Meilleurs gestionnaires de mots de passe auto-hébergés en 2026 (open source)
Auto-héberger un gestionnaire de mots de passe, c'est garder ses identifiants hors des serveurs d'autres entreprises et sous son propre contrôle — un vrai gage de souveraineté des données à l'heure du RGPD. Voici les options les plus solides en 2026, ce dans quoi chacune excelle, et la place de storage-p.
Ce qu'il faut regarder
Un bon gestionnaire auto-hébergé vous donne une réelle maîtrise sans introduire de nouveaux risques : un chiffrement de bout en bout (zero-knowledge) pour que le serveur ne voie jamais vos données en clair, un déploiement simple (idéalement un seul conteneur Docker), un code ouvert ou transparent, et une stratégie de sauvegarde et de récupération saine. La contrepartie : les correctifs et la disponibilité deviennent votre responsabilité. La CNIL recommande d'ailleurs des mots de passe à forte entropie (de l'ordre de 80 bits), que ces outils aident à générer et à conserver.
Vaultwarden
Un serveur léger compatible Bitwarden, écrit en Rust, qui consomme bien moins de 50 Mo de RAM et tourne dans un unique conteneur Docker. Il fonctionne avec tous les clients officiels Bitwarden, ce qui en fait le choix par défaut des particuliers et des familles qui veulent les applications Bitwarden sans le lourd serveur officiel. Une excellente alternative à LastPass pour qui accepte de s'auto-héberger.
Bitwarden (auto-hébergé officiel)
Le serveur officiel est la référence en entreprise — audits annuels par des tiers, SSO, synchronisation d'annuaire et politiques d'organisation — mais il est plus lourd à exploiter et à maintenir (2 Go de RAM et plus, une vraie base de données). À privilégier quand vous avez besoin de fonctions de conformité et du support de l'éditeur.
Passbolt
Open-source et pensé pour les équipes autour d'un modèle à clés publique-privée OpenPGP, avec un partage granulaire par ressource. Développé dans l'Union européenne (au Luxembourg) et publié sous licence AGPL, son édition communautaire est gratuite et auto-hébergeable — un argument de poids pour la souveraineté européenne. Idéal quand le partage sécurisé au sein d'une équipe est la priorité.
Psono
Un gestionnaire auto-hébergé destiné aux entreprises, avec SAML/LDAP, journaux d'audit et politiques de conformité. Gratuit pour les petites équipes ; les déploiements plus importants sont facturés par utilisateur.
KeePassXC (l'option sans serveur)
Ce n'est pas un serveur du tout : un unique fichier KDBX chiffré (AES-256) que vous synchronisez vous-même (Syncthing, Nextcloud). Aucune surface d'attaque côté serveur et prise en charge des clés matérielles, au prix d'une synchronisation multi-appareils manuelle. Fait notable pour le marché français : KeePassXC est certifié par l'ANSSI, un signal de confiance fort.
Où se situe storage-p
storage-p est un coffre-fort auto-hébergé et zero-knowledge : votre clé est dérivée dans le navigateur avec Argon2id, et le serveur ne stocke jamais que du chiffré XChaCha20-Poly1305, la base de données étant en outre chiffrée au repos via SQLCipher. Au-delà des mots de passe, il conserve vos clés SSH/TLS, vos clés API et vos TOTP, génère des clés Ed25519 côté client, et émet des jetons API à portée limitée dont chaque lecture peut exiger votre confirmation dans l'application ou via Telegram. Il se déploie comme un conteneur derrière Caddy.
Comment choisir
Vous voulez les applications Bitwarden avec un minimum de ressources — Vaultwarden. Il vous faut la conformité d'entreprise — Bitwarden officiel. Le partage en équipe avant tout — Passbolt ou Psono. Aucun serveur du tout, et une certification ANSSI — KeePassXC. Le zero-knowledge côté navigateur, plus vos clés SSH/TLS, API et TOTP dans un coffre-fort que vous possédez — storage-p.