[{"data":1,"prerenderedAt":175},["ShallowReactive",2],{"seo-verification":3,"blog-self-host-infisical-vps-ma-fr":6,"promo-bar-likely":174},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-self-host-infisical-vps-ma-fr",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"noindex":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":33,"intro":36,"sections":37,"ctaTitle":126,"ctaBody":127,"ctaButton":128,"ctaUrl":129,"relatedPosts":130},160,"self-host-infisical-vps",{"fr":10,"en":12,"ar":13,"es":14},"how-to-self-host-infisical-on-a-vps","كيفية-استضافة-infisical-ذاتيا-على-خادم-vps","como-autoalojar-infisical-en-un-vps","Comment auto-héberger Infisical sur un VPS","Déployez Infisical sur votre VPS en moins de 20 min : RBAC, rotation automatique, intégration GitHub Actions et GitLab CI, dépannage Redis et TLS inclus.",9,1,false,"2026-07-02T00:00:00+00:00","2026-10-16T01:57:38+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},7,"Self-hosting","self-hosting","bg-indigo-500\u002F10 text-indigo-400","cloud",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fself-host-infisical-vps-poster.svg",{"categorySlug":34,"appSlug":35},"cybersecurity","infisical","Coder en dur des secrets dans des fichiers .env et en assurer la rotation manuellement d'un environnement à l'autre, c'est un incident de sécurité en puissance. Infisical est un gestionnaire de secrets open source (licence MIT, 27 600 étoiles sur GitHub en octobre 2026) qui centralise chaque clé d'API, mot de passe de base de données et certificat dans un unique coffre-fort auto-hébergé — synchronisé automatiquement vers vos applications, vos pipelines CI et votre équipe. Voici comment le déployer sur un VPS en moins de 20 minutes, avec RBAC, rotation automatique et intégrations CI\u002FCD.",[38,42,52,85,88,110,113,116,119,122],{"type":39,"title":40,"body":41},"h2","Pourquoi auto-héberger votre gestionnaire de secrets","Stocker ses secrets dans un coffre-fort SaaS, c'est faire transiter ses identifiants les plus sensibles par le serveur d'un tiers. Auto-héberger Infisical maintient chaque secret sur votre propre infrastructure, sous vos propres contrôles d'accès et journaux d'audit. Cela supprime aussi un abonnement SaaS récurrent : Infisical est sous licence MIT, gratuit à auto-héberger, et remplace directement des outils payants comme Doppler (6 $\u002Fdéveloppeur\u002Fmois) ou la complexité de HashiCorp Vault. Avec un seul VPS et un nom de domaine, toute votre équipe et chacun de vos pipelines CI peuvent récupérer les secrets par programmation — fini les fichiers .env commités par accident.",{"type":43,"title":44,"items":45},"ul","Ce que vous apporte Infisical auto-hébergé",[46,47,48,49,50,51],"Un coffre-fort centralisé pour chaque environnement (dev, staging, prod) avec des politiques d'accès par environnement.","Des SDK natifs pour Node.js, Python, Go, Java, Ruby et d'autres — injectez les secrets à l'exécution, plutôt que via des fichiers .env.","Des intégrations GitHub Actions, GitLab CI, CircleCI et Jenkins : les secrets sont synchronisés automatiquement vers vos pipelines.","Un contrôle d'accès basé sur les rôles, des jetons de service et des identités machine — sans identifiants root partagés.","Un journal d'audit complet : chaque lecture, écriture et rotation est enregistrée avec l'utilisateur, l'IP et l'horodatage.","Rotation et versionnement des secrets — revenez à une version antérieure d'un secret en un clic si un identifiant est compromis.",{"type":53,"title":54,"headers":55,"rows":61},"comparison","Infisical vs Vault vs Doppler vs Bitwarden Secrets",[56,57,58,59,60],"Outil","Modèle","Auto-hébergement","Prix indicatif","Particularité",[62,68,74,80],[63,64,65,66,67],"**Infisical**","Open source (MIT)","Oui — Docker Compose, 4 Go RAM","Gratuit (self-hosted)","RBAC natif, rotation auto, SDK multi-langages",[69,70,71,72,73],"HashiCorp Vault","BSL (source available)","Oui — complexe à opérer","Gratuit (community)","Secret engines avancés, PKI, transit encryption",[75,76,77,78,79],"Doppler","SaaS propriétaire","Non","6 $\u002Fdev\u002Fmois","UX soignée, sync CI\u002FCD sans serveur",[81,82,83,66,84],"Bitwarden Secrets","Open source (AGPL)","Oui — serveur Bitwarden","Intégration coffre-fort de mots de passe",{"type":39,"title":86,"body":87},"Prérequis","Un VPS doté d'au moins **2 vCPU et 4 Go de RAM** sous Ubuntu 22.04 — PostgreSQL et Node.js sont gourmands en mémoire lorsqu'ils traitent des requêtes concurrentes ; en dessous de 4 Go, Infisical redémarre sous charge. Un disque de 20 Go minimum pour les journaux d'audit sur le long terme. Docker et Docker Compose installés (`docker compose version` doit retourner v2.x). Un nom de domaine pointant vers votre VPS — Infisical exige une URL publique pour les redirections OAuth, les liens d'invitation par e-mail et le modèle de sécurité du navigateur (`SITE_URL` n'est pas optionnel). Un enregistrement DNS A ou CNAME déjà propagé avant de démarrer Caddy ou nginx pour l'émission du certificat Let's Encrypt.",{"type":89,"title":90,"steps":91},"steps","Déployer Infisical avec Docker Compose",[92,95,98,101,104,107],{"title":93,"body":94},"Générer les secrets","Infisical a besoin de deux secrets indépendants : une `ENCRYPTION_KEY` (hex de 16 octets : `openssl rand -hex 16`) pour chiffrer au repos les données du coffre-fort, et un `AUTH_SECRET` (chaîne aléatoire : `openssl rand -base64 32`) pour signer les jetons JWT. Stockez les deux dans un fichier `.env` à côté de votre fichier Compose — ne committez jamais ce fichier dans le gestionnaire de versions.",{"title":96,"body":97},"Rédiger le fichier Compose","La stack comporte trois services : `postgres:14-alpine` (le magasin de secrets), `redis:alpine` (tâches de fond et cache de session) et `infisical\u002Finfisical:latest` (l'application, port 8080). Renseignez `DB_CONNECTION_URI`, `REDIS_URL`, `SITE_URL` (votre domaine, `https:\u002F\u002Fsecrets.votre-domaine.com`) et les deux secrets. Démarrez la stack avec `docker compose up -d`.\n\nPour épingler une version stable plutôt que `latest`, consultez les releases sur GitHub et remplacez par `infisical\u002Finfisical:v0.91.1` (version courante en octobre 2026).",{"title":99,"body":100},"Configurer le reverse proxy avec nginx ou Caddy","Infisical exige du HTTPS — sans certificat TLS valide, le navigateur bloque les flux OAuth.\n\n**Option Caddy (recommandée) :** créez `\u002Fetc\u002Fcaddy\u002FCaddyfile` avec `secrets.votre-domaine.com { reverse_proxy localhost:8080 }`. Caddy provisionne automatiquement un certificat Let's Encrypt. Redémarrez avec `systemctl reload caddy`.\n\n**Option nginx :** créez un vhost avec `proxy_pass http:\u002F\u002F127.0.0.1:8080;`, puis émettez le certificat via Certbot (`certbot --nginx -d secrets.votre-domaine.com`). Ajoutez les en-têtes `proxy_set_header Host $host;` et `proxy_set_header X-Real-IP $remote_addr;` pour que les journaux d'audit enregistrent l'IP réelle du client, pas `127.0.0.1`.",{"title":102,"body":103},"Créer le premier compte administrateur","Ouvrez votre domaine dans un navigateur et accédez à `\u002Fadmin\u002Fsignup` — c'est l'assistant à usage unique qui crée le compte Super Admin puis votre organisation. Le premier arrivé sur cet écran devient administrateur de l'instance. Créez ensuite votre premier projet (un espace de noms logique pour des secrets liés), ajoutez des environnements (`dev`, `staging`, `prod`) et invitez les membres de votre équipe.",{"title":105,"body":106},"Intégrer à vos applications et à votre CI","Installez la CLI Infisical (`npm install -g @infisical\u002Fcli`) ou un SDK dans votre projet. Exécutez `infisical run -- node server.js` pour injecter les secrets à l'exécution — votre application lit `process.env.MY_SECRET` comme s'il provenait d'un .env local, mais la valeur vient du coffre-fort. Pour GitHub Actions, installez l'action officielle Infisical et ajoutez un jeton de service comme secret de dépôt.",{"title":108,"body":109},"Se connecter la première fois","Ouvrez l'adresse `\u002Fadmin\u002Fsignup` de votre instance tout de suite : c'est l'assistant à usage unique qui crée le compte Super Admin puis votre organisation. Le premier arrivé sur cet écran devient administrateur de l'instance.",{"type":39,"title":111,"body":112},"Configuration avancée : RBAC, politiques de secrets et rotation automatique","Une fois l'instance en place, trois fonctions avancées renforcent la sécurité opérationnelle.\n\n**RBAC (contrôle d'accès basé sur les rôles) :** Infisical distingue quatre rôles prédéfinis — `owner`, `admin`, `developer`, `viewer`. Attribuez le rôle `viewer` aux pipelines CI qui n'ont besoin que de lire, `developer` aux développeurs et `admin` aux responsables de projet. Les identités machine (Machine Identities) permettent d'associer un rôle directement à une application sans jeton de service manuel : elles s'authentifient via AWS IAM, Azure AD ou un jeton Kubernetes et sont préférables aux jetons à longue durée de vie.\n\n**Politiques de secrets :** dans Settings → Project → Secret Protection, activez les approbations avant écrasement d'un secret de production. Un second administrateur devra valider chaque modification — utile pour les équipes soumises à SOC 2 ou ISO 27001.\n\n**Rotation automatique :** Infisical propose des templates de rotation natifs pour PostgreSQL, MySQL, AWS IAM et GitHub. Dans l'onglet Rotation de votre projet, créez un job de rotation avec la fréquence souhaitée (ex. tous les 30 jours pour un mot de passe de base de données). Infisical génère la nouvelle valeur, la pousse dans le coffre-fort et notifie les applications via webhook — sans intervention manuelle.",{"type":39,"title":114,"body":115},"Intégration CI\u002FCD : GitHub Actions, GitLab CI, Docker Compose","**GitHub Actions :** ajoutez l'action officielle dans votre workflow et passez un jeton de service comme secret de dépôt (`INFISICAL_TOKEN`). Les secrets sont injectés comme variables d'environnement avant chaque job.\n\n```yaml\n- uses: Infisical\u002Fsecrets-action@v1\n  with:\n    token: ${{ secrets.INFISICAL_TOKEN }}\n    project-id: \"\u003Cvotre-project-id>\"\n    environment: \"prod\"\n```\n\n**GitLab CI :** utilisez la CLI Infisical dans un `before_script`. Ajoutez `INFISICAL_TOKEN` dans les variables CI\u002FCD du dépôt.\n\n```yaml\nbefore_script:\n  - infisical run --env prod -- env | grep MY_SECRET\n```\n\n**Docker Compose (runtime) :** la CLI Infisical peut générer un fichier `.env` à la volée avant de lancer Compose, ou injecter directement via `infisical run -- docker compose up -d`. Évitez de stocker un `.env` généré dans une image — préférez l'injection à l'exécution pour ne jamais sérialiser un secret dans une couche Docker.",{"type":39,"title":117,"body":118},"Dépannage : erreurs fréquentes","**`Error: connect ECONNREFUSED 127.0.0.1:6379` (Redis)** — Redis n'est pas démarré ou le service `infisical` démarre avant que Redis soit prêt. Ajoutez `depends_on: redis` dans votre `docker-compose.yml` et vérifiez que le conteneur Redis est `healthy` avec `docker compose ps`. Si Redis tourne mais l'erreur persiste, contrôlez que `REDIS_URL` est bien `redis:\u002F\u002Fredis:6379` (nom du service Compose, pas `localhost`).\n\n**`Error: unable to verify the first certificate` (TLS)** — le certificat Let's Encrypt n'a pas encore été émis (propagation DNS incomplète) ou Caddy\u002Fnginx ne peut pas atteindre l'ACME challenge. Vérifiez que le port 80 est ouvert dans votre pare-feu (`ufw allow 80`) — Caddy en a besoin pour le challenge HTTP-01 lors de l'émission initiale. Ensuite, basculez en challenge DNS-01 si l'IP est derrière un NAT.\n\n**`docker compose up` échoue avec `Bind for 0.0.0.0:8080 failed: port is already allocated`** — un autre process écoute sur 8080. Changez le mapping de port dans Compose (`8081:8080`) et adaptez la config du reverse proxy en conséquence.\n\n**Page `\u002Fadmin\u002Fsignup` inaccessible après le premier login** — c'est voulu : l'assistant ne s'affiche qu'une seule fois. Si vous avez besoin de le rejouer (instance de test), supprimez la table `Organization` et relancez Infisical.\n\n**Les secrets ne s'injectent pas dans GitHub Actions** — vérifiez que l'`environment` passé à l'action correspond exactement au nom d'environnement créé dans Infisical (sensible à la casse : `prod` ≠ `Prod`).",{"type":39,"title":120,"body":121},"Sauvegardes et mises à jour","**Sauvegardes PostgreSQL :** les secrets chiffrés vivent dans PostgreSQL. Planifiez un `pg_dump` quotidien avec `docker exec infisical_postgres pg_dump -U infisical infisical > backup-$(date +%Y%m%d).sql`. Chiffrez la sauvegarde avant de la transférer hors site — elle contient les secrets chiffrés au repos, mais une fuite de la base combinée à une fuite de `ENCRYPTION_KEY` expose l'ensemble du coffre-fort.\n\n**Mises à jour d'Infisical :** l'image `infisical\u002Finfisical:latest` se met à jour à chaque nouveau tag. Pour une montée de version contrôlée, épinglez la version (`v0.91.1`), consultez le changelog GitHub avant chaque mise à jour (certaines versions comportent des migrations de base de données), puis procédez dans cet ordre :\n1. `docker compose pull` pour télécharger la nouvelle image.\n2. `docker compose up -d` — Docker Compose recrée uniquement les conteneurs dont l'image a changé.\n3. Vérifiez que la page de connexion répond et que les journaux ne signalent pas d'erreur de migration.\n\n**Surveillance :** exposez le endpoint `\u002Fhealthcheck` d'Infisical dans votre outil de supervision (Uptime Kuma, Gatus) pour être alerté en cas d'interruption. Un coffre-fort de secrets inaccessible bloque tous les déploiements qui en dépendent.",{"type":123,"title":124,"body":125},"tip","Verrouillez votre instance Infisical immédiatement après l'installation","Avant d'inviter votre équipe, désactivez la page d'inscription publique dans Settings → Authentication → Allow signups. Infisical n'accepte alors que les utilisateurs invités par un administrateur. Activez également la vérification par e-mail et, si votre équipe utilise l'OAuth GitHub ou Google, configurez ces fournisseurs dans Settings → SSO — ils sont plus sûrs qu'une connexion par mot de passe seul.","Déployez Infisical sur votre VPS en un clic","Ne laissez plus fuir vos secrets via des fichiers .env et des messages Slack. ServOrbit provisionne une instance Infisical prête à l'emploi sur un VPS — PostgreSQL, Redis et HTTPS inclus.","Déployer Infisical","\u002Fvps-cloud?template=infisical",[131,155],{"id":132,"slug":133,"slugs":134,"title":138,"excerpt":139,"readTime":140,"views":141,"isPinned":19,"noindex":19,"publishedAt":142,"updatedAt":143,"category":144,"categories":150,"featuredImage":30,"bgImage":31,"posterImage":152,"relatedSolution":153},131,"deploy-vaultwarden-vps",{"fr":133,"en":135,"ar":136,"es":137},"self-host-your-password-manager-deploy-vaultwarden-on-vps","استضف-مدير-كلمات-المرور-بنفسك-انشر-vaultwarden-على-vps","desplegar-vaultwarden-en-un-vps","Déployer Vaultwarden sur un VPS : mots de passe auto-hébergés","Auto-hébergez Vaultwarden sur un VPS : gestion de mots de passe, compatibilité Bitwarden, coffres d'équipe et TOTP, à coût mensuel fixe et moins de 50 Mo de RAM.",15,3,"2026-06-24T00:00:00+00:00","2026-11-04T16:30:25+00:00",{"id":145,"name":146,"slug":147,"color":148,"icon":149},8,"Sécurité & Monitoring","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[151],{"id":145,"name":146,"slug":147,"color":148,"icon":149},"\u002Fblog\u002Fcovers\u002Fdeploy-vaultwarden-vps-poster.svg",{"categorySlug":149,"appSlug":154},"vaultwarden",{"id":156,"slug":157,"slugs":158,"title":162,"excerpt":163,"readTime":164,"views":18,"isPinned":19,"noindex":19,"publishedAt":165,"updatedAt":166,"category":167,"categories":168,"featuredImage":30,"bgImage":31,"posterImage":170,"relatedSolution":171},74,"heberger-gitea",{"fr":157,"en":159,"ar":160,"es":161},"host-gitea-on-your-own-vps","استضافة-gitea-على-خادم-vps-الخاص-بك","alojar-gitea-en-un-vps","Héberger Gitea sur votre propre VPS en 2026","Déployez Gitea 1.25 sur VPS avec Docker et SSL. Guide : Gitea Actions CI\u002FCD, comparatif Gitea vs Forgejo v16, administration quotidienne, dépannage SSH et HTTPS.",13,"2026-04-07T00:00:00+00:00","2026-11-08T16:32:50+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[169],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fheberger-gitea-poster.svg",{"categorySlug":172,"appSlug":173},"developpement","gitea",true,1794270790473]