Se rendre au contenu

Vaultwarden : votre coffre de mots de passe, chez vous

Le rapport qui liste les mots de passe réutilisés et compromis de toute l'équipe, les clés d'accès qui restent dans l'entreprise quand la personne part, et le calcul réel pour vingt personnes.


Hey, ce guide technique pourrait être utile à notre administrateur.trice!
​ ​ ​ ​ ​ ​- Vous, probablement sur téléchargement du guide


Votre responsable des comptes fournisseurs quitte l'entreprise un vendredi. Le lundi matin, personne ne sait exactement quels accès elle avait. Le portail de la banque, le compte du fournisseur d'électricité, le service de paie, deux boutiques en ligne, le registraire du nom de domaine. Les mots de passe étaient dans sa tête, dans son navigateur, et dans un fichier Excel que trois personnes ont modifié depuis 2022. On change lesquels, au juste?

C'est le moment précis où un gestionnaire de mots de passe cesse d'être une bonne pratique abstraite. La liste des comptes à changer existe, ou elle n'existe pas.

L'édition 2026 du rapport Verizon sur les brèches de données corrige au passage un chiffre que beaucoup citent encore de travers. Pour la première fois en dix-neuf ans, l'exploitation de vulnérabilités logicielles (31 %) a dépassé les identifiants volés comme première porte d'entrée, et l'abus d'identifiants comme point d'entrée initial est passé de 22 % à 13 %. Les identifiants restent partout ailleurs dans la chaîne : en comptant leur intervention à n'importe quelle étape d'une brèche, ils apparaissent dans 39 % des cas, et la moitié des victimes de rançongiciel avaient subi une fuite d'identifiants dans les 95 jours précédant l'attaque.

Vaultwarden en une phrase

Bitwarden, c'est des applications (extension de navigateur, mobile, ordinateur) et un serveur avec lequel elles parlent. Bitwarden inc. opère ce serveur et vend l'accès par utilisateur. Vaultwarden est une deuxième écriture de ce serveur, réalisée par d'autres personnes, qui parle exactement le même langage que les applications officielles. Vos employés installent l'extension Bitwarden habituelle. Elle pointe vers votre machine au lieu de celles de Bitwarden inc.

Le projet n'est pas affilié à Bitwarden inc., et le dit lui-même dans son dépôt, tout en signalant qu'un de ses mainteneurs actifs travaille chez Bitwarden et contribue à titre personnel. Il est publié sous licence libre AGPLv3.

La suite de cet article laisse de côté l'installation, qui est un sujet d'administrateur, pour regarder ce que vos employés et vous en tirez au quotidien. Si c'est justement le côté technique qui vous amène ici, notre aide-mémoire d'administration tient sur une page, en PDF : les réglages du premier jour, les fichiers à sauvegarder, le durcissement et les limites connues.

Le rapport qui vous dit où ça cloche

Demandez à votre équipe si quelqu'un réutilise le même mot de passe sur plusieurs services. Vous obtiendrez des réponses honnêtes et fausses, parce que personne ne se souvient vraiment. C'est une question à laquelle on répond avec une liste, pas avec un sondage.

Le coffre produit cette liste. Cinq rapports, chacun répondant à une question précise :

Rapport Ce qu'il vous montre
Mots de passe réutilisés Les mots de passe employés à plus d'un endroit. Un seul service compromis les rend tous à risque
Mots de passe faibles Ceux qu'un outil automatisé devine rapidement, classés par gravité
Mots de passe exposés Ceux qui apparaissent déjà dans des fuites de données publiques
Sites non sécurisés Les comptes enregistrés sur une adresse qui ne chiffre pas la connexion
Double authentification inactive Les services qui offrent la double authentification sans que vous l'ayez activée

Le dernier est souvent le plus utile. Beaucoup d'entreprises paient pour des outils qui offrent la double authentification sans que personne ne l'ait jamais activée, et personne ne le sait parce que personne n'a la liste.

Deux nuances à connaître. Chez Bitwarden, ces rapports sont réservés aux forfaits payants, individuels ou d'organisation. Sur un serveur Vaultwarden, ils sont accessibles sans supplément. Et la partie qui vérifie si vos adresses courriel figurent dans des fuites connues s'appuie sur le service Have I Been Pwned, dont l'accès par programme demande un abonnement à ce service : c'est une dépense distincte, modeste, à prévoir si vous y tenez.

Les clés d'accès, et pourquoi elles concernent l'entreprise

Une clé d'accès remplace le mot de passe par une paire de clés cryptographiques. Le site conserve la partie publique, votre appareil garde la partie privée, et rien de réutilisable ne transite au moment de la connexion. Il n'y a plus de mot de passe à deviner, à revendre après une fuite, ni à taper dans un faux site.

Ce n'est plus un sujet d'avant-garde. La FIDO Alliance recensait cinq milliards de clés d'accès en usage en mai 2026, avec 75 % des gens qui en ont activé au moins une et 68 % des organisations sondées qui en ont déployé ou sont en train d'en déployer pour la connexion de leurs employés. La lecture prudente : ce sondage patronal portait sur des organisations de 500 employés et plus, donc plus grosses que la PME québécoise moyenne.

Le piège pour une entreprise n'est pas la technologie, il est dans l'endroit où la clé se range. Créée par défaut, une clé d'accès vit dans le téléphone ou l'ordinateur de la personne qui l'a créée, dans son compte personnel Apple ou Google. Le jour où cette personne part, la clé du compte d'affaires part avec elle, et il n'y a pas de mot de passe à changer pour reprendre la main : il faut refaire la procédure de récupération du service, une par une.

Ranger les clés d'accès dans le coffre d'équipe règle exactement ce problème. Elles sont créées et utilisées depuis l'extension de navigateur et les applications mobiles Bitwarden, elles vivent dans le coffre de l'entreprise, et elles survivent au départ de la personne. C'est le même raisonnement que pour les mots de passe partagés, appliqué à ce qui est en train de les remplacer.

Trois questions à poser avant d'adopter les clés d'accès dans une entreprise :

  1. Où se rangent les clés que vos employés créent aujourd'hui : dans leur compte personnel, ou dans un coffre qui appartient à l'entreprise?
  2. Quels services critiques les acceptent déjà? La banque et le fournisseur infonuagique valent le détour avant les réseaux sociaux.
  3. Que se passe-t-il si l'appareil qui porte la clé se perd? Une clé rangée dans le coffre se retrouve, une clé enfermée dans un téléphone se récupère auprès de chaque service.

Le calcul, pour une équipe de vingt personnes

Le compte gratuit de Bitwarden couvre une seule personne, sans partage. L'organisation gratuite permet de partager entre deux personnes, dans deux collections. Au-delà, c'est payant. Rien d'anormal : le partage d'équipe et les rapports de santé sont exactement ce qu'une PME vient chercher.

Option Coût annuel, 20 personnes Ce que vous gérez
Bitwarden, organisation gratuite 0 $ Rien, mais plafonné à 2 personnes et 2 collections, sans rapports
Bitwarden Teams 960 $ US Rien
Bitwarden Enterprise 1 440 $ US Rien. Ajoute l'authentification unique et les politiques d'entreprise
Vaultwarden auto-hébergé 0 $ de licence Le serveur, les sauvegardes, les mises à jour

Les tarifs de Bitwarden sont affichés en dollars américains et facturés à l'année : 4 $ US par personne par mois pour Teams, 6 $ US pour Enterprise. Pour une PME québécoise, ajoutez la conversion et sa variation d'une année à l'autre.

Neuf cent soixante dollars par année pour vingt personnes, ce n'est pas un montant qui fait mal. Et la colonne de droite du tableau n'est pas gratuite non plus. Un serveur qui héberge les mots de passe de l'entreprise demande une machine, des mises à jour appliquées, et une sauvegarde dont quelqu'un vérifie vraiment la restauration. Ce dernier point n'est pas une formalité : le coffre est chiffré de bout en bout, donc une sauvegarde volée n'est pas un coffre volé, mais une sauvegarde perdue est un coffre perdu que personne ne peut déchiffrer à votre place.

Quand l'abonnement reste le bon choix

Si vous n'avez aucun serveur et personne pour appliquer les correctifs, payez l'abonnement. Un coffre auto-hébergé qu'on ne met plus à jour est un problème plus cher que 960 $ par année.

Si vous faites déjà tourner quelque chose (un Nextcloud, un Odoo, un site web) et que quelqu'un s'occupe de ces machines tous les mois, Vaultwarden s'ajoute à une routine qui existe. L'économie n'est même pas l'argument principal. Le coffre vit sur une infrastructure que vous contrôlez, dans le pays de votre choix.

Et si votre politique de sécurité exige des rôles sur mesure, l'authentification unique imposée à tous ou une synchronisation avec votre annuaire d'entreprise, l'offre officielle Enterprise fait des choses que Vaultwarden ne fait pas.

Le vendredi où quelqu'un part

Retour au scénario du début. Avec un coffre d'équipe, la séquence prend une dizaine de minutes : on révoque le compte, on ouvre la liste des collections auxquelles la personne avait accès, et on change les mots de passe partagés qui s'y trouvent. La liste est finie et elle est à l'écran.

Ce que le coffre ne fait pas, par contre, c'est effacer ce que quelqu'un a retenu. Révoquer l'accès n'annule pas la mémoire. Ce qui règle la question, c'est la rotation des mots de passe partagés, pas la révocation. Le coffre sert à ça : il transforme « on ne sait pas trop ce qu'elle connaissait » en une liste précise de douze entrées à changer. C'est exactement le trou que décrit notre checklist d'arrivée et de départ.

Ce que Vaultwarden ne fait pas

Le projet tient lui-même la liste de ce qui manque par rapport au serveur officiel. Peu d'éditeurs commerciaux en font autant.

Sur les clés d'accès, la nuance vaut la peine d'être comprise : les ranger dans le coffre et s'en servir pour ouvrir vos comptes fonctionne, mais ouvrir le coffre lui-même avec une clé d'accès n'est pas encore possible. Il faut toujours un mot de passe maître, accompagné d'un deuxième facteur.

Sont aussi absentes la protection à la connexion depuis un nouvel appareil et la synchronisation complète avec un annuaire d'entreprise. Et sont peu susceptibles d'arriver : les rôles sur mesure, ainsi que certaines politiques d'entreprise comme imposer l'authentification unique, forcer une expiration de session ou empêcher un employé d'exporter son coffre personnel. Ce dernier surprend souvent. Si votre politique interne dit que personne ne peut exporter son coffre, Vaultwarden ne l'appliquera pas à votre place.

Peut-on faire confiance à un projet communautaire

Confier les mots de passe de l'entreprise à un logiciel écrit par des bénévoles soulève une question légitime. Deux réponses publiques existent.

L'office fédéral allemand de la sécurité informatique a soumis Vaultwarden à une analyse de code dans le cadre de son programme d'audit de logiciels libres, avec des rapports publiés en 2024 en allemand et en traduction anglaise. En octobre 2024, la firme ERNW a mené un test d'intrusion et a trouvé trois vulnérabilités, dont un contournement d'authentification, divulgué de façon responsable et corrigé quelques versions plus tard.

Se faire auditer par une agence fédérale, corriger la faille et laisser publier le détail : c'est un dossier plus transparent que celui de bien des logiciels commerciaux. Le serveur, lui, reste sous votre responsabilité.

Où le coffre doit vivre

Un coffre de mots de passe est la cible la plus rentable de toute votre infrastructure. Il contient les clés des systèmes qui traitent votre paie, vos dossiers clients et vos comptes bancaires. L'endroit où il est hébergé n'est donc pas un détail d'intendance.

La Loi 25 encadre la communication de renseignements personnels à l'extérieur du Québec, et un coffre d'entreprise contient au minimum les identifiants nominatifs de vos employés. La question de la juridiction se pose avant l'installation, pas après le premier incident.

On met en place des coffres Vaultwarden pour des équipes : accès structurés par département, double authentification imposée, sauvegardes vérifiées. Mettons de l'ordre dans vos accès.

Par où commencer cette semaine

Avant même de choisir entre l'abonnement et l'auto-hébergement, un exercice d'une heure. Écrivez la liste des comptes partagés de l'entreprise : le portail bancaire, le registraire du domaine, les réseaux sociaux, le fournisseur infonuagique, l'assurance collective. Pour chacun, notez combien de personnes le connaissent, et combien d'entre elles travaillent encore chez vous.

Cette liste est le vrai livrable. Le coffre, ensuite, n'est que l'endroit où elle vit, et les rapports vous diront lesquels de ces mots de passe étaient déjà à changer.

Si vos mots de passe sont encore éparpillés entre un chiffrier et quelques têtes, écrivez-nous.

Sources

Stirling-PDF : tout ce qu'Adobe Acrobat fait, en libre
Fusionner, découper, signer, compresser, convertir, reconnaître le texte : une boîte à outils PDF complète, auto-hébergée, sans abonnement par poste et sans téléverser vos documents n'importe où.