Gestionnaire de mots de passe

Un serveur vaultwarden est disponible sur https://safe.datcat.fr.

Il faut demander aux admins pour qu’on vous crée un compte.

NB: Cette page de documentation est de loin la plus fournie de ce site. C’est parce que c’est la plus importante. Prenez bien le temps de tout lire et de tout comprendre, et n’hésitez pas à nous contacter si vous avez des questions ou des remarques à son sujet.

Objectifs

Vaultwarden stocke de manière très sécurisée vos identifiants, pour vous permettre de:

  • générer automatiquement des mots de passes longs et compliqués
  • ne pas avoir à les retenir
  • ne pas être tenté de mettre le même sur plusieurs sites
  • les entrer automatiquement sur leurs sites respectifs, pour:
    • gagner du temps
    • ne pas risquer de se tromper
    • vérifier que vous êtes sur le bon site, et donc que vous n’êtes pas en train de subir une attaque 🕵️ de phishing 🐟
  • pouvoir facilement les mettre à jour, si jamais vous suspectez qu’ils soient compromis.

Fonctionnement

Pour sécuriser vos données, Vaultwarden les chiffre de bout en bout avec votre «mot de passe maître» comme clef cryptographique. Vos données (et donc notamment vos autres mots de passe) ne sont donc même pas accessibles par les admins.

Utilisation

Des interfaces pour récupérer, ajouter ou modifier ces données sont disponibles via:

  1. https://safe.datcat.fr pour le web
  2. https://bitwarden.com/download pour :
    • les bureaux d’ordinateurs Windows, macOS et Linux
    • les navigateurs web courants
    • les téléphones Apple et Android
    • les lignes de commande
  3. votre gestionnaire de paquets (apt, pacman, nix, npm, homebrew, chocolatey, etc.)

NB: BitWarden est l’entreprise à l’origine des concepts, du protocole, et des clients, le tout sous license libre et gratuite. Seul leur serveur n’est pas libre et pas toujours gratuit, puisqu’il sert de base à leur offre commerciale. Vaultwarden est une implémentation indépendante de ce serveur par la communauté, mais sous license libre et gratuite. Et il est compatible avec tous les clients Bitwarden.

Pour les solutions 2 et 3, il faudra indiquer à votre client que vous voulez utiliser le serveur datcat.fr: en plus de votre email et de votre «mot de passe maître», indiquez que la «Région» est «auto-hébergé», et enregistrez l’«URL du serveur» https://safe.datcat.fr.

Recommendations

Nous recommandons d’installer le plugin sur votre navigateur web: quand vous serez devant une page de connexion, appuyez sur Ctrl + Shift + L pour entrer automatiquement vos identifiant / email / mot de passe pour ce site. Cela vous facilitera la vie, et vous garantira que ce n’est pas un faux site conçu pour vous extorquer votre mot de passe (puisque les faux sites ne peuvent pas avoir la vraie URL, ce qui est systématiquement vérifié par le plugin). Si la saisie automatique ne fonctionne pas, ça doit immédiatement vous alarmer 🔔!

L’application smartphone est aussi particulièrement pratique en déplacement. Vous pouvez vous connecter à un site simplement depuis l’application smartphone: ça ouvrira votre nagivateur directement sur la bonne page de connexion et la pré-remplira pour vous.

Sécurité

Votre «mot de passe maître» est la clef de voute de la sécurité de tous vos autres comptes.

Il ne doit pas :

  • être facile à deviner par quelqu’un vous connaissant bien
  • être facile à trouver par une attaque brute
  • être utilisé ailleurs

Prenez le temps de vous en trouver un nouveau qui soit bon. Le meilleur moment pour ça, c’est maintenant !

Exemples:

Évidemment, n’utilisez pas directement ces exemples…

N’oubliez quand même pas que vous aurez à le taper régulièrement (de l’ordre d’une fois par jour), donc s’il vous pondez un roman qui nécessite 10min pour être saisi, ça va vite vous énerver et vous allez botter en touche.

S’il vous parait juste «un peu trop» long, sachez qu’assez rapidement, votre mémoire musculaire vous aidera sur ce point 💪

NB: Ce mot de passe va devenir pratiquement le seul que vous aurez à retenir et à utiliser directement. Ça devrait vous inciter à le gérer correctement, au moins celui-là 😅

⚠️ Danger⚠️

Ne perdez pas votre «mot de passe maître».

Si vous le perdez, toutes vos données enregistrées sur https://safe.datcat.fr seront irrécupérables. Les admins ne pourront rien pour vous. Vous ne pourrez pas le réinitialiser par email. Rien. Vous êtes foutus ☠️.

Et vous allez passer un très très mauvais moment.

Bref, assurez-vous de mettre en place plusieurs méthodes de secours au cas où !

Exemples:

  • écrivez-le sur un papier que vous prenez le temps de très bien cacher chez vous, avec un sceau qui pourra vous indiquer si quelqu’un l’a trouvé et a pu le lire.
  • confiez-en deux moitiés à deux personnes de confiance différentes, et insistez pour qu’elles se débrouillent pour ne pas pouvoir perdre ni se faire dérober ce secret, et vous préviennent en cas de problème.
  • mettez tous vos comptes dans ce gestionnaire, comme ça vous aurez à taper le «mot de passe maître» régulièrement, et risquerez moins de l’oublier :)

Vous êtes prévenus ✅

Imports / Exports

Nous recommandons actuellement d’utiliser ces logiciels. Si vous en utilisiez d’autres avant, vous pouvez importer leur données sur https://safe.datcat.fr/#/tools/import. Et si on veut à l’avenir en changer, aucun problème, on peut aussi exporter ses données dans plusieurs formats inter-opérables.

Générateur de mots de passe

Vous pouvez générer des mots de passe à chaque fois qu’on vous en demande un nouveau en allant sur https://safe.datcat.fr/#/tools/generator, ou dans le menu contextuel du navigateur web (clic droit) → «Bitwarden» → «Générer un mot de passe (copié)»

Mots de passe partagés

Vous pouvez créer des «Organisations» pour partager des mots de passe entre plusieurs personnes utilisant https://safe.datcat.fr

Comptes multiples

Les clients Bitwarden permettent de connecter simultanément plusieurs comptes: vous pouvez donc partager des mots de passe avec vos proches depuis votre compte sur https://safe.datcat.fr, et partager d’autres mots de passes avec vos collègues depuis votre autre compte sur eg. https://vaultwarden.ma-compagnie.com. Cette fonctionnalité n’est pas encore implémentée sur tous les clients Bitwarden cependant.