Gestionnaire de mots de passe open source : Vaultwarden vs Bitwarden en 2026

Adaptation en français : cet article est une traduction-adaptation de notre article original en anglais, Self-Hosted Password Manager: Vaultwarden vs Bitwarden in 2026, publié sur selfhostlab.io.

Vaultwarden est le gestionnaire de mots de passe open source que la communauté homelab installe le plus souvent : un serveur léger et non officiel qui reproduit fidèlement le protocole de Bitwarden, si bien que les applications et extensions officielles Bitwarden s’y connectent comme au vrai service. Bitwarden publie aussi sa propre version auto-hébergeable si vous préférez faire tourner le code de l’éditeur directement, et KeePassXC reste entièrement hors-ligne pour qui veut se passer complètement de serveur.

Précision utile avant d’aller plus loin : Vaultwarden n’est pas Bitwarden. C’est une réimplémentation communautaire et indépendante de l’API serveur de Bitwarden, sans lien officiel avec l’entreprise Bitwarden Inc. Cette confusion piège beaucoup de monde en cherchant « Bitwarden auto-hébergé », et autant être précis dès maintenant puisque la nuance revient tout au long de ce guide.

Que veut dire « auto-héberger » son gestionnaire de mots de passe ?

Avec un gestionnaire de mots de passe classique, le plan hébergé de Bitwarden, 1Password, Proton Pass, peu importe lequel, votre coffre-fort chiffré vit sur le serveur de quelqu’un d’autre. Vous restez le seul détenteur de la clé, le chiffrement se fait sur votre appareil avant tout envoi, mais le texte chiffré lui-même reste sur une infrastructure que vous ne contrôlez pas. L’auto-hébergement inverse ce schéma : vous faites tourner le logiciel serveur vous-même, sur un VPS, un mini PC, ou la même machine qui héberge déjà votre Jellyfin ou votre Immich, et le coffre-fort chiffré ne quitte jamais un matériel qui vous appartient. Le modèle de chiffrement côté client ne change pas d’un cas à l’autre. Ce qui change, c’est qui est responsable de garder le serveur à jour, sauvegardé, et joignable au bon moment.

Pourquoi les homelabbers auto-hébergent leur gestionnaire de mots de passe

Le raisonnement recoupe presque celui qui pousse à quitter Plex pour Jellyfin : les abonnements s’accumulent, et une fois qu’un homelab tourne déjà, un service auto-hébergé de plus ne coûte que de l’espace disque et de la RAM, pas un prélèvement mensuel. L’offre gratuite de Bitwarden est déjà généreuse, donc le coût n’est presque jamais le vrai déclencheur ici. C’est plutôt qu’un coffre-fort de mots de passe est exactement le genre de donnée qu’on veut garder sous contrôle total une fois qu’on a pris l’habitude d’auto-héberger le reste. Pour un public français, ça rejoint aussi une question de souveraineté numérique : auto-héberger son gestionnaire de mots de passe, c’est s’assurer qu’aucun historique de connexion, même chiffré, ne transite par l’infrastructure d’un tiers soumis à une juridiction étrangère. C’est un argument qu’on croise souvent dès qu’on parle RGPD et hébergement souverain avec d’autres homelabbers français.

Contrôle total sur l’endroit où vivent physiquement les données du coffre-fort
Aucun abonnement par utilisateur pour un usage personnel ou familial
Compatible avec tous les clients officiels Bitwarden : mobile, bureau, extension de navigateur
Rien de vos habitudes de connexion au coffre-fort ne finit dans les statistiques d’un éditeur

Est-ce vraiment prudent d’auto-héberger son gestionnaire de mots de passe ?

Avant de plaider la cause, voici les coûts réels sans les enjoliver, un coffre-fort de mots de passe n’est pas l’endroit où ne retenir que les avantages :

C’est vous qui appliquez les correctifs, gérez les sauvegardes, et gardez le certificat TLS valide
Si votre serveur ou votre sauvegarde disparaît, tous vos mots de passe disparaissent avec
Aucune assistance officielle 24h/24 à appeler quand quelque chose casse
Un reverse proxy ou un VPN fonctionnel est indispensable avant de le rendre joignable depuis l’extérieur

C’est une question légitime, et un vrai courant de pensée répond non, ne le faites pas. Un coffre-fort de mots de passe est un très mauvais endroit pour prendre des raccourcis. Si votre serveur Jellyfin tombe un week-end, vous ratez juste un film. Si votre serveur de mots de passe tombe sans que vous ayez prévu le coup, vous pouvez vous retrouver enfermé dehors de vos propres comptes. Les critiques ont raison sur un point : la sécurité ici repose entièrement sur la rigueur avec laquelle vous administrez votre propre serveur, pas sur l’équipe sécurité de Bitwarden, Vaultwarden ou Proton. Sautez le HTTPS, réutilisez un jeton admin faible, ne touchez jamais à vos sauvegardes, et vous aurez construit quelque chose de moins sûr que n’importe quelle offre grand public hébergée. C’est un coût réel, pas hypothétique, et je ne pense pas qu’il soit honnête de le balayer d’un revers de main.

L’argument inverse, celui qui pousse tant de homelabbers à sauter le pas malgré tout, c’est que le modèle de chiffrement ne change pas vraiment. Votre coffre-fort est chiffré de bout en bout sur votre appareil avant même d’atteindre le serveur, que ce serveur soit un Vaultwarden qui tourne dans votre garage ou le cloud de Bitwarden. Auto-héberger déplace surtout la frontière de confiance de l’infrastructure d’une entreprise vers votre propre infrastructure et vos propres habitudes. Si vous tenez déjà un homelab rigoureux, que vous appliquez les correctifs rapidement, et que vous gardez des sauvegardes réellement testées, c’est un compromis qui vaut le coup. Si vous savez que vous ne suivrez pas les mises à jour, un gestionnaire de mots de passe hébergé reste le choix par défaut le plus sûr, et il n’y a aucune honte à préférer cette option.

Vaultwarden vs Bitwarden : quelles sont les vraies différences ?

Les deux parlent le même protocole côté client, la confusion se comprend, mais ce sont deux équipes totalement différentes qui les construisent, pour des besoins différents.

Vaultwarden, maintenu par dani-garcia, est une réimplémentation entièrement recodée de l’API serveur de Bitwarden, écrite en Rust. Sa page GitHub précise noir sur blanc que « ce projet n’est pas associé à Bitwarden ou Bitwarden, Inc. », et il s’appelait autrefois bitwarden_rs avant d’être renommé spécifiquement pour éviter toute confusion de marque. Un de ses mainteneurs travaille d’ailleurs chez Bitwarden et contribue à titre personnel, mais le projet reste indépendant dans son fonctionnement. Sa taille explique pourquoi c’est le choix par défaut des homelabbers : un unique petit binaire qui parle à n’importe quel client Bitwarden officiel, pensé, selon les mots du projet lui-même, pour « un déploiement auto-hébergé là où faire tourner le service officiel, plus gourmand en ressources, ne serait pas idéal ».

La version officielle auto-hébergeable de Bitwarden est le vrai code de l’éditeur, pas une réimplémentation, et elle existe désormais sous deux formes. Le déploiement « standard » d’origine fait tourner onze conteneurs Docker distincts derrière une base de données Microsoft SQL Server, pensé pour les organisations qui ont besoin de toute la pile conformité et audit. Un déploiement « lite » plus récent réduit tout ça à un seul conteneur et ajoute la prise en charge de SQLite, MySQL et PostgreSQL en plus de MSSQL, avec un support ARM pour qui veut le faire tourner sur une carte type Raspberry Pi. L’écart avec Vaultwarden s’est nettement réduit, même si Vaultwarden reste l’option la plus légère et la plus éprouvée pour un usage individuel.

Les meilleurs gestionnaires de mots de passe auto-hébergés en un coup d’œil

Quatre options couvrent presque tous les besoins dans ce domaine, qu’on cherche du vrai auto-hébergement ou quelque chose qui s’en approche.

	Vaultwarden	Bitwarden (auto-hébergé)	KeePassXC	Proton Pass
Licence	AGPL-3.0, non officiel	Code officiel Bitwarden, open source	GPLv3, officiel	Propriétaire, cloud uniquement
Déploiement	Un seul conteneur Docker léger	1 conteneur (Lite) ou 11 conteneurs via Compose/Kubernetes (Standard)	Aucun serveur ; fichier chiffré local	Aucun déploiement ; entièrement hébergé par Proton
Compatible apps Bitwarden officielles	Oui	Oui, c’est Bitwarden	Non, applications propres uniquement	Non, applications propres uniquement
Empreinte typique	Un seul petit binaire Rust	Plus lourd ; Standard nécessite MSSQL, Lite est bien plus léger	Application de bureau minimale, aucun serveur	N/A, rien à faire tourner
Fonctions équipe & partage	Organisations, collections, groupes	Support complet des organisations, SSO, SCIM (Enterprise)	Aucune intégrée, partage de fichier manuel uniquement	Partage sur les offres Business
Coût	Gratuit	Gratuit à auto-héberger ; certaines fonctions d’organisation nécessitent une licence payante	Gratuit	Offre gratuite ; offres payantes pour les extras
Idéal pour	Homelabbers qui veulent l’empreinte la plus légère	Organisations ayant besoin d’un code supporté par l’éditeur, pour la conformité	Qui veut une exposition serveur nulle	Qui veut du chiffrement de bout en bout sans aucune maintenance

Comment auto-héberger Vaultwarden avec Docker

La documentation de Vaultwarden pointe vers ses images de conteneur officielles, publiées sur GitHub Container Registry, Docker Hub et Quay.io. Voici l’installation minimale, tirée directement du README du projet :

docker run --detach --name vaultwarden \
  --env DOMAIN="https://vw.votredomaine.tld" \
  --volume /vw-data/:/data/ \
  --restart unless-stopped \
  --publish 127.0.0.1:8000:80 \
  vaultwarden/server:latest

Pour tout ce que vous comptez garder en service durablement, un fichier Compose est plus adapté :

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vw.votredomaine.tld"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

Récupérez et démarrez le conteneur avec docker compose up -d, relié uniquement à localhost pour l’instant.
Placez un reverse proxy devant, Caddy, Nginx Proxy Manager, ou Traefik, avec un vrai certificat TLS. Le coffre web de Vaultwarden a besoin d’HTTPS parce que l’API Web Crypto du navigateur refuse de fonctionner hors d’un contexte sécurisé.
Définissez une variable d’environnement ADMIN_TOKEN pour que le backend /admin, où se gèrent utilisateurs et réglages, ne reste pas grand ouvert au premier venu qui tombe sur l’URL.
Pointez les applications Bitwarden officielles et l’extension de navigateur vers votre propre domaine plutôt que bitwarden.com, depuis l’écran des réglages de l’application, avant de vous connecter.
Mettez en place une sauvegarde planifiée du volume /data. C’est tout votre coffre-fort, et les mainteneurs de Vaultwarden le disent clairement : ils ne peuvent rien récupérer pour vous s’il disparaît.

Astuce : Caddy offre des certificats Let’s Encrypt gratuits et automatiques en à peine quatre lignes de configuration, ce qui explique pourquoi il revient si souvent dans les guides communautaires de Vaultwarden. Nginx Proxy Manager sacrifie un peu de cette simplicité contre une interface web, si vous préférez ne pas éditer de fichiers de configuration à la main.

Ne faites pas l’impasse sur les bases de sécurité. Vaultwarden comme la version auto-hébergée de Bitwarden partent du principe que vous savez déjà qu’il faut les placer derrière HTTPS et les garder à jour. Aucun des deux ne vous le rappellera comme le ferait un produit SaaS. Avant de pointer un téléphone vers votre serveur depuis l’extérieur de votre réseau domestique, il vous faut au minimum un certificat TLS valide (pas auto-signé, votre téléphone le rejettera), un jeton admin qui n’est pas celui par défaut, et une sauvegarde dont vous avez réellement testé la restauration. Un VPN maillé comme Tailscale ou WireGuard reste le moyen le plus simple d’atteindre votre coffre-fort à distance sans rien exposer à internet, le même conseil que nous donnerions pour un serveur Jellyfin ou une stack IA auto-hébergée.

Qu’en est-il de KeePassXC et Proton Pass ?

Vaultwarden et Bitwarden ont tous les deux besoin d’un serveur qui tourne quelque part, ce qu’évite justement KeePassXC. C’est un gestionnaire de mots de passe entièrement hors-ligne et multiplateforme, qui range tout dans un unique fichier .kdbx chiffré sur votre propre appareil, sans serveur, sans synchronisation intégrée. Besoin de l’avoir sur plusieurs appareils ? Vous synchronisez le fichier vous-même, via votre propre Nextcloud, Syncthing, ou un cloud classique, ce qui en fait sans doute la configuration auto-hébergée la plus simple du lot puisqu’il n’y a même pas de serveur à sécuriser au départ. Le projet a aussi été passé au crible de l’extérieur : KeePassXC 2.7.9 a obtenu un visa de sécurité de l’ANSSI, l’agence française de cybersécurité, après avoir réussi sa certification de sécurité de premier niveau, une reconnaissance qui parle particulièrement à un public français.

Proton Pass mérite d’être mentionné surtout pour l’écarter. Il est chiffré de bout en bout comme les autres, mais ce n’est pas de l’auto-hébergement du tout. C’est Proton qui fait tourner les serveurs, et vous faites confiance à leurs engagements de chiffrement zero-knowledge plutôt qu’à votre propre infrastructure. C’est un compromis raisonnable si vous avez décidé que l’auto-hébergement n’est vraiment pas pour vous, tout en refusant qu’un éditeur puisse lire votre coffre-fort. Ne le confondez simplement pas avec les options auto-hébergées ci-dessus, c’est une catégorie d’outil différente avec un argumentaire marketing qui se ressemble.

Les équipes et petites entreprises qui explorent ce sujet tomberont aussi sur Passbolt, une option open source et auto-hébergeable construite autour du partage par OpenPGP et d’un contrôle d’accès par rôles. À regarder de près si les fonctions d’organisation plus simples de Vaultwarden ne couvrent pas tout à fait vos besoins.

Lequel choisir vraiment ?

Si vous tenez un homelab et voulez le moins de friction possible, Vaultwarden est la réponse, et c’est celui sur lequel s’appuie ce guide pour une bonne raison : une empreinte minuscule, une compatibilité avec tous les clients Bitwarden officiels, et une communauté assez large pour que la plupart des problèmes aient déjà une solution documentée sur le forum Discourse ou le salon Matrix du projet. Tournez-vous plutôt vers le déploiement lite officiel de Bitwarden si vous avez spécifiquement besoin d’un code supporté par l’éditeur pour des raisons de conformité, ou si vous déployez ça pour une organisation plutôt que pour vous-même. Choisissez KeePassXC si faire tourner le moindre serveur, même petit, représente déjà plus de maintenance que vous n’en voulez. Et si après avoir lu tout ça vous décidez que l’auto-hébergement n’est vraiment pas pour vous, c’est aussi une conclusion parfaitement légitime. Proton Pass ou l’offre hébergée de Bitwarden vous donneront quand même un vrai chiffrement de bout en bout, sans aucune maintenance.

Si vous auto-hébergez déjà Ollama et Open WebUI, ou que vous faites tourner Jellyfin pour votre propre bibliothèque multimédia, un coffre-fort de mots de passe est la suite logique sur la même machine. Les mêmes habitudes Docker Compose, sauf que vous protégez cette fois quelque chose de plus sensible que des recommandations de films.

FAQ

Vaultwarden est-il sûr à utiliser ?

Vaultwarden utilise le même modèle de chiffrement de bout en bout que Bitwarden, votre coffre-fort est donc chiffré sur votre appareil avant même de toucher le serveur. En pratique, sa sécurité dépend surtout de la façon dont vous l’administrez, HTTPS, un vrai jeton admin, des mises à jour suivies, plus que du logiciel lui-même. Le projet a une communauté large et active, avec des années d’usage réel derrière lui.

Vaultwarden, est-ce la même chose que Bitwarden ?

Non. Vaultwarden est une réimplémentation indépendante et non officielle de l’API serveur de Bitwarden, construite et maintenue séparément de Bitwarden, Inc. Il est compatible avec les applications Bitwarden officielles, mais ce n’est pas le code de Bitwarden, et Bitwarden ne le prend pas en charge.

Faut-il Docker pour auto-héberger un gestionnaire de mots de passe ?

Pas strictement. Vaultwarden peut être compilé depuis les sources, et le déploiement standard de Bitwarden est antérieur à sa configuration actuelle en conteneurs. En pratique, presque tout le monde fait tourner Vaultwarden ou le déploiement lite de Bitwarden dans Docker. C’est le chemin documenté en premier par les deux projets, et celui qui bénéficie du plus d’aide communautaire en cas de problème.

Peut-on utiliser les applications Bitwarden officielles avec Vaultwarden ?

Oui, c’est tout l’intérêt de Vaultwarden. Chaque application Bitwarden officielle, mobile, bureau, chaque extension de navigateur, a un réglage pour pointer vers une URL de serveur personnalisée plutôt que bitwarden.com. Réglez-la sur votre propre domaine et les applications fonctionnent exactement comme face aux vrais serveurs de Bitwarden.

Que se passe-t-il si mon serveur de gestionnaire de mots de passe auto-hébergé tombe ?

Vous perdez l’accès à votre coffre-fort jusqu’à ce qu’il revienne en ligne. C’est le vrai coût de l’auto-hébergement dans ce domaine. Ce qui est déjà mis en cache localement dans une application où vous étiez connecté continue généralement de fonctionner un moment, mais les nouvelles connexions et la synchronisation s’arrêtent. C’est pour ça qu’une sauvegarde testée et un minimum de supervision de disponibilité comptent ici plus que pour presque tout ce que vous auto-hébergez par ailleurs.

Auto-héberger un gestionnaire de mots de passe est-il légal ?

Oui. Vaultwarden, la version auto-hébergée de Bitwarden, et KeePassXC sont tous des logiciels open source ou officiellement publiés en règle, sans différence légale avec n’importe quel autre programme installé sur du matériel qui vous appartient.

Un coffre-fort de mots de passe trouve naturellement sa place dans un homelab soucieux de confidentialité. Notre guide des meilleurs outils d’IA auto-hébergés couvre Ollama, Open WebUI et n8n dans le même esprit auto-hébergé en priorité, et notre comparatif Jellyfin vs Plex est souvent le point de départ de l’habitude homelab de ce public. Le hub Homelab et le hub Réseau & Sécurité rassemblent tout le reste de ce dossier au fur et à mesure des publications.