Héberger Passbolt sur un VPS : le coffre de mots de passe pour votre équipe

Passbolt est un gestionnaire de mots de passe open source conçu, dès sa conception, pour les équipes : chaque identifiant peut être partagé de façon granulaire avec une personne précise ou un groupe, chiffré de bout en bout via GPG, avec un journal d’audit de qui a accès à quoi. C’est l’alternative directe aux offres « Teams » ou « Business » de 1Password, LastPass ou Dashlane, sans l’abonnement récurrent par siège.

Ce site couvre déjà Vaultwarden pour un usage personnel de gestion de mots de passe. Passbolt occupe une place différente et complémentaire : celle du coffre d’équipe, avec des règles de partage bien plus fines qu’un simple dossier « organisation ».

Passbolt ou Vaultwarden : lequel pour une équipe ?

Vaultwarden (compatible Bitwarden) gère bien le partage familial ou en petite organisation, mais reste conçu autour d’un usage individuel avant tout. Passbolt part du problème inverse : comment une équipe entière partage-t-elle des accès sensibles (base de données, comptes d’hébergement, réseaux sociaux professionnels) sans que tout le monde ait accès à tout ? Sa réponse : un partage granulaire — tel mot de passe visible seulement par telles personnes ou tel groupe — et un journal qui trace chaque accès, chaque partage, chaque modification.

Pourquoi héberger Passbolt sur un VPS plutôt qu’un SaaS Teams ?

• Aucun abonnement par siège. Le coût reste celui du VPS, quel que soit le nombre de comptes.
• Vos secrets d’entreprise ne quittent jamais votre serveur. Chiffrement GPG de bout en bout : même l’administrateur du serveur ne peut pas lire les mots de passe sans les clés privées des utilisateurs.
• S’intègre à votre panel d’outils pro. Le même VPS peut héberger votre facturation ou votre support client — voir le guide auto-héberger ses outils pro.

Configuration requise : combien de RAM pour Passbolt ?

Passbolt est une application PHP (framework CakePHP) adossée à MariaDB ou PostgreSQL. À elles deux, 1 Go de RAM fait tourner une petite équipe sans souci, et 2 Go offre une marge confortable pour une équipe plus active ou si vous hébergez d’autres services sur le même VPS. Le CPU n’est pas un facteur limitant : 1 vCPU convient largement, les opérations de chiffrement GPG étant gérées côté client (extension de navigateur), pas côté serveur.

Comment fonctionne le partage granulaire de Passbolt ?

C’est la fonction qui justifie de préférer Passbolt à un simple dossier partagé dans Vaultwarden. Chaque mot de passe enregistré peut être partagé individuellement avec une personne précise ou un groupe, avec des permissions différenciées (lecture seule, ou droit de modifier et repartager). Un accès révoqué l’est immédiatement pour la personne concernée, sans toucher au reste de l’équipe. Un journal d’audit consigne qui a consulté, modifié ou partagé chaque secret : utile en cas de doute, et souvent exigé dans un contexte de conformité interne.

Le chiffrement repose sur GPG : chaque utilisateur possède sa propre paire de clés (générée automatiquement par l’extension de navigateur Passbolt), et un mot de passe partagé est chiffré séparément pour chaque destinataire autorisé. Concrètement, même un accès direct à la base de données du serveur ne révèle aucun secret en clair.

Combien coûte l’auto-hébergement de Passbolt ?

Un VPS 1–2 Go de RAM adapté coûte environ 5 à 7 €/mois. La Community Edition de Passbolt est gratuite et open source, sans limite de comptes.

Quel hébergeur choisir pour Passbolt ?

Passbolt étant léger, l’entrée de gamme Docker de chacun de ces hébergeurs convient. Le critère qui pèse le plus ici est la localisation juridique des données, étant donné la sensibilité des secrets stockés.

Installer Passbolt sur un VPS avec Docker

services:
  passbolt:
    image: passbolt/passbolt:latest-ce
    container_name: passbolt
    restart: unless-stopped
    depends_on:
      - db
    environment:
      APP_FULL_BASE_URL: "https://coffre.mondomaine.fr"
      DATASOURCES_DEFAULT_HOST: "db"
      DATASOURCES_DEFAULT_USERNAME: "passbolt"
      DATASOURCES_DEFAULT_PASSWORD: "mot_de_passe_db_solide"
      DATASOURCES_DEFAULT_DATABASE: "passbolt"
    volumes:
      - passbolt_gpg:/etc/passbolt/gpg
      - passbolt_images:/usr/share/php/passbolt/webroot/img/public
    ports:
      - "127.0.0.1:8443:443"

  db:
    image: mariadb:lts
    container_name: passbolt_db
    restart: unless-stopped
    environment:
      MYSQL_RANDOM_ROOT_PASSWORD: "yes"
      MYSQL_DATABASE: "passbolt"
      MYSQL_USER: "passbolt"
      MYSQL_PASSWORD: "mot_de_passe_db_solide"
    volumes:
      - passbolt_db:/var/lib/mysql

volumes:
  passbolt_gpg:
  passbolt_images:
  passbolt_db:

Au premier démarrage, Passbolt génère automatiquement sa paire de clés GPG serveur. Créez ensuite le premier compte administrateur avec la commande d’enregistrement fournie par l’image (exécutée dans le conteneur), qui envoie une invitation par e-mail permettant de finaliser l’inscription et d’installer l’extension de navigateur.

Placez un reverse proxy HTTPS (Caddy, Nginx ou Traefik) devant le port 8443, puis chaque membre de l’équipe installe l’extension de navigateur Passbolt, qui génère sa propre clé GPG et se connecte à votre instance.

Sécuriser et sauvegarder Passbolt

• HTTPS obligatoire : l’extension de navigateur refuse de se connecter à une instance non chiffrée.
• Sauvegardez la base MariaDB et le volume GPG ensemble : sans les clés GPG serveur, une restauration de base seule ne suffit pas à retrouver l’accès.
• Documentez la procédure de récupération pour un utilisateur qui perdrait sa clé privée locale (ordinateur perdu ou réinstallé) : c’est le scénario de panne le plus fréquent en usage d’équipe.

Passbolt complète naturellement un panel d’outils pro auto-hébergés pour une petite équipe. Pour continuer, voyez DocuSeal pour la signature de vos documents ou revenez à la vue d’ensemble du guide auto-héberger ses outils pro pour freelance et TPE.