KeePassXC vs Bitwarden : Le gestionnaire de mots de passe open source hors ligne

Pourquoi passer de Bitwarden à KeePassXC ?

Bitwarden s’est forgé une solide réputation en tant que gestionnaire de mots de passe cloud open source et abordable. Mais son architecture exige toujours de faire confiance à une entreprise américaine avec votre coffre-fort chiffré stocké sur des serveurs que vous ne contrôlez pas. Lorsque vous utilisez Bitwarden, votre base de données de mots de passe chiffrée est envoyée sur l’infrastructure cloud de Bitwarden (hébergée sur Microsoft Azure), créant une cible centralisée pour les attaquants et un point d’exposition aux mécanismes juridiques américains comme le CLOUD Act.

KeePassXC adopte une approche fondamentalement différente : vos mots de passe ne quittent jamais votre appareil. La base de données complète est un fichier chiffré unique stocké localement sur votre ordinateur, vous donnant un contrôle absolu sur l’emplacement de vos identifiants les plus sensibles. Aucun compte à créer, aucun serveur à qui faire confiance, aucun frais d’abonnement et aucune entreprise susceptible d’être contrainte de donner accès à vos données.

Développé par une équipe communautaire européenne avec de fortes racines en Allemagne, KeePassXC s’appuie sur le légendaire écosystème KeePass — le format de mots de passe open source le plus utilisé au monde. Il combine le format de base de données KDBX éprouvé avec une application de bureau moderne et multiplateforme, une intégration navigateur, le support d’agent SSH et l’authentification TOTP — le tout sans envoyer un seul octet de vos données sur internet.

Comparaison des fonctionnalités

Fonctionnalité	KeePassXC	Bitwarden
Fonctionnement hors ligne	✅ Entièrement hors ligne par défaut	⚠️ Nécessite internet pour la synchronisation
Open source	✅ GPLv2/GPLv3	✅ GPLv2 (clients), AGPLv3 (serveur)
Dépendance cloud	✅ Aucune — fichier local uniquement	⚠️ Cloud Azure (hébergé aux États-Unis)
Application de bureau	✅ Native (Windows, macOS, Linux)	✅ Basée sur Electron (toutes plateformes)
Extension navigateur	✅ KeePassXC-Browser	✅ Extension complète
Application mobile	⚠️ Via KeePassDX / Strongbox	✅ iOS et Android natifs
Agent SSH	✅ Intégré	❌ Non disponible
Support TOTP	✅ Intégré	✅ Premium uniquement
Partage de mots de passe	⚠️ Partage du fichier de base de données	✅ Fonctionnalité Organisations
Coffre-fort web	❌ Pas d’interface web	✅ Coffre-fort web complet
Prix	✅ Entièrement gratuit	⚠️ Offre gratuite / 10 $/an premium
Localisation des données	✅ Votre appareil uniquement	⚠️ Cloud américain (Microsoft Azure)

Tarification

Le modèle tarifaire de KeePassXC est d’une simplicité rafraîchissante — c’est entièrement gratuit :

KeePassXC : Gratuit, pour toujours, avec toutes les fonctionnalités. Pas de niveaux premium, pas de fonctionnalités verrouillées, pas d’abonnements. Chaque fonctionnalité — TOTP, agent SSH, intégration navigateur, support YubiKey, fusion de bases de données — est disponible pour tous les utilisateurs sans aucun coût.
Bitwarden Gratuit : Gratuit — mots de passe illimités, 2 appareils, 2FA basique
Bitwarden Premium : 10 $/an — authentificateur TOTP, 2FA avancé (YubiKey), 1 Go de stockage, accès d’urgence
Bitwarden Familles : 40 $/an — jusqu’à 6 utilisateurs, collections partagées
Bitwarden Teams : 4 $/utilisateur/mois — partage en équipe, journaux d’événements
Bitwarden Enterprise : 6 $/utilisateur/mois — SSO, intégration annuaire, politiques

KeePassXC offre gratuitement des fonctionnalités que Bitwarden réserve à son offre premium (TOTP, support YubiKey). La contrepartie est que vous gérez votre propre infrastructure de synchronisation et de sauvegarde, mais pour les utilisateurs qui privilégient la souveraineté à la commodité, c’est un atout, pas une limitation.

Vie privée et souveraineté des données

Le modèle de confidentialité de KeePassXC est architecturalement inégalé :

Pas de serveurs, pas de cloud, pas de comptes — votre base de données chiffrée n’existe que là où vous la placez
Aucune télémétrie, aucune analyse, aucun rapport de plantage — KeePassXC n’envoie aucune donnée nulle part
Aucune entreprise ne peut être assignée à comparaître pour vos mots de passe car aucune entreprise ne les détient
Non soumis au CLOUD Act américain, à la FISA Section 702, ni à aucune loi étrangère d’accès aux données
Chiffrement AES-256 ou ChaCha20 avec dérivation de clé Argon2id — primitives cryptographiques de pointe
Le format KDBX est un standard ouvert, audité et revu par la communauté de sécurité depuis plus de 20 ans
Développement communautaire européen avec un solide héritage open source allemand
Code source complet disponible pour audit sur GitHub sous licences GPLv2/GPLv3
Aucune entité commerciale avec des incitations financières susceptibles d’entrer en conflit avec la vie privée des utilisateurs

Bitwarden, bien qu’open source et généralement respectueux de la vie privée, stocke toujours votre coffre-fort chiffré sur des serveurs Microsoft Azure basés aux États-Unis. Cela crée une exposition juridictionnelle — un tribunal américain pourrait contraindre Bitwarden Inc. à modifier son logiciel ou à fournir des données chiffrées sous scellés. KeePassXC élimine complètement ce vecteur de menace en n’ayant aucune infrastructure serveur.

Guide de migration

La migration de Bitwarden vers KeePassXC demande un effort minimal :

Exportez votre coffre-fort Bitwarden en vous connectant au coffre-fort web Bitwarden, en accédant à Outils > Exporter le coffre-fort et en téléchargeant au format JSON non chiffré. Conservez ce fichier temporairement seulement — il contient tous vos mots de passe en clair. (5 minutes)
Installez KeePassXC depuis keepassxc.org. Téléchargez la version officielle pour votre système d’exploitation. Sous Linux, il est disponible via la plupart des gestionnaires de paquets (apt, flatpak, snap). (5 minutes)
Créez une nouvelle base de données KeePassXC — lancez KeePassXC, cliquez sur « Créer une nouvelle base de données », choisissez un mot de passe maître fort, et ajoutez éventuellement un fichier-clé ou une clé matérielle pour une sécurité supplémentaire. Sélectionnez Argon2id comme fonction de dérivation de clé. (5 minutes)
Importez vos données Bitwarden — allez dans Base de données > Importer > Bitwarden (JSON) et sélectionnez votre fichier exporté. Tous les mots de passe, notes, URI et la structure de dossiers seront importés dans votre nouvelle base KeePassXC. (5 minutes)
Installez l’extension KeePassXC-Browser pour Firefox, Chrome ou Edge. Ouvrez KeePassXC sur le bureau, allez dans Outils > Paramètres > Intégration navigateur, activez l’intégration et connectez l’extension. Testez le remplissage automatique sur quelques sites. (10 minutes)
Configurez la synchronisation (optionnel) — copiez votre fichier .kdbx dans un dossier synchronisé (Nextcloud, Syncthing, Tresorit) pour un accès multi-appareils. Installez KeePassDX (Android) ou Strongbox (iOS) pour l’accès mobile. Supprimez de manière sécurisée l’export Bitwarden et désactivez votre compte Bitwarden. (20 minutes)

Durée totale estimée : 45 minutes à 1 heure. Niveau de difficulté : Facile à modéré — compétences de base en gestion de fichiers nécessaires.

Cas d’utilisation concrets

Un administrateur système dans une université de Hambourg a fait passer le département informatique de Bitwarden Teams à KeePassXC avec des bases de données partagées sur l’instance Nextcloud de l’université. La migration a éliminé un coût SaaS récurrent et a satisfait le délégué à la protection des données de l’université, qui avait soulevé des préoccupations concernant le stockage des identifiants sur une infrastructure cloud américaine. La fonctionnalité d’agent SSH est devenue particulièrement populaire auprès de l’équipe, simplifiant l’accès aux serveurs sans exposer les clés privées.
Une étudiante en informatique à Munich a adopté KeePassXC comme gestionnaire de mots de passe principal après avoir découvert l’écosystème KeePass dans un cours de sécurité. Le modèle entièrement gratuit sans aucune limitation fonctionnelle était idéal pour un budget étudiant, et l’architecture locale servait de leçon pratique sur le stockage cryptographique. Elle synchronise sa base entre son ordinateur portable et son téléphone via Syncthing, maintenant une exposition cloud nulle tout en conservant un accès mobile via KeePassDX.
Un journaliste freelance couvrant la politique européenne à Bruxelles a migré de Bitwarden vers KeePassXC après avoir consulté des formateurs en sécurité numérique. La protection des sources exigeait qu’aucun tiers — y compris une entreprise de gestion de mots de passe — ne puisse potentiellement accéder aux identifiants de comptes utilisés pour des communications sensibles. Le stockage local de KeePassXC, combiné à une YubiKey comme second facteur pour le déverrouillage de la base, offrait la protection la plus solide possible pour les identifiants liés aux comptes de messagerie chiffrée et aux services de dépôt sécurisé.

Contexte de l’entreprise

KeePassXC est un projet open source communautaire, pas un produit commercial. Il est né comme un fork de KeePassX, qui était lui-même un portage multiplateforme du gestionnaire de mots de passe original KeePass créé par Dominik Reichl en Allemagne en 2003. Lorsque le développement de KeePassX a stagné vers 2016, un groupe de développeurs communautaires a forké le projet pour créer KeePassXC — le KeePass Cross-Platform Community Edition.

L’équipe KeePassXC est un groupe distribué de développeurs bénévoles, dont beaucoup sont basés en Allemagne et dans d’autres pays européens, qui maintiennent et améliorent le logiciel purement en tant qu’initiative open source. Le projet est hébergé sur GitHub, accepte les contributions de tous et est financé entièrement par des dons volontaires. Il n’y a aucune entreprise derrière KeePassXC, aucun capital-risque, aucune licence commerciale — simplement une communauté engagée à construire le meilleur gestionnaire de mots de passe hors ligne possible.

L’écosystème KeePass au sens large est l’un des plus durables dans le domaine des logiciels de sécurité open source. Le format de base de données KDBX est utilisé depuis plus de deux décennies, est supporté par des dizaines d’applications sur toutes les plateformes, et a résisté à un examen cryptographique approfondi. Cette maturité d’écosystème signifie que choisir KeePassXC ne vous enferme pas dans une seule application — si KeePassXC cessait un jour son développement, vos mots de passe resteraient accessibles via l’une des dizaines d’autres applications compatibles KeePass.

Sécurité et conformité

KeePassXC met en œuvre des mesures de sécurité rigoureuses dans son architecture locale :

Chiffrement AES-256 ou ChaCha20 — choix entre deux algorithmes standards de l’industrie pour le chiffrement de la base de données
Dérivation de clé Argon2id — vainqueur de la Password Hashing Competition, offrant une forte résistance contre les attaques par force brute basées sur GPU et ASIC
Support de clés matérielles — YubiKey Challenge-Response et OnlyKey pour une protection à deux facteurs de la base de données
Support de fichier-clé — utilisation d’un fichier-clé supplémentaire en plus de votre mot de passe maître pour un déverrouillage multifacteur
Protection de la mémoire — les données sensibles sont conservées chiffrées en RAM et effacées quand elles ne sont plus nécessaires
Verrouillage automatique et effacement du presse-papiers — la base se verrouille après inactivité, le presse-papiers est effacé après un délai configurable
Aucun accès réseau — KeePassXC n’effectue aucune connexion réseau par défaut, éliminant les vecteurs d’attaque distants
Traçabilité open source — chaque modification de code est publiquement consultable sur GitHub ; plusieurs revues de sécurité communautaires ont été réalisées
Format KDBX 4.0 — dernière version du format de base de données avec chiffrement authentifié (HMAC-SHA256) empêchant toute altération non détectée
Historique des entrées — maintient un historique versionné des modifications de mots de passe à des fins de récupération

Écosystème d’intégration

KeePassXC s’intègre à votre flux de travail via des outils et standards locaux :

Extension KeePassXC-Browser pour Firefox, Chrome, Edge et Brave — remplissage automatique, enregistrement automatique et génération de mots de passe via messagerie native sécurisée avec l’application de bureau
Intégration agent SSH — stockez les clés SSH dans votre base KeePassXC et utilisez-les pour l’authentification serveur sans exposer les fichiers de clés sur le disque
Authentificateur TOTP — générez des mots de passe à usage unique basés sur le temps pour les comptes avec 2FA directement dans KeePassXC
YubiKey Challenge-Response — second facteur matériel pour le déverrouillage de la base avec YubiKey ou OnlyKey
Format de base de données KeePass (KDBX) — compatible avec KeePassDX (Android), Strongbox (iOS), KeePassium (iOS), KeeWeb et des dizaines d’autres applications
Interface en ligne de commande (keepassxc-cli) — accès scriptable aux entrées de la base pour l’automatisation et les pipelines CI/CD
Import depuis les principaux gestionnaires — import direct depuis Bitwarden, 1Password, LastPass, Chrome, Firefox et formats CSV
FreeDesktop.org Secret Service — intégration avec les environnements de bureau Linux pour le stockage d’identifiants au niveau système
Auto-Type — injection de frappes native à la plateforme pour remplir les identifiants dans n’importe quelle application, pas seulement les navigateurs
Fusion de bases de données — fusionnez plusieurs bases pour des flux de travail collaboratifs sans serveur central

Qui devrait changer ?

KeePassXC est idéal pour :

Les défenseurs de la vie privée qui veulent zéro exposition cloud pour leurs identifiants les plus sensibles
Les développeurs et administrateurs système qui apprécient l’intégration agent SSH, l’accès CLI et la gestion scriptable des mots de passe
Les étudiants qui ont besoin d’un gestionnaire de mots de passe complet sans aucun coût
Les utilisateurs soucieux de la sécurité qui préfèrent une architecture locale plutôt que de faire confiance à un service cloud
Les utilisateurs Linux qui veulent un gestionnaire de mots de passe natif et bien intégré respectant l’écosystème open source
Les organisations avec des exigences strictes de souveraineté des données qui interdisent le stockage d’identifiants sur des serveurs tiers

Le verdict

KeePassXC et Bitwarden représentent deux approches philosophiquement différentes de la gestion des mots de passe. Bitwarden privilégie la commodité — synchronisation fluide, accès au coffre-fort web, infrastructure gérée. KeePassXC privilégie la souveraineté — vos mots de passe n’existent que là où vous le décidez, sans intermédiaire, sans abonnement et sans entreprise dans la boucle.

Bitwarden reste un excellent choix pour les utilisateurs qui veulent la synchronisation cloud sans la complexité d’une infrastructure autogérée, et ses fonctionnalités organisationnelles le rendent mieux adapté aux équipes nécessitant un partage centralisé de mots de passe.

Mais pour les individus et les organisations qui croient que le mot de passe le plus sûr est celui qui ne quitte jamais votre contrôle, KeePassXC est la référence absolue — chiffrement éprouvé au combat, un écosystème de 20 ans et une liberté totale vis-à-vis des dépendances cloud, des frais d’abonnement et des risques juridictionnels.

Questions Fréquentes

KeePassXC est-il identique à KeePass ?

Non. KeePass est le gestionnaire de mots de passe original, uniquement Windows, créé par Dominik Reichl en Allemagne. KeePassXC (KeePass Cross-Platform Community Edition) est un fork communautaire réécrit en C++ avec le framework Qt pour offrir un support natif sur Windows, macOS et Linux. KeePassXC utilise le même format de base de données KDBX que KeePass, donc vos bases sont entièrement compatibles. Cependant, KeePassXC offre une interface plus moderne, un meilleur support multiplateforme et des fonctionnalités comme l'intégration navigateur et l'agent SSH qui ne sont pas disponibles dans KeePass de base.

Comment synchroniser ma base de données KeePassXC entre mes appareils ?

Puisque KeePassXC stocke vos mots de passe dans un fichier chiffré local (KDBX), vous pouvez le synchroniser avec n'importe quel service de synchronisation de fichiers de confiance. Les approches courantes consistent à placer le fichier de base de données dans un dossier Nextcloud, Syncthing, Tresorit, ou même Dropbox. La base est chiffrée en AES-256, donc même si le service de synchronisation est compromis, les attaquants ne peuvent pas lire vos mots de passe sans votre clé maître. De nombreux utilisateurs soucieux de leur vie privée préfèrent Syncthing pour une synchronisation pair-à-pair sans intermédiaire cloud.

Puis-je utiliser KeePassXC sur mon téléphone ?

KeePassXC est uniquement disponible sur bureau (Windows, macOS, Linux). Cependant, comme il utilise le format standard KeePass KDBX, vous pouvez ouvrir la même base de données sur mobile avec des applications compatibles. Sur Android, KeePassDX est une excellente option open source disponible sur F-Droid et Google Play. Sur iOS, Strongbox et KeePassium sont des choix populaires. Toutes ces applications peuvent ouvrir des fichiers KDBX synchronisés via votre service de synchronisation préféré.

Comment fonctionne l'intégration navigateur de KeePassXC ?

KeePassXC inclut une extension de navigateur compagnon appelée KeePassXC-Browser, disponible pour Firefox, Chrome, Edge et Brave. L'extension communique avec l'application de bureau KeePassXC via un canal de messagerie native sécurisé. Une fois connectée, elle peut remplir automatiquement les identifiants et mots de passe sur les sites web, enregistrer de nouvelles informations d'identification et générer des mots de passe — de manière similaire aux gestionnaires cloud, mais avec toutes les données restant sur votre machine locale.

KeePassXC est-il moins sécurisé que Bitwarden parce qu'il stocke les mots de passe localement ?

Le stockage local est en réalité un avantage de sécurité dans de nombreux modèles de menace. Avec KeePassXC, votre base de données chiffrée ne quitte jamais votre appareil sauf si vous choisissez explicitement de la synchroniser. Il n'y a pas de serveur central qui puisse être piraté, pas d'infrastructure cloud à attaquer, et aucune entreprise qui puisse être contrainte de fournir vos données. La base est chiffrée en AES-256 (ou ChaCha20) avec une clé dérivée de votre mot de passe maître via Argon2. La surface d'attaque est fondamentalement plus réduite que celle de toute solution cloud.