À de nombreux endroits dans KeePass (la saisie automatique, le champ d'adresse (URL), les déclencheurs, etc.), des paramètres substituables peuvent être utilisés.

• Les paramètres substituables de champ d'entrée
• Les références de champ d'entrée
• Les paramètres substituables des chemins et date/heure
• Les variables d'environnement
• Les transformations de texte
• Les autres paramètres substituables

Les paramètres substituables ne sont pas sensibles à la casse.

KeePass utilise l'abréviation "Spr" pour "String placeholder replacement" ("le remplacement du paramètre substituable par une chaîne"). Un champ compilé par Spr est un champ où les paramètres substituables sont remplacés quand on effectue une action avec ce champ (par exemple : comme la copie vers le presse-papiers, l'envoyer en utilisant la saisie automatique, etc.).

Les références dans un champ vers (les parties du) le champ lui-même ne sont pas prises en charge. Par exemple : le paramètre substituable {URL:HOST} ne peut pas être utilisé dans le champ d'adresse (URL) (mais il peut être utilisé dans le champ 'Remplacer l'adresse (URL - par exemple : pour utiliser un navigateur spécifique) :'.

Les paramètres substituables sont similaires aux variables d'environnement, mais ils ne fonctionnent que dans KeePass (par exemple : il y a un paramètre substituable {APPDIR}, qui est remplacé par le chemin du répertoire de l'application).

Les paramètres substituables de champ d'entrée

Des chaînes personnalisées peuvent être référencées en utilisant {S:Nom}. Par exemple : si vous avez une chaîne personnalisée nommée "Courriel", alors vous pouvez utiliser le paramètre substituable {S:Courriel}.

Un exemple pour les paramètres substituables {URL:...} se trouve ci-dessous.

Les références de champ d'entrée

Les champs d'autres entrées peuvent être insérés en utilisant des références de champ.

Les paramètres substituables des chemins et date/heure

Les variables d'environnement

Les variables d'environnement système sont prises en charge. Le nom de la variable doit être entouré par le caractère '%'. Par exemple : %TEMP% est remplacé par le chemin temporaire de l'utilisateur.

Les transformations de texte

{T-REPLACE-RX:/Text/Recherche/Remplace/} – Remplacer à l'aide d'une expression régulière :
Ce paramètre substituable recherche l'expression régulière Recherche dans Texte et remplace toutes les correspondances par Remplace.

Tous les paramètres sont compilés par Spr, c'est-à-dire que des paramètres substituables peuvent être utilisés en leur sein.

Le premier caractère après le premier ':' spécifie le caractère séparateur. Tout caractère excepté '}' peut être utilisé comme caractère séparateur. Il ne doit pas apparaître dans les paramètres. Par exemple : {T-REPLACE-RX:/A/B/C/} et {T-REPLACE-RX:!A!B!C!} sont équivalents. Le dernier caractère séparateur (avant le '}') est requis.

Exemple d'utilisation : laissez le champ du nom de l'utilisateur contenir l'adresse de messagerie électronique 'monnom@exemple.com' et le champ de l'adresse (URL) '{T-REPLACE-RX:!{USERNAME}!.*@(.*)!https://$1!}'. Quand on exécute le champ Adresse (URL), KeePass ouvre 'https://exemple.com'.

{T-CONV:/Texte/Type/} – Convertir :
Ce paramètre substituable convertit Text en Type.

Tous les paramètres sont compilés par Spr, c'est-à-dire que les paramètres substituables peuvent être utilisés en leur sein.

Les types pris en charge sont :

• Upper ou U:
  Majuscule.
• Lower ou L:
  Minuscule.
  Exemple : laissez le nom d'utilisateur d'une entrée être 'Bob' et l'adresse (URL) 'https://exemple.com/?user={T-CONV:/{USERNAME}/L/}'. Quand on exécute l'adresse (URL), KeePass ouvre 'https://exemple.com/?user=bob'.
• Base64:
  Le codage Base64 de la représentation UTF-8 du texte.
• Hex:
  Le codage hexadécimal de la représentation UTF-8 du texte.
• Uri:
  La représentation URI-escaped du texte.
• Uri-Dec:
  La représentation URI-unescaped du texte.
• Raw:
  Spr compile Texte sans encoder le résultat pour le contexte actuel.
  Exemple : Laissons le nom d'utilisateur d'une entrée être '+'. La séquence de saisie automatique '{USERNAME}a' donne pour résultat dans le texte '+a', tandis que la séquence de saisie automatique '{T-CONV:/{USERNAME}/Raw/}a' donne pour résultat dans le texte 'A' (parce que ce paramètre substituable insère '+' dans la séquence de saisie automatique sans l'encoder, et que '+a' signifie appuyer sur Maj+A, qui donne pour résultat dans le texte 'A').

Le paramètre substituable {T-CONV:...} avec le type 'Raw' ne fonctionne habituellement qu'avec la séquence de saisie automatique, et pas avec les champs de donnée. Ceci pourrait changer dans le futur.

Les autres paramètres substituables

{PICKCHARS} – Choisir des caractères :

Le paramètre substituable {PICKCHARS} affiche une boîte de dialogue, dans laquelle vous pouvez sélectionner des caractères d'une chaîne d'entrée (par exemple : le mot de passe) à certaines positions.

{PICKCHARS} sans aucun paramètre vous permet de sélectionner une quantité arbitraire de caractères depuis le mot de passe de l'entrée. Une chaîne d'entrée différente peut être spécifiée en ajoutant ':' et le nom du champ ; c'est-à-dire {PICKCHARS:UserName}. Les noms des champs standards sont Title, UserName (sans espace), Password, URL et Notes. Une chaîne d'entrée personnalisée peut être référencée par son nom (sans le préfixe S:).

De plus, le paramètre substituable prend en charge diverses options (facultatives ! ). Les options sont ajoutées après le nom du champ, séparées par ':'. Si vous souhaitez spécifier plusieurs options, alors les séparer par une virgule ','. Les options sont des paires clé-valeur, séparées par '='. Les options suivantes sont prises en charge :

• ID: spécifie un ID alphanumérique pour le paramètre substituable (cf. ci-dessous).
• C ou Count: spécifie le nombre de caractères à sélectionner dans la chaîne. Quand suffisamment de caractères ont été choisis, la boîte de dialogue se ferme automatiquement (c'est-à-dire que vous n'avez plus besoin de cliquer manuellement sur [OK]).
• Hide: s'il est positionné à False (Faux), les caractères choisis dans la boîte de dialogue sont affichés par défaut en texte brut, c'est-à-dire non masqués par des astérisques. Par défaut, KeePass utilise le paramétrage de masquage des mots de passe dans la fenêtre principale.
• Conv: Spécifie comment convertir les caractères sélectionnés. Quand le paramètre est omis, aucune conversion n'est accomplie, c'est-à-dire que les caractères sélectionnés sont directement saisis automatiquement. L'option prend en charge les valeurs suivantes :
• D: Convertit les caractères sélectionnés en touches fléchées vers le bas ; par exemple '2', 'c' et 'C' sont convertis en deux touches fléchées vers le bas.
  
  Un nombre fixe de touches fléchées vers le bas peut être ajouté en les spécifiant à l'aide de l'option Conv-Offset. Par exemple : si vous spécifiez Conv=D, Conv-Offset=1, alors '2', 'c' et 'C' sont convertis en 3 touches fléchées vers le bas.
  
  En utilisant l'option Conv-Fmt, vous pouvez spécifier la disposition des comboboxes. Par défaut, KeePass suppose qu'une combobox contient les valeurs de 0 à 9 ou de A à Z. Si la combobox contient les valeurs 0-9A-Z (c'est-à-dire tout d'abord les dix chiffres, immédiatement suivis par tous les caractères de A à Z), alors spécifiez Conv=D, Conv-Fmt=0A. Similairement, s'il contient les valeurs A-Z0-9, alors spécifiez Conv=D, Conv-Fmt=A0. Si les chiffres commencent à 1 au lieu de 0 (c'est-à-dire que le 0 apparaît après le 9), alors utilisez 1A et A1 au lieu de 0A et A0. Si la combobox contient les valeurs 0-9A-Za-z (c'est-à-dire les caractères sensibles à la casse), alors spécifiez 0Aa. Toutes les combinaisons de '0', 'A', 'a' et '?' sont prises en charge. Si 'A' et 'a' ne sont pas tous les deux spécifiés à la fois, alors les caractères sont traités comme insensibles à la casse. '?' ignore un élément de combobox.

Si vous souhaitez afficher la boîte de dialogue de sélection de caractères plusieurs fois dans une même séquence, alors attribuez des ID différents aux paramètres substituables. Si un ID est spécifié plusieurs fois (ou si aucun ID n'est spécifié et que les paramètres substituables sont les mêmes), alors KeePass affiche la boîte de dialogue de sélection des caractères une fois et réutilise les caractères sélectionnés dans tous les paramètres substituables suivants avec le même ID.

Exemples d'utilisation :

{USERNAME}{TAB}{PICKCHARS:Password:C=5}{ENTER}
Tout d'abord, une boîte de dialogue s'affiche dans laquelle l'utilisateur peut choisir exactement 5 caractères depuis le mot de passe d'entrée. Ensuite, KeePass saisit le nom d'utilisateur dans la fenêtre cible, appuie sur Tabulation, tape les 5 caractères choisis et appuie sur Entrée.

{S:Memorable}{TAB}{PICKCHARS:Password:ID=1, C=1, Conv=D, Conv-Offset=1}{TAB}{PICKCHARS:Password:ID=2, C=1, Conv=D, Conv-Offset=1}{TAB}{PICKCHARS:Password:ID=3, C=1, Conv=D, Conv-Offset=1}{ENTER}
Tout d'abord, la boîte de dialogue de sélection de caractères s'affiche trois fois et chaque fois, l'utilisateur peut sélectionner exactement un caractère depuis le mot de passe d'entrée. Ensuite, le processus de saisie automatique démarre : KeePass saisit le contenu d'une chaîne d'entrée personnalisée nommée "Memorable" dans la fenêtre cible. Le focus est basculé sur le contrôle suivant en appuyant sur la touche Tabulation, et le premier caractère précédemment sélectionné est converti en touches fléchées vers le bas (avec une touche supplémentaire ; par exemple : un '1' est converti en deux touches fléchées vers le bas). Ceci est répété deux fois de plus avec les autres caractères sélectionnés, et enfin la touche Entrée est pressée.

Remarquez que cela ne revient pas à choisir trois caractères à la fois. Si vous utilisez {S:Memorable}{TAB}{PICKCHARS:Password: C = 3, Conv = D, Conv-Offset = 1}, toutes les touches fléchées vers le bas sont envoyées au même contrôle actuellement actif.

Dans certains navigateurs (par exemple : Opera), mettre le focus sur une combobox peut être lent. Si vous rencontrez des échecs de saisie automatique, envisagez de ralentir les changements de focus (par exemple : en ajoutant {DELAY 250} après chaque {TAB}, ou en ralentissant toute la séquence, par exemple en ajoutant {DELAY = 150}).

{NEWPASSWORD} et {NEWPASSWORD:/Profile/.../} – Génération de nouveaux mots de passe :
Le paramètre substituable {NEWPASSWORD} génère un nouveau mot de passe pour l'entrée actuelle, basé sur le profil de générateur 'Mots de passe générés automatiquement pour les nouvelles entrées'.

Ce paramètre substituable est évalué seulement qu'une fois dans un processus de saisie automatique, c'est-à-dire pour une boîte de dialogue typique 'Ancien mot de passe' - 'Nouveau mot de passe' - 'Répéter nouveau mot de passe', vous pouvez utiliser {PASSWORD}{TAB}{NEWPASSWORD}{TAB}{NEWPASSWORD}{ENTER} comme séquence de saisie automatique.

Pour utiliser un profil de générateur de mot de passe différent, utilisez {NEWPASSWORD:/Profil/}, où Profil est le nom du profil. Si le profil spécifié est introuvable, le profil 'Mots de passe générés automatiquement pour les nouvelles entrées' est utilisé.

• ~: Lorsque vous spécifiez '~' comme nom du profil (c'est-à-dire lorsque vous utilisez le paramètre substituable {NEWPASSWORD:/~/}), KeePass dérive un profil du mot de passe de l'entrée actuelle. Non recommandé, car la qualité peut se dégrader.
• #: Quano on spécifie '#' comme nom de profil, alors vous pouvez spécifier deux paramètres en plus : un modèle de chaîne de caractères et une option.
• R: Spécifie si réarranger/permuter les caractères aléatoirement du mot de passe généré.
  La valeur par défaut est 0.
• 0: Ne pas réarranger.
• 1: Réarranger.

Exemples :

• {NEWPASSWORD:/#/HH\-HH\-HH\-HH\-HH\-HH/}
  génère une adressse MAC.
• {NEWPASSWORD:/#/uldA{17}/R=1/}
  génère un mot de passe alphanumerique d'une longueur de 20 qui contient au moins une capitale, au moins une minuscule et au moins un chiffre (à des positions aléatoires).

Comme avec le paramètre substituable {NEWPASSWORD}, les paramètres substituables {NEWPASSWORD:/.../} sont évalués une seule fois (même quand différent profile/paramètres sont spécifiés).

{PASSWORD_ENC} – Chiffrement des mots de passe :
Le paramètre substituable {PASSWORD_ENC} est remplacé par le mot de passe de l'entrée actuelle sous forme chiffrée. Le mot de passe est chiffré à l'aide de l'accréditation (les informations d'identification) de l'utilisateur courant Windows. Le mot de passe chiffré ne doit pas être enregistré et ne fonctionne que pour l'utilisateur courant.

Il est destiné à être utilisé conjointement avec le paramètre de ligne de commande -pw-enc (cf. la page du champ Adresse (URL) pour un exemple de définition d'une adresse - URL - pour ouvrir une base de données KeePass supplémentaire). Le paramètre substituable ne peut pas être utilisé pour transférer des mots de passe vers d'autres applications (à l'exception de KeePass), car les applications cibles ne savent pas comment déchiffrer les mots de passe chiffrés générés par {PASSWORD_ENC}.

Les mots de passe à usage unique (OTPs):
KeePass fournit des commandes de menu dans la fenêtre principale pour la génération de mots de passe à usage unique ('Copier OTP basé sur HMAC', 'Montrer OTP basé sur HMAC', 'Copier OTP basé sur le temps', 'Montrer OTP basé sur le temps'). De plus, des mots de passe à usage unique peuvent être générés pendant la saisie automatique en utilisant les paramètres substituables {HMACOTP} et {TIMEOTP}.

Les paramètres pour la génération d'OTP sont enregistrés dans des chaînes de caractères de l'entrée et peuvent être efficacement édités en utilisant la boîte de dialogue 'Les paramètres du générateur OTP...' (qui vérifie les valeurs saisies, affiche une prévisualisation, etc.). Alternativement, vous pouvez directement éditer les chaînes de caractères de l'entrée, tel que documenté ci-dessous.

{HMACOTP} – La génération de mots de passe à usage unique basé sur HMAC :
Le paramètre substituable {HMACOTP} génère un mot de passe (HOTP) à usage unique basé sur HMAC selon la RFC 4226.

Le secret partagé et les autres paramètres peuvent être spécifiés en utilisant les champs de chaîne d'entrée (qui peuvent être ajoutés/édités dans la boîte de dialogue de l'entrée sur la page de l'onglet 'Avancé'):

• HmacOtp-Secret
  HmacOtp-Secret-Hex
  HmacOtp-Secret-Base32
  HmacOtp-Secret-Base64
  Au moins un de ces champs doit être présent, et sa valeur doit être mise vers le secret partagé dans l'encodage correspondant. Dans le premier cas ('HmacOtp-Secret'), l'encodage UTF-8 de la valeur est utilisé comme secret partagé.
• HmacOtp-Counter (automatique)
  Ce champ stocke la valeur du compteur dans sa représentation décimale. La valeur par défaut est 0. Quand le paramètre substituable {HMACOTP} est remplacé (c'est-à-dire quand on génère un mot de passe à usage unique), KeePass met à jour automatiquement la valeur du compteur.

{TIMEOTP} – En générant des mots de passe à usage unique basés sur le Temps :
Le paramètre substituable {TIMEOTP} génère un mot de passe (TOTP) à usage unique selon la RFC 6238.

Le secret partagé et les autres paramètres peuvent être spécifiés en utilisant les champs de chaîne d'entrée suivants (qui peuvent être ajoutés/édités dans la boîte de dialogue sur la page de l'onglet 'Avancé') :

• TimeOtp-Secret
  TimeOtp-Secret-Hex
  TimeOtp-Secret-Base32 (plus commun)
  TimeOtp-Secret-Base64
  Au moins un de ces champs doit être présent, et sa valeur doit être positionnée au secret partagé dans l'encodage correspondant. Dans le premier cas ('TimeOtp-Secret'), l'encodage UTF-8 de la valeur est utilisé en tant que secret partagé. La plupart des services utilisent l'encodage Base32.
• TimeOtp-Length (optionnel)
  Spécifie la longueur du mot de passe à usage unique généré. La valeur par défaut est 6 ; le maximum est 8.
• TimeOtp-Period (optionnel)
  Spécifie l'écoulement du temps en secondes. La valeur par défaut est 30.
• TimeOtp-Algorithm (optionnel)
  Spécifie l'algorithme cryptographique utilisé pour la génération du mot de passe à usage unique. Les algorithmes suivant sont pris en charge :
• HMAC-SHA-1
• HMAC-SHA-256
• HMAC-SHA-512

La valeur par défaut est HMAC-SHA-1.

La date et le temps de votre système doivent être justes, sinon le service/serveur peut rejeter l'OTP généré.

Exemple d'utilisation : Créez une nouvelle entrée et modifiez sa séquence de saisie automatique par défaut à {USERNAME}{TAB}{PASSWORD}{ENTER}{DELAY 3000}{HMACOTP}{ENTER}. Ouvrez la boîte de dialogue 'Les paramètres du générateur OTP...', positionnez le secret partagé pour les OTP basés sur HMAC à '12345678901234567890' et sélectionnez l'encodage UTF-8. Quand on accomplit la saisie automatique, alors KeePass envoie le nom d'utilisateur, appuie sur Tab, envoie le mot de passe, appuie sur Entrée, attends 3 secondes, génère et envoie l'OTP basé sur HMAC et appuie encore finalement sur la touche Entrée. La valeur du compteur pour la génération du mot de passe à usage unique est automatiquement mise à jour. Avec le secret partagé ci-dessus et le compteur initialisé à la valeur 0, les mots de passe à usage unique suivant sont générés : 755224, 287082, 359152, 969429, 338314, etc. (d'autres OTP générés peuvent être trouvés dans l'exemple de la RFC 4226).

Les greffons : Il existe des greffons qui prennent en charge des OTP non normalisés (par exemple : Steam) et offre des fonctions supplémentaires relatives aux OTP.
{URL:...} et {BASE:...} :
Le paramètre substituable {URL: ...} est remplacé par la partie spécifiée de l'adresse (URL) de l'entrée courante ; cela est généralement utile dans un remplacement d'adresse (URL) spécifique d'une entrée (défini dans l'onglet « Propriétés » de la boîte de dialogue d'entrée). Le paramètre substituable {BASE:...} est remplacé par la partie spécifiée de l'URL qui est remplacée ; ceci est généralement utile dans un remplacement d'URL global (défini dans 'Outils' → 'Options' → onglet 'Intégration' → bouton 'Les remplacements d'adresse (URL)...'), car aucun contexte d'entrée ne peut être disponible.

Exemple d'utilisation : Pour l'adresse (URL) de l'entrée https://identifiant:motdepasse@keepass.info:80/chemin/exemple.php?q=e&s=t, les paramètres substituables retournent les valeurs suivantes :

{BASE} prend en charge exactement les mêmes parties que {URL}.

{CMD:/LigneDeCommande/Options/} – Exécution d'une ligne de commande :
Le paramètre substituable {CMD:/LigneDeCommande/Options/} exécute la ligne de commande spécifiée.

Une ligne de commande se compose d'un chemin d'accès à un fichier exécutable ou à un document et à des paramètres de ligne de commande. Si le chemin contient des espaces, alors il doit être placé entre double quotes (").

Le caractère après le premier ':' spécifie le caractère séparateur. Il peut être choisi librement (sauf '{' et '}'), mais il ne doit pas apparaître dans la ligne de commande ni dans aucune des options. Par exemple : {CMD:/Notepad.exe/W=0/} et {CMD:!Notepad.exe!W=0!} sont équivalents. Le séparateur à la fin (avant le '}') est obligatoire.

Une option est une paire clé-valeur, séparée par '='. Plusieurs options doivent être séparées à l'aide de virgules ','.

Options :

• M : spécifie la méthode d'exécution/d'ouverture de l'exécutable/document.
  La valeur par défaut est S.
• S : utilisez le shell système (via ShellExecute). Avec cela, les fichiers exécutables sont exécutés et les documents sont ouverts à l'aide de leurs applications associées. Cependant, aucune entrée/sortie standarde n'est prise en charge.
• C: Exécutez un fichier exécutable (EXE ou COM, via CreateProcess) ; les documents ne sont pas pris en charge. L'entrée/sortie standard est prise en charge.
• O : spécifie ce qu'il faut faire avec la sortie standard de l'application exécutée.
  La valeur par défaut est 1.
• 0 : ignorer la sortie standard. Le paramètre substituable est remplacé par une chaîne vide.
• 1 : remplacez le paramètre substituable par la sortie standard.
• W : spécifie s'il faut attendre la fin de l'application exécutée.
  La valeur par défaut est 1.
• 0 : ne pas attendre.
• 1 : Attendre.
• WS : spécifie le style de fenêtre. Toutes les applications ne prennent pas en charge cette option.
  La valeur par défaut est N.
• N : Normal.
• H : Caché.
• Min : Minimisé.
• Max : Maximisé.
• V : spécifie le verbe (action à effectuer), par exemple 'Open' ('Ouvrir') ou 'Print' ('Imprimer'). Lorsque vous utilisez le verbe 'RunAs' ('Exécuter en tant que'), l'application est exécutée avec des droits administratifs (cela peut nécessiter une confirmation via la boîte de dialogue UAC).

Les caractères de nouvelle ligne à la fin de la sortie sont supprimés (de la même manière que les substitutions de commandes shell '$(...)' et '`...`').

Exemples d'utilisation :

• {CMD:/Notepad.exe/W=0/}
  Exécute le Bloc-notes et continue immédiatement.
• {CMD:/PowerShell.exe -Command "(Get-FileHash '%SYSTEMROOT%\Win.ini' -Algorithm SHA256).Hash"/M=C,WS=H/}
  Le paramètre substituable est remplacé par le hachage SHA-256 du fichier Win.ini de Windows.