Vaultwarden ou Bitwarden auto-hébergé : lequel choisir ?

Ce que sont réellement Vaultwarden et Bitwarden auto-hébergé

Le choix entre Vaultwarden et Bitwarden auto-hébergé porte sur deux serveurs utilisant la même API client, et non sur deux gestionnaires de mots de passe différents. La pile logicielle officielle de Bitwarden exécute environ une douzaine de conteneurs derrière nginx, stocke toutes les données dans Microsoft SQL Server et nécessite un identifiant d'installation enregistré avec une adresse e-mail. Vaultwarden est une réimplémentation non officielle de l'API client Bitwarden, écrite en Rust, qui s'exécute sous la forme d'un conteneur unique utilisant un fichier SQLite. Vos extensions de navigateur et votre téléphone ne font aucune différence entre les deux, car ils répondent aux mêmes points de terminaison.

Le chiffrement est identique dans les deux cas. Les clients Bitwarden chiffrent le coffre-fort avant que la moindre donnée ne quitte l'appareil ; le serveur stocke donc des blobs qu'il ne peut pas lire, et le format du coffre-fort appartient à Bitwarden dans les deux cas. Ce qui diffère, c'est la puissance machine nécessaire, la maintenance du code, les fonctionnalités payantes et la stratégie de sauvegarde.

Le fichier README de Vaultwarden est explicite sur son statut : "Ce projet n'est pas associé à Bitwarden ou Bitwarden, Inc." Il s'agit d'un projet bénévole sans support technique ni garantie. L'un des mainteneurs actifs travaille chez Bitwarden et contribue sur son temps personnel, ce qui relève de la courtoisie et non d'un soutien officiel.

Les trois stacks que vous pouvez installer

La plupart des comparatifs passent à côté d’un point : Bitwarden fournit deux produits différents pour l’auto-hébergement.

Bitwarden standard. Le déploiement fourni par l’éditeur, piloté par un script shell.

curl -Lso bitwarden.sh "https://func.bitwarden.com/api/dl/?app=self-host&platform=linux" \
  && chmod 700 bitwarden.sh
./bitwarden.sh install

L’installateur demande votre domaine, si vous souhaitez demander un certificat Let's Encrypt, un ID et une clé d’installation que vous obtenez auprès de https://bitwarden.com/host en indiquant une adresse e-mail, ainsi que votre région (US ou EU). ./bitwarden.sh start récupère ensuite les images et démarre la stack. Bitwarden indique 2 GB de RAM et 12 GB de stockage comme minimum, 4 GB et 25 GB comme valeurs recommandées, ainsi que Docker Engine 26 ou une version ultérieure avec le plugin Compose. La base de données utilise une image MSSQL Express, dont Bitwarden indique que la taille maximale de la base relationnelle est de 10 GB. Si cette limite est insuffisante, vous pouvez utiliser une base de données externe à la place.

Bitwarden lite. Il s’agit du déploiement autrefois appelé Bitwarden Unified. Il a quitté la phase bêta et a été renommé en décembre 2025. Un conteneur applicatif et une base de données de votre choix :

services:
  bitwarden:
    depends_on:
      - db
    env_file:
      - settings.env
    image: ghcr.io/bitwarden/lite
    restart: always
    ports:
      - "80:8080"
    volumes:
      - bitwarden:/etc/bitwarden
  db:
    environment:
      MARIADB_USER: "bitwarden"
      MARIADB_PASSWORD: "super_strong_password"
      MARIADB_DATABASE: "bitwarden_vault"
      MARIADB_RANDOM_ROOT_PASSWORD: "true"
    image: mariadb:10
    restart: always
    volumes:
      - data:/var/lib/mysql
volumes:
  bitwarden:
  data:

Il accepte MariaDB ou MySQL, PostgreSQL, SQLite et MSSQL, et demande 200 MB de RAM et 1 GB de stockage. La documentation de Bitwarden comporte deux réserves. Ce déploiement est prévu pour un usage personnel et les home labs, pas pour un usage professionnel. Il n’effectue aucune sauvegarde automatique de la base de données. Cette tâche vous revient donc entièrement.

Vaultwarden. Un seul conteneur, directement issu du README du projet :

docker run --detach --name vaultwarden \
  --env DOMAIN="https://vw.domain.tld" \
  --volume /vw-data/:/data/ \
  --restart unless-stopped \
  --publish 127.0.0.1:8000:80 \
  vaultwarden/server:latest

La ligne publish lie le port 8000 à l’interface loopback uniquement, et c’est volontaire. Vaultwarden sert du HTTP non chiffré et attend qu’un reverse proxy assure la terminaison TLS (transport layer security) devant lui. TLS est obligatoire ici : le web vault chiffre les données avec l’API WebCrypto du navigateur, que les navigateurs n’exposent que dans un contexte sécurisé. En HTTP non chiffré via http, la page de connexion échoue dans le navigateur avant même que votre serveur soit sollicité. Le guide complet d’installation de Vaultwarden couvre le proxy et le certificat.

Quelle quantité de RAM Vaultwarden consomme-t-il par rapport à Bitwarden auto-hébergé ?

Les minimums indiqués par l'éditeur correspondent aux seuils sous lesquels l'installateur refuse de s'exécuter, et non au poids réel du logiciel. Les lignes ci-dessous proviennent de docker stats --no-stream sur des installations au repos, avec un utilisateur chacune, un petit coffre-fort et aucune pièce jointe, sur une machine Ubuntu 24.04 avec 4 Go de RAM. Le disque correspond aux images ainsi qu'au répertoire de données après le premier démarrage réussi.

[
  {
    "label": "Vaultwarden (SQLite)",
    "idle_ram_mb": 58,
    "containers": 1,
    "disk_gb": 0.4
  },
  {
    "label": "Bitwarden lite + MariaDB",
    "idle_ram_mb": 470,
    "containers": 2,
    "disk_gb": 1.6
  },
  {
    "label": "Bitwarden standard (MSSQL)",
    "idle_ram_mb": "2,400",
    "containers": 12,
    "disk_gb": 6.5
  }
]

Vaultwarden est resté au repos à 58 Mo dans un conteneur unique. La stack standard Bitwarden est restée au repos près de 2,400 Mo répartis sur 12 conteneurs, le conteneur MSSQL représentant la majeure partie de cette consommation. Bitwarden lite se situe entre les deux à 470 Mo avec son conteneur MariaDB. Exécutez la même commande sur votre propre machine avant de vous fier à ces chiffres, car ils varient selon le nombre d'utilisateurs, les pièces jointes et le trafic de synchronisation, et MSSQL augmente son jeu de travail au fil du temps.

L'interprétation pratique pour un petit VPS : Vaultwarden avec SQLite est à l'aise sur une offre de 1 Go, alors que la stack standard Bitwarden ne démarrera pas sur cette configuration. Sur une offre de 2 Go, la stack standard atteint le minimum documenté et laisse très peu de ressources pour le système d'exploitation, ce qui rend le déclenchement du OOM killer (Out of Memory killer) du noyau probable. Lorsqu'il intervient, dmesg affiche une ligne nommant le processus tué, et sur cette stack, il s'agit généralement de sqlservr. Allouez 4 Go au déploiement standard. Si ce même VPS doit héberger d'autres services, calculez les besoins minimaux des autres applications avant de choisir l'offre, car un serveur photo tel que PhotoPrism ou Immich nécessite beaucoup plus de mémoire que Vaultwarden ne le fera jamais. Tous les voisins ne sont cependant pas aussi gourmands : un outil comme Halcyon, qui relook une bibliothèque Jellyfin en vidéoclub des années 90 est une interface web qui s'appuie sur le serveur média qu'elle pointe plutôt que d'apporter sa propre base de données. La mémoire n'est pas le seul seuil à vérifier, car un relais RustDesk pour des sessions de bureau à distance est à peine visible dans docker stats et consomme plutôt votre quota de bande passante.

Quelles fonctionnalités payantes sont gratuites dans Vaultwarden ?

L'exécution du serveur Bitwarden ne coûte rien, mais les fonctionnalités payantes restent verrouillées tant que vous ne téléversez pas un fichier de licence. Les comptes individuels Premium et les plans d'organisation payants pouvant être auto-hébergés, à savoir Familles et Entreprise (Bitwarden ne propose pas d'option d'auto-hébergement pour les équipes), en nécessitent un. Vous le téléchargez depuis le coffre-fort web cloud, sous Paramètres puis Abonnement pour un individu, ou depuis la console d'administration sous Facturation puis Abonnement pour une organisation, et vous le téléversez sur votre propre instance. Les licences d'organisation sont émises en fonction de l'ID d'installation stocké dans ./bwdata/env/global.override.env. Une organisation auto-hébergée conserve donc un abonnement payant et interagit toujours avec le cloud de Bitwarden pour la facturation.

Vaultwarden active ces mêmes fonctionnalités sans licence ni abonnement. Le wiki du projet les liste :

• organisations, collections et groupes
• pièces jointes
• authentification en deux étapes par e-mail, Duo, YubiKey et FIDO2
• accès d'urgence
• Bitwarden Send
• clés API personnelles
• SSO via OpenID Connect

Le SSO est la plus récente de ces fonctionnalités et se configure avec SSO_ENABLED, SSO_AUTHORITY, SSO_CLIENT_ID et SSO_CLIENT_SECRET. Il authentifie uniquement la connexion. Le wiki précise qu'un mot de passe maître reste requis et n'est pas contrôlé par votre fournisseur d'identité, car ce mot de passe dérive la clé qui déchiffre le coffre-fort. Pointez SSO_AUTHORITY vers l'émetteur de découverte d'un fournisseur d'identité Authentik auto-hébergé et les utilisateurs s'y connectent, puis déverrouillent avec leur mot de passe maître. La valeur doit correspondre au champ issuer renvoyé par le point de terminaison de découverte, sans le suffixe /.well-known/openid-configuration à la fin.

Ce que vous n'obtenez pas avec Vaultwarden, c'est un fournisseur officiel. Bitwarden détient les certifications SOC 2 Type 2 et ISO 27001, publie des rapports d'audit tiers et gère un programme de bug bounty privé sur HackerOne. Ces éléments couvrent le code et le service de Bitwarden plutôt que le serveur que vous avez installé, mais si un auditeur exige un fournisseur nommé derrière votre gestionnaire de mots de passe, une réimplémentation bénévole est difficile à justifier.

Les applications officielles Bitwarden fonctionnent-elles avec Vaultwarden ?

Oui. Vaultwarden implémente l'API client ; par conséquent, les extensions de navigateur, les applications de bureau, les applications mobiles et le web vault intégré fonctionnent avec lui. Dans chaque client, vous devez définir l'URL du serveur auto-hébergé sur l'écran d'environnement avant de vous connecter, et non après.

Une fonctionnalité nécessite une configuration supplémentaire : les notifications push vers les applications mobiles. Sans elles, l'application se synchronise à l'ouverture ou selon son propre minuteur. Ainsi, un mot de passe modifié sur votre ordinateur portable n'apparaîtra pas sur votre téléphone tant que vous ne le consulterez pas. Vaultwarden peut utiliser le relais de push de Bitwarden, ce qui nécessite un ID d'installation et une clé provenant de la même page https://bitwarden.com/host que celle utilisée par l'installateur officiel.

PUSH_ENABLED=true
PUSH_INSTALLATION_ID=<your installation id>
PUSH_INSTALLATION_KEY=<your installation key>

Les serveurs situés dans la région UE nécessitent également PUSH_RELAY_URI=https://api.bitwarden.eu et PUSH_IDENTITY_URI=https://identity.bitwarden.eu. Le wiki documente deux pièges qu'il est utile de connaître avant de passer une heure à déboguer ce point. Une application installée depuis F-Droid ou Neo Store ne dispose pas du support Firebase et ne recevra jamais de notification push, peu importe la configuration du serveur. Une application connectée avant la version 1.30.2 de Vaultwarden doit voir ses données effacées pour qu'elle puisse enregistrer un jeton de push.

Quel est le niveau de sécurité d'une réimplémentation ?

L'historique des audits de Bitwarden est long et public. Cure53 l'a examiné en 2018, 2021, 2022, 2023, 2024 et 2025. La session de 2025 a couvert l'extension de navigateur et la surcouche d'autocomplétion, l'application principale, l'application de bureau, le coffre-fort web, ainsi que la bibliothèque et le crate RustCrypto. IOActive et Mandiant ont audité les clients en 2024, Fracture Labs a réalisé des évaluations web et réseau tout au long de 2024 et 2025, Unit 42 a évalué les applications mobiles en 2025, et le groupe de cryptographie appliquée de l'ETH Zurich a examiné la cryptographie en 2025.

Vaultwarden a également été examiné par des tiers, ce qui surprend ceux qui pensent que personne ne s'y intéresse. L'Office fédéral allemand de la sécurité des technologies de l'information (BSI) a fait tester le logiciel par mgm security partners entre février et mai 2024 dans le cadre du projet d'analyse de code Caos 3.0 ; cet examen a classé deux découvertes comme étant de niveau élevé. Par ailleurs, ERNW a signalé un contournement de l'authentification affectant les versions antérieures à 1.32.5 (CVE-2024-55225), corrigé en novembre 2024. La version 1.37.0, en juillet 2026, a intégré des correctifs pour une faille SSRF (Server Side Request Forgery) via le point de terminaison des icônes, un accès inter-organisation aux éléments chiffrés et un contournement de politique d'organisation lors des importations d'annuaires. La version 1.37.4, en octobre 2026, a corrigé une nouvelle série de failles, dont une vulnérabilité de niveau élevé liée à la révocation des membres d'une organisation, ainsi que des problèmes concernant l'authentification à deux facteurs, les invitations d'organisation et les pièces jointes.

Cet historique démontre un projet doté d'un processus de divulgation fonctionnel. Il souligne également la surface d'attaque qui apparaît régulièrement : la page d'administration. Considérez donc cette page comme l'élément sensible qu'elle est. Elle doit rester désactivée à moins que ADMIN_TOKEN ne soit défini, et vous devriez stocker un hash plutôt que le jeton en clair.

docker run --rm -it vaultwarden/server /vaultwarden hash

Cette commande affiche une chaîne Argon2 au format PHC (Password Hashing Competition) à copier dans ADMIN_TOKEN. Activez HTTPS avant d'activer la page d'administration, car le jeton est envoyé dans la requête et un jeton en clair sur une connexion HTTP non chiffrée est lisible par n'importe quel équipement sur le chemin. Ce jeton et votre fichier de sauvegarde, plutôt que la cryptographie elle-même, constituent le risque réel. Une procédure de durcissement sur une instance en cours d'exécution permet de traiter ces deux points. Gardez /admin hors de l'internet public autant que possible et associez-le à un durcissement classique de l'hôte, tel que le verrouillage de l'accès SSH sur le serveur.

Ce qui casse lorsque l’API officielle change

C’est le risque que les utilisateurs sous-estiment. Bitwarden publie les clients, et ces clients se mettent à jour automatiquement depuis les app stores pendant la nuit. Vaultwarden doit suivre leur évolution. Lorsqu’une nouvelle version d’un client modifie le contrat d’API, un Vaultwarden qui n’a pas été mis à niveau reçoit un client déjà passé à la nouvelle version. Les connexions ou la synchronisation commencent alors à échouer sur des appareils que vous n’avez pas modifiés.

Les notes de version donnent un exemple concret. Vaultwarden 1.37.0 indique : "This update is required for support with clients with version 2026.7.0+, please update before reporting any issues with them." Un mois plus tard, la version 1.37.2, publiée le 22 août 2026, a répété l’avertissement pour les clients en version 2026.8.0 et ultérieure. Un serveur resté en version 1.37.0 ou 1.37.1 est donc déjà en retard sur les applications. Au 27 octobre 2026, la version actuelle est la 1.37.4, publiée le 5 octobre 2026, après la version 1.37.3 du 13 septembre 2026.

Deux habitudes permettent d’éviter ces problèmes. Épinglez un tag d’image précis au lieu de latest, afin qu’un pull automatique ne mette pas votre serveur à niveau à 3 h du matin. Surveillez ensuite le flux des versions et mettez à niveau volontairement, après avoir lu les notes, car c’est là que les changements incompatibles sont annoncés. L’avertissement concernant la version 1.37.2 a également été publié dans les GitHub Discussions du projet, avec les étapes de récupération pour les clients qui fonctionnent toujours mal après la mise à niveau du serveur : déconnectez-vous et reconnectez-vous, puis videz le cache de l’application ou de l’extension. Ne réinstallez l’application mobile ou l’extension qu’en dernier recours. Par exemple, la version 1.35.5 a invalidé tous les jetons « remember » existants pour l’authentification à deux facteurs lors de la mise à niveau, ce qui a déconnecté des utilisateurs d’une étape qu’ils pensaient avoir enregistrée.

Le déploiement Bitwarden standard présente le problème inverse. Les mises à niveau passent par ./bitwarden.sh updateself et ./bitwarden.sh update, et la mise à jour applique des migrations de base de données. Une sauvegarde effectuée avant la migration ne permet pas de revenir au schéma antérieur après celle-ci. Effectuez donc la sauvegarde et notez la version au moment où vous la créez.

Sauvegardes, là où les utilisateurs perdent réellement leurs coffres

Le répertoire de données de Vaultwarden constitue le serveur. Conservez les éléments suivants :

• db.sqlite3
• chaque fichier rsa_key*, y compris rsa_key.pem et rsa_key.der
• attachments/
• config.json
• sends/

Ne copiez pas db.sqlite3 avec cp pendant que le conteneur est en cours d'exécution. SQLite peut être en train d'écrire, ce qui peut corrompre la base de données lors de la copie ; celle-ci semblera valide jusqu'à ce que vous tentiez une restauration. Utilisez plutôt l'API de sauvegarde en ligne :

sqlite3 data/db.sqlite3 ".backup '/path/to/backups/db-$(date '+%Y%m%d-%H%M').sqlite3'"

Depuis la version 1.32.1, une commande /vaultwarden backup est également intégrée à l'image. Dans tous les cas, l'instantané reste sur le même disque que l'original tant que vous ne le déplacez pas. Transférez-le donc hors de la machine avec des instantanés restic vers un stockage distant selon un calendrier défini. Une tâche de sauvegarde qui s'arrête silencieusement ressemble exactement à une tâche qui n'a jamais existé. Configurez donc le minuteur pour signaler ses propres échecs là où vous pourrez les remarquer, ce qui est le rôle d'un serveur ntfy auto-hébergé relié à une unité OnFailure systemd. Les fichiers rsa_key sont tout aussi importants que la base de données : le serveur signe ses jetons de session avec cette clé. Restaurer une base de données à côté d'une clé nouvellement générée déconnectera tous les utilisateurs et invalidera les invitations d'organisation en attente.

La version standard de Bitwarden sauvegarde davantage d'éléments. Le conteneur mssql écrit des sauvegardes nocturnes de la base de données dans ./bwdata/mssql/backups et en conserve 30 jours, tant que le conteneur est actif. Vous pouvez en forcer une manuellement :

docker exec -i bitwarden-mssql /backup-db.sh

Les répertoires à conserver sont ./bwdata/env (variables d'environnement, incluant les mots de passe de la base de données et des certificats), ./bwdata/core/attachments, ./bwdata/mssql/data et ./bwdata/core/aspnet-dataprotection. Ce dernier est souvent oublié. Il contient les éléments de protection des données au niveau du framework, y compris les jetons d'authentification et certaines colonnes de la base de données. Restaurer la base de données sans ce répertoire rendra les colonnes protégées illisibles. Bitwarden lite ne réalise aucune sauvegarde automatique ; choisir cette version implique donc de gérer vous-même un calendrier de dump, exactement comme avec Vaultwarden.

Migration dans les deux sens

La migration s'effectue via les clients et non les serveurs, car l'export et l'import sont des fonctionnalités clientes. Cela rend la procédure identique dans les deux sens.

Chaque utilisateur effectue un export depuis le coffre-fort web ou l'application de bureau, crée un compte sur le nouveau serveur, puis procède à l'import. Les formats disponibles sont le texte brut .json, le texte brut .csv, le format chiffré .json, et un .zip qui contient le JSON ainsi que les fichiers joints pour les coffres individuels. Les cartes, identités, passkeys enregistrées et clés SSH ne sont conservées que dans les formats JSON ; une migration via CSV les supprime donc silencieusement. Aucun format d'export n'inclut les éléments de la corbeille ou les envois (Sends), et les données appartenant à une organisation ne font pas partie d'un export individuel.

Considérez un export en texte brut comme un secret actif, car c'est exactement ce qu'il est : l'intégralité de votre coffre-fort en clair sur le disque. Exportez-le, importez-le, puis supprimez-le immédiatement. Ne l'envoyez jamais par e-mail ou via une messagerie instantanée.

Un piège survient souvent en cours de migration. Un export chiffré lié à votre compte ne peut pas être importé dans un compte différent, et changer de serveur implique par définition un nouveau compte. Choisissez plutôt l'option d'export protégé par mot de passe, qui est portable.

La migration de Vaultwarden vers Bitwarden standard est plus complexe, car la structure de l'organisation n'est pas conservée lors d'un export. Vous devez recréer l'organisation sur le nouveau serveur, réinviter les utilisateurs, et chaque utilisateur doit importer son propre coffre-fort. Prévoyez une fenêtre de maintenance pour cette opération plutôt que de la découvrir le jour même.

Laquelle choisir ?

Utilisez Vaultwarden si vous êtes seul, en famille ou si vous gérez un home lab sur un VPS de 1 Go ou 2 Go. Les fonctionnalités Organisations, Accès d'urgence et Send sont gratuites, la consommation de mémoire au repos équivaut à peu près à un onglet de navigateur, et la sauvegarde consiste en un fichier SQLite ainsi qu'un petit répertoire. Cette combinaison explique pourquoi il domine la gestion de mots de passe auto-hébergée.

Utilisez le serveur officiel de Bitwarden lorsque d'autres personnes en dépendent professionnellement : une entreprise ayant besoin d'un contrat de support, une exigence de conformité imposant le fournisseur, ou des fonctionnalités entreprise pour lesquelles vous payez déjà. Allouez 4 Go au déploiement standard et considérez le fichier de licence et l'installation ID comme des composants du déploiement plutôt que comme de la simple paperasse.

Bitwarden lite se situe dans une position intermédiaire inconfortable. Il s'agit du code du fournisseur avec un poids réduit, ce qui est réellement intéressant, mais Bitwarden le documente pour un usage personnel ou en home lab et il ne propose pas de sauvegardes automatiques. Vous supportez la charge opérationnelle de Vaultwarden sans bénéficier de ses fonctionnalités gratuites. Choisissez cette option si le code du fournisseur vous importe plus que les fonctionnalités, et si vous acceptez de gérer vous-même la base de données.

Si vous hésitez encore sur les autres services à héberger sur votre machine, la liste de référence de l'auto-hébergement place ce choix aux côtés des autres services en concurrence pour la même RAM.

FAQ

Vaultwarden est-il assez sûr pour gérer mes mots de passe au quotidien ?

Pour un usage personnel ou familial, oui, sous certaines conditions. Les clients chiffrent le coffre-fort avant qu'il n'atteigne le serveur ; Vaultwarden ne voit donc jamais votre mot de passe maître ni aucune donnée en clair. Il a fait l'objet d'audits externes : le BSI a mandaté mgm security partners pour le tester entre février et mai 2024, et ERNW a signalé un contournement d'authentification corrigé dans la version 1.32.5. Maintenez le logiciel à jour, désactivez la page d'administration ou protégez-la par un hash Argon2 ADMIN_TOKEN, et ne le servez qu'en HTTPS. Une entreprise nécessitant un support éditeur ou une documentation d'audit doit utiliser le serveur officiel de Bitwarden.

Quelle quantité de RAM Vaultwarden consomme-t-il par rapport à Bitwarden self-hosted ?

Sur des installations au repos mesurées avec docker stats --no-stream, Vaultwarden avec SQLite occupait environ 58 Mo dans un seul conteneur, tandis que le déploiement standard de Bitwarden avoisinait 2,400 Mo répartis sur 12 conteneurs, la base de données MSSQL représentant la majeure partie de cette consommation. Bitwarden préconise 2 Go de RAM minimum et 4 Go recommandés pour la pile standard, et 200 Mo pour Bitwarden lite. Vaultwarden fonctionne sur un VPS de 1 Go avec de la marge.

Ai-je besoin d'une licence Bitwarden pour l'auto-hébergement ?

Non, pour un coffre-fort individuel gratuit. L'exécution du serveur est gratuite. Un fichier de licence est nécessaire pour débloquer les fonctionnalités premium individuelles et les plans d'organisation payants ; les plans Famille et Entreprise sont les seules offres d'organisation que Bitwarden autorise à auto-héberger. Vous téléchargez la licence depuis le coffre-fort web cloud pour l'importer sur votre instance. Les licences d'organisation sont liées à l'ID d'installation stocké dans ./bwdata/env/global.override.env. Vaultwarden ne nécessite aucune licence et active lui-même les fonctionnalités d'organisation.

Puis-je migrer de Vaultwarden vers Bitwarden plus tard, ou inversement ?

Oui, dans les deux sens, via les clients. Chaque utilisateur exporte son coffre-fort depuis le coffre-fort web ou l'application de bureau, puis l'importe sur le nouveau serveur après y avoir créé un compte. L'export .zip conserve les pièces jointes pour les coffres-forts individuels, et les fichiers JSON contiennent les cartes bancaires, les identités, les passkeys et les clés SSH. Les éléments dans la corbeille et les envois (Sends) ne sont inclus dans aucun format d'export. Les éléments appartenant à une organisation doivent être exportés séparément par un propriétaire ; prévoyez donc de recréer l'organisation et de réinviter les utilisateurs sur le nouveau serveur.