Migrer de Bitwarden cloud vers Vaultwarden sur VPS

Pourquoi migrer vers Vaultwarden self-hosted

Ce que Vaultwarden apporte par rapport au cloud Bitwarden

• Coût mensuel fixe : celui de votre VPS, pas un abonnement par utilisateur ou par fonctionnalité.
• Coffres d'organisation et collections sans surcoût : disponibles dès l'installation, pas réservés à un plan premium.
• TOTP intégré : codes d'authentification à deux facteurs stockés dans Vaultwarden, sans plan Bitwarden Premium.
• Données sur votre infrastructure : aucun tiers n'a accès à votre coffre chiffré ni aux journaux de connexion.
• Compatibilité totale avec les clients officiels Bitwarden : aucun changement d'habitude pour vos utilisateurs.
• Consommation très faible : moins de 50 Mo de RAM en état de repos, fonctionne sur le plus petit VPS aux côtés d'autres services.

Prérequis avant de commencer

SMTP_HOST=smtp.example.com
[email protected]
SMTP_PORT=587
SMTP_SECURITY=starttls
[email protected]
SMTP_PASSWORD=votremotdepasse

Migrer de Bitwarden cloud vers Vaultwarden : procédure complète

1. 01

   Authentifiez-vous sur Bitwarden cloud avec la CLI

   Ouvrez un terminal et connectez-vous à votre compte Bitwarden cloud. La CLI s'authentifie sur le serveur officiel par défaut — ne changez pas encore le server pointé, cette commande doit viser le cloud Bitwarden, pas votre Vaultwarden :

   bw login

   Saisissez votre e-mail et mot de passe maître. Si vous avez activé le TOTP ou une clé de sécurité, la CLI vous le demandera. Une fois authentifié, déverrouillez le coffre et exportez la clé de session :

   export BW_SESSION=$(bw unlock --raw)

   Le --raw est indispensable : sans lui, bw unlock affiche un texte formaté à plusieurs lignes au lieu de la clé brute, et les commandes suivantes qui utilisent $BW_SESSION retournent une erreur d'authentification. C'est l'une des erreurs les plus fréquentes dans ce processus.

   Vérifiez que la session est valide :

   bw status

   La réponse doit indiquer "status": "unlocked".

2. 02

   Exportez votre coffre personnel en format Bitwarden JSON

   L'export en format JSON natif Bitwarden (format bitwardenjson) conserve toutes les métadonnées : types d'entrées, champs personnalisés, URIs, notes, TOTP. N'utilisez pas le format CSV, qui perd ces informations.

   bw export --format bitwardenjson --output ./bitwarden-personal.json

   Attention : Ce fichier ne contient pas vos pièces jointes. C'est la lacune la plus importante de l'export standard. Les pièces jointes doivent être téléchargées séparément, entrée par entrée (étape 4). Notez aussi que les identifiants de carte bancaire, les identités et les notes sécurisées sont inclus dans cet export.

   Le fichier JSON est chiffré côté client — il contient vos données en clair (protégées seulement par les droits du fichier). Stockez-le dans un répertoire privé et supprimez-le après l'import.

3. 03

   Exportez chaque organisation séparément

   Les données d'organisation ne sont pas incluses dans l'export du coffre personnel. Chaque organisation doit être exportée avec son identifiant propre.

   Listez d'abord vos organisations pour récupérer leurs identifiants :

   bw list organizations

   Pour chaque organisation affichée, notez son id et exportez-la :

   bw export --organizationid <id-de-lorganisation> --format bitwardenjson --output ./bitwarden-org-<nom>.json

   Répétez cette commande pour chaque organisation. Si vous avez trois organisations, vous obtiendrez trois fichiers JSON distincts.

   Si la commande retourne une erreur de permission, vérifiez que vous êtes bien propriétaire ou administrateur de l'organisation dans l'interface web Bitwarden. Un membre sans droits d'export ne peut pas utiliser cette commande.

4. 04

   Téléchargez les pièces jointes

   C'est l'étape que la plupart des guides passent sous silence. L'export JSON liste les entrées mais ne contient pas les fichiers attachés — ni leur contenu, ni même leur nom.

   Pour chaque entrée qui possède une pièce jointe, utilisez la commande bw get attachment :

   bw list items | jq '.[] | select(.attachments != null) | {id, name, attachments}'

   Cette commande liste les entrées avec des pièces jointes. Pour chaque pièce jointe, téléchargez-la en précisant l'identifiant de l'item et le nom du fichier :

   bw get attachment <nom-du-fichier> --itemid <id-de-lentree> --output ./attachments/

   Remplacez <nom-du-fichier> par le nom exact de la pièce jointe tel qu'il apparaît dans la liste JSON, et <id-de-lentree> par l'id de l'entrée Bitwarden correspondante.

   Si vous avez beaucoup de pièces jointes, ce script en bash automatise le téléchargement :

   mkdir -p ./attachments
   bw list items | jq -c '.[] | select(.attachments != null)' | while read item; do
     ITEM_ID=$(echo $item | jq -r '.id')
     ITEM_NAME=$(echo $item | jq -r '.name')
     echo $item | jq -c '.attachments[]' | while read att; do
       ATT_ID=$(echo $att | jq -r '.id')
       ATT_NAME=$(echo $att | jq -r '.fileName')
       bw get attachment "$ATT_NAME" --itemid "$ITEM_ID" --output "./attachments/${ITEM_ID}_${ATT_NAME}"
     done
   done

   Note : jq doit être installé sur votre machine (apt install jq ou brew install jq).

5. 05

   Importez dans Vaultwarden

   Redirigez d'abord la CLI vers votre instance Vaultwarden. C'est l'opération irréversible de cette procédure : la CLI ne peut pointer que vers un serveur à la fois.

   bw config server https://vault.votredomaine.com

   Authentifiez-vous sur Vaultwarden :

   bw logout
   bw login
   export BW_SESSION=$(bw unlock --raw)

   Importez le coffre personnel :

   bw import bitwardenjson ./bitwarden-personal.json

   Pour les organisations, vous devez d'abord créer l'organisation dans l'interface web de Vaultwarden, puis récupérer son identifiant :

   bw list organizations

   Importez ensuite chaque fichier d'organisation avec l'identifiant nouvellement créé :

   bw import bitwardenjson ./bitwarden-org-<nom>.json --organizationid <nouvel-id>

   Enfin, rattachez manuellement les pièces jointes téléchargées à leur entrée via l'interface web de Vaultwarden : naviguez jusqu'à l'entrée, cliquez sur « Modifier », puis ajoutez la pièce jointe depuis le répertoire ./attachments/.

6. 06

   Vérifiez l'import et mettez à jour les clients

   Avant de considérer la migration terminée, effectuez ces contrôles :

   Dans l'interface web de Vaultwarden, vérifiez :
   - le nombre d'entrées correspond à celui de Bitwarden cloud ;
   - les champs personnalisés sont présents sur quelques entrées de référence ;
   - les codes TOTP fonctionnent (testez un code) ;
   - les organisations et leurs collections sont visibles.

   Sur les clients Bitwarden (extension navigateur, application mobile) :
   - déconnectez-vous du compte cloud Bitwarden ;
   - dans les paramètres du client, changez l'URL du serveur vers https://vault.votredomaine.com ;
   - reconnectez-vous avec les mêmes identifiants.

   Attendez la synchronisation complète avant de supprimer quoi que ce soit sur l'ancien compte cloud. Gardez l'accès au cloud Bitwarden actif pendant au moins 48 heures après la migration pour pouvoir vérifier en cas de doute.

Configuration post-migration

0 3 * * * tar -czf /backup/vaultwarden-$(date +%Y%m%d).tar.gz /opt/vaultwarden/data/ 2>/dev/null

Dépannage : erreurs fréquentes

export BW_SESSION=$(bw unlock --raw)

Votre coffre self-hosted est opérationnel