Un gestionnaire de mot de passe open source permet de créer et de conserver des identifiants uniques dans un coffre chiffré dont chacun peut, au moins en partie, examiner le code. Toutefois, le choix déterminant n’est pas le nombre de fonctions : il faut d’abord décider où stocker le coffre et qui devra le maintenir.
KeePassXC privilégie un fichier local sous votre contrôle. Bitwarden simplifie la synchronisation entre les appareils, en service géré ou sur votre serveur. De son côté, Proton Pass mise sur une utilisation accessible et sur son intégration à l’écosystème Proton. Enfin, Vaultwarden s’adresse plutôt aux personnes expérimentées qui souhaitent utiliser les clients Bitwarden avec un serveur communautaire léger.
Ce guide compare ces options selon leur hébergement, leur compatibilité, leurs audits, leur simplicité, leurs sauvegardes et leur charge de maintenance. Cependant, les fonctions, les plateformes et les conditions commerciales peuvent évoluer. Il faut donc les vérifier sur les sites officiels avant toute décision. Informations documentaires examinées en novembre 2025.
Quel gestionnaire de mot de passe open source choisir ?
Il n’existe pas de vainqueur universel. En effet, le choix dépend avant tout de la responsabilité que vous acceptez d’assumer :
- KeePassXC convient à ceux qui veulent conserver un coffre local ou hors ligne et organiser eux-mêmes sa synchronisation.
- Bitwarden répond bien à un usage multiplateforme avec synchronisation automatique, partage et possibilité d’auto-hébergement.
- Proton Pass vise une prise en main simple, notamment pour les utilisateurs des autres services Proton.
- Vaultwarden constitue une solution auto-hébergée communautaire, sans être une version officielle de Bitwarden.
Pour un particulier non technicien utilisant un ordinateur et un téléphone, un service géré réduit généralement les erreurs de synchronisation et la maintenance. En revanche, KeePassXC offre davantage de contrôle pour un coffre strictement local, mais impose une réelle discipline de sauvegarde. Enfin, envisagez l’auto-hébergement uniquement si vous savez sécuriser, mettre à jour et restaurer un serveur.
Que signifie réellement « open source » ?
Selon les droits accordés par sa licence, un code accessible permet de l’étudier, de le compiler ou de le modifier. Toutefois, il ne faut pas confondre code visible, logiciel libre et composant « source available ». En effet, une licence libre définit des libertés d’utilisation et de redistribution, tandis que la simple consultation d’un dépôt ne les garantit pas nécessairement.
De plus, il faut examiner séparément les applications, les extensions de navigateur, le serveur et les éventuels composants propriétaires. Bitwarden indique, par exemple, publier son code sur GitHub, mais son écosystème associe des composants sous AGPL v3 et d’autres sous Bitwarden License. Sa page consacrée aux audits et certifications de Bitwarden précise ce périmètre.
Code ouvert, audits et certifications : trois critères différents
L’accès au code facilite l’examen public, mais ne prouve ni l’absence de faille ni la qualité d’une installation. Ainsi, un projet fiable doit également publier des mises à jour, corriger rapidement les vulnérabilités et fournir une documentation exploitable.
Un audit externe analyse un périmètre défini à un moment donné. De même, une certification suit un référentiel particulier et concerne une version, une plateforme et une configuration précises. La FAQ de l’ANSSI sur la certification rappelle notamment qu’une évaluation ne couvre pas automatiquement les versions ultérieures.
L’open source apporte donc de la transparence, mais pas une sécurité automatique. Par exemple, un logiciel audité mais abandonné, un serveur mal configuré ou un mot de passe maître faible peuvent annuler une partie de ses avantages.
Gestionnaire de mot de passe open source : local, cloud ou auto-hébergé
Coffre local : contrôle maximal, synchronisation à organiser
Avec KeePassXC, un fichier chiffré au format KDBX contient les identifiants. Vous pouvez conserver ce fichier sur un ordinateur hors ligne, le copier sur une clé de sauvegarde ou le synchroniser avec le service de fichiers de votre choix.
Cette architecture limite la dépendance à un fournisseur, mais vous rend responsable du fichier. En pratique, une suppression accidentelle, une synchronisation simultanée ou des copies divergentes peuvent provoquer une perte ou un conflit de versions. Il faut donc conserver plusieurs sauvegardes datées, dont au moins une séparée des appareils utilisés quotidiennement.
Gestionnaire de mot de passe open source dans le cloud
Un gestionnaire hébergé synchronise le coffre entre les applications et les extensions de navigateur. Bitwarden et Proton Pass annoncent ainsi un chiffrement de bout en bout : selon leurs modèles de sécurité respectifs, le logiciel chiffre le coffre côté utilisateur avant de le stocker sur leur infrastructure.
Cette formule délègue la disponibilité, les mises à jour du serveur et une partie des sauvegardes opérationnelles. Cependant, elle ne supprime pas tous les risques : il faut protéger le compte, activer un second facteur et conserver les moyens de récupération proposés. De plus, vérifiez directement auprès de l’éditeur les conditions des offres gratuites et payantes.
Gestionnaire de mot de passe open source auto-hébergé
Auto-héberger Bitwarden ou Vaultwarden permet de choisir l’emplacement du serveur, mais ne rend pas le coffre automatiquement plus sûr. En effet, vous devez gérer le système, HTTPS, les mises à jour, les accès administratifs, la surveillance, la disponibilité et les sauvegardes.
La documentation d’auto-hébergement de Bitwarden présente plusieurs méthodes de déploiement et les prérequis associés. Avant une mise en production, il faut notamment savoir restaurer l’instance complète sur une autre machine. Autrement dit, une sauvegarde que vous n’avez jamais testée ne constitue pas un plan de reprise fiable.
Comparatif des gestionnaires de mots de passe open source
Le tableau suivant ne constitue pas un classement. Il compare plutôt l’architecture, les appareils utilisables et la charge que chaque option reporte sur l’utilisateur. Toutefois, les passkeys, les codes TOTP, les pièces jointes et les fonctions de partage peuvent dépendre de la version, de la plateforme ou de l’offre choisie.
| Solution | Hébergement | Compatibilité | Synchronisation et partage | Maintenance |
|---|---|---|---|---|
| KeePassXC | Fichier KDBX local | Windows, macOS et Linux ; applications KDBX distinctes sur Android et iOS | À organiser ; partage possible, mais peu adapté aux droits complexes | Sauvegarde du fichier et gestion des conflits |
| Bitwarden | Cloud géré ou serveur auto-hébergé | Principaux systèmes, appareils mobiles et navigateurs | Automatique ; fonctions de partage et d’organisation | Faible en service géré, élevée en auto-hébergement |
| Proton Pass | Service cloud géré par Proton | Applications et extensions pour les plateformes annoncées par Proton | Automatique ; partage et alias de messagerie selon les fonctions disponibles | Faible pour l’utilisateur |
| Vaultwarden | Serveur auto-hébergé | Clients Bitwarden, sans garantie de compatibilité parfaite | Automatique si le serveur reste accessible | Élevée et entièrement à la charge de l’administrateur |
KeePassXC : un gestionnaire de mot de passe open source local
KeePassXC offre un générateur, une recherche dans le coffre et une intégration aux navigateurs. De plus, sa documentation officielle confirme la prise en charge native de Windows, macOS et Linux.
KeePassXC ne fournit pas lui-même d’application Android ou iPhone. Par conséquent, il faut choisir sur mobile une application distincte compatible avec le format KDBX. Il convient alors de vérifier sa licence, sa maintenance, son mode de synchronisation et la confiance accordée à son développeur.
KeePass et KeePassXC ne sont pas deux versions successives du même produit. En effet, KeePass est le projet historique, principalement associé à Windows, tandis que KeePassXC est un projet distinct et multiplateforme compatible avec le format KDBX. L’écosystème KeePassXC propose son intégration aux navigateurs.
La page des audits et certifications de KeePassXC indique que la version 2.7.9 sur Windows 10 a obtenu une certification CSPN de l’ANSSI le 17 novembre 2025, annoncée comme valable jusqu’au 17 novembre 2028. Toutefois, cette mention ne certifie pas globalement toutes les versions, tous les systèmes ou toutes les configurations. De même, l’ancienne certification de KeePass 2.10, datant de 2010, ne doit pas servir à valider une version actuelle.
Bitwarden : un gestionnaire de mot de passe open source polyvalent
Bitwarden propose des applications mobiles et de bureau ainsi que des extensions pour les principaux navigateurs. Son service hébergé assure la synchronisation, tandis que les organisations facilitent le partage d’identifiants avec des droits distincts. Cependant, certaines fonctions peuvent varier selon l’offre : il faut donc consulter les conditions en vigueur.
Le livre blanc de sécurité de Bitwarden décrit un coffre chiffré de bout en bout et une architecture dite à connaissance nulle. Bitwarden publie également un historique d’évaluations externes. Néanmoins, ces éléments restent liés aux périmètres et aux versions examinés.
L’auto-hébergement officiel conserve les clients habituels, mais transfère l’administration du serveur à l’utilisateur. Toutefois, cette option n’est pas indispensable : vous pouvez parfaitement utiliser Bitwarden avec l’infrastructure gérée par l’éditeur.
Proton Pass : une utilisation simple axée sur la confidentialité
Proton Pass combine coffre chiffré, génération d’identifiants, extensions de navigateur et applications. De plus, ses alias de messagerie constituent un avantage pratique pour limiter la réutilisation d’une même adresse lors des inscriptions.
Proton affirme proposer ses applications en open source, chiffrer de bout en bout le coffre et certaines métadonnées, et faire auditer ses applications par des organismes indépendants. La page consacrée à la sécurité de Proton Pass présente le périmètre déclaré. Par ailleurs, la page officielle de téléchargement indique les plateformes actuellement proposées.
Cette simplicité implique toutefois de dépendre du service Proton pour la synchronisation. Par conséquent, vérifiez les limites de l’offre gratuite, le partage, les passkeys et les éventuelles fonctions avancées avant de choisir.
Vaultwarden : une option légère pour utilisateurs expérimentés
Vaultwarden est une implémentation communautaire non officielle de l’API utilisée par les clients Bitwarden. Son dépôt officiel sur GitHub recommande notamment HTTPS, un proxy inverse et des sauvegardes régulières.
Son intérêt réside dans son déploiement léger, mais Bitwarden ne développe pas Vaultwarden et n’en assure pas le support. En outre, la FAQ d’auto-hébergement de Bitwarden précise que Bitwarden ne garantit pas le fonctionnement parfait de ses clients avec des serveurs non officiels. Une mise à jour d’un client peut donc entraîner une incompatibilité temporaire.
Quel gestionnaire de mot de passe open source selon votre profil ?
Gestionnaire de mot de passe open source pour un particulier
Bitwarden et Proton Pass réduisent la configuration nécessaire et synchronisent automatiquement les appareils. Comparez donc l’ergonomie, les méthodes de récupération, l’importation, le partage et les plateformes réellement utilisées plutôt que de choisir sur la seule longueur d’une fiche technique.
Pour conserver ses identifiants uniquement en local
KeePassXC est le choix le plus cohérent parmi les solutions étudiées. Toutefois, il faut prévoir une application KDBX fiable sur mobile et définir une méthode de synchronisation. En pratique, évitez de modifier simultanément deux copies du coffre et conservez un historique permettant de revenir à une version antérieure.
Pour une famille ou une petite équipe
Un service géré doté de coffres partagés est généralement plus pratique qu’un fichier KDBX commun. Vérifiez notamment les droits d’accès, la révocation d’un membre, l’exportation, la récupération administrative et les conditions commerciales. Pour compléter cette réflexion, le guide expliquant comment protéger ses données personnelles en ligne présente les autres mesures à associer à un coffre-fort.
Pour auto-héberger son coffre-fort
Choisissez cette architecture uniquement si vous pouvez répondre positivement aux questions suivantes :
- Savez-vous déployer et renouveler correctement HTTPS ?
- Pouvez-vous installer rapidement les correctifs du serveur et de ses dépendances ?
- Disposez-vous de sauvegardes chiffrées, versionnées et stockées hors du serveur ?
- Avez-vous déjà testé une restauration complète ?
- Pouvez-vous surveiller l’espace disque, les journaux et la disponibilité ?
- Existe-t-il une procédure si l’administrateur devient indisponible ?
Si une réponse est négative, un cloud géré correctement protégé sera souvent plus fiable qu’un serveur personnel négligé.
Comment sécuriser et sauvegarder son coffre-fort
Quelle que soit la solution retenue, la sécurité dépend aussi de sa configuration. Ainsi, l’ANSSI recommande la mise à disposition d’un coffre-fort et insiste sur la protection du mot de passe maître dans son guide sur les mots de passe et l’authentification multifacteur.
Mot de passe maître, second facteur et récupération
- Créez une phrase de passe longue, unique et jamais utilisée sur un autre service.
- Activez un second facteur lorsque la solution le permet, de préférence avec une méthode adaptée à votre niveau de risque.
- Conservez les codes ou méthodes de récupération dans un endroit distinct et protégé.
- Protégez les appareils avec leur chiffrement, un verrouillage automatique et des mises à jour régulières.
- Ne communiquez jamais le mot de passe maître par messagerie ou dans un document non chiffré.
La CNIL recommande également le recours à un gestionnaire pour éviter la réutilisation des mots de passe. Cependant, dans un modèle à connaissance nulle, l’oubli du mot de passe maître ne permet normalement aucun déchiffrement de secours. Configurez donc les mécanismes de récupération disponibles avant qu’un incident ne survienne.
Sauvegardes et tests de restauration
Pour KeePassXC, sauvegardez le fichier KDBX après chaque changement important et conservez plusieurs versions. De plus, une copie hors ligne protège contre la suppression synchronisée et certains rançongiciels.
Pour un serveur auto-hébergé, sauvegardez les données, les pièces jointes, la configuration et les secrets nécessaires à la restauration. Ensuite, documentez les étapes et effectuez régulièrement un test sur une machine distincte. Le guide expliquant comment sécuriser son smartphone en cas de vol aide également à limiter l’accès au coffre lorsque l’appareil disparaît.
Comment migrer sans exposer ses identifiants
Avant l’importation dans votre nouveau gestionnaire, vérifiez les formats acceptés et réalisez une sauvegarde du coffre de destination. Vous pouvez généralement effectuer la migration depuis un navigateur ou un autre gestionnaire. Toutefois, les différents logiciels ne transfèrent pas toujours les champs personnalisés, les pièces jointes et les codes TOTP de la même manière.
- Mettez à jour les deux logiciels avant l’exportation.
- Effectuez l’opération sur un appareil fiable et non partagé.
- Exportez uniquement les données nécessaires.
- Importez-les immédiatement dans le nouveau coffre.
- Contrôlez plusieurs entrées complexes avant de supprimer l’ancien coffre.
- Effacez prudemment le fichier d’exportation et videz les dossiers de synchronisation ou les corbeilles concernés.
Un fichier CSV contient généralement les identifiants en clair. Par conséquent, ne l’envoyez pas par courriel, ne le conservez pas dans un dossier cloud et ne l’oubliez pas dans les téléchargements. Enfin, après la migration, remplacez en priorité les mots de passe réutilisés, faibles ou associés à des comptes sensibles.
FAQ sur les gestionnaires open source
Un gestionnaire de mot de passe open source est-il plus sécurisé ?
Pas automatiquement. L’ouverture du code facilite son examen, mais la sécurité dépend aussi des audits, des correctifs, de la dérivation de clé, de la configuration et des pratiques de l’utilisateur. Ainsi, préférez un projet actif et correctement configuré à un logiciel simplement présenté comme ouvert.
KeePassXC fonctionne-t-il sur Android et iPhone ?
KeePassXC fonctionne nativement sur Windows, macOS et Linux. En revanche, sur Android et iOS, il faut employer une application distincte compatible avec le format KDBX. KeePassXC lui-même n’est donc pas l’application mobile utilisée.
Peut-on synchroniser KeePassXC avec un service cloud ?
Oui, en plaçant le fichier KDBX dans un dossier synchronisé accessible aux appareils. Toutefois, il faut éviter les modifications simultanées, surveiller les conflits et conserver des sauvegardes indépendantes du service de synchronisation.
Vaultwarden est-il une version officielle de Bitwarden ?
Non. Vaultwarden est une implémentation communautaire non officielle compatible avec les clients Bitwarden. Par conséquent, Bitwarden ne garantit pas une compatibilité parfaite et n’en assure pas le support.
Peut-on stocker des passkeys dans ces solutions ?
La prise en charge des passkeys évolue selon les applications, les systèmes, les navigateurs et les offres. Il faut notamment distinguer leur stockage dans le coffre, leur utilisation pour se connecter à un site et leur éventuelle utilisation pour déverrouiller le gestionnaire. Vérifiez donc la documentation de la version installée.
Quelle solution dispose d’une certification de l’ANSSI ?
KeePassXC 2.7.9 sur Windows 10 a reçu une certification CSPN le 17 novembre 2025, annoncée comme valable jusqu’au 17 novembre 2028. Toutefois, cette certification porte sur ce périmètre précis et ne valide pas automatiquement les autres versions ou plateformes.
Verdict : choisissez la responsabilité que vous pouvez assumer
Le bon gestionnaire de mot de passe open source est celui que vous utiliserez correctement sur tous vos appareils. KeePassXC favorise le contrôle local, Bitwarden la polyvalence, Proton Pass la simplicité et Vaultwarden l’auto-hébergement expérimenté. Avant de migrer, définissez surtout votre méthode de synchronisation, de récupération et de sauvegarde : en effet, elle compte autant que le logiciel choisi.
