Prise en main de l'extension navigateur

VaultKeepR pour le navigateur est un gestionnaire de mots de passe local-first. Votre coffre est chiffré sur votre appareil avec XChaCha20-Poly1305 et Argon2id, puis synchronisé sous forme de blob chiffré via IPFS. Aucun compte, aucun e-mail : votre identité est une signature de portefeuille gérée sur votre appareil. Ce guide couvre l’installation, la création du coffre et les fonctionnalités du quotidien.

Installer l’extension

Chrome et les autres navigateurs Chromium : Installer VaultKeepR sur Chrome.

Après l’installation, épinglez l’icône VaultKeepR dans votre barre d’outils. L’icône ouvre le popup, qui est l’interface principale de l’extension.

Créer votre coffre

Cliquez sur l’icône VaultKeepR. Si aucun coffre n’existe encore, l’écran Créer un coffre s’affiche.
Choisissez un mot de passe maître. Il dérive votre clé de chiffrement avec Argon2id sur votre appareil et ne quitte jamais celui-ci : il est donc irrécupérable, faites-le long et conservez-le en lieu sûr.
Enregistrez éventuellement une passkey (WebAuthn). Elle permet de déverrouiller avec votre empreinte, votre visage ou une clé de sécurité, et l’extension PRF sert à protéger le mot de passe maître localement.
Aucune adresse e-mail ni aucun identifiant n’est jamais demandé.

Une visite guidée vous présente ensuite le popup : l’en-tête avec recherche, ajout et réglages ; la liste des entrées ; le panneau de détail ; et la barre de navigation en bas.

Déverrouiller et verrouillage automatique

Saisissez votre mot de passe maître (ou utilisez la passkey) pour déverrouiller. Coffre ouvert, les entrées déchiffrées ne vivent que dans le stockage de session du navigateur et sont effacées au verrouillage ou au redémarrage du service worker. Le verrouillage automatique se déclenche après un délai configurable, réglable dans les paramètres du popup.

Remplir un formulaire de connexion

Placez le curseur dans le champ identifiant ou mot de passe d’une page de connexion. VaultKeepR détecte le formulaire et ouvre un overlay de sélection ancré au champ, listant les identifiants correspondant au site courant. Cliquez sur l’un d’eux pour remplir.
Si l’entrée possède un secret TOTP, une mini-fenêtre 2FA apparaît après le remplissage : elle affiche le code à 6 chiffres courant, un compte à rebours circulaire jusqu’au prochain code, ainsi que les boutons Remplir et Copier. Le secret TOTP ne quitte jamais le script d’arrière-plan ; la page ne reçoit que le code éphémère.
Si le coffre est verrouillé, un floater « Coffre verrouillé » s’affiche à la place. Déverrouillez depuis le popup, puis recliquez dans le champ.
Les connexions en plusieurs étapes sont prises en charge : sur des sites comme Google, l’identifiant choisi sur la première page est proposé sur la suivante.
Les overlays se ferment automatiquement sur la touche Échap, au défilement (après un court délai de grâce), quand l’onglet perd le focus visuel, et après 15 à 30 secondes.

Enregistrer et mettre à jour des identifiants

Lorsque vous validez un formulaire de connexion, une invite d’enregistrement apparaît en haut à droite :

Enregistrer stocke les nouveaux identifiants dans votre coffre et affiche un toast de confirmation.
Si les identifiants correspondent à une entrée existante, l’invite affiche Mettre à jour à la place, afin que vous confirmiez le changement après une réinitialisation de mot de passe.
Générer remplit le champ mot de passe avec un mot de passe généré de 20 caractères avant la validation.
Fermer l’invite, cliquer à l’extérieur ou la laisser expirer (30 secondes) reprend la soumission normale du formulaire : vous n’êtes jamais bloqué.

Formulaires d’inscription, de changement de mot de passe et d’identité

Sur un formulaire d’inscription, l’overlay propose de remplir tous les champs mot de passe avec un mot de passe généré, ou, en fonction Premium, de créer un alias e-mail et de remplir à la fois l’alias et le mot de passe.
Sur une page de changement de mot de passe (plusieurs champs mot de passe, aucun champ identifiant), l’overlay peut générer un nouveau mot de passe, remplir le mot de passe actuel depuis votre coffre, ou remplir depuis une entrée correspondante.
Sur les formulaires d’identité ou d’adresse, un overlay d’identité remplit vos informations personnelles enregistrées (prénom, nom, e-mail). Sur les formulaires de carte, un overlay liste vos cartes bancaires enregistrées avec leur logo de réseau ; le CVV reste protégé.

Actions au clic droit

Faites un clic droit dans n’importe quel champ d’une page pour trouver deux entrées du menu contextuel : Remplissage automatique ouvre la sélection d’identifiants pour le site courant, et Générer un mot de passe insère un mot de passe fort dans le champ.

Générateur, TOTP et outils de santé

Ouvrez le popup et utilisez les outils de l’en-tête :

Générateur : crée des mots de passe avec longueur et symboles configurables, et un indicateur de robustesse (basé sur zxcvbn).
Panneau TOTP (Premium) : vos codes 2FA à côté de vos mots de passe, en permanence.
Santé des mots de passe : signale les identifiants faibles, réutilisés ou anciens.
Scanner de fuites : vérifie les mots de passe contre l’API Pwned Passwords de HaveIBeenPwned en k-anonymat. Seuls les cinq premiers caractères du hash SHA-1 calculé localement sont envoyés ; le hash complet et le mot de passe ne sont pas envoyés. La comparaison avec les suffixes retournés se fait sur l’appareil. L’analyse de vos adresses e-mail contre les bases de fuites passe par leakcheck.io et exige votre consentement explicite avant la première analyse.

Synchronisation via IPFS

Le panneau du coffre dans le popup gère la réplication chiffrée vers IPFS. Aucun compte cloud n’est requis et l’extension fonctionne hors ligne ; la synchronisation reprend au retour du réseau. Votre mot de passe maître ne quitte jamais votre appareil : personne ne peut lire votre coffre. La récupération après perte d’appareil s’appuie sur un partage de secret Shamir 3-sur-5.

Protection anti-phishing et analyse des CGU

VaultKeepR embarque une blocklist de domaines locale (données MetaMask eth-phishing-detect, mises à jour à chaque version) qu’il combine à une correspondance floue sur les noms d’hôte et à des heuristiques de page. Si un champ de connexion est activé sur un domaine suspect, un bandeau d’alerte phishing s’affiche et l’overlay d’autofill est bloqué ; les domaines signalés sont aussi bloqués localement via des règles declarativeNetRequest, empêchant le chargement de la page.
Lorsque vous consultez les pages légales d’un site, un modèle d’IA exécuté sur l’appareil résume les CGU et la politique de confidentialité, puis affiche un petit bandeau sur le risque de partage de données et la difficulté de suppression de compte. L’analyse tourne localement dans un document offscreen ; aucun contenu de page n’est envoyé à un serveur.

La sécurité au quotidien

Copier un mot de passe efface automatiquement le presse-papiers après un court délai.
Les entrées déchiffrées ne touchent jamais le stockage local persistant ; seul le blob chiffré y figure.
Exportez votre coffre à tout moment depuis les outils, en CSV ou en JSON, sans dépendance au fournisseur.

Pour aller plus loin

Synchronisation et récupération pour le détail de la réplication IPFS et de la récupération Shamir.
Passkeys et compte intelligent pour le modèle d’identité derrière VaultKeepR.
Modèle de menace pour comprendre ce que la conception zero-knowledge protège.