Temps de lecture estimé : 9 minutes
Points clés à retenir
- L’icône œil du navigateur reste la méthode la plus sûre, avec confirmation biométrique
- L’inspecteur de code affiche un mot de passe en changeant type=password en type=text
- netsh wlan show profile révèle un mot de passe Wi-Fi enregistré sous Windows
- Un gestionnaire de mots de passe dédié évite définitivement le problème
- La CNIL recommande 12 caractères minimum avec 4 types de caractères différents
Pourquoi un mot de passe est masqué par des étoiles
Vous voulez voir un mot de passe derrière étoile parce que vous l’avez enregistré il y a des mois et que vous ne vous en souvenez plus. Rassurez-vous, dans la grande majorité des cas, la solution prend moins de deux minutes.
Le masquage n’est pas un caprice de designer. Le champ HTML utilisé pour saisir un mot de passe porte l’attribut type= »password », qui remplace chaque caractère tapé par un point ou une étoile à l’écran. Le navigateur, lui, continue de stocker la vraie valeur en mémoire.
La protection contre le regard indiscret
Ce masquage sert avant tout à empêcher le shoulder surfing, c’est-à-dire le fait qu’une personne à côté de vous. Dans un open space, un train, une bibliothèque. Lise votre mot de passe par-dessus votre épaule pendant que vous le tapez.
Quand j’étais en train de scaler la boîte, j’ai vu plusieurs collègues taper leurs identifiants professionnels en open space sans même y penser. Le masquage évite ce genre de fuite basique, mais il ne protège rien une fois que vous avez quitté votre poste sans le verrouiller.
Ce que le navigateur retient malgré le masquage
Le navigateur garde le mot de passe en clair dans son gestionnaire d’identifiants, chiffré au repos mais déchiffré à la volée dès que vous êtes connecté à votre profil. C’est cette mécanique qui permet de le récupérer légitimement, sans piratage ni logiciel exotique.
Afficher un mot de passe enregistré grâce à l’icône œil
La méthode la plus simple, et la plus sûre, consiste à passer par le gestionnaire de mots de passe intégré à votre navigateur. On va pas se mentir : c’est la voie à privilégier avant toute manipulation technique.
Chrome : gestionnaire de mots de passe et confirmation par code appareil
Dans Chrome, allez dans Paramètres puis Mots de passe et fiches d’autofill. Cliquez sur le site concerné, puis sur l’icône en forme d’œil à côté du champ masqué. Chrome vous demandera alors votre code de session Windows, votre Touch ID sur Mac, ou le déverrouillage biométrique de votre appareil avant d’afficher le mot de passe en clair.
Cette confirmation n’est pas un détail : elle garantit que seule la personne physiquement devant l’appareil déverrouillé peut voir le mot de passe, pas un script distant.
Firefox : identifiants enregistrés et affichage sécurisé
Firefox propose la même logique via about :logins, accessible depuis le menu ou en tapant directement cette adresse dans la barre. Sélectionnez le site, cliquez sur l’œil, et confirmez avec le mot de passe de votre session si Firefox le demande.
Edge et Safari : procédure équivalente
Edge suit le même schéma que Chrome, logique puisqu’il partage le même moteur Chromium — Paramètres, Profils, Mots de passe. Safari, sur Mac ou iPhone, passe par les Réglages système, section Mots de passe, avec une authentification Face ID ou Touch ID systématique avant affichage.
Révéler n’importe quel mot de passe avec l’inspecteur de code
Quand le champ ne propose pas d’icône œil — un formulaire de connexion mal conçu, un site tiers — l’inspecteur de code reste la solution technique la plus rapide. Ce que personne ne dit, c’est qu’elle doit rester réservée à VOS propres identifiants, sur VOTRE appareil.
La chaîne InfoTuto détaille en vidéo cette manipulation de l’inspecteur de code pour révéler un mot de passe caché derrière des astérisques.
Clic droit puis « Inspecter » sur le champ concerné
Faites un clic droit directement sur le champ où le mot de passe est masqué par des étoiles, puis choisissez Inspecter (ou Examiner l’élément). Le panneau de développement s’ouvre et met en surbrillance la ligne HTML correspondant au champ.
Remplacer l’attribut type= »password » par type= »text »
Dans cette ligne, repérez type= »password » et double-cliquez dessus pour l’éditer. Remplacez password par text, puis validez avec la touche Entrée. Le champ affiche instantanément le mot de passe en clair, sans avoir touché à une seule ligne de code réel du site.
Cette manipulation ne modifie rien côté serveur. Elle agit uniquement sur l’affichage local de votre navigateur, à l’instant T.
Limites : uniquement pour la session en cours
La bascule disparaît au moindre rafraîchissement de la page. Elle ne fonctionne d’ailleurs que si le mot de passe est déjà pré-rempli ou saisi dans le champ. Elle ne permet en aucun cas de deviner un mot de passe que vous ne connaissez pas.
Voir un mot de passe Wi-Fi caché derrière des étoiles sous Windows
Le cas du Wi-Fi est un peu différent : le mot de passe n’est pas dans un navigateur, mais stocké par le système d’exploitation lui-même.
Via les propriétés réseau et la case « Afficher les caractères »
Ouvrez les Paramètres réseau et Internet, cliquez sur votre réseau Wi-Fi connecté, puis sur Propriétés du réseau sans fil, onglet Sécurité. Cochez la case Afficher les caractères : le mot de passe apparaît en clair, sans manipulation technique particulière.
Via l’invite de commande avec netsh wlan show profile
Pour les utilisateurs plus à l’aise, l’invite de commande fait le même travail en une ligne. Ouvrez le terminal en administrateur et tapez netsh wlan show profile « nom_du_reseau » key=clear. La ligne Contenu de la clé affiche le mot de passe stocké par Windows.
Cas d’un routeur ou d’une box internet
Si vous n’avez jamais connecté cet appareil au réseau, le mot de passe Wi-Fi se trouve directement sur l’étiquette de la box, ou dans l’interface d’administration accessible via l’adresse IP du routeur (souvent 192.168.1.1), avec les identifiants admin par défaut du fabricant.
Extensions et logiciels pour afficher les mots de passe masqués
Il existe des outils tiers dédiés, mais j’ai testé, j’ai raté, voilà ce qui fonctionne vraiment : la plupart sont soit inutiles face aux méthodes natives, soit carrément risqués.
Extensions navigateur type « Show Password »
Des extensions comme Show Password ajoutent une icône œil sur tous les champs masqués d’une page, y compris ceux qui n’en proposent pas nativement. Elles sont pratiques mais demandent un accès complet aux pages visitées, ce qui pose une vraie question de confiance envers l’éditeur.
Logiciels dédiés comme Asterisk Password
Des logiciels Windows comme Asterisk Password Spy scannent les champs masqués actifs à l’écran et en révèlent le contenu. Ils datent d’une époque où peu de sites proposaient l’icône œil ; leur utilité a nettement diminué depuis.
Précautions avant d’installer un outil tiers
Le vrai sujet, c’est pas la technique, c’est la provenance de l’outil. Un logiciel censé « afficher des mots de passe cachés » est une cible de choix pour les éditeurs malveillants qui embarquent un infostealer dans l’installeur. Téléchargez uniquement depuis le site officiel de l’éditeur, jamais depuis un lien de forum ou une pub.
Que faire si le mot de passe reste introuvable
Si aucune des méthodes précédentes ne fonctionne — le mot de passe n’est enregistré nulle part, ou vous changez d’appareil. Inutile de s’acharner.
Utiliser la fonction « mot de passe oublié »
Le réflexe le plus simple reste le lien mot de passe oublié présent sur presque tous les formulaires de connexion. Il envoie un lien de réinitialisation par e-mail ou SMS, sans jamais révéler l’ancien mot de passe.
Réinitialiser via un compte administrateur ou en ligne
Pour un compte Windows local, un administrateur du même appareil peut réinitialiser votre mot de passe depuis le Panneau de configuration. Pour un compte Microsoft ou Google, la réinitialisation passe par leur portail en ligne dédié, avec vérification d’identité.
Recourir à un gestionnaire de mots de passe pour éviter le problème
Un gestionnaire de mots de passe dédié élimine purement et simplement ce problème : vous n’avez plus jamais besoin de retrouver un mot de passe oublié, il est stocké, synchronisé et rempli automatiquement partout.
Les risques liés à l’affichage d’un mot de passe caché
Ce que personne ne dit (et qui change tout) : ces méthodes fonctionnent aussi contre vous si votre appareil tombe entre de mauvaises mains.
Accès physique non autorisé à l’appareil
Sur un ordinateur partagé, un poste de travail non verrouillé ou un appareil volé, n’importe qui connaissant la manipulation de l’icône œil ou de l’inspecteur peut consulter tous vos mots de passe enregistrés en quelques clics. La confirmation biométrique de Chrome ou Firefox limite ce risque, mais seulement si votre session est verrouillée en votre absence.
Vol de session ou infection par malware/infostealer
Les infostealers sont des malwares spécialisés dans l’extraction des mots de passe stockés par les navigateurs. Le rapport Specops d’octobre 2025 recense plus d’un milliard d’identifiants volés par ce type de logiciel. Une étude Specops/Outpost24 de 2026 va plus loin : plus de 1,7 milliard de comptes compromis et 100 Go de journaux infostealers analysés entre février et mars 2026.
La base Specops Breached Password Protection dépasse désormais les 4 milliards de mots de passe uniques compromis. Ces chiffres montrent que le vrai danger n’est pas l’icône œil de votre navigateur, mais un poste infecté à votre insu.
Recommandations officielles (CNIL, ANSSI) pour limiter l’exposition
La CNIL recommande, depuis décembre 2025, un mot de passe d’au moins 12 caractères combinant 4 types de caractères différents. L’ANSSI conseille de son côté 12 à 14 caractères pour un compte utilisateur standard, et 20 caractères ou plus pour un compte administrateur.
Bonnes pratiques pour ne plus jamais perdre un mot de passe
Le bon sens entrepreneurial, c’est souvent aller à contre-courant : arrêter de chercher comment retrouver ses mots de passe, et plutôt changer la façon dont on les gère.
Longueur et complexité recommandées
Le NIST fixait historiquement un minimum de 8 caractères et un maximum de 64 dans sa recommandation SP 800-63B révisée en 2024. Depuis 2025, la nouvelle version SP 800-63B-4 pousse le seuil conseillé à 15 caractères, un chiffre repris par la CISA qui recommande désormais 16 caractères minimum.
Une étude Specops portant sur plus de 800 millions de mots de passe compromis montre que leur longueur moyenne reste inférieure à 12 caractères. Nuance importante : 31,1 millions de mots de passe piratés dans cette même étude dépassaient pourtant les 16 caractères. La longueur seule n’immunise donc pas contre une réutilisation ou une fuite de données.
Authentification biométrique et double authentification
Activez systématiquement la double authentification (2FA) sur vos comptes sensibles. Messagerie, banque, réseaux sociaux. Elle bloque l’essentiel des tentatives de connexion frauduleuse, même si votre mot de passe a fuité.
Gestionnaire de mots de passe dédié plutôt que stockage navigateur
Pour ma part, je conseille systématiquement un gestionnaire de mots de passe dédié, distinct du navigateur. Il chiffre vos identifiants avec un mot de passe maître unique, génère des combinaisons complexes automatiquement, et reste moins exposé qu’un stockage navigateur en cas d’infection du poste. C’est la seule vraie façon d’en finir avec la case voir mot de passe derrière étoile.
