KeePass dure depuis 2003, ecrit par Dominik Reichl, et son modele ne a pas bouge en vingt ans : tous les comptes vont dans une seule base de donnees, le tas est ferme par une cle principale, et une personne ne doit retenir que celle la. La version 2.61.1 est sortie le 1 mai 2026, et sa liste de changements est presque entierement faite de corrections.

Un fichier, une cle principale

Ouvrir la base veut dire taper la cle principale une fois, et les comptes, mots de passe, adresses et notes dedans sortent tous. La base entiere est chiffree, pas seulement les champs de mots de passe : noms de utilisateurs, notes et pieces jointes tiennent aussi dans le texte chiffre. Le algorithme se choisit entre AES, ChaCha20 et Twofish, trois anciens solides et maintes fois analyses.

La cle principale ne sert pas directement de cle de chiffrement. Ses parties sont d abord melangees par SHA-256, puis passees dans une fonction qui derive des cles, AES-KDF ou Argon2. Le but de cette etape est de ralentir la devinette : chaque essai coute une quantite reglable de calcul et de temps, ce qui releve le prix de une attaque par dictionnaire ou de un balayage en force. Pendant que le programme tourne, les mots de passe restent chiffres en memoire aussi, donc un processus ecrit sur le disque ne les renverse pas.

Deux lignes de version cote a cote

La ligne 2.x est la principale, ecrite en .NET ; la 1.x est une branche plus ancienne encore entretenue, arretee a 1.43. Le registre des sorties sur le site est dense : 2.61.1 le 1 mai 2026, 2.61 le 4 mars 2026, 2.60 le 2 novembre 2025, 2.59 le 9 juillet 2025. Ce ne est pas le rythme de une grande poussee, plutot le nettoyage regulier des problemes accumules.

Ce que 2.61 et 2.61.1 ont chacune remue

2.61 penchait vers la surface et le raccordement. La fenetre de recherche a gagne un commutateur pour tenir compte des signes sur les lettres, eteint par defaut, donc la recherche les ignore sauf demande. Si la verification des mises a jour au demarrage est active, elle court maintenant sans attendre avant que la base ne souvre, et quand elle arrive pendant que la demande de cle principale est encore la, un bandeau signale la nouvelle version. Le generateur de mots de passe a usage unique avait plusieurs coins rudes qui ont ete corriges : coller un secret partage avec un decodage Base16, Base32 ou Base64 avale maintenant les blancs de lui meme, et des boutons copient le code courant dans le presse papiers. Le plus de mouvement fut dans la synchronisation : amener la base courante vers un fichier ou une adresse prend maintenant plusieurs cibles a la fois, les declencheurs ont gagne muet en cas de erreur et continuer en cas de erreur, et quand le dernier pas de une synchronisation ecrit un fichier local, les donnees ecrites sont copiees vers les autres fichiers concernes au lieu de etre reassemblees. Une mauvaise cle principale a le export permet desormais de recommencer, comme le fait le ouverture de la base.

2.61.1 est une pure liste de corrections : le focus au retour du bureau sur, le option toujours devant qui prend effet des la premiere fois, le demarrage de la visionneuse HTML, moins de scintillement dans la fenetre de impression, montrer les donnees vides active par defaut, et une liberation plus rapide des touches de modification quand XDoTool fait la saisie sur les systemes Unix. Les operations de fichier qui demandaient une adresse alors que le fichier sous jacent manquait ne levent plus de erreur.

La saisie automatique est le morceau celebre

Ce que elle fait est simple : elle simule des frappes dans la fenetre au premier plan. La suite par defaut est {USERNAME}{TAB}{PASSWORD}{ENTER}, donc le nom, une pression sur Tab, le mot de passe, puis la touche de envoi. Les noms entre accolades sont des places et se rangent dans tout ordre.

Chaque entree se regle pour elle meme : une suite par defaut dans la fenetre de la entree, plus des groupes de correspondances entre titre de fenetre et suite. Deux pages de connexion pour la meme adresse, ou une page qui veut une case cochee avant, se distinguent par cette correspondance. Il y a aussi un tour appele brouillage a deux canaux, qui repartit les frappes sur deux canaux entrelaces, si bien que le logiciel qui enregistre le clavier ne recoit jamais la suite complete. Fermer la surface et passer au bureau sur se font en chemin aussi.

Generateur et synchronisation

Le generateur travaille de deux facons : prendre des caracteres au hasard dans un ensemble, ou en construire un selon un modele. L auteur recommande la premiere et laisse la seconde aux cas ou une regle doit etre respectee. Longueur, majuscules et minuscules, chiffres et signes se reglent, et plusieurs profils peuvent coexister pour que des comptes differents aient des formes differentes, avec un profil par defaut pour les nouvelles entrees.

La synchronisation repond au cas ou la meme base a ete modifiee un peu sur plusieurs machines. Apres la fusion, les deux fichiers concernes sont ecrits dans le etat fusionne, au lieu que un ecrase le autre. Disque local, partage de reseau, FTP, HTTP et WebDAV ne demandent aucun greffon ; SCP, SFTP et FTPS veulent une extension de protocole installee ; les bases posees dans un stockage en nuage ont en general un chemin deja pret. La base elle meme ne approche jamais un serveur de l auteur.

A propos de cette connexion au reseau

Les reponses officielles portent une question a elles : pourquoi se connecte t il au reseau. Il y a exactement une source, la verification facultative des mises a jour au demarrage. Quand elle est activee, le programme telecharge un petit fichier de informations de version, le compare a la version locale et ne signale une mise a jour que si une plus recente existe. Aucune donnee personnelle ne monte, et rien ne se telecharge ni ne installe tout seul. Le premier demarrage demande si il faut activer cette verification, et la page avancee des reglages peut la couper a tout moment. Donc la formule exacte est celle ci : le contenu de la base et le travail dessus restent locaux, et le reseau ne est touche que par cette unique verification, qui se ferme.

Systemes, portabilite et greffons

La ligne 2.x prend en charge Windows 7, 8, 10 et 11, et tourne sur Linux, macOS et BSD par Mono ; x86, x64 et ARM64 ont chacun une version native. La version portable en paquet tourne des que elle est ouverte, ecrit ses reglages dans le dossier du programme et nulle part ailleurs dans le systeme, ce qui explique que la cle USB soit la facon ordinaire de le porter.

Il y a aussi une couche de greffons, et des taches comme le import et le export ou la sauvegarde de la base viennent surtout de le exterieur, avec une section a part sur le site officiel qui liste les facultatifs. La licence est ouverte et reconnue par le OSI, le code est public, et le site dit la chose nettement : chacun peut aller voir si les fonctions de securite sont correctement mises en oeuvre.

Le idee derriere KeePass ne a jamais bouge : pas de hebergement, pas de synchronisation vers le serveur de quelqu un autre, pas de garde de la cle principale. Le prix est que la synchronisation reste votre souci et que une cle principale oubliee est une porte fermee ; ce qui revient est que le endroit de la base et qui peut y toucher relevent de votre decision.