Pendant des années, mes mots de passe vivaient dans Chrome. C’était pratique, gratuit, et je n’y pensais jamais — ce qui était précisément le problème. Aujourd’hui ils sont sur un serveur qui m’appartient. Voici ce qui m’a décidée, et pourquoi l’opération a été bien plus simple que je ne le craignais.
Rendons à Google ce qui lui appartient
Soyons juste : le gestionnaire de mots de passe de Google fait correctement son travail de base. Il retient, il remplit, il prévient quand un mot de passe a fuité. Pour quelqu’un qui utilisait le même mot de passe partout, c’est déjà un progrès considérable. Si vous en êtes là, ne changez rien aujourd’hui : servez-vous-en, c’est infiniment mieux que rien.
Mon problème n’était pas la qualité de l’outil. C’était ce qu’il implique.
Trois choses qui m’ont décidée
Tout dépendait d’un seul compte. Mes mots de passe étaient protégés par mon compte Google. Un compte suspendu, un accès perdu, une double authentification qui tourne mal, et je perdais l’accès à tout le reste en même temps. Ranger toutes ses clés dans la serrure qu’on utilise le plus souvent n’est pas une bonne idée.
Je ne pouvais rien transmettre proprement. Dans mon métier, il m’arrive de devoir confier un accès à un client, ou d’en recevoir un. Avec Google, ça se termine invariablement par un SMS ou un mail — c’est-à-dire par un mot de passe qui reste en clair dans une boîte de réception, pour toujours.
Ça ne sortait pas de l’écosystème. Dès qu’on change de navigateur, qu’on passe sur un appareil qui n’est pas rattaché au compte, ou qu’on veut ranger autre chose qu’un identifiant de site — un code, un numéro de série, une clé de licence — l’outil s’arrête.
Bitwarden, Vaultwarden : ce n’est pas la même chose
Les deux noms se ressemblent, et c’est une source de confusion permanente. Bitwarden, c’est l’application que j’utilise tous les jours : extension de navigateur, application mobile, application de bureau. Vaultwarden, c’est le serveur qui garde le coffre — une implémentation libre et légère du serveur Bitwarden, conçue pour tourner sur de petites machines.
Les deux se parlent parfaitement. J’utilise les applications officielles Bitwarden, elles pointent simplement vers mon serveur au lieu de celui de l’éditeur. Concrètement, ça tourne sur mon VPS hébergé en France, à côté de mes autres services, et ça consomme une quantité de ressources ridicule.
Ce que j’y gagne :
- le coffre est chiffré sur mon appareil avant d’être envoyé : le serveur ne voit jamais mes mots de passe en clair, même s’il m’appartient
- je peux créer des collections et partager un accès précis, sans jamais l’envoyer par mail
- j’y range autre chose que des mots de passe : notes sécurisées, codes, clés de licence
- tout fonctionne sur n’importe quel navigateur et n’importe quel appareil
La migration : deux étapes, un quart d’heure
C’est la partie que tout le monde redoute, et c’est de loin la plus courte. Les deux outils parlent le même format.
- Exporter depuis Google. Ouvrez le gestionnaire de mots de passe de Chrome (
chrome://password-manager/settings), puis « Exporter les mots de passe ». Vous obtenez un fichier CSV. - Importer dans Bitwarden. Dans le coffre web, Outils → Importer des données, en choisissant le format « Chrome (csv) ». Vous sélectionnez le fichier, et c’est terminé.
Vraiment, c’est tout. Aucun outil tiers, aucune manipulation de fichier, aucune ligne de commande.
Le point de vigilance dont personne ne parle
Ce fichier CSV contient tous vos mots de passe en clair. Pas chiffrés. Lisibles dans n’importe quel éditeur de texte, par n’importe qui.
Il atterrit dans votre dossier Téléchargements, où il peut très bien rester des mois — et être synchronisé au passage vers un cloud, embarqué dans une sauvegarde, ou retrouvé par la première personne qui emprunte l’ordinateur. C’est le moment le plus vulnérable de toute l’opération, et il dure aussi longtemps qu’on l’oublie.
Donc, dans cet ordre, juste après l’import :
- vérifiez que tout est bien arrivé dans le coffre
- supprimez le fichier CSV, puis videz la corbeille
- videz les mots de passe enregistrés dans Google et désactivez la proposition d’enregistrement
- changez les mots de passe les plus sensibles — messagerie professionnelle, accès bancaire
Le dernier point n’est pas indispensable, mais il coûte cinq minutes.
Au quotidien, ça ne change presque rien
C’est le meilleur argument, et c’est aussi le plus contre-intuitif. Une fois l’extension installée, elle remplit les formulaires exactement comme le faisait Chrome. Un mot de passe principal à l’ouverture de session, et on n’y pense plus. La différence est invisible — c’est précisément ce qu’on demande à un outil de sécurité : ne pas se faire remarquer.
La contrepartie, qu’il faut assumer
Héberger soi-même, c’est être responsable de la sauvegarde. Si le serveur disparaît et qu’il n’y a pas de sauvegarde, le coffre disparaît avec lui — et cette fois, il n’y a pas de support à appeler.
C’est le vrai sujet de l’auto-hébergement, et c’est ce qui sépare une installation sérieuse d’un bricolage. Chez moi, la base est sauvegardée automatiquement et chiffrée, et j’ai vérifié qu’une restauration fonctionne — parce qu’une sauvegarde qu’on n’a jamais restaurée n’est pas une sauvegarde.
Si vous n’avez pas envie de gérer ça, l’offre payée de Bitwarden est honnête et coûte quelques euros par an. L’auto-hébergement n’a de sens que si quelqu’un s’occupe sérieusement des sauvegardes.
Envie de faire la même chose ?
Si vous voulez sortir vos mots de passe de votre navigateur, je peux m’en charger de bout en bout : mise en place du coffre, migration de vos mots de passe existants, installation sur vos appareils, nettoyage de l’ancien gestionnaire, et prise en main pour que vous soyez autonome ensuite.
Sur votre propre serveur si vous en avez un, sur une offre hébergée si vous préférez ne rien administrer. Comptez une intervention courte pour un poste, un peu plus pour une équipe qui doit partager des accès.