Vaultwarden remplace Bitwarden partout où vous auto-hébergez vos mots de passe

Le 24 juillet 2026, Vaultwarden publie sa version 1.37.0 — une mise à jour qui corrige sept vulnérabilités de sécurité et maintient la compatibilité avec les clients Bitwarden 2026.7.0+. Le projet affiche aujourd’hui 64 500 étoiles GitHub, 3 100 forks et une communauté active sur Matrix, GitHub Discussions et Discourse. Il est maintenu par une équipe dont l’un des contributeurs est employé par Bitwarden lui-même — un signal de maturité que peu de projets alternatifs peuvent revendiquer.

C’est le moment de poser la question frontalement : pourquoi quelqu’un qui auto-héberge ses mots de passe utiliserait-il encore le serveur Bitwarden officiel ? La réponse tient en trois chiffres : 50 Mo de RAM pour Vaultwarden, 2 Go pour l’officiel. SQLite par défaut contre SQL Server obligatoire. Un conteneur Docker au lieu de douze. La messe est dite.

Bitwarden réécrit en Rust — et réduit d’un facteur 40

Vaultwarden est né sous le nom de bitwarden_rs en 2018, créé par Daniel García avec un objectif simple : fournir un serveur compatible avec l’API Bitwarden sans embarquer la pile .NET et SQL Server qui plombent l’implémentation officielle. Le projet a été renommé en Vaultwarden avec la version 1.21.0 en 2021 pour se démarquer clairement de la marque Bitwarden.

Le choix de Rust est le premier facteur d’efficacité. Là où le serveur officiel tourne sous .NET avec SQL Server — une stack qui exige au minimum 2 Go de RAM rien que pour la base de données, sans compter les microservices annexes — Vaultwarden compile en un seul binaire natif qui embarque tout : API, vault web, et stockage. Résultat : l’image Docker officielle pèse moins de 100 Mo compressée, et une instance au repos consomme entre 40 et 80 Mo de RAM selon la configuration. Sur un Raspberry Pi 4, elle ne dépasse pas les 100 Mo même en production avec plusieurs utilisateurs.

Le stockage par défaut est SQLite — aucun SGBD externe à gérer. Si votre usage dépasse la dizaine d’utilisateurs simultanés, Vaultwarden supporte aussi MySQL et PostgreSQL via la variable DATABASE_URL. Mais pour un foyer, une famille ou une petite équipe, SQLite tient la charge sans broncher.

Ce que Vaultwarden débloque gratuitement — et que Bitwarden vous facture

Le modèle économique de Bitwarden repose sur un étagement de fonctionnalités : le plan gratuit couvre l’essentiel, mais le TOTP intégré, les pièces jointes chiffrées, l’accès d’urgence, les rapports de santé du coffre et les organisations avec partage de collections sont réservés aux abonnements Premium (10 $/an) ou Families (40 $/an).

Vaultwarden ne connaît pas de paywall. Toutes ces fonctionnalités sont disponibles sans restriction :

• TOTP intégré : générez vos codes 2FA directement dans l’entrée du coffre, sans application d’authentification séparée. Le code est copié automatiquement dans le presse-papiers après l’autofill du mot de passe.
• Pièces jointes chiffrées : attachez des fichiers à n’importe quelle entrée du coffre — copie de passeport, clés SSH, sauvegarde de seed phrase. Chiffrement de bout en bout, stocké sur votre disque.
• Organisations et partage : créez des collections, partagez des identifiants avec votre famille ou votre équipe, gérez les rôles (administrateur, manager, utilisateur) et les politiques de sécurité — le tout sans abonnement.
• Accès d’urgence : désignez un contact de confiance qui pourra accéder à votre coffre après un délai configurable, sans que Bitwarden Inc. n’intervienne.
• Rapports de santé : mots de passe réutilisés, fuite dans une brèche connue, force des mots de passe — les mêmes rapports que le plan Premium, exécutés localement.
• Send : partagez un fichier (jusqu’à 500 Mo) ou un texte chiffré via un lien éphémère, protégé par mot de passe et date d’expiration.
• Passkeys (FIDO2/WebAuthn) : stockez et utilisez des passkeys pour vous authentifier sur les sites compatibles, sans mot de passe classique.
• SSO : Vaultwarden 1.37.0 améliore le support de l’authentification unique, utile pour les organisations qui veulent fédérer l’accès au coffre.

Aucune de ces fonctionnalités n’est bridée par une limite d’utilisateurs ou de synchronisations. Le client officiel Bitwarden — application desktop, mobile, extension navigateur, CLI — fonctionne avec Vaultwarden sans modification : vous remplacez simplement l’URL du serveur dans les paramètres.

Un déploiement qui tient en trois commandes

Le docker-compose.yml minimal pour une instance Vaultwarden est à peine plus long qu’un tweet :

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.domaine.fr"
    volumes:
      - ./vw-data/:/data/
    ports:
      - 127.0.0.1:8000:80

docker compose up -d

Voilà. Pas de base de données séparée, pas de Redis, pas de file d’attente, pas de douze conteneurs à orchestrer. L’interface d’administration est accessible via /admin avec un token configuré dans la variable ADMIN_TOKEN. Elle permet de gérer les utilisateurs, les invitations, les organisations, et les politiques de sécurité — le tout dans une interface web propre.

La seule contrainte absolue est l’obligation d’utiliser HTTPS. Le vault web s’appuie sur l’API Web Crypto, qui n’est disponible que dans un contexte sécurisé. Un reverse proxy — Caddy, Nginx ou Traefik — avec un certificat Let’s Encrypt résout le problème en cinq minutes. Le dépôt GitHub fournit des exemples de configuration pour tous les proxies courants.

Trois précautions à prendre au déploiement. Premièrement, épinglez la version avec un tag exact (1.37.0, pas latest) dans votre fichier Compose pour éviter une montée de version surprise lors d’un docker compose pull. Deuxièmement, n’exposez jamais le port 80 directement sur Internet : le trafic non chiffré vers un gestionnaire de mots de passe est un suicide opérationnel. Troisièmement, désactivez SIGNUPS_ALLOWED=true après avoir créé votre compte — sinon n’importe qui peut s’inscrire sur votre instance.

Vous seul détenez les secrets — à condition de sauvegarder

Le modèle de sécurité de Vaultwarden est le même que celui de Bitwarden : chiffrement de bout en bout côté client. Le serveur ne voit jamais vos mots de passe en clair. Votre coffre est chiffré avec votre mot de passe maître avant de quitter votre appareil ; le serveur stocke du ciphertext, pas du texte. Même avec un accès root à la machine qui héberge Vaultwarden, un attaquant ne peut pas déchiffrer le contenu des coffres sans le mot de passe maître de chaque utilisateur.

Ce modèle a une contrepartie directe : si vous perdez votre mot de passe maître, vos données sont irrécupérables. Il n’y a pas de « réinitialisation de mot de passe » possible — ce serait une porte dérobée. La seule option offerte par l’administrateur est de supprimer le compte et de repartir de zéro.

Ce que le chiffrement ne protège pas, c’est la disponibilité de vos données. Un disque qui lâche, une suppression accidentelle du volume Docker, une corruption SQLite — et votre coffre disparaît. La documentation officielle recommande une sauvegarde automatisée du répertoire /data (qui contient db.sqlite3, les pièces jointes et les fichiers de configuration). Pour un foyer, un simple rsync quotidien vers un NAS ou un bucket S3 suffit ; pour une organisation, la stratégie 3-2-1 (trois copies, deux supports, une hors site) reste la référence.

Côté durcissement, la version 1.37.0 a corrigé sept vulnérabilités de niveau Medium (CVSS 4.3 à 6.3), dont une faille SSRF sur le endpoint d’icônes et un cross-organization cipher access. L’équipe maintient une politique de divulgation coordonnée : les advisories sont publiées sur GitHub après attribution des CVE. Si vous auto-hébergez, vous êtes responsable de l’application de ces correctifs — c’est le prix de la souveraineté.

Verdict

Vaultwarden est le standard de facto du gestionnaire de mots de passe auto-hébergé. Il n’y a pas de débat : le projet implémente la quasi-totalité de l’API Bitwarden, tous les clients officiels sont compatibles, les fonctionnalités Premium sont gratuites, et l’empreinte mémoire est quarante fois inférieure à celle du serveur officiel.

La question n’est pas « Vaultwarden ou Bitwarden officiel ? » — à moins que vous n’ayez besoin de SCIM, de directory sync ou de SSO avec votre IdP corporate, l’officiel n’a aucun argument. La vraie question est « auto-hébergement ou service cloud ? », et elle dépend de votre discipline opérationnelle.

Si vous êtes prêt à sauvegarder quotidiennement, appliquer les mises à jour sous 48 heures et surveiller les advisories de sécurité, Vaultwarden est strictement supérieur : vous seul détenez vos secrets, vous ne dépendez d’aucun abonnement, et personne ne peut décider unilatéralement de fermer votre compte ou de changer les conditions d’utilisation.

Si cette discipline vous pèse, Bitwarden Cloud à 10 $ par an reste un excellent service — audité, certifié SOC 2, maintenu par une équipe salariée. Mais ne vous y trompez pas : ce n’est pas Vaultwarden qui est moins bon. C’est vous qui déléguez la responsabilité.

Références

• Vaultwarden GitHub — dani-garcia/vaultwarden
• Vaultwarden 1.37.0 Release Notes
• Vaultwarden Wiki — Installation et configuration
• Vaultwarden.com — Site communautaire
• Noted.lol — Self-Host Vaultwarden Password Manager
• Bitwarden Help Center
• Bitwarden vs Vaultwarden Self-Hosted — Secure Tools Guide