Passbolt sur VPS : coffre-fort d'équipe, sans abonnement

Connectez-vous à votre VPS en SSH et créez un répertoire dédié :

mkdir -p /opt/passbolt && cd /opt/passbolt
curl -fsSL https://raw.githubusercontent.com/passbolt/passbolt_docker/master/docker-compose/docker-compose-ce.yaml \
  -o docker-compose.yml

Ce fichier déclare deux services : db (image postgres:16) et passbolt (image passbolt/passbolt:latest-ce-non-root), avec deux volumes nommés pour persister les données. En production, épinglez une version fixe — remplacez latest-ce-non-root par le tag de la dernière release stable disponible sur le Docker Hub officiel.

Créez un fichier .env à la racine du répertoire. Les variables minimales requises :

APP_FULL_BASE_URL=https://passbolt.votredomaine.com
DATABASE_HOST=db
DATABASE_PORT=5432
DATABASE_NAME=passbolt
DATABASE_USERNAME=passbolt
DATABASE_PASSWORD=mot_de_passe_fort
POSTGRES_PASSWORD=mot_de_passe_fort
EMAIL_TRANSPORT_DEFAULT_HOST=smtp.votrefournisseur.com
EMAIL_TRANSPORT_DEFAULT_PORT=587
EMAIL_TRANSPORT_DEFAULT_TLS=true
[email protected]
EMAIL_TRANSPORT_DEFAULT_PASSWORD=mot_de_passe_smtp
[email protected]

APP_FULL_BASE_URL doit impérativement commencer par https:// — Passbolt utilise cette valeur pour construire les liens dans les e-mails d'invitation et comme base du JWT.

Éditez docker-compose.yml pour ajouter une condition de santé sur le service db — sans cela, Passbolt peut démarrer avant que PostgreSQL soit prêt à accepter des connexions, ce qui provoque un redémarrage en boucle :

# Dans le service db, sous l'image postgres:16 :
healthcheck:
  test: ["CMD-SHELL", "pg_isready -U passbolt"]
  interval: 10s
  timeout: 5s
  retries: 5

# Dans le service passbolt :
depends_on:
  db:
    condition: service_healthy

Puis lancez la stack :

docker compose up -d
docker compose logs -f passbolt

Attendez que les logs indiquent que la configuration GPG a été initialisée avant de passer à l'étape suivante.

Au premier démarrage, Passbolt génère une paire de clés GPG côté serveur. Récupérez la fingerprint — vous en aurez besoin si vous devez reconfigurer l'environnement :

docker compose exec passbolt su -s /bin/bash -c \
  "gpg --home /var/lib/passbolt/.gnupg --list-keys" www-data

La fingerprint est la chaîne hexadécimale de 40 caractères sous la ligne pub. Notez-la : si la variable PASSBOLT_GPG_SERVER_KEY_FINGERPRINT ne correspond pas à la clé présente dans le trousseau du conteneur, Passbolt refusera de démarrer avec l'erreur The OpenPGP server key fingerprint does not match.

Passbolt doit être servi exclusivement en HTTPS. Si vous utilisez nginx comme reverse proxy sur le même VPS, un exemple minimal de configuration :

server {
    listen 443 ssl;
    server_name passbolt.votredomaine.com;

    ssl_certificate     /etc/letsencrypt/live/passbolt.votredomaine.com/fullchain.pem;
    ssl_certificate_key /etc/letsencrypt/live/passbolt.votredomaine.com/privkey.pem;

    location / {
        proxy_pass http://127.0.0.1:8080;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-Proto https;
    }
}

Obtenez votre certificat avec Certbot (certbot --nginx -d passbolt.votredomaine.com) avant d'activer le bloc. L'extension navigateur Passbolt ne fonctionnera pas sur un domaine HTTP ou avec un certificat auto-signé.

Une fois le conteneur démarré et le domaine accessible en HTTPS, créez le compte administrateur :

docker compose exec passbolt su -s /bin/bash www-data \
  -c "/var/www/passbolt/bin/cake passbolt register_user \
  -u [email protected] \
  -f Prénom \
  -l Nom \
  -r admin"

La commande génère un lien d'invitation à usage unique. Ouvrez-le dans le navigateur où l'extension Passbolt est installée — l'extension guidera la configuration de votre clé GPG personnelle. Une fois l'administrateur configuré, invitez les membres de l'équipe depuis l'interface web.