Auto-hébergement de Bitwarden : un guide complet pour configurer votre propre serveur

Les mots de passe restent le point d'entrée privilégié de nombreuses attaques : on estime qu'environ 81 % des violations de données sont liées à des identifiants faibles, réutilisés ou volés. De plus, seulement une personne sur trois aux États-Unis utilise un gestionnaire de mots de passe, et le coût moyen d'une violation de données en 2025 devrait s'élever à environ 4,44 millions de dollars. Bitwarden est un gestionnaire de mots de passe open source disponible pour navigateur, ordinateur et mobile. Sa version auto-hébergée vous permet de stocker les coffres-forts chiffrés de votre équipe sur votre propre serveur. L'avantage principal ? Vous décidez de l'emplacement du coffre-fort et des personnes autorisées à y accéder.

Il existe deux solutions principales : le serveur Bitwarden officiel, déployé avec Docker sur Linux ou Windows et offrant l’écosystème complet de la marque, et Vaultwarden, une réimplémentation non officielle écrite en Rust qui consomme beaucoup moins de ressources. Les deux utilisent le même protocole et fonctionnent avec les clients officiels, garantissant ainsi la compatibilité avec les applications Bitwarden. Toutefois, le support, la maintenance et certaines fonctionnalités disponibles diffèrent.

Quels sont les avantages de disposer du coffre-fort sur son propre serveur ?

En installant Bitwarden sur un VPS ou votre propre machine, vous gardez la maîtrise totale de vos données : le stockage chiffré reste toujours sur une infrastructure que vous contrôlez. Vous bénéficiez également d'une disponibilité continue, de ressources CPU, RAM et disque dédiées, et de la possibilité d'adapter votre infrastructure d'un usage personnel à une équipe de taille moyenne sans changer d'outils. À cela s'ajoute un coût nettement inférieur à celui de la maintenance d'un matériel physique, ainsi que les avantages des protections standard des fournisseurs, telles que la protection contre les attaques DDoS, les sauvegardes régulières et la sécurité réseau. Contrôle, disponibilité et coût raisonnable sont les maîtres mots de ce type de déploiement.

La différence pratique entre Bitwarden et Vaultwarden devient évidente au niveau du support. Le serveur officiel est conçu pour les environnements d'entreprise, avec des contrats, des audits et des garanties pour les intégrations tierces. Vaultwarden, quant à lui, est un projet communautaire sans SLA ni support commercial, mais il débloque des fonctionnalités généralement réservées aux abonnés Bitwarden, comme la gestion des organisations, l'authentification à deux facteurs, Bitwarden Send, le TOTP et les pièces jointes. Pour une entreprise avec des exigences formelles, le serveur officiel est généralement plus adapté ; pour un laboratoire personnel ou un petit groupe, Vaultwarden est très intéressant.

Si vous optez pour un VPS, privilégiez un accès root, la compatibilité Docker et une adresse IP publique stable. Certains fournisseurs proposent des processeurs AMD Ryzen 9 jusqu'à 5,7 GHz, du stockage NVMe, des connexions jusqu'à 40 Gbit/s, un SLA de 99,95 % et une présence dans une douzaine de villes. À titre indicatif, pour moins de dix utilisateurs, 2 cœurs, 4 Go de RAM et 25 Go de stockage NVMe suffisent généralement ; pour des équipes de 10 à 50 personnes, privilégiez 4 cœurs, 8 Go de RAM et 50 Go de stockage.

Exigences et préparation avant l'installation

Avant de commencer, vous aurez besoin d'un nom de domaine avec un enregistrement DNS de type A pointant vers l'adresse IP de votre serveur, par exemple : vault.votre_domaine.com. Les ports 80 et 443 doivent être libres et accessibles, car Nginx, le serveur de Bitwarden, les utilise directement ; le port 80 est nécessaire pour valider et renouveler les certificats Let's Encrypt. Vous aurez également besoin d'un serveur SMTP pour envoyer les vérifications et les invitations, ainsi que d'un compte disposant des privilèges d'administrateur ou de sudo. L'installateur vous demandera un identifiant et une clé d'installation, que vous pouvez générer gratuitement sur bitwarden.com/host. Sans serveur SMTP, vous ne pourrez ni vérifier les adresses e-mail ni inviter d'autres personnes , et sans nom de domaine ni ports ouverts, le certificat TLS ne fonctionnera pas.

Sous Linux, le serveur officiel requiert au minimum 2 Go de RAM et 12 Go d'espace disque, bien que 4 Go de RAM et 25 Go d'espace libre soient recommandés. Sous Windows Server, les exigences sont nettement supérieures : 6 Go de RAM et 76 Go de stockage minimum, 8 Go et 90 Go étant recommandés en production. De plus, Windows Server requiert la virtualisation imbriquée ; Azure exige l'utilisation de machines virtuelles Standard D2s v3 avec le type de sécurité standard, et non Trusted Launch. Windows consomme beaucoup plus de ressources et nécessite une vérification préalable de la compatibilité de l'hyperviseur avec la virtualisation imbriquée.

Vaultwarden change complètement la donne : avec seulement 512 Mo de RAM, il fonctionne de manière fluide, ce qui le rend compatible avec un Raspberry Pi ou un VPS très modeste. C’est l’un de ses principaux atouts par rapport au serveur .NET officiel, qui exécute une douzaine de conteneurs, dont SQL Server. Si l’optimisation des ressources est votre priorité, Vaultwarden présente un avantage indéniable.

Avant de commencer, déterminez comment gérer votre certificat SSL. Vous pouvez laisser Let's Encrypt le générer lors de l'installation, utiliser un certificat acheté ou émis par une autorité de certification, ou encore utiliser un certificat auto-signé à des fins de test uniquement. Pour la messagerie, munissez-vous de votre serveur SMTP (hôte, port, nom d'utilisateur, mot de passe et adresse de l'expéditeur). Un certificat auto-signé convient aux tests, mais pas à la production.

Installation de Bitwarden officiel sous Linux

Le point de départ habituel est Ubuntu 24.04 LTS, mais la procédure peut être adaptée à Debian 12 et Rocky Linux 9 en modifiant le gestionnaire de paquets. Mettez à jour le système et ouvrez les ports nécessaires dans le pare-feu. Avec UFW, il suffit d'autoriser les ports 80/tcp et 443/tcp et de recharger les règles du pare-feu. Veillez à maintenir l'accès SSH pour éviter d'être bloqué hors du serveur.

Bitwarden fonctionne avec Docker. Installez donc Docker Engine 26.0 ou une version ultérieure, ainsi que le plugin Docker Compose V2. Vous pouvez effectuer cette opération depuis les dépôts Docker officiels ou, sous Ubuntu, en utilisant les paquets docker.io et docker-compose-plugin. Activez ensuite le démarrage automatique du service après chaque redémarrage et vérifiez les versions avec les commandes `docker --version` et `docker compose version`. Docker Engine 26+ et Compose 2+ constituent la configuration minimale requise pour un fonctionnement optimal.

Il est recommandé d'exécuter Bitwarden avec un utilisateur dédié sans privilèges d'administrateur. Créez l'utilisateur bitwarden, ajoutez-le au groupe Docker et configurez le répertoire /opt/bitwarden avec les permissions 700 et définissez bitwarden comme propriétaire. Ces permissions empêchent les autres utilisateurs du système de lire ou de modifier la base de données des mots de passe. Un utilisateur sans privilèges limite considérablement les dommages potentiels en cas de compromission de l'application.

Téléchargez le script bitwarden.sh depuis l'URL officielle et accordez-lui les droits d'exécution. Avant de l'exécuter, vous pouvez en vérifier le contenu, puis lancer `./bitwarden.sh install`. L'installateur vous demandera le domaine (sans https://), si vous souhaitez utiliser Let's Encrypt et une adresse e-mail pour les notifications, le nom de la base de données, l'identifiant et la clé d'installation, ainsi que la région (États-Unis ou UE). Notez les deux valeurs bitwarden.com/host , car elles sont nécessaires pour finaliser le déploiement.

Une fois l'installation terminée, la configuration et les données seront stockées dans /opt/bitwarden/bwdata. Démarrez les services avec ./bitwarden.sh start et vérifiez avec docker ps que les conteneurs sont en cours d'exécution. Il est normal qu'ils mettent une ou deux minutes à démarrer. Vous devriez voir entre cinq et sept conteneurs, tels que bitwarden-web, bitwarden-api, bitwarden-identity, bitwarden-attachments, bitwarden-icons, bitwarden-mssql et bitwarden-nginx. Attendez qu'ils soient opérationnels avant de considérer l'installation comme terminée.

Courriel, panneau d'administration et registre public

Les paramètres du serveur sont écrasés dans le fichier bwdata/env/global.override.env. Ouvrez ce fichier en tant qu'utilisateur bitwarden et renseignez les variables globalSettings__mail__smtp__host, port, ssl, startTls, username, password et from. Si vous utilisez le port 587 avec STARTTLS, laissez ssl=false ; si votre fournisseur exige le protocole TLS implicite sur le port 465, définissez ssl=true. Dans adminSettings__admins, indiquez les adresses e-mail autorisées à accéder au panneau d'administration, séparées par des virgules. Après avoir modifié le fichier, redémarrez le serveur avec la commande ./bitwarden.sh restart.

Ouvrez votre domaine dans votre navigateur, créez un compte et vérifiez votre adresse e-mail à l'aide du lien que vous recevrez. Le mot de passe principal chiffre le coffre-fort numérique sur votre appareil : le serveur ne le connaît pas et ne peut pas le récupérer si vous l'oubliez. Choisissez une phrase longue et conservez-la en lieu sûr. Si vous recevez l'e-mail de vérification, votre configuration SMTP fonctionne correctement. Le mot de passe principal est conçu pour être irrécupérable.

Une fois le nombre requis d'utilisateurs inscrits, ou si vous préférez n'ajouter des utilisateurs que par invitation de votre organisation, désactivez l'inscription publique. Ajoutez `globalSettings__disableUserRegistration=true` à `global.override.env` et redémarrez. Vérifiez dans une fenêtre de navigation privée que l'option de création de compte n'autorise plus l'inscription. Laisser l'inscription ouverte sur Internet revient à inviter n'importe qui à utiliser votre instance.

Le panneau système se trouve à l'adresse https://votre_domaine/admin. Il ne nécessite pas de mot de passe traditionnel : vous devez saisir l'un des e-mails envoyés par adminSettings__admins pour recevoir un lien d'accès unique. Vous pourrez alors consulter et désactiver des utilisateurs, forcer la suppression de comptes et visualiser les organisations. La gestion des organisations, des collections et des autorisations s'effectue depuis le coffre-fort web, dans la section « Nouvelle organisation ». L'accès à ce panneau est pratique, mais il convient de l'utiliser avec précaution.

Organisations, licences et facturation

Pour héberger vous-même une organisation payante, vous devez d'abord la créer dans le coffre-fort cloud de Bitwarden et récupérer la licence depuis votre compte. Ensuite, vous téléchargez cette licence sur votre propre serveur afin de créer une copie auto-hébergée de l'organisation. Seules les organisations Famille et Entreprise peuvent être importées sur des serveurs auto-hébergés. La facturation est effectuée dans le cloud, même si le coffre-fort réside sur votre serveur.

Vous pouvez configurer, si vous le souhaitez, la synchronisation de la facturation et des licences entre vos organisations cloud et auto-hébergées. Cela simplifie la mise à jour des licences en cas de modification du nombre d'utilisateurs, rationalise les renouvellements et permet aux membres des organisations d'entreprise de bénéficier du parrainage d'organisations familiales. La synchronisation n'est pas obligatoire, mais elle permet de réaliser d'importantes économies sur les tâches administratives.

Une fois l'organisation créée, commencez par inviter une équipe d'administration composée de membres disposant de privilèges élevés. Par mesure de sécurité, il est conseillé d'inclure au moins un autre propriétaire. Définissez des politiques dès que possible, comme l'obligation d'une authentification unique (SSO) ou l'inscription des membres au processus de réinitialisation du mot de passe administrateur. Si vous migrez depuis un autre gestionnaire de secrets, importez directement les données pour éviter les copier-coller. Invitez ensuite le reste de l'équipe ; si vous utilisez un fournisseur d'identité ou un annuaire comme Azure Active Directory, vous pouvez tirer parti de SCIM ou de Directory Connector pour synchroniser automatiquement les utilisateurs. Définir des politiques et désigner un second propriétaire dès le départ permet d'éviter les problèmes inattendus.

Certaines fonctionnalités payantes, comme celles destinées à certaines organisations ou les fonctionnalités premium, nécessitent le téléchargement d'un fichier de licence généré depuis votre compte bitwarden.com. La configuration des clients officiels est identique à celle des clients cloud, mais avant de vous connecter, vous devez sélectionner « Auto-hébergé » comme région ou serveur et saisir l'URL exacte, par exemple : https://votre_domaine. Si l'URL ne correspond pas exactement, la connexion échouera.

Installation sur serveur Windows

Sur Windows Server 2025, l'accès se fait via RDP et nécessite Docker Desktop avec Hyper-V, et non WSL2. Le programme d'installation officiel de Bitwarden pour Windows est un script PowerShell nommé bitwarden.ps1. Remarque : Docker Desktop n'est pas officiellement compatible avec Windows Server et peut engendrer des problèmes de stabilité ; Linux reste donc l'option la plus fiable. De plus, Windows Server requiert la virtualisation imbriquée. Avant l'installation, vérifiez que votre hyperviseur prend en charge ce type de virtualisation.

Ouvrez PowerShell en tant qu'administrateur et créez des règles de pare-feu pour les ports 80 et 443. Créez ensuite un utilisateur local nommé Bitwarden, ajoutez-le au groupe docker-users et préparez le répertoire C:\Bitwarden. Dans Docker Desktop, accédez à Paramètres, Ressources, Partage de fichiers et ajoutez C:\Bitwarden ; appliquez les modifications et redémarrez. Allouez au moins 4 Go de RAM à Docker. Docker Desktop doit pouvoir accéder au répertoire C:\Bitwarden pour démarrer les conteneurs.

Téléchargez le script avec Invoke-RestMethod et exécutez bitwarden.ps1 -install. Les invites sont identiques à celles de Linux : domaine, certificat Let's Encrypt ou personnalisé, adresse e-mail, identifiant, clé et région. Modifiez ensuite le fichier C:/Bitwarden/bwdata/env/global.override.env avec les paramètres SMTP et redémarrez avec bitwarden.ps1 -restart. Accédez au domaine et créez le compte administrateur. Les détails d'installation et les paramètres SMTP sont configurés de la même manière que pour un déploiement Linux.

Docker Desktop ne démarre automatiquement à l'ouverture de session que si une session RDP est ouverte. Pour éviter cela, créez une tâche planifiée qui s'exécute au démarrage, avec un délai d'une minute, en utilisant le compte Bitwarden et l'option permettant son exécution indépendamment de la connexion de l'utilisateur. Sans cette tâche, Docker Desktop risque de rester fermé après un redémarrage . Le script bitwarden.ps1 prend en charge les commandes suivantes : -start, -restart, -updateself, -update et -renewcert.

Dans certains cas, comme l'installation derrière un proxy avec des ports alternatifs, il est nécessaire de modifier le fichier bwdata/config.yml et d'appliquer les modifications après un redémarrage. Il en va de même sous Linux. Si vous modifiez les ports ou le proxy, vérifiez le fichier config.yml en plus des variables d'environnement.

Vaultwarden, l'alternative légère

Vaultwarden est une réimplémentation non officielle du serveur Bitwarden, écrite en Rust. Elle conserve le même protocole et fonctionne sans modification avec les applications officielles, l'extension de navigateur et l'interface en ligne de commande. Le projet est maintenu par dani-garcia ; il s'appelait auparavant bitwarden_rs et a été renommé pour éviter toute confusion avec la marque. Son principal atout est de débloquer gratuitement des fonctionnalités premium grâce à sa nature de serveur personnalisé. Cependant, il ne propose ni support commercial ni contrat de niveau de service (SLA). C'est une excellente option pour un usage personnel ou les petits groupes, mais moins adaptée si vous avez besoin de garanties contractuelles.

Un déploiement Docker Compose typique déclare un service Vaultwarden avec l'image `vaultwarden/server:latest`, le nom de conteneur `vaultwarden`, l'option `restart always`, la variable `DOMAIN` contenant votre URL HTTPS, `SIGNUPS_ALLOWED` défini sur `true`, un volume `./vw-data:/data` et les ports 11001 et 80. La variable `DOMAIN` n'est pas là par hasard : elle est essentielle pour générer correctement les URL des pièces jointes et garantir que le client comprenne que la communication se fait via HTTPS par le biais du proxy inverse. Si vous l'omettez ou si vous la laissez à `HTTP`, certaines fonctions échoueront de manière inattendue. Vaultwarden exige une connexion HTTPS authentique côté client, car les applications et les navigateurs refusent de se synchroniser avec une origine ne disposant pas d'un certificat TLS valide.

Il est d'usage de déployer le conteneur derrière un proxy inverse certifié, tel que Nginx, et d'utiliser Certbot et Let's Encrypt si vous n'en possédez pas déjà un. Vaultwarden inclut un panneau d'administration (/admin) permettant de gérer les utilisateurs et les organisations depuis le navigateur, protégé par le jeton ADMIN_TOKEN. Dans les versions récentes, il est recommandé de générer un hachage argon2id avec la commande `docker run --rm -it vaultwarden/server:latest /vaultwarden hash`. Cette commande renvoie une chaîne PHC commençant par `$argon2id$`, et c'est cette chaîne, et non le mot de passe d'origine, qui doit être insérée dans le fichier Compose. Docker Compose interprétant chaque `$` comme une variable d'environnement, vous devez dupliquer chaque `$` de la chaîne en `$$`. Ne stockez jamais le jeton en clair et ne le téléchargez jamais sur un dépôt Git, même privé.

Il est nécessaire de définir `SIGNUPS_ALLOWED` sur `true` lors de la première création de votre compte client. Une fois cette opération effectuée, passez-la à `false` et redémarrez avec `docker compose up -d`. Laisser l'inscription ouverte sur un serveur exposé à Internet signifie que toute personne trouvant l'URL peut créer un compte et utiliser votre instance comme son propre gestionnaire. Fermer l'inscription après la création des comptes est une mesure de sécurité élémentaire.

L'intégralité de l'état de Vaultwarden réside sur le volume `/data` : la base de données SQLite, les pièces jointes et les icônes mises en cache. Une sauvegarde cohérente peut être aussi simple que de copier ce répertoire lorsque le conteneur est arrêté, ou d'utiliser sqlite3 pour une sauvegarde à chaud sans interrompre le service : `docker exec vaultwarden sqlite3 /data/db.sqlite3 '.backup /data/db-backup.sqlite3'`. Si vous disposez déjà d'une stratégie de sauvegarde incrémentielle utilisant rsync et des liens physiques, la même approche fonctionne en ciblant `vw-data`. Étant donné que vous stockez vos identifiants ici, pour les sauvegardes hors serveur, une sauvegarde rclone chiffrée à distance est plus efficace qu'une synchronisation rsync non chiffrée vers un autre disque. Les sauvegardes Vaultwarden sont simples, mais elles doivent être effectuées hors serveur.

Avant de mettre à jour le conteneur, consultez le journal des modifications de Vaultwarden. Vaultwarden surveillant de près les changements de protocole, certaines mises à jour importantes peuvent nécessiter une migration du format de la base de données. Ne procédez pas à la mise à jour sans avoir testé la nouvelle version au préalable.

Sauvegardes, mises à jour et surveillance

Bitwarden effectue une sauvegarde automatique nocturne de la base de données dans bwdata/mssql/backups. Outre ces sauvegardes, il est également recommandé de sauvegarder les pièces jointes dans bwdata/core/attachments, les fichiers de configuration dans bwdata/env et bwdata/config.yml, ainsi que les certificats. Les fichiers SQL Server actifs dans bwdata/mssql/data ne doivent pas être sauvegardés pendant l'exécution du service ; ils sont donc exclus. Il est donc conseillé de sauvegarder hors serveur la base de données, les pièces jointes, la configuration et les certificats.

Vous pouvez créer un script qui compresse les données de sauvegarde (bwdata) avec `tar`, les place dans un dossier de sauvegardes et supprime les sauvegardes de plus de 30 jours avec `find`. Programmer cette opération avec cron à 2 h du matin est un moyen simple de s'en souvenir. Copiez ensuite ces fichiers sur un autre serveur ou un support de stockage externe via SFTP, FTPS ou un outil chiffré. Une sauvegarde stockée uniquement sur le même serveur ne vous protégera pas en cas de panne matérielle . Sous Windows, vous pouvez procéder de manière similaire avec `Compress-Archive` et une tâche planifiée, en supprimant les anciens fichiers ZIP.

Les mises à jour du serveur officiel s'effectuent avec le même script que pour l'utilisateur Bitwarden. Commencez par mettre à jour le script lui-même avec `./bitwarden.sh updateself`, puis mettez à jour les conteneurs avec `./bitwarden.sh update` et `./bitwarden.sh start`. Sous Windows, cela correspond à `bitwarden.ps1 -updateself`, `bitwarden.ps1 -update` et `bitwarden.ps1 -start`. L'ordre est important : d'abord le script, puis les images.

Surveillez l'état des conteneurs, l'espace disque disponible, l'expiration des certificats et les journaux d'erreurs. Un disque plein peut corrompre la base de données et un certificat expiré empêche la synchronisation des clients. Consultez les journaux chaque semaine et testez la restauration à partir d'une sauvegarde tous les trimestres : arrêtez Bitwarden, renommez bwdata, restaurez la sauvegarde, redémarrez le service et vérifiez que tout fonctionne correctement. Tester la restauration est tout aussi important que créer la sauvegarde.

Sécurité et problèmes courants

Activez l'authentification à deux facteurs sur le compte administrateur dès que possible. Limitez l'accès SSH sous Linux ou RDP sous Windows aux adresses IP connues et envisagez d'utiliser fail2ban pour bloquer les attaques par force brute. Vérifiez les renouvellements de certificats Let's Encrypt avec `./bitwarden.sh renewcert` ou `bitwarden.ps1 -renewcert`, désactivez la journalisation publique et n'autorisez que les adresses e-mail nécessaires dans le panneau d'administration. L'authentification à deux facteurs et des restrictions d'accès à distance efficaces permettent d'éviter de nombreux problèmes.

Si le programme d'installation n'obtient pas le certificat, vérifiez que le DNS pointe bien vers le serveur et que le port 80 n'est pas utilisé par un autre service ; la commande `sudo ss -tlnp | grep ':80'` vous permettra de le vérifier. Si Docker renvoie `permission denied`, l'utilisateur `bitwarden` n'appartient pas au groupe `docker` ou ne s'est pas reconnecté ; déconnectez-vous puis reconnectez-vous avec `sudo -iu bitwarden`. Si les e-mails n'arrivent pas, vérifiez les variables SMTP et les journaux avec `docker logs bitwarden-api`. Si les clients ne se connectent pas, assurez-vous d'avoir sélectionné un serveur auto-hébergé et que l'URL est bien `https://votre_domaine`. La plupart des problèmes peuvent être résolus en vérifiant le DNS, les ports, les permissions et les journaux.

Une utilisation élevée de la mémoire peut être atténuée en redémarrant Bitwarden. Si le problème persiste, vous devrez probablement passer à un abonnement avec 4 Go ou plus. Si une mise à jour endommage votre installation, restaurez le répertoire bwdata et revenez à la version précédente. Avant de réinstaller le logiciel, consultez les notes de version pour vérifier l'absence de modifications incompatibles. Ne tentez pas de mise à jour sans sauvegarde.

• Certificat SSL : Vérifiez l'icône de cadenas dans votre navigateur et forcez le renouvellement si votre abonnement a expiré.
• Conteneurs: Vérifiez la commande docker ps et les journaux pour voir si des processus apparaissent comme ayant quitté.
• Email: Testez le protocole SMTP séparément et examinez les rejets dans les journaux d'identité.
• Disque et mémoire : Surveillez l'espace et utilisez les statistiques Docker pour détecter les conteneurs qui fonctionnent de manière excessive.
• Clients: Vérifiez l'URL du serveur auto-hébergé avant de vous connecter.
• Restauration: Effectuez une récupération complète des données bwdata au moins une fois par trimestre.

Questions fréquemment posées et doutes courants

Oui, Bitwarden peut être hébergé sur macOS, mais cela nécessite un Mac dédié, un accès distant et est moins performant que Linux ou Windows. La communauté offre moins de ressources et la configuration est plus complexe ; ce n’est donc pas la meilleure option pour les environnements de production.

Les fonctionnalités de base de Bitwarden sont gratuites et incluent un stockage illimité et la synchronisation multi-appareils. L'abonnement premium personnel coûte environ 19,80 $ par an et propose des options d'authentification à deux facteurs avancées ; l'abonnement familial est à environ 47,88 $ par an, et les équipes nécessitent une licence entreprise. La version gratuite est généralement largement suffisante pour débuter.

Parmi les alternatives, citons Vaultwarden, plus léger ; 1Password, avec une interface cloud ; KeePassXC, hors ligne ; et Passbolt, conçu pour les équipes. Si l’auto-hébergement vous semble trop contraignant, Bitwarden Cloud offre une sécurité similaire sans maintenance. Le choix dépend du niveau de contrôle et de gestion souhaité.

Bitwarden est extrêmement sécurisé lorsqu'il est correctement configuré. Il utilise le chiffrement AES-CBC 256 bits et prend en charge la dérivation de clés avec PBKDF2 SHA-256 ou Argon2id. Le mot de passe principal ne quitte jamais l'appareil en clair. L'hébergement sur votre propre serveur élimine le fournisseur de cloud de votre modèle de sécurité. Le chiffrement de bout en bout est au cœur de sa conception.

Vous pouvez migrer depuis Bitwarden Cloud en exportant votre coffre-fort via Paramètres > Exporter le coffre-fort, puis en l'important dans votre instance via Paramètres > Importer des données. Vos mots de passe, notes et l'arborescence de votre organisation sont conservés. L'exportation et l'importation sont rapides et vous évitent toute copie manuelle.

Pour ajouter des utilisateurs, créez une organisation depuis le coffre-fort web et envoyez-leur une invitation par e-mail. Ils devront recevoir cet e-mail ; le serveur SMTP doit donc être correctement configuré. Ils devront également accepter l’invitation pour rejoindre l’organisation. Les invitations sans adresse e-mail configurée ne seront pas distribuées.

Si vous oubliez le mot de passe principal, il est impossible de le récupérer. Le coffre-fort reste chiffré et inaccessible par conception. Conservez-le dans un lieu physique sécurisé et hors ligne, et ne vous fiez pas uniquement à un fichier numérique. Le mot de passe principal est la clé qui ne peut être dupliquée depuis le serveur.

Pour la plupart des déploiements, Docker est suffisant et plus facile à gérer. Kubernetes n'est pertinent que pour les grandes entreprises exigeant une haute disponibilité, l'équilibrage de charge et le basculement automatique des nœuds. Si Docker répond déjà à vos besoins, inutile de mettre en place Kubernetes.

Linux utilise environ un tiers de la RAM requise par Windows Server, est mis à jour grâce à des gestionnaires de paquets et bénéficie d'une communauté d'auto-hébergement plus importante. Windows est familier aux administrateurs Active Directory et offre des outils de gestion ainsi qu'un support commercial de Microsoft. Linux est l'option efficace ; Windows, l'option familière.

Il est clair que la mise en place d'un coffre-fort Bitwarden ou Vaultwarden nécessite une préparation minutieuse : un nom de domaine, le protocole TLS, le protocole SMTP, Docker, des sauvegardes externes et une politique d'accès pertinente. À la clé : un coffre-fort chiffré sous votre contrôle, avec des clients officiels et la tranquillité d'esprit de savoir précisément où vos données sont stockées. HTTPS, SMTP, les sauvegardes externes et l'authentification à deux facteurs sont les quatre piliers à ne pas négliger, et une restauration trimestrielle vous évitera bien des soucis.