Héberger Vaultwarden sur un VPS : son gestionnaire de mots de passe, sans NAS

Vaultwarden est un gestionnaire de mots de passe auto-hébergé, compatible avec tout l’écosystème Bitwarden. Au lieu de confier votre coffre à LastPass, 1Password ou au cloud de Bitwarden, vous le faites tourner sur votre propre serveur : vous restez la seule personne à détenir vos données. Et contrairement à ce que la plupart des tutoriels supposent, vous n’avez pas besoin d’un NAS ni d’un serveur à la maison : un petit VPS loué à quelques euros par mois fait parfaitement l’affaire, avec l’avantage d’être accessible partout et allumé en permanence.

Vaultwarden ou Bitwarden : quelle différence ?

Bitwarden est le service (et le logiciel open source) de gestion de mots de passe. Vaultwarden est une réimplémentation indépendante de son serveur, écrite en Rust, beaucoup plus légère. Elle parle exactement le même langage que les applications Bitwarden : vos extensions de navigateur, vos applis iOS/Android et vos clients de bureau officiels Bitwarden se connectent à Vaultwarden sans rien perdre. En clair : vous gardez l’expérience Bitwarden, mais le coffre est chez vous.

Cette légèreté change tout pour l’hébergement : là où le serveur Bitwarden officiel demande plusieurs conteneurs et environ 2 Go de RAM, Vaultwarden tient dans un seul conteneur Docker de moins de 200 Mo.

Pourquoi héberger Vaultwarden sur un VPS plutôt qu’à la maison ?

La plupart des guides d’auto-hébergement partent du principe que vous avez un NAS Synology ou un Raspberry Pi qui tourne chez vous. Pour un gestionnaire de mots de passe, un VPS loué est souvent le meilleur choix :

• Accessible partout, tout le temps. Votre coffre doit être joignable depuis votre téléphone en déplacement. Un VPS a une IP publique fixe et une disponibilité proche de 100 %, sans toucher à la box ni ouvrir de ports chez vous.
• Pas de matériel à acheter ni à entretenir. Aucune coupure de courant, aucun disque qui lâche un dimanche soir.
• La sécurité réseau est plus simple. Pas de redirection de port depuis votre domicile, pas d’exposition de votre réseau personnel.

L’auto-hébergement « maison » garde tout son sens pour d’autres usages, mais pour un service petit, critique et qui doit être joignable de l’extérieur, le VPS gagne.

Configuration requise : combien de RAM pour Vaultwarden ?

Vaultwarden est l’un des services auto-hébergés les plus légers. Voici ce qu’il faut prévoir sur votre VPS :

Deux points concrets à retenir :

• 512 Mo de RAM suffisent pour un usage personnel ou familial. À l’exécution, Vaultwarden consomme moins de 200 Mo. Prenez 1 Go si vous comptez héberger d’autres applications sur le même VPS (voir notre tableau de RAM par application).
• Ne compilez jamais Vaultwarden depuis les sources sur un petit VPS : le build réclame jusqu’à 7 Go de RAM et fera planter la machine. Utilisez toujours l’image Docker pré-compilée vaultwarden/server.

Combien coûte l’auto-hébergement de Vaultwarden ?

Le coût se résume à celui du VPS, soit 3 à 5 €/mois pour une configuration adaptée. Vaultwarden lui-même est gratuit et open source.

Soyons transparents : si votre seul besoin est un gestionnaire de mots de passe, l’abonnement Bitwarden Premium (environ 10 $/an) revient moins cher qu’un VPS. L’auto-hébergement de Vaultwarden devient réellement intéressant dans trois cas :

1. vous voulez la maîtrise totale de vos données, sans aucun tiers ;
2. vous tenez à ne dépendre d’aucun service en ligne pour quelque chose d’aussi sensible ;
3. vous avez déjà un VPS (ou comptez en louer un) pour héberger d’autres applications : ajouter Vaultwarden ne coûte alors quasiment rien de plus.

C’est précisément la logique de ce site : un seul VPS, plusieurs applications. Vaultwarden est souvent la première brique que l’on y installe.

Quel hébergeur choisir pour Vaultwarden ?

Vaultwarden étant très léger, n’importe quel petit VPS Docker convient. Privilégiez un hébergeur qui facilite Docker et propose un VPS d’entrée de gamme fiable :

Installer Vaultwarden sur un VPS avec Docker

Une fois votre VPS prêt avec Docker installé, la mise en route tient en un fichier docker-compose.yml :

services:
  vaultwarden:
    image: vaultwarden/server:latest
    container_name: vaultwarden
    restart: unless-stopped
    environment:
      DOMAIN: "https://vault.exemple.fr"
      SIGNUPS_ALLOWED: "true"   # à repasser à false après votre inscription
    volumes:
      - ./vw-data:/data
    ports:
      - "8080:80"

Lancez ensuite :

docker compose up -d

Vaultwarden écoute maintenant en local sur le port 8080. Il ne faut surtout pas l’exposer ainsi en clair sur Internet : on place un reverse proxy HTTPS devant. Avec Caddy, le certificat Let’s Encrypt est automatique :

vault.exemple.fr {
    reverse_proxy localhost:8080
}

Il ne reste qu’à ouvrir https://vault.exemple.fr, créer votre compte, puis sécuriser l’installation.

Comment sécuriser Vaultwarden sur un VPS ?

C’est l’étape que l’on ne saute pas — il s’agit de tous vos mots de passe. La bonne nouvelle : quelques réglages suffisent.

• HTTPS obligatoire. Vaultwarden refuse de fonctionner correctement sans connexion sécurisée. Le reverse proxy (Caddy, ou Nginx Proxy Manager pour une interface graphique) règle ça en quelques minutes.
• Coupez les inscriptions. Une fois votre compte créé, passez SIGNUPS_ALLOWED à false : personne d’autre ne pourra s’enregistrer sur votre serveur.
• Protégez la page admin. Définissez un ADMIN_TOKEN long et aléatoire (idéalement sous forme de hash Argon2). Sans lui, le panneau d’administration reste inaccessible.
• Ajoutez fail2ban. Pour bannir automatiquement les adresses IP qui multiplient les tentatives de connexion.
• Sauvegardez le dossier vw-data. C’est tout votre coffre. Une sauvegarde chiffrée quotidienne, copiée hors du VPS, vous permet de tout restaurer en cas de pépin.

Pour une couche supplémentaire, vous pouvez n’exposer Vaultwarden que derrière votre propre VPN — ce qui se marie très bien avec un serveur WireGuard sur le même VPS.

Migrer depuis Bitwarden ou LastPass

La migration est indolore. Depuis l’application Bitwarden (ou LastPass, 1Password…), exportez votre coffre au format .json ou .csv. Connectez ensuite vos clients à votre serveur Vaultwarden (champ « URL du serveur » dans les réglages), puis importez le fichier. Pensez à supprimer le fichier d’export ensuite : il contient vos mots de passe en clair.

Vaultwarden est la porte d’entrée idéale vers l’auto-hébergement : utile, léger, et concret. Pour aller plus loin, voyez quel VPS choisir pour le self-hosting ou le guide pour débuter sans homelab.