Réponse rapide
Comment auto-héberger Vaultwarden sur un VPS ?
Pour auto-héberger Vaultwarden sur un VPS, lancez l'image vaultwarden/server avec Docker Compose, placez Caddy devant pour un HTTPS automatique sur un domaine à vous, créez votre compte, puis désactivez les inscriptions. Le forfait Dusk de Gloamport, 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic, coûte $5.25 par mois sur la durée de 12 mois.
Que contient la configuration Compose de Vaultwarden ?
| Élément | Valeur | Remarque |
|---|---|---|
| Image Vaultwarden | vaultwarden/server:latest | Données stockées dans ./vw-data, montées sur /data |
| Reverse proxy | caddy:2 | Ports 80, 443 et 443/udp publiés |
| Variable DOMAIN | https://vault.example.com | Obligatoire derrière un reverse proxy ; le HTTPS est nécessaire pour les pièces jointes |
| Certificats | Caddy, défi ACME HTTP-01 | Le domaine doit atteindre le VPS sur le port 80 |
| Inscriptions | SIGNUPS_ALLOWED | true pour créer votre compte, puis false |
| Page d'administration | ADMIN_TOKEN | Désactivée tant qu'un jeton n'est pas défini ; le wiki recommande un hachage argon2 |
| Forfait conseillé | Dusk : 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic | Liste des forfaits Gloamport |
Prix vérifiés le
Est-ce une bonne idée d'héberger son propre gestionnaire de mots de passe ?
Cela vous convient si vous acceptez la tâche de le maintenir, de le sauvegarder et de le mettre à jour. Vaultwarden stocke votre coffre chiffré, mais le serveur décide toujours qui peut se connecter et détient la seule copie, sauf si vous en faites d'autres. Si vous perdez les données, aucun fournisseur ne pourra les restaurer.
Trois faits guident la décision. Aucun plan n'inclut de sauvegardes : conservez votre propre copie de tout ce que vous ne pouvez pas perdre. Un coffre n'est disponible que dans la mesure du VPS qui le porte ; gardez donc aussi une exportation hors ligne de votre coffre. Et le domaine que vous utilisez pour cela est public dans le DNS et dans les journaux de certificats : choisissez-en un qui ne contient pas votre nom. Si ces points vous conviennent, un petit VPS unique est un logement normal pour lui.
Comment installer Vaultwarden avec Docker Compose et Caddy
Il vous faut un domaine dont l'enregistrement A pointe vers le VPS. Les commandes fonctionnent sur Debian 13 ou Ubuntu 24.04.
Installez Docker Engine avec le plugin Compose
Suivez la page d'installation de Docker pour Debian ou Ubuntu, puis lancez la ligne apt install de docker-ce et docker-compose-plugin du premier bloc de code. Vérifiez avec docker run hello-world.
Créez le dossier du projet et le Caddyfile
Créez un dossier vaultwarden et rédigez le Caddyfile et le docker-compose.yml à partir des blocs de code. Remplacez vault.example.com par votre domaine et l'adresse e-mail par une adresse pour le certificat. Cette adresse est destinée à l'autorité de certification, et non à Gloamport.
Ouvrez les ports web
Les ports 80 et 443 doivent atteindre le VPS : le défi HTTP-01 a besoin du port 80 pour obtenir le certificat. Si vous utilisez ufw ou un autre pare-feu, autorisez 80/tcp, 443/tcp et 443/udp en plus de SSH.
Démarrez la pile
Lancez docker compose up -d dans le dossier. Caddy demande le certificat au premier démarrage. Ouvrez https://vault.example.com et créez votre compte.
Fermez les inscriptions
Réglez SIGNUPS_ALLOWED sur « false » dans le fichier compose et relancez docker compose up -d. Les nouveaux comptes ne pourront alors être ajoutés que sur invitation ou par vous.
Sauvegardez le dossier de données
Utilisez la procédure de sauvegarde de Vaultwarden du dernier bloc de code, selon un calendrier, avec une copie conservée hors du VPS.
# After adding Docker's apt repository (docs.docker.com/engine/install/debian/)
sudo apt install docker-ce docker-ce-cli containerd.io docker-buildx-plugin docker-compose-plugin
sudo docker run hello-world
mkdir -p ~/vaultwarden && cd ~/vaultwarden
# write docker-compose.yml and Caddyfile (below), then:
sudo docker compose up -dservices:
vaultwarden:
image: vaultwarden/server:latest
container_name: vaultwarden
restart: always
environment:
DOMAIN: "https://vault.example.com"
SIGNUPS_ALLOWED: "true"
volumes:
- ./vw-data:/data
caddy:
image: caddy:2
container_name: caddy
restart: always
ports:
- 80:80
- 443:443
- 443:443/udp
volumes:
- ./Caddyfile:/etc/caddy/Caddyfile:ro
- ./caddy-config:/config
- ./caddy-data:/data
environment:
DOMAIN: "https://vault.example.com"
EMAIL: "[email protected]"{$DOMAIN} {
tls {$EMAIL}
encode zstd gzip
reverse_proxy vaultwarden:80 {
header_up X-Real-IP {remote_host}
}
}# Optional admin page: hash a long random password, put the result in ADMIN_TOKEN
sudo docker exec -it vaultwarden /vaultwarden hash
# Database backup while the server runs (SQLite online backup)
sqlite3 vw-data/db.sqlite3 ".backup '/root/backups/db-$(date +%Y%m%d-%H%M).sqlite3'"
# Also copy: vw-data/attachments/, vw-data/config.json, vw-data/rsa_key*Que faut-il sauvegarder d'un serveur Vaultwarden ?
Sauvegardez db.sqlite3, le dossier des pièces jointes, config.json et les fichiers rsa_key. La page de sauvegarde de Vaultwarden classe db.sqlite3 et les pièces jointes comme obligatoires, config.json et les fichiers rsa_key comme recommandés, et les envois ainsi que le cache des icônes comme facultatifs. Elle demande d'utiliser la commande .backup propre à SQLite plutôt que de copier le fichier pendant qu'il est ouvert, et d'éviter de compter sur les instantanés du système de fichiers ou de la VM.
La page avertit aussi que config.json contient des secrets en clair : chiffrez-le avant qu'il ne quitte le VPS. Lancez la sauvegarde chaque jour, gardez une copie ailleurs, et restaurez-la une fois sur une machine de secours pour prouver qu'elle fonctionne. Les versions de Vaultwarden à partir de 1.32.1 disposent aussi d'une commande de sauvegarde intégrée, décrite dans le wiki.
Quel forfait Gloamport fait tourner Vaultwarden ?
Dusk est le forfait par lequel nous commencerions : 1 vCPU, 2 GB RAM, 40 GB NVMe, 2 TB traffic à $5.25 par mois sur la durée de 12 mois, $10.50 sur un seul mois. Le wiki de Vaultwarden ne donne aucun chiffre de dimensionnement et nous ne l'avons pas mesuré, donc considérez Dusk comme un point de départ. Si vous faites tourner aussi un serveur de chat et un moteur de recherche sur le même VPS, Gloam (2 vCPU, 4 GB RAM, 80 GB NVMe, 4 TB traffic, $8.25 par mois sur la durée de 12 mois) est proposé pour Un serveur Matrix, Vaultwarden et SearXNG ensemble.
Aucune vérification d'identité, ni maintenant ni plus tard : pas d'envoi de pièce d'identité, pas de selfie, pas de justificatif de domicile, pas de carte et pas de numéro de téléphone. Selon l'enquête de Gloamport sur 10 novembre 2026, 28 des 49 hébergeurs listés ne demandent aucun document d'identité à l'inscription. La page forfaits et conditions détaille toutes les tailles.
Comment protéger la page d'administration et le serveur ?
Laissez la page d'administration désactivée sauf si vous en avez besoin, et sécurisez SSH avant tout le reste. Le wiki indique que la page d'administration n'existe qu'une fois un jeton d'authentification défini, que ce jeton fait office de mot de passe pour la zone d'administration, et que le HTTPS doit être actif avant de l'activer. Il recommande de stocker le jeton sous forme de hachage argon2 pour qu'il ne puisse pas être simplement lu dans la configuration.
Sur l'hôte, utilisez SSH par clé uniquement et un pare-feu, comme dans Comment durcir SSH sur un nouveau VPS ?. Un serveur de gestionnaire de mots de passe est une cible de choix : appliquez donc les mises à jour en tirant de nouveau les images et en lançant docker compose up -d. Pour un second service sur le même VPS, voir Comment héberger un serveur Matrix sur un VPS ?.
En résumé
- Vaultwarden tourne depuis vaultwarden/server, avec ses données dans ./vw-data.
- Caddy obtient le certificat HTTPS par le défi HTTP-01 ; le domaine doit atteindre le port 80.
- Réglez DOMAIN sur l'URL https ; le wiki indique que le HTTPS est nécessaire pour les pièces jointes.
- Créez votre compte, puis réglez SIGNUPS_ALLOWED sur false.
- La page d'administration a besoin d'un ADMIN_TOKEN ; le wiki recommande un hachage argon2.
- Sauvegardez db.sqlite3 avec .backup, ainsi que les pièces jointes, config.json et les fichiers rsa_key.
- Dusk, $5.25 par mois sur 12 mois, est un forfait de départ.
Auto-hébergement de Vaultwarden : questions fréquentes
Faut-il un nom de domaine ?
Oui pour l'installation décrite ici. DOMAIN doit être une URL https et Caddy obtient son certificat pour ce nom. Le wiki décrit une voie par défi DNS pour les instances privées sans accès public.
Vaultwarden est-il la même chose que Bitwarden ?
Non. Vaultwarden est un serveur distinct et plus léger, compatible avec les clients Bitwarden. Vous utilisez les applications Bitwarden et leur indiquez l'adresse de votre propre serveur.
Comment empêcher d'autres personnes de créer des comptes ?
Réglez SIGNUPS_ALLOWED sur false une fois votre compte créé, puis recréez le conteneur. Les invitations peuvent toujours ajouter des utilisateurs lorsque l'inscription est fermée.
Que se passe-t-il si le VPS tombe en panne ?
Vous restaurez à partir de votre sauvegarde. Aucun plan n'inclut de sauvegardes : conservez votre propre copie de tout ce que vous ne pouvez pas perdre. Gardez la sauvegarde chiffrée hors du VPS et testez une restauration une fois.
Quelles images Gloamport propose-t-il ?
Images : Debian 13, Debian 12, Ubuntu 24.04 LTS, AlmaLinux 10, Rocky Linux 10. Docker fonctionne sur Debian 13 et Ubuntu 24.04, tous deux proposés.
Sources (4)
- Wiki Vaultwarden : utiliser Docker Compose — Vaultwarden project (checked 2026-11-10)
- Wiki Vaultwarden : activer la page d'administration — Vaultwarden project (checked 2026-11-10)
- Wiki Vaultwarden : sauvegarder votre coffre — Vaultwarden project (checked 2026-11-10)
- Installer Docker Engine sur Debian — Docker Inc. (checked 2026-11-10)