Confier ses mots de passe à un service cloud américain, c’est pratique, mais c’est aussi remettre les clés de toute sa vie numérique à un tiers. En 2026, après une nouvelle série de fuites de données chez de grands gestionnaires commerciaux, l’auto-hébergement de son coffre-fort de mots de passe n’est plus une lubie de geek : c’est une décision de souveraineté rationnelle. Mais quelle solution choisir ? Le terrain est plus riche qu’on ne le croit, entre la compatibilité Bitwarden de Vaultwarden, l’approche entreprise de Passbolt, le fichier chiffré local de KeePassXC synchronisé soi-même, et des outsiders comme Psono.

On a testé, déployé et stressé ces solutions. Ce guide les compare sans complaisance sur les critères qui comptent vraiment : modèle de chiffrement, partage en équipe, qualité des clients, facilité de déploiement et profil d’utilisateur. À la fin, vous saurez quel coffre-fort correspond à votre situation, du particulier au DSI d’une PME.

Tableau comparatif

Critère	Vaultwarden	Passbolt	KeePassXC + sync	Psono
Modèle	Serveur (compatible Bitwarden)	Serveur (orienté équipe)	Fichier local chiffré	Serveur
Architecture	Docker (Rust)	Docker (PHP/Node)	App locale + sync fichier	Docker
Chiffrement	AES-256, zero-knowledge	OpenPGP par utilisateur	AES-256 / ChaCha20 (KDBX4)	Client-side
Clients officiels	Tous (apps Bitwarden)	Navigateur + desktop	Desktop + apps tierces	Navigateur + mobile
Remplissage navigateur	Excellent	Bon	Via extension/intégration	Bon
Partage en équipe	Oui (organisations)	Oui (cœur du produit)	Limité (fichiers partagés)	Oui (granulaire)
Empreinte ressources	Très légère (< 100 Mo)	Moyenne	Quasi nulle (pas de serveur)	Moyenne
Facilité déploiement	Très facile	Moyenne	Aucun serveur à gérer	Moyenne
2FA / clés matérielles	TOTP, WebAuthn, YubiKey	YubiKey, TOTP	YubiKey (défi-réponse)	TOTP, YubiKey
Licence	AGPL/GPL	AGPL	GPL	Apache 2.0
Idéal pour	Particulier, famille, homelab	PME, équipes structurées	Puriste, hors-ligne	Équipe technique

Vaultwarden : le choix par défaut, et pour de bonnes raisons

Vaultwarden est une réimplémentation légère en Rust du serveur Bitwarden. Sa magie : il parle le même protocole que Bitwarden, donc tous les clients officiels Bitwarden fonctionnent avec lui — extensions navigateur, applications iOS/Android, clients desktop, CLI. Vous bénéficiez de l’écosystème mature et de l’excellente UX de Bitwarden, mais sur votre propre serveur, sans abonnement et sans limite de stockage.

Côté ressources, c’est imbattable : moins de 100 Mo de RAM, une base SQLite par défaut, un déploiement Docker en quelques minutes. Le chiffrement est zero-knowledge (vos données sont chiffrées côté client avant transmission ; le serveur ne voit jamais vos mots de passe en clair), avec dérivation de clé Argon2id et support de la double authentification (TOTP, WebAuthn, YubiKey). Les fonctionnalités d’organisation permettent le partage en famille ou en petite équipe.

Pour un particulier, une famille ou un homelab, Vaultwarden est tout simplement le meilleur rapport simplicité/fonctionnalités/légèreté du marché. Ses limites apparaissent à grande échelle : il n’est pas pensé pour des centaines d’utilisateurs avec gestion d’accès d’entreprise (SSO SAML/SCIM natif), domaine où Bitwarden commercial ou Passbolt prennent l’avantage. Mais pour 95 % des auto-hébergeurs, c’est la réponse.

On a consacré un comparatif complet à la question « faut-il s’auto-héberger ou prendre Bitwarden Cloud ? » : Vaultwarden vs Bitwarden Cloud. Et on détaille son installation pas à pas dans notre tutoriel Vaultwarden Docker + HTTPS.

Conseil : Vaultwarden tourne sans broncher sur le plus petit des VPS. Un plan d’entrée de gamme NVMe chez Hetzner ou OVHcloud suffit largement, ce qui en fait l’un des services auto-hébergés les moins chers à faire tourner.

Passbolt : le coffre-fort pensé pour les équipes

Passbolt aborde le problème sous l’angle de l’entreprise. Là où Vaultwarden est centré sur l’utilisateur, Passbolt est centré sur le partage sécurisé en équipe. Son architecture repose sur OpenPGP : chaque utilisateur possède sa propre paire de clés, et le partage d’un secret consiste à le chiffrer pour les clés publiques des destinataires autorisés. C’est un modèle cryptographique élégant et auditable, particulièrement adapté aux équipes techniques qui partagent des secrets d’infrastructure (clés API, accès serveurs, identifiants partagés).

La gestion des droits est granulaire : groupes, rôles, permissions par ressource, journal d’audit. Passbolt s’intègre dans des workflows d’équipe et propose des fonctionnalités de gouvernance que Vaultwarden n’a pas. L’édition Community est gratuite et open-source ; des éditions Pro ajoutent SSO, journalisation avancée et support.

Les contreparties : le déploiement est plus lourd (PHP, base MySQL/MariaDB, génération de clés GPG, configuration HTTPS stricte obligatoire), et l’expérience utilisateur grand public est moins fluide que celle de Bitwarden/Vaultwarden. L’extension navigateur exige le déchiffrement par la clé privée, ce qui ajoute des étapes. Pour un usage purement personnel, Passbolt est surdimensionné. Pour une PME ou une équipe DevOps qui partage des secrets sensibles, c’est un excellent choix.

KeePassXC + synchronisation : le puriste sans serveur

KeePassXC inverse complètement le paradigme : pas de serveur du tout. Vos mots de passe vivent dans un unique fichier chiffré (format KDBX4, AES-256 ou ChaCha20, avec dérivation Argon2). Ce fichier, vous le synchronisez vous-même par le moyen de votre choix : Nextcloud, Syncthing, un dépôt Git chiffré, un cloud quelconque (le fichier étant chiffré, le canal de transport importe peu).

L’avantage est radical : aucune surface d’attaque serveur. Pas de port ouvert, pas de service à maintenir, pas de CVE à patcher. Le fichier chiffré est inutilisable sans le mot de passe maître (et éventuellement un fichier-clé ou une YubiKey en défi-réponse). C’est la solution préférée des puristes de la sécurité et de ceux qui veulent un coffre-fort totalement hors-ligne ou souverain.

Les inconvénients tiennent à l’absence de serveur : la synchronisation multi-appareils est manuelle et peut générer des conflits si vous éditez le fichier simultanément sur deux appareils. Le partage en équipe est rudimentaire (un fichier partagé, pas de gestion fine des droits). Le remplissage automatique dans le navigateur passe par une extension (KeePassXC-Browser) qui dialogue avec l’application desktop, ce qui demande que celle-ci soit ouverte. Sur mobile, on s’appuie sur des applications tierces compatibles KDBX. C’est puissant mais moins fluide que les solutions serveur.

Conseil : Pour synchroniser votre fichier KDBX entre appareils sans dépendre d’un cloud public, Syncthing en pair-à-pair ou un Nextcloud auto-hébergé sont idéaux. Voir notre tuto héberger Nextcloud sur un VPS.

Psono : l’outsider orienté secrets techniques

Psono est moins connu mais mérite sa place. C’est un gestionnaire serveur open-source orienté équipes et secrets d’infrastructure, avec chiffrement côté client, partage granulaire, API pour l’automatisation (intégration CI/CD, récupération de secrets par script) et support des clés matérielles. Son interface est sobre et technique.

Psono se positionne entre Vaultwarden (grand public, compatible Bitwarden) et Passbolt (équipe, OpenPGP) : il vise les équipes techniques qui veulent gérer des secrets via API autant que via l’interface, avec une approche « secrets management » proche de ce que fait Vault de HashiCorp, mais en plus léger et accessible. Pour une équipe DevOps qui mêle mots de passe humains et secrets machine, c’est une alternative crédible. Pour un particulier, Vaultwarden reste plus simple.

Cas d’usage : lequel pour vous ?

Vous êtes un particulier ou une famille. Vaultwarden, sans hésiter. La meilleure UX, les meilleurs clients, le déploiement le plus simple, l’empreinte la plus légère. C’est le défaut intelligent.

Vous gérez les secrets d’une PME ou d’une équipe structurée. Passbolt. Le modèle OpenPGP par utilisateur, la gestion fine des droits et l’audit en font le coffre-fort d’équipe le plus sérieux en open-source.

Vous êtes un puriste de la sécurité, vous voulez du hors-ligne et zéro serveur. KeePassXC avec synchronisation maison. Aucune surface d’attaque réseau, contrôle total, format ouvert et pérenne.

Vous êtes une équipe technique qui automatise la récupération de secrets. Psono (ou Vaultwarden + son CLI). L’API et l’orientation secrets machine font la différence dans les workflows CI/CD.

Vous hésitez entre auto-héberger et un service managé. Lisez d’abord notre analyse coût/sécurité Vaultwarden vs Bitwarden Cloud : pour un seul utilisateur, le calcul n’est pas toujours en faveur du self-hosting.

Le facteur décisif : votre mot de passe maître et votre sauvegarde

Quel que soit l’outil, deux éléments déterminent réellement votre sécurité, bien plus que le choix du logiciel :

La force de votre mot de passe maître. C’est l’unique secret qui protège tout le reste. Une phrase de passe longue et unique (4-5 mots aléatoires minimum) est indispensable. Aucun chiffrement ne sauve un coffre-fort protégé par « motdepasse123 ».
Votre sauvegarde. Un coffre-fort perdu, c’est tous vos accès envolés. Sauvegardez régulièrement votre base (SQLite de Vaultwarden, fichier KDBX, dump de Passbolt) de façon chiffrée et hors-site. Notre guide sauvegarde automatique avec Restic et Backblaze couvre exactement ce besoin.

Ajoutez à cela la double authentification (idéalement une clé matérielle YubiKey, supportée par les quatre solutions) et un reverse proxy HTTPS devant tout service exposé, et votre coffre-fort auto-hébergé sera plus sûr que la plupart des services commerciaux.

Verdict

Vaultwarden est le meilleur choix pour la grande majorité : particuliers, familles, homelabbers. Léger, fluide, compatible Bitwarden, simple à déployer. Notre recommandation par défaut.
Passbolt est le meilleur pour les équipes et PME qui ont besoin de partage granulaire et d’audit, avec son modèle OpenPGP solide. Le choix entreprise open-source.
KeePassXC est le meilleur pour le puriste hors-ligne qui ne veut aucun serveur et un contrôle absolu. La sécurité par l’absence de surface d’attaque.
Psono est l’alternative pertinente pour les équipes techniques tournées vers l’automatisation et la gestion de secrets machine.

En une phrase : Vaultwarden pour (presque) tout le monde, Passbolt pour les équipes, KeePassXC pour les puristes, Psono pour les automatiseurs.

FAQ

Auto-héberger ses mots de passe est-il vraiment plus sûr qu’un service commercial ?

Pas automatiquement. Un service commercial réputé a des équipes de sécurité dédiées que vous n’avez pas. L’auto-hébergement est plus sûr si, et seulement si, vous appliquez les bonnes pratiques : HTTPS, double authentification, mot de passe maître fort, mises à jour régulières, sauvegardes chiffrées. Bien fait, vous éliminez le risque qu’une fuite chez un tiers expose vos données. Mal fait, vous créez le risque vous-même.

Vaultwarden est-il aussi sûr que Bitwarden officiel ?

Le chiffrement est identique (même protocole, zero-knowledge côté client). La différence tient à la maintenance : Vaultwarden est porté par la communauté, là où Bitwarden a une entreprise dédiée. En pratique, Vaultwarden est très bien maintenu et les patches sont rapides. La sécurité dépendra surtout de votre configuration serveur, pas du logiciel lui-même.

Quelle solution choisir pour partager des mots de passe en équipe ?

Passbolt pour une équipe structurée avec besoin d’audit et de droits granulaires. Vaultwarden (organisations) pour un partage plus simple en petite équipe ou famille. Psono si l’équipe automatise la récupération de secrets via API. KeePassXC est le moins adapté au partage multi-utilisateurs.

Puis-je migrer depuis LastPass, 1Password ou Bitwarden Cloud ?

Oui. La plupart de ces gestionnaires exportent au format CSV ou JSON, importable dans Vaultwarden (via les clients Bitwarden), KeePassXC ou Passbolt. Pensez à supprimer définitivement le fichier d’export non chiffré après la migration : c’est une copie en clair de tous vos secrets.

Faut-il une clé matérielle comme YubiKey ?

Ce n’est pas obligatoire mais fortement recommandé pour le coffre-fort qui protège tous vos accès. Une clé matérielle (WebAuthn/FIDO2 ou défi-réponse) résiste au phishing et au vol de code TOTP. Les quatre solutions comparées la supportent. C’est le meilleur rapport sécurité/prix que vous puissiez ajouter.

KeePassXC sans serveur, comment ça se synchronise entre mon PC et mon téléphone ?

Vous synchronisez le fichier KDBX chiffré via l’outil de votre choix : Syncthing (pair-à-pair, sans cloud), un Nextcloud auto-hébergé, ou même un cloud public (le fichier étant chiffré, le fournisseur ne voit rien). Attention aux conflits si vous modifiez la base sur deux appareils en même temps : éditez à un endroit, laissez la synchro propager.

Meilleur gestionnaire de mots de passe self-hosted en 2026 : Vaultwarden, Passbolt, KeePassXC et alternatives