Le meilleur gestionnaire de mots de passe auto-hébergé en 2026 (guide honnête)

Si vous voulez un gestionnaire de mots de passe où vous détenez les données, et non le cloud d'une entreprise, l'auto-hébergement est la réponse. L'attrait est réel : votre coffre chiffré vit sur une infrastructure que vous contrôlez, sans aucun prestataire tiers dans la chaîne de confiance. Le compromis l'est tout autant : vous devenez responsable des mises à jour, des sauvegardes et de la sécurité. Ce guide classe honnêtement les options sérieuses d'auto-hébergement, et vous aide à décider si l'auto-hébergement vous convient vraiment.

La réponse courte

• Pour la plupart des gens : Vaultwarden. Un serveur léger et open-source qui parle le protocole Bitwarden, tourne dans un seul conteneur Docker (même sur un Raspberry Pi) et fonctionne avec les applis Bitwarden officielles. Le meilleur équilibre entre puissance et simplicité. Voir notre tutoriel d'auto-hébergement de Vaultwarden pour l'installation complète.
• Vous voulez la pile officielle : Bitwarden auto-hébergé. Le serveur du fournisseur lui-même, plus gourmand en ressources, mais d'origine.
• Vous préférez un fichier, sans serveur : KeePassXC + votre propre sync. Une base de données locale chiffrée que vous synchronisez vous-même.
• Auto-hébergement en équipe / entreprise : Passbolt ou Psono. Conçus autour de l'accès partagé et des permissions fines.

Ce que l'auto-hébergement vous apporte vraiment (et vous coûte)

Ce que vous gagnez :

• Contrôle et vie privée. Le coffre chiffré est sur votre matériel ou votre VPS. Aucun prestataire tiers ne peut être contraint, piraté, ou changer ses conditions d'une façon qui expose vos données.
• Pas d'abonnement pour le logiciel lui-même (open-source).
• Auditabilité. Ces projets sont open-source, donc le code peut être inspecté.

Ce que vous prenez en charge :

• Maintenance. Mises à jour de sécurité, certificats TLS, durcissement du serveur : à vous de jouer.
• Sauvegardes. Si vous ne sauvegardez pas, personne ne le fait. Un disque perdu = un coffre perdu.
• Disponibilité. Si votre serveur est en panne et que vous voyagez, votre coffre l'est aussi (atténué par le cache hors ligne des applis).

En bref : l'auto-hébergement échange le confort contre le contrôle. C'est un excellent échange si vous l'entretenez vraiment.

Les options, en toute honnêteté

Vaultwarden — le choix par défaut

Vaultwarden (anciennement « bitwarden_rs ») est un serveur non officiel, écrit en Rust, qui implémente l'API Bitwarden. Il est remarquablement léger : un seul conteneur Docker qui tourne sans souci sur un Raspberry Pi ou le VPS le moins cher, et pourtant il fonctionne avec tous les clients Bitwarden officiels (bureau, mobile, extensions de navigateur). Vous obtenez les organisations, les pièces jointes et la double authentification sans payer le Premium hébergé de Bitwarden. Pour l'immense majorité des auto-hébergeurs, c'est la bonne réponse. Notre tutoriel Vaultwarden pas à pas couvre Docker Compose, un reverse proxy, le TLS et les sauvegardes automatiques.

Bitwarden auto-hébergé — la voie officielle

Bitwarden propose un serveur auto-hébergé officiel. Il est d'origine et complet, mais c'est un déploiement plus lourd, multi-conteneurs (plus de RAM, plus de pièces mobiles) que Vaultwarden. Choisissez-le si vous voulez précisément la pile du fournisseur lui-même et que l'empreinte de ressources supplémentaire ne vous gêne pas.

KeePassXC + votre propre sync — aucun serveur

KeePassXC est un gestionnaire local et open-source qui stocke tout dans un seul fichier .kdbx chiffré. Il n'y a pas de serveur à faire tourner : vous synchronisez ce fichier vous-même avec Syncthing, Nextcloud, ou tout stockage en qui vous avez confiance. C'est l'option la plus minimale et la plus privée, et la plus manuelle, puisque vous gérez la sync et la résolution des conflits. Excellent pour ceux qui veulent zéro serveur et la pleine maîtrise du fichier.

Passbolt — orienté équipe

Passbolt est conçu pour les équipes : partage fin, permissions par utilisateur/groupe, et un modèle d'administration pensé pour les organisations. Il est plus lourd à déployer que Vaultwarden et vise l'usage collaboratif plutôt qu'une seule personne. Un choix solide pour une petite entreprise qui veut des identifiants partagés et auto-hébergés.

Psono — auto-hébergement en entreprise

Psono est un autre gestionnaire auto-hébergé orienté équipe/entreprise, avec accès basé sur les rôles et une API. Comme Passbolt, il est surdimensionné pour un individu, mais bien adapté aux organisations qui veulent garder leurs identifiants sur leur propre infrastructure.

Qui devrait vraiment s'auto-héberger ?

• Oui, auto-hébergez si vous êtes à l'aise avec un petit serveur, que vous le tiendrez à jour et sauvegardé, et que le contrôle est une vraie priorité pour vous. Commencez par Vaultwarden.
• Sans doute pas si vous voulez un truc qui « marche tout seul » partout sans maintenance, ou si vous n'êtes pas sûr de vous sur le TLS, les mises à jour et les sauvegardes. Un coffre auto-hébergé mal configuré est plus risqué qu'un bon coffre géré.

Si cette seconde description vous correspond, il n'y a aucune honte à ça : un gestionnaire géré, réputé et open-source, vous donne la plupart des bénéfices pour la vie privée sans l'administration du serveur.

L'essentiel

En 2026, le meilleur gestionnaire de mots de passe auto-hébergé pour la plupart des gens, c'est Vaultwarden : léger, open-source, compatible Bitwarden et facile à faire tourner. KeePassXC convient à ceux qui ne veulent aucun serveur ; Passbolt et Psono sont faits pour les équipes. Quel que soit votre choix, retenez les deux règles qui font ou défont l'auto-hébergement : tenez-le à jour, et sauvegardez-le automatiquement. Et si faire tourner un serveur n'est pas pour vous, un gestionnaire géré et open-source est un choix tout à fait honnête.