashs à craquer. Et comme l'appli de double auth réclame aussi un PIN, on en revient à un code d'accès unique.
A la limite, la double auth obligatoire pourquoi pas même si je trouve regrettable d'imposer d'avoir un smartphone. Mais pour l'accès primaire que ces ânes dégagent ces PIN totalement crétins!
Le 01/08/2025 à 08h56
C'est d'autant plus paradoxale de dénoncer les limites du PIN (sans contextualisation comme vous le faite), et de l'autre côté d'utiliser une pratique pas du tout sécurisée qui abaisse drastiquement le niveau de sécurité de vos mots de passe à un niveau encore moindre qu'un PIN...
Fin de discussion.
Modifié le 01/08/2025 à 16h22
D'une je ne pense pas être le seul que cette connerie à rapport 2 millions (au moins) indispose car les gens avec qui j'ai eu l'occasion de discuter avouent assez vite qu'ils en sont à devoir utiliser quasi systématiquement la procédure de réinit quand ils veulent accéder à leurs comptes en ligne... et ont, de guerre lasse, en général dû arrêter de regarder leurs comptes d'un PC (limitant cet usage à des trucs plus lourd genre gestion contrats/épargne) alors que c'était pourtant plus confortable pour lire des tableaux, devant se taper cela sur le smartphone via l'appli de la banque... qui débloque généralement l'accès d'un PIN à cette fois seulement 4 chiffres (mais limite d'essais forte, qd même, qui ramène à la sécurité d'un code CB datant des années 80 mais les possibilités de nuire sont alors très supérieures à un plafond de paiement CB) et sans double auth, puisque c'est leur appli à eux hyper sûre (tournant dans l'immense majorité des cas sur un os mobile à l'abandon depuis des mois/années)!
=> En résumé on nage (avant de couler) dans le n'importe quoi complet et il ne faut pas avoir bcp de bon sens pour soutenir l'inverse.
Le 01/08/2025 à 17h08
Fin de discussion.
Le 30/07/2025 à 18h10
Le 30/07/2025 à 18h32
Dès l'ouverture du service, je ne croyais pas que c'était fait pour durer.
Le 31/07/2025 à 14h25
Le 31/07/2025 à 18h17
Le 31/07/2025 à 18h38
Le 31/07/2025 à 21h03
Signaler un commentaire
Voulez-vous vraiment signaler ce commentaire ?