Il miglior password manager self-hosted nel 2026 (guida onesta)

Se vuoi un password manager in cui sei tu a detenere i dati — non il cloud di un'azienda — il self-hosting è la risposta. L'attrattiva è reale: il tuo vault cifrato risiede su un'infrastruttura che controlli tu, senza fornitori terzi nella catena di fiducia. Il compromesso è altrettanto reale: diventi responsabile di aggiornamenti, backup e sicurezza. Questa guida classifica onestamente le opzioni self-hosted serie e ti aiuta a decidere se il self-hosting è davvero adatto a te.

La risposta breve

• Per la maggior parte delle persone: Vaultwarden. Un server open source e leggero che parla il protocollo Bitwarden, gira in un singolo container Docker (anche su un Raspberry Pi) e funziona con le app ufficiali Bitwarden. Il miglior equilibrio tra potenza e semplicità. Vedi il nostro tutorial sul self-hosting di Vaultwarden per la configurazione completa.
• Vuoi lo stack ufficiale: Bitwarden self-host. Il server proprietario del fornitore — più affamato di risorse, ma di prima parte.
• Preferisci basato su file, senza server: KeePassXC + sincronizzazione propria. Un database cifrato locale che sincronizzi tu stesso.
• Self-hosting per team / aziende: Passbolt o Psono. Costruiti attorno all'accesso condiviso e ai permessi granulari.

Cosa ti offre davvero (e ti costa) il "self-hosted"

Cosa guadagni:

• Controllo e privacy. Il vault cifrato risiede sul tuo hardware o VPS. Nessun fornitore terzo può essere obbligato, violato o modificare i termini in modo da esporre i tuoi dati.
• Nessun abbonamento per il software stesso (open source).
• Verificabilità. Questi progetti sono open source, quindi il codice può essere ispezionato.

Cosa ti assumi:

• Manutenzione. Aggiornamenti di sicurezza, certificati TLS, hardening del server — spetta a te.
• Backup. Se non fai backup, non li fa nessuno. Un disco perso = un vault perso.
• Disponibilità. Se il tuo server è offline e tu sei in viaggio, lo è anche il tuo vault (mitigato dalle cache offline delle app).

In breve: il self-hosting baratta comodità con controllo. È un ottimo baratto, se lo manterrai davvero.

Le opzioni, onestamente

Vaultwarden — la scelta predefinita

Vaultwarden (un tempo "bitwarden_rs") è un server non ufficiale, scritto in Rust, che implementa l'API di Bitwarden. È notevolmente leggero — un singolo container Docker che gira tranquillamente su un Raspberry Pi o sul VPS più economico — eppure funziona con tutti i client ufficiali Bitwarden (desktop, mobile, estensioni del browser). Ottieni organizzazioni, allegati e 2FA senza pagare il Premium ospitato di Bitwarden. Per la stragrande maggioranza dei self-hoster, è la risposta giusta. Il nostro tutorial passo-passo su Vaultwarden copre Docker Compose, un reverse proxy, TLS e i backup automatici.

Bitwarden self-host — la via ufficiale

Bitwarden offre un server self-hosted ufficiale. È di prima parte e completo di funzionalità, ma è un deployment più pesante, a più container (più RAM, più componenti in movimento) rispetto a Vaultwarden. Scegli questa opzione se vuoi specificamente lo stack proprietario del fornitore e non ti dispiace l'impronta di risorse aggiuntiva.

KeePassXC + sincronizzazione propria — nessun server

KeePassXC è un manager locale e open source che memorizza tutto in un singolo file cifrato .kdbx. Non c'è alcun server da gestire: sincronizzi quel file tu stesso con Syncthing, Nextcloud o qualsiasi archivio di cui ti fidi. È l'opzione più minimale e più privata — e la più manuale, dato che gestisci tu la sincronizzazione e la risoluzione dei conflitti. Eccellente per chi vuole zero server e la piena proprietà del file.

Passbolt — orientato ai team

Passbolt è costruito per i team: condivisione granulare, permessi per utenti/gruppi e un modello di amministrazione pensato per le organizzazioni. È più impegnativo da implementare rispetto a Vaultwarden ed è rivolto all'uso collaborativo piuttosto che a una singola persona. Una scelta solida per una piccola azienda che vuole credenziali condivise e self-hosted.

Psono — self-hosting aziendale

Psono è un altro manager self-hosted orientato a team/aziende con accesso basato sui ruoli e un'API. Come Passbolt, è eccessivo per un singolo individuo ma ben adatto a organizzazioni che vogliono tenere le credenziali sulla propria infrastruttura.

Chi dovrebbe davvero fare self-hosting?

• Sì, fai self-hosting se ti senti a tuo agio nel gestire un piccolo server, lo terrai aggiornato e con backup, e il controllo è per te una vera priorità. Inizia con Vaultwarden.
• Probabilmente no se vuoi qualcosa che "funzioni e basta" ovunque con zero manutenzione, oppure se non ti senti sicuro su TLS, aggiornamenti e backup. Un vault self-hosted mal configurato è più rischioso di un buon servizio gestito.

Se la seconda descrizione sei tu, non c'è nulla di cui vergognarsi — un manager gestito, open source e affidabile ti offre la maggior parte dei vantaggi sulla privacy senza l'amministrazione del server.

In conclusione

Nel 2026, il miglior password manager self-hosted per la maggior parte delle persone è Vaultwarden — leggero, open source, compatibile con Bitwarden e facile da gestire. KeePassXC è adatto a chi non vuole alcun server; Passbolt e Psono si adattano ai team. Qualunque cosa tu scelga, ricorda le due regole che decretano il successo o il fallimento del self-hosting: tienilo aggiornato e fai i backup automaticamente. E se gestire un server non fa per te, un manager gestito e open source è una scelta perfettamente onesta.