Vaultwarden

Description

Vaultwarden est une réécriture non-officielle du serveur Bitwarden en Rust, beaucoup plus légère que l'original. Elle supporte tous les clients Bitwarden (browser, mobile, desktop) et inclut :

• Stockage chiffré de mots de passe
• Authentification 2FA (TOTP, WebAuthn, YubiKey, Duo, Email)
• Partage sécurisé entre utilisateurs
• Génération de mots de passe
• Audit des mots de passe compromis (HaveIBeenPwned)
• Fichiers joints chiffrés
• API compatible avec tous les clients Bitwarden officiels

Avantage clé : consomme ~100 Mo de RAM (vs 1+ Go pour le serveur officiel Bitwarden en C#/.NET).

Installation

Docker Compose (recommandé)

version: '3.8'
services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      - DOMAIN=https://vault.example.com
      - SIGNUPS_ALLOWED=true
      - INVITATIONS_ALLOWED=true
      - SHOW_PASSWORD_HINT=false
      - LOG_LEVEL=info
      - ROCKET_PORT=80
    volumes:
      - ./data:/data
    ports:
      - "8080:80"

Avec Traefik (reverse proxy)

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      - DOMAIN=https://vault.example.com
      - SIGNUPS_ALLOWED=true
      - LOG_LEVEL=info
    volumes:
      - vw-data:/data
    labels:
      - "traefik.enable=true"
      - "traefik.http.routers.vaultwarden.rule=Host(`vault.example.com`)"
      - "traefik.http.routers.vaultwarden.entrypoints=websecure"
      - "traefik.http.routers.vaultwarden.tls.certresolver=letsencrypt"
    networks:
      - proxy

volumes:
  vw-data:

networks:
  proxy:
    external: true

Configuration

1. Démarrer le conteneur (Docker Compose ci-dessus)
2. Créer un compte sur https://vault.example.com
3. Désactiver les inscriptions après votre premier compte
4. Activer le 2FA dans les paramètres
5. Installer les clients : extension Bitwarden (browser), app Bitwarden (mobile/desktop)

Alternatives

Open Source

• Bitwarden — Serveur officiel (plus lourd, C#/.NET)
• Passbolt — Orienté équipes, PHP
• KeePassXC — Local only (pas de sync cloud)

Propriétaires

• 1Password — Propriétaire, ~60$/an
• LastPass — Piraté en 2022, déconseillé
• Dashlane — Propriétaire

Sécurité

• Chiffrement AES-256 côté serveur, zéro-knowledge
• 2FA : TOTP, WebAuthn/FIDO2, YubiKey, Duo, Email
• Backups : la base SQLite est dans ./data
• HTTPS obligatoire : ne jamais exposer en HTTP

Ressources

• Documentation officielle
• GitHub
• Reddit r/Vaultwarden