À de nombreux endroits dans KeePass (la saisie automatique, le champ d'adresse (URL), les déclencheurs, etc.), des paramètres substituables peuvent être utilisés.

• Les paramètres substituables de champ d'entrée
• Les références de champ d'entrée
• Les paramètres substituables des chemins et date/heure
• Les variables d'environnement
• Les transformations de texte
• Les autres paramètres substituables

Les paramètres substituables ne sont pas sensibles à la casse.

KeePass utilise l'abréviation "Spr" pour "String placeholder replacement" ("le remplacement du paramètre substituable par une chaîne"). Un champ compilé par Spr est un champ où les paramètres substituables sont remplacés quand on effectue une action avec ce champ (par exemple : comme la copie vers le presse-papiers, l'envoyer en utilisant la saisie automatique, etc.).

Les références dans un champ vers (les parties du) le champ lui-même ne sont pas prises en charge. Par exemple : le paramètre substituable {URL:HOST} ne peut pas être utilisé dans le champ d'adresse (URL) (mais il peut être utilisé dans le champ 'Remplacer l'adresse (URL - par exemple : pour utiliser un navigateur spécifique) :'.

Les paramètres substituables sont similaires aux variables d'environnement, mais ils ne fonctionnent seulement que dans KeePass (par exemple : il y a un paramètre substituable {APPDIR}, qui est remplacé par le chemin du répertoire de l'application.

Les paramètres substituables de champ d'entrée

Des chaînes personnalisées peuvent être référencées en utilisant {S:Nom}. Par exemple : si vous avez une chaîne personnalisée nommée "Courriel", alors vous pouvez utiliser le paramètre substituable {S:Courriel}.

Un exemple pour les paramètres substituables {URL:...} se trouve ci-dessous.

Les références de champ d'entrée

Les champs d'autres entrées peuvent être insérés en utilisant des références de champ.

Les paramètres substituables des chemins et date/heure

Microsoft Edge. Il n'existe aucun paramètre substituable pour Edge, car Edge est une application qui ne peut pas être démarrée comme une application Windows standard. Pour ouvrir une adresse (URL) en utilisant Edge, préfixez l'adresse (URL) avec 'microsoft-edge:'. Par exemple : pour ouvrir l'adresse https://keepass.info/ en utilisant Edge, utilisez l'adresse (URL) microsoft-edge:https://keepass.info/.

Les variables d'environnement

Les variables d'environnement système sont prises en charge. Le nom de la variable doit être entouré par le caractère '%'. Par exemple : %TEMP% est remplacé par le chemin temporaire de l'utilisateur.

Les transformations de texte

{T-REPLACE-RX:/Text/Recherche/Remplace/} – Remplacer à l'aide d'une expression régulière :
Ce paramètre substituable recherche l'expression régulière Recherche dans Texte et remplace toutes les correspondances par Remplace.

Tous les paramètres sont compilés par Spr, c'est-à-dire que des paramètres substituables peuvent être utilisés en leur sein.

Le premier caractère après le premier ':' spécifie le caractère séparateur. Tout caractère excepté '}' peut être utilisé comme caractère séparateur. Il ne doit pas apparaître dans les paramètres. Par exemple : {T-REPLACE-RX:/A/B/C/} et {T-REPLACE-RX:!A!B!C!} sont équivalents. Le dernier caractère séparateur (avant le '}') est requis.

Exemple d'utilisation : laissez le champ du nom de l'utilisateur contenir l'adresse de messagerie électronique 'monnom@exemple.com' et le champ de l'adresse (URL) '{T-REPLACE-RX:!{USERNAME}!.*@(.*)!https://$1!}'. Quand on exécute le champ Adresse (URL), KeePass ouvre 'https://exemple.com'.

{T-CONV:/Texte/Type/} – Convertir :
Ce paramètre substituable convertit Text en Type.

Tous les paramètres sont compilés par Spr, c'est-à-dire que les paramètres substituables peuvent être utilisés en leur sein.

Les types pris en charge sont :

• Upper ou U:
  Majuscule.
• Lower ou L:
  Minuscule.
  Exemple : laissez le nom d'utilisateur d'une entrée être 'Bob' et l'adresse (URL) 'https://exemple.com/?user={T-CONV:/{USERNAME}/L/}'. Quand on exécute l'adresse (URL), KeePass ouvre 'https://exemple.com/?user=bob'.
• Base64:
  Le codage Base64 de la représentation UTF-8 du texte.
• Hex:
  Le codage hexadécimal de la représentation UTF-8 du texte.
• Uri:
  La représentation URI-escaped du texte.
• Uri-Dec:
  La représentation URI-unescaped du texte.
• Raw:
  Spr compile Texte sans encoder le résultat pour le contexte actuel.
  Exemple : Laissons le nom d'utilisateur d'une entrée être '+'. La séquence de saisie automatique '{USERNAME}a' donne pour résultat dans le texte '+a', tandis que la séquence de saisie automatique '{T-CONV:/{USERNAME}/Raw/}a' donne pour résultat dans le texte 'A' (parce que ce paramètre substituable insère '+' dans la séquence de saisie automatique sans l'encoder, et que '+a' signifie appuyer sur Maj+A, qui donne pour résultat dans le texte 'A').

Le paramètre substituable {T-CONV:...} avec le type 'Raw' ne fonctionne habituellement qu'avec la séquence de saisie automatique, et pas avec les champs de donnée. Ceci pourrait changer dans le futur.

Les autres paramètres substituables

{PICKCHARS} – Choisir des caractères :

Le paramètre substituable {PICKCHARS} affiche une boîte de dialogue, dans laquelle vous pouvez sélectionner des caractères d'une chaîne d'entrée (par exemple : le mot de passe) à certaines positions.

{PICKCHARS} sans aucun paramètre vous permet de sélectionner une quantité arbitraire de caractères depuis le mot de passe de l'entrée. Une chaîne d'entrée différente peut être spécifiée en ajoutant ':' et le nom du champ ; c'est-à-dire {PICKCHARS:UserName}. Les noms des champs standards sont Title, UserName (sans espace), Password, URL et Notes. Une chaîne d'entrée personnalisée peut être référencée par son nom (sans le préfixe S:).

De plus, le paramètre substituable prend en charge diverses options (facultatives ! ). Les options sont ajoutées après le nom du champ, séparées par ':'. Si vous souhaitez spécifier plusieurs options, alors les séparer par une virgule ','. Les options sont des paires clé-valeur, séparées par '='. Les options suivantes sont prises en charge :

• ID: spécifie un ID alphanumérique pour le paramètre substituable (cf. ci-dessous).
• C ou Count: spécifie le nombre de caractères à sélectionner dans la chaîne. Quand suffisamment de caractères ont été choisis, la boîte de dialogue se ferme automatiquement (c'est-à-dire que vous n'avez plus besoin de cliquer manuellement sur [OK]).
• Hide: s'il est positionné à False (Faux), les caractères choisis dans la boîte de dialogue sont affichés par défaut en texte brut, c'est-à-dire non masqués par des astérisques. Par défaut, KeePass utilise le paramétrage de masquage des mots de passe dans la fenêtre principale.
• Conv: Spécifie comment convertir les caractères sélectionnés. Quand le paramètre est omis, aucune conversion n'est accomplie, c'est-à-dire que les caractères sélectionnés sont directement saisis automatiquement. L'option prend en charge les valeurs suivantes :
• D: Convertit les caractères sélectionnés en touches fléchées vers le bas ; par exemple '2', 'c' et 'C' sont convertis en deux touches fléchées vers le bas.
  
  Un nombre fixe de touches fléchées vers le bas peut être ajouté en les spécifiant à l'aide de l'option Conv-Offset. Par exemple : si vous spécifiez Conv=D, Conv-Offset=1, alors '2', 'c' et 'C' sont convertis en 3 touches fléchées vers le bas.
  
  En utilisant l'option Conv-Fmt, vous pouvez spécifier la disposition des comboboxes. Par défaut, KeePass suppose qu'une combobox contient les valeurs de 0 à 9 ou de A à Z. Si la combobox contient les valeurs 0-9A-Z (c'est-à-dire tout d'abord les dix chiffres, immédiatement suivis par tous les caractères de A à Z), alors spécifiez Conv=D, Conv-Fmt=0A. Similairement, s'il contient les valeurs A-Z0-9, alors spécifiez Conv=D, Conv-Fmt=A0. Si les chiffres commencent à 1 au lieu de 0 (c'est-à-dire que le 0 apparaît après le 9), alors utilisez 1A et A1 au lieu de 0A et A0. Si la combobox contient les valeurs 0-9A-Za-z (c'est-à-dire les caractères sensibles à la casse), alors spécifiez 0Aa. Toutes les combinaisons de '0', 'A', 'a' et '?' sont prises en charge. Si 'A' et 'a' ne sont pas tous les deux spécifiés à la fois, alors les caractères sont traités comme insensibles à la casse. '?' ignore un élément de combobox.

Si vous souhaitez afficher la boîte de dialogue de sélection de caractères plusieurs fois dans une même séquence, alors attribuez des ID différents aux paramètres substituables. Si un ID est spécifié plusieurs fois (ou si aucun ID n'est spécifié et que les paramètres substituables sont les mêmes), alors KeePass affiche la boîte de dialogue de sélection des caractères une fois et réutilise les caractères sélectionnés dans tous les paramètres substituables suivants avec le même ID.

Exemples d'utilisation :

{USERNAME}{TAB}{PICKCHARS:Password:C=5}{ENTER}
Tout d'abord, une boîte de dialogue s'affiche dans laquelle l'utilisateur peut choisir exactement 5 caractères depuis le mot de passe d'entrée. Ensuite, KeePass saisit le nom d'utilisateur dans la fenêtre cible, appuie sur Tabulation, tape les 5 caractères choisis et appuie sur Entrée.

{S:Memorable}{TAB}{PICKCHARS:Password:ID=1, C=1, Conv=D, Conv-Offset=1}{TAB}{PICKCHARS:Mot de passe:ID=2, C=1, Conv=D, Conv-Offset=1}{TAB}{PICKCHARS:Mot de passe:ID=3, C=1, Conv=D, Conv-Offset=1}{ENTER}
Tout d'abord, la boîte de dialogue de sélection de caractères s'affiche trois fois et chaque fois, l'utilisateur peut sélectionner exactement un caractère depuis le mot de passe d'entrée. Ensuite, le processus de saisie automatique démarre : KeePass saisit le contenu d'une chaîne d'entrée personnalisée nommée "Memorable" dans la fenêtre cible. Le focus est basculé sur le contrôle suivant en appuyant sur la touche Tabulation, et le premier caractère précédemment sélectionné est converti en touches fléchées vers le bas (avec une touche supplémentaire ; par exemple : un '1' est converti en deux touches fléchées vers le bas). Ceci est répété deux fois de plus avec les autres caractères sélectionnés, et enfin la touche Entrée est pressée.

Remarquez que cela ne revient pas à choisir trois caractères à la fois. Si vous utilisez {S:Memorable}{TAB}{PICKCHARS: Mot de passe: C = 3, Conv = D, Conv-Offset = 1}, toutes les touches fléchées vers le bas sont envoyées au même contrôle actuellement actif.

Dans certains navigateurs (par exemple : Opera), mettre le focus sur une combobox peut être lent. Si vous rencontrez des échecs de saisie automatique, envisagez de ralentir les changements de focus (par exemple : en ajoutant {DELAY 250} après chaque {TAB}, ou en ralentissant toute la séquence, par exemple en ajoutant {DELAY = 150}).

{NEWPASSWORD} et {NEWPASSWORD:/Profile/} – Génération de nouveaux mots de passe :
Le paramètre substituable {NEWPASSWORD} génère un nouveau mot de passe pour l'entrée actuelle, basé sur le profil de générateur 'Mots de passe générés automatiquement pour les nouvelles entrées'.

Ce paramètre substituable est évalué seulement qu'une fois dans un processus de saisie automatique, c'est-à-dire pour une boîte de dialogue typique 'Ancien mot de passe' - 'Nouveau mot de passe' - 'Répéter nouveau mot de passe' vous pouvez utiliser {PASSWORD}{TAB}{NEWPASSWORD}{TAB}{NEWPASSWORD}{ENTER} comme séquence de saisie automatique.

Pour utiliser un profil de générateur de mot de passe différent, utilisez {NEWPASSWORD:/Profil/}, où Profil est le nom du profil. Si le profil spécifié est introuvable, le profil 'Mots de passe générés automatiquement pour les nouvelles entrées' est utilisé.

Lorsque vous spécifiez '~' comme nom du profil (c'est-à-dire lorsque vous utilisez le paramètre substituable {NEWPASSWORD:/~/}), KeePass dérive un profil du mot de passe de l'entrée actuelle. Non recommandé, car la qualité peut se dégrader.

{PASSWORD_ENC} – Chiffrement des mots de passe :
Le paramètre substituable {PASSWORD_ENC} est remplacé par le mot de passe de l'entrée actuelle sous forme chiffrée. Le mot de passe est chiffré à l'aide des credentials (les informations d'identification) de l'utilisateur courant Windows. Le mot de passe chiffré ne doit pas être enregistré et ne fonctionne que pour l'utilisateur courant.

Il est destiné à être utilisé conjointement avec le paramètre de ligne de commande -pw-enc (cf. la page du champ Adresse (URL) pour un exemple de définition d'une adresse - URL - pour ouvrir une base de données KeePass supplémentaire). Le paramètre substituable ne peut pas être utilisé pour transférer des mots de passe vers d'autres applications (à l'exception de KeePass), car les applications cibles ne savent pas comment déchiffrer les mots de passe chiffrés générés par {PASSWORD_ENC}.

{HMACOTP} – Génération de mots de passe à usage unique  basé sur HMAC:
Le paramètre substituable {HMACOTP} génère un mot de passe (OTP) à usage unique basé sur HMAC selon la RFC 4226.

Le secret partagé et les autres paramètres peuvent être spécifiés en utilisant les champs de chaîne d'entré (qui peuvent être ajoutés/éités dans la boîte de dialogue de l'intrée sur la page de l'onglet 'Avancé'):

• HmacOtp-Secret
  HmacOtp-Secret-Hex
  HmacOtp-Secret-Base32
  HmacOtp-Secret-Base64
  Au moins un de ces champs doit être présent, et sa valeur doit être mise vers le secret partagé dans l'encodage correspondant. Dans le premier cas ('HmacOtp-Secret'), l'encodage UTF-8 de la valeur est utilisé comme secret partagé.
• HmacOtp-Counter (automatique)
  Ce champ stocke la valeur du compteur dans sa représentation décimale. La valeur par défaut est 0. Quand le paramètre substituable {HMACOTP} est relplacé (c'est-à-dire quand on génère un mot de passe à usage unique), KeePass met à jour automatiquement la valeur du compteur.

{TIMEOTP} – En générant des mots de passe à usage unique basés sur le Temps :
Le paramètre substituable {TIMEOTP} génère un mot de passe (OTP) à usage unique selon la RFC 6238.

Le secret partagé et les autres paramètres peuvent être spécifiés en utilisant les champs de chaîne d'entrée suivants (qui peuvent être ajoutés/édités dans la boîte de dialogue sur la page de l'onglet 'Avancé') :

• TimeOtp-Secret
  TimeOtp-Secret-Hex
  TimeOtp-Secret-Base32 (plus commun)
  TimeOtp-Secret-Base64
  Au moins un de ces champs doit être présent, et sa valeur doit être positionnée au secret partatgé dans l'encodage correfspondant. Dans le premier cas ('TimeOtp-Secret'), l'encodage UTF-8 de la valeur est utilisé en tant que secret partagé. La plupart des services utilisent l'encodage Base32.
• TimeOtp-Length (optionnel)
  Spécifie la longueur du mot de passe à usage unique généré. La valeur par défaut est 6 ; le maximum est 8.
• TimeOtp-Period (optionnel)
  Spécifie l'écoulement du temps en secondes. La valeur par défaut est 30.
• TimeOtp-Algorithm (optionnel)
  Spécifie l'algorithme cryptographique utilisé pour la génération du mot de passe à usage unique. Les algorithmes suivant sont pris en charge :
• HMAC-SHA-1
• HMAC-SHA-256
• HMAC-SHA-512

La valeur par défaut est HMAC-SHA-1.

La date et le temps de votre système doivent être justes, sinon le service/serveur peut rejeter l'OTP généré.

Exemple d'utilisation : créez une nouvelle entrée, définissez son mot de passe sur le paramètre substituable {HMACOTP}, basculez vers l'onglet "Avancé", ajoutez une chaîne nommée 'HmacOtp-Secret' avec la valeur 12345678901234567890 et fermez la boîte de dialogue avec [OK]. Lorsque vous double-cliquez maintenant sur la cellule de mot de passe de l'entrée dans la liste des entrées de la fenêtre principale, un OTP est copié dans le presse-papiers. Lors de la saisie automatique, un OTP est envoyé comme mot de passe. À chaque fois que vous effectuez une telle action, KeePass met à jour la valeur du compteur. Avec le secrète ci-dessus et la valeur du compteur 0, les OTP suivants sont alors générés : 755224, 287082, 359152, 969429, 338314, etc. (d'autres OTP générés peuvent être trouvés dans l'exemple de la RFC 4226).

Les greffons : Il existe des greffons qui prennent en charge des OTP non normalisés (par exemple : Steam) et offre des fonctions supplémentaires relatifs aux OTP.
{URL:...} et {BASE:...} :
Le paramètre substituable {URL: ...} est remplacé par la partie spécifiée de l'adresse (URL) de l'entrée courante ; cela est généralement utile dans un remplacement d'adresse (URL) spécifique d'une entrée (défini dans l'onglet « Propriétés » de la boîte de dialogue d'entrée). Le paramètre substituable {BASE:...} est remplacé par la partie spécifiée de l'URL qui est remplacée ; ceci est généralement utile dans un remplacement d'URL global (défini dans 'Outils' → 'Options' → onglet 'Intégration' → bouton 'Les remplacements d'adresse (URL)...'), car aucun contexte d'entrée ne peut être disponible.

Exemple d'utilisation : Pour l'adresse (URL) de l'entrée https://identifiant:motdepasse@keepass.info:80/chemin/exemple.php?q=e&s=t, les paramètres substituables retournent les valeurs suivantes :

{BASE} prend en charge exactement les mêmes parties que {URL}.

{CMD:/LigneDeCommande/Options/} – Exécution d'une ligne de commande :
Le paramètre substituable {CMD:/LigneDeCommande/Options/} exécute la ligne de commande spécifiée.

Une ligne de commande se compose d'un chemin d'accès à un fichier exécutable ou à un document et à des paramètres de ligne de commande. Si le chemin contient des espaces, alors il doit être placé entre double quotes (").

Le caractère après le premier ':' spécifie le caractère séparateur. Il peut être choisi librement (sauf '{' et '}'), mais il ne doit pas apparaître dans la ligne de commande ni dans aucune des options. Par exemple : {CMD:/Notepad.exe/W=0/} et {CMD:!Notepad.exe!W=0!} sont équivalents. Le séparateur à la fin (avant le '}') est obligatoire.

Une option est une paire clé-valeur, séparée par '='. Plusieurs options doivent être séparées à l'aide de virgules ','.

Options :

• M : spécifie la méthode d'exécution/d'ouverture de l'exécutable/document.
  La valeur par défaut est S.
• S : utilisez le shell système (via ShellExecute). Avec cela, les fichiers exécutables sont exécutés et les documents sont ouverts à l'aide de leurs applications associées. Cependant, aucune entrée/sortie standarde n'est prise en charge.
• C: Exécutez un fichier exécutable (EXE ou COM, via CreateProcess) ; les documents ne sont pas pris en charge. L'entrée/sortie standard est prise en charge.
• O : spécifie ce qu'il faut faire avec la sortie standard de l'application exécutée.
  La valeur par défaut est 1.
• 0 : ignorer la sortie standard. Le paramètre substituable est remplacé par une chaîne vide.
• 1 : remplacez le paramètre substituable par la sortie standard.
• W : spécifie s'il faut attendre la fin de l'application exécutée.
  La valeur par défaut est 1.
• 0 : ne pas attendre.
• 1 : Attendre.
• WS : spécifie le style de fenêtre. Toutes les applications ne prennent pas en charge cette option.
  La valeur par défaut est N.
• N : Normal.
• H : Caché.
• Min : Minimisé.
• Max : Maximisé.
• V : spécifie le verbe (action à effectuer), par exemple 'Open' ('Ouvrir') ou 'Print' ('Imprimer'). Lorsque vous utilisez le verbe 'RunAs' ('Exécuter en tant que'), l'application est exécutée avec des droits administratifs (cela peut nécessiter une confirmation via la boîte de dialogue UAC).

Les caractères de nouvelle ligne à la fin de la sortie sont supprimés (de la même manière que les substitutions de commandes shell '$(...)' et '`...`').

Exemples d'utilisation :

• {CMD:/Notepad.exe/W=0/}
  Exécute le Bloc-notes et continue immédiatement.
• {CMD:/PowerShell.exe -Command "(Get-FileHash '%SYSTEMROOT%\Win.ini' -Algorithm SHA256).Hash"/M=C,WS=H/}
  Le paramètre substituable est remplacé par le hachage SHA-256 du fichier Win.ini de Windows.