Abstract violet and amber illustration representing Vaultwarden, a self-hosted password manager

Vaultwarden

Vaultwarden est une implémentation serveur non officielle de l’API Bitwarden, écrite en Rust. Elle fonctionne avec tous les clients Bitwarden officiels : extensions de navigateur, applications mobiles, applications de bureau, CLI, sans le moindre changement côté client. Le projet a démarré en 2018 sous le nom bitwarden_rs, créé par le développeur Daniel Garcia parce que le serveur officiel de Bitwarden se présente comme une pile de plusieurs services .NET et d’une base de données, beaucoup trop pour le coffre-fort d’une seule personne tournant sur un Raspberry Pi ou un VPS bon marché. Il a été rebaptisé Vaultwarden en 2020 pour éviter toute confusion de marque avec Bitwarden, Inc. Les deux projets n’ont jamais été affiliés, même si l’un des mainteneurs de Vaultwarden travaille aussi chez Bitwarden et y contribue sur son temps personnel.

Si vous avez déjà lu notre comparatif Vaultwarden vs Bitwarden, vous connaissez déjà la nature du compromis : mêmes applications clientes, même modèle de chiffrement, une fraction des ressources pour le faire tourner. Cette page reste volontairement plus ciblée et plus pratique : ce que fait vraiment Vaultwarden, si on peut lui faire confiance, et comment le mettre en route.

Ce que fait réellement Vaultwarden

Vaultwarden implémente la quasi-totalité de l’API Bitwarden : stockage chiffré du coffre-fort, Sends, pièces jointes, organisations avec collections et groupes, authentification à deux facteurs (TOTP, email, WebAuthn/FIDO2, YubiKey, Duo), accès d’urgence, et un panneau d’administration pour gérer les utilisateurs sans toucher à une console de base de données. Vos applications Bitwarden ignorent totalement qu’elles parlent à Vaultwarden plutôt qu’aux serveurs de Bitwarden. Même API, même chiffrement de bout en bout, même conception zero-knowledge : votre mot de passe maître ne quitte jamais votre appareil.

La différence se joue entièrement côté serveur. La version officielle auto-hébergée de Bitwarden tourne comme un ensemble de conteneurs : web, API, identité, une base SQL Server ou PostgreSQL, et quelques autres encore. Vaultwarden, c’est un seul binaire Rust dans un seul conteneur, généralement moins de 200 Mo de RAM, adossé par défaut à un fichier SQLite, même si MySQL et PostgreSQL fonctionnent aussi. C’est à peu près tout l’argumentaire.

En bref

La licence AGPL-3.0 ne pose vraiment problème que si vous comptez modifier le code de Vaultwarden puis faire tourner cette version modifiée comme service public pour d’autres personnes, auquel cas vous leur devriez le code source. Faire tourner une copie non modifiée pour vous-même, sur votre propre matériel, ne comporte aucune de ces obligations.

Peut-on vraiment faire confiance à Vaultwarden pour ses mots de passe ?

C’est une question légitime à se poser avant de confier tout son coffre-fort de mots de passe à un logiciel, et elle revient assez souvent pour mériter une réponse directe plutôt qu’un revers de main.

  • Open source sous AGPL-3.0 : chaque route et chaque appel cryptographique est visible sur GitHub, auditable par n’importe qui. Aucun binaire fermé qui ferait discrètement autre chose avec vos données.
  • Ne touche jamais à l’infrastructure réelle de Bitwarden. Votre coffre-fort reste sur du matériel que vous contrôlez, face à une API que vos applications clientes reconnaissent déjà.
  • Pas un projet de weekend : en service sous un nom ou un autre depuis 2018, plus de 63 000 étoiles GitHub, et une image Docker téléchargée plus de 100 millions de fois.
  • Honnête sur ce qu’il est : le README écarte explicitement tout lien avec Bitwarden, Inc., et demande que les bugs soient signalés aux mainteneurs de Vaultwarden, jamais au support de Bitwarden.

Rien de tout cela ne le rend pour autant sans risque. C’est un projet de bénévoles, pas une entreprise avec une équipe sécurité dédiée, et comme pour tout service auto-hébergé, sa sécurité réelle dépend surtout de la façon dont vous le déployez, pas seulement du code. Une chose à éviter activement : les « instances gratuites » communautaires qui circulent en ligne. Faire tourner son coffre-fort de mots de passe sur un serveur que vous ne contrôlez pas annule tout l’intérêt de l’auto-hébergement.

Installer Vaultwarden avec Docker

Docker est la méthode standard pour le faire tourner, celle que le projet recommande lui-même. Un fichier compose minimal :

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.votredomaine.com"
      SIGNUPS_ALLOWED: "true"
    volumes:
      - ./vw-data:/data
    ports:
      - "127.0.0.1:8000:80"
docker compose up -d

Ouvrez ensuite le domaine configuré, créez votre compte, et seulement après passez aux deux étapes ci-dessous.

Deux étapes à ne pas sauter :

  1. Basculez SIGNUPS_ALLOWED sur false dans votre fichier compose et redémarrez, une fois votre compte créé. Sautez cette étape et n’importe qui tombant sur l’URL de votre coffre-fort peut s’y créer son propre compte.
  2. Placez un reverse proxy devant. Le coffre web de Vaultwarden a besoin d’HTTPS pour fonctionner, les navigateurs bloquent l’API Web Crypto en HTTP simple ; le wiki du projet qualifie lui-même ça de « quasiment obligatoire ». Caddy, Nginx Proxy Manager ou Traefik avec Let’s Encrypt gèrent ça en quelques lignes de configuration. Notre guide d’accès distant à Jellyfin détaille exactement le même schéma de reverse proxy pour une autre application, et la logique s’applique telle quelle ici.

Remarquez que le conteneur est lié à 127.0.0.1:8000 plutôt qu’exposé directement. C’est le reverse proxy qui parle au monde extérieur. Vaultwarden lui-même ne devrait jamais l’être.

Des alternatives à connaître

Vaultwarden n’est pas la seule façon d’auto-héberger un gestionnaire de mots de passe, et ce n’est pas automatiquement le bon choix pour tout le monde. Si vous préférez faire tourner le vrai code de l’éditeur plutôt qu’une réimplémentation communautaire, Bitwarden auto-hébergé est la version officielle : plus lourde, mais supportée et maintenue directement par l’entreprise qui l’écrit. Si vous voulez vous passer complètement de serveur, KeePassXC synchronise un fichier chiffré via ce que vous utilisez déjà pour ça, Syncthing ou Nextcloud, sans rien faire tourner en permanence. Nous mettons les trois côte à côte, avec les étapes d’installation et des compromis honnêtes, dans notre comparatif Gestionnaire de mots de passe open source.

Pour d’autres outils de sécurité pour votre homelab, direction notre catégorie Réseau et Sécurité.

FAQ

Quelle est la vraie différence entre Bitwarden et Vaultwarden ?

Bitwarden est l’entreprise, avec son serveur et ses applications officiels. Vaultwarden est un serveur distinct, construit par la communauté, qui parle la même API : les applications Bitwarden officielles s’y connectent sans le moindre souci. Mêmes clients, un backend nettement plus léger derrière.

Est-il légal d’utiliser Vaultwarden à la place du serveur de Bitwarden ?

Oui. Les applications clientes de Bitwarden sont elles-mêmes open source, et Vaultwarden implémente une API documentée et publique. C’est exactement le genre d’interopérabilité que les licences open source existent pour permettre.

Faut-il payer pour les organisations ou la double authentification ?

Non. Vaultwarden débloque par défaut des fonctionnalités que l’offre cloud hébergée de Bitwarden réserve normalement aux comptes payants : organisations, génération TOTP, accès d’urgence.

Peut-on importer un coffre-fort Bitwarden existant dans Vaultwarden ?

Oui. Le format d’export propre à Bitwarden, JSON ou JSON chiffré, s’importe directement dans une nouvelle instance Vaultwarden via le même écran d’import du coffre web.