Sécurité numérique

Vaultwarden sur Home Assistant : le coffre-fort indispensable

Installez Vaultwarden sur Home Assistant, sécurisez son accès et connectez les applications Bitwarden sur ordinateur et smartphone.

Guide détaillé

Pourquoi installer Vaultwarden ?

Utiliser un mot de passe différent, long et aléatoire pour chaque compte est essentiel, mais impossible à gérer de mémoire. Un gestionnaire de mots de passe crée et conserve ces identifiants dans un coffre chiffré protégé par un seul mot de passe maître.

Vaultwarden est un serveur communautaire, léger et compatible avec les applications Bitwarden. Il peut fonctionner comme application communautaire sur Home Assistant OS. Le serveur reste chez vous, tandis que les extensions et applications officielles Bitwarden permettent d’utiliser le coffre sur un ordinateur, Android ou iPhone.

Pour une maison connectée auto-hébergée, c’est un compagnon particulièrement utile : il protège les comptes Home Assistant, Cloudflare, caméras, objets connectés et services administratifs. Ce n’est toutefois pas une intégration domotique ni une protection automatique. En l’hébergeant vous-même, vous devenez responsable des mises à jour, de l’accès HTTPS et des sauvegardes.

Avant de commencer

Préparez les éléments suivants :

Home Assistant OS ou une installation supervisée pouvant exécuter des applications complémentaires.
Une sauvegarde récente de Home Assistant, téléchargée sur un autre support.
Un nom de domaine ou un accès privé par VPN si vous voulez synchroniser le coffre hors de chez vous.
Une adresse e-mail fonctionnelle pour les invitations, vérifications et alertes.
Un mot de passe maître unique et mémorisable, qui ne sera utilisé nulle part ailleurs.

> Ne commencez pas par importer tous vos mots de passe. Installez, sécurisez et sauvegardez d’abord le serveur, puis testez-le avec un compte sans importance.

1. Installer l’application Vaultwarden dans Home Assistant

Vaultwarden est proposé par le dépôt Home Assistant Community Apps. Il ne fait pas partie du cœur officiel de Home Assistant.

Dans Home Assistant, ouvrez Paramètres → Applications → Boutique d’applications. Selon la version, ce menu peut encore s’appeler Modules complémentaires.
Si le dépôt communautaire n’est pas encore présent, ouvrez le menu de la boutique, choisissez Dépôts et ajoutez : `https://github.com/hassio-addons/repository`.
Recherchez Vaultwarden, ouvrez sa fiche puis choisissez Installer.
Une fois l’installation terminée, ne rendez pas encore le service public. Ouvrez d’abord l’onglet Configuration.

La configuration de base ressemble à ceci :

```yaml

log_level: info

ssl: false

certfile: fullchain.pem

keyfile: privkey.pem

request_size_limit: 10485760

```

Cette configuration est un exemple, pas un bloc à copier aveuglément. `ssl: false` est correct uniquement lorsqu’un proxy inverse ou un tunnel termine réellement la connexion HTTPS devant Vaultwarden. Pour un accès direct avec les certificats placés dans `/ssl`, activez SSL et utilisez les bons noms de fichiers.

Le port Web publié par l’application est normalement 7277. Vérifiez-le dans la zone Réseau de la fiche, car il peut évoluer.

2. Choisir un accès sûr

Option A — Accès privé par VPN

C’est l’option la plus fermée : le coffre n’est pas directement publié sur Internet. Elle demande cependant que le VPN soit connecté pour joindre le serveur et synchroniser les appareils à distance.

Option B — Sous-domaine HTTPS

Pour un usage quotidien plus fluide, créez un sous-domaine dédié, par exemple `coffre.exemple.be`, puis publiez Vaultwarden derrière un proxy inverse ou un tunnel Cloudflare. N’utilisez jamais une adresse HTTP publique : les navigateurs et les fonctions cryptographiques modernes exigent un contexte HTTPS sécurisé.

Avec une application Cloudflared acceptant les hôtes supplémentaires, le principe est le suivant :

```yaml

additional_hosts:

hostname: coffre.exemple.be

service: http://homeassistant:7277

```

Remplacez le domaine par le vôtre et vérifiez le port dans Vaultwarden. Suivant votre installation, la destination peut être le nom d’hôte Home Assistant, son adresse IP locale ou le nom réseau interne de l’application. En cas d’erreur 502, contrôlez les journaux des deux applications au lieu d’ouvrir un port sur la box Internet.

Après l’enregistrement, redémarrez Cloudflared puis testez `https://coffre.exemple.be`. La page doit s’ouvrir en HTTPS sans avertissement de certificat.

3. Premier démarrage et panneau d’administration

Démarrez Vaultwarden et ouvrez immédiatement ses Journaux.
Vérifiez l’absence d’erreur et récupérez le jeton d’administration initial. Stockez-le temporairement dans un endroit sûr : il ne sera pas forcément affiché une seconde fois.
Ouvrez votre adresse Vaultwarden suivie de `/admin`, par exemple `https://coffre.exemple.be/admin`.
Saisissez le jeton, puis ouvrez Diagnostics pour corriger les éléments signalés.
Dans les réglages généraux, indiquez l’adresse publique exacte du serveur dans Domain URL, avec `https://`.

Le panneau `/admin` permet de modifier la configuration globale et de gérer les utilisateurs. Protégez-le avec un jeton long et aléatoire. Vaultwarden recommande de stocker ce jeton sous forme de hachage Argon2id ; utilisez son générateur intégré ou la méthode décrite dans sa documentation officielle.

Vous pouvez désactiver complètement le panneau après la configuration, mais ne le faites que si vous connaissez et avez testé la procédure permettant de le réactiver. Modifier manuellement le conteneur de l’application ou désactiver le mode protégé de Home Assistant n’est pas conseillé dans un guide destiné aux débutants : une mise à jour peut annuler ces changements ou rendre le service inutilisable.

4. Configurer l’envoi des e-mails

Le SMTP permet de vérifier les adresses, envoyer les invitations et utiliser certaines procédures de récupération. Dans `/admin`, ouvrez SMTP Email Settings et renseignez les informations données par votre fournisseur :

serveur SMTP ;
chiffrement STARTTLS ou TLS ;
port ;
adresse d’expédition ;
nom d’utilisateur ;
mot de passe SMTP ou mot de passe d’application.

Pour Gmail, la configuration habituelle utilise `smtp.gmail.com`, STARTTLS et le port `587`. Activez d’abord la validation en deux étapes sur le compte Google, puis créez un mot de passe d’application si cette fonction est disponible pour votre compte. Un compte technique séparé est préférable à votre messagerie principale.

Enregistrez les réglages avant de lancer Send test email. Vérifiez la réception du message et ne publiez jamais le mot de passe SMTP dans une capture d’écran ou un journal partagé.

5. Créer les comptes puis fermer les inscriptions

Laissez temporairement les nouvelles inscriptions autorisées.
Ouvrez l’adresse principale de Vaultwarden et choisissez Créer un compte.
Utilisez votre adresse e-mail et créez un mot de passe maître très long, unique et mémorisable.
Créez les comptes nécessaires pour les autres membres du foyer ou envoyez-leur une invitation.
Vérifiez chaque adresse e-mail.
Retournez dans `/admin` et désactivez les nouvelles inscriptions.

Un compte Bitwarden déjà créé sur `bitwarden.com` ou `bitwarden.eu` n’est pas automatiquement présent sur votre serveur Vaultwarden. Votre instance est un serveur distinct : il faut y créer un compte, puis importer les données si vous migrez depuis un autre coffre.

6. Activer la double authentification

Dans le coffre Web, ouvrez Paramètres → Sécurité → Authentification à deux facteurs. Utilisez de préférence une clé de sécurité FIDO2/WebAuthn ou une application TOTP indépendante. Si vous choisissez une clé physique, enregistrez idéalement deux clés et conservez la seconde dans un lieu sûr.

Téléchargez ou imprimez le code de récupération et gardez-le hors du serveur Home Assistant. Ne conservez pas l’unique moyen de récupérer Vaultwarden à l’intérieur de Vaultwarden lui-même.

Vaultwarden peut stocker les codes TOTP des autres sites et les remplir avec les identifiants. C’est très pratique, mais cela réunit mot de passe et second facteur dans le même coffre. Pour les comptes les plus sensibles — messagerie principale, banque, Cloudflare et Vaultwarden lui-même — une clé physique ou une application d’authentification séparée apporte une meilleure séparation.

7. Connecter l’extension Bitwarden sur ordinateur

Vous utilisez les clients Bitwarden compatibles, pas une extension spéciale Vaultwarden.

Installez l’extension Bitwarden officielle depuis la boutique de votre navigateur.
Avant de vous connecter, ouvrez le sélecteur Se connecter à ou Environnement du serveur.
Choisissez Auto-hébergé.
Dans URL du serveur, saisissez l’adresse complète de votre instance, par exemple `https://coffre.exemple.be`.
Enregistrez, puis connectez-vous avec le compte créé sur Vaultwarden.
Validez le second facteur si celui-ci est activé.

Si l’extension affiche encore `bitwarden.com` ou `bitwarden.eu`, déconnectez-vous complètement avant de modifier l’environnement. Le serveur doit être choisi avant l’authentification.

Une fois connecté, l’extension peut proposer d’enregistrer un identifiant, générer un mot de passe aléatoire et remplir les champs de connexion. Vérifiez toujours le domaine affiché avant de valider un remplissage automatique.

8. Connecter Android, iPhone et l’application de bureau

La procédure est similaire sur mobile :

Installez l’application Bitwarden officielle.
Sur l’écran de connexion, ouvrez le choix du serveur ou de la région.
Sélectionnez Auto-hébergé.
Entrez la même URL HTTPS que dans l’extension.
Connectez-vous, activez le déverrouillage biométrique si l’appareil est personnel et configurez Bitwarden comme service de remplissage automatique.

Sur l’application de bureau, choisissez également l’environnement auto-hébergé avant la connexion. Testez ensuite la synchronisation en créant un élément sans importance sur un appareil et en vérifiant son apparition sur un autre.

9. Importer un coffre existant sans prendre de risque

Bitwarden sait importer de nombreux formats. Depuis l’ancien gestionnaire, exportez uniquement au moment de la migration, puis utilisez Outils → Importer des données dans le coffre Web.

Un export CSV ou JSON non chiffré contient souvent tous les secrets en clair. Effectuez l’opération sur un ordinateur de confiance, vérifiez l’importation, puis supprimez le fichier d’exportation de manière sûre. Ne le placez jamais dans un dossier synchronisé ou dans une pièce jointe d’e-mail.

Conservez l’ancien gestionnaire quelques jours en lecture seule, le temps de vérifier les identifiants importants. Évitez de modifier simultanément les deux coffres.

10. Sauvegarder : l’étape réellement indispensable

L’auto-hébergement sans sauvegarde est plus dangereux qu’un bon service géré. Une panne du stockage Home Assistant peut emporter le coffre, les pièces jointes et la configuration.

Créez régulièrement une sauvegarde Home Assistant incluant l’application Vaultwarden et ses données.
Téléchargez une copie chiffrée hors de Home Assistant, sur un autre support ou dans un espace distant sécurisé.
Conservez plusieurs générations de sauvegardes.
Testez la restauration sur une installation isolée avant d’en avoir réellement besoin.
Sauvegardez avant chaque mise à jour importante.

La documentation Vaultwarden recommande une sauvegarde régulière de tout le dossier de données et déconseille de compter uniquement sur un instantané de machine virtuelle. La base SQLite, les pièces jointes, les clés et la configuration doivent rester cohérentes.

11. Entretien et contrôles réguliers

Une fois par mois :

vérifiez les mises à jour de Home Assistant, de l’application Vaultwarden et des clients Bitwarden ;
consultez les diagnostics et les journaux sans y copier de secret ;
contrôlez que les inscriptions publiques restent désactivées ;
vérifiez que le certificat HTTPS est valide ;
testez une synchronisation sur ordinateur et mobile ;
confirmez qu’une sauvegarde externe récente existe ;
supprimez les anciens appareils ou sessions inconnus.

Les mises à jour sont particulièrement importantes : les versions de Vaultwarden peuvent contenir des correctifs de sécurité et doivent rester compatibles avec les nouvelles versions des clients Bitwarden.

Résumé de la configuration recommandée

Une adresse dédiée en HTTPS ou un accès VPN maîtrisé.
Aucun port ouvert directement sur la box si un tunnel ou un VPN suffit.
Un mot de passe maître long, unique et jamais enregistré en clair.
Une authentification forte avec code de récupération conservé hors ligne.
Les inscriptions fermées après la création des comptes.
Un jeton `/admin` fort et haché, ou un panneau désactivé avec procédure de récupération testée.
Un SMTP vérifié.
Des sauvegardes chiffrées, externes et restaurables.
Des mises à jour appliquées rapidement.

Avec ces protections, Vaultwarden devient un excellent compagnon de Home Assistant. Sans HTTPS, sans mises à jour ou sans sauvegarde, il peut au contraire devenir un point de défaillance central : la sécurité du coffre dépend autant de son entretien que du logiciel lui-même.