Comment migrer de 1Password vers Bitwarden

Pourquoi migrer de 1Password vers Bitwarden ?

1Password est un excellent logiciel. C’est aussi une entreprise canadienne qui fonctionne sur AWS (infrastructure sous contrôle américain), facture 36 $/an par utilisateur pour les forfaits individuels, et suit un modèle propriétaire fermé où vous devez faire confiance à leurs déclarations de sécurité plutôt que de pouvoir les auditer.

Bitwarden est open source. La pile serveur complète est publiée sur GitHub. Vous pouvez auto-héberger tout le système sur une infrastructure européenne (Hetzner, Scaleway, Infomaniak) pour une souveraineté totale des données. L’offre gratuite hébergée couvre la plupart des cas d’usage personnels. Premium coûte 10 $/an — oui, par an, pas par mois. Les forfaits Famille sont à 40 $/an pour 6 utilisateurs. Les forfaits Business commencent à 4 $/utilisateur/mois.

L’écart de coût se cumule. Le discours sur la confidentialité et l’audit est fondamentalement plus solide. Et après la fuite LastPass qui a montré ce qui arrive quand des gestionnaires de mots de passe propriétaires prennent des raccourcis sous pression, l’argument en faveur d’une alternative open source et auditable est plus fort que jamais.

Étapes détaillées de la migration

Étape 1 : créer votre compte Bitwarden

Deux voies :

Voie A : Bitwarden Cloud (recommandée pour la plupart)

1. Rendez-vous sur bitwarden.com et créez un compte gratuit
2. Choisissez un mot de passe maître robuste (c’est le seul mot de passe que vous aurez à retenir)
3. Complétez la vérification par e-mail
4. (Facultatif) Passez à Premium (10 $/an) pour 1 Go de pièces jointes chiffrées et l’accès d’urgence

Voie B : auto-hébergé (recommandé pour les entreprises)

1. Provisionnez un petit serveur (1 vCPU, 2 Go de RAM suffisent) sur Hetzner, Scaleway ou votre hébergeur européen préféré
2. Utilisez le conteneur Docker officiel Vaultwarden (compatible Bitwarden, plus léger en ressources) ou le serveur Bitwarden complet
3. Configurez HTTPS via Caddy ou nginx avec Let’s Encrypt
4. Mettez en place des sauvegardes automatisées (chiffrées, hors du serveur)
5. Créez votre compte sur votre instance privée

Pour les organisations, l’auto-hébergement vous offre une souveraineté complète des données au sein d’une infrastructure européenne sous juridiction européenne.

Étape 2 : exporter votre coffre 1Password

Dans 1Password Desktop (la fonction d’export n’est disponible que sur ordinateur) :

1. Ouvrez 1Password et connectez-vous
2. Sélectionnez votre compte dans la barre latérale
3. Fichier > Exporter > Sélectionnez votre coffre
4. Choisissez le format :
   • Format 1PUX (recommandé) — conserve les pièces jointes et les données structurées
   • CSV — plus simple mais perd les pièces jointes et certains champs structurés
5. Enregistrez l’export à un emplacement sécurisé (ce fichier contient tous vos mots de passe en clair)

Critique : cet export n’est pas chiffré. Traitez-le comme de la matière nucléaire :

• Enregistrez uniquement sur disque chiffré
• Ne l’envoyez pas par e-mail, ne le téléchargez pas, ne le synchronisez nulle part
• Supprimez-le immédiatement après la fin de la migration

Étape 3 : installer Bitwarden partout

Bitwarden propose des clients pour tous les environnements où 1Password fonctionne :

• Extensions de navigateur : Chrome, Firefox, Safari, Edge, Brave, Opera, Vivaldi, Tor Browser
• Applications de bureau : Windows, macOS, Linux (.deb, .rpm, AppImage, Snap, Flatpak)
• Applications mobiles : iOS, Android (Play Store, F-Droid, APK direct)
• CLI : pour les développeurs qui veulent gérer les mots de passe dans des scripts

Installez sur chaque appareil, connectez-vous avec votre mot de passe maître et la 2FA. L’extension de navigateur est la plus utilisée ; installez-la en premier.

Étape 4 : importer le coffre

Dans le coffre web Bitwarden (vault.bitwarden.com ou votre URL auto-hébergée) :

1. Allez dans Outils > Importer des données
2. Sélectionnez la source : 1Password (1PUX) ou 1Password (CSV) selon votre export
3. Sélectionnez votre fichier
4. Cliquez sur Importer les données

Bitwarden importera :

• Identifiants (nom d’utilisateur, mot de passe, URL)
• Notes sécurisées
• Cartes bancaires
• Identités
• Dossiers → traduits en Dossiers Bitwarden

Éléments pris en charge par 1Password mais pas directement par Bitwarden :

• Documents → importés en Notes sécurisées avec pièces jointes (Premium)
• Licences logicielles → importées en Notes sécurisées
• Identifiants d’API → importés en Identifiants ou Notes sécurisées

Étape 5 : recréer la structure des dossiers

Le modèle d’organisation de Bitwarden diffère légèrement de celui de 1Password :

• Coffres 1Password → Collections Bitwarden (pour les éléments partagés/d’équipe, nécessite une Organisation)
• Dossiers 1Password → Dossiers Bitwarden (personnels, concept similaire)
• Étiquettes 1Password → Bitwarden n’a pas d’équivalent direct aux étiquettes ; utilisez la structure de dossiers ou des conventions de nommage

Pour un usage personnel : utilisez simplement les Dossiers pour organiser. Pour les familles ou les équipes : créez une Organisation Bitwarden (forfait Famille ou Business) et utilisez les Collections pour les éléments partagés.

Étape 6 : configurer l’authentification à deux facteurs

Non négociable pour la sécurité d’un gestionnaire de mots de passe :

1. Dans le coffre web Bitwarden : Paramètres > Sécurité > Connexion en deux étapes
2. Activez l’une des options :
   • Application d’authentification (Aegis, Raivo, Authy, Google Authenticator)
   • E-mail (moins sécurisé, mais simple)
   • YubiKey (Premium, le plus sûr)
   • Duo (Premium)
   • FIDO2 WebAuthn (Premium, clés matérielles)
3. Enregistrez votre code de récupération en lieu sûr (imprimé, dans un coffre ignifuge, PAS dans Bitwarden)

Si vous êtes abonné à Bitwarden Premium, les clés matérielles (YubiKey) sont l’option la plus robuste.

Étape 7 : tester sur les services clés

Avant de supprimer 1Password :

1. Déconnectez-vous de 5 à 10 services critiques (banque, e-mail, outils professionnels)
2. Essayez de vous reconnecter en utilisant uniquement la saisie automatique de Bitwarden
3. Vérifiez que les codes TOTP se génèrent correctement (Bitwarden Premium peut stocker les secrets TOTP)
4. Testez sur mobile — la saisie automatique fonctionne différemment sur iOS et Android, les deux fonctionnent mais nécessitent une configuration

Si quelque chose échoue, vous pouvez toujours revenir à 1Password le temps de corriger. C’est pour cela qu’il est essentiel de faire tourner les deux en parallèle pendant 30 jours.

Étape 8 : résilier 1Password

Après 30 jours d’utilisation de Bitwarden comme outil principal :

1. Vérifiez que tous les identifiants sont accessibles dans Bitwarden
2. Vérifiez que toutes les notes sécurisées critiques ont été transférées
3. Vérifiez les codes TOTP pour toutes les configurations 2FA
4. Supprimez le fichier d’export 1PUX/CSV (de manière sécurisée — shred -u file.1pux sous Linux, « suppression sécurisée » sous macOS, BleachBit sous Windows)
5. Supprimez le contenu de votre coffre 1Password
6. Annulez l’abonnement 1Password
7. Déconnectez-vous de toutes les applications 1Password

Conseils pour une migration fluide

• Planifiez la migration un week-end peu chargé, pas la veille d’une échéance
• Mettez à jour les sites ayant des mots de passe compromis pendant la migration — le générateur de mots de passe et le contrôle de fuite de Bitwarden signalent les anciens mots de passe, faibles ou compromis
• Utilisez Bitwarden Send pour partager temporairement des mots de passe ou fichiers — c’est une fonctionnalité unique que 1Password n’a pas, particulièrement utile avec ses minuteurs d’auto-destruction chiffrés de bout en bout
• Configurez l’accès d’urgence Bitwarden (Premium) pour qu’une personne de confiance puisse demander l’accès à votre coffre s’il vous arrive quelque chose
• Pour les développeurs : la CLI Bitwarden (bw) est excellente pour le scripting et la gestion des secrets en CI/CD
• Pour les familles : le forfait Famille à 40 $/an est une affaire pour 6 comptes ; 1Password Families coûte 60 $/an pour 5
• Astuce auto-hébergement : utilisez Vaultwarden plutôt que le serveur Bitwarden complet, sauf si vous avez spécifiquement besoin de fonctionnalités d’entreprise. Vaultwarden tourne sur un seul serveur avec des ressources minimales et est compatible API avec tous les clients Bitwarden
• Ne sautez pas le changement de mot de passe maître. Certains utilisateurs reprennent le même mot de passe maître que pour leur compte 1Password « par habitude » — choisissez un mot de passe différent et plus robuste pour Bitwarden