Export par certificat

Export par certificat • LockPass

Présentation de l'export par certificat

L'export par certificat permet d'exporter les mots de passe LockPass dans un fichier CSV chiffré avec votre clé publique (certificat X.509 au format PEM).

Le fichier est déchiffré puis rechiffré directement dans votre navigateur : à aucun moment les mots de passe ou le fichier CSV ne transitent en clair par nos serveurs. Un export intercepté ne peut pas être lu sans la clé privée correspondante, qui ne quitte jamais votre ordinateur.

Le fichier produit est au format PKCS7/S-MIME et se déchiffre avec openssl, de la même manière qu'en v3 : vos outils et scripts existants restent compatibles.

Qui peut réaliser un export par certificat ?

Seuls les utilisateurs non aveugles disposant de l'un des rôles suivants peuvent réaliser un export par certificat, depuis l'interface web ou via l'API :

  • Super Admin
  • Administrateur
  • Modérateur : un e-mail de notification est automatiquement envoyé à l'administrateur à chaque export.

Les gestionnaires de catégories et les utilisateurs simples n'ont pas accès à cette fonctionnalité.

 

Préparer votre certificat

Avant votre premier export, vous devez disposer d'une paire certificat + clé privée :

  • le certificat (.pem) contient la clé publique : c'est lui que vous déposez dans LockPass ;
  • la clé privée (.key) reste sur votre ordinateur et sert à ouvrir les exports. LockSelf n'y a jamais accès.

Vous pouvez générer cette paire avec openssl, par exemple :

openssl req -x509 -newkey rsa:4096 -nodes -days 730 -keyout example.com.key -out example.com.pem -subj "/CN=example.com"

La durée de validité du certificat est fixée par vous lors de sa création (ici 2 ans). LockPass n'impose pas de durée, mais un certificat déjà expiré est refusé au moment du dépôt.

Conservez précieusement votre fichier .key : sans lui, vos exports ne pourront pas être ouverts.

 

Exporter depuis l'interface web

Pour réaliser un export par certificat :

  1. Allez dans Paramètres > Mots de passe > Export.
  2. Cliquez sur "Par certificat".
  3. Dans la fenêtre qui s'ouvre, collez votre clé publique au format PEM. Si un certificat a déjà été enregistré, il est pré-affiché : vous pouvez le conserver ou le modifier.
  4. Validez le certificat et confirmez l'export.
  5. Saisissez le code de vérification reçu sur votre adresse e-mail.
  6. Le fichier chiffré est téléchargé automatiquement.

Le code de vérification est valable pour un seul export : un nouveau code est demandé à chaque export.

 

Exporter via l'API

Les administrateurs et modérateurs disposant d'un accès API peuvent également réaliser un export par certificat, par exemple pour automatiser des exports réguliers (quotidiens, scriptés…).

  • Authentifiez-vous avec votre accès API habituel.
  • Appelez l'endpoint d'export en fournissant votre clé publique.

Aucun code de vérification par e-mail n'est demandé : l'authentification API constitue le mécanisme de sécurité. Un export réalisé par un modérateur déclenche, là aussi, une notification à l'administrateur.

Si vous gérez vous-même le chiffrement après avoir récupéré et déchiffré les données en local, vous pouvez chiffrer le fichier au même format avec :

openssl smime -encrypt -aes-256-cbc -in NOM-DU-FICHIER.csv -out NOM-DU-FICHIER.csv.enc -outform DER votre-cert-public.pem

 

Déchiffrer votre export

Pour ouvrir le fichier exporté, utilisez openssl avec votre clé privée :

openssl smime -decrypt -in NOM-DU-FICHIER.csv.enc -inkey CHEMIN/VERS/example.com.key -out export-global.csv

Vous obtenez un fichier CSV lisible contenant vos mots de passe. Pensez à le supprimer une fois utilisé.

 

Questions fréquentes

Dois-je déposer mon certificat à chaque export ?

Non. Le certificat ne se dépose qu'une seule fois : il reste enregistré et LockPass le repropose automatiquement à chaque export. Vous pouvez le modifier à tout moment.

Si je supprime les fichiers .pem et .key de mon ordinateur, le certificat reste-t-il valide ?

Oui. LockPass n'a pas accès aux fichiers de votre ordinateur : les prochains exports seront toujours chiffrés avec le certificat enregistré. En revanche :

  • supprimer le .pem ne change rien, c'est une copie de ce qui est déjà déposé dans LockPass ;
  • supprimer le .key rend définitivement impossible l'ouverture des exports, passés comme futurs. Personne ne peut les récupérer, LockSelf non plus.

Pour vous le représenter : le certificat est un cadenas ouvert que vous confiez à LockPass pour fermer l'export, et la clé privée est la seule clé capable d'ouvrir ce cadenas.

J'ai perdu ma clé privée (.key), que faire ?

  1. Supprimez le certificat enregistré dans LockPass (icône corbeille à l'étape du certificat).
  2. Générez une nouvelle paire certificat + clé privée.
  3. Déposez le nouveau certificat lors de votre prochain export.

Les exports réalisés avec l'ancien certificat resteront illisibles.

Mise à jour