Gérer ses mots de passe soi-même, sur son propre serveur, sans dépendre d’un tiers commercial : c’est une décision que j’ai prise après la méga-fuite de LastPass en 2022. Confier ses identifiants à une infrastructure qu’on ne contrôle pas, c’est accepter un risque que j’estime, dans mon domaine, tout simplement inacceptable. Mais quelle solution open source privilégier pour remplacer Bitwarden avec un hébergement local ? Je vous livre ici mon analyse complète, après des années passées à tester, déployer et sécuriser des gestionnaires de mots de passe.
Vaultwarden : l’alternative auto-hébergée la plus légère
Vaultwarden est sans doute la solution qui m’a le plus impressionné. Il s’agit d’une réécriture complète du serveur Bitwarden en Rust, compatible avec tous les clients officiels, sans une seule ligne de code copiée depuis le projet d’origine. Le point fort ? Là où le serveur Bitwarden officiel nécessite 11 conteneurs Docker, Vaultwarden n’en utilise qu’un seul. Sur un petit VPS ou un Raspberry Pi, la différence est massive.
L’installation complète, avec reverse proxy, HTTPS et double authentification, prend entre 20 et 45 minutes selon votre niveau technique. J’ai chronométré personnellement une configuration sur un VPS sous Ubuntu 22.04 : moins d’une heure pour avoir un environnement fonctionnel avec Caddy qui gère automatiquement les certificats Let’s Encrypt. Pour les débutants, Caddy est clairement recommandé plutôt que Nginx, précisément pour cette gestion SSL automatisée. Debian 12 fonctionne tout aussi bien.
Le projet affiche plus de 40 000 étoiles sur GitHub et bénéficie d’une maintenance active. Côté légalité, Vaultwarden opère sous licence AGPL, qui autorise explicitement les réimplémentations à condition de rester open source. L’équipe Bitwarden est au courant du projet et ne s’y oppose pas.
Pour les besoins en ressources, voici un comparatif rapide :
| Solution | RAM minimale | Disque | Conteneurs Docker |
|---|---|---|---|
| Bitwarden officiel | 2 Go | 10 Go | 11 |
| Vaultwarden | ~256 Mo | 1-2 Go | 1 |
Un point critique que je ne peux pas ignorer : la sauvegarde du dossier /vw-data est absolument non négociable. Sans sauvegarde automatique quotidienne vers un stockage distant, vous prenez un risque considérable. Si quelqu’un a besoin d’un tutoriel pour faire tourner Vaultwarden sur Docker, il devrait sérieusement évaluer ses compétences avant de gérer une infrastructure critique de cette nature.
KeePassXC et ses dérivés : la forteresse certifiée hors réseau
KeePassXC représente une philosophie radicalement variée : zéro serveur, zéro synchronisation automatique, tout reste local dans un fichier chiffré. C’est l’outil certifié par l’ANSSI, une certification reconnue en France et en Allemagne, ce qui lui donne une légitimité institutionnelle rare dans cet écosystème.
Sur le plan cryptographique, KeePassXC utilise AES-256 ou Twofish avec Argon2d au format KDBX 4. Argon2d résiste nettement mieux aux attaques par force brute GPU comparé au PBKDF2 SHA-256 (100 000 itérations minimum) qu’emploie Bitwarden. Pour un profil orienté sécurité maximale, c’est un avantage concret. L’extension KeePassXC-Browser fonctionne sur Firefox et les navigateurs basés sur Chrome, et la compatibilité mobile est assurée par KeePassDX sur Android et KeePassium sur iOS.
La synchronisation, en revanche, demande un effort manuel. J’utilise personnellement Nextcloud pour synchroniser le fichier de base entre mes machines tout en gardant le contrôle total des données. Le service LRob propose des instances Nextcloud prêtes à l’emploi avec sauvegarde quotidienne incluse, ce qui simplifie considérablement la mise en place. Pour aller plus loin sur la sécurisation, je vous renvoie vers ce guide sur sécuriser un mot de passe sur un gestionnaire open source.
Le risque principal avec KeePassXC reste la perte du fichier ou l’oubli du mot de passe maître. Aucun mécanisme de récupération n’existe : le chiffrement AES-256 ne se contourne pas. La seule précaution viable est de noter le mot de passe maître sur papier, stocké physiquement en lieu sûr, et de maintenir des sauvegardes sur plusieurs supports.
Passbolt, Pass et Padloc : trois alternatives open source à connaître
Passbolt cible principalement les équipes en entreprise. Basé sur OpenPGP, il permet un partage granulaire des accès entre collègues. Son argument de poids : cinq audits de sécurité indépendants en un an et une certification SOC 2. Pour les équipes qui comparent leurs options, l’article sur Bitwarden ou 1Password pour gérer ses identifiants en équipe apporte un éclairage complémentaire utile.
À l’opposé du spectre, Pass (password-store) est un gestionnaire en ligne de commande basé sur GPG et Git. Chaque mot de passe correspond à un fichier texte chiffré versionné dans un dépôt Git. Pas d’interface graphique, pas d’applications mobiles officielles : c’est l’outil des puristes.
- Passbolt : parfait pour les équipes, auto-hébergement possible, OpenPGP, SOC 2
- Pass : minimaliste, CLI uniquement, impeccable pour les profils Linux avancés
- Padloc : interface épurée depuis 2019, chiffrement AES-256, pour un usage personnel moderne
- LessPass : génère les mots de passe à la volée sans rien stocker, intéressant mais sans historique
Pour les structures avec 5 000 à 10 000 utilisateurs, Bitwarden SaaS revient à 6 dollars par mois par utilisateur, soit potentiellement plus de 700 000 euros par an. L’auto-hébergement, même avec ses contraintes opérationnelles, devient alors une décision économique évidente, pas seulement idéologique. Si vous réfléchissez à déployer ce type d’infrastructure de manière portable, l’article sur créer un environnement de développement portable sur clé USB peut ouvrir des pistes intéressantes.
Migrer et maintenir son gestionnaire auto-hébergé sans perdre de données
La migration depuis un gestionnaire existant est fréquemment ce qui freine les gens. En pratique, le transfert depuis LastPass, 1Password ou Chrome prend moins de dix minutes via export CSV ou JSON puis import direct. Pour Chrome spécifiquement : Paramètres > Mots de passe > Exporter, sauvegarder le CSV, importer dans KeePassXC ou Vaultwarden, puis supprimer immédiatement le CSV et vider la corbeille. Ce dernier point est vital et souvent négligé.
La maintenance long terme mérite d’être anticipée. Pour Vaultwarden, les mises à jour Docker, la gestion des certificats SSL et les sauvegardes régulières sont des tâches récurrentes. Un petit script d’update avec rollback possible prend quelques minutes à écrire proprement. Si vous souhaitez analyser l’hébergement sur matériel dédié, l’article sur utiliser un Raspberry Pi comme serveur illustre bien les principes applicables à ce type de déploiement.
Bitwarden lui-même, dans sa version cloud, a subi des audits indépendants en 2024 par Mandiant et Fracture Labs et propose un programme de Bug Bounty sur Hacker One. Sa version Premium ne coûte que 10 euros par an. Pour ceux qui préfèrent garder les données sur Azure sans s’occuper de l’infrastructure, c’est une possibilité raisonnable. Mais pour qui valorise la souveraineté numérique complète, l’auto-hébergement reste la seule réponse cohérente.
