Bitwarden self-hosted : migrer, sauvegarder et maintenir son instance

1. Choisir la source

   Depuis le client, l'import accepte les fichiers exportés des gestionnaires concurrents et les formats CSV/JSON. Vérifier le format proposé pour la source avant de générer le fichier.

2. Exporter depuis l'ancien outil

   Produire un export non chiffré ou chiffré selon ce que le format d'import attend. Un export chiffré par un mot de passe distinct doit être déchiffré avant l'import si le format ne le gère pas.

3. Se connecter à l'instance auto-hébergée

   Renseigner l'URL de l'instance dans les paramètres du client avant connexion, sinon l'import part vers le cloud Bitwarden et non vers le serveur local.

4. Lancer l'import

   Outils > Importer les données, sélectionner le format, charger le fichier, valider. L'import crée les éléments dans le coffre personnel du compte connecté.

5. Contrôler le résultat

   Compter les entrées importées et vérifier quelques identifiants sensibles. Supprimer le fichier d'export du poste une fois l'import confirmé.

Trois causes reviennent : un fichier exporté dans un format différent de celui sélectionné, une connexion restée sur le serveur cloud au lieu de l'instance auto-hébergée, ou un fichier d'export corrompu lors du transfert.

Vérifier l'URL du serveur dans les paramètres du client, réexporter à la source, puis relancer l'import. Les pages installation de Bitwarden et connexion à Bitwarden détaillent la configuration du client.

1. Exporter le coffre

   Dans le client, Outils > Exporter le coffre. Conserver le fichier hors ligne, sur un support distinct du serveur.

2. Copier le volume de données

   Arrêter les conteneurs, puis copier le répertoire bwdata qui contient la base et les fichiers de configuration. Cette copie couvre les comptes et les organisations, pas seulement un coffre.

3. Horodater la sauvegarde

   Nommer l'archive avec la date et la version de l'image en cours. Sans cette référence, le rollback ne sait pas quelle version restaurer.

4. Tester la restauration

   Sur un environnement de test, remonter bwdata et démarrer les conteneurs. Vérifier la connexion et l'accès aux éléments avant de considérer la sauvegarde comme valide.

5. Restaurer en production

   Arrêter les conteneurs, remplacer bwdata par la copie, redémarrer. Une incohérence entre bwdata et la version de l'image provoque des erreurs au démarrage : aligner l'image sur celle de la sauvegarde.

La procédure officielle tient en trois temps : sauvegarde complète de bwdata, récupération des nouvelles images, redémarrage. Le rollback consiste à remettre l'ancien bwdata et à relancer l'image de la version sauvegardée.

Si le démarrage échoue après mise à jour, ne pas insister : revenir à la version précédente, vérifier les notes de version, puis retenter. La page Bitwarden pour l'entreprise situe l'auto-hébergement dans l'offre globale.

Les valeurs de RAM, CPU et stockage sont publiées sur la page officielle d'auto-hébergement de Bitwarden ; les consulter avant de dimensionner la machine, elles évoluent avec les versions. Côté réseau, l'installation vise un conteneur Nginx interne exposé sur le port 443.

Pour placer un reverse proxy devant, la documentation officielle indique les variables de configuration qui désactivent la génération Let's Encrypt et fixent le port interne : se référer à la section correspondante plutôt que de modifier les fichiers à la main. Une page Vaultwarden vs Bitwarden compare l'alternative légère à l'instance officielle.

Bitwarden indique que le produit et le service font l'objet d'audits de sécurité tiers annuels. L'auto-hébergement transfère l'exploitation de l'infrastructure au client : le chiffrement zero-knowledge reste côté application, mais la disponibilité, les sauvegardes et le durcissement du serveur deviennent sa responsabilité.

Les passkeys sont gérées par le client et suivent le compte connecté à l'instance. L'autofill s'appuie sur l'extension, avec des règles personnalisables côté entreprise ; la page extension Bitwarden pour Chrome détaille le comportement.

Un client peut basculer entre plusieurs comptes, y compris un compte cloud et un compte sur instance auto-hébergée. Chaque compte garde son URL de serveur : vérifier l'indicateur de compte avant d'enregistrer un identifiant. Les collections et les organisations restent gérées côté serveur auto-hébergé.

Avec une instance auto-hébergée, le client héberge le service et doit démontrer ses contrôles d'accès, ses sauvegardes et sa journalisation. Bitwarden conserve la responsabilité du code et de ses audits produit. La page officielle FedRAMP de Bitwarden décrit la démarche de l'éditeur pour son cloud gouvernemental ; elle ne couvre pas une instance exploitée par le client.