Par l'équipe HushVPS · Mis à jour en 2026 · 8 min de lecture
Votre coffre de mots de passe est le compte le plus sensible que vous possédez. S'il est piraté, un attaquant hérite de votre email, de votre banque, de vos fournisseurs d'identité — tout ce qui en découle. La question de savoir où vit ce coffre n'est donc pas théorique. Si vous souhaitez auto-héberger Bitwarden sur un VPS sans KYC, vous choisissez de conserver la base de données chiffrée sur du matériel que vous contrôlez, payé anonymement, plutôt que sur le cloud d'un tiers lié à votre nom légal. Ce guide explique pourquoi ce compromis a du sens, comment la configuration fonctionne en pratique à un niveau élevé, et où l'hébergement anonyme comble une lacune que l'auto-hébergement ordinaire laisse ouverte.
Le service hébergé de Bitwarden est réellement bon, et ses clients utilisent un chiffrement de bout en bout zero-knowledge, donc l'entreprise ne voit jamais vos mots de passe en clair. Pour la plupart des gens, c'est un choix par défaut raisonnable. Mais héberger le serveur vous-même change trois choses qui méritent votre attention :
Le revers de la médaille est que vous héritez aussi de la responsabilité — les correctifs, les sauvegardes et le contrôle d'accès sont désormais votre affaire. La majeure partie de ce guide consiste à faire ces trois choses correctement.
Il existe deux façons d'auto-héberger l'écosystème Bitwarden. La première est le serveur auto-hébergé officiel de Bitwarden, qui est complet mais plus lourd — il nécessite plusieurs conteneurs et plus de RAM qu'un petit VPS ne peut en fournir confortablement. La seconde, et celle que la plupart des auto-hébergeurs soucieux de confidentialité choisissent, est Vaultwarden, un serveur non officiel basé sur Rust qui parle la même API que les clients officiels. Il fonctionne parfaitement dans un seul conteneur sur une machine 1 vCPU / 2 Go, il correspond donc à notre offre d'entrée de gamme avec de la marge.
Le détail important : comme Vaultwarden implémente l'API Bitwarden, vous utilisez toujours les applications officielles auditées de Bitwarden et les extensions de navigateur sur vos appareils. Vous ne remplacez que le backend. Votre coffre reste chiffré de bout en bout ; le serveur ne fait que stocker et synchroniser le blob chiffré. C'est tout l'intérêt — sécurité du client officiel, contrôle auto-hébergé.
Les exigences sont modestes. Vous avez besoin d'un petit VPS Linux avec accès root, d'un nom de domaine (ou sous-domaine) pointant vers son adresse IP, et d'environ vingt minutes. L'empreinte de Vaultwarden est minuscule, donc notre plus petite offre Phantom — 1 vCPU, 2 Go de RAM et 30 Go de NVMe est plus que suffisante pour un coffre personnel ou familial. Le stockage bouge à peine ; un coffre avec des centaines d'entrées et de pièces jointes se mesure en mégaoctets.
Déployez le serveur, notez les adresses IPv4 et IPv6 que nous vous fournissons, et créez un enregistrement A (et AAAA) pour vault.yourdomain.tld pointant vers elles. C'est la seule dépendance externe. Tout le reste vit sur la machine.
N'exposez pas le port du conteneur Vaultwarden directement sur Internet. Le modèle standard et sûr est un proxy inverse qui termine TLS devant lui. Voici la forme générale, sans en faire un script copier-coller que vous ne devriez pas suivre aveuglément.
Avant d'installer quoi que ce soit, mettez à jour le système, créez un utilisateur non-root, et désactivez SSH par mot de passe au profit d'une connexion par clé uniquement. Activez un pare-feu (ufw ou nftables) qui n'autorise que les ports 22, 80 et 443. C'est une hygiène de base qui prend deux minutes ; la sauter est la façon dont les machines auto-hébergées se font compromettre.
Installez Docker, puis exécutez l'image officielle Vaultwarden avec son répertoire de données monté sur un volume persistant sur l'hébergeur. Ce volume — généralement /vw-data — contient la base de données SQLite, les pièces jointes et les clés RSA. C'est la seule chose que vous ne devez jamais perdre, c'est pourquoi les sauvegardes ont leur propre section ci-dessous.
Utilisez Caddy ou Nginx comme couche publique. Caddy est le chemin facile : il récupère et renouvelle automatiquement un certificat Let's Encrypt, donc votre coffre est servi en HTTPS sans gestion manuelle de certificats. Pointez le proxy vers le port interne de Vaultwarden et vous avez terminé. Un gestionnaire de mots de passe ne devrait jamais être accessible en HTTP simple — les extensions de navigateur refuseront de toute façon de lui parler.
Une fois votre propre compte créé, définissez SIGNUPS_ALLOWED=false pour que personne d'autre ne puisse s'inscrire sur votre instance. Si vous voulez des membres de la famille, invitez-les explicitement ou utilisez la page d'administration (protégée par son propre jeton) pour gérer les utilisateurs. Un point de terminaison d'inscription ouvert sur un coffre public est une invitation que vous ne voulez pas envoyer.
L'auto-hébergement signifie que vous êtes maintenant le service de sauvegarde. La bonne nouvelle est que tout l'état de Vaultwarden est ce répertoire de données, et la base de données est un seul fichier SQLite. Une routine saine ressemble à ceci :
.backup de SQLite plutôt que de copier le fichier à jour, afin de ne jamais capturer une base de données à moitié écrite.Comme le coffre lui-même est déjà chiffré avec votre mot de passe principal, une copie hors site n'est pas une nouvelle exposition tant que vous chiffrez aussi le transport et le stockage. Ceinture et bretelles.
Quelques habitudes gardent un coffre auto-hébergé ennuyeux, ce qui est exactement ce que vous voulez :
Vaultwarden correspond à notre plus petite offre. Pas d'ID, pas de carte — payez en Monero et obtenez un accès root sur un serveur qui n'est pas lié à votre nom.
Voici la partie que les guides d'auto-hébergement ordinaires omettent. Déplacer votre coffre-fort d'un fournisseur géré vers votre propre serveur améliore le côté logiciel de la confidentialité. Mais si vous avez loué ce serveur avec votre vrai nom, une carte de crédit et une adresse personnelle, vous avez simplement déplacé le lien d'identité d'un niveau plus bas. La société d'hébergement sous votre coffre-fort sait désormais exactement à qui appartiennent ces blobs chiffrés de mots de passe.
Un hébergeur anonyme et sans KYC comble cette dernière lacune. Lorsqu'il n'y a pas de vérification d'identité, pas de carte enregistrée et que Monero règle la facture, le fournisseur qui exploite le matériel ne peut pas relier le serveur contenant vos données les plus sensibles à vous via un enregistrement de facturation. Il n'y a rien dans le compte à assigner, vendre, fuiter ou remettre — car cela n'a jamais été collecté. C'est la différence entre la confidentialité dans l'application et la confidentialité sur toute la pile. Notre article plus complet sur l'exécution de vos propres services privés sur un VPS anonyme couvre la même logique pour le courrier et le stockage cloud.
Pour être clair sur ce que cela fait et ne fait pas : l'hébergement anonyme vous protège du fait que la couche d'hébergement devienne une trace papier. Cela ne vous rend pas invisible et n'excuse rien d'illégal — HushVPS est légal offshore et minimise les données, et notre politique d'utilisation acceptable interdit toujours les logiciels malveillants, le spam et les attaques réseau. L'objectif est simple : garder votre coffre-fort de mots de passe à vous, sur du matériel que personne ne peut trivialement relier à votre identité, sauvegardé et durci pour qu'il reste ennuyeux pendant des années.
Auto-héberger Bitwarden — en pratique, Vaultwarden — place le compte le plus important que vous possédez sur une machine que vous contrôlez, exécutant les mêmes clients audités que vous faites déjà confiance. Faites-le correctement : verrouillez la machine, terminez TLS avec un proxy inverse, désactivez les inscriptions ouvertes, sauvegardez le répertoire de données hors site avec chiffrement, et maintenez tout à jour. Faites-le sur un VPS sans KYC, payé en Monero, et vous supprimez également la trace de facturation qui relierait autrement ce coffre à votre nom. Confidentialité aux deux extrémités de la pile, ce qui est exactement là où un gestionnaire de mots de passe mérite de vivre.