Comment installer Vaultwarden sur Saplo (gestionnaire de mots de passe d’équipe)

Un Bitwarden payant pour une équipe, c'est un coût par utilisateur et par mois qui augmente avec chaque nouveau salarié. Avec une quinzaine de personnes, la facture annuelle peut dépasser le coût total de ton Box, sur lequel pourrait être hébergée toute l'infrastructure de ton entreprise. Vaultwarden est une implémentation open source du serveur Bitwarden, compatible avec les mêmes applications officielles (navigateur, desktop, mobile), mais déployée sur ton propre Box. Zéro frais par utilisateur, les données de mots de passe restent chez toi. Voici, étape par étape, comment déployer Vaultwarden sur Saplo, comment connecter ton équipe et comment fonctionne la sauvegarde de ta base de mots de passe chiffrée.

Pourquoi Vaultwarden plutôt que Bitwarden payant

Bitwarden, en tant que produit SaaS, est une bonne solution, mais l'offre équipe coûte chaque mois par compte et les mots de passe de ton entreprise résident sur les serveurs de tiers, hors de ton contrôle. Vaultwarden est une implémentation indépendante du même protocole API, écrite en Rust, que les clients officiels de Bitwarden prennent en charge sans aucune modification. Il suffit de remplacer l'adresse du serveur par ton propre domaine dans les paramètres du client. En pratique, la différence est la suivante :

• aucun frais par utilisateur - tu peux ajouter autant de comptes d'équipe que tu veux sans voir la facture mensuelle augmenter,
• tes données sur ton Box - la base de mots de passe (chiffrée de bout en bout côté client, comme dans Bitwarden d'origine) ne quitte jamais ton infrastructure,
• les mêmes applications - le navigateur, l'application desktop, le téléphone, tous les clients officiels de Bitwarden fonctionnent sans changement, tu changes uniquement l'adresse du serveur,
• le code source est public - c'est un projet open source développé publiquement sur GitHub. En cas de besoin, tu peux donc vérifier précisément comment fonctionnent l'authentification et le stockage des données chiffrées, plutôt que de faire confiance sur parole à un SaaS fermé.

Exigences

Pour installer Vaultwarden sur Saplo, tu as besoin de :

• Box avec Docker activé (le moteur l'active automatiquement lors de l'installation via le Catalogue d'applications, l'imbrication dans un conteneur est nécessaire, ce que Saplo propose par défaut),
• au moins 256 Mo de RAM disponibles sur ton Box, le plus petit plan Box S suffit,
• un Domaine ou un sous-domaine *.saploapp.pl compris dans le tarif de chaque plan, sous lequel sera hébergé le Panneau de connexion.

Contrairement à de nombreuses autres applications figurant dans le Catalogue d'applications, Vaultwarden n'a pas besoin d'une base de données dédiée. Sa propre base SQLite est conservée dans le volume de données du conteneur, ce qui rend l'installation plus rapide et plus légère que pour les applications utilisant un MySQL partagé ou un Postgres dédié.

Installation étape par étape

1. Dans le Panneau Saplo, accède au Catalogue d'applications et sélectionne Vaultwarden (catégorie "Business").
2. Indique la Box sur laquelle il doit être installé et le domaine ou le sous-domaine sous lequel le panneau sera accessible.
3. Valide l'installation. Le moteur déploie un conteneur Docker avec l'image officielle vaultwarden/server, prépare un volume pour la base SQLite et le rend accessible sous le domaine indiqué via nginx, avec un certificat SSL gratuit.
4. Après quelques dizaines de secondes, le domaine affiche la page de connexion Vaultwarden. L'inscription de nouveaux comptes est activée par défaut, tu peux donc créer le premier compte directement sur la page, sans configuration supplémentaire.
5. Le panneau d'administration accessible via /admin est désactivé par défaut (faute de jeton d'administrateur configuré), ce qui constitue un état initial sécurisé, avant même que tu configures ton propre accès.

Connexion des clients Bitwarden

Vaultwarden utilise le même protocole API que Bitwarden, donc chaque client officiel fonctionnera sans aucune modification :

1. Dans l’application Bitwarden (navigateur, bureau ou téléphone), accède aux paramètres et trouve le champ Self-hosted environment / Adresse du serveur.
2. Saisis l’adresse de ton installation sur Saplo, par ex. https://vault.votredomaine.fr.
3. Connecte-toi avec le compte que tu as créé à l’étape 4 de l’installation ci-dessus.

Désormais, la synchronisation des mots de passe, le générateur de mots de passe et la saisie automatique fonctionnent exactement comme dans Bitwarden à l’original, mais les données sont stockées dans ton Box, et non sur les serveurs de Bitwarden.

Organisations et partage des mots de passe en équipe

Utiliser un identifiant personnel sur un serveur commun ne constitue pas encore un partage de mots de passe. C’est précisément à cela que servent les organisations, comme dans l’offre équipe payante de Bitwarden :

1. Dans le client Bitwarden connecté à ton installation, accède à New organization et crée une organisation d’entreprise (par ex. « Équipe »).
2. Invite ensuite les autres personnes à l’adresse e-mail avec laquelle elles ont créé leur compte à l’étape « Ajout de l’équipe » ci-dessus.
3. Crée des collections (Collections), c’est-à-dire des groupes thématiques de mots de passe, par ex. « Hosting », « Social media », « Factures », et attribue-leur un accès uniquement aux personnes ou groupes sélectionnés.
4. Déplace les mots de passe personnels existants vers l’organisation avec le bouton Move to organization, afin que l’équipe les voie immédiatement, au lieu de les envoyer par e-mail ou par messagerie.

Grâce aux collections, chaque personne ne voit que les mots de passe auxquels elle a réellement accès, et non toute la base de l’entreprise. C’est important lors de la rotation des employés ou de la collaboration avec des prestataires externes. Si, après l’ajout de l’équipe, tu veux bloquer l’inscription pour les personnes extérieures, il est conseillé de désactiver la variable SIGNUPS_ALLOWED côté conteneur ou de restreindre l’accès à un domaine d’e-mail d’entreprise précis. Mais il s’agit déjà d’une configuration manuelle dans les variables d’environnement du conteneur, qui dépasse le périmètre de l’assistant d’installation lui-même.

Sauvegarde et sécurité

Les sauvegardes dépendent du plan choisi : Box L et les offres supérieures incluent une sauvegarde dans leur prix (7 jours d’historique pour Box L, 14 jours pour Box XL, 30 jours avec une copie offsite pour Box XXL), tandis qu’une sauvegarde quotidienne peut être ajoutée en option à Box S et Box M. Avec Vaultwarden, la sauvegarde couvre l’ensemble du volume de données du conteneur, à savoir le fichier de la base SQLite contenant le contenu chiffré de tous les mots de passe. Il est donc recommandé de l’activer avant que la base ne devienne si volumineuse que sa perte aurait de graves conséquences pour toute l’entreprise. Le Panneau Saplo affiche le Statut du certificat SSL et le renouvelle automatiquement. Quant à l’accès au panneau d’administration situé sous /admin, il ne faut l’activer qu’après avoir défini un jeton d’administration fort et aléatoire dans les variables d’environnement du conteneur, car ce panneau permet de gérer tous les comptes de l’installation.

Migration depuis Bitwarden, LastPass ou 1Password

Transférer ta base de mots de passe existante vers ta propre installation Vaultwarden ne t'oblige pas à recopier chaque mot de passe à la main :

• depuis Bitwarden, tu exportes la base au format .json (chiffré ou en clair) via Account settings -> Export vault, puis tu importes le même fichier dans le client déjà connecté à ton installation Vaultwarden, avec Tools -> Import data,
• depuis LastPass, tu exportes tes mots de passe dans un fichier CSV depuis le panneau du navigateur, et Vaultwarden propose déjà un format d'importation « LastPass (csv) » dans la même fenêtre Import data,
• depuis 1Password, tu exportes tes données au format 1PUX depuis l'application de bureau, un format que Vaultwarden reconnaît également comme un format d'importation prêt à l'emploi.

Après l'importation, il vaut mieux passer aussitôt ta liste en revue pour repérer les doublons et les mots de passe que l'audit de sécurité intégré de Vaultwarden (Tools -> Vault health reports) signale comme faibles ou réutilisés sur plusieurs sites, avant d'accorder l'accès à toute ton équipe.

Bitwarden payant ou Vaultwarden sur Saplo

Questions fréquentes

Vaultwarden est-il aussi sûr que Bitwarden payant ? Vaultwarden utilise le même mécanisme de chiffrement de bout en bout côté client que Bitwarden d’origine, les mots de passe sont donc chiffrés avant de quitter l’appareil. La différence tient à la personne qui héberge la base chiffrée, pas au chiffrement lui-même.

Puis-je importer les mots de passe d’un compte Bitwarden, LastPass ou 1Password existant ? Oui, ces trois services proposent tous des formats d’importation prêts à l’emploi dans Vaultwarden, déjà décrits dans la section sur la migration ci-dessus. La migration de toute la base ne prend donc que quelques minutes.

Combien de personnes Box S peut-il prendre en charge ? Vaultwarden est très léger, le conteneur utilise à lui seul moins de 100 MB de RAM, donc Box S suffit pour la plupart des petites et moyennes équipes. Pour davantage d’utilisateurs, tu peux ajouter de la RAM à ton Box à tout moment, sans déplacer les données.

Que se passe-t-il si j’oublie mon mot de passe principal ? Comme dans Bitwarden d’origine, le serveur ne connaît pas le mot de passe principal (chiffrement de bout en bout), Vaultwarden ne peut donc pas le récupérer. Il vaut mieux configurer un indice de mot de passe à la création du compte et conserver en lieu sûr une sauvegarde de l’export de la base.

Puis-je désactiver l’inscription de nouveaux comptes après l’ajout de mon équipe ? Oui, tu définis la variable d’environnement SIGNUPS_ALLOWED sur false au niveau du conteneur, puis tu crées les nouveaux comptes uniquement manuellement depuis le panneau d’administration sous /admin.

Tous les membres de l’équipe peuvent-ils voir les mots de passe de l’organisation ? Non, l’accès dépend des collections : chaque personne ne voit que les collections de mots de passe qui lui ont été attribuées. Tu peux ainsi séparer, par exemple, les mots de passe de l’hébergement de ceux de la comptabilité.

Les mots de passe constituent une première couche, l’autre concerne l’accès aux services de l’entreprise. Si tu veux que les panneaux et les serveurs ne soient accessibles que depuis le réseau privé de ton équipe, consulte comment installer Headscale sur Saplo pour mettre en place ton propre serveur de coordination destiné aux clients Tailscale.

Si tu as des questions sur l’installation de Vaultwarden sur ton propre Box ou sur la migration d’une équipe depuis Bitwarden payant, écris-nous, nous t’aiderons à configurer les organisations et les sauvegardes étape par étape.